在 Windows Server 2019 上，最稳妥的方式是通过 IIS 管理器将 PFX 证书导入到“本地计算机”的个人存储区，然后在站点绑定中勾选 SNI 并指定 443 端口。

快速处理思路

如果不熟悉脚本，直接使用图形界面操作是最快且出错率最低的方式。核心流程只有三步：先在服务器级别导入证书，再配置私钥权限，最后在站点级别绑定端口。

1. 打开 IIS 管理器 -> 服务器证书 -> 导入 (存储到本地计算机)
2. 打开 certlm.msc -> 个人 -> 证书 -> 管理私钥权限 (添加 IIS_IUSRS)
3. 选择站点 -> 绑定 -> 添加 https -> 选择证书 -> 确定

原理说明

IIS 本身不直接读取文件系统中的 .pfx 文件，而是依赖 Windows 系统的证书存储区（Certificate Store）。导入操作是将证书和私钥写入 Windows 证书存储区（Certificate Store），由系统统一管理。IIS 运行时从该位置调用。如果只复制文件而不导入，IIS 无法在绑定列表中找到该证书。

分步处理（图形界面）

步骤 1：导入证书

打开 IIS 管理器（inetmgr），点击左侧服务器节点，双击“服务器证书”。在右侧操作栏点击“导入”，选择 .pfx 文件，输入密码。关键点是确保证书存储在“本地计算机”而非“当前用户”，否则 IIS 工作进程身份可能无法访问该证书，导致 HTTPS 握手失败。

步骤 2：配置私钥权限（关键）

导入成功后，按 Win+R 运行 certlm.msc 打开本地计算机证书管理控制台。展开“个人”->“证书”，找到刚才导入的证书。右键点击证书 -> 所有任务 -> 管理私钥。在安全选项卡中点击“添加”，输入 IIS_IUSRS 并赋予“读取”权限。若缺少此步骤，IIS 可能报错 502.5 或 SSL 握手失败。

步骤 3：绑定域名和端口

展开左侧站点列表，选中目标网站，点击右侧“绑定”。点击“添加”，类型选择"https"，端口填写"443"。在"SSL 证书”下拉框中选择刚才导入的证书。如果同一端口有多个域名，务必勾选“需要服务器名称指示 (SNI)”。

PowerShell 自动化方案

对于 Server Core 环境或批量部署，可使用 PowerShell 脚本。需确保已安装 WebAdministration 和 PKI 模块。

# 1. 导入证书到本地计算机存储区
$pwd = ConvertTo-SecureString -String "YourPassword" -Force -AsPlainText
Import-PfxCertificate -FilePath "C:\cert.pfx" -CertStoreLocation Cert:\LocalMachine\My -Password $pwd

# 2. 获取证书指纹 (Thumbprint)
$cert = Get-ChildItem Cert:\LocalMachine\My | Where-Object {$_.Subject -like "*yourdomain*"}
$thumbprint = $cert.Thumbprint

# 3. 创建 HTTPS 绑定
New-WebBinding -Name "Default Web Site" -Protocol https -Port 443 -SslFlags 1

# 4. 关联证书指纹
Set-WebBinding -Name "Default Web Site" -Protocol https -Port 443 -AttributeName sslFlags -AttributeValue 1
# 注意：PS 设置证书指纹通常需操作 netsh 或使用 IIS 提供程序，建议 GUI 绑定或查阅特定模块文档

注意：PowerShell 导入后仍需手动或通过脚本配置私钥权限（ACL），否则仍无法访问。建议生产环境导入后通过 certlm.msc 确认权限。

验证方法

完成配置后，请使用以下命令进行验证，确保不仅页面能打开，且协议层正常。

1. 本地连通性测试

Test-NetConnection -ComputerName yourdomain.com -Port 443

若 TcpTestSucceeded 为 True，说明端口通畅。

2. SSL 握手验证

curl -kv https://yourdomain.com

观察输出中是否有 SSL connection using 字样，且无 certificate verify failed 错误。

3. IIS 绑定检查

Get-WebBinding | Where-Object {$_.protocol -eq "https"}

确认 bindingInformation 中包含 :443: 且 certificateHash 不为空。

常见坑与排查

1. 证书存储位置错误：导入时若选错存储区（如选成当前用户），IIS 可能看不到证书。
2. 私钥权限缺失：最常见错误。表现为浏览器访问提示“无法显示此页面”或日志中事件 ID 为 502.5。解决方法：按步骤 2 添加 IIS_IUSRS 读取权限。
3. 缺少 SNI 勾选：同一服务器多个 HTTPS 站点未勾选 SNI 会导致端口冲突，第二个站点无法绑定。
4. 中间证书缺失：PFX 应包含完整证书链，否则部分客户端（尤其是 Android 或旧版 Windows）会报不安全。
5. 防火墙拦截：确保服务器防火墙已放行 443 端口，可使用 netstat -ano | findstr :443 确认监听状态。

参考来源

• Microsoft Learn, Configure SSL on IIS, https://learn.microsoft.com/en-us/iis/manage/configuring-security/how-to-set-up-ssl-on-iis
• Microsoft Learn, Import-PfxCertificate, https://learn.microsoft.com/en-us/powershell/module/pki/import-pfxcertificate?view=windowsserver2019-ps