雙階段流程概覽

1. IIS 端：產生憑證請求檔 (CSR, PKCS#10, Base64 編碼)
2. CA 端：核發憑證 → IIS 匯入完成綁定

詳細步驟

階段一：IIS 建立憑證請求

1. IIS 管理員 → 網站 → 內容 → 目錄安全性 → 伺服器憑證
2. 精靈選擇「建立新憑證」 → 「準備稍後送出請求」
3. 填寫組織、單位、通用名稱 (CN=完整網域名)
4. 金鑰長度建議 ≥ 2048 bits
5. 將請求儲存為文字檔（如 certreq.txt）

階段二：CA 核發憑證

1. 以瀏覽器連至 CA Web 註冊頁（https://CA主機/certsrv）
2. 選「申請憑證」 → 「進階申請」 → 「使用 Base64 編碼的 PKCS#10 檔案提交要求」
3. 將 certreq.txt 內容貼上 → 送出
4. CA 管理員：管理工具 → 憑證核發機構 → 擱置要求 → 右鍵「核發」
5. 回到 Web 頁面 → 「檢查擱置的憑證」 → 以 Base64 (DER) 格式下載憑證（certnew.cer）

階段三：IIS 安裝憑證

1. IIS 伺服器憑證精靈 → 「處理擱置的要求並安裝憑證」
2. 指定 certnew.cer → 完成
3. 網站屬性 → 目錄安全性 → 安全通訊 → 編輯 → 指定此憑證

關鍵檔案格式對照

副檔名/格式	內容	用途
.txt / .csr (Base64 PKCS#10)	公開金鑰+主體資訊	送至 CA 簽署
.cer / .crt (Base64/DER X.509)	CA 簽署後的公開憑證	安裝至 IIS/用戶端
.pfx / .p12 (PKCS#12)	含私鑰的憑證匣	備份/遷移/匯入含私鑰場景

常見問題排查

• CN 與實際存取網域不符 → 瀏覽器警告「憑證名稱不符」
• 金鑰長度過短（<1024） → 現代瀏覽器拒絕信任
• CA 憑證未加入用戶端「受信任的根憑證授權單位」 → 信任鏈斷裂
• 私鑰遺失 → 必須重新產生 CSR 走完整流程

結語

CSR 產生 → CA 核發 → IIS 匯入，三步驟缺一不可。建立標準化 SOP、妥善保管私鑰、定期換發（建議 1-2 年），是維持 HTTPS 服務可信度的基石。