S/MIME 证书部署：CA 签发、AD 分发与邮件客户端配置

概述

S/MIME 证书是实现邮件端到端加密和数字签名的核心组件。企业级部署通常采用内部 CA（证书颁发机构）签发用户证书，通过 Active Directory 的组策略（GPO）自动分发到域用户的个人证书存储。每个用户需要一对数字证书：签名证书（用于对发出的邮件进行数字签名）和加密证书（用于解密收到的加密邮件）。证书生命周期包括签发、分发、使用和吊销四个阶段。

内部 CA 证书模板与签发

OpenSSL 命令行可用于签发 S/MIME 证书，适合无 AD 环境的 Linux 邮件服务器场景。Windows Server AD CS 提供了专用的 S/MIME 证书模板。需要创建两个模板：一个配置为数字签名用途（Key Usage: Digital Signature），另一个配置为密钥加密用途（Key Usage: Key Encipherment）。

# OpenSSL 自建 CA 签发 S/MIME 证书
# 1. 创建 CA
openssl req -new -x509 -days 3650 \
  -keyout ca-key.pem -out ca-cert.pem \
  -subj "/C=CN/O=Example Corp/CN=Internal CA"

# 2. 签发用户证书
openssl req -new -nodes -keyout user-key.pem -out user-req.pem \
  -subj "/C=CN/O=Example Corp/CN=user@example.com"
openssl x509 -req -days 365 -in user-req.pem \
  -CA ca-cert.pem -CAkey ca-key.pem -set_serial 01 \
  -extfile <(printf "keyUsage=digitalSignature,keyEncipherment
extendedKeyUsage=emailProtection
subjectAltName=email:user@example.com") \
  -out user-cert.pem

# 3. 导出 PKCS#12 供客户端导入
openssl pkcs12 -export -in user-cert.pem -inkey user-key.pem \
  -out user.p12 -name "user@example.com S/MIME"

AD 分发与客户端配置

在 AD 域环境中，证书自动注册（Autoenrollment）通过 GPO 配置实现。域控制器发布证书模板后，客户端在登录和 GPO 刷新周期内自动申请并安装证书，用户无感知。Outlook 客户端在信任中心的电子邮件安全性界面中选择签名和加密证书后即启用 S/MIME 功能。

# Thunderbird S/MIME 配置
# 设置 → 端到端加密 → 管理 S/MIME 证书
# 或通过配置文件自动导入：
certutil -d ~/.thunderbird/xxx.default/ -A \
  -n "user@example.com" -t "u,u,u" -i user-cert.pem

# 测试 S/MIME 签名邮件
echo "Signed test" | openssl smime -sign \
  -signer user-cert.pem -inkey user-key.pem -out signed.eml

# 验证签名
openssl smime -verify -in signed.eml \
  -CAfile ca-cert.pem -noverify

# 加密邮件
openssl smime -encrypt -aes-256-cbc \
  -in plain.txt recipient-cert.pem -out encrypted.eml

踩坑与排错

证书链不完整是最常见的 S/MIME 配置失败原因——接收方必须信任发件方证书链中所有中间 CA 证书，缺少任一环节都会导致签名验证失败。CRL（证书吊销列表）检查超时会导致邮件客户端在打开加密邮件时长时间冻结——建议启用 OCSP 轻量级检查。证书续期后旧证书不应立即删除，否则已归档的加密邮件将永久无法解密。