用於內部 https 的最佳證書

我正在幫助一個大型教堂提供一些 IT 東西，他們有很多內部安全連接，例如安全攝像頭或想要使用 https 的 UniFi AP 控制器。當然，每個人都會收到不安全/非私人的警告資訊。

他們不可能為這些設計支付證書費用。所以我唯一的想法是自我簽名……我應該做什麼以及最好的做法是什麼。如果我自己簽名，我應該從域控制器執行嗎？真的有關係嗎？

我將如何設置那些值得信任的？我可以使用組策略（0 經驗這樣做）來安裝這些嗎？

證書是否影響了實際的ssl，或者缺少證書。

編輯：這些設備中的大多數都不會被外部訪問。如果是，那將是通過 VPN。我的問題是內部設備，它不能通過網際網路訪問。

謝謝

在這種情況下，我建議安裝 Active Directory 證書服務（企業根 CA 角色），並使用預設 WebServer 證書模板向您的 SSL/HTTPS 伺服器頒發 SSL 證書。ADCS 自動將其證書發佈到 Active Directory，因此在下一次組策略更新後，它受到 Active Directory 林的任何成員的信任。這包括 CryptoAPI 客戶端、Internet Explorer 和許多第 3 方客戶端（FireFox 和 Opera 瀏覽器除外，您必須手動或通過 ADM 模板為 FireFox 配置證書信任）。更多細節：

安裝根證書頒發機構

帶有 SAN 擴展的 Web 伺服器證書註冊

引用自：https://serverfault.com/questions/701062