Come installare un certificato SSL su Office 365

Questo tutorial spiega come installare un certificato SSL per Microsoft 365 (Office 365). La parte importante viene per prima: non è possibile, in nessun caso, caricare un certificato SSL direttamente nel cloud di Microsoft 365. Microsoft gestisce il TLS per Exchange Online, SharePoint Online e gli altri servizi ospitati. Tu gestisci i certificati commerciali solo sui server, sulle app e sui gateway che si connettono a Microsoft 365 o che operano insieme ad esso. Le sezioni seguenti trattano i tre scenari in cui questo si applica realmente.

Genera un codice CSR

Un CSR (Certificate Signing Request) è un blocco di testo codificato contenente i tuoi dati di contatto e di dominio, che invii alla Certificate Authority durante la registrazione. Ti serve un CSR solo negli scenari in cui installi tu stesso il certificato (Exchange Server o Azure). Per un connettore Exchange Online con TLS forzato non è necessario generare un CSR, poiché in quel caso non viene caricato alcun certificato da parte tua.

Hai due opzioni:

• Genera il CSR automaticamente con il nostro CSR Generator.
• Segui la nostra guida passo passo su come creare un CSR per Microsoft 365.

Invia il CSR alla Certificate Authority durante l’ordine. Dopo che la CA lo avrà validato ed emesso il tuo certificato (in genere sotto forma di pacchetto .pfx che include la chiave privata e la catena), prosegui con la sezione corrispondente qui sotto.

Installa un certificato SSL per Microsoft 365

Importante: non si installa un certificato SSL nei servizi cloud di Microsoft 365, come Exchange Online o SharePoint Online. Microsoft gestisce automaticamente il TLS per questi servizi e il cloud non consente il caricamento manuale di certificati. I certificati vengono installati e gestiti solo sui tuoi server, app o gateway che si connettono o operano insieme a Microsoft 365.

Questa guida copre i tre casi d’uso comuni per un certificato commerciale in un ambiente Microsoft 365:

• Exchange Online con SSL/TLS forzato (connettore, senza caricamento del certificato)
• Exchange Server on-premises o in configurazione ibrida
• App web o servizi ospitati su Azure

Caso d’uso 1: Exchange Online, forzare SSL/TLS con un partner (nessun caricamento del certificato)

Se utilizzi solo Exchange Online e vuoi proteggere il flusso di posta con un server esterno affidabile (ad esempio un’organizzazione partner, un sistema legacy o una stampante multifunzione), puoi forzare il TLS tramite un connettore. In questo caso non carichi alcun certificato; richiedi invece che l’altra parte presenti un certificato valido e pubblicamente affidabile.

Passaggi per impostare il TLS forzato nel flusso di posta di Microsoft 365

1. Accedi al centro di amministrazione di Exchange con un account che disponga delle autorizzazioni per il flusso di posta.
2. Nel pannello a sinistra, vai su Flusso di posta e poi su Connettori.
3. Fai clic su Aggiungi un connettore. Per la posta in arrivo da un partner verso Microsoft 365, imposta la connessione Da: organizzazione partner e A: Microsoft 365. (Per la posta in uscita verso un partner, inverti la direzione: Da: Microsoft 365 e A: organizzazione partner.)
4. Fai clic su Avanti e segui la procedura guidata.
5. Nel passaggio relativo alle restrizioni di sicurezza, seleziona Rifiuta i messaggi di posta elettronica se non vengono inviati tramite TLS per richiedere il TLS.
6. Per vincolare la connessione a un certificato specifico, seleziona E richiedi che il nome soggetto sul certificato utilizzato dal partner per autenticarsi con Office 365 corrisponda a questo nome di dominio, quindi inserisci il dominio del partner (ad esempio mail.partnerdomain.com).
7. Completa la procedura guidata e convalida il connettore.

Nota: Microsoft richiede di selezionare almeno una restrizione nel passaggio relativo alla sicurezza, ovvero l’opzione TLS e corrispondenza del dominio descritta sopra, oppure una restrizione basata sull’intervallo di indirizzi IP del partner. La procedura guidata non permette di completare il connettore senza alcuna restrizione selezionata. Inoltre, il server esterno deve presentare un certificato SSL/TLS pubblico e valido, riconosciuto da Microsoft 365, ovvero rilasciato da una CA commerciale. Un certificato autofirmato non supererà la convalida.

Caso d’uso 2: Exchange Server on-premises, installa e assegna il tuo certificato

Se utilizzi Exchange Server 2016, 2019 o Subscription Edition (SE), oppure disponi di una configurazione ibrida con Microsoft 365, dovrai installare il certificato sul server on-premises. In una configurazione ibrida, il certificato di Exchange deve essere un certificato di terze parti valido, rilasciato da una CA affidabile, altrimenti il flusso di posta tra l’ambiente on-premises ed Exchange Online si interromperà.

