为什么 Windows 2012 R2 不信任我的自签名证书？

Question

在测试环境中，我目前无法测试一些需要尽快部署的东西（实际上已经完成，但你知道最后期限是怎么回事......），因为 Windows 拒绝信任我们在我们的系统中拥有的自签名证书。隔离的测试环境。虽然我可以通过“真实”证书和一些 DNS 技巧来回避问题，但出于安全/划分的原因，我没有说证书。

我正在尝试连接到名为 Zimbra 的基于 Linux 的电子邮件服务器；它使用自动生成的自签名 OpenSSL 证书。虽然谷歌打开的页面专门指的是带有 IIS 自签名证书的 IIS 网站，但我认为生成它的方法实际上并不重要。

根据我在这里和这里找到的说明，这应该是将证书安装到本地计算机的受信任根证书颁发机构存储中的简单问题。我已经完成了，以及手动复制证书并通过 MMC 管理单元直接导入它。注销和重新启动不会改变任何东西。

这是我每次收到的证书错误：

这是认证路径（剧透：这只是证书本身）：

最后，这是安全隐藏在本地计算机的证书存储中的证书，正如我发现的说明所说，它们应该是：

这些说明专门引用了 Vista（好吧，第二个没有提到操作系统）和 IIS，而我使用的是 Server 2012 R2 连接到基于 Linux 的服务器；导入向导存在一些差异（例如我的可以选择为当前用户或本地系统导入，尽管我都尝试过），所以也许我必须在这里做一些不同的事情？我没有发现某个设置必须更改才能使其真正信任我已经告诉它信任的证书？

使 Windows Server 2012 R2 信任自签名证书的正确方法是什么？

Answer 1

您收到的错误并不是它不是受信任的根证书，而是它无法验证链上的受信任证书。如果链的任何部分被破坏、不受信任或丢失，您将收到这样的错误。我在使用不受信任的自签名根时遇到的错误是：此 CA 根证书不受信任。要启用信任，请在受信任的根证书颁发机构存储中安装此证书。但对于您来说，它表示无法验证受信任的根证书。这可能是在自签名过程中，您可能告诉 openssl 使用不同的根（不是自签名）对证书进行签名，或者它可能尚未设置为根 CA。如果是第一个，您必须信任其签名所用的根。如果是后者，则需要在 openssl.conf 中设置一些属性。