在生产环境中完成 Exchange Server SE 证书部署 是确保邮件系统安全和稳定运行的关键步骤。正确配置证书不仅影响 Outlook、OWA、ECP、ActiveSync、Autodiscover 等核心服务的用户体验，也直接决定了系统的整体安全性。本文将详细讲解如何通过 AD CS 和其他证书方式，为 Exchange Server SE 实现完整可靠的证书体系。
一、Exchange SE 证书部署的两种方式
方案 1：使用 AD CS（企业内部 CA）颁发证书
适用于纯内部环境或局域网封闭场景，可统一信任链、降低成本，并支持自动信任。
方案 2：使用外部免费 CA（ZeroSSL / Let’s Encrypt）申请证书
适用于需要对外开放 OWA / ActiveSync / Autodiscover 的企业，是低成本但可靠的公网证书方案。
二、本文将带你完成以下内容
- 证书命名与 SAN 列表规划（最佳实践）
- 使用 Exchange EAC 创建 CSR 请求
- 基于 AD CS 完成证书签发
- 在 Exchange SE 导入证书、启用服务、绑定 IIS/SMTP
- 验证证书链与客户端连接
三、在 EAC 中创建证书请求（CSR）
登录 EAC，导航至 服务器 → 证书，点击 + 新建证书。
选择 从证书颁发机构获取证书的请求。
输入证书名称（建议与用途相关）。
本次不使用通配符证书。
选择 CSR 文件保存位置（保存到 EX01）。
由于之前已设置内部与外部 URL，因此无需修改。
确认证书域名（SAN）列表是否完整。
填写组织信息。
完成 CSR 请求生成。
四、在 AD CS 上提交 CSR 并下载证书
打开 AD CS Web 页面：
http://10.228.22.50/certsrv/点击申请证书。
选择 高级证书申请。
将 CSR 内容贴入框中，模板选择 Web 服务器。
下载 DER 编码 证书。
五、在 Exchange SE 导入证书并启用服务
返回 EAC，点击 完成。
选择刚下载的证书文件。
导入成功，显示证书到期时间。
编辑证书，绑定服务。
勾选 SMTP、IIS。
覆盖现有默认证书。
测试访问 EAC：
https://mail.pangshare.com/ecp已经没有证书警告提示。
六、常见问题 FAQ
1. Exchange SE 常见的 SAN 列表应该包含哪些域名？
推荐至少包含：
- mail.domain.com
- autodiscover.domain.com
如需内部域名，需确认是否兼容，避免公网 CA 验证失败。
2. 使用 AD CS 签发的内部证书能否用于外网访问？
不建议。外网用户不信任内部 CA，会导致证书警告。对外访问应使用 ZeroSSL、Let’s Encrypt 或商业证书。
3. 是否可以为 Exchange 使用通配符证书？
可以，但不推荐。通配符证书无法覆盖 autodiscover.domain.com，仍需 SAN 项。
4. POP/IMAP 服务是否必须绑定证书？
若未启用 POP/IMAP，可忽略；若已启用，则必须绑定证书，否则客户端连接将失败。
5. 导入证书后仍有警告，可能原因是什么？
- 域名与证书 CN/SAN 不匹配
- 客户端未信任 CA 链
- IIS 未重启（可执行 iisreset）
- DNS 指向错误服务器
七、总结
通过本文的完整操作流程，我们成功为 Exchange Server SE 部署了可被客户端完全信任的 SSL 证书，包括 CSR 生成、使用 AD CS 签发、证书导入、服务绑定以及最终的访问验证。至此，Exchange 的核心组件——OWA、ECP、ActiveSync、Autodiscover、SMTP、POP/IMAP 等服务已经具备安全加密能力，能够为企业内部和外部用户提供稳定、安全的邮件体验。
正确配置 SSL 证书是 Exchange 进入生产环境的重要里程碑之一，它不仅提升安全性，也极大减少客户端连接问题。在后续部署中，你还可以进一步优化：
- 使用 ZeroSSL / Let’s Encrypt 部署自动化证书续期
- 配合 DNS、邮件流、SPF/DMARC/DKIM 进一步强化外部邮件安全
- 持续监控证书到期时间并建立告警机制
- 对多服务器环境配置统一的证书体系
在下一篇文章中，我们将继续探讨 Exchange Server SE 的 邮件流配置（Send Connector / Receive Connector） 与与企业域名的联通方式，帮助你的邮件系统全面进入生产级稳定状态。
相关链接
© 版权信息：
作者：PANGSHARE
发布平台：PANGSHARE | 文章链接：https://www.pangshare.com/exchange-server-se-ssl-certificate-deployment/
本文内容仅限非商业性使用，如需商用（包括但不限于广告投放、付费专栏、企业宣传等），请邮件联系原作者获得独家授权，违者将依法追究法律责任。
微信扫一扫 
