ZCS证书的重新签发

今天晚上突然发现公司的zimbra邮件服务器页面无法打开，进入系统查看下zimbra启动的服务项，发现ldap启动失败，于是网上找了下资料，现在分享一下心得（复制过来的）。实测，有效！
ZCS默认的证书只能使用一年，到期后需要重新签发，如果不签发，可以会使ZCS的服务无法启动，表现的情况为：

1. Starting ldap...Done.
   

2. Unable to determine enabled services from ldap.
   

3. Enabled services read from cache. Service list may be inaccurate.

复制代码

或者为

1. ldap                    Stopped
   

2. logger                  Stopped

复制代码

出现这些情况的原因主要有四种，很可能为证书过期或失效这种原因，解决这个问题的方法其实也非常简单，就是重新签发ZCS证书即可，下面就讲一下证书签发的过程及情况，其他原因造成ZCS因LDAP问题无法启动部分服务的原因我会有空时发帖总结，谢谢支持。

分为两种情况：
一 ZCS服务正常，但想延长证书使用的时间；
用root执行里下命令，签发一个可以使用20年的证书。

1. #/opt/zimbra/bin/zmcertmgr createca -new
   

2. #/opt/zimbra/bin/zmcertmgr deployca
   

3. #/opt/zimbra/bin/zmcertmgr createcrt -new -days 7300
   

4. #/opt/zimbra/bin/zmcertmgr deploycrt self
   

5. #/opt/zimbra/bin/zmcertmgr viewdeployedcrt

复制代码

执行完成后重启postfix服务即可生效，命令为：#postfix reload。
二 如果ZCS服务已经无法全部启动，那么先停止ZCS服务，执行以上命令后，再启动ZCS服务即可。
经测试，签发20年的证书全部成功，签发50年的证书可能会失败。



下面为签发的过程（此过程中有部分failed，仅供参考，实际成功签发时代码不同）：

1. [root@mail ~]# /opt/zimbra/bin/zmcertmgr createca -new
   

2. ** Creating /opt/zimbra/ssl/zimbra/ca/zmssl.cnf...done
   

3. ** Creating CA private key /opt/zimbra/ssl/zimbra/ca/ca.key...done.
   

4. ** Creating CA cert /opt/zimbra/ssl/zimbra/ca/ca.pem...done.
   

5. [root@mail ~]# /opt/zimbra/bin/zmcertmgr deployca
   

6. ** Importing CA /opt/zimbra/ssl/zimbra/ca/ca.pem into CACERTS...done.
   

7. ** Saving global config key zimbraCertAuthorityCertSelfSigned...failed.
   

8. ** Saving global config key zimbraCertAuthorityKeySelfSigned...failed.
   

9. ** Copying CA to /opt/zimbra/conf/ca...done.
   

10. [root@mail ~]# /opt/zimbra/bin/zmcertmgr createcrt -new -days 7300
    

11. Validation days: 7300
    

12. ** Creating /opt/zimbra/conf/zmssl.cnf...done
    

13. ** Backup /opt/zimbra/ssl/zimbra to /opt/zimbra/ssl/zimbra.20110415115810
    

14. ** Generating a server csr for download self -new -keysize 1024
    

15. ** Creating /opt/zimbra/conf/zmssl.cnf...done
    

16. ** Backup /opt/zimbra/ssl/zimbra to /opt/zimbra/ssl/zimbra.20110415115810
    

17. ** Retrieving Commercial CA cert from ldap...failed.
    

18. ** Creating server cert request /opt/zimbra/ssl/zimbra/server/server.csr...done.
    

19. ** Saving server config key zimbraSSLPrivateKey...failed.
    

20. ** Signing cert request /opt/zimbra/ssl/zimbra/server/server.csr...done.
    

21. [root@mail ~]# /opt/zimbra/bin/zmcertmgr deploycrt self
    

22. ** Saving server config key zimbraSSLCertificate...failed.
    

23. ** Saving server config key zimbraSSLPrivateKey...failed.
    

24. ** Installing mta certificate and key...done.
    

25. ** Installing slapd certificate and key...done.
    

26. ** Installing proxy certificate and key...done.
    

27. ** Creating pkcs12 file /opt/zimbra/ssl/zimbra/jetty.pkcs12...done.
    

28. ** Creating keystore file /opt/zimbra/mailboxd/etc/keystore...done.
    

29. ** Installing CA to /opt/zimbra/conf/ca...done.
    

30. [root@mail ~]# /opt/zimbra/bin/zmcertmgr viewdeployedcrt
    

31. ::service mta::
    

32. notBefore=Apr 15 03:58:20 2011 GMT
    

33. notAfter=Dec 31 03:58:20 2030 GMT
    

34. subject= /C=US/ST=N/A/O=Zimbra Collaboration Suite/OU=Zimbra Collaboration Suite/CN=mail.test.com.cn
    

35. issuer= /C=US/ST=N/A/L=N/A/O=Zimbra Collaboration Suite/OU=Zimbra Collaboration Suite/CN=mail.test.com.cn
    

36. SubjectAltName=
    

37. ::service proxy::
    

38. notBefore=Apr 15 03:58:20 2011 GMT
    

39. notAfter=Dec 31 03:58:20 2030 GMT
    

40. subject= /C=US/ST=N/A/O=Zimbra Collaboration Suite/OU=Zimbra Collaboration Suite/CN=mail.test.com.cn
    

41. issuer= /C=US/ST=N/A/L=N/A/O=Zimbra Collaboration Suite/OU=Zimbra Collaboration Suite/CN=mail.test.com.cn
    

42. SubjectAltName=
    

43. ::service mailboxd::
    

44. notBefore=Apr 15 03:58:20 2011 GMT
    

45. notAfter=Dec 31 03:58:20 2030 GMT
    

46. subject= /C=US/ST=N/A/O=Zimbra Collaboration Suite/OU=Zimbra Collaboration Suite/CN=mail.test.com.cn
    

47. issuer= /C=US/ST=N/A/L=N/A/O=Zimbra Collaboration Suite/OU=Zimbra Collaboration Suite/CN=mail.test.com.cn
    

48. SubjectAltName=
    

49. ::service ldap::

复制代码

成功签发证书后，可以通过IE管理页面，查看证书的使用时间。管理页面---工具---证书查看证书到期时间。


成功，哈哈。