最稳妥方式是通过组策略将企业CA根证书推送至“本地计算机\受信任的根证书颁发机构”。需导出DER编码.cer文件，配置于计算机配置下，链接GPO至目标OU，并验证证书存在及HTTPS访问正常。

直接在域环境中用组策略（gpo）把企业自建ca的根证书推送到所有域成员计算机的“本地计算机\受信任的根证书颁发机构”存储区，是最稳妥、可批量管理的方式。关键点在于：证书必须放对位置、策略必须配在计算机配置下、文件格式要选der编码的.cer。

准备正确的根证书文件

从你的企业CA导出根证书时，不能用.pfx（含私钥），也不能用PEM/Base64格式的.crt（虽然有时能导入，但稳定性差）。必须用双击证书→“复制到文件”向导→勾选“不导出私钥”→选择“DER编码二进制X.509(.CER)”保存。导出后文件后缀是.cer，大小通常为1–2KB，用记事本打开应显示乱码（说明是二进制格式）。

在GPO中正确导入证书

打开域控制器上的“组策略管理控制台（GPMC）”，新建一个GPO（例如命名“Deploy-Internal-Root-CA”），右键编辑，然后按路径进入：

• 计算机配置 → 策略 → Windows设置 → 安全设置 → 公钥策略 → 受信任的根证书颁发机构
• 右键空白处 → “导入” → 浏览选中刚才准备好的.cer文件 → 一路下一步完成
• 导入成功后，该证书会出现在列表中，状态栏显示“已启用”

链接并应用GPO

GPO创建后不会自动生效，需手动链接到目标OU：

• 在GPMC中，右键你要覆盖的组织单位（如“Workstations”或“Servers”）→“链接现有GPO”→选中刚建的策略
• 确认该GPO的“已启用”状态为开启，且安全筛选中包含“Domain Computers”组（默认已包含）
• 若只希望部分机器接收，可通过WMI筛选或调整安全筛选，但常规部署建议保持默认范围

验证是否生效

在任一目标域成员机上以管理员身份执行：

• 运行 gpupdate /force 强制刷新策略
• 运行 certlm.msc 打开本地计算机证书管理器 → 展开“受信任的根证书颁发机构”→“证书” → 查找对应颁发者名称（如CN=MyCorp Enterprise Root CA）
• 额外验证：访问由该CA签发证书的内部HTTPS服务（如内网Git、K8s Dashboard），浏览器不应再提示“证书不受信任”