V. 2007 - Проблема с сертификатами Exchange 2007

V. 2007 - Проблема с сертификатами Exchange 2007

1nsanity

Новый участник

Сообщения: 16
Благодарности: 0

Изменения

Автор: 1nsanity
Дата: 29-06-2012

Приветствую! Расскажу по порядку:
В сети 3 контроллера домена, сервер Exchange стоит отдельно: Windows Server 2008 Standart x64 SP2 + Exchange 2007 SP3
Центр сертификации установлен на сервере Exchange.

Суть проблемы: есть сертификат, выданный для Web-сервера, в котором перечислены все доменные имена - тут проблем нет.
В просмотре событий Windows постоянно валятся такие ошибки (последовательность сохранена):

Цитата:

Microsoft Exchange не удалось загрузить сертификат с отпечатком 5E7655B6C3FB6AAB360DE4643757B4D488029D32 из хранилища личных сертификатов на локальном компьютере. Этот сертификат настроен для проверки подлинности с другими серверами Exchange Server. Эта ошибка может повлиять на поток почты к другим серверам Exchange Server. Если сертификат с этим отпечатком все еще существует в хранилище личных сертификатов, выполните команду Enable-ExchangeCertificate 5E7655B6C3FB6AAB360DE4643757B4D488029D32 -Services SMTP для устранения проблемы. Если сертификат отсутствует в хранилище личных сертификатов, восстановите его из резервной копии с помощью командлета Import-ExchangeCertificate или создайте новый сертификат для полного доменного имени или сервера с поддержкой SMTP с помощью команды New-ExchangeCertificate -DomainName serverfqdn -Services SMTP. До этого будет использоваться временный самозаверяющий сертификат с отпечатком EEB7AA17908C96C6908E37E863D1E07FD10989F8.

затем:

Цитата:

Microsoft Exchange не удается найти сертификат, содержащий имя домена Exchange-Domain.Domain.local, в личном хранилище на локальном компьютере, поэтому команда STARTTLS SMTP для соединителя Default EXCHANGE-SRV с полным доменным именем Exchange-Domain.Domain.local не поддерживается. Если полное доменное имя соединителя не указано, используется полное доменное имя компьютера. Проверьте конфигурацию соединителя и установленные сертификаты, чтобы убедиться в том, что для этого полного доменного имени есть сертификат с именем домена. Если сертификат существует, выполните командлет Enable-ExchangeCertificate -Services SMTP, чтобы убедиться, что служба транспорта Microsoft Exchange имеет доступ к ключу сертификата.

затем:

Цитата:

Microsoft Exchange не удается найти сертификат, содержащий имя домена mail.domain.com, в личном хранилище на локальном компьютере, поэтому команда STARTTLS SMTP для соединителя CONNECTOR с полным доменным именем mail.domain.com не поддерживается. Если полное доменное имя соединителя не указано, используется полное доменное имя компьютера. Проверьте конфигурацию соединителя и установленные сертификаты, чтобы убедиться в том, что для этого полного доменного имени есть сертификат с именем домена. Если сертификат существует, выполните командлет Enable-ExchangeCertificate -Services SMTP, чтобы убедиться, что служба транспорта Microsoft Exchange имеет доступ к ключу сертификата.

Сертификат привинчен ко всем службам, кроме SMTP. Попытка выполнить команду Enable-ExchangeCertificate -Services SMTP, равно как и команду Get-ExchangeCertificate "|fl приводит к ошибке:

Цитата:

Enable-ExchangeCertificate : Недостаточно прав для предоставления сетевой службе доступа к сертификату с отпечатком D5ADD7754FB41554993DB18E3290BF18A
41E278C.
строка:1 знак:27
+ Enable-ExchangeCertificate <<<< -Services SMTP
+ CategoryInfo : NotSpecified: (

[Enable-ExchangeCertificate], AddAccessRuleUnauthorizedAccessException
+ FullyQualifiedErrorId : 405FFEF2,Microsoft.Exchange.Management.SystemConfigurationTasks.EnableExchangeCertificate

Вхожу в систему под администратором (домена, exchange итд).
Не пойму, куда смотреть. Подскажите? Сертификата с отпечатком 5E7655B6C3FB6AAB360DE4643757B4D488029D32 нет. По видимому, он удален командой certutil -revoke, в отозванных его нет

Отправлено: 16:38, 29-06-2012

Oleg Krylov

Добрый волшебник

Сообщения: 2125
Благодарности: 498

Профиль | Сайт | Отправить PM | Цитировать

1nsanity, убедитесь, что сертификат установлен в Computer Store. Проверьте разрешения на сертификат: All Tasks --> Manage Private Key у вас и у LocalSystem должен быть Full Control на него. Ну и если все там правильно и хорошо - попробуйте переустановить его... Сертификат, в смысле.

-------
MVP: Exchange Server 2009 - 2018
Microsoft Regional Director 2015 - 2017

Отправлено: 14:16, 04-07-2012 | #11