Créer une demande de certificat Exchange Server pour une autorité de certification

S’APPLIQUE à :2016 2019 Édition d’abonnement

La création d’une demande de certificat est la première étape de l’installation d’un certificat sur un serveur Exchange pour configurer le chiffrement TLS (Transport Layer Security) pour un ou plusieurs services Exchange. Vous utilisez une demande de certificat (également appelée demande de signature de certificat ou CSR) pour obtenir un certificat auprès d'une autorité de certification. Les procédures sont les mêmes pour l’obtention de certificats auprès d’une autorité de certification interne (par exemple, les services de certificats Active Directory) ou d’une autorité de certification commerciale. Une fois votre demande de certificat créée, vous devez envoyer les résultats à l’autorité de certification qu’elle utilisera pour délivrer le certificat à installer.

Vous pouvez créer des demandes de certificat dans le Centre d’administration Exchange (EAC) ou dans Exchange Management Shell. L’Assistant Nouveau certificat Exchange dans le CAE peut vous aider à sélectionner les noms d’hôte requis dans le certificat.

Ce qu'il faut savoir avant de commencer

• Des autorisations doivent vous être attribuées avant de pouvoir exécuter cette procédure. Pour plus d’informations sur les autorisations dont vous avez besoin, consultez l’entrée « Sécurité des services d’accès client » dans l’article sur les autorisations des clients et des appareils mobiles .

• Durée d’exécution estimée : 5 minutes nécessaires pour finaliser la nouvelle demande de certificat. Toutefois, il faut plus de temps avant que la demande ne conduise à la délivrance d’un certificat. Pour plus d’informations, consultez la section Étapes suivantes.

• Vous devez veiller à bien choisir le type de certificat souhaité et les noms d’hôtes requis dans le certificat. Pour plus d’informations, voir Certificats numériques et chiffrement dans Exchange Server.

• Vérifiez les conditions requises par l’autorité de certification pour effectuer une demande de certificat. Exchange génère un fichier de demande PKCS #10 (.req) qui utilise l’encodage Base64 (par défaut) ou Distinguished Encoding Rules (DER), avec une clé publique RSA de 1 024, 2 048 (par défaut) ou 4 096 bits. Les options d’encodage et de clé publique sont uniquement disponibles dans Exchange Management Shell. Pour plus d'informations, consultez la rubrique New-ExchangeCertificate.

• Dans le CAE, vous devez stocker le fichier de demande de certificat sur un chemin d’accès UNC (\\<Server>\<Share>\ ou \\<LocalServerName>\c$\). Dans l'Environnement de ligne de commande Exchange Management Shell, vous pouvez spécifier un chemin d'accès local.

• Pour en savoir plus sur l'ouverture de l'environnement de ligne de commande Exchange Management Shell dans votre organisation Exchange locale, consultez la rubrique Open the Exchange Management Shell.

• Pour plus d’informations sur les raccourcis clavier qui peuvent s’appliquer aux procédures de cet article, voir Raccourcis clavier dans le Centre d’administration Exchange.

Utiliser le Centre d'administration Exchange (CAE) pour créer une demande de certificat

1. Ouvrez le CAE et accédez à Certificats>serveurs.

2. Dans la liste déroulante Sélectionner un serveur, sélectionnez le serveur Exchange sur lequel vous souhaitez installer le certificat, puis sélectionnez l’icône Ajouter une .

   L'Assistant Nouveau certificat Exchange s'ouvre.

3. Sur la page de cet assistant pour créer un certificat ou un fichier de demande de certificat , vérifiez que l’option Créer une demande de certificat auprès d’une autorité de certification est sélectionnée, puis cliquez sur Suivant.

   Remarque

   Pour créer un certificat auto-signé, consultez Créer un certificat auto-signé Exchange Server.

4. Sur la page Nom convivial de ce certificat , entrez un nom descriptif pour le certificat, puis sélectionnez Suivant.

5. Sur la page Demander un certificat de caractère générique, choisissez l’une des options suivantes :

   • Si vous souhaitez obtenir un certificat générique : sélectionnez Demander un certificat générique, puis entrez le caractère générique (*) et le domaine dans la zone Domaine racine , par exemple, *.contoso.com ou *.eu.contoso.com. Lorsque vous avez terminé, cliquez sur Suivant.
   • Si vous souhaitez un certificat SAN (Subject Alternative Name) : ne faites aucune sélection sur cette page, puis sélectionnez Suivant.
   • Si vous souhaitez obtenir un certificat pour un seul hôte : ne faites aucune sélection sur cette page, puis sélectionnez Suivant.

