So erzeugen Sie den CSR in Skype for Business

Hinweis: Dieser Leitfaden gilt für Skype for Business Server (vor Ort), nicht für Skype (Verbraucher) oder Skype for Business Online. Skype for Business Online wurde am 31. Juli 2021 eingestellt und Skype (Privatanwender) im Mai 2025. Für neue Bereitstellungen empfiehlt Microsoft Teams. Die unten aufgeführten CSR-Schritte gelten weiterhin für Skype for Business Server 2019 und Skype for Business Server Subscription Edition.

In diesem Tutorial zeigen wir Ihnen, wie Sie eine CSR in Skype for Business erstellen.

Bevor Sie den CSR erstellen, müssen Sie den oder die Dienste angeben, die Sie verschlüsseln möchten. Sie müssen dies mit dem Argument Type aus dem Befehl zur CSR-Erstellung tun.

Im Allgemeinen können Sie den Typ Standard verwenden.

Die Typen Default, AccessEdgeExternal und DataEdgeExternal sind für Edge-Server, während die Typen WebServicesExternal und WebServicesInternal für Web-Streams sind.

Hier ist eine Liste der häufigsten Argumente:

• AccessEdgeExternal
• AudioVideoAuthentifizierung
• DataEdgeExternal
• Standard
• Extern
• Intern
• iPhoneAPNService
• iPadAPNService
• MPNService
• PICWebService (im Ruhestand; war nur Online)
• ProvisionService (zurückgezogen; war nur Online)
• WebServicesExtern
• WebServicesIntern
• WsFedTokenTransfer

Um die CSR zu erzeugen, können Sie den Befehl Request-CSCertificate verwenden. Führen Sie es in der Powershell aus:

Request-CsCertificate -New -Type YOUR_TYPES -Organization "Your Organization" -Country US -State "Arizona" -City "Phoenix" -FriendlyName "Skype SSL" -KeySize 2048 -DomainName "yourdomain.tld" -PrivateKeyExportable $True -Output C:\yourdomain.tld.csr

Sie müssen YOUR_TYPES durch die spezifischen Skype for Business Service-Rollen ersetzen, die das Zertifikat abdecken soll. Diese Rollen steuern, welche FQDNs in das SAN-Feld (Subject Alternative Name) der CSR aufgenommen werden. Dies ist entscheidend, da moderne Clients nur Namen aus dem SAN-Feld und nicht aus dem CN-Feld validieren.

Zum Beispiel:

• Wenn Sie ein Zertifikat für einen Front-End- oder Director-Server anfordern, verwenden Sie:
  -Type Default,WebServicesInternal,WebServicesExternal
• Für ein Edge internes Zertifikat:
  -Type Internal
• Für ein externes Edge-Zertifikat:
  -Type AccessEdgeExternal,DataEdgeExternal,AudioVideoAuthentication

Tipp: Sie können die Typen nach Bedarf mischen, trennen Sie sie einfach durch Kommas.

Sie ersetzen auch die Musterorganisationsdaten (wie Your Organization, US, usw.) durch Ihre eigenen validierten Informationen.

Das Flag -PrivateKeyExportable $True stellt sicher, dass Sie das Zertifikat später exportieren können (z.B. zur Verwendung auf anderen Servern oder Geräten).

Alternative Methode: CSR über die grafische Benutzeroberfläche generieren (Einrichtungsassistent)

Wenn Sie statt der PowerShell lieber die grafische Oberfläche verwenden möchten, enthält Skype for Business Server einen Einrichtungsassistenten, der Sie durch die Zertifikatsanforderungen führt.

Schritt für Schritt (GUI-Methode):

1. Starten Sie den Assistenten für die Bereitstellung von Skype for Business. Sie finden ihn auf Ihrem Front-End-Server, indem Sie zu navigieren: Start > Skype for Business Server-Implementierungsassistent
2. Wählen Sie die Option: „Skype for Business Server-System installieren oder aktualisieren“.
3. Klicken Sie auf Schritt 3: „Zertifikate anfordern, installieren oder zuweisen“.
4. Wählen Sie die richtige Serverrolle: (z.B. Front End, Edge, Director). Klicken Sie dann unter der entsprechenden Zertifikatskategorie auf „Anfordern“.
5. Füllen Sie die Details der CSR-Anfrage aus
   • Freundlicher Name: Eine Bezeichnung für Ihre Referenz (z.B. Skype Front End 2025)
   • Bit-Länge: Verwenden Sie 2048 oder höher (RSA).
   • Privaten Schlüssel als exportierbar markieren: Markieren Sie dies, wenn Sie das Zertifikat exportieren oder verschieben möchten.
   • Details zur Organisation: Geben Sie den Namen des Unternehmens, den Ort, das Bundesland und den Ländercode ein.
   • Common Name (CN): Ihr primärer FQDN (z.B. sip.ihredomain.com)
   • Subject Alternative Names (SAN): Der Assistent zieht automatisch SANs aus Ihrer Topologie, basierend auf der ausgewählten Serverrolle. Wenn Sie zusätzliche SANs manuell hinzufügen möchten (z.B. externe Webzugriffs-FQDNs), klicken Sie auf „Erweitert“ > „Hinzufügen“
6. Speichern Sie die CSR: Wählen Sie, um die CSR in eine Datei zu exportieren – z.B. C:\cert_request.csr

Senden Sie die CSR an Ihre Zertifizierungsstelle. Fügen Sie den Inhalt der Datei .csr (einschließlich der Zeilen —–BEGIN CERTIFICATE REQUEST—– und —–END CERTIFICATE REQUEST—–) in das Bestellformular Ihrer CA ein.