华为云安装iis证书

华为云的云安服务器上配IIS证书，说难不难，装i证书说简单也有一堆坑。云安我上周刚给客户的装i证书电商站弄完，前后折腾了两个小时，云安核心问题就卡在证书格式转换上。装i证书

华为云SSL证书管理后台下载的云安默认是Nginx格式，一个PEM文件加一个KEY文件。装i证书但IIS要的云安是PFX格式，还得带密码。装i证书很多人直接拿PEM往IIS里导，云安系统提示格式错误，装i证书然后就懵了。云安

转换其实用OpenSSL一条命令就能搞定。装i证书在本地装个OpenSSL，云安或者直接用华为云网页上的在线工具都行。命令长这样：openssl pkcs12 -export -out server.pfx -inkey server.key -in server.pem。执行的时候会要求你设置导出密码，这个密码别乱设，等会儿导入IIS的时候要用的，最好记在备忘录里。

拿到PFX文件后，登录华为云控制台，找到你的服务器实例，确认安全组里443端口是放开的。这一步很多人忽略，结果证书装好了，外网访问还是打不开，排查半天发现是安全组规则没配。华为云默认安全组只开80和22，443得手动加一条。

接着远程桌面连上服务器。打开IIS管理器，左侧点服务器名称，中间区域找到“服务器证书”图标，双击进去。右侧操作栏点“导入”，浏览选中刚才的PFX文件，输入你设的密码。这里有个细节——如果密码里有特殊字符，比如$或者!，IIS有时候会解析出错，建议密码只用字母和数字。

导入成功后，还要把证书绑定到网站。在IIS左侧展开“网站”，选中你的站点，右侧点“绑定”。如果列表里没有443的条目，就点“添加”，类型选https，端口443，SSL证书选你刚导入的那个。如果有旧的443绑定，先删掉再重新添加，不然可能绑错证书。

绑定完别急着关窗口。直接在浏览器里输https://你的域名测试一下。如果浏览器提示不安全，多半是证书链不完整。华为云下载的PEM文件有时候只包含服务器证书，没有中间证书。这种情况得去华为云SSL证书详情页，把“证书链”那个文件也下载下来，和服务器证书合并成一个PEM再重新转PFX。

合并的命令是cat server.pem ca.pem > fullchain.pem，然后再用fullchain.pem去转PFX。我上次就是栽在这步，搞了半天才发现是少了个中间证书。

最后记得重启一下IIS服务。命令行输入iisreset，等几秒再访问。如果还不行，看下服务器事件查看器里的日志，常见错误是“证书私钥不存在”——这通常是因为导入PFX时没勾选“允许导出私钥”选项。重新导入一次，把那个复选框勾上就行。

整个过程熟练的话十分钟搞定，第一次操作预留一小时比较稳妥。别被那些专业术语吓到，按步骤走，遇到报错就搜报错信息，基本都能解决。