iis 过期证书续订指南（含两种主流方式）
本文介绍 Windows IIS 环境下 SSL/TLS 证书到期前后的续订策略，重点涵盖两类合规操作路径：一是对仍处于有效期内的证书执行原证续订；二是当证书已过期或需变更配置时，基于原有证书信息申请并部署全新证书，确保 HTTPS 服务持续安全可用。
一、续订现有证书（适用于未到期证书）
⚠️ 注意：此方式仅支持证书尚未过期的情形。一旦证书状态显示“已过期”，系统将禁用续订功能，须转为新证书申请流程。
前提条件：
- IIS Web 服务器与内部或外部证书颁发机构（CA）网络连通正常；
- 操作人员具备本地系统管理员权限。
操作步骤如下：
- 以管理员身份登录 IIS 所在服务器，启动 IIS 管理器（inetmgr）；
- 在左侧连接树中选中服务器节点，双击右侧功能列表中的 “服务器证书”；
- 在证书列表中定位目标证书，点击右侧操作栏的 “续订” 按钮；
- 按向导提示继续，依次确认操作路径（参照图中红色方框标注顺序）；
- 在颁发机构选择界面，勾选原始签发该证书的 CA 实例；
- 点击“完成”，系统将自动向 CA 提交续订请求，并同步更新本地证书存储；
- 续订完成后，请务必进入“四、检查续订证书”环节验证结果；
二、以现有证书为基础申请并部署新证书（支持已过期场景）
该方式适用于证书已失效、需更换密钥对、扩展域名或切换 CA 的情况，流程包含证书请求生成、CA 审核签发及本地安装三阶段。
操作流程如下：
- 启动 IIS 管理器 → 双击“服务器证书” → 选中待更新证书 → 点击“续订”；
- 进入向导后，选择 “创建证书请求” 路径（非直接续订），按红框顺序操作；
- 设置证书请求文件名（如示例“ZSXD”），保存至指定路径；
- 点击“完成”，生成 .req 文件（如 ZSXD.req）；
- 打开该文件，全选并复制 Base64 编码内容；
- 访问企业内网 CA Web 控制台（若 IIS 主机不可达，可在 CA 服务器本地访问）；
- 进入“高级证书申请” → 粘贴请求内容 → 选择模板为 Web Server；
- 提交后下载签发的 Base64 编码证书（.cer 或 .crt 格式）；
- 返回 IIS 管理器 → “服务器证书” → 点击“续订” → 选择 “完成证书续订申请”；
- 浏览并导入上步下载的证书文件；
- 最终通过浏览器访问对应 HTTPS 站点，查验证书有效期与绑定状态；
? 补充说明：
- 若证书已过期且无法续订，应先在 IIS 中删除旧证书，重启 W3SVC 服务，再执行新证书申请流程；
- 推荐结合 IIS 8.5+ 的“证书重新绑定”功能，启用后可实现续订后自动关联站点，避免手动重绑；
- 对于公网域名，亦可选用 win-acme 工具对接 Let’s Encrypt 实现全自动续期（支持通配符与多域名）。
