Exchange 2007客户端访问和SSL系列之二

　　什么时候不应该使用自签名证书 尽管自签名证书支持让加入域的Microsoft Office Outlook 2007 客户端使用自动发现服务和Outlook Web Access 使用，我们不建议为其他任何目的长期使用自签名证书，除了加密组织内部的Exchange 2007 服务器之间的通讯。为了支持许多，如果不是全部的客户端访问服务器特性，象Exchange ActiveSync、Outlook Web Access、Outlook Anywhere，我们建议您从Windows PKI或者信任的第三方商业机构获得一张证书，并保证该证书被导入到每个计算机或者设备上的信任根存储中。

　　重要：自签名证书不支持给Outlook Anywhere 或者Exchange ActiveSync使用

　　Windows 公共密钥基础机构(PKI)证书

　　第二种类型的证书是Windows PKI 生成的证书，PKI是一个数字证书、证书机构、核实和验证通过公共密钥密码术参与电子交易每个团体的有效性的注册机构。当您在使用活动目录的组织中部署CA，您为证书生命周期管理、更新、信任管理和撤回提供了一个基础机构。Windows PKI 让组织发布他们自己的证书，在内部网络中，客户端能够从Windows PKI请求和收到证书。Windows PKI 能够更新或者撤回证书。

　　证书服务需要部署Windows PKI，可以通过控制面板中的添加\删除程序来部署。您能够将证书服务安装在域中的任何服务器上。

　　如果您从加入的Windows CA获得证书，您能够使用该CA来请求或者给证书签名来颁发给网络中您自己的服务器或者计算机。这让您使用PKI来模拟一个第三方证书供应商，但是不昂贵。尽管这些PKI证书不能象其他类型的证书那样公开部署，当一个PKI CA通过使用私钥签名请求者的证书，该请求者被验证。该CA的公钥是证书的一部分。在信任根证书存储中拥有该证书的服务器，能够使用公钥来解密请求者的证书并认证请求者。

　　部署PKI生成的证书的这些步骤模拟那些要求部署自签名证书。您仍必须安装信任根证书的拷贝，从PKI到您想用来建立SSL连接到Microsoft Exchange的计算机或者移动设备的信任根证书存储。

　　信任的第三方证书

　　第三方或者商业证书是由第三方或者商业CA生成的证书，然后被购买用于您的网络上的服务器。自签名证书和基于PKI的证书的一个问题是，因为这种证书不被客户端计算机或者移动设备自动信任，您必须保证您将该证书导入到客户端计算机和移动设备上的信任根证书存储中。第三方或者商业证书不会有该问题，因为证书已经在信任根证书存储中，大多数商业CA证书已经被信任。因为颁发者被信息，证书也被信任。使用第三方证书能大大地简化部署。

　　对于大型的组织或者必须公开部署证书的组织，最好的办法是使用第三方或者商业证书，即使有和证书相关的成本。对于中小型组织，商业证书也许不是最好的方法，您也许想使用可用的其他证书选项中的一种。

　为您的Exchange 2007 组织计划证书配置

　　所有的客户端需要一个URL或者完全限定域名(FQDN)用来连接。客户端连接的每个路径必须和一张有效的证书结合起来，该证书包含主机名称、NetBIOS 名称、FQDN或者客户端要连接的主机的公用名称。当您决定证书上要包含的名称列表时，您所做的被称为名称空间计划。

　　名称空间是一个逻辑结构，通常由DNS中的域名来表示。当您在定义您的名称空间时，您必须考虑您的客户端和驻留邮箱的服务器的各种各样的场所。除了客户端的物理位置以外，您必须评估它们如何连接到Exchange 2007。这些问题的答案将决定您必须拥有多少个名称空间。您的名称空间一般和您的DNS配置紧密联系，我们建议有一个或者多个面向Internet 的客户端访问服务器的每个活动目录站点有唯一的名称空间。这通常由DNS中的A记录来表示，例如：mail.contoso.com 或者 mail.europe.contoso.com。

　　在部署一个Exchange 2007 组织之前，您必须决定如何配置您的组织和您的名称空间如何被定义，对名称空间所做的决定将影响下面这些：

　　· 您如何配置DNS

　　· 您必须用那些证书来加密您的Exchange 2007 和您的客户端计算机以及设备之间的通讯

　　· 您的客户端如何访问他们的邮箱

　　名称空间计划关系到检查您的物理和逻辑网络结构和选择组织拓扑。该部分提供了各种不同的拓扑的概述和每个拓扑如何影响您的Exchange 组织的信息。

　　您必须理解证书的名称空间，以便您知道用来增强到Exchange 2007 入站连接的证书的SAN 扩展中要包含哪个主机名称。