Jump to content

Get-ExchangeCertificate leer


Direkt zur Lösung Gelöst von MarkFjuson,
Der letzte Beitrag zu diesem Thema ist mehr als 180 Tage alt. Bitte erstelle einen neuen Beitrag zu Deiner Anfrage!

Empfohlene Beiträge

Hallo,

 

ich war bisher immer nur fleißiger Mitleser als Gast, aber jetzt muss ich leider ein Thema erstellen, weil ich ein Problem habe und ich keine Lösung dazu finden kann.

 

Es geht um einen Exchange Server 2019 CU13, ich habe gestern das NOV23SU installiert und seitdem funktioniert mein Owa nicht mehr und auch Outlook verbindet sich nicht.

Bei Outlook kommt diese Fehlermeldung: Microsoft Outlook kann nicht gestartet werden. Das Outlook-Fenster kann nicht geöffnet werden. Diese Ordnergruppe kann nicht geöffnet werden. Der Informationsspeicher steht zurzeit nicht zur Verfügung.

 

Bei Owa habe ich folgende Meldung: 

X-OWA-Error Microsoft.Exchange.Security.OAuth.OAuthTokenRequestFailedException

Ich habe mich auf die Suche gemacht und hab dann über Zertifikate einiges gelesen unter anderem über das Server Auth Certificate, dass es abgelaufen sei oder erneuert werden muss. 

Das Admin Center funktioniert noch und dort habe ich auch die Zertifikate MS Exchange, MS Exchange Server Auth Certificate, WMSVC-SHA2 und mein eigenes Zertifikat von Certum. 

Keines davon ist abgelaufen.

 

In der Shell wollte ich mir mit Get-ExchangeCertificate | fl die Zertifikate anzeigen, aber die Ausgabe ist leer

 

Wieder gesucht und als Vorschlag sollte man New-ExchangeCertificate ausführen und ein neues Auth Certificate erstellen, das habe ich dann auch gemacht und mind. 2 Stunden gewartet, aber Get-ExchangeCertificate bleibt immer noch leer. Im Admin Center habe ich die Zertifikate drin mit dem neuen Ablaufdatum. Owa und Outlook funktionieren auch noch nicht.

 

Dann habe ich noch etwas gefunden, dass man die Zertifikate reparien soll. In der CMD mit certutil -repairstore habe ich das dann versucht, aber wieder keinen Erfolg.

In der Ereignisanzeige finde ich auch keinen Fehler.

Im IIS sind die Zertifikate unter Bindungen richtig zugeordnet

 

 

Ich hab dann noch etwas dazu gefunden und zwar 

(Get-AuthConfig).CurrentCertificateThumbprint | Get-ExchangeCertificate | Format-List

Die Ausgabe bleibt allerdings auch leer.

Die Lösung dazu wäre das Script MonitorExchangeAuthCertificate.ps1

Allerdings ist das Ergebnis: Test result: No renewal action is required

 

Woran kann das liegen?

 

Könnt ihr mir bitte helfen?

 

Vielen Dank

 

Gruß

Mark

 

 

bearbeitet von MarkFjuson
Link zu diesem Kommentar

Hallo Norbert,

 

vielen Dank für deine Antwort.

 

Dienste laufen alle, Server wurde auch schon mehrmals gestartet.


Welches Script meinst du denn?

 

Test-ServiceHealth gibt folgendes aus

 

 

[PS] C:\Windows\system32>Test-ServiceHealth
Neue Sitzung für implizite Remotevorgänge des Befehls "Test-ServiceHealth" wird erstellt...


Role                    : Postfachserverrolle
RequiredServicesRunning : True
ServicesRunning         : {IISAdmin, MSExchangeADTopology, MSExchangeDelivery, MSExchangeIS,
                          MSExchangeMailboxAssistants, MSExchangeRepl, MSExchangeRPC, MSExchangeServiceHost,
                          MSExchangeSubmission, MSExchangeThrottling, MSExchangeTransportLogSearch, W3Svc, WinRM}
ServicesNotRunning      : {}

Role                    : Clientzugriffs-Serverrolle
RequiredServicesRunning : True
ServicesRunning         : {IISAdmin, MSExchangeADTopology, MSExchangeMailboxReplication, MSExchangeRPC,
                          MSExchangeServiceHost, W3Svc, WinRM}
ServicesNotRunning      : {}

