Как сгенерировать CSR на Skype for Business Server

Это руководство показывает вам как создать CSR (запрос на подпись сертификата) на Skype for Business Server. Вы можете создать запрос двумя способами: с помощью графического Мастера сертификатов внутри Мастера развертывания Skype for Business Server, или с помощью командлета Request-CsCertificate в Skype for Business Server Management Shell. Оба способа считывают имена для сертификата из вашей опубликованной топологии, поэтому они более надежны здесь, чем универсальный инструмент для CSR.

Эти шаги применимы к Skype for Business Server (локальному): 2015, 2019 и Subscription Edition. Они не применимы к Skype for Business Online, который был прекращен 31 июля 2021 года, или к потребительскому Skype, который был прекращен 5 мая 2025 года. Если ваша организация уже перешла на Microsoft Teams, Microsoft управляет сертификатами для этого сервиса, и генерировать CSR не нужно.

Сначала проверьте версию Skype for Business Server

Откройте Skype for Business Server Management Shell и выведите список сборок всех установленных компонентов:

Get-CsServerPatchVersion

Связанный командлет Get-CsServerVersion сообщает только о лицензировании и базовой сборке локального сервера, без учета накопительного обновления, поэтому используйте Get-CsServerPatchVersion, когда вам нужно точно знать, на каком уровне обновления вы находитесь.

Статус поддержки по состоянию на июль 2026 года:

• Skype for Business Server 2015 и 2019 оба достигли конца расширенной поддержки 14 октября 2025 года.
• Платная программа Extended Security Update действовала с октября 2025 года до конца апреля 2026 года (Период 1). Второй период, Период 2, действует с мая 2026 года до конца октября 2026 года. Период 2 нужно приобретать отдельно: покупка Периода 1 не переносится на него, и вам не обязательно было покупать Период 1, чтобы купить Период 2.
• Microsoft вновь заявила 21 июля 2026 года, что дальнейшего продления не будет. Как только октябрь 2026 года закончится, обновлений для 2015 или 2019 больше не будет, даже для организаций, имеющих ESU Периода 2.
• Skype for Business Server Subscription Edition стартовал 1 июля 2025 года, следует политике Microsoft Modern Lifecycle Policy и является текущим локальным релизом. Он устанавливается как обновление на месте Skype for Business Server 2019.

Процедура создания CSR идентична для всех трех версий. Статус поддержки не меняет поведение сертификатов: истекший сертификат нарушает вход клиентов, подключение к собраниям и TLS между серверами независимо от того, какой релиз вы используете, поэтому продолжайте продлевать, пока планируете переход.

Перед созданием CSR

• Сначала опубликуйте вашу топологию. Оба способа считывают имя субъекта и альтернативные имена субъекта из документа топологии, который Topology Builder опубликовал в хранилище центрального управления. Мастер отображает их на странице сводки, доступной только для чтения. Если имя там неверно, отмените работу мастера, исправьте его в Topology Builder, опубликуйте заново и начните запрос снова.
• Сначала создайте записи DNS. Каждое имя, которое в итоге окажется на сертификате, должно разрешаться для клиентов, которые будут его использовать.
• Проверьте свои разрешения. Чтобы запустить Мастер сертификатов, вы должны быть членом группы RTCUniversalServerAdmins. Microsoft утверждает, что для офлайн-запроса к публичному CA не требуется никакого другого членства в группах, кроме этого, но для обработки ответа CA и последующего назначения сертификата также потребуется локальная группа Administrators. Для онлайн-запроса к внутреннему Windows CA требуются локальная группа Administrators плюс аутентифицированная учетная запись домена в домене, содержащем CA.
• Определите, какой сертификат вы запрашиваете. Front End или сервер Standard Edition имеет сертификат по умолчанию, а также сертификаты внутренних и внешних веб-служб. Edge Server имеет отдельный внешний сертификат и внутренний сертификат. Они не взаимозаменяемы.

Какие сертификаты Skype for Business может подписать публичный CA?

Не все, и это тот момент, который сбивает с толку большинство людей. С ноября 2015 года Базовые требования CA/Browser Forum запрещают публично доверенным CA выдавать сертификаты для внутренних имен серверов и зарезервированных IP-адресов. Все, что заканчивается на .local, любое одномерное имя хоста и любой FQDN в домене, которым вы публично не владеете, не может быть включено в публичный сертификат.