6. Dans la page Demande de certificat Store de ce serveur , sélectionnez Parcourir, puis sélectionnez le serveur Exchange sur lequel vous souhaitez stocker la demande de certificat (emplacement où vous souhaitez installer le certificat). Ensuite, sélectionnez OK et Suivant.

   Remarque

   Les étapes 7 et 8 s’appliquent uniquement aux demandes de certificat SAN ou pour un seul hôte. Si vous avez sélectionné Demander un certificat de caractère générique, passez à l’étape 9.

La page Spécifiez les domaines à inclure dans votre certificat s’affiche . Cette page est essentiellement une feuille de calcul qui vous aide à déterminer les noms d’hôte internes et externes requis dans le certificat pour les services Exchange suivants :

• Outlook sur le web
• Génération de carnet d'adresses en mode hors connexion
• Services Web Exchange
• Exchange ActiveSync
• Découverte automatique
• POP
• IMAP
• Outlook Anywhere

7. Entrez une valeur pour chaque service en fonction de son emplacement (interne ou externe). Ensuite, l’Assistant détermine les noms d’hôte requis dans le certificat, et les informations s’affichent sur la page suivante.

8. Si vous souhaitez modifier la valeur d’un service, sélectionnez Modifier ( et entrez la valeur du nom d’hôte que vous voulez utiliser (ou supprimez la valeur). Lorsque vous avez terminé, cliquez sur Suivant.

   Remarque

   Si vous avez déjà déterminé les noms d'hôte requis dans le certificat, vous n'avez pas besoin de remplir les informations sur cette page. Au lieu de cela, sélectionnez suivant pour entrer manuellement les noms d’hôte sur la page suivante.

   La page En fonction de vos sélections, les domaines suivants seront inclus dans votre certificat s’affiche. Cette page répertorie les noms d’hôte qui seront inclus dans la demande de certificat. Le nom d’hôte utilisé dans la zone Objet du certificat est en gras, ce qui peut être difficile à voir si ce nom d’hôte est sélectionné.

9. Vérifiez les entrées de nom d’hôte requises dans le certificat en vous référant aux sélections que vous avez effectuées à la page précédente.

   Si vous ne souhaitez pas prendre en compte cette liste de noms d’hôte à inclure dans la demande de certificat, passez à l’étape 10.

10. Ignorez les valeurs de la dernière page et ajoutez, modifiez ou supprimez des valeurs de nom d’hôte en procédant comme suit : a. Si vous souhaitez un certificat SAN : Pour sélectionner le nom d’hôte du champ Subject du certificat, sélectionnez la valeur et sélectionnez Définir comme nom commun (marque de case activée). La valeur doit maintenant apparaître en gras. b. Si vous souhaitez obtenir un certificat pour un seul nom d’hôte : sélectionnez les autres valeurs une par une, puis sélectionnez Supprimer (

    Remarque

    Vous ne pouvez pas supprimer la valeur de nom d’hôte en gras qui sera utilisée pour la zone Objet du certificat. Vous devez d’abord sélectionner ou ajouter un autre nom d’hôte, puis activer la case activée Définir comme nom commun. Les modifications que vous apportez sur cette page peuvent être perdues si vous sélectionnez le bouton Retour .

11. Sur la page Spécifiez les informations relatives à votre organisation, entrez les valeurs suivantes :

    • Nom de l'organisation
    • Nom du service
    • Ville/localité
    • État/Province
    • Pays/Région

12. Lorsque vous avez terminé, cliquez sur Suivant.

13. Sur la page Enregistrer la demande de certificat dans le fichier suivant , entrez le chemin d’accès UNC et le nom de fichier de la demande de certificat, par exemple, \\FileServer01\Data\ExchCertRequest.req. Lorsque vous avez terminé, sélectionnez Terminer.

La demande de certificat s'affiche dans la liste des certificats Exchange avec l'état En attente. Pour plus d’informations sur les étapes suivantes, consultez la section Étapes suivantes .

