Cómo renovar el certificado WMSVC-SHA2 en Exchange Server

Quiere renovar el certificado WMSVC-SHA2 porque está por caducar. Otro motivo es que falta el certificado WMSVC-SHA2 y no se puede iniciar el servicio de administración web. Obtiene errores en IIS y registros de eventos sobre esto. En este artículo, aprenderá cómo renovar el certificado WMSVC-SHA2 en Exchange Server.

Certificados de servidor Exchange

Hay tres certificados predeterminados creados al instalar Exchange Server:

Certificado de autenticación de Microsoft Exchange Server (autofirmado)
Microsoft Exchange (autofirmado)
WMSVC o WMSVC-SHA2 (depende de la versión de Exchange Server) (autofirmado)

Además de los certificados autofirmados predeterminados anteriores, debe instalar un certificado de terceros que obtiene de una autoridad de certificación (CA) en Exchange Server:

Certificado de terceros (firmado por CA)

Error de certificado WMSVC-SHA2

Veamos qué sucede cuando falta el certificado WMSVC-SHA2 o no está adjunto al servicio de administración web en Exchange Server.

Inicie el Administrador de servicios de Windows y seleccione Servicio de administración web. Haga clic en Iniciar.

Aparece un error:

Windows no pudo iniciar el servicio de administración web en la computadora local. Para obtener más información, revise el registro de eventos del sistema. Si se trata de un servicio que no es de Microsoft, comuníquese con el proveedor del servicio y consulte el código de error específico del servicio -217483640.

Comencemos con el Administrador de servicios de información de Internet (IIS). Haga clic en Servidor Exchange y haga doble clic en Servicio de administración.

Falta el certificado SSL en Management Service y hay dos alertas:

El servicio de gestión (WMSCV) está detenido. El servicio debe iniciarse para administrar de forma remota el servidor web mediante el Administrador de IIS.
No se pudo recuperar la configuración del Servicio de administración (WMSVC).

Inicie el Visor de eventos. Haga clic en Registros de Windows > Aplicación. Filtrar por ID de evento 1007.

No se puede encontrar la descripción del ID de evento 1007 del origen Microsoft-Windows-IIS-IISManager. O el componente que genera este evento no está instalado en su computadora local o la instalación está dañada. Puede instalar o reparar el componente en la computadora local.

Si el evento se originó en otra computadora, la información mostrada debía guardarse con el evento.

La siguiente información se incluyó con el evento:

IISWMSVC_STARTUP_UNABLE_TO_READ_CERTIFICATE

No se puede leer el certificado con la huella digital '9556b4f47d7c90dcc7e25163299335a825a874f0'. Asegúrese de que el certificado SSL exista y esté configurado correctamente en la página del Servicio de administración.

Proceso:WMSvc
Usuario=NT AUTHORITY\LOCAL SERVICE

El recurso de mensaje está presente pero el El mensaje no se encontró en la tabla de mensajes.

Haga clic en Sistema y filtre por ID de evento 7024.

El servicio del Servicio de administración web finalizó con el siguiente error específico del servicio:
Error no especificado

Identificamos que falta el certificado WMSVC-SHA2 en Exchange Server y que los errores aparecen en el Visor de eventos.

Cómo renovar el certificado WMSVC-SHA2

Crearemos un nuevo certificado WMSVC y lo adjuntaremos correctamente al servicio Web Management Service para que todo funcione como se esperaba. Si tiene un certificado WMSVC que va a caducar y desea renovarlo, se aplican los mismos pasos.

Importante: No elimine el certificado WMSVC (Servicio de administración web). El WMSVC es un certificado autofirmado y es necesario para la gestión remota del servidor web.

En nuestro ejemplo, el certificado WMSVC se eliminó accidentalmente porque el ingeniero pensó que el certificado no estaba adjunto a ningún servicio de Exchange Server y no estaba haciendo nada.

Nota: Debe seguir todos los pasos en cada servidor Exchange donde falte el certificado WMSVC-SHA2 o donde desee renovarlo.

