政府憑證 vs AD 憑證 for Exchange 2007/2010

前些日子接了一個政府機構的 Exchange Server 2007/2010 的建置案，客戶不想花錢購買 3rd 的憑證，也不想使用 AD 自己發的憑證，想說政府機關有自己的憑證，所以就傻傻的做下去了...


然而事情往往不像傻瓜想的這麼簡單，剛開始 Import-ExchangeCertificate 沒問題，但是Enable-ExchangeCertificate 就錯誤了，錯誤訊息如下:


最後請政府憑證管理中心調整後就可以成功 Enable-ExchangeCertificate，至於調整哪裡 ? 這個只有 "政府憑證管理中心" 知道...


不要以為這樣就大功告成了 !! 經過實際測試結果，只有 OWA 可以正常使用 ! 至於 ROH 仍然無法使用 ! 原因是...... 政府憑證到目前為止只支援單一主體名稱，也就是跟 Exchange 2000/2003 一樣，其中少了 autodiscover 這個別名 !!


解決方案有三個，一是請政府憑證改版，可以支援 Exchange 2007/2010 多主體名稱，二是請改用 AD 發的憑證，三是購買 3rd Public CA。


這個經驗跟大家分享，請各位鄉親要注意 !