关键在于区分证书用途：受信任的根证书（.cer）导入“受信任的根证书颁发机构”存储区以信任内网HTTPS，客户端证书（.pfx）导入“个人”存储区用于认证加密；均须配置在GPO的“计算机配置”下并链接至目标OU。
用组策略部署数字证书，关键在区分用途：分发“受信任的根证书”是让终端自动信任内网 https 服务；而部署普通数字证书（如客户端身份证书）则用于认证、加密或签名。两者路径、存储位置和配置逻辑不同，不能混用。
明确证书类型与目标存储位置
部署前必须确认证书用途和格式：
- 受信任的根证书：必须是 DER 编码的 .cer 文件（不含私钥），导出时选“DER 编码二进制 X.509”，大小约 1–2KB，用记事本打开显示乱码即为正确格式
- 客户端证书（如用于 EAP-TLS 认证）：通常为 .pfx/.p12，含私钥，需导入到“个人”存储区，且必须配置密码保护和私钥导出权限
- 所有证书都应导入到本地计算机账户的对应存储区，而非当前用户——这样才能被系统服务（IIS、Teams、Edge）、登录前进程和所有用户共用
在 GPO 中正确配置证书导入策略
策略必须建在“计算机配置”下，否则无法写入本地计算机证书存储：
- 打开 GPMC，新建 GPO（如命名 “Deploy-Internal-Root-CA” 或 “Deploy-Client-Auth-Cert”）
- 右键编辑 → 导航至：计算机配置 → 策略 → Windows 设置 → 安全设置 → 公钥策略
- 根据用途选择目标容器：
- 根证书 → 右键 受信任的根证书颁发机构 → “导入”
- 客户端证书 → 右键 个人 → “导入”，并勾选“允许导出私钥”（如需备份或漫游）
- 导入时指定证书文件路径：推荐放在 SYSVOL 共享（如 \domainSYSVOLdomainPoliciesCertificates），避免 UNC 权限问题；本地路径（如 C:Tempcert.cer）也可用，但需确保所有终端可读
链接 GPO 并验证是否生效
策略生效依赖作用域准确和刷新及时：
- 将 GPO 链接到含目标计算机的 OU（如 “Workstations”），切勿链接到用户 OU；检查链接状态为“已启用”
- 客户端以管理员身份运行：gpupdate /force 强制刷新策略
- 验证方式分两层：
- 证书是否到位：运行 certlm.msc（不是 certmgr.msc），展开对应存储区（如“受信任的根证书颁发机构”→“证书”），查找颁发者名称
- 策略是否应用：运行 gpresult /h report.html，打开报告确认该 GPO 出现在“应用的组策略对象”列表中
- 最终验证：访问由该 CA 签发证书的内网 HTTPS 地址（如 https://intranet.contoso.local），浏览器地址栏应显示锁形图标，无安全警告
常见失效原因与快速排查
证书没出现或仍报错，优先检查以下四点：
- GPO 配置在“用户配置”路径下 —— 必须是“计算机配置”
- 目标计算机不在 GPO 链接的 OU 中，或被安全筛选（如排除了 Domain Computers）、WMI 筛选拦截
- 证书重复导入导致冲突 —— 在 certlm.msc 中手动删除旧版本后再执行 gpupdate /force
- 客户端时间偏差超过 5 分钟 —— 影响证书有效期校验，需确保域时间同步正常（w32tm /query /status）
