Cara Menginstal Sertifikat SSL di Office 365

Tutorial ini menjelaskan cara menginstal sertifikat SSL untuk Microsoft 365 (Office 365). Bagian penting datang lebih dulu: Anda tidak, dan tidak dapat, mengunggah sertifikat SSL ke dalam cloud Microsoft 365 itu sendiri. Microsoft mengelola TLS untuk Exchange Online, SharePoint Online, dan layanan hosted lainnya. Anda hanya mengelola sertifikat komersial pada server, aplikasi, dan gateway yang terhubung ke atau berjalan bersama Microsoft 365. Bagian-bagian di bawah ini membahas tiga skenario di mana hal itu benar-benar berlaku.

Membuat kode CSR

CSR (Certificate Signing Request) adalah blok teks terenkode yang berisi detail kontak dan domain Anda yang Anda kirimkan ke Certificate Authority selama proses pendaftaran. Anda hanya perlu CSR untuk skenario di mana Anda menginstal sertifikat Anda sendiri (Exchange Server atau Azure). Untuk konektor forced-TLS Exchange Online, Anda tidak membuat CSR, karena tidak ada sertifikat yang diunggah di sisi Anda.

Anda memiliki dua opsi:

• Membuat CSR secara otomatis dengan CSR Generator kami.
• Mengikuti panduan langkah demi langkah kami tentang cara membuat CSR untuk Microsoft 365.

Kirimkan CSR ke Certificate Authority saat melakukan pemesanan. Setelah CA memvalidasinya dan menerbitkan sertifikat Anda (biasanya sebagai bundel .pfx yang mencakup private key dan chain), lanjutkan ke bagian yang sesuai di bawah ini.

Menginstal sertifikat SSL untuk Microsoft 365

Penting: Anda tidak menginstal sertifikat SSL ke dalam layanan cloud Microsoft 365 seperti Exchange Online atau SharePoint Online. Microsoft menangani TLS untuk layanan-layanan tersebut secara otomatis, dan cloud tidak mengizinkan pengunggahan sertifikat secara manual. Anda hanya menginstal dan mengelola sertifikat pada server, aplikasi, atau gateway Anda sendiri yang terhubung ke atau bekerja bersama Microsoft 365.

Panduan ini membahas tiga kasus penggunaan umum untuk sertifikat komersial dalam lingkungan Microsoft 365:

• Exchange Online dengan SSL/TLS yang diwajibkan (konektor, tanpa pengunggahan sertifikat)
• Exchange Server on-premises atau dalam pengaturan hybrid
• Aplikasi atau layanan web yang di-hosting di Azure

Kasus penggunaan 1: Exchange Online, mewajibkan SSL/TLS dengan mitra (tanpa pengunggahan sertifikat)

Jika Anda hanya menggunakan Exchange Online dan ingin mengamankan aliran email dengan server eksternal yang tepercaya (misalnya organisasi mitra, sistem lama, atau printer multifungsi), Anda mewajibkan TLS melalui konektor. Anda tidak mengunggah sertifikat. Sebaliknya, Anda mensyaratkan agar pihak lain menyajikan sertifikat yang valid dan tepercaya secara publik.

Langkah-langkah mengatur forced TLS dalam aliran email Microsoft 365

1. Masuk ke Exchange admin center menggunakan akun yang memiliki izin aliran email.
2. Di panel kiri, buka Mail flow lalu Connectors.
3. Klik Add a connector. Untuk email dari mitra ke Microsoft 365, atur koneksi From: Partner organization dan To: Microsoft 365. (Untuk email keluar ke mitra, balik arahnya: From: Microsoft 365 dan To: Partner organization.)
4. Klik Next dan ikuti wizard-nya.
5. Pada langkah pembatasan keamanan, pilih Reject email messages if they aren’t sent over TLS untuk mewajibkan TLS.
6. Untuk mengaitkan koneksi ke sertifikat tertentu, pilih And require that the subject name on the certificate that the partner uses to authenticate with Office 365 matches this domain name, lalu masukkan domain mitra (misalnya mail.partnerdomain.com).
7. Selesaikan wizard dan validasikan konektor tersebut.

Catatan: Microsoft mewajibkan Anda memilih setidaknya satu pembatasan pada langkah keamanan — baik opsi TLS dan pencocokan domain di atas, atau pembatasan berdasarkan rentang alamat IP mitra. Wizard tidak akan mengizinkan Anda menyelesaikan konektor tanpa memilih pembatasan apa pun. Secara terpisah, server eksternal harus menyajikan sertifikat SSL/TLS publik yang valid dan dipercaya oleh Microsoft 365, yang berarti diterbitkan oleh CA komersial. Sertifikat self-signed akan gagal validasi.

Kasus penggunaan 2: Exchange Server on-premises, instal dan tetapkan sertifikat Anda

Jika Anda menjalankan Exchange Server 2016, 2019, atau Subscription Edition (SE), atau memiliki pengaturan hybrid dengan Microsoft 365, Anda menginstal sertifikat Anda di server on-premises. Dalam konfigurasi hybrid, sertifikat Exchange harus berupa sertifikat pihak ketiga yang valid dari CA tepercaya, jika tidak, aliran email antara on-prem dan Exchange Online akan terganggu.

