Comment nettoyer les certificats de l'application hybride Office 365 Exchange Online

Depuis que Microsoft a déprécié le paramètre Credential dans les versions d'Exchange Online PowerShell publiées après juin 2026, nous utiliserons l'authentification basée sur les certificats. Tout d'abord, connectez-vous à Exchange Online en utilisant votre certificat d'application.

Import-Module ExchangeOnlineManagement

# Connectez-vous en utilisant l'authentification basée sur les certificats
Connect-ExchangeOnline -CertificateThumbprint "YOUR_CERT_THUMBPRINT" -AppId "YOUR_APP_ID" -Organization "yourtenant.onmicrosoft.com"

Remplacez YOUR_CERT_THUMBPRINT par l'empreinte de votre certificat et YOUR_APP_ID par l'ID de votre application enregistrée.

Vérification : Exécutez Get-OrganizationConfig | Select-Object Name pour confirmer la connexion réussie.

Avant de supprimer des certificats, identifiez quels certificats sont actuellement enregistrés avec l'application Office 365 Exchange Online. Nous examinerons le principal de service pour voir tous les certificats associés.

# Se connecter à Azure AD PowerShell
Connect-AzureAD

# Trouver le principal de service Exchange Online
$ExchangeOnlineSP = Get-AzureADServicePrincipal -Filter "DisplayName eq 'Microsoft Exchange Online'"

# Lister tous les certificats associés au principal de service
$ExchangeOnlineSP.KeyCredentials | Select-Object KeyId, Type, Usage, StartDate, EndDate | Format-Table -AutoSize

Cette commande affiche tous les certificats, y compris leur KeyId (dont nous aurons besoin pour la suppression), les dates d'expiration et les types d'utilisation.

Vérification : Notez les valeurs KeyId des certificats expirés ou inutilisés qui doivent être supprimés.

Microsoft fournit le script ConfigureExchangeHybridApplication.ps1 pour gérer les certificats dans des environnements hybrides. Téléchargez ce script depuis le dépôt officiel de Microsoft.

# Créer un répertoire de travail
New-Item -ItemType Directory -Path "C:\ExchangeHybridScripts" -Force
Set-Location "C:\ExchangeHybridScripts"

# Télécharger le script (remplacer par l'URL actuelle de Microsoft)
Invoke-WebRequest -Uri "https://github.com/microsoft/CSS-Exchange/raw/main/Hybrid/ConfigureExchangeHybridApplication.ps1" -OutFile "ConfigureExchangeHybridApplication.ps1"

# Vérifier que le script a été téléchargé avec succès
Get-ChildItem -Name "ConfigureExchangeHybridApplication.ps1"

Le script devrait avoir une taille d'environ 15-20KB. Si le téléchargement échoue, vérifiez votre connexion internet et assurez-vous que l'URL est à jour.

Vérification : Exécutez Get-FileHash .\ConfigureExchangeHybridApplication.ps1 -Algorithm SHA256 pour vérifier l'intégrité du fichier.

Avant d'apporter des modifications, utilisez le script pour auditer les informations d'identification des certificats actuels dans l'application Exchange Online. Cela fournit une base de référence des certificats existants.

# Définir la politique d'exécution si nécessaire
Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope CurrentUser -Force

# Exécuter le script en mode audit pour lister les certificats actuels
.\ConfigureExchangeHybridApplication.ps1 -ListCredentials

# Alternative : Exécuter avec des informations spécifiques au locataire
.\ConfigureExchangeHybridApplication.ps1 -TenantId "your-tenant-id" -ListCredentials

Le script affichera toutes les informations d'identification des certificats actuellement associées à l'application Exchange Online, y compris leurs dates de création, dates d'expiration et identifiants de clé.

Vérification : Examinez la sortie pour identifier les certificats expirés ou qui ne sont plus nécessaires.

Maintenant, supprimez les certificats obsolètes identifiés à l'aide du script. Vous aurez besoin des valeurs KeyId de l'étape précédente.

# Supprimer un certificat spécifique par KeyId
.\ConfigureExchangeHybridApplication.ps1 -RemoveCredential -KeyId "12345678-1234-1234-1234-123456789012"

# Supprimer plusieurs certificats (remplacer par les KeyIds réels)
$CertsToRemove = @(
    "12345678-1234-1234-1234-123456789012",
    "87654321-4321-4321-4321-210987654321"
)

foreach ($KeyId in $CertsToRemove) {
    Write-Host "Suppression du certificat avec KeyId : $KeyId"
    .\ConfigureExchangeHybridApplication.ps1 -RemoveCredential -KeyId $KeyId
    Start-Sleep -Seconds 2
}

Le script se connectera à Azure AD, localisera le principal de service Exchange Online et supprimera les informations d'identification des certificats spécifiés.

