如果根 CA 受信任，程式碼簽名證書是否會在整個域中自動受信任？

我們有一個 Microsoft 企業證書頒發機構，我想開始頒發一些程式碼簽名證書。

但我不確定的是：由於我們所有的域/森林機器都信任內部 CA，所以當我頒發程式碼簽名證書時：所有客戶端系統會自動信任程式碼簽名證書以執行任何程式碼，還是我需要將個人使用者的程式碼簽名證書添加到客戶的“受信任的人”商店（就像您可能使用他們的自簽名證書或第三方證書一樣）？

如果您使用受信任的 CA 頒發證書，那麼所有這些證書都將受到您的機器的信任。你可以看看這個頁面。

這取決於…我以前是這樣想的，但後來我們開始使用 System Center Update Manager。在這種情況下，要使證書受信任，即使它來自您的 CA，也需要將其添加到“受信任的發布者”儲存中。

http://mikeshellenberger.wordpress.com/2010/09/02/system-center-updates-publisher-microsoft-pki/

引用自：https://serverfault.com/questions/337074