继上一篇"Exchange 2010部署配置详细指南"，本篇介绍Exchange 2010的证书配置过程。

   默认情况下，Exchange 会安装默认的自签名证书，以便对所有网络通信进行加密。 加密所有网络通信要求每台 Exchange 服务器都有一个其可以使用的 X.509 证书。 我们应该用客户端自动信任的证书替换此自签名证书。

 “自签名”表示仅由 Exchange 服务器本身创建和签署证书。 由于该证书不是由通常受信任的 CA 所创建和签署的，默认情况下，只有Exchange 组织中的其他 Exchange 服务器会自动信任此证书，但是客户端（如 Web 浏览器、Outlook 客户端、移动电话以及除外部电子邮件服务器之外的其他电子邮件客户端）都不会自动信任它。 因此，我们需要搭建自己的CA来颁发证书，让客户端自动信任证书替换自签名证书。

所以，首先要在域中有CA服务器(这里不介绍CA服务器的安装)。

我的环境中，DC(pdc1.fengdian.info)承担CA服务器的角色。角色已经安装好，所以我直接配置Exchange证书就好了。

打开"Exchange管理控制台"，导航至【服务器配置】，操作窗格中选择"新建Exchange证书"：

设置证书名称：

设置证书所用域：如果勾选"启用通配符证书"，并输入根域；我们不勾选(可根据个人环境选择是否启用),直接【下一步】

设置好Exchange配置和域信息，不符合要求的需要手动修改：

设置证书作用的域列表：

设置证书描述信息, 【浏览】选择证书请求文件保存的位置，需要记住这个位置，下面还会用到这个文件，如图示【下一步】

证书摘要，无误的话点击【新建】

证书成功创建，并给出接下来要进行的操作步骤,如图：

下载证书：

使用浏览器，地址栏中输入http://CA的ip/certsrv, 输入域管理员凭证，如下

点击"申请证书"进行证书的申请：

证书类型选择"高级申请证书"

证书类别：选择"使用base64编码的CMC或PKCS#10文件提交一个证书申请"

打开证书申请提交界面：

打开刚才保存的证书申请请求文件fengdian.req,复制图中蓝色区域的内容(除去首行和尾行):

粘贴到下图中的"保存的申请"空白框中，证书模板选择"Web服务器"【提交】完成提交请求.

可以看到证书已经通过申请，CA已经颁发。选择"下载证书"    基于Base64编码；

为证书设置一个名称并设置保存路径，待会需要这个证书：

保存后，回到Exchange管理控制台。

右击新建的证书，选择"完成搁置请求"，如图

【浏览】导航至刚才保存的证书路径下，并选择证书

【完成】来执行完成搁置请求，成功完成，如图

下面就开始为证书分配服务了，具体操作：

EMC->服务器配置->Exchange证书，再次右击证书名称，选择"为证书分配服务"

选择服务器，默认即可

选择证书要分配到哪些服务，这里我选择了所有服务：

服务分配摘要查看，点击【分配】执行证书服务分配

我这里出现错误，错误提示如下，原因是"统一消息角色设置为仅在TCP模式下运行"，需要将模式更改为TLS或者Dual.

下面开始更改"统一消息服务器"运行模式：

EMC，导航至【统一消息】，选中服务器，右击"属性",如下图：

切换至"UM设置"选项卡，启动模式由"TCP"更改为"二者都有"：

模式更改提示需要重启"Microsoft 信息存储服务"：

【管理工具】服务管理控制台中，重启Exchange信息存储服务，

服务重启后，回到刚才为证书分配服务的界面，返回上一步，再次分配，如图示

提示"是否覆盖现有默认的SMTP证书"，选择"是"；

为统一消息启用指纹证书吗？ 选择"是"；

证书服务分配完成：

然后就可以删除自签名证书了。

测试Exchange证书有效性：

未配置证书前:

域内用户打开OWA,如图

配置证书后，直接跳转到登陆凭证界面:

同时，域内outlook 2007客户端也不会再显示证书错误。

证书配置就到此完成了，到期前选择续约证书就可以了.