.NET Core Razor企业内网站点SSL证书问题及安全管理最佳实践咨询

一、Chrome不再接受自签名证书的原因 #

Chrome近年持续收紧安全策略，对SSL证书的合规性要求大幅提升：

• 自签名证书默认不在浏览器的受信任根证书链中，Chrome现在强制要求证书必须由受信任的CA签发，不再允许用户轻易绕过（临时输入thisisunsafe仅为应急手段，不符合合规要求）。
• 旧自签名证书可能未满足Chrome的硬性规范：比如缺少**主题备用名称（SAN）**字段、使用SHA-1哈希算法、密钥长度不足2048位，或有效期过长。
• Edge仍能正常访问，大概率是因为企业域环境的组策略已将自签名证书添加到信任存储，或Edge的安全策略配置与Chrome存在差异。

至于第三方SSL证书无效，核心原因是内网站点使用的通常是私有域名（如*.local、*.company-intranet.com），这类域名不属于公网可注册范围，第三方公共CA不会签发对应证书；即使强行安装，浏览器也会因域名不被认可、证书与站点域名不匹配而报错。

二、企业内网安全管理最佳实践（证书维度） #

• 部署企业内部CA：这是内网场景的标准合规方案，推荐使用Active Directory Certificate Services（AD CS），所有内网设备和客户端统一信任企业CA的根证书，从根源解决证书信任问题。
• 严格遵循证书规范：签发的Web服务器证书必须包含SAN字段，使用SHA-256及以上哈希算法，密钥长度不低于2048位，有效期设置为1-2年（避免过长带来的安全风险），且证书域名必须与内网站点的实际域名完全匹配。
• 统一客户端信任配置：通过域组策略（GPO）将企业CA的根证书批量推送到所有内网客户端的「受信任根证书颁发机构」存储，确保Chrome、Edge及其他系统组件都信任该CA签发的证书。
• 证书与权限管控联动：确保服务器上的证书私钥仅授予IIS服务账户访问权限，避免私钥泄露；结合已有的Windows身份验证机制，实现基于用户AD组的权限管控与证书安全的双重保障。
• 建立证书生命周期管理机制：设置证书过期提醒，定期轮换证书，审计证书的申请、使用情况，避免证书过期导致站点不可用或被滥用。

三、内网证书部署具体流程（基于AD CS） #

1. 部署企业CA服务器：在域环境中安装Active Directory Certificate Services角色，建议采用「离线根CA + 在线从属CA」架构（根CA离线存储提升安全性，从属CA负责日常证书签发）。
2. 配置Web服务器证书模板：在CA服务器上创建自定义Web证书模板，启用SAN字段，设置哈希算法为SHA-256、密钥长度2048位，允许IIS服务器申请证书。
3. 申请并绑定证书：在IIS服务器上，通过IIS控制台或证书管理器向企业CA申请证书，将证书安装到服务器的「个人」证书存储后，绑定到内网站点的HTTPS端口（443）。
4. 推送根证书到客户端：通过域组策略路径计算机配置 > 策略 > Windows设置 > 安全设置 > 公钥策略 > 受信任的根证书颁发机构，导入企业CA的根证书，批量部署到所有内网客户端。
5. 验证配置：在Chrome、Edge等浏览器中访问内网站点，确认证书被正常信任，无需任何临时绕过操作。

内容的提问来源于stack exchange，提问作者MotleyDrew