Abgelaufenes Zertifikat löschen

[Peterzz 11]

Hallo,
ich habe eine Exchange Server 2013,neuster Patchstand, auf dem ich ein abgelaufenes Zertifikat löschen möchte.
Ein neues Zertifikat ist bereits installiert und an die Dienste SMTP, IIS. POP IMAP gebunden.
In der EAC erhalte ich beim Löschen des alten Zertifikats die Fehlermeldung: „Das interne Transportzertifikat kann nicht entfernt werden, weil dies das Beenden des Microsoft Exchange-Transportdiensts bewirken würde“
Die Dienste (SMTP, POP, IMAP) kann ich in dem EAC auch nicht deaktivieren, da sie ausgegraut sind.
Der Powershellbefehl Enable-ExchangeCertificate -Services None -Thumbprint XXXXXXXXXXXX bringt zwar keine Fehlermeldung, bewirkt aber auch nichts.
Kann ich das Zertifikat einfach über die MMC löschen?
 

[NorbertFe 1.805]

https://www.frankysweb.de/exchange-2016-backend-zertifikat-neu-erstellen/

 

Ist bei 2013 mehr oder weniger identisch.

[Peterzz 11]

Bei dem Zertifikat handelt es sich nicht um das Backend Zertifikat.

Es ist eine gekauftes Zertifikat, welches vor 1 Monat abgelaufen ist. Für das abgelaufene Zertifikat wurde ein neues gekauft im auf dem Exchange Server eingebunden.

 

[Nobbyaushb 1.359]

Geht-ExchangeServerCertificate listet dir alle auf, mit | ft siehst du die Tabelle und mit | fl alles

[NorbertFe 1.805]

vor einer Stunde schrieb Peterzz:

Bei dem Zertifikat handelt es sich nicht um das Backend Zertifikat.

Es ist eine gekauftes Zertifikat, welches vor 1 Monat abgelaufen ist. Für das abgelaufene Zertifikat wurde ein neues gekauft im auf dem Exchange Server eingebunden.

 

Deine Fehlermeldung sagt aber was anderes. Aber sei's drum. Wie wurde das neue Zertifikat importiert? Über die MMC oder in der EMC/EMS?

 

Bye

Norbert

[Peterzz 11]

16 hours ago, NorbertFe said:

Wie wurde das neue Zertifikat importiert?

Das jetzt abgelaufene Zertifikat habe ich über die MMC installiert und in der Powershell (enable-exchangecertificate -thumbprint xxx -services smtp,iis,imap,pop) habe ich die Dienste gebunden.

[NorbertFe 1.805]

Machs nochmal weg und binde es direkt über die Powershell mittels import-exchangecertificate ein oder über die EMC/EAC.

[Peterzz 11]

 Ich glaube du hast meine Frage übersehen.

 

Ich möchte das abgelaufene Zertifikat nur löschen, über die EMC geht es nicht (bringt Fehlermeldung, s.o.).

Kann ich es einfach über die MMC löschen?

 

[NorbertFe 1.805]

ja kannst du. Evtl. Fehler kannst du dann ja hier posten.

[Nobbyaushb 1.359]

Gerade eben schrieb Peterzz: .

Kann ich es einfach über die MMC löschen?

Ganz schlechte Idee..

 

Ich hatte was gefragt/gepostet, wie sehen die Ausgaben und die Bindungen aus?

[Peterzz 11]

Hier kommt das Zertifikat, welches abgelaufen und gelöscht werden soll:

 

AccessRules        : {System.Security.AccessControl.CryptoKeyAccessRule, 
                     System.Security.AccessControl.CryptoKeyAccessRule, 
                     System.Security.AccessControl.CryptoKeyAccessRule}
CertificateDomains : {exchange.domain.de, owa.domain.de, autodiscover.domain.de}
HasPrivateKey      : True
IsSelfSigned       : False
Issuer             : CN=GeoTrust TLS RSA CA G1, OU=www.digicert.com, O=DigiCert Inc, C=US
NotAfter           : 09.08.2020 14:00:00
NotBefore          : 10.08.2018 02:00:00
PublicKeySize      : 2048
RootCAType         : ThirdParty
SerialNumber       : yyyyyyyyyyyyyyyyyyyyyyyyyyyyyyy
Services           : IMAP, POP, SMTP
Status             : DateInvalid
Subject            : CN=exchange.domain.de
Thumbprint         : xxxxxxxxxxxxxxxxxxxxxxxx

 

 

Hier ist das Zertifikat, welches das obige ersetzt:

 

AccessRules        : {System.Security.AccessControl.CryptoKeyAccessRule, 
                     System.Security.AccessControl.CryptoKeyAccessRule, 
                     System.Security.AccessControl.CryptoKeyAccessRule}
CertificateDomains : {exchange.domain.de, autodiscover.domain.de, owa.domain.de}
HasPrivateKey      : True
IsSelfSigned       : False
Issuer             : CN=GeoTrust RSA CA 2018, OU=www.digicert.com, O=DigiCert Inc, C=US
NotAfter           : 10.07.2022 14:00:00
NotBefore          : 09.07.2020 02:00:00
PublicKeySize      : 2048
RootCAType         : ThirdParty
SerialNumber       : yyyyyyyyyyyyyyyyyyyyyyyyyyyyyyy
Services           : IMAP, POP, IIS, SMTP
Status             : Valid
Subject            : CN=exchange.domain.de
Thumbprint         : xxxxxxxxxxxxxxxxxxxxxxxx

 

 

[Nobbyaushb 1.359]

remove-exchangecertificate -Thumbprint 

 

[Peterzz 11]

14 minutes ago, Nobbyaushb said:

remove-exchangecertificate -Thumbprint 

 

Das funktioniert ja gerade nicht.

Folgenden Fehler wird angezeigt (ein paar Buschstaben fehlen):

Ein spezieller RPC-Fehler ist auf Server SERVERNAME aufgetreten: Das interne Transportzertifikat kann
werden, weil dies das Beenden des Microsoft Exchange-Transportdiensts bewirken würde. Erstellen Sie e
Zertifikat, um das interne Transportzertifikat zu ersetzen. Das neue Zertifikat wird automatisch als
Transportzertifikat eingesetzt. Anschließend können Sie das vorhandene Zertifikat entfernen.
    + CategoryInfo          : InvalidArgument: (:) [Remove-ExchangeCertificate], InvalidOperationExce
    + FullyQualifiedErrorId : [Server=SERVERNAME,RequestId=360d3e63-8806-4c18-81fe-79ac942be318,TimeS
   9:17:29] [FailureCategory=Cmdlet-InvalidOperationException] B36A8F6E,Microsoft.Exchange.Management
  tionTasks.RemoveExchangeCertificate

[NorbertFe 1.805]

https://practical365.com/exchange-server/exchange-2013-the-internal-transport-certificate-cannot-be-removed/

[Peterzz 11]

40 minutes ago, NorbertFe said:

https://practical365.com/exchange-server/exchange-2013-the-internal-transport-certificate-cannot-be-removed/

Das hat geholfen.

Ich konnte das alte Zertifikat jetzt löschen.