Руководство по SSL-сертификату Exchange 2013 –

Что нового в exchange server 2021?

Прежде чем мы перейдем к шагу, который вы хотите предпринять для установки сертификата SSL на Exchange Server 2021, мы кратко рассмотрим основные изменения в этой версии коммуникационного решения Microsoft. Возможно, вы уже знакомы со всем этим, но это хорошее напоминание.

Как обновить сертификат почтового сервера microsoft exchange?

Активируйте ssl-сертификат

24. На главной панели страницы Сертификаты выберите свой сертификат со статусом Действительный.
25. Чтобы изменить сертификат, нажмите на значок карандаша над списком сертификатов.
26. В новом окне найдите слева раздел exchangecert и нажмите Службы.
27. Выберите службы, для которых хотите активировать сертификат (например, SMTP, IMAP, POP и IIS).
28. Нажмите Сохранить.

Добавьте оснастку сертификата в консоли управления microsoft (mmc)

2. Откройте меню Пуск и нажмите Выполнить.
3. Введите mmc в строке и нажмите ОК.
4. В меню Файл выберите Добавить или удалить оснастку.
5. В открывшемся окне нажмите кнопку Добавить.
6. Нажмите Сертификаты, а затем Добавить.
7. Выберите Аккаунт компьютера и нажмите Далее.
8. Нажмите Локальный компьютер, а затем Готово.
9. В окне Добавить изолированную оснастку нажмите Закрыть.
10. В окне Добавить или удалить оснастку нажмите ОК.

Запрос сертификата

Есть несколько путей, чтобы выполнить процедуру генерации CSR-запроса. Самый простой из них — через оснастку Диспетчер служб IIS, который я рассматривал в статье Exchange Hybrid — Подготовка серверов федерации. В этой же статья я рассмотрю более «хардкорный» вариант, когда запрос надо сгенерировать из консоли EMS1. Итак, сделать это можно командой как в примере ниже:

Примечание: если вдруг надо указать данные об организации, вы можете это сделать внутри параметра -SubjectName, например -SubjectName [C=<CountryOrRegion>, S=<StateOrProvince>, L=<LocalityOrCity>, O=<Organization>, OU=<Department>], CN=<HostNameOrFQDN>.

Папка \exch01c$tmpcert_01 должна существовать. После выполнения команды там будет лежать CSR-запрос cert_01.req. С его помощью вы сможете получить сертификат в локальном доменном ЦС, либо отправить его публичному ЦС.

Импорт сертификата промежуточного центра сертификации

11. В консоли MMC нажмите ▸, чтобы открыть раздел Сертификаты (локальный компьютер).
12. Нажмите правой кнопкой мыши на папку Промежуточные центры сертификации. Наведите указатель мыши на пункт Все задачи и выберите Импорт.
13. В открывшемся окне нажмите Далее.
14. Выберите Обзор. Найдите файл загруженного промежуточного сертификата и нажмите Открыть.
15. Нажмите Далее. Проверьте данные сертификата и выберите Готово.
16. Закройте уведомление об успешном импорте.

Как установить сертификат ssl на microsoft exchange server 2021

В общем, вам понадобится сертификат SSL, который будет обрабатывать более одного домена. Это называется сертификатом «Альтернативное имя субъекта» (SAN). Другие могут называть его сертификатом «Unified Communications» (UC). В любом случае процесс правильной установки состоит из трех основных шагов.

Как это бывает

Помимо проблем с несвоевременным продлением, вам может также встретиться ситуация с отзывом сертификата со стороны выпускающего центра. Это может случиться в том случае, если вы установили свеженький сертификат, а счет, который центр сертификации присылает позже, оплатить забыли.

Примечание: обычно срок оплаты выпущенного сертификата составляет две недели, но все зависит от отношений вашей организации и центром сертификации. По личным договоренностям вы можете продлить срок оплаты. Также перед отзывом сертификата вас обязательно предупредят менеджеры ЦС, при том сделают это несколько раз.

