配置Exchange 2013手机登录使用证书验证(Certificate-Based Authentication)
2016-05-11 17:09
357 查看
我们都知道默认情况下Exchange 2013服务器的移动设备连接服务器使用的是SSL基本身份验证。
![](http://s3.51cto.com/wyfs02/M01/7F/F6/wKioL1cy94nw_T2nAACMR90NRsA533.png)
需求描述:
今天有人提出,需要将Exchange 2013的手机连接认证方式使用证书来验证。如果手机客户端没有用户证书则不运行登陆邮箱。
优势:
配置使用证书验证的优点在于,手机客户端和服务器之间使用用户证书进行验证,当更改或重置用户密码时,不影响手机端用户的邮件服务,不会提示在更改密码后重新输入密码。
注意事项:
1、手机客户端使用的用户证书的Subject Name必须为该用户的User Principal Name (UPN)。
2、手机客户端必须信任Exchange服务器的证书的根颁发机构的根证书。
配置过程:(具体可以参考:https://blogs.technet.microsoft.com/exchange/2012/11/28/configure-certificate-based-authentication-for-exchange-activesync/。)
下面介绍配置过程。
1、在Exchange 2013 CAS服务器上安装“IIS客户端证书映射身份验证”,如图。
![](http://s3.51cto.com/wyfs02/M00/7F/F9/wKiom1cy9qvxHQBUAAGxPXEvSF8055.png)
2、启用IIS服务器的ClientCertficateMappingAuth。如图。
![](http://s3.51cto.com/wyfs02/M02/7F/F6/wKioL1cy94yhenFwAAFU62HaEsg278.png)
![](http://s3.51cto.com/wyfs02/M01/7F/F6/wKioL1cy942zc71KAAB_2y_ZdiI294.png)
3、启用Microsoft-Server-ActiveSync虚拟目录的ClientCertficateMappingAuth。
![](http://s3.51cto.com/wyfs02/M02/7F/F6/wKioL1cy95HBBn1FAAEVmKT_zcQ162.png)
4、配置Microsoft-Server-ActiveSync认证方式为“需要提供客户端证书”。
![](http://s3.51cto.com/wyfs02/M00/7F/F9/wKiom1cy9rOTW8WrAACjfChPsto156.png)
5、重启IIS,使用命令IISreset。最好重启一下服务IIS Admin Service。
![](http://s3.51cto.com/wyfs02/M01/7F/F9/wKiom1cy9rXwrdv5AANkBJrgvdc477.png)
6、接下来就是,配置手机。(在这之前需要搭建证书服务器、颁发用户证书模板等工作)
在手机上打开内部CA服务器地址,选择“申请证书”
![](http://s3.51cto.com/wyfs02/M01/7F/F9/wKiom1cy9rawhIrwAACU15xnc84939.png)
选择“用户证书”
![](http://s3.51cto.com/wyfs02/M02/7F/F9/wKiom1cy9rew33sOAAEtOUYowP0509.png)
使用默认的用户证书模板,直接选择提交。(也可以自定义用户证书模板)
![](http://s3.51cto.com/wyfs02/M02/7F/F9/wKiom1cy9riTbEBuAABX41JCXeU604.png)
选择“安装证书”
![](http://s3.51cto.com/wyfs02/M00/7F/F9/wKiom1cy9rmwUp8wAACehFqVObc597.png)
输入安装该证书的一个方便记忆的名称。
![](http://s3.51cto.com/wyfs02/M02/7F/F6/wKioL1cy953wctN-AAEgMpA3F_s839.png)
手机客户端用户证书申请完成后,接下来,就开始配置手机客户端。配置方法和平时配置手机Exchange邮箱一致,在此不过多描述。需要注意的是,需要选择客户端证书(即为上面安装的用户证书),并选择“允许”。
![](http://s3.51cto.com/wyfs02/M00/7F/F6/wKioL1cy96GgvOpvAADtjYIm_ZM299.png)
配置设置如图。选择“完成”后开始配置邮箱。
![](http://s3.51cto.com/wyfs02/M01/7F/F9/wKiom1cy9sOg31G1AACZZdoUVd8300.png)
邮箱配置成功。
![](http://s3.51cto.com/wyfs02/M01/7F/F6/wKioL1cy96XCn84mAALEAY2wRq0563.png)
在服务器上的日志中查看手机的连接方式为SSL/PCT,表明使用的链接方式为证书验证。
![](http://s3.51cto.com/wyfs02/M01/7F/F7/wKioL1cy-fSi_Vq6AAISlk2kIPw249.png)
![](http://s3.51cto.com/wyfs02/M01/7F/F6/wKioL1cy94nw_T2nAACMR90NRsA533.png)
需求描述:
今天有人提出,需要将Exchange 2013的手机连接认证方式使用证书来验证。如果手机客户端没有用户证书则不运行登陆邮箱。