Utiliser l’environnement de ligne de commande Exchange Management Shell pour créer une demande de certificat

Pour créer une demande de certificat générique, de certificat SAN ou de certificat pour un hôte unique, utilisez la syntaxe suivante :

• Si vous devez envoyer le contenu du fichier de demande de certificat à l’autorité de certification, utilisez la syntaxe suivante pour créer un fichier de demande codé en Base64 :

  $txtrequest = New-ExchangeCertificate -PrivateKeyExportable $True -GenerateRequest [-FriendlyName <DescriptiveName>] -SubjectName C=<CountryOrRegion>[,S=<StateOrProvince>,L=<LocalityOrCity>,O=<Organization>,OU=<Department>],CN=<HostNameOrFQDN> [-DomainName <Host1>,<Host2>...] [-KeySize <1024 | 2048 | 4096>] [-Server <ServerIdentity>]
  [System.IO.File]::WriteAllBytes('<FilePathOrUNCPath>\<FileName>.req', [System.Text.Encoding]::Unicode.GetBytes($txtrequest))
  

• Si vous devez envoyer le fichier de demande de certificat à l’autorité de certification, utilisez la syntaxe suivante pour créer un fichier de demande codé au format DER :

  $binrequest = New-ExchangeCertificate -PrivateKeyExportable $True -GenerateRequest -BinaryEncoded [-FriendlyName <DescriptiveName>] -SubjectName C=<CountryOrRegion>[,S=<StateOrProvince>,L=<LocalityOrCity>,O=<Organization>,OU=<Department>],CN=<HostNameOrFQDN> [-DomainName <Host1>,<Host2>...] [-KeySize <1024 | 2048 | 4096>] [-Server <ServerIdentity>]
  [System.IO.File]::WriteAllBytes('<FilePathOrUNCPath>\<FileName>.pfx', $binrequest.FileData)
  

Pour obtenir des informations détaillées sur la syntaxe et les paramètres, consultez la rubrique New-ExchangeCertificate.

Demande de certificat générique

Ces exemples créent des fichiers de demande de certificat pour les certificats génériques ayant les propriétés suivantes :

• SubjectName : *.contoso.com dans le États-Unis, qui nécessite la valeur C=US,CN=*.contoso.com.
• RequestFile : \\FileServer01\Data\Contoso Wildcard Cert.<cer or pfx>
• FriendlyName : Contoso.com Wildcard Cert

Pour créer un fichier de demande codé en Base64 pour le certificat générique, exécutez la commande suivante :

$txtrequest = New-ExchangeCertificate -PrivateKeyExportable $True -GenerateRequest -FriendlyName "Contoso.com Wildcard Cert" -SubjectName "C=US,CN=*.contoso.com"
[System.IO.File]::WriteAllBytes('\\FileServer01\Data\Contoso Wildcard Cert.req', [System.Text.Encoding]::Unicode.GetBytes($txtrequest))

Pour créer un fichier de demande codé au format DER pour le certificat générique, exécutez la commande suivante :

$binrequest = New-ExchangeCertificate -PrivateKeyExportable $True -GenerateRequest -BinaryEncoded -FriendlyName "Contoso.com Wildcard Cert" -SubjectName "C=US,CN=*.contoso.com"
[System.IO.File]::WriteAllBytes('\\FileServer01\Data\Contoso Wildcard Cert.pfx', $binrequest.FileData)

Demande de certificat SAN

Ces exemples créent des fichiers de demande de certificat pour les certificats SAN avec les propriétés suivantes :

• SubjectName : mail.contoso.com dans le États-Unis, qui nécessite la valeur C=US,CN=mail.contoso.com. Cette valeur CN est automatiquement incluse dans le paramètre DomainName (champ Autre nom de l’objet ).
• Autres valeurs de champ Autre nom de l’objet :
  • autodiscover.contoso.com
  • legacy.contoso.com
  • mail.contoso.net
  • autodiscover.contoso.net
  • legacy.contoso.net
• RequestFile : \\FileServer01\Data\Contoso SAN Cert.<cer or pfx>
• FriendlyName : Contoso.com SAN Cert
• DomainName : liste de domaines séparés par des virgules sans guillemets

Pour créer un fichier de demande codé en Base64 pour le certificat SAN, exécutez la commande suivante :

