iis - 信任来自 IIS 的自签名证书

Question

我有一个外部托管的 iis 网络服务器，我在其中运行我的网站。我想向该网站添加一个自签名证书，并在本地客户端上信任它，以从浏览器中删除“不安全连接”。

到目前为止我所做的如下

1. 已在 IIS 中创建自签名证书:服务器证书 -> 创建自签名证书。证书颁发给服务器名称，例如“ABCD01”
2. 使用自签名证书创建了具有 https 绑定(bind)的网站。
3. 使用以下方法从 IIS 导出自签名证书:服务器证书 -> 导出。这产生了一个 .pfx 文件
4. 在本地客户端导入 .pfx 证书文件:管理计算机证书 -> 受信任的根证书颁发机构 -> 导入
5. 将主机的主机名(ABCD01)和 IP 添加到主机文件:C:\Windows\System32\drivers\etc\hosts

当我尝试在 Firefox 中打开网站(使用 https://ABCD01 )时，我仍然收到“您的连接不安全”。我错过了什么？

Answer 1

存在多个问题:

1. IIS 证书生成器使用 SHA1 签名算法创建自签名证书，该算法在现代浏览器中已过时。您必须使用不同的工具来创建测试证书。例如，使用 PowerShell New-SelfSignedCertificate cmdlet，您可以在其中指定签名算法。查看这篇文章以获取示例:https://stackoverflow.com/a/45284368/3997611

New-SelfSignedCertificate `    -DnsName "ABCD01" `    -CertStoreLocation "cert:\LocalMachine\My" `    -FriendlyName "test dev cert" `    -TextExtension "2.5.29.37={text}1.3.6.1.5.5.7.3.1" `    -KeyUsage DigitalSignature,KeyEncipherment,DataEncipherment `    -Provider "Microsoft RSA SChannel Cryptographic Provider" `    -HashAlgorithm "SHA256"

IIS 证书生成器无法使用 Google Chrome 所需的 SAN(主题备用名称)证书扩展构建证书。您必须使用不同的工具来创建测试证书。请参阅上面的示例以供引用。

Google Chrome 使用内置的 Windows 证书存储来建立信任，而 FireFox 使用自己的证书存储。因此，将证书添加到 Windows 证书存储区后，您必须手动将测试证书导入到 FireFox。