为 Windows 配置 S/MIME

• 适用于:

  ✅ Windows 11, ✅ Windows 10, ✅ Windows Server 2022, ✅ Windows Server 2019, ✅ Windows Server 2016

安全/多用途 Internet 邮件扩展 (S/MIME) 为向和发自 Exchange ActiveSync (EAS) 帐户的电子邮件提供了额外的安全层。 S/MIME 使用户能够加密传出邮件和附件，以便只有预期的收件人才能阅读它们。 若要阅读邮件，收件人必须具有数字标识 (ID) ，也称为证书。
用户可以对邮件进行数字签名，从而向收件人提供一种验证发件人身份以及邮件是否被篡改的方法。

消息加密

用户可以向具有加密证书的收件人发送加密邮件。
如果用户在其 Exchange 帐户上收到加密邮件，并且他们具有相应的解密密钥，则只能读取加密邮件。

加密的邮件只能由拥有证书的收件人读取。 如果你尝试向加密证书不可用的收件人发送加密邮件，应用会提示你在发送电子邮件之前删除这些收件人。

数字签名

数字签名的邮件向收件人保证邮件未被篡改，并验证发件人的身份。 如果收件人使用的是支持 S/MIME 的电子邮件客户端，则只能验证数字签名。

Windows 版本和许可要求

下表列出了支持Email加密 (S/MIME) 的 Windows 版本：

Windows 专业版	Windows 企业版	Windows 专业教育版/SE	Windows 教育版
是	是	是	是

Email加密 (S/MIME) 许可证权利由以下许可证授予：

Windows 专业版/专业教育版/SE	Windows 企业版 E3	Windows 企业版 E5	Windows 教育版 A3	Windows 教育版 A5
是	是	是	是	是

有关 Windows 许可的详细信息，请参阅 Windows 许可概述。

必备条件

• 为 Exchange 帐户启用 S/MIME， (本地和Exchange Online) 。 用户无法通过个人帐户（例如 Outlook.com）使用 S/MIME 签名和加密
• 设备上安装了有效的个人信息交换 (PFX) 证书
  • 如何在配置管理器中创建 PFX 证书配置文件
  • 在 Microsoft Intune 中使用证书进行身份验证

选择 S/MIME 设置

在设备上，执行以下步骤：（添加和选择证书）

1. 打开“邮件”应用

2. 打开“设置>”Email安全性

3. 在 “选择帐户”中，选择要为其配置 S/MIME 选项的帐户

4. 为数字签名和加密选择证书

   • 选择“ 自动 ”以允许应用选择证书
   • 选择“ 手动 ”，从设备上的有效证书列表中自行指定证书

5. (可选) 选择“ 始终使用 S/MIME 签名”和/或“ 使用 S/MIME 始终加密”，以自动对所有传出邮件进行数字签名或加密

   注意

   可以更改单个消息的签名或加密选项，除非 EAS 策略阻止该选项。

6. 选择后退箭头

对个别邮件进行加密或签名

1. 撰写邮件时，从功能区中选择“选项”

2. 使用 “签名 ”和“ 加密” 图标打开此邮件的数字签名和加密

   

读取已签名或已加密的邮件

收到加密邮件时，邮件应用会检查计算机上是否有可用的证书。 如果有可用的证书，则会在打开该证书时解密该消息。 如果证书存储在智能卡上，系统会提示你插入智能卡以阅读消息。 你的智能卡可能还需要 PIN 才能访问证书。

从收到的邮件安装证书

收到已签名的电子邮件时，应用会提供一项功能，用于在设备上安装相应的加密证书（如果证书可用）。 然后，此证书可用于将加密的电子邮件发送给该用户。

1. 打开已签名的电子邮件
2. 在阅读窗格中选择数字签名图标
3. 选择“ 安装”。