Vérification : Exécutez à nouveau le script avec -ListCredentials pour confirmer que les certificats ont été supprimés.

Supprimez les certificats correspondants de vos serveurs Exchange sur site. Connectez-vous à Exchange Management Shell sur votre serveur hybride.

# Ouvrir Exchange Management Shell et lister les certificats actuels
Get-ExchangeCertificate | Where-Object {$_.Status -eq "Valid"} | Select-Object Thumbprint, Subject, NotAfter, Services

# Supprimer les certificats expirés (remplacez l'empreinte par des valeurs réelles)
$ExpiredCerts = Get-ExchangeCertificate | Where-Object {$_.NotAfter -lt (Get-Date)}

foreach ($Cert in $ExpiredCerts) {
    Write-Host "Suppression du certificat expiré : $($Cert.Subject)"
    Remove-ExchangeCertificate -Thumbprint $Cert.Thumbprint -Confirm:$false
}

# Supprimer un certificat spécifique par empreinte
Remove-ExchangeCertificate -Thumbprint "A1B2C3D4E5F6789012345678901234567890ABCD" -Confirm:$false

Cela supprime les certificats du magasin de certificats local sur votre serveur Exchange.

Vérification : Exécutez Get-ExchangeCertificate pour confirmer que les certificats ne sont plus listés.

Après avoir supprimé les certificats, testez votre configuration hybride pour vous assurer que le flux de courrier et d'autres fonctionnalités hybrides fonctionnent toujours correctement.

# Tester la connectivité hybride depuis Exchange Online
Test-MigrationServerAvailability -ExchangeRemoteMove -RemoteServer "your-hybrid-server.domain.com" -Credentials (Get-Credential)

# Tester le flux de courrier depuis les locaux
Test-MailFlow -TargetEmailAddress "testuser@yourdomain.com" -TargetDatabase "Mailbox Database 01"

# Vérifier l'état de la configuration hybride
Get-HybridConfiguration | Select-Object *Domain*, *Certificate*

# Vérifier que l'authentification OAuth fonctionne
Test-OAuthConnectivity -Service EWS -TargetUri "https://outlook.office365.com/ews/exchange.asmx" -Mailbox "testuser@yourdomain.com"

Ces tests vérifient que la suppression des certificats n'a pas cassé votre déploiement hybride.

Vérification : Tous les tests doivent renvoyer des résultats réussis. Si l'un échoue, vérifiez les configurations des certificats et les paramètres hybrides.

Documentez le nettoyage des certificats et établissez une surveillance pour éviter les problèmes futurs d'accumulation de certificats.

# Créer un script de surveillance des certificats
$MonitoringScript = @'
# Script de surveillance des certificats - enregistrer sous Monitor-HybridCertificates.ps1
Connect-ExchangeOnline -CertificateThumbprint "YOUR_CERT_THUMBPRINT" -AppId "YOUR_APP_ID" -Organization "yourtenant.onmicrosoft.com"
Connect-AzureAD

$ExchangeOnlineSP = Get-AzureADServicePrincipal -Filter "DisplayName eq 'Microsoft Exchange Online'"
$ExpiringCerts = $ExchangeOnlineSP.KeyCredentials | Where-Object {$_.EndDate -lt (Get-Date).AddDays(30)}

if ($ExpiringCerts) {
    Write-Warning "Found $($ExpiringCerts.Count) certificates expiring within 30 days"
    $ExpiringCerts | Select-Object KeyId, EndDate | Format-Table
}
'@

$MonitoringScript | Out-File "Monitor-HybridCertificates.ps1"

# Créer une documentation de l'état actuel
$Documentation = @"
Nettoyage des certificats terminé : $(Get-Date)
Certificats supprimés : $($CertsToRemove.Count)
Prochaine date de révision : $((Get-Date).AddMonths(3).ToString('yyyy-MM-dd'))
"@

$Documentation | Out-File "Certificate-Cleanup-Log.txt" -Append

Cela crée un script de surveillance que vous pouvez exécuter mensuellement pour vérifier les certificats expirants.

Vérification : Planifiez l'exécution mensuelle du script de surveillance via le Planificateur de tâches ou votre plateforme d'automatisation préférée.