Exportar certificado Let's Encrypt en Windows Server

En un artículo anterior, instalamos Let's Encrypt en Exchange Server. Todo funciona muy bien en Exchange Server y se muestra una conexión segura al acceder a la URL de OWA. ¿Pero qué pasa si tienes más de un servidor Exchange en la organización? En este artículo, aprenderá cómo exportar el certificado Let's Encrypt en Windows Server paso a paso.

Le gusta exportar el certificado Let's Encrypt, incluida la clave privada, e importarlo en los otros servidores Exchange. Para hacer esto, primero debe importar la clave privada del certificado y hacerla exportable. De esta manera puede exportar el certificado Let's Encrypt en Windows. El siguiente paso es exportar el certificado.

El certificado SSL de Let's Encrypt no es exportable

Es bueno saber cómo se ve cuando desea exportar el certificado sin la opción exportable de clave privada.

Inicie MMC (Microsoft Management Console) y agregue el complemento de certificado. Haga clic derecho en el certificado Let's Encrypt y haga clic en Todas las tareas. Haga clic en Exportar…

Se muestra el asistente de exportación de certificados. Haga clic en Siguiente.

La opción que necesitamos es Sí,exportar la clave privada. No podemos seleccionar la opción para exportar la clave privada porque está atenuada. Haga clic en Cancelar para regresar.

En el siguiente paso, importaremos la clave privada y la haremos exportable. Al importarlo, seguiremos los mismos pasos que acabamos de hacer. Esta vez podremos seleccionar la opción de exportar la clave privada. Más sobre esto más adelante en el artículo.

Encuentre la contraseña de clave privada en Win-ACME

Antes de que podamos importar la clave privada al sistema, debemos obtener la contraseña del certificado. La contraseña del certificado se puede encontrar en el cliente Win-ACME.

Vaya a la carpeta Win-ACME e inicie el cliente Win-ACME. Seleccione A para gestionar las renovaciones y presione Entrar.

 A simple Windows ACMEv2 client (WACS)
 Software version 2.1.22.1260 (release, pluggable, standalone, 64-bit)
 ACME server https://acme-v02.api.letsencrypt.org/
 Scheduled task looks healthy
 Please report issues at https://github.com/win-acme/win-acme

 N: Create certificate (default settings)
 M: Create certificate (full options)
 R: Run renewals (0 currently due)
 A: Manage renewals (1 total)
 O: More options...
 Q: Quit

 Please choose from the menu: A

Seleccione D para mostrar los detalles de la renovación y presione Entrar.

  Welcome to the renewal manager. Actions selected in the menu below will be
  applied to the following list of renewals. You may filter the list to target
  your action at a more specific set of renewals, or sort it to make it easier
  to find what you're looking for.

 1: mail.exoip.com - renewed 1 time, due after 2020/8/8 18:08:45

 E: Edit renewal
 D: Show details for the renewal
 R: Run the renewal
 A: Analyze duplicates for the renewal
 C: Cancel the renewal
 V: Revoke certificate(s) for the renewal
 Q: Back

 Choose an action or type numbers to select renewals: D

Busque el certificado contraseña .pfx y copie la contraseña. En mi ejemplo es n8LVJLxx2vQrC3QB2G7cn/mdeMK/RyGMBt8ECq8GYjs=.

 Details for renewal 1/1

 Id:                  xfRT7WjC40mP2rVUt1uybg
 File:                xfRT7WjC40mP2rVUt1uybg.renewal.json
 FriendlyName:        mail.exoip.com
 .pfx password:       n8LVJLxx2vQrC3QB2G7cn/mdeMK/RyGMBt8ECq8GYjs=
 Renewal due:         08/08/2020 18:08:45
 Renewed:             1 times
 Target        -----------------------------------------------------------------
  - Plugin:           Manual - (Manual input)
  - CommonName:       mail.exoip.com
  - AlternativeNames  mail.exoip.com,autodiscover.exoip.com
 Validation    -----------------------------------------------------------------
  - Plugin:           SelfHosting - (Serve verification files from memory)
 Order         -----------------------------------------------------------------
  - Plugin:           Single - (Single certificate)
 CSR           -----------------------------------------------------------------
  - Plugin:           RSA - (RSA key)
 Store         -----------------------------------------------------------------
  - Plugin:           CertificateStore - (Windows Certificate Store)
  - Store:            My
  - AclFullControl:   network service,administrators
 Installation  -----------------------------------------------------------------
  - Plugin:           IIS - (Create or update https bindings in IIS)
 Installation  -----------------------------------------------------------------
  - Plugin:           Script - (Start external script or program)
  - Script:           ./Scripts/ImportExchange.ps1
  - ScriptParameters  '{CertThumbprint}' 'IIS,SMTP,IMAP' 1 '{CacheFile}'
                      '{CachePassword}' '{CertFriendlyName}'
 History       -----------------------------------------------------------------

