windows server 2016 SSL 自签名证书

### 如何在 Windows Server 2016 上生成 SSL 自签名证书

#### 准备 OpenSSL 环境
为了能够在 Windows Server 2016 中顺利运行 OpenSSL 命令来创建自签名证书，需先安装 OpenSSL 并配置环境变量以便于命令行调用。通常情况下，可以从官方网站下载适用于 Windows 的 OpenSSL 版本并完成安装过程。

#### 创建必要的文件夹结构与配置文件调整
由于某些版本的 OpenSSL 可能会遇到加载默认配置信息失败的问题，在 C:\ 下建立 `openssl` 文件夹及其子文件夹 `ssl` 是一种解决方案，并将 OpenSSL 安装包中的 `openssl.cnf` 配置文件复制到新建的 ssl 文件夹中[^4]。

#### 使用 OpenSSL 生成私钥和 CSR 请求
通过命令提示符输入如下指令可以生成 RSA 私钥：

openssl genrsa -out server.key 2048

这一步骤将会生产一个名为 `server.key` 的文件作为服务器使用的私钥[^3]。

接着利用刚刚产生的私钥制作证书签署请求 (CSR)，虽然对于自签发证书来说这不是必需的过程，但在实际环境中这是申请正式 CA 认证时所需的步骤之一:

openssl req -new -key server.key -out server.csr

此时系统会询问一系列关于组织的信息用于构建 X.509 属性字段；这些数据可以根据实际情况填写或留为空白以继续下一步操作。

#### 构建自签名证书
最后一步就是基于上述准备好的材料来构造最终要部署给 Nginx 或其他服务端应用的 PEM 编码格式的公有证书了。这里设置有效期为一年（即365天），当然也可以根据需求修改这个参数值：

openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt

至此便完成了整个流程中最核心的部分——SSL/TLS 自签名证书的制造工作[^1]。

为了让局域网内的客户端能够识别此证书而不报警告，则需要手动导出 `.crt` 文件并通过组策略或其他方式将其导入受信根证书颁发机构列表里去[^2]。