在IIS服务器上安装私有证书是保护网站数据安全的基础操作，正确配置SSL证书后即可实现HTTPS加密访问。
IIS服务器安装私有证书步骤详解
无论你是搭建内部OA系统还是开发测试网站,在IIS服务器上安装私有证书都是启用HTTPS加密的最直接方式，下面按照实际操作顺序，一步步带你完成整个配置。
生成证书签名请求（CSR）
首先需要生成证书签名请求（CSR），这相当于向CA申请证书的“申请书”，在IIS管理器中，选择服务器节点，双击“服务器证书”图标，在右侧操作栏中，点击“创建证书申请”，在弹出的窗口中，填写以下信息：
- 通用名称：你的网站域名，如 internal.example.com。
- 组织：公司或组织名称，选填但建议填写。
- 组织单位：部门，选填。
- 城市/省市：根据实际情况填写。
在“加密设置”中，选择加密长度，目前推荐2048位或更高，点击下一步，保存为文本文件，certreq.txt，提交给CA（可以是内部CA或商业CA），等待签发。
如果你更习惯命令行,也可以使用certreq工具，创建一个request.inf配置文件，然后执行certreq -new request.inf request.csr，这种方式适合批量操作或服务器核心环境。
安装私有证书到服务器
收到CA签发的证书文件后,回到IIS管理器的“服务器证书”界面，点击“完成证书申请”，选择证书文件（通常为.cer或.crt），输入一个友好名称，我的内部私有证书”，点击确定后，证书会出现在服务器证书列表中。注意：如果证书链不完整，某些浏览器可能报错，建议在安装时包含中间证书。
如果你收到的证书是PFX格式,可以直接在“服务器证书”界面点击“导入”，选择PFX文件并输入密码，即可完成安装，导入后，证书会出现在个人存储中。
绑定证书到目标网站
在IIS管理器中,展开“站点”，选中你的网站，右键并选择“编辑绑定”，点击“添加”，类型选择“https”，IP地址选择“所有未分配”，端口默认443，SSL证书选择刚才安装的私有证书，点击确定后，网站即开始监听HTTPS请求。
如果你的服务器有多个域名,并且需要多个证书，可以使用SNI（服务器名称指示）功能，在绑定对话框中，勾选“需要服务器名称指示”，然后针对每个域名添加不同的绑定。这一步是IIS网站配置SSL证书的关键，很多首次配置的人会忽略SNI，导致多域名证书冲突。
配置HTTPS强制跳转（URL重写）
为了确保用户始终通过HTTPS访问,需要将HTTP流量重定向到HTTPS，安装“URL重写”模块后，在网站根目录的web.config中添加规则：
<system.webServer>
<rewrite>
<rules>
<rule name="Redirect HTTP to HTTPS" stopProcessing="true">
<match url="(.)" />
<conditions>
<add input="{HTTPS}" pattern="^OFF$" />
</conditions>
<action type="Redirect" url="https://{HTTP_HOST}/{R:1}" redirectType="Permanent" />
</rule>
</rules>
</rewrite>
</system.webServer>
保存后,访问旧版HTTP链接会自动跳转到HTTPS。这是IIS服务器配置SSL证书的最终步骤，也是安全评分的重要指标。
私有证书与公共证书：如何选择适合你的IIS网站配置
很多人在配置IIS网站时,会面临一个选择：到底是用私有证书（自签名或内部CA）还是公共证书（Let’s Encrypt等）？这需要根据业务场景和预算来判断。
自签名证书、内部CA与商业私有证书的对比
- 自签名证书：免费生成，无需CA，但浏览器会显示“不安全”警告，适用于开发测试环境，或仅你自己访问的站点。
- 内部CA证书：在你的域网络中搭建企业根CA，颁发给内部服务器，加入域的客户端会自动信任，无需额外配置，适合企业内部系统。
- 商业私有证书：从权威CA购买的私有证书，虽然域名不公开，但证书本身受浏览器信任，价格因CA和类型而异。