 1: 14/06/2020 16:08:45 - Success - Thumbprint E06F2B82608090BAE540841E3EA9895804951F83

 Press <Enter> to continue

Ahora que tenemos la contraseña de la clave privada, podemos importar el certificado al sistema.

Importar clave privada en Windows

Abra la siguiente ruta para encontrar el certificado.

C:\ProgramData\win-acme\acme-v02.api.letsencrypt.org\Certificates

Haga doble clic en el certificado para iniciar el asistente de importación de certificados.

Seleccione Máquina local y haga clic en Siguiente.

La ruta del nombre del archivo se completará automáticamente. Haga clic en Siguiente.

Pegue la contraseña de clave privada que copió en el paso anterior. Marque ambas casillas de verificación:

Marque esta clave como exportable. Esto le permitirá hacer una copia de seguridad o transportar sus claves más adelante.
Incluir todas las propiedades extendidas

Haga clic en Siguiente.

Haga clic en Siguiente para seleccionar automáticamente el almacén de certificados según el tipo de certificado.

Haga clic en Finalizar para completar el asistente de importación de certificados.

La importación del certificado fue exitosa. Haga clic en Aceptar.

El siguiente paso es exportar el certificado Let's Encrypt. Recuerde, al principio del artículo no podíamos exportar el certificado porque la clave privada no era exportable. ¿Podremos seleccionar la opción ahora?

Exportar certificado Let's Encrypt a PFX

Haga clic en el botón Actualizar en la barra de herramientas si ya tiene la consola MMC abierta. Si lo deseas, puedes cerrar MMC e iniciar una nueva sesión.

Inicie MMC y agregue el complemento de certificado. Haga clic derecho en el certificado Let's Encrypt y haga clic en Todas las tareas. Haga clic en Exportar…

Haga clic en Siguiente.

Esta vez se puede seleccionar la exportación. Haga clic en Sí, exportar la clave privada y haga clic en Siguiente.

Marque las siguientes casillas de verificación:

Incluya todos los certificados en la ruta de certificación si es posible
Exportar todas las propiedades extendidas
Habilitar la privacidad del certificado

Haga clic en Siguiente.

Seleccione la casilla de verificación Contraseña. Complete una contraseña segura que protegerá el certificado. Necesitará la contraseña al importar el certificado. Haga clic en Siguiente.

Haga clic en Examinar y seleccione la carpeta en la que desea colocar el certificado. En mi ejemplo, estará en la carpeta Certs en la unidad C:. Asegúrate de escribir el nombre, incluido el formato PFX.

Haga clic en Finalizar para completar el asistente de exportación de certificados.

La exportación del certificado fue exitosa. Haga clic en Aceptar.

Inicie el Explorador de archivos y busque el certificado exportado. Este es el certificado Let's Encrypt exportado, incluida la clave privada.

El certificado Let's Encrypt, incluida la clave privada, se exporta correctamente en Windows Server. Ahora que tiene el certificado, puede importarlo en otro servidor Exchange.

Conclusión

Aprendiste cómo exportar el certificado Let's Encrypt y su clave privada. Primero, inicie el cliente Win-ACME y busque la contraseña. A continuación, importe el certificado con su contraseña. Después de eso, el certificado, incluida la clave privada, se puede exportar.

Es bueno exportar el certificado e importarlo en otros servidores Exchange. Recuerda que no debes solicitar un certificado por Exchange Server. Se puede instalar un certificado en todos los servidores Exchange.