怎么在IIS7.0部署SSL 证书
IIS7.0 部署 SSL 证书是 Windows Server 2008 环境下最常见且必须掌握的 HTTPS 加密操作。该过程需严格遵循证书格式、私钥绑定与端口配置三重校验，任意环节疏漏均会导致浏览器提示“NET::ERR_CERT_INVALID”或“连接不安全”。生产环境中超过 68% 的 IIS7.0 证书部署失败案例源于 PFX 密码错误或未启用 SNI（服务器名称指示）。
该操作适用于 Windows Server 2008 SP2 及以上系统，不兼容 IIS6 或低版本 .NET Framework。
技术背景：IIS7.0 的 SSL 支持能力
IIS7.0 原生支持 TLS 1.0 / 1.1，但默认禁用 TLS 1.2 —— 这意味着若仅安装证书而不手动启用 TLS 1.2 协议，现代浏览器（Chrome 110+、Edge 112+）将拒绝建立 HTTPS 连接。CA/B 论坛自 2020 年起强制要求所有新签发证书必须在 TLS 1.2+ 环境中完成握手验证，IIS7.0 必须通过注册表或 IISCrypto 工具补丁升级协议栈。
核心部署步骤
1. 准备证书文件
确保已获取标准 PFX 格式证书（含私钥），由受信 CA（如 Sectigo、锐安信 或 Digicert）签发。切勿使用 PEM + KEY 拆分格式直接导入——IIS7.0 不支持分离式密钥加载。若仅有 CRT/KEY 文件，需用 OpenSSL 合并为 PFX：openssl pkcs12 -export -out cert.pfx -inkey privkey.key -in cert.crt -certfile chain.crt。
2. 导入 PFX 到服务器证书存储区
打开「Internet 信息服务(IIS)管理器」→ 左侧连接树点击服务器名 → 双击「服务器证书」→ 右侧点击「导入」→ 浏览选择 PFX 文件 → 输入导出时设定的密码 → 点击「确定」。成功后证书将显示在列表中，状态为「有效」且颁发者为可信根 CA。若显示「证书链不完整」，需提前下载中间证书并手动导入「中间证书颁发机构」存储区。
3. 绑定 HTTPS 站点
右键目标网站 → 「编辑绑定」→ 「添加」→ 类型选「https」→ IP 地址按需选择（推荐「全部未分配」）→ 端口填「443」→ SSL 证书下拉框中选择刚导入的证书 → 勾选「需要服务器名称指示（SNI）」（多域名共用 IP 时必需）→ 点击「确定」。注意：IIS7.0 默认不启用 SNI，需确认系统已安装 KB977377 补丁，否则将报错 0x80070005。
工程实践与常见故障
| 指标 | 参考标准 | TopSSL专家建议 |
|---|---|---|
| 证书有效期 | CA/B Forum BR 要求 ≤ 398 天（现普遍为 397 天） | 部署前用 SSL证书检查工具 验证剩余有效期；IIS7.0 不支持自动续期，需人工替换 |
| 私钥保护 | Windows CAPI 要求私钥标记为“不可导出” | 导入时勾选「标记此密钥为可导出」仅用于调试；生产环境务必取消勾选，防止私钥泄露 |
| 混合内容 | Chrome 强制阻止 HTTP 资源加载 | 部署后立即检查页面源码，将所有 http:// 替换为 // 或 https://；推荐启用 HSTS（需修改 web.config） |
常见问题
Q：导入 PFX 后站点绑定无证书可选？
A：检查证书是否导入到「当前用户」而非「本地计算机」存储区；IIS7.0 仅读取「本地计算机\个人」证书存储。
Q：HTTPS 访问返回 503 错误？
A：确认 Windows Firewall 开放了 TCP 443 入站规则；部分云主机（如阿里云、腾讯云）还需在安全组中放行 443 端口。
Q：浏览器仍提示“证书不受信任”？
A：使用 SSL证书链下载工具 获取完整中间证书，并导入「中间证书颁发机构」存储区。
京公网安备11010502031690号
网站经营企业工商营业执照
