- Установка центра сертификации в домене
- Настройка центра сертификации
- Запрос сертификата для сервера Exchange 2021
- Получение сертификата из центра сертификации
- Импорт и назначение сертификата
- Распространение сертификата
- Активируйте ssl-сертификат
- Генерация сертификата через emc
- Добавьте оснастку сертификата в консоли управления microsoft (mmc)
- Импорт/экспорт сертификатов
- Импортируйте промежуточный ssl-сертификат
- Переключение служб на новый сертификат
- Сертификация exchange 2021
- Скопируйте файлы сертификата на сервер
- Установка ssl сертификата: exchange 2021
- Памятка по созданию сертификатов ssl для exchange 2021/2021 (локальный ca)
- Заключение
Установка центра сертификации в домене
На сервере под управлением 2008 R2, например, на контроллере домена запускаем Server Manager (Диспетчер сервера) и добавляем роль (ссылкой Add Roles) «Active Directory Certificate Services»
Кнопка Next>
Кнопка Add Required Role Services
Отмечаем верхние 2 пункта (остальной по желанию)
Задаем срок действия сертификатов, выданных этим центром сертификации
Настройка центра сертификации
По умолчанию центр сертификации генерирует сертификаты, которые обслуживают только по одному имени субъекта. Т.е. для каждого имени нужно генерировать отдельный сертификат. Чтобы разрешить выпуск сертификатов с несколькими альтернативными именами субъектов, необходимо на сервере с ролью Центра сертификации выполнить команду:
certutil -setreg policyEditFlags EDITF_ATTRIBUTESUBJECTALTNAME2
и перезапустить службы сертификации:
net stop certsvc & net start sertsvc
Запрос сертификата для сервера Exchange 2021
В консоли управления Exchange Server 2021: Server Configuration – правый клик на имени сервера (либо в правой нижней области) – New Exchange Certificate
Вводим понятное имя создаваемого сертификата (можно кириллицей), например, «Доменный сертификат Exchange», кнопка Next.
Страницу Domain Scope (Область домена) пропускаем. Дальше интересное:
На странице Exchange Configuration (Конфигурация сервера Exchange) разворачиваем узел Client Access server (Outlook Web App)
и устанавливаем оба флажка:— Outlook Web App is on the Intranet— Outlook Web App is on the InternetПроверяем, чтобы во втором поле было указано корректное имя, на которое ссылается MX запись для вашего домена на внешних DNS серверах.
Разворачиваем узел Client Access server (Exchange ActiveSync). Должен быть установлен флажок Exchange Active Sync is enabled
Получение сертификата из центра сертификации
Находим только что сохраненный файл CertRequest.req и открываем его в Блокноте. Ctrl A, Ctrl C (сохраняем содержимое файла в буфер обмена) и закрываем Блокнот.
Импорт и назначение сертификата
В консоли управления Exchange Server 2021: Server Configuration – выбираем свой сервер Exchange и в правой нижней области правый клик по вновь созданному пункту «Доменный сертификат Exchange» – Complete Pending Request (Выполнить ожидающий запрос).
На странице Complete Pending Request нажимаем кнопку Browse, находим на диске сертификат certnew.cer, загруженный из центра сертификации и импортируем его сюда.
Снова делаем правый клик по «Доменный сертификат Exchange» и выбираем пункт Assign Services to Certificate (Назначение служб сертификату). На сранице выбора серверов в списке должен быть указан наш сервер, для которого назначается сертификат. На странице Select Services (Выбор служб) устанавливаем флажок IIS
Далее, назначить, готово.
Распространение сертификата
В домене сертификат распространится автоматически вместе с обновлением групповых политик. Для немедленного тестирования можно на клиенте выполнить команду
gpupdate /force
Активируйте ssl-сертификат
- На главной панели найдите раздел Сертификаты Exchange и выберите свой сертификат.
- На панели Действия справа найдите раздел со своим сертификатом и нажмите Назначение служб сертификату.
