在Windows域中通过GPO将根CA证书部署至“本地计算机\受信任的根证书颁发机构”存储区，需使用DER格式.cer文件，配置于计算机配置策略下，执行gpupdate /force后通过certlm.msc验证。
在windows域环境中，通过组策略（gpo）将受信任的根证书颁发机构（root ca）证书部署到所有域成员计算机，是实现统一身份认证、https内部服务信任、代码签名验证等场景的基础操作。关键在于把证书正确导入到“本地计算机\受信任的根证书颁发机构”证书存储区，且策略需作用于计算机配置而非用户配置。
准备证书文件
确保你拥有待分发的根CA证书，格式应为DER编码的.cer文件（推荐）或Base64编码的.crt。避免使用.pfx（含私钥），因根证书分发仅需公钥部分。可双击证书→“详细信息”→“复制到文件”向导导出；勾选“不导出私钥”，选择“DER编码二进制X.509(.CER)”格式保存。
创建并配置GPO
在域控制器上打开组策略管理控制台（GPMC），右键目标OU（如“Domain Controllers”或“Workstations”）→“在此域中创建GPO并在此处链接”，命名如“Deploy-Root-CA-Cert”。右键该GPO→“编辑”，依次导航：
- 计算机配置 → 策略 → Windows设置 → 安全设置 → 公钥策略 → 受信任的根证书颁发机构
- 右键空白处→“导入”，选择已准备好的.cer文件
- 确认导入后，证书会出现在列表中，状态为“已启用”
验证与生效
GPO默认每90分钟刷新一次（计算机启动时和后台刷新）。可手动触发更新：
- 在目标客户端执行：gpupdate /force（需管理员权限）
- 检查证书是否到位：运行certlm.msc → 展开“受信任的根证书颁发机构”→“证书”，查找对应颁发者名称
- 验证策略应用状态：命令行运行gpresult /h report.html，查看HTML报告中该GPO是否已应用到该计算机
注意事项
若证书未生效，常见原因包括：
- GPO链接位置错误（如误链接到用户OU，或未启用“已启用”状态）
- 目标计算机不在GPO作用域（安全筛选或WMI筛选限制了应用对象）
- 证书被重复导入导致冲突（建议先清理旧版本再重新部署）
- 客户端时间偏差过大，影响证书有效期校验（需确保域时间同步正常）
不复杂但容易忽略。
