必须将CA根证书安装到“受信任的根证书颁发机构”存储区：①双击.cer文件，选“本地计算机”，指定存储为“受信任的根证书颁发机构”；②命令行用certmgr /add /s /r localMachine root（需管理员权限）；③MMC中添加“计算机账户”证书单元后导入验证。
要在Windows系统中让浏览器或应用程序信任某个自签名或私有CA签发的网站、内网服务或测试环境证书，必须先将该CA的根证书安装到“受信任的根证书颁发机构”存储区，否则会持续弹出安全警告或连接失败。
双击安装法（适合单个.cer文件）
直接双击下载好的根证书文件（如 ms.local.cer 或 ContosoRoot.cer），系统会启动证书导入向导。
在“证书导入向导”窗口中，点击【下一步】。
选择【本地计算机】→ 点击【下一步】。这一步不可选“当前用户”，【因为只有本地计算机级别的根证书存储才被系统级服务、IIS、Edge、Chrome（通过Windows证书库）等全局信任】。
勾选【将所有的证书都放入下列存储】→ 点击【浏览】→ 在弹出列表中明确选择【受信任的根证书颁发机构】→ 确定→ 下一步→ 完成。
若中途误选了“个人”或“中间证书颁发机构”，证书不会生效，需手动删除后重装。
命令行批量安装法（适合IT管理员或自动化场景）
以管理员身份打开命令提示符或PowerShell。
执行 certmgr.exe 命令导入：certmgr /add "C:\path\to\root.cer" /s /r localMachine root
其中 /s 表示操作系统证书存储，/r localMachine 指定目标为本机而非当前用户，root 是目标存储名称。路径中含空格时必须用英文双引号包裹。
成功后输出 “CertMgr Succeeded”。若提示“Access is denied”，说明未以管理员权限运行——【此操作必须提升权限，普通用户无法写入本地计算机根存储】。
MMC控制台手动管理（适合验证、排查或删除）
按 Win + R，输入 mmc，回车打开 Microsoft 管理控制台。
菜单栏 → 文件 → 添加/删除管理单元 → 左侧选“证书” → 点击“添加” → 选择“计算机账户” → 下一步 → 选“本地计算机” → 完成 → 确定。
左侧展开：证书（本地计算机）→ 受信任的根证书颁发机构 → 证书。
右侧空白处右键 → 所有任务 → 导入 → 按向导选择你的.cer文件 → 存储位置务必确认为“受信任的根证书颁发机构” → 完成。
导入后，可在该列表中看到新证书，双击可查看详细信息，包括颁发者、有效期和指纹。若证书显示“已停用”或图标带红叉，说明导入失败或被系统策略拦截。
