Office Online Server ablösen: WOPI-Bindung in SharePoint SE Schritt für Schritt

Wer Office Online Server in SharePoint Server Subscription Edition ablösen will, stellt die WOPI-Bindung (in englischen Anleitungen WOPI binding) der Farm auf einen neuen WOPI-Client um. An SharePoint selbst ändert sich nichts: Sie sichern die aktuellen Bindungen, entfernen gezielt die Bindungen an Office Online Server, legen neue für den Ersatz an und testen mit einem normalen Benutzerkonto. Die Umstellung dauert Minuten, braucht weder Neustart noch IIS-Reset und lässt sich mit denselben Cmdlets zurücknehmen.

Die Anleitung verwendet ausschließlich Standard-Cmdlets von SharePoint Server und gilt damit für jeden WOPI-Client. Die Cmdlets und ihre Parameter heißen auch in einer deutschsprachigen SharePoint-Installation gleich; Sie können die Befehle also unverändert übernehmen. Warum die Umstellung überhaupt nötig ist, erklärt unser Leitfaden zum Supportende von Office Online Server.

Was die WOPI-Bindung macht

SharePoint Server stellt Word-, Excel-, PowerPoint- und PDF-Dateien nicht selbst dar. Für jede Kombination aus Anwendung, Dateiendung und Aktion (etwa view oder interactivepreview) hinterlegt die Farm eine Bindung an einen WOPI-Client. Öffnet ein Nutzer ein Dokument, leitet SharePoint den Browser mit einem kurzlebigen Zugriffstoken an diesen Client weiter. Der Client holt die Datei aus SharePoint und stellt sie dar.

Office Online Server zu ersetzen heißt also: diese Bindungen austauschen. Bibliotheken, Berechtigungen und Dokumente bleiben unverändert.

Voraussetzungen

Prüfen Sie diese Punkte, bevor Sie die Bindung anfassen. Die meisten gescheiterten Umstellungen gehen auf einen davon zurück.

• Farm-Administratorrechte und die SharePoint-Verwaltungsshell, als Administrator auf einem SharePoint-Server der Farm gestartet.
• Der neue WOPI-Client ist installiert und per HTTPS erreichbar, unter einem DNS-Namen wie wopi.contoso.local. Verwenden Sie nie eine IP-Adresse, sondern einen Namen, den jeder Browser Ihrer Nutzer auflösen kann.
• Vertrauenswürdige Zertifikate auf beiden Seiten. SharePoint-Server und Browser müssen dem Zertifikat des WOPI-Clients vertrauen. Stammt es von einer internen Zertifizierungsstelle, etwa den Active Directory-Zertifikatdiensten, importieren Sie deren Stammzertifikat auf jedem SharePoint-Server in LocalMachine\Root und verteilen es per Gruppenrichtlinie an die Clients. Umgekehrt muss der WOPI-Client dem Zertifikat von SharePoint vertrauen.
• Nur HTTPS. Verzichten Sie auf -AllowHTTP. In diesen Anfragen stecken Zugriffstoken, und eine HTTP-Bindung überträgt sie im Klartext.
• Der Discovery-Endpunkt antwortet. Rufen Sie https://wopi.contoso.local/hosting/discovery von einem SharePoint-Server aus auf. Die Antwort muss HTTP 200 sein und ein XML-Dokument mit den unterstützten Anwendungen und Aktionen enthalten.
• Ein Testkonto, das kein Systemkonto ist. Farmkonto, Setup-Konto und Anwendungspool-Konten erhalten keine WOPI-Zugriffstoken. Ein Test mit ihnen schlägt fehl, selbst wenn alles richtig eingerichtet ist.

Planen Sie die Umstellung in einem Wartungsfenster. Zwischen dem Entfernen der alten und dem Anlegen der neuen Bindungen öffnen sich Dokumente nicht im Browser, führen Sie die Schritte 2 und 3 also direkt nacheinander aus.

