wsus 服务支持 ssl 加密传输的核心是确保元数据通信全程走 https，并实现客户端与服务器间身份可信、内容未被篡改，需完成 pki 证书部署、iis 绑定配置、wsus 服务强制 ssl 设置及客户端组策略联动。
windows 配置 wsus 服务支持 ssl 加密传输，核心是让元数据通信全程走 https，并确保客户端与服务器之间身份可信、内容未被篡改。这不是单纯开启 https，而是涉及证书部署、iis 绑定、wsus 服务配置和客户端策略联动的一整套操作。
获取并安装符合要求的 PKI 证书
WSUS 必须使用由受信任 CA 签发的证书，不能用自签名证书（除非你已将根证书手动部署到所有客户端和服务器）。证书需满足：
- 主题名称（Subject Name）或 SAN（Subject Alternative Name）必须匹配 WSUS 服务器的 FQDN，例如 wsus.corp.local；
- 证书用途包含“服务器身份验证”（Server Authentication）；
- 私钥可导出，且 IIS 应用程序池身份（通常是 Network Service 或专用服务账户）有读取权限；
- 组织内所有客户端设备必须信任该证书的颁发机构（CA），否则连接会失败。
在 IIS 中绑定证书并启用 SSL
WSUS 依赖 IIS 托管 Web 服务，SSL 配置在此完成：
- 打开 IIS 管理器 → 选择“Default Web Site”或 WSUS 使用的专用站点（如“WSUS Administration Console”）；
- 双击“绑定” → 添加 HTTPS 类型绑定，端口设为 443（或自定义安全端口如 8531），选择上一步安装的证书；
- 进入站点“SSL 设置”，勾选“要求 SSL”，并建议启用“需要 128 位加密”；
- 重启 IIS（iisreset /restart）使配置生效。
配置 WSUS 服务强制使用 SSL
仅 IIS 开启 HTTPS 不够，还需让 WSUS 内部组件识别并依赖它：
- 运行 WSUS 控制台 → 右键服务器名 → “选项” → “更新源” → 确认上游同步地址已改为 HTTPS（如 https://upstream-wsus.corp.local:8531）；
- 在“选项” → “计算机目标” → 检查“使用 SSL 连接到此服务器”是否已勾选；
- 若使用 Configuration Manager 部署软件更新点（SUP），需在 SUP 属性中启用“要求与 WSUS 服务器进行 SSL 通信”，并在“常规”页指定 HTTPS 地址；
- 验证 WSUS 数据库连接不受 SSL 影响——SQL Server 连接本身不加密，如需保护，请将数据库迁至本地或通过 IPsec 加密网络链路。
客户端策略与验证要点
客户端必须知道用 HTTPS 访问 WSUS，且能校验证书有效性：
- 通过组策略配置：计算机配置 → 管理模板 → Windows 组件 → Windows 更新 → “指定 Intranet Microsoft 更新服务位置”，将“设置状态”设为已启用，“Intranet 更新服务地址”填入 HTTPS 地址（如 https://wsus.corp.local:8531）；
- 确保客户端系统启用 TLS 1.2（Win7/2008R2 及以上默认支持，旧系统需注册表或 .NET Framework 更新）；
- 测试连接：在客户端执行 wuauclt /detectnow 后，检查 WindowsUpdate.log 是否出现 HTTPS 请求及 200 响应；也可用浏览器直接访问 https://wsus.corp.local:8531/selfupdate/wuident.cab，成功下载即表明基础 SSL 已通。
