通过组策略将企业内网根证书（.cer/.crt）导入终端“受信任的根证书颁发机构”计算机存储，可实现全网 windows 域设备自动信任内网 https 服务；非域环境需用 powershell、mdm 或 emm 替代。
通过组策略将企业内部受信任的 ssl 证书（如自建 ca 根证书或内网 ip 专用证书的根证书）下发到全网 windows 终端，是实现内网 https 服务可信访问的核心手段。关键不在于“适配器”，而在于让终端系统信任签发服务器证书的根证书颁发机构（ca），这样才能自动验证内网 web、webrtc、api 等 https 资源。
确认证书类型与分发目标
必须使用带公钥的根证书文件（.cer 或 .crt 格式），不能是 PFX（含私钥）、服务器证书或中间证书。该证书需由企业内部 CA（如 AD CS 部署的证书服务）签发，并已导出为 Base64 编码的 DER 或 PEM 格式。目标是将其部署到终端计算机的本地计算机账户下的“受信任的根证书颁发机构”存储区，而非当前用户存储——这样才能确保所有用户、系统服务（如 Edge、Chrome、IIS、Teams）统一信任。
在域控制器上配置组策略对象（GPO）
以域管理员身份登录域控制器或安装了 RSAT 的管理机，打开 gpmc.msc：
- 新建或编辑一个 GPO（推荐新建，例如命名为 “Deploy-Internal-Root-CA”）
- 将该 GPO 链接到包含目标终端的组织单位（OU），例如 “Workstations” 或整个域
- 右键点击 GPO → 选择“编辑”
- 导航至：计算机配置 → 策略 → Windows 设置 → 安全设置 → 公钥策略 → 受信任的根证书颁发机构
- 右键单击“受信任的根证书颁发机构” → 选择“导入” → 按向导指定证书文件路径（如 \dc01sysvoldomainPoliciesCertificatesinternal-ca-root.cer）→ 完成
强制策略生效与终端验证
GPO 默认每 90 分钟刷新一次，但可立即生效：
- 在终端上以管理员身份运行命令提示符，执行：gpupdate /force
- 验证是否成功：运行 certmgr.msc → 展开“受信任的根证书颁发机构” → “证书”，查找你的 CA 名称（如 “Contoso Internal Root CA”）
- 浏览器访问内网 HTTPS 地址（如 https://192.168.10.50），地址栏应显示锁形图标且无“不安全”警告
- 若仍报错，检查证书是否被误导入到“当前用户”存储，或终端是否未加入域、GPO 链接 OU 错误、网络无法访问 SYSVOL 共享路径
补充说明：非域环境或特殊终端
组策略仅适用于加入 Active Directory 域的 Windows 设备。对于：
-
Windows 10/11 工作组电脑：可用 PowerShell 脚本批量部署，例如：
Import-Certificate -FilePath "\servershareca-root.cer" -CertStoreLocation Cert:LocalMachineRoot - macOS 或 Linux 终端：需通过 MDM（如 Jamf、Intune）或手动导入系统钥匙串/CA 信任库，组策略不适用
- 移动设备（iOS/Android）：需通过企业移动管理（EMM）平台推送配置描述文件或证书配置包，无法使用域控组策略
