Get-ExchangeCertificate leer

[MarkFjuson 0]

Hallo,

 

ich war bisher immer nur fleißiger Mitleser als Gast, aber jetzt muss ich leider ein Thema erstellen, weil ich ein Problem habe und ich keine Lösung dazu finden kann.

 

Es geht um einen Exchange Server 2019 CU13, ich habe gestern das NOV23SU installiert und seitdem funktioniert mein Owa nicht mehr und auch Outlook verbindet sich nicht.

Bei Outlook kommt diese Fehlermeldung: Microsoft Outlook kann nicht gestartet werden. Das Outlook-Fenster kann nicht geöffnet werden. Diese Ordnergruppe kann nicht geöffnet werden. Der Informationsspeicher steht zurzeit nicht zur Verfügung.

 

Bei Owa habe ich folgende Meldung: 

X-OWA-Error Microsoft.Exchange.Security.OAuth.OAuthTokenRequestFailedException

Ich habe mich auf die Suche gemacht und hab dann über Zertifikate einiges gelesen unter anderem über das Server Auth Certificate, dass es abgelaufen sei oder erneuert werden muss. 

Das Admin Center funktioniert noch und dort habe ich auch die Zertifikate MS Exchange, MS Exchange Server Auth Certificate, WMSVC-SHA2 und mein eigenes Zertifikat von Certum. 

Keines davon ist abgelaufen.

 

In der Shell wollte ich mir mit Get-ExchangeCertificate | fl die Zertifikate anzeigen, aber die Ausgabe ist leer

 

Wieder gesucht und als Vorschlag sollte man New-ExchangeCertificate ausführen und ein neues Auth Certificate erstellen, das habe ich dann auch gemacht und mind. 2 Stunden gewartet, aber Get-ExchangeCertificate bleibt immer noch leer. Im Admin Center habe ich die Zertifikate drin mit dem neuen Ablaufdatum. Owa und Outlook funktionieren auch noch nicht.

 

Dann habe ich noch etwas gefunden, dass man die Zertifikate reparien soll. In der CMD mit certutil -repairstore habe ich das dann versucht, aber wieder keinen Erfolg.

In der Ereignisanzeige finde ich auch keinen Fehler.

Im IIS sind die Zertifikate unter Bindungen richtig zugeordnet

 

 

Ich hab dann noch etwas dazu gefunden und zwar 

(Get-AuthConfig).CurrentCertificateThumbprint | Get-ExchangeCertificate | Format-List

Die Ausgabe bleibt allerdings auch leer.

Die Lösung dazu wäre das Script MonitorExchangeAuthCertificate.ps1

Allerdings ist das Ergebnis: Test result: No renewal action is required

 

Woran kann das liegen?

 

Könnt ihr mir bitte helfen?

 

Vielen Dank

 

Gruß

Mark

 

 

bearbeitet 30. November 2023 von MarkFjuson

[Nobbyaushb 1.359]

Moin,

 

willkommen an Board!

 

Dann hast du den Thread aus dem Update vorher nicht gelesen, das Exchange-Team hatte genau dafür ein kleines Script zur Verfügung gestellt

 

Laufen denn alle Dienste?

An der Exchane-Shell (als Administrator ausgeführt!) Test-ServiceHealth

 

Schon den Server neu gestartet?

 

[MarkFjuson 0]

Hallo Norbert,

 

vielen Dank für deine Antwort.

 

Dienste laufen alle, Server wurde auch schon mehrmals gestartet.

Welches Script meinst du denn?

 

Test-ServiceHealth gibt folgendes aus

 

 

[PS] C:\Windows\system32>Test-ServiceHealth
Neue Sitzung für implizite Remotevorgänge des Befehls "Test-ServiceHealth" wird erstellt...

