Cum să instalezi un certificat SSL pe Skype for Business

Acest ghid vă arată cum să instalați un certificat SSL pe Skype for Business Server (fost Microsoft Lync). Puteți asigna certificatul cu ajutorul Deployment Wizard grafic sau cu PowerShell.

Microsoft recomandă frecvent un certificat UCC aici, pentru că o implementare Skype for Business trebuie de obicei să securizeze mai multe nume alternative de subiect (de exemplu domeniul SIP, FQDN-ul serviciilor web și URL-urile simple) pe același certificat.

O notă despre versiunile Skype for Business Server

Înainte de a începe, confirmați ce versiune utilizați, pentru că starea suportului s-a schimbat recent:

• Skype for Business Server 2015 și 2019 au ajuns la finalul suportului pe 14 octombrie 2025. Prima perioadă plătită de Extended Security Update (ESU) oferită de Microsoft a durat până pe 14 aprilie 2026, iar o a doua perioadă ESU de șase luni acoperă intervalul mai – octombrie 2026 pentru organizațiile care o achiziționează separat. După aceasta, nu sunt planificate alte extinderi ESU, așa că planificați-vă migrarea în consecință.
• Skype for Business Server Subscription Edition (SE), lansată în iulie 2025, este versiunea locală (on-premises) actuală și urmează ciclul de viață modern al Microsoft.
• Multe organizații au migrat la Microsoft Teams, care utilizează certificate gestionate de Microsoft și nu necesită pașii de mai jos.

Procesul de solicitare, import și asignare a certificatului descris aici este identic pe Skype for Business Server 2015, 2019 și Subscription Edition. Dacă încă folosiți versiunea 2015 sau 2019, planificați o migrare, dar puteți menține certificatele valide între timp cu acești pași.

Generați CSR-ul pe Skype for Business

Dacă v-ați solicitat deja certificatul și l-ați primit de la Autoritatea de Certificare, treceți peste secțiunea CSR și accesați direct pașii de instalare.

Emiterea certificatului începe cu un CSR (Certificate Signing Request), cererea codificată pe care o trimiteți către o Autoritate de Certificare. Aveți două opțiuni:

• Utilizați generatorul nostru de CSR pentru a crea automat CSR-ul și cheia privată.
• Urmați tutorialul nostru pas cu pas despre cum să generați un CSR pe Skype for Business, care folosește Deployment Wizard pentru a construi cererea din topologia dvs. publicată.

Generarea CSR-ului prin Deployment Wizard este metoda mai sigură, pentru că citește numele alternative de subiect direct din topologia dvs. Skype for Business, astfel că certificatul acoperă toate numele de care implementarea are nevoie. Trimiteți CSR-ul către Autoritatea de Certificare în timpul comenzii. După ce CA îl validează și emite certificatul, continuați cu instalarea de mai jos.

Instalați certificatul SSL pe Skype for Business

După ce CA vă trimite fișierele, descărcați arhiva și extrageți-o pe server. Skype for Business necesită certificatul în format PKCS#12 (.pfx sau .p12) sau PKCS#7 (.p7b), iar fișierul .pfx trebuie să includă cheia privată. Dacă CA v-a livrat fișiere PEM separate (.crt plus .ca-bundle), convertiți-le mai întâi într-un singur fișier .pfx cu OpenSSL sau un instrument de conversie. Ghidul nostru despre formatele certificatelor SSL vă parcurge procesul de conversie.

Puteți finaliza instalarea în două moduri: prin Deployment Wizard grafic sau prin Skype for Business Server Management Shell (PowerShell). Deployment Wizard este metoda documentată prima de Microsoft și este alegerea mai simplă pentru majoritatea administratorilor. Ambele sunt prezentate mai jos.

