直接推送企业根证书至域内计算机“受信任的根证书颁发机构”存储区即可实现https、应用及代码签名自动信任；需用der编码.cer文件（非.pfx/.crt），通过计算机级gpo部署并验证生效。

直接把企业根证书推送到所有域内计算机的“本地计算机\受信任的根证书颁发机构”存储区，就能让内网https服务、内部应用、代码签名等自动被系统信任，不再弹出“此网站不安全”或“证书不受信任”提示。

准备正确的证书文件

必须用 DER 编码的 .cer 文件（不是 .pfx、不是 Base64 的 .crt，更不能带私钥）：

• 双击打开你的企业根证书 → 切换到「详细信息」选项卡 → 点「复制到文件」启动向导
• 勾选「不导出私钥」→ 下一步 → 选择「DER 编码二进制 X.509 (.CER)」→ 完成保存
• 验证是否正确：用记事本打开该 .cer 文件，开头应是乱码（二进制），而不是以 -----BEGIN CERTIFICATE----- 开头

创建并配置计算机级GPO

证书必须部署到「计算机配置」下，作用于计算机账户，而非用户账户：

• 在域控制器上运行 gpmc.msc → 右键目标 OU（如 Workstations 或 Servers）→「在此域中创建 GPO 并在此处链接」，命名如 “Deploy-Internal-Root-CA”
• 右键新 GPO →「编辑」→ 路径：计算机配置 → 策略 → Windows 设置 → 安全设置 → 公钥策略 → 受信任的根证书颁发机构
• 右键空白处 →「导入」→ 选中你准备好的 .cer 文件 → 完成后确认证书出现在列表中且状态为「已启用」

确保策略生效并验证结果

部署后不是立即生效，需主动触发或等待刷新：

• 在客户端以管理员身份运行：gpupdate /force
• 立即检查证书是否到位：运行 certlm.msc → 展开「受信任的根证书颁发机构」→「证书」→ 查找你的企业 CA 颁发者名称
• 若仍报错，打开事件查看器 → Windows 日志 → 应用程序 → 筛选 CAPI2 日志，重点看错误代码 0x800b0109（CERT_E_UNTRUSTEDROOT） 和「验证链策略」条目

常见失效原因与应对

证书导入成功但实际仍不被信任，多数卡在这几个环节：

• GPO 链接在用户 OU 上，或未启用「已启用」状态 → 检查 GPO 链接位置和「已启用」图标是否为实心
• 目标计算机不在该 GPO 的作用域 → 查看「安全筛选」是否只包含 Authenticated Users，或误加了 WMI 筛选
• 旧证书残留冲突 → 在 certlm.msc 中手动删除同名旧证书，再重新运行 gpupdate /force
• 证书路径验证策略被禁用 → 进入 GPO 的「证书路径验证设置」→「存储」选项卡 → 确保勾选「定义这些策略设置」，并在「根证书存储」中明确启用你的 CA