Usando uma autoridade de certificação corporativa integrada ao AD para emitir um certificado do Exchange 2010

Question

Eu tenho uma pequena rede de teste que inclui máquinas Win2k8 R2, um servidor CA corporativo e um servidor CAS RU1 do Exchange 2010 SP1. Gostaria de emitir um certificado para o Exchange da CA.

Como primeiro passo, criei o pedido de certificado, que (de acordo com o OpenSSL) contém as seguintes informações:

C:\OpenSSL\bin>openssl req -in e.req -noout -text
Certificate Request:
    Data:
        Version: 0 (0x0)
        Subject: CN=mail.mnet.com, OU=IT, O=MNet, L=Budapest, ST=Budapest, C=HU
        Subject Public Key Info:
            Public Key Algorithm: rsaEncryption
            RSA Public Key: (2048 bit)
                ...snip...
                Exponent: 65537 (0x10001)
        Attributes:
            1.3.6.1.4.1.311.13.2.3   :6.1.7600.2
            1.3.6.1.4.1.311.21.20    :unable to print attribute
            1.3.6.1.4.1.311.13.2.2   :unable to print attribute
        Requested Extensions:
            X509v3 Key Usage: critical
                Digital Signature, Key Encipherment
            X509v3 Subject Alternative Name:
                DNS:cas.int.mnet.com, DNS:mail.mnet.com, DNS:autodiscover.mnet.com, DNS:pop.int.mnet.com, DNS:imap.int.mnet.com
            X509v3 Basic Constraints: critical
                CA:FALSE
            X509v3 Subject Key Identifier:
                F0:7E:53:47:BE:04:0F:5C:78:FD:63:8C:D6:5C:BC:0D:45:A3:4F:48
    Signature Algorithm: sha1WithRSAEncryption
        ...snip...

Como segundo passo, gostaria de enviar esta solicitação para a CA, mas recebo a seguinte mensagem:

The request contains no certificate information.

Denied by Policy Module 0x80094801, The request does not contain a certificate template extension of the CertificateTemplate request attribute.

Qual seria a melhor maneira de fazer isso funcionar?

Como devo gerar a mesma solicitação do Exchange para incluir as informações sobre qual certificado usar?

Como devo convencer a CA a emitir o certificado, mesmo que a solicitação não corresponda a um modelo de certificado?

(Estou realmente interessado na resposta a todas as três perguntas para saber mais sobre o Exchange e os serviços de CA.)

    

Answer 1

Por favor use o assistente que o Exchange 2010 oferece tão proveitosamente para você - é muito mais fácil.

Está no Console de Gerenciamento do Exchange em Configuração do Servidor . No Painel de Ação, escolha o assistente Novo Certificado do Exchange .

Preencha as informações necessárias, envie o arquivo gerado para sua CA corporativa usando o modelo Servidor da Web e importe o certificado gerado de volta para o Exchange usando o assistente.

Você pode encontrar este vídeo útil.