Hoppa till innehåll
Dokumentation sslbrain sslbrain.com

SharePoint Server Subscription Edition

Kopiera länk till sidan “SharePoint Server Subscription Edition”

← Alla integrationer

Windows · Webbserver

Installerar och förnyar certifikat för valda HTTPS-zoner genom SharePoints certifikathantering för farmen.

Serviceagenten på servern hämtar uppgiften från appliancen över utgående HTTPS på port 443 och installerar certifikatet lokalt på servern. Appliancen ansluter aldrig till servern.

Så går det till

  1. Serviceagenten på servern hämtar uppgiften från appliancen över utgående HTTPS, port 443.
  2. Discovery skiljer Subscription Edition från SharePoint 2016/2019, hittar farm-certifikat och HTTPS-zoner och jämför bindningarna med fingerprint för certifikatet som varje webbserver faktiskt serverar. Välj entydiga mål från discovery; SelectedTargets använder farm-GUID/webbapplikations-GUID/zon.
  3. Agenten kontrollerar PFX, privat nyckel och kandidatens fingerprint, sparar inställningarna för valda bindningar och behåller gamla farm-certifikat. Import-SPCertificate distribuerar kandidaten genom SharePoint till farmens servrar.
  4. Set-SPWebApplication ändrar bara valda befintliga HTTPS-zoner och bevarar port, host header, URL, SNI och versionens TLS-inställningar. Förnyelse följer samma mål. Inga direkta IIS-ändringar eller globala Switch-SPCertificate görs, eftersom det skulle ändra alla användningar av certifikatet.
  5. Verify läser tillbaka farm-bindningarna och gör nya TLS-handshakes direkt mot webbservrarna med zonens konkreta hostname som SNI. Serverat fingerprint måste vara kandidatens. Deploys egen aktivering och in-run verifiering utlöser automatisk rollback vid fel. Separat verify-action läser och testar utan att ändra bindningar. Om det misslyckas: Rollback återställer bara bindningar som fortfarande motsvarar registrerat före- eller efterläge. Senare administratörsändringar skrivs inte över. Partiella farmfel, okänt mutationsläge och misslyckad rollback rapporteras med redigerade loggar utan hemligheter.

Tekniska detaljer

Anslutning
Paketet körs genom serviceagenten på servern. Agenten ansluter över utgående HTTPS till appliancen, port 443 som standard. Ni öppnar ingen port in till servern.
Tjänstens portar
443
Ni behöver
Serviceagenten installerad på servern. Installera Windows-service-agenten på en SharePoint-server med åtkomst till SharePoint Management Shell, farmen och medlemskap i lokala Administrators. Kontot måste kunna importera farm-certifikat och ändra webbapplikationernas bindningar. Servern måste kunna nå varje deltagande webbserver på zonens HTTPS-port.
Plattform
SharePoint Server Subscription Edition på Windows Server 2019, 2022 och 2025
Åtgärder
Discovery, Installation, Kontroll, Rollback
Paket
sharepoint-se
Observera
  • SharePoint 2016 och 2019 använder iis8plus på varje webbserver. sharepoint-se ändrar bara befintliga HTTPS-webbapplikationszoner i Subscription Edition; SMTP, STS, OIDC och Central Administration ingår inte i denna integration.
  • TLS använder Windows kontroll av hostname och kedja. Valfri MANAGEMENT_TLS_PIN_SHA256 låser i stället till befintligt certifikats fullständiga DER-fingerprint; deploys verifiering använder kandidatens nya pin. Resultatets management_tls_trust_update anger nytt fingerprint. Spara det som MANAGEMENT_TLS_PIN_SHA256 före nästa discovery eller förnyelse. Certifikat och PFX-lösenord levereras genom service-agentens skyddade input, aldrig som kommandoradsargument eller URL.
  • När kunden väljer tar sslbrain över SharePoints certifikattilldelning för dessa zoner. Externa förnyelsejobb rapporteras som okända; agenten inventerar inte deras scheduler-läge, och de raderas eller inaktiveras inte. Samordna eventuellt annat förnyelsejobb för samma tjänst. Resultatet anger ändrade mål. Delade TLS-bindningar kräver att alla berörda zoner är valda.
  • SharePoint styr certifikatdistributionen i farmen. En avbruten native process kan lämna okänt mutationsläge; ny discovery och sparad bindningsbackup används för riktad recovery. Gamla certifikat behålls även efter förnyelse.

Krav på certifikatet

Nyckeltyper: RSA och ECC. sslbrain erbjuder RSA 2048, 3072 och 4096 bitar samt ECDSA P-256 och P-384. New-SPCertificate kan generera RSA 2048/4096/8192/16384 och P-256/P-384/P-521; Microsoft avråder från större än RSA 4096 och P-384. Detta är CSR-val, inte dokumenterade importgränser. Importens minimum, maximum och fullständiga kurvgränser är odokumenterade.

CN krävs för SharePoints egen CSR-generering. CN-krav vid PFX-import och specifik acceptans av CN-lösa Let’s Encrypt tlsserver- och Google minimal-certifikat är odokumenterade. Kontrollerade HTTPS-källor kräver inte uttryckligen clientAuth-EKU eller universellt keyEncipherment-KU; SMTP-regler gäller inte här. Nytt certifikat kontrolleras genom faktisk TLS för vald tjänst.

SAN: SharePoints CSR stöder DNS och IP. Importgränser för wildcard, IP-SAN och antal SAN är odokumenterade. Wildcard host headers kräver SE 23H1 Early Release eller 23H2 Standard Release och är en annan egenskap än wildcard-certifikat. Discovery använder befintlig bindning och konkret SNI-hostname.

Format: Agenten levererar PFX/PKCS12 med en privat nyckel, matchande leaf och kedja. SharePoint importerar också P7B/PKCS7 och CER, men de innehåller inte privat nyckel för webbindningen. Direkta PEM-nyckelpar och JKS är inte dokumenterade SharePoint-inputs och behöver konverteras före import; CER:s PEM/DER-kodning specificeras inte i dessa källor.

PFX-kryptering: SharePoint-export dokumenterar AES256/SHA256 från Windows Server 2019 och TripleDES/SHA1 för äldre Windows. Detta bevisar inte alla importvarianter. RC2 och exakta AES-importgränser är odokumenterade; stöd för 3DES bevisar inte RC2.

Kedja: Hela kedjan från leaf till root måste vara importerad i SharePoint. Root i farmen betyder inte att root ska skickas i TLS-handshaken. Certifikatordningen i PFX-containern är odokumenterad. Webcertifikatet måste ha privat nyckel och ligga i EndEntity.

Friendly name är en administrativ etikett. Maximal längd, tillåtna tecken och PFX-aliasregler är odokumenterade. Agenten väljer med GUID och fingerprint, inte friendly name. SharePoints minimum och maximum för certifikatets livslängd är odokumenterade; CA:n bestämmer utfärdad giltighet. Windows-TLS validerar giltighet och kedja, medan pinning kontrollerar vald leaf-pin.

Kom igång