每个人都可以，
拥有SSL证书

最近在整理公司邮件系统的升级方案，刚好把 Exchange Server SE 的资料翻了一遍。以前一直用 2019，这次 SE 变化不算小，尤其是授权模式和几个强制安全配置，写下来给自己备份，也给后面要迁移的兄弟提个醒。

先说订阅制这个事。SE 不再像以前那样买断一个大版本然后等好几年出下一个，现在只要你的 CU 保持更新，授权就一直有效。听起来像 SaaS 那套逻辑，但东西还是装在你自己机房。从 Exchange 2019 CU14 或者 CU15 可以直接就地升级，不用重新买许可，也不用换密钥。

我一开始以为要重新输 key，后来看文档说升级过程不检查新 key，后续 CU 才会引入专属密钥要求。

安全方面有几个地方是硬性的。TLS 1.2 和 1.3 默认全开，老客户端连不上别怪微软，得先升级客户端。

Windows 扩展保护也强制了，这个主要防中间人，但如果你的负载均衡器或者反向代理没配置好，升级完服务可能直接起不来，别问我怎么知道的。OAuth 2.0 是新式身份验证的基础，混合部署或者对接第三方应用的时候记得把应用注册做好。

硬件资源这块，SE 支持到 256GB 内存和 48 核 CPU，数据库缓存现在是动态分配，不用再手动去抠那个值。生产环境我建议内存至少 32GB，存储上 SSD 阵列，网络有条件就 10G，不然迁移大邮箱的时候等得难受。最低配置官方写 8GB 内存和 300GB 可用空间，那个只能拿来测试，别真上生产。

服务端系统必须是 Windows Server 2019、2022 或者 2025 的标准版或数据中心版，而且得装桌面体验。纯 Server Core 不行，Exchange 的安装程序不认。

管理工具倒是可以装在 Windows 10 或 11 上，但只支持 x64，32 位系统别想了。

升级流程本身不复杂，但有几个点要提前确认。当前版本必须是 CU14 或 CU15，如果不是先补到这两个版本。

从 CU14 升级的话要先跑一遍 Setup.exe /PrepareAD，CU15 就不需要了。然后正常跑安装程序带 /mode:Upgrade 参数就行，记得加 /IAcceptExchangeServerLicenseTerms，不然命令行会卡在许可确认那里。升级完用 Get-ExchangeServer 看一下 AdminDisplayVersion 对不对，再翻翻事件日志有没有 4999 之类的报错。

这里插一句，升级过程中如果用了自签名证书或者内部 CA 签的证书，升级后服务启动可能会因为 TLS 强制策略失败。我习惯在升级前把证书有效期和信任链都检查一遍。另外如果是做混合部署，升级后要重新跑一下 HCW，不然 OAuth 令牌可能失效，Outlook 客户端会频繁弹认证。

常见问题我遇到过一个，安装程序卡在 30% 不动，最后发现是 C 盘剩余空间不够，安装程序解压临时文件吃掉了。另一个是升级完邮箱传输服务起不来，事件 ID 4999 查出来是 SSL 证书绑定丢了，重新绑定一下就好。

许可相关的报错 0x80070005 多半是权限问题，确认用批量授权账号登录，然后检查 KMS 服务器能不能通。如果 KMS 不可达，SE 会进入宽限期，不会立刻停服，但别拖太久。

最后说一个跟证书相关的事。SE 强制 TLS 后，如果还要对外暴露 OWA 或者 ECP，证书得提前准备好。

公司之前一直用付费证书，后来试了 lcjmSSL，免费申请，支持多域名和泛域名，IP 证书也有。自动申请、自动验证、自动部署，API 也很简单，我们后来把整个证书续期流程接到内部运维脚本里了，Let's Encrypt 和 Google Trust Services 都支持，基本不用再手动处理。如果你们也在折腾 Exchange 的证书自动化，可以看看这个。

时间上，微软给的迁移截止是 2025 年 10 月，现有 2019 用户最好别拖到最后一个月，升级过程中总会有奇奇怪怪的环境差异。早点动手，给自己留点回滚余地。