OWA und Zertifikate - Server 2003 und Exchange 2007

HOW TO
- Erstellen von einer Stammzertifizierungstelle
- Erstellen von einem Zertifikat
- Einrichten von OWA am Server und Client
- OWA mit Hilfe von DYNDNS

Erstellen der Zertifikatdienste und der Stammzertifizierungstelle (ROOT CA)

Zuerst installieren wir die Zertifikatdienste unter Software.

Nun installieren wir eine Stammzertifizierungstelle, da dies die Erstinstallation ist.

Dann muss der Kryptografiedienstanbieter, ein Hashalgorithmus und die Einstellungen für das Schlüsselpaar ausgewählt werden.
(Ich übernehme hier die vorgegebenen Werte)

Danach werden wir nach dem Allgemeinen Namen für die Zertifizierungstelle gefragt, dort habe ich wie im "HOWTO zu Server 2008" den Namen "Interne Zertifizierungstelle" gewählt. Zudem kann man auch die Gültigkeitsdauer festlegen. Der vorgegebene Wert von 5 Jahren reicht allerdings zunächst einmal aus.

Im nächsten Schritt können wir den Speicherort der Zertifikatdatenbank und -Protokoll bestimmen und uns bis zum Fertigstellen der Installation klicken.


Erstellen vom Zertifikat

Im IIS-Manager unter Standardwebsite - Eigenschaften, klicken wir auf Serverzertifikat und erstellen mit Hilfe vom Assistent das erste Zertifikat.


Wir entscheiden uns dafür, die Anforderung sofort an eine Onlinezertifizierungstelle zu senden.

Danach geben wir den Namen für das Zertifikat ein und können auch die Bitlänge des Schlüssels bestimmen.

Als nächstes werden wir nach der Organisation und der Organisationseinheit gefragt.

Hier geben wir den CNAME ein:
ACHTUNG: In diesem Beispiel gebe ich den Namen vom Dyndns an, da ich später von extern auf diese Seite zugreifen will, um OWA zu nutzen.

Falls die Seite NUR im Intranet genutzt werden soll, kann man hier den CNAME vom Server angeben.
Der CNAME muss allerdings im DNS-Server eingetragen werden:
(hier würde der CNAME "owa.myescp.local" heißen)


Danach wird noch nach dem SSL Port für die Webseite gefragt. Es gibt keinen Grund den Port von 443 zu ändern.
Am Ende wird das Ganze noch einmal angezeigt und wir können die Zertifikatsanforderung senden.

Damit man den CNAME auch aufrufen und verwenden kann, bedarf es noch einer Bearbeitung der Registry:
Unter "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Dnscache" muss ein "REG_MULTI_SZ - Wert" mit dem Namen "AlternateComputerNames" erstellt werden.
Dort schreiben wir den CNAME (hier: owa.mydomain.local) hinein.
Nach dem Neustart vom "Anmeldedienst" kann man den CNAME anstatt dem Servername im IE aufrufen.

Achtung
Überprüfe bitte, ob die "Standardauthentifizierung" von OWA im IIS-Manager aktiviert und der "Anonyme Zugriff" deaktiviert ist!
Überprüfe bitte auch, ob "SSL" von OWA im IIS-Manager unter Verzeichnissicherheit \ Sichere Kommunikation aktiviert ist!


Weitere Konfiguration In der EMC (Exchange Management Console) von Exchange 2007

Unter "Serverkonfiguration - Clientzugriff - Outlook Web Access" öffnet man die owa (Standardwebsite) und kann die "Interne URL" und "Externe URL" angeben.
Interne URL: z.B. servername.mydomain.local/owa ( oder unter Verwendung eines CNAME: cname.mydomain.local/owa )
Externe URL: z.B. firma.dyndns.org/owa
( ich verwende hier für die "Interne URL" den CNAME "owa", sprich "owa.mydomain.local/owa" )


Zertifikat Anforderung am Client (Webregistrierung)

Jetzt muss natürlich auch noch am Client etwas "Arbeit" geleistet werden

Zunächst will ich das Benutzer-Zertifikat von der ROOT CA (Stammzertifizierungsstelle) anfordern.
Im IE rufe ich nun die Interne URL " https://owa.mydomain.local/certsrv " auf ( falls von extern, dann: " https://firma.dyndns.org/certsrv " )
Zunächst muss ich mich authentifizieren, danach kann ich ein "Zertifikat anfordern"

Jetzt wähle ich "Benutzerzertifikat" aus.

Dann auf "Weitere Optionen"

Hier klicke ich auf "Erweiterte Zertifikatanforderung", da ich noch entscheiden will, was für eine Zertifikatvorlage ich installieren möchte.

Danach wähle ich nur noch die Zertifikatvorlage "Benutzer" aus und klicke auf "einsenden", um das Zertifikat im abschließenden Schritt zu installieren.


Import der "Vertrauenswürdigen Stammzertifizierungsstelle"

Jetzt muss ich dem IE natürlich noch sagen, dass meine "Interne Stammzertifizierungsstelle" auch vertrauenswürdig ist, denn sonst blickt der das nicht
Ich rufe wiederholt (kann man auch in einem Arbeitsgang machen) " https://owa.mydomain.local/certsrv " auf und wähle diesmal "Download eines Zertifizierungsstellenzertifikats"

Hier wird mir das Zertifizierungsstellenzertifikat angezeigt, welches ich herunterladen kann.

Das zuvor heruntergeladene "Zertifizierungsstellenzertifikat" muss ich nun noch importieren.
Dazu öffne ich die Eigenschaften des IE und wechsel zum Reiter "Inhalte"
Dort klicke ich auf "Zertifikate" und wechsel im sich öffnenden Fenster zum Reiter "Vertrauenswürdige Stammzertifizierungsstellen".

Hier klicke ich auf "Importieren", wähle das zuvor gespeicherte Stammzertifizierungszertifikat aus und importiere dieses zu den "Vertrauenswürdige Stammzertifizierungsstellen".


Ich hoffe das HOWTO ist einigermaßen verständlich, ich habe es so ausgerichtet, dass ich es auch verstehen würde, wenn ich nicht wüsste wie es geht

Gruß,
Ole