- В новом окне выберите свой сервер и нажмите Далее.
- Выберите службы, для которых хотите активировать сертификат (например, SMTP, IMAP, POP и IIS).
- Нажмите Далее, а затем Назначить.
- Нажмите Готово.
Генерация сертификата через emc
Если мы воспользуемся мастером генерации нового сертификата, то он в самом начале предложит нам создать wildcard-сертификат (см. рис.1):
Рис.1: Создание wildcard-сертификата через EMC.
После установки этой галочки, без лишних вопросов про имена, включаемые в сертификат, будет предложено сгенерировать запрос, который потом нужно будет отправить в центр сертификации. Ответом на данный запрос, центр сертификации вам вышлет сертификат, который нужно будет активировать (см. пост Публикация Exchange 2021 – “сертификация”).
Добавьте оснастку сертификата в консоли управления microsoft (mmc)
- Откройте меню Пуск и нажмите Выполнить.
- Введите mmc в строке и нажмите ОК.
- В меню Файл выберите Добавить или удалить оснастку.
- В открывшемся окне нажмите кнопку Добавить.
- Нажмите Сертификаты, а затем Добавить.
- Выберите Аккаунт компьютера и нажмите Далее.
- Нажмите Локальный компьютер, а затем Готово.
- В окне Добавить изолированную оснастку нажмите Закрыть.
- В окне Добавить или удалить оснастку нажмите ОК.
Импорт/экспорт сертификатов
Для того, чтобы клиенты и серверы (например, ISA/TMG) могли принимать сертификат Exchange`a и пользоваться им, нужно выполнить 2 условия:
- Обеспечить клиентов доверием к этому сертификату;
- Обеспечить серверы самим сертификатом.
Что касается клиентов, то в случае рабочих станций, находящихся в домене, сервер ЦС сам позаботится о том, чтобы доменные пользователи ему доверяли, и установит свой сертификат к ним в Trusted Root Certification Authorities. Если же у вас есть не доменные пользователи или вам необходимо обеспечить клиентов другим сертификатом, то для этого нужно выполнить операцию экспорта/импорта.
Если вам нужен
сертификат самого ЦС
, то проще всего его запросить через веб-браузер по адресу
Импортируйте промежуточный ssl-сертификат
- В консоли MMC нажмите ▸, чтобы открыть раздел Сертификаты (локальный компьютер).
- Нажмите правой кнопкой мыши на папку Промежуточные центры сертификации. Наведите указатель мыши на пункт Все задачи и выберите Импорт.
- В открывшемся окне нажмите Далее.
- Выберите Обзор. Найдите файл загруженного промежуточного сертификата и нажмите Открыть.
- Нажмите Далее. Проверьте данные сертификата и выберите Готово.
- Закройте уведомление об успешном импорте.
Переключение служб на новый сертификат
После того, как сертификат успешно импортирован, на него нужно переключить работу служб, таких как SMTP, IIS, POP3, IMAP, UM. Сделать это можно нажав правой кнопкой на сертификате в EMC – Assign Services to Certificate…, либо через PowerShell.
Сертификация exchange 2021
Первым делом нам нужно установить Центр Сертификации.
Для этого на сервере открываем Диспетчер сервера, нажимаем Добавить роль, выбираем Службы сертификации Active Directory, выбираем компоненты Центр сертификации и Служба регистрации в центре сертификации через Интернет (для получения сертификатов через веб-браузер).
Выбираем тип Центра сертификации:
Выбираем тип Центра сертификации:
Так как у нас это единственный центр сертификации выбираем параметр «Корневой ЦС»:
Создаем закрытый ключ:
Создаем закрытый ключ:
Настройка провайдера алгоритма шифрования:
Зададим имя Центра сертификации:
Зададим имя Центра сертификации:
Укажем срок действия сертификата для данного ЦС:
Дело в том, что сертификаты по умолчанию могут быть привязаны только к одному имени субъекта. Для включения в сертификат нескольких альтернативных имен субъектов необходимо в центре сертификации активировать функцию Subject Alternative Name. Для этого выполним команду:certutil -setreg policyEditFlags EDITF_ATTRIBUTESUBJECTALTNAME2
Перезапустим службу:net stop certsvcnet start certsvc
Дальше нужно создать запрос сертификата для сервера Exchange.
