Gå til indhold
Dokumentation sslbrain sslbrain.com

SharePoint Server Subscription Edition

Kopiér link til siden “SharePoint Server Subscription Edition”

← Alle integrationer

Windows · Webserver

Installerer og fornyer certifikater på valgte HTTPS-zoner gennem SharePoints farm-certifikatstyring.

Service-agenten på serveren henter opgaven fra appliancen over udgående HTTPS på port 443 og installerer certifikatet lokalt på serveren. Appliancen forbinder aldrig til serveren.

Sådan forløber det

  1. Service-agenten på serveren henter opgaven fra appliancen over udgående HTTPS, port 443.
  2. Discovery skelner Subscription Edition fra SharePoint 2016/2019, finder farm-certifikater og HTTPS-zoner og sammenholder bindingerne med det fingerprint, hver webserver faktisk serverer. Vælg de entydige mål fra discovery; SelectedTargets bruger farm-GUID/webapplikations-GUID/zone.
  3. Agenten kontrollerer PFX, privat nøgle og kandidatens fingerprint, gemmer de valgte bindingers indstillinger og beholder de gamle farm-certifikater. Import-SPCertificate distribuerer kandidaten gennem SharePoint til farmens servere.
  4. Set-SPWebApplication skifter kun de valgte eksisterende HTTPS-zoner og bevarer port, host header, URL, SNI og versionens TLS-indstillinger. Renewal følger samme mål. Der foretages ingen direkte IIS-ændring eller global Switch-SPCertificate, som ville skifte alle certifikatets anvendelser.
  5. Verify læser farm-bindingerne tilbage og foretager friske TLS-handshakes direkte mod webserverne med zonens konkrete hostname som SNI. Det serverede fingerprint skal være kandidatens. Deploys egen aktivering og in-run verification udløser automatisk rollback ved fejl. Den særskilte verify-action læser og tester uden at ændre bindinger. Hvis det fejler: Rollback gendanner kun bindinger, der stadig svarer til det registrerede før- eller efterbillede. Senere administratorændringer overskrives ikke. Delvise farmfejl, ukendt mutationstilstand og fejlet rollback rapporteres med redigerede logs uden hemmeligheder.

Tekniske detaljer

Forbindelse
Pakken kører gennem service-agenten på serveren. Agenten forbinder over udgående HTTPS til appliancen, port 443 som standard. I åbner ingen port ind til serveren.
Tjenestens porte
443
I skal bruge
Service-agenten installeret på serveren. Installer Windows-service-agenten på en SharePoint-server med adgang til SharePoint Management Shell, farmen og medlemskab af lokale Administrators. Kontoen skal kunne importere farm-certifikater og ændre webapplikationernes bindinger. Serveren skal kunne nå hver deltagende webserver på zonens HTTPS-port.
Platform
SharePoint Server Subscription Edition på Windows Server 2019, 2022 og 2025
Handlinger
Discovery, Installation, Kontrol, Rollback
Pakker
sharepoint-se
Bemærk
  • SharePoint 2016 og 2019 bruger iis8plus på hver webserver. sharepoint-se ændrer kun eksisterende HTTPS-webapplikationszoner i Subscription Edition; SMTP, STS, OIDC og Central Administration er uden for denne integration.
  • TLS bruger Windows’ kontrol af hostname og kæde. Den valgfrie MANAGEMENT_TLS_PIN_SHA256 fastholder i stedet det eksisterende certifikats fulde DER-fingerprint; deploys verification bruger kandidatens nye pin. Resultatets management_tls_trust_update angiver den nye fingerprint. Gem den som MANAGEMENT_TLS_PIN_SHA256 før næste discovery eller renewal. Certifikat og PFX-password leveres gennem service-agentens beskyttede input, aldrig som kommandolinjeargumenter eller URL.
  • Ved kundens valg overtager sslbrain SharePoints certifikattildeling for disse zoner. Eksterne renewal-jobs rapporteres som ukendt; agenten inventerer ikke deres scheduler-tilstand, og de slettes eller deaktiveres ikke. Afstem et eventuelt andet renewal-job for samme service. Resultatet angiver de ændrede mål. Delte TLS-bindinger kræver, at alle berørte zoner er valgt.
  • SharePoint styrer certifikatdistributionen i farmen. En afbrudt native proces kan efterlade ukendt mutationstilstand; ny discovery og den gemte binding-backup bruges til målrettet recovery. Gamle certifikater beholdes også efter renewal.

Krav til certifikatet

Nøgletyper: RSA og ECC. sslbrain tilbyder RSA 2048, 3072 og 4096 bit samt ECDSA P-256 og P-384. New-SPCertificate kan generere RSA 2048/4096/8192/16384 og P-256/P-384/P-521; Microsoft fraråder større end RSA 4096 og P-384. Det er CSR-valg, ikke dokumenterede importgrænser. Importens minimum, maksimum og udtømmende curve-grænser er udokumenterede.

CN kræves ved SharePoints egen CSR-generering. Krav om CN ved PFX-import og specifik accept af CN-løse Let’s Encrypt tlsserver- og Google minimal-certifikater er udokumenteret. De kontrollerede HTTPS-kilder kræver ikke udtrykkeligt clientAuth-EKU eller universelt keyEncipherment-KU; SMTP-regler gælder ikke her. Det nye certifikat kontrolleres gennem faktisk TLS for den valgte service.

SAN: SharePoints CSR understøtter DNS og IP. Importgrænser for wildcard, IP-SAN og antal SAN er udokumenterede. Wildcard host headers kræver SE 23H1 Early Release eller 23H2 Standard Release og er en anden egenskab end wildcard-certifikater. Discovery bruger den eksisterende binding og et konkret SNI-hostname.

Format: Agenten leverer PFX/PKCS12 med én privat nøgle, matchende leaf og kæde. SharePoint importerer også P7B/PKCS7 og CER, men de bærer ikke den private nøgle til webbindingen. Direkte PEM-keypairs og JKS er ikke dokumenterede SharePoint-inputs og skal konverteres før import; CER’s PEM/DER-encoding er ikke specificeret i disse kilder.

PFX-kryptering: SharePoint-export dokumenterer AES256/SHA256 fra Windows Server 2019 og TripleDES/SHA1 til ældre Windows. Det beviser ikke alle importvarianter. RC2 og de præcise AES-importgrænser er udokumenterede; 3DES-understøttelse er ikke et RC2-bevis.

Kæde: Hele kæden fra leaf til root skal være importeret i SharePoint. Root i farmen betyder ikke, at root skal sendes i TLS-handshaket. PFX-containerens certifikatrækkefølge er udokumenteret. Webcertifikatet skal have privat nøgle og ligge i EndEntity.

Friendly name er en administrativ label. Maksimal længde, tilladte tegn og PFX-aliasregler er udokumenterede. Agenten vælger med GUID og fingerprint, ikke friendly name. SharePoints minimum og maksimum for certifikatets levetid er udokumenteret; CA’en fastlægger udstedelsens gyldighed. Windows-TLS validerer gyldighed og kæde, mens pinning kontrollerer den valgte leaf-pin.

Kom i gang