Windows Server或桌面系统中残留过期SSL证书会导致IIS绑定失败、PowerShell HTTPS请求报错等，需通过Cert:\LocalMachine\My定位并删除含私钥的过期证书，且必须先验证是否被服务引用。
Windows Server或桌面系统中残留大量过期SSL证书，会导致IIS绑定失败、PowerShell HTTPS请求报错、Exchange服务异常，甚至干扰新证书的正确安装和信任链验证。直接在certmgr.msc里删除，往往只清除了当前用户视图，而真正被服务引用的LocalMachine\My存储中的过期证书仍完好无损。
确认哪些证书已过期且位于计算机级存储
以管理员身份打开PowerShell，执行以下命令定位所有过期证书：
Set-Location Cert:\LocalMachine\My → Get-ChildItem | Where-Object { $_.NotAfter -lt (Get-Date) } | Select-Object Subject, Thumbprint, NotAfter
这一步必须用Cert:\LocalMachine\My路径，不能用Cert:\CurrentUser\My——因为IIS、SCCM、WSUS等服务只从计算机级Personal存储读取证书。漏掉这个路径，等于白查。
验证证书是否正被系统服务引用
过期证书若仍在被IIS站点、HTTP.SYS或Exchange使用，强制删除会立即引发503错误或TLS握手失败。先检查绑定关系：
netsh http show sslcert
输出中每一行的“Certificate Hash”字段对应的就是证书指纹（Thumbprint）。把你上一步查出的过期证书Thumbprint逐个比对，只要有一条匹配，就说明该证书正在被HTTP.SYS监听端口占用。
【切勿跳过此步】若发现匹配项，需先在IIS管理器中解除该证书与网站的绑定，或用netsh http delete sslcert ipport=0.0.0.0:443清除绑定，再进行删除。
执行强制删除（含私钥）
方法一：单个删除（推荐用于少量确认无绑定的证书）
Remove-Item -Path 'Cert:\LocalMachine\My\A1B2C3D4E5F6...' -Force -DeleteKey
方法二：批量删除全部过期证书（慎用，仅限确认无任何服务引用后）
$expired = Get-ChildItem -Path Cert:\LocalMachine\My | Where-Object { $_.NotAfter -lt (Get-Date) } → $expired | ForEach-Object { Remove-Item -Path $_.PSParentPath\$_.Thumbprint -Force -DeleteKey }
【-DeleteKey参数不可省略】不加此参数，私钥文件仍残留在%ALLUSERSPROFILE%\Microsoft\Crypto\RSA\MachineKeys目录下，下次导入同指纹证书时会因私钥冲突导致绑定失败。
