Exchange 2010通配符SSL证书安装指南

一、获取SSL证书

1.1 选择SSL证书

• 从沃通(WoSign)申请证书后，会下载一个.zip压缩包
• 解压后得到三个文件：
  • for Apache.zip
  • for Nginx.zip
  • for Other Server.zip
• Exchange 2010需要使用for Nginx.zip中的.crt文件
• 同时需要申请证书时创建的CSR过程中保存的私钥.key文件

1.2 合成SSL证书

Exchange服务器要求导入PFX格式的证书，需要将.crt和.key文件合成.pfx格式：

1. 下载合成工具：

   • 工具下载地址：https://download.wotrus.com/wotrus/wosigncode.exe

2. 转换步骤：

   • 运行wosigncode.exe工具
   • 点击"证书"，选择"转换证书格式"
   • 设置：
     • 原始格式：pem
     • 目标格式：pfx
     • 证书文件：选择for Nginx.zip解压出的.crt文件
     • 私钥：选择创建CSR时保存的.key文件
     • 设置pfx密码
   • 点击"转换"，输入名称并保存

注意事项：

• 私钥密码一般为空
• 如果创建CSR时设置了私钥密码，此处私钥密码和PFX密码需与之前设置的私钥密码保持一致

二、安装SSL证书

2.1 导入SSL证书

1. 登录Exchange服务器(多台服务器需重复执行)
2. 点击开始菜单，输入MMC，运行mmc.exe
3. 在控制台界面，点击"文件"→"添加/删除管理单元"
4. 在左侧"可用的管理单元"中，找到"证书"，点击"添加"
5. 选择"计算机账户"→"本地计算机"
6. 双击控制台左侧的"证书(本地计算机)"
7. 右键"个人"，选择"所有任务"→"导入"
8. 点击"下一步"→"浏览"，选择"个人信息交换"
9. 选择之前合成的.pfx证书导入
10. 点击"打开"→"下一步"，输入合成pfx时设置的密码
11. 选择"根据证书类型，自动选择存储机构"，完成导入

导入完成后，在"个人"→"证书"目录下可看到该域名证书

2.2 分配SSL证书

1. 打开Exchange 2010管理控制台
2. 进入"服务器配置"→"Exchange证书"
3. 找到导入的证书，右键选择"为证书分配服务"
4. 选择待分配服务（不要勾选IMAP和POP服务）

IMAP和POP服务的证书分配：
使用通配符证书时，IMAP和POP服务需要通过命令行分配证书：

Set-POPSettings -X509CertificateName exchange2010.example.com
Set-IMAPSettings -X509CertificateName exchange2010.example.com
Restart-service MSExchangePOP3
Restart-service MSExchangeIMAP4

参考链接：Configure Wildcard SSL Certificate for POP/IMAP on Exchange 2010 Server

三、测试SSL访问

1. 打开浏览器，输入https://yourdomain.com（使用证书绑定的实际域名）
2. 检查浏览器地址栏是否显示加密小锁图标
   • 显示：表示证书配置成功
   • 无法连接：检查防火墙或安全组策略是否放行443端口

四、备份SSL证书

• 备份下载的.zip压缩包
• 备份自主生成的私钥.key文件
• 防止丢失影响后续使用

注意事项

1. 通配符证书适用于多个子域名，但Exchange 2010对IMAP/POP服务的支持需要特殊处理
2. 证书导入后需要正确分配服务才能生效
3. 修改证书配置后可能需要重启相关服务
4. 确保私钥文件安全保存，防止泄露