Exchange企業實戰技巧（3）配置Exchange證書

Exchange2010需要證書支援，exchange2010安裝之後會預設開啟ssl，在IE中隻能使用https：//而不是http://來通路owa。如果沒有證書，也能安裝exchange2010，也能使用owa，但是會有告警出現。

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731407gmly.jpg"></a>

要想消除警告資訊，需為Exchange伺服器頒發受信任的證書（預設Exchange安裝好後會為自己簽發一個自簽名證書）。要為Exchange頒發證書就要我們在公網CA機構為Exchange申請證書或者在企業内部搭建自己的企業CA為Exchange頒發證書。此處我們采用搭建自己的企業CA來實作，這也是多數企業采用的解決方案。

（一）架設證書伺服器

1、伺服器管理器---單擊角色---右邊添加角色---下一步---勾選active directory證書服務

2、點選下一步後，告訴你如果要架設證書伺服器，就不能夠再修改伺服器的名字和域了，

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731408Jbm2.jpg"></a>

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731408RW6E.jpg"></a>

3、預設隻有安裝證書頒發機構，除此之外，聯機響應程式、web注冊功也可以安裝，web注冊功能需要前面已經安裝的IIS的asp支援。其他的服務要麼不能與證書頒發機構同一批安裝，要麼需要其他環境支援，都暫時不用安裝了。點選下一步。