• От публичного CA: внешний сертификат Edge и сертификат обратного прокси-сервера. Рекомендация Microsoft заключается в том, что для внешних интерфейсов Edge как минимум требуется сертификат от публичного CA, потому что внешние клиенты и федеративные партнеры должны ему доверять.
• Обычно от вашего внутреннего CA: сертификат по умолчанию, сертификат внутренних веб-служб, сертификат Director и внутренний сертификат Edge. Они содержат FQDN пулов и серверов, которые часто являются внутренними именами. Если ваши внутренние FQDN случайно находятся в домене, которым вы владеете публично, вы можете вместо этого купить для них публичный сертификат. Microsoft явно разрешает получать внутренний сертификат Edge как от публичного CA, так и от вашего внутреннего CA.

Поскольку внешний сертификат содержит сразу несколько имен, это обычно мультидоменный сертификат (UCC/SAN). Microsoft документирует поддержку wildcard-записей для простых URL-имен и для имен автообнаружения, но задокументированный сертификат Edge явно перечисляет каждое имя доступа SIP, поэтому указывайте отдельную запись sip.yourdomain.tld для каждого SIP-домена, а не полагайтесь на wildcard-сертификат.

Спланируйте имя субъекта и записи SAN

Сертификаты Skype for Business насыщены записями SAN, и браузеры и клиенты сопоставляют имя хоста с полем SAN, а не с общим именем (Common Name). Правильное составление этого списка перед заказом — это разница между одним сертификатом и переоформлением. В таблице используются собственные примеры доменов Microsoft: contoso.com как основной SIP-домен, fabrikam.com как второй SIP-домен и contoso.net как внутренний домен.

Сертификат	Имя субъекта (CN)	Альтернативные имена субъекта	Пример
По умолчанию (Standard Edition или пул Front End)	FQDN пула	FQDN пула и FQDN сервера. Добавьте sip.sipdomain для каждого SIP-домена, если этот пул является сервером автоматического входа и в групповой политике применяется строгое сопоставление DNS.	SN=eepool.contoso.com; SAN=eepool.contoso.com; SAN=ee01.contoso.com
Web internal	FQDN пула (FQDN сервера в Standard Edition)	Внутренний веб-FQDN, FQDN сервера, FQDN пула, простой URL-адрес Meet для каждого SIP-домена, простой URL-адрес Dial-in и простой URL-адрес Admin	SN=eepool.contoso.com; SAN=eepool.contoso.com; SAN=ee01.contoso.com; SAN=meet.contoso.com; SAN=meet.fabrikam.com; SAN=dialin.contoso.com; SAN=admin.contoso.com
Web external	FQDN пула (FQDN сервера в Standard Edition)	Внешний веб-FQDN, простой URL-адрес Meet для каждого SIP-домена и простой URL-адрес Dial-in	SN=eepool.contoso.com; SAN=webcon01.contoso.com; SAN=meet.contoso.com; SAN=meet.fabrikam.com; SAN=dialin.contoso.com
Mobility (добавляется к сертификатам Front End и Director)	Как указано выше	Внутреннее имя автообнаружения и внешнее имя автообнаружения, одна пара на каждый SIP-домен	SAN=lyncdiscoverinternal.contoso.com; SAN=lyncdiscover.contoso.com
Внешний Edge	sip-имя вашего основного SIP-домена	Одна запись sip на каждый SIP-домен плюс FQDN веб-конференций Edge	SN=sip.contoso.com; SAN=sip.contoso.com; SAN=webcon.contoso.com; SAN=sip.fabrikam.com
Внутренний Edge	Внутренний FQDN Edge	Отсутствует. Внутренний сертификат Edge использует только имя субъекта.	SN=sfbedge.contoso.net
Обратный прокси	FQDN внешних веб-служб	Внешнее имя автообнаружения плюс ваши FQDN внешних веб-служб	SAN=lyncdiscover.contoso.com; SAN=skypewebextpool01.contoso.com; SAN=dirwebexternal.contoso.com

Четыре детали, которые стоит проверить перед отправкой:

• Простые URL-адреса. Вам нужен один простой URL-адрес Meet на каждый SIP-домен, один простой URL-адрес Dial-in для всей организации, а простой URL-адрес Admin является необязательным. Каждый используемый вами URL-адрес Meet должен быть указан в сертификате.
• sipinternal и sipexternal. Если вы создали записи DNS sipinternal.contoso.com или sipexternal.contoso.com, Microsoft также требует включить их в список SAN.
• Имя A/V не является SAN. av.contoso.com — это запись DNS для службы A/V Edge, которая не использует сертификат для шифрования медиа, поэтому его не нужно включать в запрос. Внешний сертификат Edge назначается службам Access Edge, Web Conferencing Edge и отдельной службе A/V Authentication.
• Пулы Edge используют общий сертификат. Каждый Edge Server в пуле должен иметь абсолютно одинаковый сертификат и один и тот же закрытый ключ для службы аутентификации медиа-ретрансляции, поэтому это единственный запрос, для которого действительно нужен экспортируемый закрытый ключ.

Создание CSR с помощью Мастера развертывания

Если вы уже сгенерировали свой CSR с помощью другого инструмента, пропустите это и следуйте нашему руководству по установке SSL-сертификата на Skype for Business Server.

Выполните эти шаги на сервере, для которого предназначен сертификат: Front End Server для сертификата по умолчанию или веб-служб, Edge Server для сертификата Edge.

1. Откройте Пуск и запустите Мастер развертывания Skype for Business Server.
2. Нажмите Install or Update Skype for Business Server System.
3. Рядом с пунктом Step 3: Request, Install or Assign Certificates, нажмите Run. Если сертификаты уже существуют на этом компьютере, там написано Run Again.
4. В Мастере сертификатов выберите нужный вам сертификат (например, Default certificate, или External Edge certificate на Edge Server) и нажмите Request.
5. Выберите Prepare the request now, but send it later (offline certificate request). Это вариант для публичного CA. Альтернативный вариант, Send the request immediately to an online certification authority, регистрирует запрос в CA внутри вашей собственной PKI, обычно во внутреннем Windows CA, и не является путем к публичному CA.
6. Введите путь и имя файла для запроса в поле File Name, или нажмите Browse, чтобы выбрать местоположение. Запомните, куда вы его сохранили. По умолчанию используется папка Documents учетной записи, запускающей мастер.
7. На странице Name and Security Settings введите Friendly Name, уникальное в хранилище сертификатов компьютера, затем выберите Bit length. Список предлагает 1024, 2048 и 4096: выберите 2048, поскольку ни один публичный CA не подпишет 1024-битный ключ. Оставьте флажок Mark the certificate’s private key as exportable снятым, если вы не запрашиваете сертификат для пула Edge Server, что является единственным случаем, названным Microsoft как требующим этого.
8. На странице Organization Information заполните поля Organization и Organizational Unit. OU — это свободный текст в сертификате, и он не обязательно должен совпадать с подразделением Active Directory.
9. На странице Geographical Information выберите Country, затем введите State/Province и City/Locality. Пишите оба полностью, например, Arizona, а не AZ.
10. Просмотрите страницу Subject Name / Subject Alternative Names. Эти записи берутся из вашей опубликованной топологии и не могут быть отредактированы здесь. Если одна из них неверна, нажмите Cancel, исправьте ее в Topology Builder, опубликуйте топологию заново и начните запрос снова.
11. На странице SIP Domain setting on Subject Alternate Names (SANs) отметьте ваш основной SIP-домен и любой другой SIP-домен, который должен быть охвачен этим сертификатом. Если вы не отметите ни одного, а ваша конфигурация позже изменится, вам придется запрашивать новый сертификат.
12. На странице Configure Additional Subject Alternate Names добавьте любое имя, которое не было предоставлено топологией: введите FQDN и нажмите Add. Кнопки Remove и Clear All влияют только на записи, добавленные на этой странице, а не на имена, полученные из топологии.
13. Проверьте сводку запроса и нажмите Next, чтобы сгенерировать CSR. На странице Certificate Request File нажмите View, чтобы открыть запрос в Блокноте и скопировать его, затем нажмите Finish.

Создание CSR с помощью PowerShell

Откройте Skype for Business Server Management Shell с правами администратора и выполните Request-CsCertificate. Это создает такой же запрос, как и мастер: командлет анализирует вашу топологию перед записью файла и сам заполняет имя субъекта и альтернативные имена субъекта.

