[求助]CA的问题

pandic

现在的邮件系统运行正常<br>
Windows身份验证<br>
<br>
现在要把邮件系统推广到基层（已创建用户）<br>
添加CA验证<br>
<br>
我该怎么做？

yinjie

不太明白你的意思，CA验证和邮件的关系不大，如果你是打算用证书验证代替用户验证（比如智能卡），那你需要在域上做文章，邮件上不管的，要说和邮件有关系的，那就是加密和签名邮件了，但在2003里，已经把这部分工作转移给WIN2003了，你只要有用户证书就可以设置加密和签名了。如果是2000，需要安装KMS。----------

pandic

Windows身份验证改为证书验证<br>
主要用于Internet客户端登陆邮箱身份验证<br>
所以我要布置CA，应该怎么做？<br>
根CA？<br>
从属 CA？

yinjie

你好，WINDOWS验证不是我们说的登录邮件验证，智能卡验证可以用在登录WINDOWS（域成员）或VPN通道。登录邮件则不同。我们分情况来说：<br>
1、POP3/SMTP：这种方式走的是标准协议。只要有用户和密码就可以登录，如果希望用证书，需要改成SSL POP3/SSL SMTP。这样会在与外部SMTP服务器联系时出现验证失败问题，见以前讨论。<br>
2、MAPI：此方式系统将自动使用登录WINDOWS的用户去验证，当然你也可以自己输入用户和密码。此方式不支持证书。证书只是用来加密或签名邮件的。<br>
3、OWA：此方式同样有几种验证方式，一般常见是WINDOWS集成和基本验证，前者需要提交用户、域和密码，后者密码是明文传输的，只需要提供用户和密码即可。两者在HTTP下都不支持证书，切换到SSL（HTTPS）下，支持证书，需要安装服务器证书，如需要双向验证，还需要客户证书。<br>
<br>
CA的设置一般来说需要两级：根CA和从属子CA。<br>

pandic

谢谢yinjie大哥的指点。<br>OWA：此方式同样有几种验证方式，一般常见是WINDOWS集成和基本验证，前者需要提交用户、域和密码，后者密码是明文传输的，只需要提供用户和密码即可。两者在HTTP下都不支持证书，切换到SSL（HTTPS）下，支持证书，需要安装服务器证书，如需要双向验证，还需要客户证书。<br>
我想我应该是Internet客户端登陆邮箱，需切换到SSL（HTTPS）下，支持证书，需要安装服务器证书！<br>

yinjie

如果如你现在的描述，那就不需要客户证书了，你只要为WEB服务器申请一个证书并开启SSL通讯即可。

pandic

谢谢！！！

pandic

一.配置SSL功能<br>
1.安装证书服务<br>
2.安装服务器证书（使用证书向导）<br>a.在IIS中，打开默认站点的属性页——目录安全性——安全通信（服务器证书）——新建证书，根据向导的提示完成证书的申请，记录下应答文件的路径！<br>b.在浏览器中：输入地址<a target=_blank href=http://localhost/certsrv/>http://localhost/certsrv/</a>进入证书申请界面。<br>c.申请证书——高级——使用Base64编码……——在“保存的申请”中填入应答文件的内容，证书模版选择“web服务器”，至此，证书将被颁发。<br>d.下载Base64编码的证书并安装。在证书导入向导中，将所有证书存储在“企业信任”下。<br>
3.制作颁发证书的应答文件<br>a.进入证书颁发机构，在“颁发的证书”中，打开刚才被颁发的证书，在“详细信息”中，到处到一个cer文件，当然，编码要选择Base64编码的。<br>b.到处成功，记住路径。<br>
4.让IIS自动处理挂起的证书请求<br>a.在IIS的“安全通信”中，打开“服务器证书向导”，处理挂起——选择应答文件。<br>b.完成咯。<br>
5.配置使用SSL。<br>a.在“安全通信”的“编辑”中，选择“要求SSL”<br>
6.至此你的服务器站点的所有网站都必须通过SSL认证才能访问，访问exchange时，需要输入URL（https://*****/exchange）<br>
<br>
<br>
c.申请证书——高级——使用Base64编码……——在“保存的申请”中填入应答文件的内容，证书模版选择“web服务器”，至此，证书将被颁发。******证书模版“web服务器”不可选择，只有“用户”和“基本EFS”<br>
<br>
失败了！？？？<br>
<br>

pandic

如果如你现在的描述，那就不需要客户证书了，你只要为WEB服务器申请一个证书并开启SSL通讯即可。<br>
<br>
<br>
具体该如何做？？？

smallbigbox

接着yinjie帮你回答。<br>
<br>
从ca服务器做一个邮件证书。导入到你的website就可以了