Role                    : Hub-Transport-Serverrolle
RequiredServicesRunning : True
ServicesRunning         : {IISAdmin, MSExchangeADTopology, MSExchangeEdgeSync, MSExchangeServiceHost,
                          MSExchangeTransport, MSExchangeTransportLogSearch, W3Svc, WinRM}
ServicesNotRunning      : {}

 

Wenn man Owa aufruft, dann erscheint Postfach wird geöffnet und dann stürzt er ab

 

Im Ereignisprotokoll habe ich danach das gefunden

There was an error setting up WacConfiguration. Wac will be disabled. The WacUrlHostName was invalid. Expected a valid Uri. Actual value was ''. Value read from 'OrganizationConfig'

 

und

 

Watson report about to be sent for process id: 1852, with parameters: E12IIS, c-RTL-AMD64, 15.02.1258.028, w3wp#MSExchangeOWAAppPool, M.Exchange.Security, M.E.S.O.TokenIssuerBase..ctor, M.E.S.OAuth.OAuthTokenRequestFailedException, ee2-dumptidset, 15.02.1258.028.
ErrorReportingEnabled: False 

 

Das sagt mir aber leider gar nichts

Link zu diesem Kommentar

Das Script habe ich bereits getestet und im 1. Post das Ergebnis gepostet: Test result no renewal action is required

 

Ich habe auch das Zertifikat aus dem Zertifikatsspeicher gelöscht und das Script nochmals ausgeführt, dann hat er wieder eines erstellt, aber Get-ExchangeCertificate bleibt immer noch leer und Owa funktioniert leider auch noch nicht

Ich habe gerade das Healthcheck Script auch nochmal durchlaufen lassen und dort sind Warnungen bei den Zertifikaten

Certificat status unknown bei den neu erstellten Zertifikate, Exchange und Exchange Server Auth Certificate

 

Irgendetwas stimmt mit den Zertifikaten nicht. Wie kann ich das wieder hinbekommen?

 

 

Link zu diesem Kommentar
Am 30.11.2023 um 10:34 schrieb MarkFjuson:

Ich hab dann noch etwas dazu gefunden und zwar 

(Get-AuthConfig).CurrentCertificateThumbprint | Get-ExchangeCertificate | Format-List

Die Ausgabe bleibt allerdings auch leer.

 

Hi,

 

in der AuthConfig muss natürlich der Thumbprint des neuen Auth-Zerts stehen.

 

Set-AuthConfig -NewCertificateThumbprint "Thumbprint-des-neuen-Auth-Zertifikats"
Set-AuthConfig -PublishCertificate
 

Dann evtl. auch den Dienst MSExchangeServiceHost  neu starten sowie den MSExchangeOWAAppPool und MSExchangeECPAppPool recyceln:

 

restart-service MSExchangeServiceHost

Restart-WebAppPool MSExchangeOWAAppPool

Restart-WebAppPool MSExchangeECPAppPool

 

Nachtrag:

Wenn gar nichts hilft kannst du natürlich auch mal testweise das "Certificate signing of PowerShell serialization payload" wieder deaktivieren (das mit dem November-Patch aktiviert wurde).

bearbeitet von massaraksch
Link zu diesem Kommentar
Der letzte Beitrag zu diesem Thema ist mehr als 180 Tage alt. Bitte erstelle einen neuen Beitrag zu Deiner Anfrage!

Schreibe einen Kommentar

Du kannst jetzt antworten und Dich später registrieren. Falls Du bereits ein Mitglied bist, logge Dich jetzt ein.

Gast
Auf dieses Thema antworten...

×   Du hast formatierten Text eingefügt.   Formatierung jetzt entfernen

  Only 75 emoji are allowed.

×   Dein Link wurde automatisch eingebettet.   Einbetten rückgängig machen und als Link darstellen

×   Dein vorheriger Inhalt wurde wiederhergestellt.   Editor-Fenster leeren

×   Du kannst Bilder nicht direkt einfügen. Lade Bilder hoch oder lade sie von einer URL.

×
×
  • Neu erstellen...