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731409kf7e.jpg"></a>

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_13527314096j7k.jpg"></a>

4、安裝類型裡面選擇企業，CA類型是根CA（R）

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731409KKFg.jpg"></a>

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731410dIYB.jpg"></a>

5、設定私鑰 建立私鑰，預設設定，勾選“當CA通路該私鑰是，允許管理者互動操作”，點選下一步。

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731410UAsq.jpg"></a>

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731411SxsZ.jpg"></a>

6、配置CA名稱，預設，點選下一步。證書有效期，預設5年，點選下一步。資料庫位置和日志位置預設，點選下一步

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731411Itay.png"></a>

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731411FOW5.jpg"></a>

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731412h3sf.jpg"></a>

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731412678o.jpg"></a>

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731413UOAS.jpg"></a>

7、确認，安裝。告警資訊再次提醒部署了CA伺服器後就不能修改計算機名稱和域了。

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731413hI2I.png"></a>

8、完成安裝

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731413ffEk.jpg"></a>

（二）Exchange2010申請證書

1) 以域管理身份登入Exchange伺服器。

2）打開Exchange管理控制台，選擇“伺服器配置---建立exchange證書”。 

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731414eQPd.jpg"></a>

3) 輸入證書名稱“mail.contoso.com”，下一步。

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731415lrGE.png"></a>

4) 不啟用“啟動通配符證書”，下一步。 

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731417MSsX.jpg"></a>

5) 選擇“用戶端通路伺服器”的向下雙箭頭，然後勾選下圖選項，然後下一步。 

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731418j350.png"></a>

6) 設定公用名稱為“mail.contoso.com”(或者預設)，然後下一步。

注：如果還有其它外網位址，一定要選擇“添加”，将外網位址添加到證書域。

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731420m7DG.png"></a>

7) 輸入組織和位置資訊，然後選擇證書存放路徑為“c：\ca”和名稱為“exchange.reg”，下一步。

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731423ivrA.png"></a>

8) 選擇“建立”，建立證書。

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731426L4y8.png"></a>

9) 等待證書建立完成，然後選擇完成。

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731428XLuX.png"></a>

10) 打開IE，在IE浏覽器中位址欄中，輸入http://bjrenndc01/certsrv

11) 輸入域管理使用者名和密碼。

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731430dKRC.png"></a>

12) 選擇“申請證書”。

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731430OCKg.jpg"></a>

13) 選擇“進階申請證書”。

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731431DJTM.jpg"></a>

14) 選擇“使用base64編碼”。

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731431q7FP.jpg"></a>

15) 使用記事本打開c:\ca\exchange.req檔案，如圖将藍色字型文本複制下來。

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_13527314314XSh.jpg"></a>

16) 将上一步複制的文本，粘貼到base-64編碼的證書申請中，證書模闆，設定為web伺服器，然後送出。

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731432qwtq.jpg"></a>

17) 按預設設定，選擇“下載下傳證書”。

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731432AGfx.jpg"></a>

18) 将證書儲存到C：\ca\目錄，名稱為certnew.cer。

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731433hTYr.png"></a>

3 證書伺服器導入Exchange伺服器受信任根證書

1) 以域管理登陸BJRENNEX01伺服器

2) 打開IE，在IE浏覽器中位址欄中，輸入http://bjrenndc01/certsrv。

3) 輸入域管理使用者名和密碼。

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731433Oiha.png"></a>

4) 選擇下載下傳CA憑證、證書鍊或CRL

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731434cSzc.png"></a>

5) 選擇下載下傳CA憑證，将證書儲存到c:\ca\ca.cer。 

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731434PaXq.png"></a>

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731434dJz9.png"></a>

6) 在運作中輸入“mmc”。

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731435jlBM.png"></a>

7) 選擇“檔案”，“添加/删除管理單元”，“證書”然後添加到所選管理單元。

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731435BxfE.png"></a>

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731436X1C9.jpg"></a>

8) 選擇“計算機賬戶”，下一步。

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731436DN3U.png"></a>

9) 選擇“本地計算機（運作此控制台的計算機）”，完成，點選确定 

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_13527314360bzi.png"></a>

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731437UbVa.jpg"></a>

10) 展開“證書（本地計算機）--受信任的根證書頒發機構—證書”，右鍵單擊“證書”，選擇“所有任務—導入”。 

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731437PDXE.jpg"></a>

11) 證書導入向導，下一步。

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731438dyPl.png"></a>

12) 選擇CA憑證檔案“c：\ca\ca.cer”，下一步。

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731438NfjG.png"></a>

13) 按預設，下一步。

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731438gMQF.png"></a>

14) 選擇“完成”，并确定。

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_13527314399ilg.png"></a>

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_13527314392ZZa.png"></a>

4 導入Exchange2010證書

1) 以域管理身份登陸BJRENNEX01

2) 打開Exchange管理控制台，選擇“伺服器配置---Exchange證書”，右鍵點選“Exchange”證書，選擇“完成擱置請求”。

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731440sf3j.jpg"></a>

3) 點選“浏覽”，選擇“c:\ca\mail.contoso.cer”的證書檔案，完成。

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731440x0EM.jpg"></a>

4) 選擇“完成”。

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731440HGbO.jpg"></a>

5) 檢視證書狀态。

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731441srw3.png"></a>

5 為服務配置設定證書

2) 打開Exchange管理控制台，選擇“伺服器配置---Exchange證書”，右鍵點選“Exchange”證書，選擇“為證書配置設定服務”。

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731441d3yZ.png"></a>

3) 在“将服務配置設定到證書”界面，添加目前FENG-EX01伺服器（預設情況下已添加），下一步。

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731442PFnV.jpg"></a>

4) 在“選擇服務”界面，選擇需要配置設定證書的服務，下一步。

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731442DhZj.jpg"></a>

5) 選擇“配置設定”。

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731442F4HA.jpg"></a>

6) 提示“是否覆寫現有預設的SMTP證書”，選擇“全是”。注意：exchange2010安裝完成後，會自動生成一個證書，這個提示詢問是否覆寫exchange2010自動生成證書。 

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_13527314435ewB.jpg"></a>

7) 選擇“完成”。

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731443Vgcp.jpg"></a>

8) 檢視為證書配置設定服務。

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731444R4dg.png"></a>

9)删除Exchange自簽名證書

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_13527314447gWi.jpg"></a>

11）将該證書包含私鑰從該CAS節點導出，然後再導入到NLB中的其他CAS節點。

右鍵單擊該證書，選擇 導出exchange證書，并設定證書導出路徑、名稱及密碼。

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731444ahEs.jpg"></a>

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731445WhAP.png"></a>

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731448U7sY.png"></a>

10）在另外一台CAS（BJRENNEX02）上右鍵點選，選擇 導入Exchange證書

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731450FH06.jpg"></a>

11）選擇 證書路徑并輸入私鑰密碼（證書導出密碼），按提示進行操作，步驟同上3-9

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731451E1Hv.png"></a>

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731453XZGN.jpg"></a>

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731454Vthu.png"></a>

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731456104s.png"></a>

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_13527314586D6I.png"></a>

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731459eUbj.jpg"></a>

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_13527314592036.jpg"></a>

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731459XX1e.jpg"></a>

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731460zioj.jpg"></a>

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731460qrjn.jpg"></a>

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731461RoLA.jpg"></a>

<a href="http://shubao.blog.51cto.com/attachment/201211/12/401810_1352731461cWfD.jpg"></a>