给IIS添加CA证书以支持https

一、在IIS中生成Certificate Signing Request (CSR)

个人理解：生成CSR就是生成“私钥/公钥对”之后从中提取出公钥。

1. 打开IIS Manager，在根节点中选择Server Certificates（服务器证书），点击右侧的Create Certificate Request...，然后填写相应的Distinguished Name Properties（见下图）。

Common name中填写域名（如果用于所有二级域名，填*.域名），Organization中公司名称，Organizational unit填写部门名称。

2. 在Cryptographic service provider中选择Microsoft RSA SChannel Cryptographic Provider，在Bit length中选择2048。

3. 选择生成文件的保存路径，完成之后，在生成的txt文件中就会看到以“-----BEGIN NEW CERTIFICATE REQUEST-----”开头的CSR内容。这就是接下来在CA机构中生成CA证书时要用到的CSR。

二、从CA机构购买并创建CA证书

这里以GoDaddy为例。

1. 打开godaddy.com网站，通过菜单进入Products -> SSL&Security -> SSL Certificates，选择Protect All Subdomains("Wildcard")， 在Pick your plan type中，选择Standard(Validates domain ownership)，然后完成购买。

2. 进入My Account -> SSL CERTIFICATES，创建证书（Certificate），创建时将之前得到的CSR内容复制到“CSR文本框”中。

3. 接入来进入GoDaddy的审批流程，在审批过程中需要验证域名的所有者（dns填加记录或上传html文件至网站目录），验证成功后很快就会生成CA证书。

4. 下载CA证书文件至生成CSR的服务器上。

三、在IIS中安装CA证书

1. 回到第一步中生成CSR的服务器上，进入IIS的Server Certificates（服务器证书），点击Compelete Certificate Request，进入Specify Certificate Authority Response窗口填写相应内容（见下图）。

File name填写第二步中从CA机构下载的证书文件路径（.crt），Friendly name填写第一步中创建CSR时填写的Common name（*.域名），Certificate store选择Web Hosting，然后点击OK。

2. 如果用的是IIS 8.0，在创建过程中出现“Failed to remove the certificate”的提示，不用理会。

3. 创建成功之后，会在Server Certificates中看到这个证书。

四、在IIS站点中配置https

1. 在生成CSR的同一台服务器上配置https

1.1 选择相应的站点，右键选择Edit Bindings，点击Add。

1.2 在Type中选择https，在SSL certificate的下拉菜单中会看到之前安装的CA证书（见下图）。

1.3 选择CA证书之后就完成了https的配置。

2. 在另外的服务器上配置https

2.1 先进入之前已经安装CA证书的服务器，在Server Certificates中导出证书，并将证书文件（.pfx）复制到需要配置https的服务器。

2.2 进入需要配置https的服务器，在Server Certificates中导入证书，导入成功之后，按照之前的1.1-1.3的步骤配置https。

五、其他相关配置

1. 在配置https的服务器的Windows防火墙上允许443的端口的访问。

2. 如果需要将所有http的请求重定向至https，可在IIS的URL Rewrite Module中添加如下的规则：

web.config中对应的配置：

<rewrite>
        <rule name="Redirect to HTTPS" stopProcessing="true">
            <match url="(.*)" />
            <conditions>
                <add input="{HTTPS}" pattern="^OFF$" />
            </conditions>
            <action type="Redirect" url="https://{HTTP_HOST}/{R:1}" redirectType="SeeOther" />
        </rule>
    </rules>
</rewrite>

参考资料

Generating a Certificate Signing Request — Microsoft IIS 8

Installing an SSL Certificate in Microsoft IIS 7

数字证书及CA的扫盲介绍