EXCHANGE2007的CA证书

企业exchange2007部署证书的过程:结构:server03上安装windows2008 r2+ad+dns,server04上安装windows2008 r2+exchange2007

说明:在EXCHANGE2007部署企业内部CA前,最好在IIS7里面删除掉系统默认的所有“证书”,然后再执行下面的操作

注意:要修改hosts文件,添加127.0.0.1 server04 防止IPV6对认证、邮件收发有影响

1、证书申请:(要与FQDN名字匹配)

New-ExchangeCertificate -GenerateRequest -DomainName server03.xyz.com,server04.xyz.com,mail.xyz.com, autodiscover.xyz.com ,*.xyz.com -Path c:\certreq.txt -PrivateKeyExportable $true

依据自己公司的需求更改对应的

在server04上安装安装证书服务:

image

image

image

 

image

其它步骤略

2、生成证书:

http://localhost/certsrv或者https://localhost/certsrv注意:这个证书申请网站是域服务器的。然后证书的申请、导入、启动是在exchange的EMC管理窗口操作的。所以这里一定要注意,不然证书总是提示错误

clip_image002

clip_image004

clip_image006

clip_image008

clip_image010

clip_image012

3、导入证书

Import-ExchangeCertificate -Path c:\certnew.cer

4.输入Get-ExchangeCertificate 命令查看新的证书是否列出。红色部分为指纹:thumbprint

clip_image014

5. 如果列出,请运行以下命令重新应用证书:(注红色部分在填的时候应该填证书指纹参数,参数从上面的那个命令列出证书,即可察看到证书对应的指纹)如下图

Enable-ExchangeCertificate -Thumbprint 8C1986E4FD7D703B0E41AEC9E47E60A5BB46EADD -Services “IIS,SMTP,IMAP,POP”

6、.查看证书状态

Get-ExchangeCertificate | fl *

clip_image016

7、在IIS里面查看exchange2007的证书是否成功。

clip_image018

 

完成以上操作后,记得一定要重启IIS,包括域服务器和exchange服务器的。另外,最好把exchange的所有服务重启

8、.删除证书

Remove-exchangecertificate -Thumbprint Thumbprint

8C1986E4FD7D703B0E41AEC9E47E60A5BB46EADD即:

clip_image020

9、outlookanywhere要正常使用一定要安装rpc组件

10、https://www.testexchangeconnectivity.com/该网站用来测试证书的正确性,一般商业购买的证书可以通过。企业自定义的CA证书通不过,很正常。

相关文章:

在生产环境中,经常遇到这样的环境:用户的AD域名是a.com,用户的Internet注册域名是b.com,生产系统很多域名都注册在b.com里面。为了确保最终用户的统一的使用体验,还需要确保无论在公司内部还是公司外部,都要使用xxx.b.com来访问应用。例如,无论在公司内部还是在公司外部,使用mail.b.com这个地址来访问exchange的owa。
一般来说这样的配置没有什么问题,但是在需要证书的exchange2007环境里,就会有一个问题:IIS上的证书,根据要求,issued to的名字和common name必须统一,并且只能有一个。而且IIS上只能配置一张证书,在前面这种多域名环境下,往往容易出现这样的错误,当你把证书的common name配置为mail.b.com时,内部outlook mapi或者pop3用户,就会因为解析的域名和证书不一致(内部outlook用户mapi客户端总是解析server的FQDN,例如server1.mail.a.com),跳出这样的错误:安全证书上的名称无效或者与网站的名称不相同。
如何解决这个问题?在这里我们可以使用exchange2007的powershell,来生成一个支持多名称的证书。其实就是配置证书的Other alternative name名称。
配置步骤:
1、使用powershell命令生成一个证书申请,我们以一开始的名称环境为例,假设要生成一个支持如下域名的证书:mail.b.com,mail.b.com.cn,server1.a.com(fqdn,为了让outlook不报错),autodiscover.a.com,请参看如下命令:
New-ExchangeCertificate -GenerateRequest -Path c:\mail_b_com.csr -KeySize 1024 -SubjectName "c=CN, s=Shanghai, l=Shanghai, o=OOOXXX, ou=IT, cn=mail.b.com" -DomainName mail.b.com.cn, server1.a.com, autodiscover.a.com -PrivateKeyExportable $True
上面这个命令是,生成一个证书申请请求,文件保存在c:\mail_b_com.csr路径下,subjectname是申请证书时的组织和地址信息,domainname后面的都是你要额外注册的域名。注意第一个一定要写之前的commonname。可以把你想要证书支持的域名都写进去,包括server的FQDN。这样,访问这张证书中的任何一个名字,都不会报告证书名字不对应的错误了。
如果觉得很繁琐,这里有个简单的生成方法:
https://www.digicert.com/easy-csr/exchange2007.htm 到这个网页,输入自己证书相关设置,Powershell命令就自动出现了,然后复制粘贴命令就可以。
2、访问组织内部的CA,提交证书申请,通过文件申请,把这个文件提交上去。这个就不多说了,了解证书申请过程的都很清楚,也很简单。注意最后一步下载证书的时候,证书格式要选择Base 64 encoded 格式。
3、在powershell里,把这张证书导入到exchange服务器上(假设上面你保存下来的证书名称位certnew.cer):
Import-ExchangeCertificate -path c:\certnew.cer | enable-exchangecertificate -services "IIS,POP,IMAP"
4、在IIS里面,删除Exchange自签名的旧证书,然后assign这个新证书就可以了。
至此,在启用了outlook anywhere的exchange07服务器上,再也不会报告上面的证书名字和访问呢名字不匹配问题了。

你可能感兴趣的:(localhost,Exchange,target,blank,证书申请)