Ein öffentliches Zertifikat gehört auf jeden Exchange-Server, der von aussen erreichbar ist. Der lästige Teil ist die Erneuerung: Let's-Encrypt-Zertifikate laufen nach 90 Tagen ab, und niemand will das alle drei Monate von Hand machen. Mit win-acme lässt sich das komplett automatisieren, inklusive Zuweisung an die Exchange-Dienste und geplanter Erneuerung. In diesem Beitrag zeige ich den kompletten Weg, und ich gehe auf einen kleinen Stolperstein im mitgelieferten Exchange-Skript ein, der mich kurz aufgehalten hat.
Warum win-acme
win-acme (WACS) ist ein schlanker ACMEv2-Client für Windows. Er fordert das Zertifikat bei Let's Encrypt an, legt es im Windows-Zertifikatspeicher ab, weist es über ein mitgeliefertes Skript den Exchange-Diensten zu und erstellt selbst eine geplante Aufgabe für die automatische Erneuerung. Kein zusätzlicher Dienst, keine wiederkehrende Handarbeit.
Voraussetzungen
Bevor es losgeht, sollten diese Punkte stehen:
- win-acme in der "pluggable"-Variante herunterladen und das ZIP vor dem Entpacken entsperren (Rechtsklick, Eigenschaften, Zulassen)
- Ausführung als Administrator direkt auf dem Exchange-Server
- Die gewünschten Hostnamen müssen von aussen auf Port 80 erreichbar sein, denn die HTTP-01-Validierung von Let's Encrypt spricht diesen Port an
Ein Detail aus der Praxis: In meinem Fall lagen die Namen auf zwei verschiedenen öffentlichen IPs. owa und autodiscover zeigten auf die eine, smtp auf die andere. Das ist kein Problem, solange auf beiden IPs Port 80 zum selben Exchange-Server durchgereicht ist. Die selfhosting-Validierung von win-acme nutzt HTTP.SYS und läuft dadurch problemlos parallel zu IIS auf Port 80.