1. Cree un nuevo certificado WMSVC-SHA2

Cree un nuevo certificado WMSVC-SHA2 en Exchange Server.

Ejecute Exchange Management Shell como administrador. Ejecute el cmdlet New-ExchangeCertificate y complete los detalles:

SubjectName: El campo de asunto de la solicitud de certificado. Esto debe configurarse como CN=WMSvc-SHA2-ExchangeServerHostName
FriendlyName: el nombre descriptivo del certificado. Debe configurarse como WMSCVC-SHA2.
Servicios: los servicios para los que desea habilitar el certificado autofirmado. Esto debe establecerse como Ninguno.
KeySize: El tamaño (en bits) de la clave pública RSA. Debe establecerse como 2048.
PrivateKeyExportable: Le permite exportar/importar el certificado a otros servidores Exchange. Esto debe establecerse como $true.

El único cambio que debe realizar en el siguiente comando es cambiar EX01-2019 por el nombre de host de su servidor Exchange.

New-ExchangeCertificate -SubjectName "CN=WMSvc-SHA2-EX01-2019" -FriendlyName "WMSCVC-SHA2" -Services None -KeySize 2048 -PrivateKeyExportable $true

2. Copie el nuevo certificado WMSVC-SHA2

Copie el nuevo certificado WMSVC-SHA2 del almacén personal al almacén de autoridades de certificación raíz de confianza.

Inicie Microsoft Management Console (MMC) y agregue el complemento Certificados.

Seleccione Cuenta de computadora y haga clic en Siguiente.

Haga clic en Aceptar.

Expanda las carpetasPersonal > Certificados. Haga clic derecho en el nuevo certificado y haga clic en Copiar.

Expanda las carpetas Autoridades de certificación raíz de confianza > Certificados. Haga clic derecho en la carpeta Certificados y haga clic en Pegar.

Verifique que el nuevo certificado autofirmado WMSVC-SHA2 aparezca en la lista.

3. Verifique el nuevo certificado WMSVC-SHA2 en Exchange Server

Inicie sesión en el Centro de administración de Exchange. Haga clic en servidores > certificados. Seleccione el servidor Exchange si tiene más de un servidor Exchange ejecutándose en la organización.

Verifique que el nuevo certificado WMSVC-SHA2 aparezca en la lista y asegúrese de que no haya servicios asignados.

4. Eliminar el certificado antiguo

Seleccione el certificado antiguo, si está disponible, y haga clic en el icono de eliminar en la barra de herramientas.

Sólo tendrá un certificado WMSVC-SHA2 en la lista de certificados.

Vuelve a MMC y expande las carpetas Personal > Certificados. Verifique que solo vea un certificado de Exchange WMSVC-SHA2.

Expanda las carpetas Autoridades de certificación raíz de confianza > Certificados. Haga clic derecho en el certificado antiguo WMSVC-SHA2, si está disponible, y haga clic en Eliminar.

Solo el nuevo certificado WMSVC-SHA2 debe aparecer en la lista.

5. Asigne el certificado WMSVC-SHA2 al servicio de administración web

Inicie el Administrador de servicios de información de Internet (IIS). Haga clic en Servidor Exchange > Servicio de administración.

Seleccione el WMSVC-SHA2 que creó en el paso anterior. Haga clic en Aplicar.

Haga clic en Iniciar.

Vaya al Administrador de servicios de Windows y verifique que el servicio Servicio de administración web esté iniciado.

¡Eso es todo!

Leer más: Renovar el certificado de Microsoft Exchange »

Conclusión

Aprendió cómo renovar el certificado WMSVC-SHA2 en Exchange Server. Primero, cree un nuevo certificado WMSVC-SHA2. Después de eso, elimine el antiguo certificado WMSVC-SHA2 si está disponible. A continuación, adjúntelo al servicio de administración de IIS. Por último, inicie el servicio Web Management Service.

¿Disfrutaste este artículo? También te puede interesar Renovar el certificado de autenticación de Microsoft Exchange Server. No olvides seguirnos y compartir este artículo.