Prerequisiti

• Un file .pfx contenente il certificato, la sua chiave privata e la catena intermedia.
• La password di quel file .pfx, conservata in modo sicuro.

Metodo PowerShell (Exchange Management Shell)

PowerShell funziona su ogni versione supportata di Exchange, motivo per cui viene illustrato qui (vedi la nota dopo questi passaggi su quando anche l’Exchange Admin Center può eseguire questa operazione). Esegui l’Exchange Management Shell come amministratore e sostituisci il percorso del file, la password e l’impronta digitale con i tuoi valori.

1. Definisci il percorso del file del certificato:

$file = "\servershareyourdomain.pfx"

2. Inserisci la password in modo sicuro (ti verrà richiesta e il valore non sarà visibile a schermo):

$pwd = Read-Host -AsSecureString

3. Importa il certificato:

Import-ExchangeCertificate -FileData ([IO.File]::ReadAllBytes($file)) -Password $pwd

4. Trova l’impronta digitale, quindi assegna il certificato ai servizi che ne hanno bisogno:

Get-ExchangeCertificate | FL Thumbprint, Subject
Enable-ExchangeCertificate -Thumbprint <YourThumbprintHere> -Services IIS,SMTP

Assegna solo i servizi a cui il certificato è destinato (i valori più comuni sono IIS, SMTP, POP e IMAP). Quando ti viene chiesto di sovrascrivere il certificato SMTP predefinito, conferma solo se questo è ciò che intendi fare.

Nota sull’Exchange Admin Center: molte guide importano i certificati tramite l’interfaccia grafica dell’EAC (Server e poi Certificati). La disponibilità dipende dalla versione in uso. A partire da Exchange Server 2019 CU12 ed Exchange Server 2016 CU23, Microsoft ha rimosso, per motivi di sicurezza, le funzioni di importazione, esportazione, richiesta, completamento e rinnovo dei certificati dall’EAC. Successivamente, Microsoft ha ripristinato queste funzioni nell’EAC con Exchange Server 2019 CU15, e sono presenti anche in Exchange Server Subscription Edition (SE). Quindi, a seconda della versione utilizzata, la procedura guidata dell’EAC potrebbe essere disponibile oppure no, ma i passaggi PowerShell descritti sopra funzionano su ogni versione supportata, motivo per cui sono il metodo illustrato qui.

Caso d’uso 3: Azure App Service, carica e associa il tuo certificato

Se ospiti un sito web o un’applicazione su Azure App Service (ad esempio un portale clienti, un endpoint SSO o un ricevitore di webhook) che si connette a Microsoft 365, dovrai installare il certificato su Azure e associarlo al tuo dominio personalizzato.

1. Apri il portale di Azure e vai al tuo App Service.
2. Nel menu a sinistra, apri Certificati (nei portali più vecchi questa opzione è indicata come Impostazioni TLS/SSL).
3. In Porta il tuo certificato (.pfx), fai clic su Aggiungi certificato e carica il tuo file .pfx, quindi inserisci la relativa password.
4. Vai su Domini personalizzati e seleziona il tuo dominio.
5. In Associazione TLS/SSL (o Associazioni SSL), fai clic su Aggiungi associazione.
6. Scegli il certificato caricato, seleziona SNI SSL per la maggior parte delle applicazioni e conferma l’associazione.

Azure richiede certificati con l’Extended Key Usage Autenticazione server (OID 1.3.6.1.5.5.7.3.1). Ogni certificato SSL commerciale valido lo include per impostazione predefinita.

Note per amministratori e sviluppatori

• Installa i certificati solo su endpoint che controlli direttamente. Il cloud di Microsoft 365 non consente l’installazione manuale di certificati.
• Ogni certificato deve provenire da una Certificate Authority pubblica e affidabile. I certificati autofirmati non funzionano in questi scenari.
• Usa un file .pfx per Windows, IIS, Exchange e Azure invece di importare un semplice file .crt o .pem, poiché il .pfx include insieme la chiave privata e la catena.
• Includi la catena completa (intermedia e, se richiesta, quella root) nel file .pfx in modo che i client possano costruire un percorso di attendibilità completo.

Verifica l’installazione del tuo SSL

Dopo aver installato il certificato sul tuo Exchange Server o sull’app di Azure, apri l’URL corrispondente in un browser e controlla il lucchetto e i dettagli del certificato. Anche se tutto sembra corretto, esegui una scansione completa per individuare eventuali problemi nascosti nella catena o nel protocollo. Il nostro SSL Checker fornisce un report immediato sullo stato del tuo certificato. Per le configurazioni relative alla posta elettronica, puoi anche verificare la consegna crittografata controllando i risultati del connettore e della traccia dei messaggi nel centro di amministrazione di Exchange.

Domande frequenti