關於SSL證書和OWA更改密碼的忠告

[psac]

最近不斷在各個論壇看到有關OWA更改密碼設定不成功的事情，經過對幾個用戶的跟蹤瞭解，發現原因其實很簡單。現給出如下忠告：

1、安裝CA要選項根CA，建議選項企業根CA，如果你需要在公共外網使用，則企業根CA必須在客戶端安裝根證書。
2、安裝CA時按照慣例會讓你寫一些資料，什麼國家啦、什麼名字、組織等等，警告你請你按實際情況來寫，不要胡亂填寫（我看有的朋友是上網上多了，資料胡亂寫慣了），這些資料是證書建立的關鍵，胡亂的填寫，無法產生正確的證書。
3、在IIS裡申請證書時，建議選項手工提交，儲存出的文件請不要修改（加密編碼過，不要手賤），在證書申請裡一定要選項從PKS11文件申請。
4、下載根證書一定要是CER格式，其它的可能裝不上。
5、回IIS裡安裝證書時，一定不要移除已掛起的申請，否則請你麻煩重新來過。安裝時不要安裝錯了，是你剛才下載的證書文件。注意：申請證書時的資料應與CA資料一致，證書通用名應該和WEB站點名一致，不要胡亂寫（有這個癖好的人請注意！！）。
6、安裝好證書後，建議有條件的朋友到微軟網站下載一個叫SSL PROBE的軟體來驗證證書完好正常。不要以為安裝上了證書就是好的。要同該軟體的檢查，並驗證有證書的信任關係才有用。

看到這的時候，你應該可以看到證書正常安裝了。接下來是要設定SSL。注意，不要在EXCHANGE目錄上設定（這樣設定以後沒有客戶證書你連OWA也上不了的），只要在IISADMPWD上設定即可，另外，一定要選項忽略客戶證書，否則沒有客戶證書通不過驗證。

做完以上的部分，你應該在CA裡已簽發證書裡看到至少3個證書（分別是管理員、DC和WEB），在本機的IE裡內容裡可以看到受信任的根證書機構中有一個證書連接，在證書裡也有一個。這就說明證書是好的了。

接下來你就可以開啟OWA進行密碼修改了。在開啟時，系統會提示你將轉入安全網頁，選項是，然後系統會提示你一個證書資訊，請選項是（沒有這個頁，表示證書不被信任！）好，現在看到頁面了，還是那句話，不要胡寫，域寫域名，用戶寫用戶名（不要加域名），按更改吧。系統會提示你是否成功的。

注意點：如果以上方法仍不能實現你的夢想，請你在IIS裡重新申請證書，並選項在線更新證書，這一操作通常可以把錯誤的證書信任關係修正，但記得在CA了吊銷原來的證書（不知道是哪個？不會看有效日期嗎？)

　
來源：NewWeed