...
Так же рекомендуется дублировать шаблоны CEPEncryption и EnrollmentAgentOffline - в данном примере это будут дубликаты с именами CEPEncryptionNDES и EnrollmentAgentOfflineNDES
Отображаемое имя сертификата сделаем путем добавления к отображаемому имени родительского шаблона текста "для NDES". Т.е. наши шаблоны будут отображены в интерфейсе как "Шифрование CEP для NDES" и "Агент регистрации Exchange (автономный запрос) для NDES"
У шаблона EnrollmentAgentOfflineNDES необходимо разрешить экспорт закрытого ключа/.
У шаблонов CEPEncryptionNDES и EnrollmentAgentOfflineNDES необходимо убрать требование одобрения диспетчером сертификатов ЦС.
...
Проблемы сертификатов NDES
Помимо сертификатов для конечных устройств, у службы NDES имеются собственные служебные сертификаты (Registration Authority Certificates), необходимые для работы сервиса. Эти сертификаты по умолчанию выпускаются сроком на 2 года. После истечения этого срока могут возникнуть проблемы с восстановлением работоспособности службы NDES даже после перевыпуска данных сертификатов. Чтобы избежать данных проблем сертификаты после окончания срока действия нужно перевыпускать выполнив последовательность дейтсвий описанную ниже.
...
- Нажмите Win + R и введите
certlm.msc(Локальный компьютер). - Перейдите в Личное -> Сертификаты.
- Нажмите правой кнопкой -> Все задачи -> Запросить новый сертификат.
- Выберите шаблон Шифрование CEP для NDES (CEPEncryptionNDES) и выпустите его.
...
- Нажмите
Win + Rи введитеcertmgr.msc(Текущий пользователь). - Перейдите в Личное -> Сертификаты.
- Нажмите правой кнопкой -> Все задачи -> Запросить новый сертификат.
- Найдите шаблон Агент регистрации Exchange Enrollment Agent (Offline requestавтономный запрос) для NDES.
- КРИТИЧНО: Не нажимайте сразу "Заявка"! Нажмите на ссылку "Для регистрации в этом сертификате требуются дополнительные сведения..." (или кнопку Свойства).
- Перейдите на вкладку Закрытый ключ (Private Key), разверните раздел Параметры ключа (Key options) и обязательно поставьте галочку Сделать закрытый ключ экспортируемым (Make private key exportable).
- Нажмите ОК и выпустите сертификат.
- В той же пользовательской оснастке (certmgr.msc) кликните правой кнопкой мыши по только что выпущенному сертификату Агента -> Все задачи -> Экспорт.
- В мастере экспорта обязательно выберите «Да, экспортировать закрытый ключ» (Yes, export the private key).
- Оставьте формат .pfx по умолчанию.
- Задайте пароль для защиты файла ключа и сохраните .pfx файл на рабочий стол.
- Откройте оснастку компьютера (certlm.msc) -> Личное -> Сертификаты.
- Правый клик -> Все задачи -> Импорт.
- Укажите путь к сохраненному .pfx файлу, введите пароль и завершите импорт.
...