Como instalar um certificado SSL no Skype for Business

Este guia mostra como instalar um certificado SSL no Skype for Business Server (anteriormente Microsoft Lync). Você pode atribuir o certificado com o Assistente de Implantação gráfico ou com o PowerShell.

A Microsoft costuma recomendar um certificado UCC neste caso, porque uma implantação do Skype for Business geralmente precisa proteger vários nomes alternativos de assunto (por exemplo, o domínio SIP, o FQDN dos serviços web e os URLs simples) no mesmo certificado.

Uma observação sobre as versões do Skype for Business Server

Antes de começar, confirme qual versão você utiliza, pois o status de suporte mudou recentemente:

• Skype for Business Server 2015 e 2019 atingiram o fim do suporte em 14 de outubro de 2025. A primeira janela paga de Atualização de Segurança Estendida (ESU) da Microsoft foi até 14 de abril de 2026, e um segundo período ESU de seis meses cobre de maio a outubro de 2026 para organizações que o adquirem separadamente. Depois disso, não estão previstas novas extensões de ESU, portanto planeje sua migração de acordo.
• O Skype for Business Server Subscription Edition (SE), lançado em julho de 2025, é a versão local atual e segue o ciclo de vida moderno da Microsoft.
• Muitas organizações migraram para o Microsoft Teams, que usa certificados gerenciados pela Microsoft e não precisa das etapas abaixo.

O processo de solicitação, importação e atribuição de certificado descrito aqui é o mesmo no Skype for Business Server 2015, 2019 e Subscription Edition. Se você ainda estiver na versão 2015 ou 2019, planeje uma migração, mas pode manter os certificados válidos enquanto isso seguindo estas etapas.

Gerar o CSR no Skype for Business

Se você já solicitou seu certificado e o recebeu da sua Autoridade Certificadora, pule a seção do CSR e vá diretamente para as etapas de instalação.

A emissão do certificado começa com um CSR (Certificate Signing Request), a solicitação codificada que você envia a uma Autoridade Certificadora. Você tem duas opções:

• Use nosso Gerador de CSR para criar o CSR e a chave privada automaticamente.
• Siga nosso tutorial passo a passo sobre como gerar um CSR no Skype for Business, que usa o Assistente de Implantação para criar a solicitação a partir da sua topologia publicada.

Gerar o CSR através do Assistente de Implantação é o caminho mais confiável, pois ele lê os nomes alternativos de assunto diretamente da sua topologia do Skype for Business, garantindo que o certificado cubra todos os nomes que a implantação precisa. Envie o CSR à sua Autoridade Certificadora durante o pedido. Depois que a CA validá-lo e emitir o certificado, continue com a instalação abaixo.

Instalar o certificado SSL no Skype for Business

Depois que sua CA enviar os arquivos, baixe o pacote e extraia-o no servidor. O Skype for Business espera o certificado no formato PKCS#12 (.pfx ou .p12) ou PKCS#7 (.p7b), e o .pfx deve incluir a chave privada. Se sua CA entregou arquivos PEM separados (.crt mais .ca-bundle), converta-os primeiro em um único .pfx com o OpenSSL ou uma ferramenta de conversão. Nosso guia sobre formatos de certificado SSL explica todo o processo de conversão.

Você pode concluir a instalação de duas maneiras: pelo Assistente de Implantação gráfico ou pelo Skype for Business Server Management Shell (PowerShell). O Assistente de Implantação é o método que a Microsoft documenta primeiro e é a opção mais fácil para a maioria dos administradores. Ambos são abordados abaixo.

Opção A: Atribuir o certificado com o Assistente de Implantação

Execute estas etapas em cada Front End Server, autenticado como membro do grupo local de Administradores e do grupo RTCUniversalServerAdmins:

1. Abra o Iniciar e execute o Assistente de Implantação do Skype for Business Server.
2. Clique em Install or Update Skype for Business Server System.
3. Ao lado de Step 3: Request, Install, or Assign Certificates, clique em Run (aparece como Run Again se já existirem certificados neste computador).
4. No Assistente de Certificado, selecione o certificado que você importou (por exemplo, o Default certificate), depois clique em Assign e siga as instruções na tela. Para trazer um certificado de um arquivo em vez disso, escolha primeiro Import Certificate e aponte para o seu arquivo .pfx.
5. Clique em Next ao longo do resumo da atribuição, depois em Finish, e feche o assistente.

A mesma Step 3 também tem uma ação Request, para que você possa gerar o CSR, importar o certificado emitido e atribuí-lo sem sair do assistente.

Opção B: Atribuir o certificado com PowerShell

Abra o Skype for Business Server Management Shell como administrador. Primeiro, importe o certificado. Informe o caminho completo até o seu arquivo .pfx e mantenha a chave privada exportável para que o certificado possa ser replicado para os demais Front End Servers:

Import-CsCertificate -Path "C:your_certificate.pfx" -PrivateKeyExportable $True

Se o .pfx estiver protegido por senha, adicione o parâmetro -Password, por exemplo -Password "YourPfxPassword".

Localize a impressão digital (thumbprint) do seu certificado

Você atribui um certificado pela sua impressão digital (thumbprint). O certificado que você acabou de importar está no armazenamento pessoal do computador local, mas ainda não foi atribuído ao Skype for Business, então leia a sua impressão digital no armazenamento de certificados do Windows (substitua yourdomain.tld pelo seu nome comum):

Get-ChildItem -Path Cert:LocalMachineMy | Where-Object {$_.Subject -like "*yourdomain.tld*"} | Format-List Subject, Thumbprint, NotAfter

Copie o valor de Thumbprint da saída. Você precisará dele na próxima etapa. Observe que Get-CsCertificate lista apenas os certificados já atribuídos a funções do Skype for Business, portanto use-o para verificar a atribuição depois da próxima etapa, não para encontrar a impressão digital agora.

Atribuir o certificado a uma função de serviço

Decida qual serviço o certificado deve proteger e informe-o ao parâmetro -Type. As funções mais comuns são Default, WebServicesInternal e WebServicesExternal. Para a lista completa de tipos de certificado, consulte a documentação da Microsoft sobre o cmdlet Set-CsCertificate.

Atribua o certificado pela sua impressão digital (o valor abaixo é apenas um exemplo, use o seu próprio):

Set-CsCertificate -Type WebServicesExternal -Thumbprint "B142918E463981A76503828BB1278391B716280987B"

Você também pode atribuir várias funções de uma só vez sem copiar a impressão digital manualmente. Capture o certificado importado em uma variável e depois informe sua impressão digital ao Set-CsCertificate:

$cert = Get-ChildItem -Path Cert:LocalMachineMy | Where-Object {$_.Subject -like "*yourdomain.tld*"}
Set-CsCertificate -Type Default,WebServicesInternal,WebServicesExternal -Thumbprint $cert.Thumbprint

Isso atribui o certificado às funções Default, serviços web internos e serviços web externos em um único comando. Para mais informações sobre cada cmdlet, consulte a referência da Microsoft para Get-CsCertificate e Set-CsCertificate. Depois de atribuir o certificado, reinicie os serviços afetados (ou o serviço Front End) para que o Skype for Business comece a usá-lo.

Assim que o certificado estiver instalado, verifique-o em busca de erros de cadeia e configuração com o nosso SSL Checker.

Perguntas Frequentes