Заходим в консоль управления Exchange, раздел Настройка серверов, жмем в правой колонке Создание сертификата Exchange…
Введем понятное имя сертификата и на странице Конфигурация сервера Exchange внимательно заполним FQDN имена узлов для необходимых нам сервисов.
Введем понятное имя сертификата и на странице Конфигурация сервера Exchange внимательно заполним FQDN имена узлов для необходимых нам сервисов.
Заполняем страницу Организация и местоположение
Нажимаем кнопку Обзор…, задаем имя файла и сохраняем его. Завершаем создание запроса сертификата
Затем нужно открыть фал с сохраненным запросом (*.req) например Блокнотом, скопировать его содержание. Далее открываем браузер и вводим адрес http://dc2/certsrv (или https://dc2/certsrv), где dc2 — имя сервера, на котором установлен центр сертификации. Если находимся на сервера где установлен центр сертификации, то можно зайти через http://localhost/certsvr (https://localhost/certsvr). Нажимаем Запрос сертификата, Расширенный запрос сертификата, далее Выдать запрос, используя base-64 шифрованный файл PKCS #10, или выдать запрос обновления, используя base-64 шифрованный файл PKCS #7. Вставляем содержимое запроса в поле Сохраненный запрос, выбираем шаблон сертификата Веб-сервер и нажимаем кнопку Выдать.
Щелкаем по ссылке Загрузить сертификат и сохраняем его на диске.
Возвращаемся в Консоль управления Exchange
В правой нижней области правый клик по созданному нами сертификату – Выполнить ожидающий запрос… Жмем Обзор… и выбираем сертификат, загруженный из центра сертификации.
Снова делаем правый клик по сертификату и выбираем Назначение служб для сертификатов…, выбраем службы.
Щелкаем по ссылке Загрузить сертификат и сохраняем его на диске.
Возвращаемся в Консоль управления Exchange
В правой нижней области правый клик по созданному нами сертификату – Выполнить ожидающий запрос… Жмем Обзор… и выбираем сертификат, загруженный из центра сертификации.
Снова делаем правый клик по сертификату и выбираем Назначение служб для сертификатов…, выбраем службы.
Обновляем групповые политики:gpupdate /force
Для клиентов вне домена нужно импортировать сертификат. Для этого заходим в центр сертификации, и жмем Загрузка сертификата ЦС, цепочки сертификатов или CRL. Сохраняем файл с расширением .p7b. Передаем этот файл клиенту. На клиенте правый клик по файлу сертификата, выбираем пункт Установить сертификат, выбираем Поместить все сертификаты в следующее хранилище, Обзор, Доверенные корневые центры сертификации.
Скопируйте файлы сертификата на сервер
- Найдите на сервере папку, в которой хранятся файлы сертификатов и ключей, и загрузите в нее промежуточный сертификат (с названием вида
gd_iis_intermediates.p7b) и основной сертификат (файл в формате.crtсо случайным названием).
Установка ssl сертификата: exchange 2021
Сервер Microsoft Exchange предоставляет определенные функции, нуждающиеся в специальной защите (например, Autodiscover или внутренние имена). Поэтому мы рекомендуем заказать Comodo UCC (Unified Communications Certificate) – SSL сертификат, разработанный специально для среды MS Exchange.
Прежде чем начать установку SSL сертификата, скопируйте полученные файлы на Ваш Exchange сервер. Затем Вы можете установить SSL сертификат с помощью Exchange Management Console.
1. Чтобы запустить консоль управления, откройте Start > Programs > Microsoft Exchange 2021 > Exchange Management Console.
2. Когда консоль откроется, перейдите в пункт меню Manage Databases, и в левостороннем меню выберите пункт Server configuration.
