Skype for Business Server: Zertifikat austauschen

Skype for Business Server und Lync Server weisen Zertifikate Typen (Verwendungen) zu, etwa Default, WebServicesInternal und WebServicesExternal auf jedem Server sowie AccessEdgeExternal, DataEdgeExternal und AudioVideoAuthentication auf Edge-Servern. Eine PFX-Datei nur in Windows zu importieren, ändert diese Zuweisungen nicht - das geschieht in der Skype for Business Server-Verwaltungsshell.

VoraussetzungenCopy Anchor Link

• Aktuelle Zuweisungen auf jedem Server auflisten:

  Copy Text

  Get-CsCertificate | Format-List Use,Issuer,Subject,Thumbprint,NotAfter

• Besorgen Sie eine PFX-Datei, deren Antragsteller und SANs jeden Namen abdecken, den die ersetzten Typen brauchen (Pool-FQDN, Namen der Webdienste, einfache URLs, Edge-Namen). Front-End-, Director- und Edge-Server haben unterschiedliche Anforderungen - gehen Sie nicht davon aus, dass ein Zertifikat für alle passt.

• Notieren Sie die alten Fingerabdrücke aus der Ausgabe von Get-CsCertificate - Sie brauchen sie für einen Rollback.

• Planen Sie eine rollierende Änderung, ein Server nach dem anderen. Stoppen Sie auf einem Front-End im Pool die Dienste zuerst geordnet, damit die Nutzer auf die anderen Poolmitglieder wechseln:

  Copy Text

  Stop-CsWindowsService -Graceful

Zertifikat Schritt für Schritt austauschenCopy Anchor Link

1. PFX-Datei in der Skype for Business Server-Verwaltungsshell importieren:

   Copy Text

   $password = Read-Host "PFX password" -AsSecureString
   Import-CsCertificate -Path C:\secure\sfb.pfx -Password $password `
     -PrivateKeyExportable $false
   Get-CsCertificate | Format-List Use,Issuer,Subject,Thumbprint,NotAfter

2. Den neuen Fingerabdruck den Typen zuweisen, die dieser Server nutzt - nur denen, die Get-CsCertificate unter Voraussetzungen gezeigt hat und die das Zertifikat abdeckt. Mehrere Typen gehen in einem Befehl:

   Copy Text

   Set-CsCertificate -Type Default,WebServicesInternal,WebServicesExternal `
     -Thumbprint <fingerabdruck> -Report C:\Logs\cert-assign.html

   -Report schreibt ein HTML-Protokoll dessen, was das Cmdlet getan hat.

3. Um zu einem geplanten Zeitpunkt statt sofort zu wechseln (ab Lync Server 2013), ergänzen Sie -Roll zusammen mit -EffectiveDate; ohne Datum schlägt -Roll fehl:

   Copy Text

   Set-CsCertificate -Type Default -Thumbprint <fingerabdruck> -Roll `
     -EffectiveDate "2026-10-15 06:00"

4. Starten Sie die Dienste wieder (Start-CsWindowsService), falls Sie sie gestoppt haben, und prüfen Sie mit Get-CsCertificate, ob die Zuweisung den neuen Fingerabdruck zeigt.

5. Auf jedem Server des Pools und auf den Directors wiederholen.

Edge-ServerCopy Anchor Link

Edge-Server sind meist keine Domänenmitglieder und werden direkt auf dem Edge-Server geändert, in der dortigen Skype for Business Server-Verwaltungsshell. Sie haben in der Regel zwei Zertifikate:

Importieren und weisen Sie sie mit denselben Befehlen Import-CsCertificate und Set-CsCertificate zu, ein Edge-Server des Pools nach dem anderen.

Neues Zertifikat prüfenCopy Anchor Link

Führen Sie auf jedem Server Get-CsCertificate aus und vergleichen Sie Use, Thumbprint und NotAfter. Testen Sie dann über das Netzwerk, auf jedem Poolmitglied direkt und über den Load Balancer - die Webdienste auf 443 und SIP über TLS auf 5061:

openssl s_client -connect pool01.example.com:443 -servername pool01.example.com -showcerts </dev/null
openssl s_client -connect fe01.example.com:5061 -showcerts </dev/null

subject, issuer und Ablaufdatum in der Ausgabe müssen die des neuen Zertifikats sein.

Melden Sie sich abschließend mit einem Client an, intern und extern.

RollbackCopy Anchor Link

Führen Sie Set-CsCertificate mit dem alten Fingerabdruck für jeden geänderten Typ aus - auch, um einen mit -Roll geplanten, noch nicht erfolgten Wechsel zu überschreiben. Behalten Sie das alte Zertifikat auf dem Server, bis jeder Typ geprüft ist; ein Rollback hilft nur, solange es noch gültig ist.

Häufige ProblemeCopy Anchor Link

• Ein Typ wurde zugewiesen, den die Namen des Zertifikats nicht abdecken, oder ein benötigter Typ fehlt.
• Die PFX-Datei wurde in Windows importiert, aber nicht über Import-CsCertificate.
• Ein Front-End im Pool hat noch die alte Zuweisung.
• Es wurde angenommen, Edge- und interne Server bräuchten dasselbe Zertifikat.
• -Roll wurde ohne -EffectiveDate verwendet.

Zertifikatstausch mit aethercert automatisierenCopy Anchor Link

Das aethercert-Deployment-Ziel für Skype for Business / Lync ruft Import-CsCertificate und Set-CsCertificate für die ausdrücklich gewählten Verwendungen auf dem lokalen Server auf.

Unter Deployment-Ziele finden Sie die Felder dieser Vorlage, die Voraussetzungen auf dem Host und den Stand der Verifizierung.

QuellenCopy Anchor Link

• Microsoft Learn: Import-CsCertificate
• Microsoft Learn: Set-CsCertificate
• Microsoft Learn: Get-CsCertificate