维护win7系统根证书信任链需管住源头、控住路径、盯住时效：清理过期/高危ca证书（如symantec、diginotar），导入企业私有ca根证书，限制单证用途，协同智能卡、ldap等身份认证加固全链路。

维护系统级CA根证书和加固身份认证信任链，核心在于“管住源头、控住路径、盯住时效”。Win7虽已停止主流支持，但在工控、内网办公等场景仍广泛使用，其证书体系直接影响HTTPS访问、软件安装、内网登录等关键功能。操作不难，但细节决定成败。

识别并清理过期或高风险根证书

系统预装的根证书会随时间推移出现失效、吊销或被曝漏洞的情况。例如，2016年Symantec根证书信任事件后，微软逐步移除其部分根证书；类似地，DigiNotar、Comodo等曾被攻破的CA机构证书必须手动禁用。

• 打开MMC控制台（Win+R → 输入mmc → 回车），添加“证书”管理单元，选择“计算机账户”
• 展开左侧树状菜单：受信任的根证书颁发机构 → 证书
• 按“颁发者”列排序，重点关注名称含Symantec、GeoTrust、Thawte、DigiNotar等旧CA的证书
• 右键查看证书属性，检查“有效期”及“增强型密钥用法”是否含“服务器身份验证”；若已过期、用途不符或状态显示“已吊销”，右键→“删除”

导入企业私有CA或合规新根证书

当访问内网系统（如OA、ERP、设备管理平台）提示证书错误，大概率是缺少内部CA的根证书。这类证书不会出现在公网信任列表中，必须手动部署到每台Win7终端。

• 从IT部门获取标准PEM或CER格式的根证书文件（如internal-ca-root.cer）
• 在MMC证书管理器中，右键“受信任的根证书颁发机构 → 所有任务 → 导入”
• 向导中指定证书路径，务必勾选“将所有证书放入下列存储”并确认目标为“受信任的根证书颁发机构”
• 完成导入后，刷新视图，确认该证书已出现在列表中且无黄色感叹号

限制证书信任范围，避免全局误信

盲目信任所有CA会放大攻击面。Win7支持对单个证书设置“信任属性”，可精细控制其用途，比如仅允许用于服务器验证，禁用代码签名或客户端身份认证。

• 双击目标证书 → 切换到“常规”选项卡 → 点击“编辑信任”按钮
• 取消勾选不需要的用途，例如：禁用“代码签名”（防止恶意软件绕过SmartScreen）、禁用“客户端身份验证”（除非明确需要SSL双向认证）
• 对于非必要CA（如测试环境用的自签名根证书），建议仅在“我的用户账户”下导入，而非“计算机账户”，缩小影响范围

配合身份认证做信任链加固

根证书只是信任起点，真正落地需与身份认证机制协同。例如，启用智能卡登录、证书绑定账号、或对接LDAP/AD时，证书必须能被系统完整校验至可信根。

• 确保登录所用的用户证书由已导入的根CA签发，且未过期、未吊销
• 在组策略中启用“系统加密：使用FIPS兼容算法”（gpedit.msc → 计算机配置 → Windows设置 → 安全设置 → 本地策略 → 安全选项）
• 对关键服务（如远程桌面网关、IIS站点），在SSL设置中启用“要求客户端证书”，并指定只接受来自特定根CA的证书