Schritt 1: Aktuelle Bindungen und Zone sichern

Halten Sie zuerst genau fest, was heute gebunden ist. Diese Sicherung ist Ihr Rollback-Plan.

Get-SPWOPIZone
Get-SPWOPIBinding | Select-Object Application, Extension, Action, ServerName, IsDefaultAction |
  Sort-Object ServerName, Application, Extension |
  Format-Table -AutoSize

Get-SPWOPIBinding | Select-Object Application, Extension, Action, ProgId, ServerName, IsDefaultAction |
  Export-Csv -Path C:\Wopi\bindungen-vor-umstellung.csv -NoTypeInformation

Bewahren Sie die CSV-Datei auf. Sie zeigt, auf welchen Server jede Bindung zeigt. Das ist wichtig, wenn die Farm neben Office Online Server weitere WOPI-Anwendungen gebunden hat.

Schritt 2: Nur die Bindungen an Office Online Server entfernen

Entfernen Sie gezielt die Bindungen, die auf Ihren Office Online Server zeigen:

Remove-SPWOPIBinding -Server oos.contoso.local -Confirm:$false
Get-SPWOPIBinding | Select-Object Application, Extension, ServerName

Viele Anleitungen verwenden Remove-SPWOPIBinding -All:$true. Davon raten wir ab: Der Schalter löscht alle Bindungen der Farm, auch die anderer WOPI-Anwendungen, und Sie müssen sie danach aus dem Gedächtnis neu anlegen. Mit dem Servernamen entfernen Sie genau das, was Sie ersetzen.

Der zweite Befehl sollte oos.contoso.local nicht mehr auflisten.

Schritt 3: Neue Bindung anlegen und Zone setzen

Legen Sie die Bindungen für den neuen WOPI-Client an. SharePoint liest dessen Discovery-Dokument und erzeugt für jede unterstützte Anwendung, Endung und Aktion eine Bindung:

New-SPWOPIBinding -ServerName wopi.contoso.local
Set-SPWOPIZone -Zone "internal-https"

Die Zone legt fest, welche URLs aus dem Discovery-Dokument SharePoint verwendet. internal-https passt, wenn Nutzer und WOPI-Client im internen Netz liegen. Nutzt Ihre Farm heute eine andere Zone, behalten Sie den Wert aus Schritt 1 bei.

Ein Neustart oder IIS-Reset ist nicht nötig. Die neuen Bindungen gelten sofort.

Optional: Zuerst nur einen Dateityp umstellen

Sie müssen nicht alles auf einmal umstellen. Um etwa mit Word-Dokumenten zu beginnen, entfernen und erstellen Sie die Bindungen für eine einzelne Endung:

Remove-SPWOPIBinding -Server oos.contoso.local -Application Word -Extension docx -Confirm:$false
New-SPWOPIBinding -ServerName wopi.contoso.local -Application Word -Extension docx

Alle anderen Dateitypen öffnen weiter in Office Online Server, bis Sie auch sie umstellen. So lässt sich ein Pilot mit geringem Risiko im Produktivbetrieb fahren.

Schritt 4: Umstellung prüfen

Prüfen Sie zuerst die Konfiguration, dann das Verhalten für die Nutzer.

Get-SPWOPIBinding | Group-Object ServerName | Select-Object Name, Count
Get-SPWOPIZone

Alle erwarteten Bindungen sollten auf wopi.contoso.local zeigen. Melden Sie sich dann mit einem normalen Benutzerkonto an, nicht mit einem Systemkonto, und gehen Sie diese Liste durch:

1. Eine Word-, eine Excel- und eine PowerPoint-Datei aus einer Dokumentbibliothek öffnen. Jede sollte im Browser öffnen statt heruntergeladen zu werden.
2. Ein PDF öffnen, sofern Ihr WOPI-Client PDF-Dateien unterstützt.
3. Nach einem Dokument suchen und mit der Maus über das Ergebnis fahren. Auch die Vorschau im Hover-Fenster kommt vom WOPI-Client.
4. In jeder Zone testen, die Ihre Nutzer verwenden, etwa unter der internen und der Extranet-URL.
5. Öffnet ein Dokument nicht, in den Entwicklertools des Browsers nach blockierten Frames oder Zertifikatsfehlern suchen.

