Chuyển Exchange 2003 sang Exchange 2007 (P.7)
Trong phần trước chúng ta đã cấu hình cho một số thành phần
cần thiết trong môi trường Exchange 2007, như các tham số cấu
hình của CCR và Transport Dumpster.
Trong phần 7 này chúng ta sẽ thao tác với giấy phép, một trong
những vùng chính của Exchange 2007. Trước tiên chúng ta sẽ
kiểm tra giấy phép của những gì đã thay đổi trên các Client Access Server của Exchange 2007
qua tiến trình tạo giấy phép.
Giấy phép của Client Access Server
Mặc định, Exchange 2007 cài đặt các giấy phép tự chỉ định được phép sử dụng trên các máy chủ
chức năng Hub Transport và Edge Transport trong hầu hết các trường hợp. Tuy nhiên vẫn có
ngoại lệ, như sử dụng những tính năng của máy chủ Edge Transport, như tính năng bảo mật
miền. Tuy nhiên những giấy phép tự chỉ định không phù hợp cho một số tính năng của Client
Access Server như Outlook Anywhere và khả năng sử dụng lâu dài Outlook Web Access. Do đó
chúng ta cần phải thay thế những giấy phép tự chỉ định được cài đặt trên các máy chủ Client
Access Server. Trong ví dụ của bài viết, Client Access Server và Hub Transport cùng tồn tại trên
các máy chủ do đó chúng ta cũng sẻ phải thay thế giấy phép của máy chủ Hub Transport.
Trong môi trường Active Directory có một Certificate Authority (CA - giấy phép phân quyền)
nền tảng Windows có khả năng tạo những giấy phép cần thiết. Ngoài Exchange 2007 còn có rất
nhiều phần mềm khác của Microsoft yêu cầu sử dụng giấy phép, như Office Communications
Server 2007. Khi CA của Windows đã được cài đặt chúng ta có thể tự tạo CA mà không phải tốn
chi phí cho giấy phép từ một Public CA. Tất nhiên các giấy phép do một Public CA tạo được yêu
cầu trên ISA Server vì nó chấp thuận các yêu cầu dịch vụ công cộng như Oultlook Web Access,
Outlook Anywhere, …
Để tạo giấy phép mới cho Client Access Server, trước tiên chúng ta cần tạo một yêu cầu cấp
phép với lệnh New-ExchangeCertificate. Cần lưu ý rằng các giấy phép sẽ sử dụng tên khác nhau.
Vì giấy phép yêu cầu những tên khác nhau nên chúng ta sẽ sử dụng thuộc tính Subject Alternate
Name. Trong ví dụ này chúng ta sẽ sử dụng những tên sau:
• FQDN của máy chủ, gồm hubcas1.neilhobson.com và hubcas2.neilhobson.com.
• Tên NetBIOS của máy chủ, như hubcas1 hay hubcas2. Việc đặt tên NetBIOS cho máy
chủ là không bắt buộc, nhưng làm như vậy chúng ta sẽ không phải nhận những cảnh báo
khi sử dụng tên NetBIOS của máy chủ.
• Tên miền sử dụng cho hệ thống (trong ví dụ này là neilhobson.com) chỉ là một tên miền
duy nhất đang được sử dụng. Tuy nhiên, trong những trường hợp những Accepted
Domain Name (tên miền chấp thuận) bổ sung xuất hiện thì chúng ta cần phải chỉ định tên
cho chúng. Trong Exchange 2007 SP1 có một phương pháp đơn giản giúp thực hiện thao
tác này đó là sử dụng tham số –IncludeAcceptedDomains của lệnh New-
ExchangeCertificate để đảm bảo rằng mọi Accepted Domain mà chúng ta đã định nghĩa
xuất hiện trong yêu cầu cấp phép.
• Tên miền tự động tìm kiếm, như autodiscover.neilhobson.com. Thực ra chúng sẽ sử dụng
tham số mới –IncludeAutodiscover của lệnh New-ExchangeCertificate để phục vụ chp
mục đích này. Như tham số –IncludeAcceptedDomains, tham số này bảo đảm tên tự động
tìm kiếm cho mọi tên miền chấp thuận bổ sung có trong yêu cầu cấp phép. Chúng ta
không nhất thiết phải sử dụng tham số này, nhưng nếu sử dụng nó chúng ta sẽ không bỏ
xót một tên miền bổ sung cần thiết nào.
