С выходом последних накопительных обновлений (CU) для Exchange Server 2019 многие администраторы столкнулись с неприятным сюрпризом: в Центре администрирования Exchange (EAC) пропала возможность импорта сертификатов через графический интерфейс. Знакомое меню с троеточием просто исчезло, оставив необходимость управлять сертификатами через командную консоль Exchange Management Shell (EMS).

В этой статье мы подробно разберем, как установить WildCard SSL сертификат на ваш почтовый сервер, используя командлеты PowerShell. Этот метод надежен и является официально рекомендованным способом после последних изменений.

Предварительные требования

1. Файл сертификата в формате PFX. У вас должен быть файл сертификата, содержащий как закрытый ключ, так и цепочку сертификации. Если ваш сертификат имеет другое расширение (например, .crt и .key), его необходимо объединить и конвертировать в PFX.

   • В помощь: Для конвертирования сертификатов вы можете воспользоваться онлайн-инструментом от Leaderssl: Конвертер SSL сертификатов. Внимание: при работе с закрытыми ключами через онлайн-инструменты убедитесь в их безопасности.

2. Пароль от PFX-файла. Пароль, который был установлен при экспорте или создании PFX-архива.

3. Права администратора на сервере Exchange.

Пошаговая инструкция

Скопируйте ваш PFX-файл на сервер Exchange (например, в C:\temp\cert_out.pfx).

Шаг 1: Импорт сертификата в хранилище Exchange

Запустите Exchange Management Shell от имени администратора и выполните следующие команды.

1. Создаем безопасный строковый объект с паролем от вашего PFX-файла (в нашем примере пароль 12345).

   powershell

   $Password = ConvertTo-SecureString -String "12345" -AsPlainText -Force

2. Импортируем сертификат в хранилище Exchange. Команда считает файл и присвоит его объекту $Cert.

   powershell

   $Cert = Import-ExchangeCertificate -FileData ([Byte[]]$(Get-Content -Path "C:\temp\cert_out.pfx" -Encoding Byte -ReadCount 0)) -Password $Password

   Важно: Убедитесь, что путь к файлу указан верно.

3. Сохраните отпечаток (Thumbprint)! После успешного выполнения команды отобразится информация о сертификате, включая его отпечаток. Скопируйте его или запомните переменную $Cert.Thumbprint, так как он понадобится нам в следующем шаге.

Шаг 2: Назначение сертификата службам

Теперь нужно сообщить Exchange, каким службам следует использовать этот новый сертификат.

Enable-ExchangeCertificate -Thumbprint $Cert.Thumbprint -Services IIS, SMTP, IMAP, POP

• Ключ -Services: Здесь мы указываем, для каких служб активируем сертификат.

  • IIS — отвечает за веб-доступ (Outlook Web App, EAC, ActiveSync).

  • SMTP — используется для защищенного обмена почтой между серверами.

  • IMAP и POP — для соответствующих протоколов почтовых клиентов.

Шаг 3: Удаление старого сертификата (опционально)

Если старый сертификат больше не нужен, его можно удалить, чтобы не засорять хранилище.

Get-ExchangeCertificate | Where-Object {$_.Subject -like "*yourdomain.com*"} | Format-List Thumbprint, Subject, Services

Сначала рекомендуется посмотреть все сертификаты и найти отпечаток старого. Убедитесь, что на него не назначены службы (Services : None). После этого удалите его:

Remove-ExchangeCertificate -Thumbprint "OLD_THUMBPRINT" -Confirm:$false

Внимание! Будьте крайне осторожны с этой командой. Убедитесь, что вы указываете отпечаток именно старого, неиспользуемого сертификата.

Шаг 4: Перезапуск служб

Чтобы изменения вступили в силу, необходимо перезапустить связанные службы.

1. Перезапустим службу IIS (для обновления привязок в OWA, ECP и т.д.):

   powershell

   iisreset /restart

2. Перезапустим транспортные службы Exchange:

   powershell

   Restart-Service MSExchangeTransport
   Restart-Service MSExchangeFrontendTransport
   Restart-Service MSExchangeIS

Заключение

После выполнения этих шагов ваш WildCard SSL сертификат будет успешно установлен и настроен на работу со всеми основными службами Exchange Server 2019. Несмотря на исчезновение графического варианта в EAC, процесс через EMS остается простым и эффективным.

Рекомендуется проверить работу всех сервисов (OWA, ActiveSync, почтовые клиенты) и убедиться, что в браузере сертификат отображается корректно и не вызывает предупреждений о безопасности.