记录 SharePoint Server 通过 IIS 配置 HTTPS（SSL）的过程。
本文以单机测试环境为例，证书使用 IIS 创建的自签名证书。正式环境建议使用企业内部 CA 或公网 CA 证书。
注意
本文中的证书、主机名和 IP 仅为示例。配置前应先确定 SharePoint Web 应用的访问地址，并确保该地址能够解析到 SharePoint 服务器。
IIS 自签名证书适合实验环境。它通常不被客户端默认信任，并且 IIS“创建自签名证书”生成的 Subject/CN 不能在界面中直接修改。证书主机名、SAN、EKU 和 IIS 绑定必须与实际访问地址匹配。
一、准备工作
1. 确定访问地址
本文示例使用：
https://WIN-1NMHTJKVJBO/如果使用完整域名，例如：
https://WIN-1NMHTJKVJBO.ms.test.com/则需要在 DNS 中配置 A 记录，或在测试客户端的 hosts 文件中添加解析：
<SharePoint服务器IP> WIN-1NMHTJKVJBO.ms.test.com客户端可以使用下面的命令验证解析：
nslookup WIN-1NMHTJKVJBO.ms.test.com2. 确认 IIS 和 SharePoint 状态
确认以下服务和页面正常：
- IIS 管理器可以正常打开；
- SharePoint 管理中心可以访问；
- 目标 SharePoint Web 应用当前可以通过 HTTP 访问；
- 当前用户具有服务器、IIS 和 SharePoint 管理权限。
建议先记录原有 HTTP URL、端口和 IIS 站点名称，便于回滚。
二、在 IIS 中创建证书
-
打开 IIS 管理器。
-
在左侧选中服务器节点。
-
双击 服务器证书。
-
在右侧操作栏点击 创建自签名证书。输入便于识别的友好名称，例如：
textSharePoint HTTPS 或者 SPCert -
证书存储选择 个人。
-
点击确定，返回服务器证书列表，确认新证书已经出现。
证书检查
双击新证书，在“详细信息”中检查：
- 颁发给（Subject）；
- 颁发者（Issuer）；
- 有效期；
- 使用者备用名称（SAN）；
- 增强型密钥用法（EKU）是否包含 服务器身份验证（Server Authentication）。
IIS 自签名证书的“颁发给”和“颁发者”相同是正常的，因为它由自身签发。友好名称只是显示名称，不会修改证书 CN。
三、将证书导出并导入 SharePoint 证书管理
SharePoint 需要信任用于 HTTPS 的证书。按照 SharePoint 版本和管理方式，可以通过管理中心的“管理信任”导入证书；也可以使用 SharePoint PowerShell 配置可信根证书。本文先记录管理中心图形界面流程。
1. 从 IIS 导出证书公钥
-
在 IIS“服务器证书”列表中双击目标证书。
-
切换到“详细信息”页。
-
点击 复制到文件，启动证书导出向导。
-
选择 不，不要导出私钥。
-
选择 DER 编码二进制 X.509 (.CER)。
-
指定导出路径，例如：
-
完成导出。
这里导出的是用于建立信任的公钥证书。不要在没有明确需求的情况下导出私钥；私钥应留在 IIS 服务器并受到保护。
2. 在 SharePoint 管理中心导入证书
-
打开 SharePoint 管理中心。
-
进入 安全性 → 管理信任。
-
点击 新建。
-
填写信任关系名称，例如：
textSharePoint HTTPS Certificate -
在根证书/证书文件处选择刚才导出的
.cer文件。
-
提交并保存。
-
返回“管理信任”列表，确认新信任关系已经出现。
多服务器场
多台 SharePoint/IIS 服务器组成服务器场时，应确认相关服务器都安装了证书链，并且每台承载该 Web 应用的 IIS 服务器都正确配置了证书和 HTTPS 绑定。
四、为 SharePoint 网站添加 IIS HTTPS 绑定
-
打开 IIS 管理器。
-
展开左侧 网站，选择承载 SharePoint Web 应用的站点。
-
在右侧操作栏点击 绑定…。
-
点击 添加。
-
填写：
- 类型：
https - IP 地址：选择实际服务 IP，或按环境选择“全部未分配”；
- 端口：通常为
443； - 主机名：填写实际访问域名。若使用主机名绑定，确认是否需要启用 SNI；
- SSL 证书：选择刚创建或申请的证书。
- 类型：
-
点击确定保存。
-
