Так что либо генерить самому либо покупать (а стоит такой недешево).
Не слушать энтузиастов LE. Потому что работать НЕ будет. Всюду - будет. А с эксчем - не будет :) Потому что хитромудрый M$ заложил такую штучку с ручкой, которую не знают энтузиасты LE (а не знают они ее потому что LE не испольузется на эксче) - для того, чтобы сертификат работал на эксче, нужно, чтобы у него в SAN было прописано его внешнее имя
Видимо придется писать что-то своё или нанимать, если это столь принципиально.