Cómo crear un certificado en Exchange Server

¿Cómo crear un certificado en Exchange Server? Es importante proteger las conexiones a Exchange Server con un certificado SSL. Veamos cómo generar una solicitud de certificado, completar la solicitud de certificado y asignar los servicios al certificado. Utilice los mismos pasos de este artículo para renovar un certificado de terceros en Exchange Server.

Certificados de servidor Exchange

Hay tres certificados predeterminados creados al instalar Exchange Server:

• Microsoft Exchange (autofirmado)
• WMSVC o WMSVC-SHA2 (depende de la versión de Exchange Server) (autofirmado)
• Certificado de autenticación de Microsoft Exchange Server (autofirmado)

Además de los certificados autofirmados predeterminados anteriores, debe instalar un certificado de terceros que obtiene de una autoridad de certificación (CA) en Exchange Server:

• Certificado de terceros (firmado por CA)

Cómo crear un certificado en Exchange Server

Veamos los pasos para crear un certificado de terceros en Exchange Server. Ejecute los siguientes comandos en el Shell de administración de Exchange.

Paso 1. Crea una carpeta compartida

Inicie sesión en el servidor Exchange. Este puede ser el nuevo servidor Exchange o uno que ya esté instalado y configurado. Cree una carpeta en la unidad (C:) y asígnele el nombre Certificados. Haga clic derecho en la carpeta Certificados y comparta esta carpeta.

Asigne permisos a la carpeta:

• Su cuenta (administrador) - Permisos Cambiar/Leer Permitir
• SISTEMA - Cambio de permisos/Lectura Permitir

Busque la ruta de la carpeta de certificado compartida y verifique que puede abrir la carpeta antes de continuar con el siguiente paso.

Paso 2. Generar solicitud de certificado de Exchange

A partir de Exchange Server 2016 CU23 y posteriores y Exchange Server 2019 CU12 y posteriores, la única opción para crear el certificado de Exchange es con PowerShell (Exchange Management Shell).

Nota: Para evitar el uso indebido de las rutas UNC por parte de los atacantes, Microsoft eliminó los parámetros que toman las rutas UNC como entradas de los cmdlets de Exchange Server PowerShell y del Centro de administración de Exchange. Estos cambios afectarán a todas las versiones de actualizaciones acumulativas (CU) de Microsoft Exchange Server 2019 (CU12 y posteriores) y Microsoft Exchange Server 2016 (CU23 y posteriores). Lea más en el artículo Cambios en el certificado de Exchange Server.

Ejecute Exchange Management Shell como administrador. Ejecute el cmdlet New-ExchangeCertificate y complete los detalles:

• Servidor: especifica el servidor Exchange en el que generar la solicitud.
• GenerateRequest: prepara una solicitud de certificado de terceros.
• FriendlyName: el nombre descriptivo del certificado.
• PrivateKeyExportable: Le permite exportar/importar el certificado a otros servidores Exchange.
• SubjectName: el campo de asunto de la solicitud de certificado.
• DomainName: especifica uno o más FQDN.

$txtrequest = New-ExchangeCertificate -Server "EX01-2019" -GenerateRequest -FriendlyName "Exchange Certificate 3rd party" -PrivateKeyExportable $true -SubjectName "c=NL, s=South Holland, l=The Hague, o=EXOIP, ou=IT, cn=mail.exoip.com" -DomainName mail.exoip.com,autodiscover.exoip.com

Para crear una solicitud de certificado comodín, debe ajustar el parámetro -SubjectName y eliminar el parámetro -DomainName.

$txtrequest = New-ExchangeCertificate -Server "EX01-2019" -GenerateRequest -FriendlyName "Exchange Certificate 3rd party" -PrivateKeyExportable $true -SubjectName "c=NL, s=South Holland, l=The Hague, o=EXOIP, ou=IT, cn=*.exoip.com"

Ejecute el segundo comando para exportar la solicitud de certificado a la carpeta compartida.