Opțiunea A: Asignați certificatul cu Deployment Wizard

Executați acești pași pe fiecare Front End Server, autentificat ca membru al grupului local Administrators și al grupului RTCUniversalServerAdmins:

1. Deschideți Start și lansați Skype for Business Server Deployment Wizard.
2. Faceți clic pe Install or Update Skype for Business Server System.
3. Lângă Step 3: Request, Install, or Assign Certificates, faceți clic pe Run (afișează Run Again dacă există deja certificate pe acest computer).
4. În Certificate Wizard, selectați certificatul importat (de exemplu Default certificate), apoi faceți clic pe Assign și urmați instrucțiunile. Pentru a importa în schimb un certificat dintr-o arhivă, alegeți mai întâi Import Certificate și indicați fișierul dvs. .pfx.
5. Faceți clic pe Next pentru a trece prin rezumatul asignării, apoi pe Finish și închideți wizard-ul.

Același Step 3 are și o acțiune Request, astfel încât puteți genera CSR-ul, importa certificatul emis și asigna certificatul fără a ieși din wizard.

Opțiunea B: Asignați certificatul cu PowerShell

Deschideți Skype for Business Server Management Shell ca administrator. Mai întâi, importați certificatul. Furnizați calea completă către fișierul dvs. .pfx și păstrați cheia privată exportabilă, astfel încât certificatul să poată fi replicat pe celelalte servere Front End:

Import-CsCertificate -Path "C:your_certificate.pfx" -PrivateKeyExportable $True

Dacă fișierul .pfx este protejat cu parolă, adăugați parametrul -Password, de exemplu -Password "YourPfxPassword".

Localizați amprenta (thumbprint) certificatului

Asignați un certificat pe baza amprentei sale. Certificatul importat recent se află în magazinul personal al computerului local, dar nu este încă asignat Skype for Business, deci citiți amprenta din magazinul de certificate Windows (înlocuiți yourdomain.tld cu numele dvs. comun):

Get-ChildItem -Path Cert:LocalMachineMy | Where-Object {$_.Subject -like "*yourdomain.tld*"} | Format-List Subject, Thumbprint, NotAfter

Copiați valoarea Thumbprint din rezultat. Veți avea nevoie de ea la pasul următor. Rețineți că Get-CsCertificate listează doar certificatele deja asignate rolurilor Skype for Business, deci folosiți-l pentru a verifica asignarea după pasul următor, nu pentru a găsi amprenta acum.

Asignați certificatul unui rol de serviciu

Decideți ce serviciu ar trebui să fie securizat de certificat și transmiteți-l parametrului -Type. Rolurile comune sunt Default, WebServicesInternal și WebServicesExternal. Pentru lista completă a tipurilor de certificate, consultați documentația Microsoft despre comanda Set-CsCertificate.

Asignați certificatul pe baza amprentei sale (valoarea de mai jos este doar un exemplu, folosiți-o pe a dvs.):

Set-CsCertificate -Type WebServicesExternal -Thumbprint "B142918E463981A76503828BB1278391B716280987B"

Puteți asigna și mai multe roluri odată, fără a copia manual amprenta. Salvați certificatul importat într-o variabilă, apoi transmiteți amprenta acesteia către Set-CsCertificate:

$cert = Get-ChildItem -Path Cert:LocalMachineMy | Where-Object {$_.Subject -like "*yourdomain.tld*"}
Set-CsCertificate -Type Default,WebServicesInternal,WebServicesExternal -Thumbprint $cert.Thumbprint

Aceasta asignează certificatul rolurilor Default, servicii web interne și servicii web externe într-o singură comandă. Pentru detalii despre fiecare comandă, consultați referința Microsoft pentru Get-CsCertificate și Set-CsCertificate. După ce asignați certificatul, reporniți serviciile afectate (sau serviciul Front End) pentru ca Skype for Business să înceapă să îl utilizeze.

Odată ce certificatul este instalat, scanați-l pentru erori de lanț și configurare cu SSL Checker-ul nostru.

Întrebări frecvente