更新Windows 2008和exchange 2007证书

来源：互联网发布：淘宝直通车常见问题编辑：程序博客网时间：2024/05/21 05:05

主域控制器包含AD证书服务，在企业PKI中有两个ROOTS CA，不过其中一个CA的服务器已经被删除，没有将CA的其他连接删除干净。

更新CA根证书。右击CA--所有任务--续订CA证书，就可以更新CA的根证书了。由于内网服务器使用了SSL，而且证书也刚好过期，内网服务器使用的是Windows 2003，IIS6，更新证书很简单。在IIS管理器，右击网站--属性--目录安全性--服务器证书--接着按照提示说明选择“更新当前证书”，这样子即使证书过期也可以更新。

话说exchange 2007证书的更新就比较复杂。首先由于主域用的是Windows 2008，IIS7，网站身份验证选择错误，导致最先用http://主域控制器名/certsrv，能够出现证书申请界面，但是在高级证书申请那里却提示“找不到任何证书模板……”，后来在主域控制器里面的AD证书服务，把证书模板中“web服务器”的权限赋予认证用户能够注册，默认是读取权限。这样子设置后，在证书模板哪里能够看到“web服务器”，不过提交申请却失败。提示域名错误，估计是域名信息太长。后来删除一部分域名信息，能够正确注册。这个问题是可以解决的。原因是证书服务器里面的IIS身份认证设置不正确导致的。正确的身份认证应该是：整个主域控制器的IIS为启用Windows 集成认证，禁止匿名认证，打开IIS7，选中左边的服务器名，再选右边的身份认证，然后打开功能，修改为正确的设置。再左边找到“网站”和“CertSrv”这两个，同样把身份认证设置为正确的身份认证，再重新申请证书，就可以正确申请。申请证书后导出证书，然后导入exchange 2007里面，点击IIS左边的服务器名，点击右边编辑，在443端口那里，选择编辑，然后选择导入的证书名称。具体步骤看下面

用PS更新exchange 2007证书

第一步：New-ExchangeCertificate -GenerateRequest -Path c:\cert.txt -SubjectName "CN=mail.****.com.cn, OU=****, O=**** Group, L=GuangZhou, S=GuangDong, C=CN" -DomainName mail.****.com.cn, mail07, mail07.****.com.cn, mail, owa.****.com.cn, autodiscover, autodiscover.****.com.cn -PrivateKeyExportable $true -FriendlyName mail

其中的 -GenerateRequest 这个参数是不生成自签证书；

-Path 为存储申请证书内容的路径；

-SubjectName 为证书主题，

-PrivateKeyExportable 允许导出私钥

FriendlyName 为证书显示名

第二步，打开IE，输入http://证书服务器名/certsrv ，点击“申请证书”，再点击“使用 base64 编码的 CMC 或 PKCS #10 文件提交一个证书申请，或使用 base64 编码的 PKCS #7 文件续订证书申请。”，在保存的申请中黏贴刚刚生成的 c:\cert.txt 中begin和end中间部分，证书模板为“web服务器”，点击提交，然后选择base编码，把证书导出来

第三步，Import-ExchangeCertificate -path c:\mail.cer 把导出的证书复制到exchange 2007的C盘，然后导入

第四步，使用Get-ExchangeCertificate 然后查看证书对应的thumbprint ，如果想看到更详细的参数，可以使用Get-ExchangeCertificate |fl 可以看到证书的详细参数

第五步，enable-ExchangeCertificate -thumbprint 刚刚导入证书的thumbprint -services "IIS,IMAP,POP" 重点说明：如果说加了-services 这个参数，那么这个证书为自签证书，使用后只能在内部登录owa，无法在外网登录owa，在外网登录owa必须不能使用自签证书，需要用CA签发的证书，如果没有加入-services 这个参数，就是CA签发的证书。为啥会这样子？看微软的介绍，-services 这个参数是为自签证书使用，所以即使证书有CA申请，但是使用了这个参数，仍然会被认为是自签证书。PS:经过后期测试发现，即使加了-services 也不会被认为是自签证书。如果说外网无法访问，要看看那台计算机是不是曾经导入根证书，如果曾经导入根证书，根证书又过期了，那就会导致无法访问。如果是在公司加了域的电脑无法访问，要看看是不是这台电脑的根证书过期，但是没有即使更新，把过期证书删除，然后导入新证书，就可以访问。