Comment générer la RSE sur Skype for Business

Remarque: ce guide s’applique à Skype for Business Server (sur site), et non à Skype (consumer) ou à Skype for Business Online. Skype for Business Online a été mis hors service le 31 juillet 2021 et Skype (consumer) a été mis hors service en mai 2025. Pour les nouveaux déploiements, Microsoft recommande Teams. Les étapes CSR ci-dessous restent valables pour Skype for Business Server 2019 et Skype for Business Server Subscription Edition.

Dans ce tutoriel, nous allons vous montrer comment générer un CSR sur Skype for Business.

Avant de générer le CSR, il est nécessaire d’indiquer le ou les services que vous souhaitez crypter. Vous devez le faire avec l’argument Type de la commande de génération de CSR.

En général, vous pouvez utiliser le type Défaut.

Les types Default, AccessEdgeExternal et DataEdgeExternal sont destinés aux serveurs Edge, tandis que les types WebServicesExternal et WebServicesInternal sont destinés aux flux Web.

Voici une liste des arguments les plus courants :

• AccessEdgeExternal
• AudioVideoAuthentication
• DataEdgeExternal
• Défaut
• Externe
• Interne
• iPhoneAPNService
• iPadAPNService
• MPNService
• PICWebService (retiré ; était uniquement en ligne)
• ProvisionService (retiré ; était uniquement en ligne)
• WebServicesExternes
• WebServicesInternet
• WsFedTokenTransfer

Pour générer la CSR, vous pouvez utiliser la commande Request-CSCertificate. Exécutez-le dans le powershell :

Request-CsCertificate -New -Type YOUR_TYPES -Organization "Your Organization" -Country US -State "Arizona" -City "Phoenix" -FriendlyName "Skype SSL" -KeySize 2048 -DomainName "yourdomain.tld" -PrivateKeyExportable $True -Output C:\yourdomain.tld.csr

Vous devrez remplacer YOUR_TYPES par les rôles de service spécifiques de Skype for Business que vous voulez que le certificat couvre. Ces rôles contrôlent les FQDN qui sont inclus dans le champ SAN (Subject Alternative Name) de la CSR, ce qui est crucial, car les clients modernes ne valident que les noms provenant de SAN, et non de CN.

Par exemple :

• Si vous demandez un certificat pour un serveur Front End ou Director, utilisez :
  -Type Default,WebServicesInternal,WebServicesExternal
• Pour un certificat interne Edge:
  -Type Internal
• Pour un certificat externe Edge:
  -Type AccessEdgeExternal,DataEdgeExternal,AudioVideoAuthentication

Conseil : vous pouvez mélanger les types selon vos besoins, il suffit de les séparer par des virgules.

Vous remplacerez également les détails de l’exemple d’organisation (comme Your Organization, US, etc.) par vos propres informations validées.

L’option -PrivateKeyExportable $True vous permet d’exporter le certificat ultérieurement (par exemple, pour l’utiliser sur d’autres serveurs ou appareils).

Méthode alternative : Générer une CSR via l’interface graphique (assistant de déploiement)

Si vous préférez utiliser l’interface graphique plutôt que PowerShell, Skype for Business Server comprend un assistant de déploiement qui vous guide dans les demandes de certificat.

Pas à pas (méthode GUI) :

1. Lancez l’assistant de déploiement de Skype for Business. Vous pouvez le trouver sur votre serveur Front End en naviguant vers : Démarrer > Assistant de déploiement de Skype for Business Server
2. Sélectionnez l’option : « Installer ou mettre à jour le système Skype for Business Server »
3. Cliquez sur l’étape 3 : « Demander, installer ou attribuer des certificats ».
4. Choisissez le rôle correct du serveur : (par exemple, Front End, Edge, Director). Cliquez ensuite sur « Request » dans la catégorie de certificat appropriée.
5. Complétez les détails de la demande de RSE
   • Nom convivial: Une étiquette pour votre référence (par exemple, Skype Front End 2025)
   • Longueur des bits: Utilisez 2048 ou plus (RSA).
   • Marquer la clé privée comme exportable: Cochez cette case si vous prévoyez d’exporter ou de déplacer le certificat.
   • Détails de l’organisation: Saisissez le nom légal de l’entreprise, la localité, l’état, le code du pays.
   • Nom commun (CN): Votre FQDN principal (par exemple, sip.votredomaine.com)
   • Subject Alternative Names (SAN): L’assistant extrait automatiquement les SAN de votre topologie en fonction du rôle de serveur sélectionné. Si vous souhaitez ajouter des SAN supplémentaires manuellement (comme les FQDN d’accès Web externes), cliquez sur « Avancé » > « Ajouter »
6. Enregistrez la RSC : Choisissez d’exporter la RSC vers un fichier – par exemple, C:\cert_request.csr.

Soumettez la RSC à votre autorité de certification. Collez le contenu du fichier .csr (y compris les lignes —–BEGIN CERTIFICATE REQUEST—– et —–END CERTIFICATE REQUEST—–) dans le formulaire de commande de votre autorité de certification.