IIS中OpenSSL生成CSR的SSL证书不在站点绑定下拉列表显示

IIS的HTTPS绑定证书下拉列表仅识别同时满足以下两个条件的证书：

• 证书存储在「本地计算机」账户下的「个人」证书目录
• 证书在系统中存在匹配关联的私钥

该故障的核心原因是：用OpenSSL生成CSR时，对应的RSA私钥保存在OpenSSL本地工作目录，Windows证书存储区没有留存该私钥的记录。之前单独导入pem/der/cer格式的公钥文件时，系统无法将证书和对应私钥绑定，因此证书不会被IIS识别，刷新服务器证书列表时，这类无关联私钥的公钥条目会被系统自动过滤消失。
这也是MMC生成CSR的流程不会触发该故障的原因：通过MMC生成CSR时，系统会自动在本地证书存储区创建私钥占位，等CA签发的公钥证书导入时，会自动匹配到对应私钥完成绑定，符合IIS的证书识别规则。

1. 打包生成IIS兼容的PFX（PKCS#12）格式证书
   PFX格式可以同时封装私钥、站点公钥证书、信任链，是Windows/IIS原生支持的证书导入格式。在OpenSSL工作目录执行以下命令，用现有私钥、站点证书、证书链文件打包：

openssl pkcs12 -export -out iis_cert.pfx -inkey IIS2019.key -in apptrade_zapto_org.pem -certfile apptrade_zapto_org.pem-chain

执行命令后按提示设置PFX文件的保护密码，后续导入证书时需要验证该密码，请妥善记录。

2. 正确导入PFX证书到IIS

• 打开IIS管理器，选中左侧导航栏的服务器根节点，双击功能页的「服务器证书」选项
• 点击右侧操作栏的「导入」按钮，选中上一步生成的iis_cert.pfx文件
• 输入之前设置的PFX密码，必须勾选「允许此证书导出」选项，证书存储位置选择「个人」，点击确定完成导入
• 导入完成后刷新服务器证书列表，就能看到对应的证书条目，后续配置站点HTTPS绑定时，SSL证书下拉列表即可正常选中该证书。

• 不要单独导入cer/pem/der格式的公钥文件，这类文件不包含私钥，永远无法被IIS的HTTPS绑定功能识别
• 导入证书时不要选择「当前用户」存储区，必须选择「本地计算机」下的「个人」目录，否则运行在系统权限下的IIS服务无法读取证书
• 如果导入后仍看不到证书，可通过MMC添加「证书（本地计算机）」管理单元，打开「个人-证书」路径下的对应证书，检查证书详情页底部是否显示*「你有与该证书对应的私钥」*提示，如果没有该提示，说明打包PFX时使用的私钥和生成CSR的私钥不匹配，需要重新核对私钥文件后再次打包。

内容的提问来源于stack exchange，提问作者Hemendr