需按用途选择证书配置方法：根证书导入“受信任的根证书颁发机构”；RDP服务器证书通过注册表或PowerShell绑定指纹；日常管理用certmgr.msc（用户）或certlm.msc（计算机）。
在Windows系统中为特定用途（如远程桌面、网站访问、企业应用）配置安全证书，需根据证书类型和使用场景选择对应方法。系统不提供统一的“设置证书”入口，必须明确证书用途后进入对应管理路径。
将根证书添加到受信任的根证书颁发机构
适用于：手动安装企业自建CA、内部开发测试用根证书，或微软未预置的第三方权威CA根证书。
第一步：双击下载好的 .cer 或 .crt 格式证书文件 → 弹出“证书”对话框 → 点击“安装证书”。
第二步：在证书导入向导中，选择“本地计算机” → 点击“下一步”。【必须选本地计算机，选当前用户会导致部分服务（如IIS、RDP）无法识别该证书】
第三步：在“证书存储”页面，勾选“将所有的证书放入下列存储”，点击“浏览” → 选择“受信任的根证书颁发机构” → 确定 → 下一步 → 完成。
这一步操作完成后，系统会将该根证书加入全局信任链，后续由它签发的所有下级证书（如网站SSL、客户端身份证书）将自动被信任。
为远程桌面服务（RDS）指定自定义服务器证书
适用于：Windows Server或启用RDP的Windows专业版/企业版，需用正式SSL证书替代系统自动生成的自签名证书。
方法一：通过注册表绑定证书指纹
① 在“证书管理单元（本地计算机）”中找到已安装的服务器身份验证证书 → 右键→“属性”→复制“指纹”值（删除所有空格和分隔符，只保留32对十六进制字符）。【注意：Windows注册表要求指纹为纯HEX格式，含空格或字母小写会导致RDP服务启动失败】
② 打开注册表编辑器，定位到：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp
让 Windows 桌面程序在开机时静默自启并隐藏到系统托盘。特别适用于 Flutter、Electron 等无视 VBS/ProcessStartInfo 窗口样式、难以隐藏的顽固应用。提供「VBS 启动器 + Python ctypes/Win32 API」的隐藏窗口方案，可稳定把窗口收进托盘且不闪控制台。
③ 新建一个名为 SSLCertificateSHA1Hash 的 REG_BINARY 值 → 将步骤①中处理后的40字节指纹（例如：429E16E0AF0A02E63C45C93FD52AD0927821B01）以十六进制方式填入 → 重启“远程桌面服务”或重启系统。
方法二：通过PowerShell快速部署（推荐）
以管理员身份运行PowerShell，执行：
Get-ChildItem -Path Cert:\LocalMachine\My | Where-Object {$_.Subject -like "*your-domain.com*"} | ForEach-Object { $thumb = $_.Thumbprint; Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name "SSLCertificateSHA1Hash" -Value ([byte[]]($thumb -split '([0-9A-F]{2})' | Where-Object {$_} | ForEach-Object {[Convert]::ToByte($_,16)})) }
该命令自动匹配域名并注入正确格式指纹，避免手动转换出错。
查看和管理已安装的用户/计算机证书
直接打开证书管理控制台是最高效的日常管理方式。
按 Win+R 输入 certmgr.msc → 回车，打开当前用户的证书库；
按 Win+R 输入 certlm.msc → 回车，打开本地计算机证书库。
在左侧树形结构中可展开查看“个人”、“受信任的根证书颁发机构”、“中间证书颁发机构”等节点，右键对应证书即可执行导出、删除、查看详细信息等操作。
注意：certlm.msc 必须以管理员权限运行才能修改计算机级证书；普通用户只能通过 certmgr.msc 管理自己的证书。