$txtrequest = New-ExchangeCertificate -PrivateKeyExportable $True -GenerateRequest -FriendlyName "Contoso.com SAN Cert" -SubjectName "C=US,CN=mail.contoso.com" -DomainName autodiscover.contoso.com,legacy.contoso.com,mail.contoso.net,autodiscover.contoso.net,legacy.contoso.net
[System.IO.File]::WriteAllBytes('\\FileServer01\Data\Contoso SAN Cert.req', [System.Text.Encoding]::Unicode.GetBytes($txtrequest))

Pour créer un fichier de demande codé au format DER pour le certificat SAN, exécutez la commande suivante :

$binrequest = New-ExchangeCertificate -PrivateKeyExportable $True -GenerateRequest -BinaryEncoded -FriendlyName "Contoso.com SAN Cert" -SubjectName "C=US,CN=mail.contoso.com" -DomainName autodiscover.contoso.com,legacy.contoso.com,mail.contoso.net,autodiscover.contoso.net,legacy.contoso.net
[System.IO.File]::WriteAllBytes('\\FileServer01\Data\Contoso SAN Cert.pfx', $binrequest.FileData)

Demande de certificat d’objet unique

Ces exemples créent des fichiers de demande de certificat pour les certificats à sujet unique avec les propriétés suivantes :

• SubjectName : mail.contoso.com dans le États-Unis, qui nécessite la valeur C=US,CN=mail.contoso.com.
• RequestFile : \\FileServer01\Data\Mail.contoso.com Cert.<cer or pfx>
• FriendlyName : Mail.contoso.com Cert

Pour créer un fichier de demande codé en Base64 pour le certificat à sujet unique, exécutez la commande suivante :

$txtrequest = New-ExchangeCertificate -PrivateKeyExportable $True -GenerateRequest -FriendlyName "Mail.contoso.com Cert" -SubjectName "C=US,CN=mail.contoso.com"
[System.IO.File]::WriteAllBytes('\\FileServer01\Data\Mail.contoso.com Cert.req', [System.Text.Encoding]::Unicode.GetBytes($txtrequest))

Pour créer un fichier de demande codé au format DER pour le certificat à sujet unique, exécutez la commande suivante :

$binrequest = New-ExchangeCertificate -PrivateKeyExportable $True -GenerateRequest -BinaryEncoded -FriendlyName "Mail.contoso.com Cert" -SubjectName "C=US,CN=mail.contoso.com"
[System.IO.File]::WriteAllBytes('\\FileServer01\Data\Mail.contoso.com Cert.pfx', $binrequest.FileData)

Comment savez-vous que ces commandes ont fonctionné ?

Pour vérifier que vous avez correctement créé une demande de certificat, effectuez l’une des étapes suivantes :

• Dans le CAE sur les certificats de serveurs>, vérifiez si le serveur sur lequel vous avez stocké la demande de certificat est sélectionné. La demande doit figurer dans la liste des certificats avec la valeur du paramètre Status définie comme Demande en attente.

• Dans l'Environnement de ligne de commande Exchange Management Shell du serveur où se trouve la demande de certificat, exécutez la commande suivante :

  Get-ExchangeCertificate | where {$_.Status -eq "PendingRequest" -and $_.IsSelfSigned -eq $false} | Format-List FriendlyName,Subject,CertificateDomains,Thumbprint
  

Étapes suivantes

Le contenu d’un fichier de demande de certificat codé en Base64 ressemble à l’exemple décrit ci-dessous :

-----BEGIN NEW CERTIFICATE REQUEST-----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-----END NEW CERTIFICATE REQUEST-----

Vous devez envoyer ces informations à l’autorité de certification. La façon dont vous l’envoyez dépend de l’autorité de certification, mais en règle générale, vous envoyez le contenu du fichier dans un message électronique ou dans le formulaire de demande de certificat sur le site web de l’autorité de certification.

Si l’autorité de certification exige une demande de certificat binaire codée DER (cmdlet New-ExchangeCertificate utilisée avec le commutateur BinaryEncoded), vous devez généralement envoyer la totalité du fichier de demande de certificat à l’autorité de certification.

Quand vous recevez le certificat de l’autorité de certification, vous devez finaliser la demande de certificat en attente. Pour plus d’informations, voir Terminer une demande de certificat Exchange Server en attente.