【转载】使用Exchange命令行工具通过企业CA来申请证书

在安装 Exchange 2007 时，可以安装由 Exchange 安装程序创建的默认 SSL 证书。但是，此证书不是受信任的 SSL 证书，不能用于 Outlook Anywhere。我们应该将 Exchange 2007 客户端访问服务器配置为使用来自第三方商业证书颁发机构 (CA) 或受信任的 Windows 公钥基础结构 (PKI) CA 的受信任证书。有关如何从第三方商业证书颁发机构申请证书，我们在此不做介绍。我们介绍如何通过Exchange 命令行工具通过企业CA来申请证书。

　　首先，首先我们需要在组织当中安装一台CA(Certification Authority)服务器，您可以在域控制器上安装CA，有关如何安装CA的过程，我们在此不做介绍。现在我们已经在dc01这台计算机上安装了CA， 该计算机的FQDN名称为dc01.exchange.com。我们可以通过下面的步骤来实现：

　　使用 Exchange 命令行管理程序，可以创建证书请求包括客户端访问服务器的所有 DNS 主机名称。然后，可以启用用户连接到在其他名称属性中列出的服务(如 Outlook Anywhere、Autodiscover、POP3 和 IMAP4 或统一消息)的证书。

　　一、使用 New-ExchangeCertificate cmdlet 创建证书请求文件。

　　1. 在Exchange 2007客户端访问服务器上，打开Exchange Management Shell，然后输入下面的命令：

　　New-ExchangeCertificate -GenerateRequest -DomainName ex2k7-01.exchange.com, autodiscover.exchange.com -Path c:certreq.txt -PrivateKeyExportable $true

　　注意：请将domainname后面的ex2k7-01.exchange.com和autodiscover.exchange.com替换为自己 实际的DNS主机名称，该命令将创建一个文本文件，其中包含 PKCS#10 格式的证书请求。

　　2. 在执行完上述命令后，我们可以在c:的目录下发现certreq.txt文件，打开Internet Explorer，输入，系统会提示您输入用户名和 密码，如图1所示，

　　图1

　　3. 输入正确的用户名和密码后，点击确定，然后选择Request a certificate，如图2所示，

　　图2

　　4. 然后点击advanced certificate request，如图3所示，

　　图3

　　5. 选择Submit a certificate request by using a base-64-encoded CMC or PKCS #10 file. Or submit a renewal request by a base-64-encoded PKCS #7 file，如图4所示，

　　图4

　　6. 打开c: certreq.txt文件，右键选中--------BEGIN NEW CERTIFICATE REQUEST-------和-------END NEW CERTIFICATE REQUEST------中间的部分，选择copy，如图5所示，

　　图5

　　7. 将刚才选中的内容拷贝到saved request中，在certificate template中选择web server，点击submit，如图6所示，

8. 选择Base 64 encoded，点击download certificate，如图7所示，

　　图7

　　9. 将该证书保存到c:中，如图8所示。

　　图8

　　二、使用 Exchange 命令行管理程序导入证书

　　1. 在Exchange Management Shell中运行下面的命令，将该证书导入并分配证书到POP3服务，

　　Import-ExchangeCertificate -Path c:certnew.cer | Enable-ExchangeCertificate -Services pop

　　三、使用 Exchange 命令行管理程序查看证书指纹

　　您可以通过下面的命令来查看证书的指纹，如图9所示，

　　图9

　　Get-ExchangeCertificate -DomainNane ex2k7-01.exchange.com

　　注意：如果存在若干个证书与指定的主机名称匹配，该命令将返回多个证书。因此，请确保选择的是所请求的正确证书的指纹。

　　四、使用 Exchange 命令行管理程序分配证书到 IIS、SMTP和 IMAP4服务

　　Enable-ExchangeCertificate -thumbprint -services "IIS,SMTP,IMAP"

　　或者，若要分配证书到服务器，该服务器再依次将证书分配给 Exchange 服务器上运行的所有服务，请运行以下命令：

　　Import-ExchangeCertificate -path -friendlyname "Contoso CAS01" | enable-exchangecertificate -services "IIS,POP,IMAP"