优势:
配置使用证书验证的优点在于,手机客户端和服务器之间使用用户证书进行验证,当更改或重置用户密码时,不影响手机端用户的邮件服务,不会提示在更改密码后重新输入密码。
注意事项:
1、手机客户端使用的用户证书的Subject Name必须为该用户的User Principal Name (UPN)。
2、手机客户端必须信任Exchange服务器的证书的根颁发机构的根证书。
配置过程:(具体可以参考:https://blogs.technet.microsoft.com/exchange/2012/11/28/configure-certificate-based-authentication-for-exchange-activesync/。)
下面介绍配置过程。
1、在Exchange 2013 CAS服务器上安装“IIS客户端证书映射身份验证”,如图。
![](http://s3.51cto.com/wyfs02/M00/7F/F9/wKiom1cy9qvxHQBUAAGxPXEvSF8055.png)
2、启用IIS服务器的ClientCertficateMappingAuth。如图。
![](http://s3.51cto.com/wyfs02/M02/7F/F6/wKioL1cy94yhenFwAAFU62HaEsg278.png)
![](http://s3.51cto.com/wyfs02/M01/7F/F6/wKioL1cy942zc71KAAB_2y_ZdiI294.png)
3、启用Microsoft-Server-ActiveSync虚拟目录的ClientCertficateMappingAuth。
![](http://s3.51cto.com/wyfs02/M02/7F/F6/wKioL1cy95HBBn1FAAEVmKT_zcQ162.png)
4、配置Microsoft-Server-ActiveSync认证方式为“需要提供客户端证书”。
![](http://s3.51cto.com/wyfs02/M00/7F/F9/wKiom1cy9rOTW8WrAACjfChPsto156.png)
5、重启IIS,使用命令IISreset。最好重启一下服务IIS Admin Service。
![](http://s3.51cto.com/wyfs02/M01/7F/F9/wKiom1cy9rXwrdv5AANkBJrgvdc477.png)
6、接下来就是,配置手机。(在这之前需要搭建证书服务器、颁发用户证书模板等工作)
在手机上打开内部CA服务器地址,选择“申请证书”
![](http://s3.51cto.com/wyfs02/M01/7F/F9/wKiom1cy9rawhIrwAACU15xnc84939.png)
选择“用户证书”
![](http://s3.51cto.com/wyfs02/M02/7F/F9/wKiom1cy9rew33sOAAEtOUYowP0509.png)
使用默认的用户证书模板,直接选择提交。(也可以自定义用户证书模板)
![](http://s3.51cto.com/wyfs02/M02/7F/F9/wKiom1cy9riTbEBuAABX41JCXeU604.png)
选择“安装证书”
![](http://s3.51cto.com/wyfs02/M00/7F/F9/wKiom1cy9rmwUp8wAACehFqVObc597.png)
输入安装该证书的一个方便记忆的名称。
![](http://s3.51cto.com/wyfs02/M02/7F/F6/wKioL1cy953wctN-AAEgMpA3F_s839.png)
手机客户端用户证书申请完成后,接下来,就开始配置手机客户端。配置方法和平时配置手机Exchange邮箱一致,在此不过多描述。需要注意的是,需要选择客户端证书(即为上面安装的用户证书),并选择“允许”。
![](http://s3.51cto.com/wyfs02/M00/7F/F6/wKioL1cy96GgvOpvAADtjYIm_ZM299.png)
配置设置如图。选择“完成”后开始配置邮箱。
![](http://s3.51cto.com/wyfs02/M01/7F/F9/wKiom1cy9sOg31G1AACZZdoUVd8300.png)
邮箱配置成功。
![](http://s3.51cto.com/wyfs02/M01/7F/F6/wKioL1cy96XCn84mAALEAY2wRq0563.png)
在服务器上的日志中查看手机的连接方式为SSL/PCT,表明使用的链接方式为证书验证。
![](http://s3.51cto.com/wyfs02/M01/7F/F7/wKioL1cy-fSi_Vq6AAISlk2kIPw249.png)
相关文章推荐
- 小心服务器内存居高不下的元凶--WebAPI服务
- 运维入门
- 利用开源软件打造自己的全功能远程工具
- Linux5.9无人值守安装
- 数据中心和云未来的十二大趋势
- 用vsftp快速搭建ftp服务器
- Linux快速构建apache web服务器
- 服务器监控策略浅谈
- 如何降低服务器采购成本 原理分析
- 建议的服务器分区办法
- 服务器托管六大优势分析
- Erlang实现的一个Web服务器代码实例
- 服务器技术全面解析
- 保护DNS服务器的几点方法小结
- 我国成为全球第二大服务器消费国
- 服务器 安全检查要点[星外提供]
- 服务器应用自动重新启动IIS批处理[原创]_DOS/BAT_脚本之家
- FTP 服务器关于权限的问题
- 批处理设置windows服务器的代码ThecSafe1.9.4第1/3页