Log Name: System
Source:  Microsoft-Windows-WinRM
Date:  1/1/2010 1:22:43 PM
Event ID: 10154
Task Category: None
Level:  Warning
Keywords: Classic
User:  N/A
Computer: dcname.domain.tld
Description:
The WinRM service failed to create the following SPNs: WSMAN/dcname.domain.tld; WSMAN/dcname.
Additional Data
The error received was 8344: %%8344.
User Action
The SPNs can be created by an administrator using setspn.exe utility.

If you have just upgraded to Windows Server 2008 R2 domain controller version and getting above error message, then you must fix by granting some special permissions.

By default, WinRM service is running under NETWORK SERVICE account.WinRM attempts to create 2 SPn (WSMAN/dc.domain.com & WSMAN /servername) after startup process.

To help this process, you must grant “Validated Write to Service Principal Name” permission to the NETWORK SERVICE account for each DC which generates this error message.

To achieve this goal,in adsiedit;

Default Naming Context – Domain Controllers OU – Specific Domain Controller

Click Properties and security.Add NETWORK SERVICE account and grant permission.

Exchange Management Shell altında yeni bir user ve mailbox açmak için aşağıdaki komutu kullanabiliriz.

New-Mailbox -Password $password -Name “Anıl Erduran” -UserPrincipalName anilerduran@domain.com -OrganizationalUnit Users -Database “Mailbox Database”

Yalnız burada dikkat ederseniz $password değişkeni var.Buraya direk kullanacağınız password’u yazarsanız hata alıcaksınız.Sizden şifreyi $password değişkenine tanımlamanızı istiyor.Bu yüzden

$password = Read-Host “şifreniz” -AsSecureString

şeklinde bir şifreyi $password değişkenine tanımlamalısınız.Ardından yukarıdaki komutta $password parametresi ile hata almadan kullanıcıyı oluşturabilirsiniz.

Bildiğimiz gibi Exchange 2003 kurulumundan sonra owa clientlar mailboxlarına direk 80 üzerinden erişiyorlardı.Bunun sebebi varsayılanda bir sertifika gelmemesi.Exchange 2007′de ise bu durum değişti ve IIS üzerindeki Deafult Web site varsayılanda sertifikalı olarak gelmektedir.Yalnız 1 senelik varsayılan bu sertifika kullanıldığında büyük ihtimalle hata alacaksınız.Sebebi sertifikanın ismi ile owa’ya eriştiğiniz dns isminin farklı olması.

Localde bir CA’niz varsa basit bir şekilde IIS üzerinde yada exchange management shell kullanarak istediğiniz isimle sertifika çekebilirsiniz.Bu noktadan sonra client tarafı sertifika hatası almadan OWA’ya erişebilecektir.

Yalnız bu işlemden sonra ufak bir sıkıntı daha bizi bekliyor.dns ismi ile yeni bir sertifika oluşturduktan sonra Microsoft Outlook’u açtığımızda aşağıdaki gibi bir hatayla karşılaşırız.

“the name on the security certificate is invalid or does not match the name of the site”

Burada oluşturduğumuz sertifika ile Outlook’un bağlanmaya çalıştığı isim farklı çıkıyor.Çünkü Mapi clientlar Client Access Serverları autodiscovery servisi için kullanırlar ve açılışta bu bağlantıyı kontrol ederler.Aradığı isim ise direk CAS’ın fqdn’idir.E biz sertifikayı dışarıdan ulaşacağımız dns ismi ile oluşturduğumuz için direk isim hatasını alıyoruz.

Bu problemin önüne geçmek için aşağıdaki Exchange Management Shell komutlarını çalıştıralım.

Set-ClientAccessServer -Identity CAS1 -AutodiscoverServiceInternalUri https://mail.anilerduran.com/autodiscover/autodiscover.xml

Set-WebServicesVirtualDirectory -Identity “CAS1\EWS (Default Web Site)” -InternalUrl https://mail.anilerduran.com/ews/exchange.asmx

Set-OABVirtualDirectory -Identity “CAS1\oab (Default Web Site)” -InternalUrl https://mail.anilerduran.com/oab

Set-UMVirtualDirectory -Identity “CAS1\unifiedmessaging (Default Web Site)” -InternalUrl https://mail.anilerduran.com/unifiedmessaging/service.asmx

Bu komutlardaki CAS1 client access server’ınızın ismi.koyu renkli adresler ise daha önceden clientların dışarıdan owaya ulaşmaları için belirlediğiniz ve sertifikasını oluşturduğunuz adres.

Bu işlemden sonra CAS üzerinde iisreset komutuyla iis servisini yeniden başlatmanız yeter.Artık Outlook Mapi clientlarınız isimden dolayı gerçekleşen sertifika hatasını almayacaktır.