下表列出了三种证书的典型差异：
| 特性 | 自签名证书 | 内部CA证书 | 商业私有证书 |
|---|---|---|---|
| 信任度 | 无 | 域内自动信任 | 浏览器信任 |
| 成本 | 免费 | 需部署CA系统 | 年费数百元内 |
| 部署难度 | 低 | 高 | 中 |
| 适用场景 | 开发测试 | 企业内部系统 | 公开但需私有化 |
适用场景与成本分析
相当一部分企业选择私有证书用于内部系统，例如人力资源系统、财务系统、内部文件共享等，这些系统不需要公开访问，使用公共证书会造成不必要的开支，而自签名证书虽然免费，但每次访问都弹出警告，用户体验较差，行业共识认为，内部CA是最佳平衡方案，尤其是当企业已经部署了Active Directory时，可以轻松实现证书自动分发。
价格方面，商业私有证书的价格根据CA和域名数量不同，据统计，基础域名级别的私有证书年费普遍在100元到500元之间，而通配符证书价格更高，企业可以根据预算选择，对于多个域名，建议使用通配符证书或SAN证书。
IIS网站配置HTTPS的常见问题与解决
即使按照步骤操作,在IIS网站配置HTTPS时仍可能遇到一些问题，下面列出最典型的几种。
证书绑定失败的原因与修复
绑定时提示“证书不存在”或“参数错误”，通常是因为证书未正确安装到服务器存储，检查证书是否出现在“服务器证书”列表中，且包含私钥，如果证书文件是PFX格式，需通过导入操作完成，如果证书是从其他服务器导出的，请确保导入时选择了“标记此密钥为可导出”，否则可能无法绑定。
证书链不完整导致浏览器警告
浏览器显示“该证书的颁发者无效”，说明中间证书未安装，在IIS中，右键点击证书选择“导出”，然后选择“证书类型”为“中间证书”，将导出的文件重新导入到“中间证书颁发机构”存储区。确保完整链是避免信任问题的关键，业内专家指出，很多企业证书问题都源于中间证书遗漏，尤其是在使用私有CA时。
安全警告的处理
HTTPS页面中加载了HTTP资源（如图片、脚本），浏览器会显示警告，检查页面源码，将所有资源引用改为相对协议或HTTPS，在IIS中，也可以通过配置CSP（内容安全策略）头来阻止混合内容，在web.config中添加：
<system.webServer>
<httpProtocol>
<customHeaders>
<add name="Content-Security-Policy" value="upgrade-insecure-requests" />
</customHeaders>
</httpProtocol>
</system.webServer>
证书过期自动更新策略
私有证书同样有有效期,过期后需要重新申请，建议设置计划任务，提前30天检查证书有效期，并自动续签，对于自签名证书，可以使用PowerShell脚本定期生成新证书并替换绑定。合理规划续期流程，避免因证书过期导致服务中断。
正确安装私有证书后，IIS服务器即可提供HTTPS服务，保护数据传输安全。 无论你是内部系统还是公开站点，根据场景选择合适的证书类型，并遵循上述步骤，即可实现可靠的加密通信。
关于IIS服务器安装私有证书的常见问题
问题1：私有证书和公共证书有什么区别？
私有证书通常由内部CA或自签名颁发,不信任公开根，适用于内部网络，公共证书由全球信任的CA签发，浏览器自动信任，适用于公开网站，两者在加密级别上相同，但信任链不同。
问题2：自签名证书能否用于生产环境？
自签名证书可以用于生产环境,但浏览器会显示不受信任警告，影响用户体验，自签名证书更适合开发测试环境，生产环境建议使用公共证书或内部CA证书。
问题3：如何检查IIS上的证书绑定是否正确？
在IIS管理器中选择网站,查看绑定列表，确认HTTPS绑定已关联正确的证书，也可以使用浏览器访问https://域名，查看证书信息，确认颁发者、有效期等信息匹配，还可以使用openssl命令验证证书链，重要的是，确保服务器端口443在防火墙开放。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/561907.html