Если вдруг вы нарвались на отзыв сертификата, то попасть даже в ECP у вас не получится. Вот что покажет браузер:

Как видите, кнопочки Продолжить открытие этого веб-сайта (не рекомендуется) тут нет, а следовательно придется поработать ручками в консоли.

Какой тип ssl-сертификата следует использовать?

Это будет зависеть от ваших потребностей, но вот краткий список типов сертификатов SSL, которые мы рекомендуем для настройки Exchange Server 2021.

Команды exchange server 2021

Вот удобный список всех страниц Microsoft о различных командах, которые вы будете использовать для установки SSL-сертификата в установке Exchange Server 2021.

Пересоздание сертификата

Однако пока все не так-то и просто. Дело в том, что в текущем самозаверенном сертификате содержатся совсем не те имена, которые нам нужны. Это произошло потому, что до этого я изменил внутренние и внешние URL (подробнее в статье Внутренние и внешние URL Exchange 2021 на моем блоге) и по-хорошему надо бы пересоздать сертификат.

Вам придется указать имена, которые этот сертификат будет содержать, но обычно Exchange 2021 самостоятельно подставляет все правильно и нужно только проверить. В любом случае все шаги вы сможете увидеть на скриншотах ниже:

Не забываем назначить новому сертификату службы. Для этого после создания нажмите Изменить (значок карандаша), далее пройдите в службы:

После этого необходимо сертификат, который использовался ранее, удалить, он в принципе больше не нужен.

Продление сертификата exchange из powershell

Выведите полный список сертификатов, установленных в Exchange, и скопируйте отпечаток (ThumbPrint) того сертификата, который нужно продлить. Список сертификатов можно сохранить в txt файл:

Get-ExchangeCertificate | C:psCertThumbPrint.txt

Создадим новый запрос на продление сертификата, указав ThumbPrint того сертификата, который нужно продлить, например 12345678901234567890. Следующая команда сформирует файл запроса на продление SSL/TLS сертификата:

Get-ExchangeCertificate -Thumbprint 12345678901234567890| New-ExchangeCertificate -GenerateRequest -RequestFile “\msk-mail1sharerenew_cert.req” -PrivateKeyExportable:$true

После получение нового сертификата из CA, завершите запрос продления командой:

Import-ExchangeCertificate -FileName \msk-mail1sharecompany_new_sslcert.cer” -PrivateKeyExportable:$true

Теперь активируйте данный SSL сертификат для нужных служб Exchange:

Enable-ExchangeCertificate –Thumbprint 123123123123123123123123123 –Services “IIS, SMTP, POP, IMAP”

Осталось только перезапустить службы IIS на Exchange:

Restart-Service W3SVC

Распространение через групповые политики

Следующим этапом будет экспорт сертификата с сервера Exchange 2021. Для этого запускаем консоль mmc через командную строку, нажимаем CTRL M (добавить оснастку), выбираем Сертификаты, далее выбираем учетной записи компьютера. Находим нужный сертификат:

На сертификате нажимаем правой кнопкой — Все задачиЭкспорт. В мастере экспорта просто нажимаем всегда далее, вам надо указать лишь название файла и куда вы хотите его сохранить. Следующий шаг — нужно перетащить этот файл на контроллер домена для его добавления в групповую политику.

На контроллере домена открываем оснастку управления групповыми политиками — в командной строке вводим gpmc.msc. Выбираем контейнер, в котором у вас находятся учетные записи компьютеров, нажимаем правой кнопкой — создаем объект групповой политики:

Задаем имя политики и сразу как она отобразится в дереве слева, нажимаем правой кнопкой — Изменить.

Нужно пройти в Конфигурация компьютераПолитикиКонфигурация WindowsПараметры безопасностиПолитики открытого ключаДоверенные корневые центры сертификации. Нажимаем правой кнопкой — Импорт. Далее просто проходим мастер импорта ничего не меняя, нужно просто указать расположение ранее экспортированного файла (см. выше).

