如何为IIS创建SSL证书？

SSL证书：网站安全的“数字身份证”

在互联网安全日益重要的今天,SSL证书已成为网站标配，它通过加密浏览器与服务器之间的数据传输，防止信息被窃取或篡改，同时向用户证明网站身份的真实性，有效提升用户信任度和网站SEO排名，对于使用Windows Server IIS（Internet Information Services）作为Web服务器的用户而言，正确创建和配置SSL证书是保障网站安全的基础步骤，本文将详细介绍为IIS创建SSL证书的完整流程、注意事项及实用技巧。

创建前的准备工作

在开始创建SSL证书前,需完成以下准备工作，确保流程顺畅：

确认域名所有权：SSL证书与域名绑定，需确保对申请证书的域名具有完全控制权（如DNS解析、服务器文件管理权限等）。
检查IIS版本：不同IIS版本操作界面略有差异，本文以IIS 8.5及以上版本（Windows Server 2012 R2及以上）为例，早期版本可参考类似逻辑操作。
准备CSR信息：证书签名请求（CSR）包含证书申请者的身份信息，需提前确认以下内容：
- 通用名称（CN）：通常为申请证书的域名（如www.example.com或example.com）；
- 组织单位（OU）、组织（O）、城市（L）、省份（ST）、国家（C）：根据实际情况填写，部分CA（证书颁发机构）对信息真实性有要求；
- 密钥长度：推荐选择2048位或更高（如4096位），安全性更强。
备份重要数据：操作前建议备份IIS配置和服务器关键数据，避免误操作导致服务异常。

方法一：使用IIS管理器创建自签名证书（测试环境）

自签名证书由服务器自身签发,无需CA审核，适合本地开发、测试环境使用，生产环境需谨慎使用（因浏览器不信任，会显示“不安全”警告）。

操作步骤：

打开IIS管理器：通过“服务器管理器”→“工具”→“Internet Information Services (IIS) 管理器”进入。
创建自签名证书：
- 在左侧“连接”窗格中，展开服务器节点，双击“服务器证书”；
- 在右侧操作窗格中,点击“创建自签名证书”；
- 输入“友好名称”（如“Test SSL Certificate”），选择“证书存储”（默认“个人”），点击“确定”完成创建。
绑定SSL证书：
- 在IIS管理器左侧展开需要绑定的网站（如“默认网站”），双击“绑定”；
- 在“网站绑定”窗口中，点击“添加”按钮；
- “类型”选择“https”，“端口”默认443，“SSL证书”选择刚创建的自签名证书，点击“确定”完成绑定。

方法二：使用OpenSSL生成CSR并申请证书（生产环境推荐）

生产环境需使用CA（如DigiCert、GlobalSign或免费Let’s Encrypt）签发的SSL证书，以确保浏览器兼容性和用户信任，以下是使用OpenSSL生成CSR并提交给CA的流程：

安装OpenSSL工具

若服务器未安装OpenSSL,可通过以下方式安装：

Windows Server：以管理员身份运行PowerShell，执行Install-Module -Name OpenSSL（需先配置PowerShell Gallery）。
手动下载：从OpenSSL官网（https://slproweb.com/products/Win32OpenSSL.html）下载安装包。

生成私钥和CSR

打开命令提示符（CMD）或PowerShell，进入目标目录（如C:Certs）；
执行以下命令生成2048位的私钥（domain.key）和CSR（domain.csr）：
```
openssl req -new -newkey rsa:2048 -nodes -keyout domain.key -out domain.csr
```
根据提示填写CSR信息（通用名称CN需与申请域名一致），完成后目录下会生成domain.key（私钥，需妥善保管）和domain.csr（CSR文件，用于提交给CA）。

提交CSR并获取证书

将domain.csr（以“—–BEGIN CERTIFICATE REQUEST—–”开头，“—–END CERTIFICATE REQUEST—–”复制到CA的申请页面；
CA验证域名所有权后（通常通过DNS解析验证或文件上传验证），签发SSL证书，格式一般为.crt或.cer（部分CA会提供中间证书链）。