[System.IO.File]::WriteAllBytes('\\ex01-2019\Certs\ExchangeCert.req', [System.Text.Encoding]::Unicode.GetBytes($txtrequest))

Inicie sesión en el Centro de administración de Exchange. Vaya a servidores > certificados. Verifique que vea el certificado de Exchange con el estado Solicitud pendiente.

Paso 3. Procesar la solicitud de certificado de Exchange

Vaya a la carpeta compartida y abra ExchangeCert.req con el Bloc de notas.

A continuación, copie la solicitud de certificado.

Inicie sesión en la autoridad de certificación de terceros. Esta puede ser cualquiera de sus opciones. Asegúrese de seleccionar un certificado multidominio porque tiene más de un nombre de dominio en el certificado.

Pegue la solicitud de certificado copiada y verifique que la información de CSR sea correcta. Mostrará el nombre de la empresa y los dominios.

Continúe con el pago.

La Autoridad de Certificación le pedirá que valide el dominio. Esto puede ser a través de un correo electrónico enviado a un destinatario de correo electrónico que figura en el registro del dominio o agregando un registro en el DNS público.

Paso 4. Complete la solicitud de certificado de Exchange

El certificado está listo para que lo descargue de la Autoridad de certificación. Descargue y descomprima el certificado de la autoridad certificadora en la carpeta compartida de Exchange Server.

Asigne al certificado un nombre accesible. En nuestro ejemplo, el nombre del certificado es Exoip.crt.

Ejecute el cmdlet Import-ExchangeCertificate para completar el certificado pendiente.

Import-ExchangeCertificate -FileData ([System.IO.File]::ReadAllBytes('\\ex01-2019\Certs\Exoip.crt')) -PrivateKeyExportable:$true -Password (ConvertTo-SecureString -String 'P@ssw0rd1' -AsPlainText -Force)

El certificado de Exchange mostrará el estado Válido.

Paso 5. Asignar servicios de Exchange al certificado

Haga doble clic en el certificado y copie la huella digital del certificado.

Ejecute el cmdlet Enable-ExchangeCertificate para asignar servicios al certificado. Complete el valor de la huella digital que copió.

Enable-ExchangeCertificate -Server "EX01-2019" -Thumbprint 6C31EB21621378CB5454A32F2DF0D1F87FAF69C5 -Services SMTP,IMAP,IIS -Force

Paso 6. Reinicie IIS (Servicios de información de Internet)

Reinicie Internet Information Services (IIS) en Exchange Server.

iisreset

Paso 7. Verificar el nuevo certificado de Exchange

Vaya a la URL de Outlook Web Access (OWA) o a la URL del Centro de administración de Exchange (EAC). Verifique que la conexión al sitio web sea segura. Además, verifique que el cliente Outlook se inicie sin errores.

Paso 8. Copie el certificado a otro servidor Exchange

Suponga que tiene más de un servidor Exchange. Entonces no tendrás que volver a realizar todos los pasos. En su lugar, puede exportar el certificado e importarlo a otros servidores Exchange siguiendo los artículos siguientes:

• Exportar certificado en Exchange Server
• Importar certificado en Exchange Server

Paso 9. Renovar el certificado híbrido de Exchange

Si tiene un entorno Exchange Hybrid, hay un par de configuraciones más. Debe asignar el certificado de terceros a los conectores de Office 365/Microsoft 365. Más información sobre esto en el artículo Renovar certificado en Exchange Hybrid.

Conclusión

Aprendiste cómo crear un certificado en Exchange Server. Primero, genere una solicitud de certificado. A continuación, complete la solicitud de certificado. Como último, asigne los servicios al certificado. Se aplican los mismos pasos cuando desea renovar un certificado de terceros de Exchange Server.

¿Disfrutaste este artículo? También te puede interesar Renovar el certificado de autenticación de Microsoft Exchange Server. No olvides seguirnos y compartir este artículo.