• Tên mà người dùng sẽ sử dụng để truy cập mail từ xa, như email.neilhobson.com.
Tạo giấy phép
Để tạo yêu cầu cấu phép, chúng ta sẽ chạy lệnh New-ExchangeCertificate với một vài tham số
khác nhau. Cú pháp của lệnh đầy đủ có dạng như sau:
New-ExchangeCertificate –GenerateRequest –Path c:\hubcas1.txt –SubjectName
cn=hubcas1.neilhobson.com –DomainName email.neilhobson.com, hubcas1,
hubcas1.neilhobson.com –IncludeAcceptedDomains –IncludeAutodiscover –
PrivateKeyExportable $true
Trong đó:
• Tham số GenerateRequest: cho phép tạo một file yêu cầu cấp phép hơn là một giấy
phép tự chỉ định.
• Tham số Path: là vị trí chỉ định file chứa yêu cầu cấp phép đã được tạo, cụ thể là
c:\hubcas1.txt.
• Tham số SubjectName: liên kết giấy phép với một tên máy chủ. Trong ví dụ này giấy
phép sẽ được gửi tới hubcas1.neilhobson.com.
• Tham số DomainName: Chúng ta cần đảm bảo tham số này chứa tên truy cập ngoài, tên
NetBIOS và Fully Qualified Domain Name (FQDN). Điều này có nghĩa là mọi tên này sẽ
xuất hiện trong giấy phép.
• Tham số IncludeAutodiscover: Như những Accepted Domain, tham số này bảo đảm rằng
tên của Autodiscover Domain bổ sung đã phù hợp.
• Tham số PrivateKeyExportable: Đây là công cụ hữu dụng cho phép xuất giấy phép, như
khi copy giấy phép này sang một ISA Server.
Sau đó lệnh này sẽ hiển thị kí hiệu (Thumbprint) và tên phụ thuộc (Subject Name) như trong
hình 1.
Hình 1: Thông tin kết xuất khi chạy lệnh New-ExchangeCertificate.
Lệnh này cũng sẽ tạo file c:\hubcas1.txt trên Client Access Server. Đây là một file yêu cầu cấp
phép tương tự.
Hình 2: Nội dung của file yêu cầu cấp phép.
Như đã nhắc đến ở trên, trong ví dụ này, một Windows CA đã được tạo và có thể sử dụng để tạo
những giấy phép cho các máy chủ Hub Transport và Client Access Server. Thực hiện các thao
tác sau để tạo giấy phép:
1. Vào giao diện Web của CA này bằng cách mở ứng dụng trình duyệt rồi nhập địa chỉ sau vào
thanh địa chỉ http://server/certsrv. Trong đó ‘server’ sẽ được thay thế bằng tên của máy chủ đang
vận hành Windows CA. Sau đó chúng ta sẽ thấy màn hình Welcome như trong hình 3.
Hình 3: Màn hình Welcome của Windows CA.
2. Trên màn hình Welcome click vào liên kết Request a certificate. Khi đó màn hình Request a
Certificate sẽ xuất hiện như trong hình 4.
Hình 4: Màn hình Request a Certificate của Windows CA.
3. Trên màn hình Request a Certificate, click vào liên kết Submit an Advanced Certificate
Request. Sau đó màn hình Advanced Certificate sẽ xuất hiện như trong hình 5.
Hình 5: Màn hình Advanced Certificate Request của Windows CA.
4. Trên màn hình Advanced Certificate Request lựa chọn liên kết Submit a certificate request
by using a base-64-encoded CMC or PKCS #10 file. Sau đó màn hình Submit a Certificate
Request or Renewal Request sẽ xuất hiện.
5. Trong trường Saved Request, dán nội dung của file yêu cầu cấp phép hubcas1.txt. Tiếp theo
lựa chọn Web Server cho trường Certificate Template như trong hình 6.
Hình 6: Màn hình Submit a Certificate Request or Renewal Request của Windows CA.
6. Sau khi hoàn thành, click vào nút Submit và màn hình Certificate Issued sẽ xuất hiện như
trong hình 7. Tại đây, chúng ta sẽ lựa chọn tùy chọn DER encoded rồi lựa chọn liên kết
Download certificate rồi lưu file giấy phép kết quả (certnew.cer) cục bộ trên Client Access
Server.