Exchange Delegation Federation 续订证书/在用 STS 设置联盟信任之前，无法更新证书

KB 文件

https://learn.microsoft.com/zh-cn/exchange/renew-the-federation-certificate-exchange-2013-help
https://learn.microsoft.com/en-us/exchange/configure-a-federation-trust-exchange-2013-help
https://learn.microsoft.com/en-us/exchange/configure-a-federation-trust-exchange-2013-help?redirectedfrom=MSDN

相关命令

Get-ExchangeCertificate										获取EXCHANGE证书
Test-FederationTrust										测试联合身份验证信任
Get-FederationTrust | fl Org*cert*							获取联邦信任所有证书
Get-FederationTrust | Select Org*certificate				获取联邦信任|选择组织*证书
Test-FederationTrustCertificate | fl						测试联合身份验证信任证书
Get-FederatedOrganizationIdentifier							获取联合组织标识符
Get-FederationTrust | Set-FederationTrust –RefreshMetadata	获取联邦信任|设置联合身份验证信任 – 刷新元数据
Get-FederatedDomainProof -DomainName cnwansun.com			获取联合域名证明 - 域名 cnwansun.com
Test-FederationTrust -UserIdentity live.com -Verbose		测试联合身份验证信任 -用户标识域
Get-FederationTrust | Remove-FederationTrust				删除联合身份验证信任
Remove-FederationTrust "Microsoft Federation Gateway"		删除联合身份验证信任 Microsoft 联合身份验证网关
get-FederationTrust | Set-FederationTrust  -RefreshMetadata	获取联合身份验证信任|集联合身份验证信任 - 刷新元数据
get-FederationTrust | Set-FederationTrust -PublishFederationCertificate	获取联邦信任|设置联合身份验证信任 - 发布联合身份验证证书

配置完全混合部署时，联合身份验证信任是内部部署 Exchange 组织中的必需步骤，如果是单域环境下可以不用更改。

1.提示证书过期

如下图提示

3.查看现有的证书
Get-ExchangeCertificate

4.根据KB，更新证书https://learn.microsoft.com/zh-cn/exchange/renew-the-federation-certificate-exchange-2013-help
生成新的证书
$SKI = [System.Guid]::NewGuid().ToString(“N”); New-ExchangeCertificate -DomainName ‘Federation’ -FriendlyName “Exchange Delegation Federation” -Services Federation -SubjectKeyIdentifier $SKI -PrivateKeyExportable $true

直接用命令更新证书会报错如图：

我的做法如下：
打开ADSI编辑器，请依次单击“开始”、“运行”，键入 ADSIEdit.msc，然后单击“确定”。
加载“ADSI 编辑”窗口后，右键单击导航窗格中的“ADSI 编辑”，然后单击“连接到”
在“连接设置”窗口中，单击“连接点”区域中的“选择已知命名上下文”，然后单击“配置”。
在“计算机”区域中，选择“默认（您登录到的域或服务器）”，然后单击“确定”

找到“CN=Configuration”、“DC =<域>”、“DC =”、“CN=Services”、“CN=Microsoft Exchange”、“CN=”、“CN = Federation Trusts”。

右键单击“CN = Federation Trusts”，然后单击。找到这一项msExchFedOrgPrivCertificate属性 ,这里是原来的证书ID ，我们现在要把新的证书ID ，“AF1FF6F9F395782D1841FD9A4165670CD5880ED3” 用16进制值替换进去。

计算出新证书的16进制值

清除掉旧的16进制值，换上新的证书ID值，应用完成。

手动强制活动目录复制。或者，等待更改复制到整个活动目录基础结构.
返回ECP 后台，查看证书，新的证书已分配给SMTP,Federation


至此证书更换完成，注：些证书是全局同步的，不用每一台机器都去生成一个新的证书。