必须将自签名根证书导入Windows系统级“受信任的根证书颁发机构”存储区才能消除证书警告，推荐使用certlm.msc、双击安装或certutil命令三种方法，其中certlm.msc最稳妥，certutil适用于批量部署。

当你访问内部系统、测试环境或使用 RemoteApp 服务时，浏览器或应用反复弹出“证书不受信任”警告，说明你的 Windows 电脑尚未信任该服务所用的自签名根证书。必须将该证书手动导入系统级“受信任的根证书颁发机构”存储区，才能彻底消除警告并建立安全连接。

用证书管理控制台（certlm.msc）精确导入

这是最稳妥的方法，适合对证书存储位置有明确要求的场景，比如企业IT部署或开发调试环境。

第一步：按 Win + R 打开运行框，输入 certlm.msc 并回车——注意不是 certmgr.msc，后者只管理当前用户证书，而根证书必须装进本地计算机存储才对所有应用生效。

第二步：在左侧面板依次展开「受信任的根证书颁发机构」→「证书」，右键「证书」文件夹，选择「所有任务」→「导入」。

第三步：点击「下一步」→「浏览」，定位并选中你的根证书文件（.cer 或 .crt 格式）。【务必确认文件类型下拉框显示为“所有文件”或已识别到.cer/.crt扩展名，否则可能无法选中】

第四步：点击「下一步」后，勾选「将所有的证书放入下列存储」，再点「浏览」→ 勾选「受信任的根证书颁发机构」→「确定」→「下一步」→「完成」。

双击证书文件快速安装

适合单次操作、不熟悉命令行的用户，但默认会把证书装进“当前用户”存储，若要全局生效，必须手动改位置。

方法一：在文件资源管理器中找到下载好的根证书（如 ms.local.cer），双击打开。

方法二：在弹出的证书窗口中点击「安装证书」→ 选择「本地计算机」→ 点击「下一步」→ 选择「将所有的证书放入下列存储」→ 点击「浏览」→ 勾选「受信任的根证书颁发机构」→「确定」→「下一步」→「完成」。

方法三：如果跳过「浏览」直接点「下一步」，系统会默认存入「当前用户」的受信任根证书区，此时 Chrome、Edge 可能仍报错，因为它们依赖本地计算机存储。

用 certutil 命令行静默导入

适用于批量部署、无图形界面服务器（如 Windows Server Core）或自动化脚本场景，执行后无界面提示，需人工验证结果。

以管理员身份打开命令提示符或 PowerShell。

执行命令：certutil -addstore "Root" C:\path\to\your\certificate.cer，其中路径必须是绝对路径，不能用相对路径或桌面快捷方式。

若返回 CertUtil: -addstore 命令成功完成，表示写入成功；若提示“拒绝访问”，说明未以管理员身份运行。

验证是否生效：运行 certutil -store "Root" | findstr /i "证书主题"，检查输出中是否包含你证书的颁发者名称（Subject 或 Issuer 字段）。