Role                    : Postfachserverrolle
RequiredServicesRunning : True
ServicesRunning         : {IISAdmin, MSExchangeADTopology, MSExchangeDelivery, MSExchangeIS,
                          MSExchangeMailboxAssistants, MSExchangeRepl, MSExchangeRPC, MSExchangeServiceHost,
                          MSExchangeSubmission, MSExchangeThrottling, MSExchangeTransportLogSearch, W3Svc, WinRM}
ServicesNotRunning      : {}

Role                    : Clientzugriffs-Serverrolle
RequiredServicesRunning : True
ServicesRunning         : {IISAdmin, MSExchangeADTopology, MSExchangeMailboxReplication, MSExchangeRPC,
                          MSExchangeServiceHost, W3Svc, WinRM}
ServicesNotRunning      : {}

Role                    : Hub-Transport-Serverrolle
RequiredServicesRunning : True
ServicesRunning         : {IISAdmin, MSExchangeADTopology, MSExchangeEdgeSync, MSExchangeServiceHost,
                          MSExchangeTransport, MSExchangeTransportLogSearch, W3Svc, WinRM}
ServicesNotRunning      : {}
 

Wenn man Owa aufruft, dann erscheint Postfach wird geöffnet und dann stürzt er ab

 

Im Ereignisprotokoll habe ich danach das gefunden

There was an error setting up WacConfiguration. Wac will be disabled. The WacUrlHostName was invalid. Expected a valid Uri. Actual value was ''. Value read from 'OrganizationConfig'

 

und

 

Watson report about to be sent for process id: 1852, with parameters: E12IIS, c-RTL-AMD64, 15.02.1258.028, w3wp#MSExchangeOWAAppPool, M.Exchange.Security, M.E.S.O.TokenIssuerBase..ctor, M.E.S.OAuth.OAuthTokenRequestFailedException, ee2-dumptidset, 15.02.1258.028.
ErrorReportingEnabled: False 

 

Das sagt mir aber leider gar nichts

[Nobbyaushb 1.359]

Wenn hinter ServicesNotRunning in den Klammern nichts steht alles gut

 

In dem Blog

Released: November 2023 Exchange Server Security Updates - Microsoft Community Hub

 

Gibt es den Link
https://aka.ms/MonitorExchangeAuthCertificate

 

Dann die Bindungen der Zertifikate prüfen

 

[MarkFjuson 0]

Das Script habe ich bereits getestet und im 1. Post das Ergebnis gepostet: Test result no renewal action is required

 

Ich habe auch das Zertifikat aus dem Zertifikatsspeicher gelöscht und das Script nochmals ausgeführt, dann hat er wieder eines erstellt, aber Get-ExchangeCertificate bleibt immer noch leer und Owa funktioniert leider auch noch nicht

Ich habe gerade das Healthcheck Script auch nochmal durchlaufen lassen und dort sind Warnungen bei den Zertifikaten

Certificat status unknown bei den neu erstellten Zertifikate, Exchange und Exchange Server Auth Certificate

 

Irgendetwas stimmt mit den Zertifikaten nicht. Wie kann ich das wieder hinbekommen?

 

 

[massaraksch 39]

Am 30.11.2023 um 10:34 schrieb MarkFjuson:

Ich hab dann noch etwas dazu gefunden und zwar 

(Get-AuthConfig).CurrentCertificateThumbprint | Get-ExchangeCertificate | Format-List

Die Ausgabe bleibt allerdings auch leer.

 

Hi,

 

in der AuthConfig muss natürlich der Thumbprint des neuen Auth-Zerts stehen.

 

Set-AuthConfig -NewCertificateThumbprint "Thumbprint-des-neuen-Auth-Zertifikats"
Set-AuthConfig -PublishCertificate
 

Dann evtl. auch den Dienst MSExchangeServiceHost  neu starten sowie den MSExchangeOWAAppPool und MSExchangeECPAppPool recyceln:

 

restart-service MSExchangeServiceHost

Restart-WebAppPool MSExchangeOWAAppPool

Restart-WebAppPool MSExchangeECPAppPool

 

Nachtrag:

Wenn gar nichts hilft kannst du natürlich auch mal testweise das "Certificate signing of PowerShell serialization payload" wieder deaktivieren (das mit dem November-Patch aktiviert wurde).

bearbeitet 2. Dezember 2023 von massaraksch

[MarkFjuson 0]

Danke für eure Hilfe,

 

mittlerweile läuft er wieder. Ich habe sämtliche Zertifikate aus dem IIS und Speicher gelöscht und nach und nach die Zertifikate wieder eingespielt bzw. erstellen lassen.

Nach ein paar Stunden funktionierte der Zugriff auch wieder mit Outlook und OWA