为 IIS 托管的网站设置 HTTPS 不再是一项复杂的任务。有了 ACME 协议和Win-ACME 等工具，您现在可以自动签发和更新可信 SSL 证书，甚至是商业证书颁发机构 (CA) 的证书。
在本指南中，你将学习如何使用 Win-ACME (WACS)在 Windows IIS 上安装 ACME SSL 证书，并完全支持外部账户绑定 (EAB)、自定义 ACME 目录和多域设置。此过程适用于商业环境和商业 ACME 兼容 CA。
开始之前
您必须拥有 Windows 服务器的管理员访问权限（通过 RDP 或本地登录）。
您的 IIS 网站在运行时应至少为域配置了 HTTP（80 端口）绑定。Win-ACME 将其用于 HTTP-01 域名验证。
您应该已经从 CA 收到了以下信息：
- ACME 目录 URL
- 一个 EAB 关键标识符（EAB KID）
- EAB HMAC 密钥
步骤 1 – 下载并设置 Win-ACME
- 请访问 Win-ACME 官方发布页面： https://www.win-acme.com/
- 下载最新稳定版 ZIP 压缩包。
- 将内容解压缩到一个安全的位置，最好是C:\Program Files\Win-ACME\
- 运行 C:\Program Files\Win-ACME\wacs.exe
如果打开的命令提示符带有 Win-ACME 选项，就可以使用了。
步骤 2 – 通过 ACME 申请和安装证书
您将使用 PowerShell，在 Win-ACME 的命令行界面上签发和安装 SSL 证书。
下面是完整的命令模板：
& "C:\Program Files\Win-ACME\wacs.exe" `
--source iis `
--host "yourdomain.com,www.yourdomain.com" `
--store certificatestore `
--installation iis `
--baseuri "https://your.acme-server.com/v2/DV" `
--eab-key-identifier "YOUR_EAB_KID" `
--eab-key "YOUR_EAB_HMAC_KEY" `
--accepttos
旗帜分类：
- –source iis：扫描 IIS 以查找可用站点，自动进行验证。
- –host：以逗号分隔的域名列表（如有多个，请使用引号）。
- –store certificatestore：将证书保存在 Windows 证书存储中。
- –installation iis：将证书自动绑定到 IIS 中的网站。
- –baseuri： CA 的 ACME 目录 URL。
- –EAB-KEY-标识符：您在 CA 中的 EAB KID。
- –eab-key： CA 提供的 EAB HMAC 密钥。
- –accepttos：自动接受 CA 的服务条款。
小贴士如果出现问题，请在最后添加–verbose。它会提供详细的日志，以便排除故障。
第 3 步 – 确认证书安装
命令成功运行后，请在浏览器中访问您的网站。你应该能看到一个带有有效证书的安全连接。确认 IIS 中存在 HTTPS 绑定：
- 打开服务器管理器
- 转到工具 →IIS 管理器
- 导航至[您的服务器名称]→站点 →[您的站点]→绑定
你应该会看到一个分配了正确证书的 443 端口条目。
步骤 4 – 验证续订配置
Win-ACME 会自动在Windows 任务调度程序中为证书更新安排任务。
要查看当前的 ACME 续订计划，请运行
& "C:\Program Files\Win-ACME\wacs.exe" --list --baseuri "https://your.acme-server.com/v2/DV"
您将看到与指定 ACME 目录绑定的已配置续订列表。
Win-ACME 会跟踪每个 ACME 服务器的证书。如果忘记了 –baseuri，可能会出现没有配置证书的情况。
商业 CA 用户须知
本指南支持任何提供 ACME + EAB 证书的 CA。确保
- 服务器可以访问您的 ACME URL
- 您的 EAB 凭据完全按照提供的内容输入（没有多余的空格）
- 您的域名在发布前指向您的服务器（DNS 必须解析）
最后的话
现在你已经知道如何使用 Win-ACME 和商业证书颁发机构在 Windows IIS 上安装 ACME SSL 证书了。从域验证到 IIS 绑定和自动续期，您的证书都已设置为可靠运行，无需再为手动续期而头疼。
