建立新的 Exchange Server 自我簽署憑證

適用於：2016 2019 訂閱版本

當您安裝 Exchange Server 時，由 Exchange Server 本身所建立並簽署的自我簽署憑證會自動安裝在伺服器上。 不過，您也可以建立您可以使用的其他自我簽署憑證。

您可以在 Exchange 系統管理中心 (EAC) 或 Exchange 管理命令介面中建立自我簽署憑證憑證。

開始之前有哪些須知？

• 預估完成時間：5 分鐘。

• Exchange 自我簽署憑證適用於加密內部 Exchange 伺服器之間的通訊，但不太適合加密外部連線，因為用戶端、伺服器和服務不會自動信任 Exchange 自我簽署憑證。 若要建立所有用戶端、伺服器和服務自動信任之商業憑證授權單位的憑證要求 (也稱為憑證簽章要求或 CSR) ，請參閱建立憑證授權單位的Exchange Server憑證要求。

• 當您使用 New-ExchangeCertificate Cmdlet 建立新的自我簽署憑證時，您可以在憑證建立期間將憑證指派給 Exchange 服務。 如需有關 Exchange 服務的詳細資訊，請參閱將憑證指派給 Exchange Server 服務。

• 若要了解如何在內部部署 Exchange 組織中開啟 Exchange 管理命令介面，請參閱 Open the Exchange Management Shell。

• 您必須已獲指派權限，才能執行此程序或這些程序。 若要查看您需要哪些權限，請參閱 「用戶端和行動裝置權限 」主題中的「用戶端存取服務安全性」項目。

• 如需適用於此主題中程序的快速鍵相關資訊，請參閱 Exchange 系統管理中心的鍵盤快速鍵。

使用 EAC 建立新的 Exchange 自我簽署憑證

1. 開啟 EAC 並瀏覽至 [ 伺服器>憑證]。

2. 在 [選取伺服器] 清單中，選取您要安裝憑證的 Exchange 伺服器，然後按一下 [新增

3. [ 新增 Exchange 憑證 精靈] 隨即開啟。 在 [此精靈將建立新的憑證或憑證要求檔案 ] 頁面上，選取 [建立自我簽署憑證]，然後按 [下一步]。

   注意：若要為憑證授權單位建立新的憑證要求，請參閱為憑證授權單位建立 Exchange Server 憑證要求。

4. 在 [此憑證的易記名稱] 頁面上，輸入憑證的易記名稱，然後按 [下一步]。

5. 在 [指定要套用此憑證的伺服器] 頁面中，按一下 [新增

   在開啟的 [選取伺服器 ] 頁面上，選取您要安裝憑證的 Exchange 伺服器，然後按一下 [新增 - >]。 視需要重複此步驟多次。 伺服器選取完畢後，請按一下 [ 確定]。

   完成後，按 [下一步]。

6. [ 指定您要包含在憑證中的網域] 頁面基本上是一個工作表，可協助您決定下列 Exchange 服務憑證中所需的內部和外部主機名稱：

   • Outlook 網頁版

   • OAB) (離線通訊錄產生

   • Exchange Web 服務

   • Exchange ActiveSync

   • 自動探索

   • POP

   • 網際網路訊息存取通訊協定 (IMAP)

   • Outlook 無所不在

     如果您根據內部或外部) 的位置來輸入每項服務的值 (精靈會判斷憑證中所需的主機名稱，而資訊會顯示在下一頁。 若要修改服務的值，請按一下 [編輯 ] ([ ) 並輸入您要使用的主機名稱值 (或刪除該值) 。 完成後，按 [下一步]。

     如果您已決定憑證中所需的主機名稱值，則不需要在此頁面上填寫資訊。 請改為按一下 [下一步 ]，在下一頁上手動輸入主機名稱。

7. 根據您的選擇，憑證中將包含下列網域頁面列出自我簽署憑證中將包含的主機名稱。 憑證的 [主旨 ] 欄位中使用的主機名稱為粗體，如果選取了該主機名稱，可能很難看到。 您可以根據您在上一頁所做的選擇來驗證憑證中所需的主機名稱項目。 或者，您可以忽略最後一頁的值，並新增、編輯或移除主機名稱值。

