我正在尝试在IIS 8上实现客户端证书认证。我已经将我的配置部署到开发机器上并验证了它的预期工作。但是在设置服务器后，每当我导航到该站点并提示客户端证书时，我选择它并立即获得403.16错误。失败的请求日志给出错误代码2148204809和消息“证书链已处理，但以信任提供程序不信任的根证书终止。”
我有一个有效的客户端证书和有效的CA证书。CA证书已安装在计算机帐户的受信任根机构上，分别安装在服务器和客户端计算机上，并将客户端证书安装在客户端计算机的当前用户帐户的个人区域中。
客户端证书直接由根CA签名，而且如我所说，两者都有效。链中没有其他证书，在受信任的根机构区域中也没有中间证书。
IIS配置具有sslFlags = SslNegotiateCert，并启用iisClientCertificateMappingAuthentication。
服务器未配置为发送CTL，我们的SendTrustedIssuerList = 0。
我看不出为什么不应信任客户端证书。
Get-Childitem cert:\LocalMachine\root -Recurse |
Where-Object {$_.Issuer -cne $_.Subject}
Get-Childitem cert:\LocalMachine\root -Recurse |
Where-Object {$_.Issuer -cne $_.Subject} |
Move-Item -Destination Cert:\LocalMachine\CA
我在IIS Express中遇到了以下错误：
HTTP错误403.16 - 禁止访问
您的客户端证书不受信任或无效。
查看TraceLogFiles后，我发现了以下错误：
<RenderingInfo Culture="en-US">
<Opcode>MODULE_SET_RESPONSE_ERROR_STATUS</Opcode>
<Keywords>
<Keyword>RequestNotifications</Keyword>
</Keywords>
<freb:Description Data="Notification">BEGIN_REQUEST</freb:Description>
<freb:Description Data="ErrorCode">A certificate chain processed, but terminated in a root certificate which is not trusted by the trust provider.
(0x800b0109)</freb:Description>
</RenderingInfo>
事实证明，当我安装了 Razer Synapse 时，该安装程序还在计算机帐户下的受信任根证书颁发机构中放置了一个 chromasdk.io 的证书。我移除了它，然后一切正常。
分享一下我在Windows 2019服务器和IISExpress结合使用自签名证书的经验。我尝试通过编辑注册表来使其工作，但最终发现并不需要这样做。
以下三个步骤帮助我实现了目标：
使用PowerShell为localmachine证书存储生成根证书：$cert = New-SelfSignedCertificate -Type Custom -KeySpec Signature -Subject "CN=TestRootCert" -KeyExportPolicy Exportable -HashAlgorithm sha256 -KeyLength 2048 -CertStoreLocation "Cert:\LocalMachine\My" -KeyUsageProperty Sign -KeyUsage CertSign
使用PowerShell基于根证书为localuser证书存储生成客户端证书：
New-SelfSignedCertificate -Type Custom -Subject "CN=TestChildCert" -Signer $cert -TextExtension @("2.5.29.37={text}1.3.6.1.5.5.7.3.2","2.5.29.17={text}upn=test@local") -KeyUsage DigitalSignature -KeyAlgorithm RSA -KeyLength 2048 -CertStoreLocation "Cert:\CurrentUser\My"
将根证书从Personal\Certificates移动到Trusted Root Certification\Certificates