域内客户端信任AD CA签发的内部站点SSL证书的验证、配置及故障排查咨询

核心疑问 #

我想确认：如果已正确配置AD证书服务（AD CS/AD CA），且内部站点使用该CA签发的有效SSL证书，是否无需在域内客户端做额外配置，就能让Chrome、Edge、Safari等主流浏览器信任这些内部站点的证书？

已知环境前提 #

• 已正确安装并配置Active Directory证书服务（Windows Server 2016，搭载AD DS+CS角色，采用默认安装选项）
• 内部站点（比如vCenter、SolarWinds这类Web UI）使用的SSL证书均由该AD CA签发，且证书本身状态有效（未过期、主体信息匹配等）
• 未使用第三方商业SSL证书（如Digicert等）
• 当前AD域服务运行正常，新计算机加入域的流程顺畅无问题

但实际情况是：这些内部站点的SSL证书仍被浏览器标记为“不安全”，所以我需要进一步明确相关配置要求和故障排查方法。

具体问题清单 #

1. 满足上述前提的情况下，域内客户端的主流浏览器是否应该自动信任AD CA签发的内部站点SSL证书？
2. 如果答案是否，需要执行哪些额外配置步骤才能让客户端信任这些证书？
3. 如果答案是，但证书仍被标记为无效，有哪些常见故障排查步骤？比如需要查看哪些日志、如何定位证书链中的问题、以及对应的修复方法？

简化测试场景的疑问 #

我想以一个最简部署场景为例确认流程：

假设域为mydomain.com，域控dc01.mydomain.com上安装了AD CS/CA角色，且默认IIS站点使用该CA签发的SSL证书，整个AD环境采用默认选项全新部署。

针对这个场景：

• 域内客户端的Chrome浏览器信任https://dc01.mydomain.com证书的必要步骤（如果有）是什么？
• 如果该场景中Chrome仍标记证书无效，有哪些常见根因？对应的排查和修复方法是什么？

补充说明 #

我已经在这个问题上折腾了3天，看到不少零散的说法称标题问题的答案是“是”，但始终没找到微软AD官方文档的权威说明，也缺乏系统的故障排查指引。如果现有信息不足以定位问题，我可以补充更多细节。

备注：内容来源于stack exchange，提问作者kindzmarauli