企業(yè)exchange2007部署證書(shū)的過(guò)程：結(jié)構(gòu)：server03上安裝windows2008 r2+ad+dns，server04上安裝windows2008 r2+exchange2007
說(shuō)明：在EXCHANGE2007部署企業(yè)內(nèi)部CA前，最好在IIS7里面刪除掉系統(tǒng)默認(rèn)的所有“證書(shū)”，然后再執(zhí)行下面的操作
注意:要修改hosts文件，添加127.0.0.1 server04 防止IPV6對(duì)認(rèn)證、郵件收發(fā)有影響
1、證書(shū)申請(qǐng)：（要與FQDN名字匹配）
New-ExchangeCertificate -GenerateRequest -DomainName server03.xyz.com,server04.xyz.com,mail.xyz.com, autodiscover.xyz.com ,*.xyz.com -Path c:\certreq.txt -PrivateKeyExportable $true
依據(jù)自己公司的需求更改對(duì)應(yīng)的
在server04上安裝安裝證書(shū)服務(wù):
其它步驟略
2、生成證書(shū)：
http://localhost/certsrv或者https://localhost/certsrv注意：這個(gè)證書(shū)申請(qǐng)網(wǎng)站是域服務(wù)器的。然后證書(shū)的申請(qǐng)、導(dǎo)入、啟動(dòng)是在exchange的EMC管理窗口操作的。所以這里一定要注意，不然證書(shū)總是提示錯(cuò)誤
3、導(dǎo)入證書(shū)
Import-ExchangeCertificate -Path c:\certnew.cer
4.輸入Get-ExchangeCertificate 命令查看新的證書(shū)是否列出。紅色部分為指紋：thumbprint
5. 如果列出，請(qǐng)運(yùn)行以下命令重新應(yīng)用證書(shū)：（注紅色部分在填的時(shí)候應(yīng)該填證書(shū)指紋參數(shù)，參數(shù)從上面的那個(gè)命令列出證書(shū)，即可察看到證書(shū)對(duì)應(yīng)的指紋）如下圖
Enable-ExchangeCertificate -Thumbprint 8C1986E4FD7D703B0E41AEC9E47E60A5BB46EADD -Services “IIS,SMTP,IMAP,POP”
6、.查看證書(shū)狀態(tài)
Get-ExchangeCertificate | fl *
7、在IIS里面查看exchange2007的證書(shū)是否成功。
完成以上操作后，記得一定要重啟IIS，包括域服務(wù)器和exchange服務(wù)器的。另外，最好把exchange的所有服務(wù)重啟
8、.刪除證書(shū)
Remove-exchangecertificate -Thumbprint Thumbprint
8C1986E4FD7D703B0E41AEC9E47E60A5BB46EADD即：
9、outlookanywhere要正常使用一定要安裝rpc組件
10、https://www.testexchangeconnectivity.com/該網(wǎng)站用來(lái)測(cè)試證書(shū)的正確性，一般商業(yè)購(gòu)買(mǎi)的證書(shū)可以通過(guò)。企業(yè)自定義的CA證書(shū)通不過(guò)，很正常。
相關(guān)文章：
在生產(chǎn)環(huán)境中，經(jīng)常遇到這樣的環(huán)境：用戶的AD域名是a.com，用戶的Internet注冊(cè)域名是b.com，生產(chǎn)系統(tǒng)很多域名都注冊(cè)在b.com里面。為了確保最終用戶的統(tǒng)一的使用體驗(yàn)，還需要確保無(wú)論在公司內(nèi)部還是公司外部，都要使用xxx.b.com來(lái)訪問(wèn)應(yīng)用。例如，無(wú)論在公司內(nèi)部還是在公司外部，使用mail.b.com這個(gè)地址來(lái)訪問(wèn)exchange的owa。