3. В нижней части окна (Exchange Certificates) Вы должны увидеть название запроса на сертификат, который Вы создали ранее. Выберите Ваш сертификат и в меню справа нажмите на действие Complete Pending Request.
4. В появившемся окне с помощью кнопки Browse выберите файл Вашего сертификата, имеющий расширение .crt или .cer. Нажмите кнопку Open, а затем Complete.
Если Вы получили сообщение об ошибке “The source data is corrupted or not properly Base64 encoded” и что импорт сертификата не удался, проигнорируйте эту ошибку и продолжайте установку дальше. Это сообщение часто выдается в Exchange 2021, даже если импорт сертификата прошел успешно. Нажмите кнопку Finish.
5. Вернувшись в окно Exchange Certificates, Вы увидите, что статус Вашего сертификата изменился из Self Signed: True на Self Signed: False. Это значит, что теперь Ваш сертификат распознается как подписанный доверенным центром сертификации. Кроме того появилось несколько дополнительных опций управления данным сертификатом.
6. В правостороннем меню выберите пункт Assign Services to Certificate, чтобы добавить сервисы для Вашего сертификата.
7. Выберите Ваш сервер и нажмите кнопку Next.
8. Из списка выберите сервисы, на которые будет распространяться действие Вашего сертификата, нажмите кнопку Next, а далее Assign. Когда установка завершится, нажмите кнопку Finish.
Теперь Ваш SSL сертификат успешно установлен на Exchange 2021.
Памятка по созданию сертификатов ssl для exchange 2021/2021 (локальный ca)
В данной памятке предполагается:
Последовательность команд:
1. $Data = New-ExchangeCertificate -server SERVERFQDN -SubjectName “c=RU, o=ORGNAME, cn=SERVERFQDN” -generaterequest -friendlyname “Exchange Cert for WEB Services” -domainname [все FQDN через запятую без пробелов] -PrivateKeyExportable $true
Указать следующие имена SAN(параметр -domainname):
— короткое (NetBIOS) название сервера(например EX-CAS1);
— все FQDN, по которым к серверу получают доступ пользователи и приложения, как внутренние, так и внешние (через Интернет), например EX-CAS1.contoso.local; OWA.contoso.com ;
— имя autodiscover.AD_DOMAIN_FQDN (например autodiscover.contoso.com);
Запрос должен быть создан на сервере Exchange, на котором впоследствии будет импортирован соответствующий сертификат (использовать параметр -server)
2. Set-Content -path “c:certEXcertreq.txt” -Value $Data
3. certreq -attrib “CertificateTemplate:WebServer” -attrib “Exportable:TRUE” -submit c:certEXcertreq.txt c:certEXcert.cer
будет отображено окно с запросом, к какому из перечисленных в нем СА
отправлять запрос — выбрать тот на котором опубликован шаблон сертификата
веб-сервера
4. Import-ExchangeCertificate -Server SERVER_FQDN -FileData ([Byte[]]$(Get-Content -Path c:certEXcert.cer -Encoding byte -ReadCount 0))
Импортируем в Exchange сертификат
5. Get-ExchangeCertificate -Server SERVER_FQDN | fl
Узнаем THUMBPRINT
6. Enable-ExchangeCertificate -Server SERVER_FQDN -thumbprint THUMBPRINT -services
“SMTP,IIS,POP,IMAP”
Назначаем сертификат
7. Get-ExchangeCertificate -Server SERVER_FQDN
Проверяем
Есть гибридный способ:
— делаем через ECP запрос на сертификат (файл.req)
— certreq -attrib “CertificateTemplate:WebServer” -attrib “Exportable:TRUE” — выбираем наш запрос req, получаем сертификат
— импортируем на exchange
Заключение
На этом тему выдачи сертификата мы закончим. В следующей статье поговорим про публикацию самих сервисов Exchange 2021 в сеть Интернет.
Данная статья является частью цикла “
Публикация сервисов Exchange 2021 через TMG