Die häufigsten Ursachen für Fehler sind ein nicht vertrauenswürdiges Zertifikat, ein DNS-Name, den die Clients nicht auflösen, oder ein Test mit einem Systemkonto. Wie Anfragen zwischen SharePoint und Office Render Engine abgesichert sind, beschreibt unsere Sicherheitsseite.

Nach einem Zertifikats- oder Schlüsselwechsel

Wird der Proof Key des WOPI-Clients später erneuert, aktualisieren Sie ihn in SharePoint, damit signierte Anfragen weiter geprüft werden können:

Update-SPWOPIProofKey -ServerName wopi.contoso.local

Für die erste Umstellung brauchen Sie diesen Befehl nicht.

Rollback: Zurück zu Office Online Server

Da sich nur die Bindungen ändern, ist der Weg zurück schnell. Entfernen Sie die neuen Bindungen über den Servernamen und legen Sie die Bindungen an Office Online Server wieder an:

Remove-SPWOPIBinding -Server wopi.contoso.local -Confirm:$false
New-SPWOPIBinding -ServerName oos.contoso.local
Set-SPWOPIZone -Zone "internal-https"

Verwenden Sie die Zone, die Sie in Schritt 1 notiert haben. Vergleichen Sie das Ergebnis anschließend mit Ihrer Sicherung:

Get-SPWOPIBinding | Select-Object Application, Extension, Action, ServerName |
  Sort-Object ServerName, Application, Extension

Hatte Ihre Farm angepasste Bindungen, waren also etwa nur einzelne Endungen an Office Online Server gebunden, legen Sie diese anhand der CSV-Datei mit -Application und -Extension an, statt alle Anwendungen auf einmal zu binden. Proben Sie den Rollback einmal in einer Testfarm, damit er im Ernstfall ein bekannter Ablauf ist.

Häufige Fragen

Muss ich SharePoint oder IIS nach der Änderung der WOPI-Bindung neu starten?

Nein. Neue und entfernte Bindungen gelten sofort. Nutzer müssen nur die Seite neu laden.

Können Office Online Server und ein Ersatz parallel laufen?

Ja. Bindungen gelten je Anwendung und Dateiendung, Sie können also einen Dateityp nach dem anderen umstellen. Den Ersatz können Sie auch vorab in einer eigenen Testfarm prüfen.

Warum funktioniert der Test bei mir, aber nicht bei meinen Nutzern?

Vermutlich testen Sie mit dem Farmkonto oder einem anderen Systemkonto. Diese Konten erhalten keine WOPI-Zugriffstoken. Testen Sie mit einem normalen Benutzerkonto, wie in Schritt 4 beschrieben.

Braucht der neue WOPI-Client Internetzugang?

Das hängt vom Produkt ab. Office Render Engine läuft vollständig in Ihrem Netzwerk und baut keine Verbindung ins Internet oder zu Cloud-Diensten auf.

Umstellung auf Office Render Engine

Office Render Engine ist ein WOPI-Client für den eigenen Server, gebaut als Ersatz für Office Online Server bei der Anzeige von Dokumenten. Die Umstellung folgt genau den Schritten oben. Heute ist Office Render Engine reine Anzeige: Word, Excel, PowerPoint und PDF öffnen im Browser und in der Suchvorschau, bearbeitet wird in Desktop-Office. Was es noch nicht kann, steht auf unserer Seite zu den Einschränkungen.

Vor einem Pilot prüfen wir Ihr Authentifizierungs-Setup gemeinsam mit Ihnen, damit die Umstellung in Ihrer Farm einem validierten Weg folgt.