На целевом ПК обновляем групповую политику — gpupdate /force или просто перезагружаем его. В итоге получаем работающий Outlook и «спокойный» браузер:

Это очевидно, но все же хочу напомнить: это все будет работать автоматически только на доменных ПК и только если учетная запись этих компьютеров будет в контейнере, к которому применяется нужный объект групповой политики. Если пользователи будут ругаться на невозможность установки соединения, вам в любом случае придется импортировать им сертификат вручную. На этом все, сертификат Exchange 2021 создан и распространяется через групповые политики.

Ресурсы для ssl-сертификатов exchange server 2021

Вот еще несколько ссылок, которые могут быть полезны для правильной установки SSL-сертификата на ваш Exchange Server 2021.

Скопируйте файлы сертификата на сервер

1. Найдите на сервере общую сетевую папку, в которой хранятся файлы сертификатов и ключей, и загрузите в нее промежуточный сертификат (с названием вида gd_iis_intermediates.p7b) и основной сертификат (файл в формате .crt со случайным названием).

Суть вопроса

До этого момента я обходился лишь самозаверенным сертификатом и его вполне достаточно для работы в Outlook Web App, если вас не раздражает каждый раз нажимать «Дополнительно», чтобы проигнорировать предупреждение безопасности:

Тем не менее, некоторыми сервисами вы не сможете воспользоваться сразу, если у вас используется этот тип сертификата:

Такая ошибка у вас вылезет при первом запуске Outlook 2021. А дальше вы вообще потеряете соединение:

Итогом станет осознание факта, что без некоторых телодвижений получить нормально работающий Outlook 2021 не выйдет. Аналогичная информация есть2 и в статье на Technet:

Exchange ActiveSync и Outlook Web App могут устанавливать подключения SSL с помощью самозаверяющего сертификата. Мобильный Outlook не сможет работать с самозаверяющим сертификатом на сервере клиентского доступа. Самозаверяющие сертификаты необходимо вручную копировать в доверенное корневое хранилище сертификатов на клиентском компьютере или мобильном устройстве.

В этой цитате уже есть и решение проблемы — нужно скопировать самозаверенный сертификат в доверенное корневое хранилище сертификатов на целевом устройстве. Этим и займемся, только сделаем все централизованно через групповые политики.

Числа

• Не ставьте для типа INTEGER свойство UNSIGNED, если вы не знаете что делайте. Из коробки php не поддерживает числа такого большого размера
• Связанные таблицы («Foreign keys») должны иметь полное сходство по структуре ключей. Т.е. если у нас на одной таблице для поля указано «INTEGER UNSIGNED DEFAULT 0 NOT NULL» то и на другой должно быть указано аналогично
• Для хранения булевых значений, нужно использовать TINYINT(1)
• А деньги лучше хранить в DECIMAL(10, 2), где первое число обозначает количество всех знаков, включая запятую, а второе — количество знаков после запятой. Итого, у нас получится что DECIMAL(10,2) может сохранить 9999999,99

Шаг 2 – установка сертификата

После того, как вы получили сертификат SSL, следующим шагом будет его установка. Если вы получили файл .crt, вам потребуется отдельно установить промежуточные сертификаты. Если вы получили файл сертификата .p7b, промежуточные сертификаты уже установлены. В любом случае вы захотите установить основной сертификат SSL, выполнив следующую команду:

Импорт-ExchangeCertificate

Шаг 3 – тестирование

Многим нравится пропускать этот шаг, но мы не рекомендуем его. После того, как ваш сертификат SSL установлен, вы хотите убедиться, что он работает правильно. Чтобы проверить установку, выполните следующую команду:

Get-ExchangeCertificate

Это даст вам быстрый взгляд на то, что произошло после установки сертификата, и позволит вам убедиться, что он был правильно настроен, прежде чем двигаться дальше.

Экспорт сертификата из exchange 2007/2021 и импорт в exchange 2021 | для системного администратора