在“网站绑定”列表中确认 HTTPS 绑定已经出现。
绑定注意事项
- 访问地址必须与证书 SAN 中的 DNS 名称一致；
- 多个网站共用
IP:443时，需要使用不同 IP 或正确配置 SNI； - 如果通过短主机名访问，证书 SAN 也应包含短主机名；
- 如果只配置 IIS 绑定而没有配置 SharePoint URL/备用访问映射，可能出现重定向、链接生成或身份验证异常。
五、配置 SharePoint 备用访问映射
如果 HTTPS URL 是 SharePoint 对外提供的新访问地址，需要在 SharePoint 中配置对应的备用访问映射（Alternate Access Mappings，AAM）。
-
打开 SharePoint 管理中心。
-
进入 系统设置 → 配置备用访问映射。
-
选择对应的 Web 应用。
-
为 HTTPS 区域添加实际访问 URL，例如：
texthttps://WIN-1NMHTJKVJBO或：
texthttps://WIN-1NMHTJKVJBO.ms.test.com -
保存配置。
-
检查默认区域和 Internet/Intranet 区域是否符合当前部署方式。
AAM 中的 URL 应与用户实际访问的 URL、DNS、证书 SAN 和 IIS 绑定保持一致，不要只修改其中一处。
六、验证 HTTPS
1. 浏览器验证
访问：
https://WIN-1NMHTJKVJBO/检查：
- 页面是否能够打开；
- 地址栏是否使用 HTTPS；
- 是否发生异常重定向；
- SharePoint 页面中的链接是否仍大量指向 HTTP；
- 登录、站点导航和管理中心是否正常。
自签名证书可能会出现“不受信任”提示。测试环境可以将证书或签发它的根证书导入客户端的“受信任的根证书颁发机构”；正式环境应使用受信任的企业 CA 或公网 CA。
2. 服务器侧验证
查看 IIS HTTPS 绑定：
netsh http show sslcert查看 DNS：
nslookup WIN-1NMHTJKVJBO
nslookup WIN-1NMHTJKVJBO.ms.test.com必要时确认 Windows 防火墙已允许 TCP 443 入站。
七、常见问题
1. DNS_PROBE_FINISHED_NXDOMAIN
域名没有 DNS 记录。配置内部 DNS A 记录，或在测试客户端的 hosts 文件中添加映射，然后执行：
ipconfig /flushdns2. ERR_CERT_AUTHORITY_INVALID
客户端不信任自签名证书或内部 CA。将根证书导入客户端的“受信任的根证书颁发机构”，或改用受信任 CA 证书。
3. ERR_CERT_COMMON_NAME_INVALID
访问地址不在证书的 SAN 中。重新申请/生成证书，确保 SAN 包含浏览器地址栏中的完整主机名。现代浏览器主要依据 SAN 校验证书名称。
4. ERR_SSL_KEY_USAGE_INCOMPATIBLE
证书的 Key Usage/EKU 不适合作为 IIS HTTPS 服务端证书。应使用包含 Server Authentication 的服务器证书，不要继续绑定用途不正确的普通自签名证书。
5. 绑定保存失败或访问超时
检查：
- TCP 443 是否被其他程序占用；
- IIS 站点是否启动；
- IP、端口、主机名和 SNI 是否配置正确；
- Windows 防火墙和网络连通性；
netsh http show sslcert显示的 SSL 绑定是否正确。
6. 页面能打开但 SharePoint 链接异常
检查 SharePoint 备用访问映射、Web 应用 URL 以及是否存在硬编码的 HTTP 地址。不要只修改 IIS 绑定而忽略 SharePoint 自身的 URL 配置。
八、正式环境建议
IIS 自签名证书只建议用于实验和临时验证。正式环境建议：
- 使用企业内部 CA 或公网 CA；
- 证书 SAN 覆盖全部实际访问域名；
- EKU 包含
Server Authentication； - 正确分发并信任根证书链；
- 多服务器场统一证书、DNS、IIS 绑定和 AAM 配置；
- 证书到期前建立更新和替换流程。
配置完成后，访问链路应保持一致：
浏览器访问 URL
↓
DNS/hosts 解析
↓
IIS HTTPS 绑定（IP/端口/主机名/证书）
↓
证书名称、SAN、EKU 和信任校验
↓
SharePoint 备用访问映射
↓
SharePoint 页面和资源正常加载