一般來(lái)說(shuō)這樣的配置沒(méi)有什么問(wèn)題，但是在需要證書(shū)的exchange2007環(huán)境里，就會(huì)有一個(gè)問(wèn)題：IIS上的證書(shū)，根據(jù)要求，issued to的名字和common name必須統(tǒng)一，并且只能有一個(gè)。而且IIS上只能配置一張證書(shū)，在前面這種多域名環(huán)境下，往往容易出現(xiàn)這樣的錯(cuò)誤，當(dāng)你把證書(shū)的common name配置為mail.b.com時(shí)，內(nèi)部outlook mapi或者pop3用戶，就會(huì)因?yàn)榻馕龅挠蛎妥C書(shū)不一致（內(nèi)部outlook用戶mapi客戶端總是解析server的FQDN，例如server1.mail.a.com），跳出這樣的錯(cuò)誤：安全證書(shū)上的名稱(chēng)無(wú)效或者與網(wǎng)站的名稱(chēng)不相同。
如何解決這個(gè)問(wèn)題？在這里我們可以使用exchange2007的powershell，來(lái)生成一個(gè)支持多名稱(chēng)的證書(shū)。其實(shí)就是配置證書(shū)的Other alternative name名稱(chēng)。
配置步驟：
1、使用powershell命令生成一個(gè)證書(shū)申請(qǐng)，我們以一開(kāi)始的名稱(chēng)環(huán)境為例，假設(shè)要生成一個(gè)支持如下域名的證書(shū)：mail.b.com，mail.b.com.cn，server1.a.com(fqdn，為了讓outlook不報(bào)錯(cuò)），autodiscover.a.com，請(qǐng)參看如下命令：
New-ExchangeCertificate -GenerateRequest -Path c:\mail_b_com.csr -KeySize 1024 -SubjectName "c=CN, s=Shanghai, l=Shanghai, o=OOOXXX, ou=IT, cn=mail.b.com" -DomainName mail.b.com.cn, server1.a.com, autodiscover.a.com -PrivateKeyExportable $True
上面這個(gè)命令是，生成一個(gè)證書(shū)申請(qǐng)請(qǐng)求，文件保存在c:\mail_b_com.csr路徑下，subjectname是申請(qǐng)證書(shū)時(shí)的組織和地址信息，domainname后面的都是你要額外注冊(cè)的域名。注意第一個(gè)一定要寫(xiě)之前的commonname?？梢园涯阆胍C書(shū)支持的域名都寫(xiě)進(jìn)去，包括server的FQDN。這樣，訪問(wèn)這張證書(shū)中的任何一個(gè)名字，都不會(huì)報(bào)告證書(shū)名字不對(duì)應(yīng)的錯(cuò)誤了。
如果覺(jué)得很繁瑣，這里有個(gè)簡(jiǎn)單的生成方法：
2、訪問(wèn)組織內(nèi)部的CA，提交證書(shū)申請(qǐng)，通過(guò)文件申請(qǐng)，把這個(gè)文件提交上去。這個(gè)就不多說(shuō)了，了解證書(shū)申請(qǐng)過(guò)程的都很清楚，也很簡(jiǎn)單。注意最后一步下載證書(shū)的時(shí)候，證書(shū)格式要選擇Base 64 encoded 格式。
3、在powershell里，把這張證書(shū)導(dǎo)入到exchange服務(wù)器上（假設(shè)上面你保存下來(lái)的證書(shū)名稱(chēng)位certnew.cer）：
Import-ExchangeCertificate -path c:\certnew.cer | enable-exchangecertificate -services "IIS,POP,IMAP"
4、在IIS里面，刪除Exchange自簽名的舊證書(shū)，然后assign這個(gè)新證書(shū)就可以了。
至此，在啟用了outlook anywhere的exchange07服務(wù)器上，再也不會(huì)報(bào)告上面的證書(shū)名字和訪問(wèn)呢名字不匹配問(wèn)題了。
本文出自 “第三方” 博客，請(qǐng)務(wù)必保留此出處http://2526575.blog.51cto.com/2516575/659168
