En la primer parte vimos sobre el certificado predeterminado, la problemática asociada a utilizar este certificado y líneas generales para generar uno nuevo para Exchange 2013 / 2016.
En esta parte vemos el procedimiento para las siguientes tareas:
1. Generar una nueva solicitud de certificado en Exchange 2013 / 2016
2. (Opcional) Procesar la solicitud con una entidad certificadora interna
3. Completar una solicitud de certificado pendiente
4. Habilitar servicios de Exchange asociados al certificado
1. Generar el CSR (Certificate Signing Request)
Para generar la solicitud de certificado utilizando el EAC (Exchange Admin Center) de Exchange:
1. Ingresar al EAC: “HTTPS://ServidorCAS/ECP”
2. Hacer clic en Servidores y luego Certificados
Nota: El certificado auto firmado con el que interactúan los clientes es el que se llama Microsoft Exchange. Los otros 2 se recomienda no modificarlos.
3. Hacer clic en “+” y seleccionar Crear una solicitud para un certificado desde una entidad de certificación:
4. Especificar un nombre descriptivo y hacer clic en Siguiente:
5. Si es una solicitud para certificado de tipo comodín (wildcard) activar la casilla, de lo contrario hacer clic en siguiente:
6. Hacer clic en Examinar y seleccionar el servidor donde realizar la solicitud:
7. Seleccionar los servicios en uso y definir los nombres a utilizar en el certificado. Dentro de los nombres debemos incluir los utilizados en la configuración de los directorios virtuales, servicios web en general y autodiscover:
Nota: En general conviene utilizar lo que se conoce como Split DNS de tal forma de utilizar los mismos nombres interna y externamente minimizando la cantidad a incluir en el certificado. De cualquier modo esto depende de cada escenario específico, hay varios factores que pueden afectar los nombres que se deben incluir.
8. En información de la organización completar cada uno de los campos y hacer clic en Siguiente:
9. Especificar una ruta UNC válida para guardar la solicitud. Ej: \\servidor\c$\temp\cert.req
10. Finalizar el asistente y verificar que la solicitud figure como Pedido Pendiente:
A partir de este momento estaríamos en condiciones de enviar la solicitud sea a una entidad certificadora interna o a una externa.
2. Procesar la solicitud con una entidad certificadora
En caso de procesar el certificado con una CA interna, continuar el procedimiento de lo contrario ir directamente al punto 3:
1. Abrir Internet Explorer (u otro navegador) y escribir la URL de la entidad certificadora: Https://CA/Certsrv
2. En la ventana de bienvenida hacer clic en Request a Certificate y luego en advanced certificate request
3. Hacer clic en Submit a certificate request by using a base-64-encoded CMC or PKCS #10 file…
4. Abrir con el bloc de notas el archivo con extensión REQ y copiamos todo el texto
5. En la ventana de Submit a Certificate Request, en el cuadro de Saved Request pegamos el texto del REQ. En Certificate Template seleccionamos Web Server y hacemos clic en Submit
6. Seleccionar Base 64 encoded y clic en Download certificate
7. Guardar el archivo .CER
3. Completar la solicitud pendiente en Exchange 2013 / 2016
Con el archivo devuelto por la entidad certificadora procedemos a completar la solicitud pendiente:
1. Ir al EAC – Servidores – Certificados. Hacer clic en completo (completar solicitud)
2. En Completar pedido pendiente ingresar la ruta al archivo CER (la extensión puede variar) utilizando el formato UNC (\\servidor\recurso). Aceptar para finalizar
4. Habilitar el certificado a nivel de servicios de Exchange 2013 / 2016
Para utilizar el nuevo certificado primero debemos habilitar servicios:
1. En el EAC – Servidores – Certificados, seleccionamos el certificado y hacemos clic en Modificar (el icono que parece un lápiz)
2. Seleccionar los servicios que deseamos utilizar. Por ejemplo si los clientes utilizan únicamente OWA, Outlook Anywhere, MAPI/HTTPS y Activesync con seleccionar IIS es suficiente. Guardar los cambios.
Luego de esto los clientes Outlook no deberían presentar más ventanas relacionadas a certificados y si vamos por OWA y hacemos clic sobre el certificado deberíamos ver algo similar a la siguiente imagen:
En la parte 3 vamos a ver mejores prácticas asociadas al manejo de certificados en Exchange 2013 / 2016 y algunos errores comunes de configuración.
Por información sobre respaldo y restauración de certificados en Exchange ver los siguientes artículos:
- Cómo respaldar un certificado en Exchange 2013 / 2016?
- Cómo importar un certificado en Exchange 2013 / 2016?
Por más información teórica y práctica sobre configuración de Exchange y Certificados, ver el siguiente recurso para miembros VIP del sitio (videos de entrenamiento):