Prasyarat

• File .pfx yang berisi sertifikat, private key-nya, dan chain perantara (intermediate).
• Kata sandi untuk file .pfx tersebut, disimpan dengan aman.

Metode PowerShell (Exchange Management Shell)

PowerShell berfungsi di setiap build Exchange yang didukung, itulah sebabnya metode ini ditampilkan di sini (lihat catatan setelah langkah-langkah ini tentang kapan Exchange Admin Center juga dapat melakukan hal ini). Jalankan Exchange Management Shell sebagai administrator dan ganti path file, kata sandi, dan thumbprint dengan nilai Anda sendiri.

1. Tentukan path ke file sertifikat Anda:

$file = "\servershareyourdomain.pfx"

2. Masukkan kata sandi dengan aman (Anda akan diminta memasukkannya, dan nilainya tidak ditampilkan di layar):

$pwd = Read-Host -AsSecureString

3. Impor sertifikatnya:

Import-ExchangeCertificate -FileData ([IO.File]::ReadAllBytes($file)) -Password $pwd

4. Temukan thumbprint-nya, lalu tetapkan sertifikat ke layanan yang membutuhkannya:

Get-ExchangeCertificate | FL Thumbprint, Subject
Enable-ExchangeCertificate -Thumbprint <YourThumbprintHere> -Services IIS,SMTP

Tetapkan hanya layanan yang memang dimaksudkan untuk sertifikat tersebut (nilai umum adalah IIS, SMTP, POP, dan IMAP). Ketika diminta untuk menimpa sertifikat SMTP default, konfirmasi hanya jika itu memang yang Anda maksudkan.

Catatan tentang Exchange Admin Center: banyak panduan mengimpor sertifikat melalui antarmuka grafis EAC (Servers lalu Certificates). Ketersediaannya tergantung pada build Anda. Mulai dari Exchange Server 2019 CU12 dan Exchange Server 2016 CU23, Microsoft menghapus fitur mengimpor, mengekspor, meminta, menyelesaikan, dan memperbarui sertifikat dari EAC karena alasan keamanan. Microsoft kemudian mengembalikan fitur-fitur tersebut ke EAC di Exchange Server 2019 CU15, dan fitur itu tersedia di Exchange Server Subscription Edition (SE). Jadi, tergantung versi mana yang Anda jalankan, wizard EAC mungkin tersedia atau tidak, tetapi langkah-langkah PowerShell di atas berfungsi pada setiap versi yang didukung, itulah sebabnya metode itu yang ditampilkan di sini.

Kasus penggunaan 3: Azure App Service, unggah dan ikat (bind) sertifikat Anda

Jika Anda menghosting situs web atau aplikasi di Azure App Service (misalnya portal klien, endpoint SSO, atau penerima webhook) yang terhubung ke Microsoft 365, Anda menginstal sertifikat di Azure dan mengikatkannya (bind) ke domain khusus Anda.

1. Buka Azure portal dan masuk ke App Service Anda.
2. Di menu kiri, buka Certificates (portal versi lama menandainya sebagai TLS/SSL settings).
3. Di bagian Bring your own certificates (.pfx), klik Add certificate dan unggah file .pfx Anda, lalu masukkan kata sandinya.
4. Buka Custom domains dan pilih domain Anda.
5. Di bagian TLS/SSL binding (atau SSL Bindings), klik Add binding.
6. Pilih sertifikat yang telah Anda unggah, pilih SNI SSL untuk kebanyakan aplikasi, dan konfirmasikan binding tersebut.

Azure mewajibkan sertifikat dengan Extended Key Usage Server Authentication (OID 1.3.6.1.5.5.7.3.1). Setiap sertifikat SSL komersial yang valid sudah menyertakan hal ini secara default.

Catatan untuk admin dan developer

• Instal sertifikat hanya pada endpoint yang Anda kontrol. Cloud Microsoft 365 tidak mengizinkan instalasi sertifikat secara manual.
• Setiap sertifikat harus berasal dari Certificate Authority publik yang tepercaya. Sertifikat self-signed akan gagal dalam skenario-skenario ini.
• Gunakan file .pfx untuk Windows, IIS, Exchange, dan Azure daripada mengimpor .crt atau .pem mentah, karena .pfx membawa private key dan chain sekaligus.
• Sertakan chain lengkap (intermediate dan, jika diperlukan, root) dalam .pfx agar klien dapat membangun jalur trust yang lengkap.

Menguji instalasi SSL Anda

Setelah Anda menginstal sertifikat pada Exchange Server atau aplikasi Azure Anda, buka URL yang relevan di browser dan periksa ikon gembok serta detail sertifikatnya. Bahkan jika semuanya tampak benar, jalankan pemeriksaan menyeluruh untuk menangkap masalah chain atau protokol yang tersembunyi. SSL Checker kami memberikan laporan instan tentang status sertifikat Anda. Untuk konfigurasi yang berkaitan dengan email, Anda juga dapat mengonfirmasi pengiriman terenkripsi dengan meninjau hasil konektor dan penelusuran pesan (message trace) di Exchange admin center.

Pertanyaan yang sering diajukan