   • 如果您想要 SAN 憑證，[ 主旨 ] 欄位仍然需要一個公用名稱 (CN) 值。 若要選取憑證主 旨 欄位的主機名稱，請選取該值，然後按一下 [設定為公用名稱 ] (核取記號) 。 此值現在應以粗體顯示。

   • 如果您想要單一主機名稱的憑證，請一次選取一個其他值，然後按一下 [移除 ] ) 。

     完成此頁面後，請按一下 [完成]。

   注意：

   • 您無法刪除將用於憑證 [ 主旨 ] 欄位的粗體主機名稱值。 首先，您需要選取或新增不同的主機名稱，然後按一下 [設為公用名稱 ] (核取記號) 。
   • 如果您按一下 [ 上一步 ] 按鈕，在此頁面上所做的變更可能會遺失。

使用 Exchange 管理命令介面建立新的 Exchange 自我簽署憑證

若要建立新的 Exchange 自我簽署憑證，請使用下列語法：

New-ExchangeCertificate [-FriendlyName <DescriptiveName>] [-SubjectName [C=<CountryOrRegion>,S=<StateOrProvince>,L=<LocalityOrCity>,O=<Organization>,OU=<Department>],CN=<HostNameOrFQDN>]] [-DomainName <Host1>,<Host2>...] [-Services <None | IIS | IMAP | POP | SMTP | UM | UMCallRouter> [-PrivateKeyExportable < $true | $false>] [-Server <ServerIdentity>] -[Force]

本範例會在本機 Exchange 伺服器上建立具有下列屬性的自我簽署憑證：

• 主旨： <ServerName>。 例如，如果您在名為 Mailbox01 的伺服器上執行命令，則值為 Mailbox01。
• 主旨替代名稱： <ServerName>、 <Server FQDN>。 例如，Mailbox01, Mailbox01.contoso.com。
• 易記名稱：Microsoft Exchange
• 服務：POP、IMAP、SMTP。

New-ExchangeCertificate

此範例會在本機 Exchange 伺服器上建立具有下列屬性的自我簽署憑證：

• 主旨：Exchange01，需要值 CN=Exchange01。 請注意，此值會自動包含在 DomainName 參數 ([主旨替代名稱 ] 欄位) 中。
• 其他主題替代名稱：
  • mail.contoso.com
  • autodiscover.contoso.com
  • Exchange01.contoso.com
  • Exchange02.contoso.com
• 服務：SMTP、IIS
• 自訂名稱：Contoso Exchange 憑證
• 私密金鑰是可匯出的。 這可讓您從伺服器 (匯出憑證，並將其匯入到其他伺服器) 。

New-ExchangeCertificate -FriendlyName "Contoso Exchange Certificate" -SubjectName CN=Exchange01 -DomainName mail.contoso.com,autodiscover.contoso.com,Exchange01.contoso.com,Exchange02.contoso.com -Services SMTP,IIS -PrivateKeyExportable $true

注意：

• 憑證的主旨欄位) (X.500 SubjectName 參數值的唯一必要部分是 CN=<HostNameOrFQDN>。
• 某些 服務 參數值會產生警告或確認訊息。 如需詳細資訊，請參閱 將憑證指派給 Exchange Server 服務。
• 如需詳細資訊，請參閱 New-ExchangeCertificate。

如何知道這是否正常運作？

若要確認您已成功建立 Exchange 自我簽署憑證，請執行下列其中一個步驟：

• 在 EAC AT 伺服器>憑證中，確認已選取建立自我簽署憑證的伺服器。 憑證應該會在憑證清單中，且其 [狀態] 值為 [有效]。

• 在建立自我簽署憑證之伺服器上的 Exchange 管理命令介面中，執行下列命令並驗證其屬性：

  Get-ExchangeCertificate | where {$_.Status -eq "Valid" -and $_.IsSelfSigned -eq $true} | Format-List FriendlyName,Subject,CertificateDomains,Thumbprint,NotBefore,NotAfter