如何为Win2003 IIS颁发证书？

为何需要为Win2003 IIS颁发证书

Windows Server 2003虽已停止支持，但在部分遗留系统、内网环境或特定工业场景中仍可能使用，其内置的IIS 6.0作为Web服务器，若需启用HTTPS协议以保障数据传输安全（如登录验证、信息提交等），就必须为网站配置SSL证书，证书可通过自签名、企业CA或第三方CA颁发，需根据使用场景选择：自签名适合测试或内网临时使用，第三方CA则可避免浏览器警告,提升用户信任度。

颁发前的准备工作

1. 系统与IIS确认：确保Win2003系统已安装IIS 6.0，通过“控制面板→添加或删除程序→添加Windows组件”检查，若未安装需勾选“IIS服务”并完成安装。
2. 工具准备：
   • 自签名证书：使用Win2003内置的“证书服务”（若未安装，需通过“添加Windows组件”中的“证书服务”配置，注意安装后需重启服务器）。
   • 第三方CA证书：需提前准备好CSR（证书签名请求）生成工具（如IIS管理器自带功能或OpenSSL），并获取CA机构颁发的证书文件（.crt）及中间证书（若需）。
3. 权限确认：操作需使用管理员账户（如Administrator）,确保对IIS站点目录及证书存储有读写权限。

证书颁发步骤详解

（一）自签名证书（内网/测试场景）

1. 打开“Internet信息服务（IIS）管理器”，右键目标网站→“属性”。
2. 切换到“目录安全”选项卡，在“安全通信”栏点击“服务器证书”。
3. 在“服务器证书”向导中，选择“创建新证书”，点击“下一步”。
4. 选择“准备待发送的请求”或“创建新证书”：若需导出CSR提交给CA，选前者；若直接自签名，选后者，填写证书信息（如“单位名称”“通用名”建议填写网站域名），设置有效期（建议1年以上）。
5. 完成后证书将自动导入到“个人”存储区，返回“目录安全”页，点击“编辑”将证书绑定到网站（端口选443，勾选“需要安全通道”）。

（二）第三方CA证书（生产环境）

1. 生成CSR：在IIS管理器中，通过“服务器证书”向导选择“创建新证书→准备待发送的请求”，填写信息后保存CSR文件（如domain.csr）。
2. 提交CA：将CSR文件内容提交给第三方CA（如DigiCert、GlobalSign），按CA流程完成域名验证（如DNS解析、文件验证等）。
3. 获取证书：CA审核通过后，下载证书文件（通常为domain.crt）及中间证书（如chain.crt）。
4. 导入证书：在IIS“服务器证书”向导中，选择“处理挂起的请求”，上传domain.crt并指定中间证书路径；或通过MMC管理单元导入（“开始→运行→mmc”，添加“证书”管理单元，选择“计算机账户”，将证书导入“个人”存储区）。
5. 绑定证书：同自签名证书步骤，将导入的证书绑定到网站443端口，并配置HTTP跳转HTTPS（可选）。

使用与维护注意事项

1. 安全风险提示：Win2003系统已无安全更新，建议仅用于内网隔离环境，若必须暴露于公网，需配合防火墙严格限制访问端口，并定期监控日志。
2. 浏览器兼容性：自签名证书会在浏览器中显示“不安全”警告，需提前告知用户；第三方证书需选择支持较旧系统的算法（如SHA-1，但新场景建议用SHA-256）。
3. 证书更新：证书到期前需及时更新，自签名证书可重新生成，第三方CA需重新提交CSR并续证，避免服务中断。

FAQs

为何在Win2003 IIS中配置自签名证书后，浏览器仍提示“不安全”？
自签名证书不受公共信任机构信任，因此浏览器会发出警告，若用于内网，可将证书导出为.cer文件，在客户端计算机的“受信任的根证书颁发机构”中手动导入，即可消除警告（需确保所有客户端操作一致）。

证书绑定到网站后，访问HTTPS页面提示“证书链不完整”怎么办？
通常是因为缺少中间证书，需将CA提供的中间证书（如chain.crt）通过IIS管理器导入：在“服务器证书”中，选择“导入”，指定中间证书文件路径，确保其与服务器证书关联，导入后重启IIS服务（“iisreset”命令）,即可修复证书链问题。