Полный офлайн-запрос для Front End Server выглядит так. Это одна строка, поэтому скопируйте ее целиком:

Request-CsCertificate -New -Type Default,WebServicesInternal,WebServicesExternal -ComputerFqdn "ee01.contoso.com" -FriendlyName "SfB Front End 2026" -KeySize 2048 -Organization "Contoso Ltd" -OU "IT" -Country US -State "Arizona" -City "Phoenix" -DomainName "meet.contoso.com,dialin.contoso.com,admin.contoso.com,lyncdiscover.contoso.com" -Output "C:certscontoso_sfb.csr"

Что делает каждая часть:

• -New запускает новый запрос и требуется для этой формы команды.
• -Type является обязательным. Он указывает роли служб, которые охватывает сертификат, и эти роли определяют, какие FQDN командлет помещает в поле SAN.
• -Output записывает офлайн-запрос по указанному вами пути. Именно это заставляет команду создавать CSR, который вы можете отправить публичному CA. Если опустить его и добавить вместо этого -CA, командлет напрямую обращается к внутреннему Windows CA.
• -ComputerFqdn — это FQDN компьютера, для которого предназначен сертификат. Рекомендация Microsoft — всегда использовать имя компьютера, даже когда вы запрашиваете сертификат пула, потому что командлет сам добавляет имя пула к субъекту.
• -DomainName принимает список дополнительных FQDN, разделенных запятыми, для добавления в поле SAN, помимо тех, что предоставляет топология.
• -Organization, -OU, -Country, -State и -City заполняют поле субъекта. Country принимает двухбуквенный код (US, GB, DE); штат и город указывайте полностью.
• -KeySize принимает значения 1024, 2048 и 4096. Используйте 2048 или больше.
• -FriendlyName маркирует сертификат в хранилище Windows и должен быть уникальным в этом хранилище.
• -PrivateKeyExportable $True помечает ключ как экспортируемый. Устанавливайте его только тогда, когда вам действительно нужно скопировать сертификат на другую машину, как в случае с пулом Edge ниже.
• -AllSipDomain добавляет каждый SIP-домен в поле SAN. Без него автоматически добавляется только основной SIP-домен.
• -Template указывает шаблон сертификата на внутреннем CA. Он не имеет значения для запроса к публичному CA.

Типы сертификатов, которые можно передать в -Type

Microsoft документирует следующие значения и отмечает, что список не является исчерпывающим: AccessEdgeExternal, AudioVideoAuthentication, DataEdgeExternal, Default, External, Internal, iPhoneAPNService, iPadAPNService, MPNService, PICWebService, ProvisionService, WebServicesExternal, WebServicesInternal и WsFedTokenTransfer. Разделяйте несколько типов запятыми.

Два из них являются тупиковым вариантом на локальном сервере: Microsoft указывает PICWebService и ProvisionService как типы Skype for Business Online, а эта служба была прекращена в 2021 году. На практике вы будете использовать одну из трех комбинаций:

• Front End или Director: -Type Default,WebServicesInternal,WebServicesExternal
• Внутренний интерфейс Edge: -Type Internal
• Внешние интерфейсы Edge: -Type AccessEdgeExternal,DataEdgeExternal,AudioVideoAuthentication

Внешний запрос Edge — это тот, для которого требуется экспортируемый ключ, поскольку каждый Edge Server в пуле должен использовать общий сертификат и ключ:

Request-CsCertificate -New -Type AccessEdgeExternal,DataEdgeExternal,AudioVideoAuthentication -ComputerFqdn "sfbedge01.contoso.net" -FriendlyName "SfB Edge External 2026" -KeySize 2048 -PrivateKeyExportable $True -Organization "Contoso Ltd" -OU "IT" -Country US -State "Arizona" -City "Phoenix" -DomainName "sip.contoso.com,webcon.contoso.com,sip.fabrikam.com" -Output "C:certscontoso_edge.csr"

Оставьте RSA в качестве алгоритма ключа

У командлета также есть параметр -KeyAlg, который принимает RSA, ECDH_P256, ECDH_P384 и ECDH_P521. Собственные системные требования Microsoft гласят, что Skype for Business Server не поддерживает сертификаты CNG, а публичные CA ожидают RSA в этом рабочем процессе, поэтому не трогайте параметр -KeyAlg и позвольте запросу использовать RSA. Тот же документ также исключает алгоритм подписи RSASSA-PSS, который, по его словам, может вызывать сбои при входе в систему и переадресации вызовов.

