通过组策略向域内所有windows计算机分发自定义企业根证书，核心是将.cer格式根证书导入“受信任的根证书颁发机构”存储区，并链接gpo至目标ou；部署后执行gpupdate /force可立即生效，验证可通过certmgr.msc查看证书是否存在及访问内部https服务是否无警告。
通过组策略向域内所有 windows 计算机分发自定义企业根证书，核心是把证书导入到“受信任的根证书颁发机构”证书存储区，并借助域控统一推送。整个过程不依赖用户手动操作，部署后自动生效（需刷新策略）。
准备证书文件
确保你已拥有企业 CA 的根证书，格式为 .cer（不含私钥，仅公钥证书）。不要用 .pfx 或 .crt（除非已重命名为 .cer），Windows 组策略只认标准 DER 或 Base64 编码的 .cer 文件。若只有 PEM 格式（以 -----BEGIN CERTIFICATE----- 开头），可用 OpenSSL 转换：
-
openssl x509 -in root-ca.crt -outform der -out root-ca.cer（推荐 DER 格式，兼容性更好） - 或直接用记事本将 PEM 内容另存为 UTF-8 编码的
root-ca.cer，并确保首尾换行正确
在域控制器上创建并配置 GPO
使用具有域管理员权限的账号登录域控（或装有 RSAT 的管理机），打开组策略管理控制台（GPMC）：
- 右键“组策略对象” → “新建”，命名如 Deploy-Enterprise-Root-CA
- 右键新建的 GPO → “编辑”，进入组策略编辑器
- 导航至：计算机配置 → 策略 → Windows 设置 → 安全设置 → 公钥策略 → 受信任的根证书颁发机构
- 右侧空白处右键 → “导入” → 选择你准备好的
root-ca.cer→ 一路“下一步”完成
链接 GPO 到目标作用域
证书策略需应用到计算机对象，所以必须链接到包含目标计算机的OU（组织单位），而非用户 OU：
- 在 GPMC 左侧树中，找到对应域名（如
contoso.com）或具体 OU（如Workstations） - 右键 → “链接现有 GPO” → 选中刚创建的策略 → “确定”
- 确认链接状态为“已启用”，且无冲突的阻止继承或筛选器干扰
强制更新并验证效果
策略默认每 90 分钟刷新一次，但可立即生效：
- 在客户端计算机（域成员）上以管理员身份运行命令提示符，执行：
gpupdate /force - 重启或等待约 1–2 分钟后，检查证书是否已安装：
运行certmgr.msc→ 展开“受信任的根证书颁发机构” → “证书”，查找你的企业 CA 颁发者名称 - 访问由该 CA 签发证书的内部 HTTPS 服务（如内部 Git、K8s Dashboard、AD FS 登录页），不再出现“证书不受信任”警告即表示成功