方法三：通过Let’s Encrypt获取免费SSL证书（适合中小型网站）

Let’s Encrypt是免费、开放的CA证书颁发机构，证书有效期90天，需定期续期，适合个人博客、中小型企业网站等场景，可使用ACME客户端（如Certbot）自动申请和部署：

安装Certbot

下载Certbot for IIS：从官方GitHub（https://github.com/certbot/certbot）下载最新版，或通过Chocolatey包管理器安装：
```
choco install certbot
```

申请证书

以管理员身份运行命令提示符,执行以下命令（替换yourdomain.com为实际域名）：
```
certbot certonly --iis -d yourdomain.com -d www.yourdomain.com
```
根据提示完成DNS验证（推荐自动DNS验证，需提前配置API密钥）或HTTP文件验证。
证书生成后,默认存储在%ProgramData%letsencryptliveyourdomain.com目录下，包含fullchain.pem（证书链）和privkey.pem（私钥）。

安装SSL证书到IIS并配置HTTPS

无论通过哪种方式获取证书,最终都需要安装到IIS并绑定到网站，以下是通用步骤：

导入证书（若为CA签发证书）

将CA签发的证书文件（如domain.crt）和中间证书链（若有）合并为单个文件（建议使用文本编辑器拼接，顺序：服务器证书→中间证书→根证书）；
在IIS管理器中,双击“服务器证书”，点击“导入”，选择合并后的证书文件，输入私钥密码（若生成时设置），点击“确定”。

绑定HTTPS

参考方法一的“绑定SSL证书”步骤，选择已导入的证书，确保端口443开启，勾选“需要SSL”（可选，强制HTTP跳转HTTPS）。

配置HTTP跳转HTTPS（推荐）

安装URL重写模块：若未安装，通过服务器管理器添加“IIS URL Rewrite Module”角色服务；
在网站“URL重写”功能中，点击“添加规则”→“空白规则”，名称输入“HTTP to HTTPS”，匹配模式“匹配的URL”选择“完全匹配”，模式输入；
在“操作”部分，添加“重定向”，类型选择“看到其他URL”，重定向URL输入https://{HTTP_HOST}/{R:1}，勾选“将查询字符串作为重定向URL的一部分”，勾选“重定向永久”，点击“确定”。

SSL证书配置后的检查与维护

验证证书安装：浏览器访问https://yourdomain.com，查看地址栏是否显示锁形图标（或点击查看证书详情，确认颁发机构、有效期等信息）。
定期检查有效期：CA签发证书需在到期前30天续期（Let’s Encrypt证书可通过certbot renew --dry-run测试续期），避免因过期导致网站无法访问。
备份证书文件：定期备份私钥（.key或.pem）和证书文件，防止服务器故障时证书丢失。

常见问题FAQs

Q1：如何确认SSL证书是否成功安装到IIS？

A：可通过以下方式确认：

IIS管理器检查：进入“服务器证书”列表，查看证书是否显示，且“颁发者”为对应的CA（自签名证书显示“自签名”）；
浏览器访问验证：输入https://yourdomain.com，若地址栏显示安全锁图标，且证书信息正确（点击锁形图标查看），则安装成功；
命令行检查：以管理员身份运行CMD，执行netsh http show sslcert，查看指定端口（443）的证书绑定信息。

Q2：SSL证书快到期了，如何续期？

A：根据证书类型选择续期方式：

Let’s Encrypt免费证书：使用Certbot自动续期，执行certbot renew（建议配置定时任务，如Windows计划任务，每30天运行一次）；
商业证书：联系原CA购买续期服务，获取新证书后，按照“导入证书→绑定HTTPS”的步骤重新配置，替换旧证书；
自签名证书：直接通过IIS管理器创建新的自签名证书，重新绑定即可（测试环境无需担心过期问题）。

通过以上步骤,即可为IIS服务器成功创建、配置和维护SSL证书，为网站安全提供坚实保障。

如何为IIS创建SSL证书？

SSL证书：网站安全的“数字身份证”

创建前的准备工作