Управление уже сделанными запросами

Тот же командлет отслеживает свои собственные ожидающие запросы. Выведите их список, получите тот, который был выпущен, или удалите один по его идентификатору запроса:

Request-CsCertificate -List
Request-CsCertificate -Retrieve
Request-CsCertificate -Clear -RequestId 224

Очистка запроса также является задокументированным решением проблемы, когда получение не удается из-за того, что аннулированный запрос мешает: Request-CsCertificate обрабатывает только состояния Issued, Denied и Pending.

Отправка CSR в ваш центр сертификации

Откройте сохраненный вами файл в обычном текстовом редакторе. Кнопка мастера View открывает его для вас в Блокноте. Скопируйте все, включая строки заголовка и нижнего колонтитула. Windows обычно записывает их так:

-----BEGIN NEW CERTIFICATE REQUEST-----
MIICtjCCAZ4CAQAwcTELMAkGA1UEBhMCVVMxEDAOBgNVBAgMB0FyaXpvbmExEDAO
... many more lines of base64 ...
jCD4RG92Kab0LzO1Hl07fPvTf8j4kDkWhlE=
-----END NEW CERTIFICATE REQUEST-----

Некоторые инструменты записывают BEGIN CERTIFICATE REQUEST без слова NEW. Оба варианта являются одним и тем же запросом PKCS #10, и центры сертификации принимают любой из них. Обратите внимание, что эти маркеры представляют собой пять обычных дефисов с каждой стороны. Если текстовый процессор или поле форматированного текста преобразует их в типографские тире или удалит разрыв строки, CA отклонит запрос как некорректный, поэтому вставляйте в обычное текстовое поле.

Прежде чем платить за проверку, пропустите блок через наш CSR Decoder и убедитесь, что каждое имя из вашей таблицы планирования действительно присутствует в списке SAN. Отсутствующий URL-адрес Meet или забытый второй SIP-домен означает переоформление.

Двух вещей следует избегать, пока вы ждете сертификат:

• Не очищайте ожидающий запрос и не пересобирайте сервер. Закрытый ключ остается в хранилище сертификатов этого сервера и никогда его не покидает. Выпущенный сертификат бесполезен без соответствующего ключа.
• Не создавайте второй CSR для того же сертификата и не отправляйте оба. Каждый запрос создает собственную пару ключей, и сертификат, который вернет CA, будет соответствовать только одному из них.

Спланируйте дату продления сейчас. С 15 марта 2026 года публично доверенные TLS-сертификаты ограничены сроком в 200 дней, снижаясь до 100 дней с 15 марта 2027 года и до 47 дней с 15 марта 2029 года. Ручное продление через мастер на Skype for Business теперь наступает как минимум дважды в год, так что внесите это в календарь с прикрепленными заметками по топологии.

Если вы предпочитаете вообще не генерировать запрос на сервере, наш CSR Generator создает CSR и закрытый ключ прямо в вашем браузере. На Skype for Business это более слабый вариант, поскольку запрос не сможет получить имена из вашей топологии, и вам затем придется преобразовывать выпущенный сертификат в файл .pfx и импортировать ключ вручную.

После того, как CA выпустит ваш сертификат

CA возвращает сертификат после завершения проверки. Импортируйте его на том же сервере, затем назначьте его для служб, для которых вы его запрашивали, либо снова через Step 3 Мастера развертывания, либо с помощью командлетов Import-CsCertificate и Set-CsCertificate. Наше сопутствующее руководство по установке SSL-сертификата на Skype for Business Server подробно рассказывает об обоих способах.

Поскольку вы сгенерировали запрос на этом сервере, закрытый ключ уже находится в его хранилище сертификатов, поэтому то, что вернет CA — это сам сертификат отдельно. Импортируйте его в том виде, в котором он предоставлен: файл .cer или .crt, или пакет .p7b, который многие CA поставляют для Windows. Ничего конвертировать не нужно. Файл PKCS#12 (.pfx или .p12) требуется только тогда, когда сертификат и его закрытый ключ должны передаваться вместе, что происходит в случае, если вы создали CSR на другой машине. Сначала объедините их с помощью OpenSSL, затем импортируйте .pfx с его паролем:

openssl pkcs12 -export -out cert.pfx -inkey private.key -in cert.crt -certfile chain.crt

После того как сертификат назначен, а службы перезапущены, просканируйте внешнее имя с помощью нашего SSL Checker, чтобы убедиться, что цепочка и список SAN соответствуют ожидаемым.

Часто задаваемые вопросы