AD CS 是 Windows Server 提供的企业级 PKI 解决方案，用于签发和管理内部证书；SSL 证书配置则是为 IIS 等服务启用 HTTPS 的具体操作，需确保证书导入“本地计算机→个人”存储、私钥完整、HTTP.SYS 正确注册及中间证书链齐全。
windows 证书服务（active directory certificate services，ad cs）和 ssl 证书配置是两件相关但用途不同的事：前者是企业级 pki 基础设施，用于签发、管理和吊销内部证书；后者是为 web 服务（如 iis、nginx）启用 https 所需的具体操作，可依赖 ad cs 签发的证书，也可使用公有 ca（如腾讯云、let's encrypt）颁发的证书。
Windows 证书服务（AD CS）不是必须启用的
绝大多数中小网站或应用无需部署 AD CS。它适合有域控环境、需批量管理内网服务证书（如 LDAP、RDP、内部 API）的企业场景。若仅需对外提供 HTTPS 网站，直接申请公有证书更简单、兼容性更好，浏览器天然信任。
- 启用 AD CS 需要域控制器、规划 CA 层级、维护吊销列表（CRL）、配置证书模板——运维成本高
- 公有证书（如腾讯云免费版、ZeroSSL）自动被主流浏览器信任，无须客户端手动安装根证书
- AD CS 签发的证书默认不被公网浏览器信任，除非你已将根 CA 证书推送到所有用户设备
IIS 绑定 SSL 证书的关键动作
在 Windows Server 上让 IIS 正常启用 HTTPS，核心不在“装证书”，而在三件事是否到位：证书导入位置正确、私钥权限完整、HTTP.SYS 已注册绑定。
Windows TTS (WSL2)
下载
在 Windows 11 上"直接发声"的 TTS（从 WSL2/TUI 调用 powershell.exe + System.Speech）。适用于用户说"说出来/读出来/语音播报/用TTS"，或反馈"没声音/tts 生成的 mp3 是空的/播不出来"，以及需要中文语音但 OpenClaw 内置 tts 不可用时。
- 证书必须导入到 本地计算机 → 个人 存储（用 certlm.msc，不是 certmgr.msc），否则 IIS 管理器看不到
- 导入时勾选“标记私钥为可导出”，导入后检查证书图标——带小钥匙才表示私钥关联成功
- 绑定完成后，运行
netsh http show sslcert查看是否有0.0.0.0:443条目；没有则需手动执行netsh http add sslcert ...注册 - 防火墙必须放行 TCP 443，且规则作用域设为“任何位置”，不能只限“专用网络”
证书链不完整导致浏览器报错
Edge 或 Chrome 显示“您的连接不是私密连接”，大概率不是证书无效，而是中间 CA 证书未随站点证书一并发送。
- IIS 默认只发送站点证书，不自动包含中间证书；需手动将中间证书（通常随 PFX 一起提供，或从 CA 官网下载）导入到 本地计算机 → 中间证书颁发机构
- 验证方式：双击已导入的站点证书 → “证书路径”选项卡 → 所有节点应显示绿色对勾，“此证书已通过验证”
- 若路径中断（如某一级显示“此证书由未知权威颁发”），说明对应中间证书缺失，需补全
Nginx 或其他非 IIS 服务的证书配置要点
Windows 下 Nginx、Apache 等服务不依赖 Windows 证书存储，而是直接读取 PEM 格式文件，配置更轻量但需注意路径与格式。
- 证书文件（.crt 或 .pem）应包含站点证书 + 中间证书（拼接顺序：站点证书在前，中间证书在后）
- 私钥文件（.key）必须是未加密的 PEM 格式；若含密码，Nginx 启动会卡住，需用
openssl rsa -in key.pem -out key_unencrypted.pem去密 - nginx.conf 中路径用双反斜杠或正斜杠均可，但避免中文、空格、长路径；推荐放在
C:\nginx\cert\这类简洁目录 - 务必确认
listen 443 ssl;已启用，且ssl_certificate和ssl_certificate_key路径指向正确文件
