对于Fedora、Ubuntu、Linux，如果您在使用gui添加证书以添加新的根权限时遇到example.com Not a Certification authority错误。如果您希望信任服务器自签名证书，它不能提及无效的授权。。。即使这是它自己。我只通过信任我的权限并使用该权限密钥对服务器证书进行签名来使其工作。

这是它接受的自签名CA证书。这是我找到绕过cert_authority_invalid的唯一方法，我花了几个小时试图让它接受一个自签名的端点证书，没有雪茄。只要声明为CA:TTRUE，用户界面将接受自签名授权。之后，chrome将接受由具有正确DN的密钥签名的所有证书，而无需单独添加它们。

openssl req-new-x509-extensions v3_req-days 8440-config ca.conf-key rockstor.key-out rockstor.cert

[req]
distinguished_name=dn
req_extensions=v3_req
prompt = no

[v3_req]
basicConstraints=CA:TRUE,pathlen:0
keyUsage = keyEncipherment, dataEncipherment
extendedKeyUsage = serverAuth, clientAuth
subjectAltName=@alt_names

[alt_names]
DNS.1 = ca.tdpowerskills.com

[dn]
C = US
ST = LA
L = Alexandria
O = TDPS Certification Authority
OU = LEARNOPS
CN = ca.tdpowerskills.com

openssl req-new-x509-extensions v3_req-days 8440-config config.conf-key rockstor.key-out rockstor.cert

[req]
distinguished_name=dn
req_extensions=v3_req
prompt = no

[v3_req]
basicConstraints=CA:FALSE
keyUsage = keyEncipherment, dataEncipherment
extendedKeyUsage = serverAuth, clientAuth
subjectAltName=@alt_names
issuerAltName=DNS:ca.tdpowerskills.com

[alt_names]
DNS.1 = big.tdps.app

[dn]
C = US
ST = LA
L = Alexandria
O = TDPS Certification Authority
OU = LEARNOPS
CN = ca.tdpowerskills.com

如果这不起作用：

chrome://restart实际重新启动尝试使用firefox获取有关错误的更多详细信息，它会更好地解释错误。。。当chrome会说ERR_CERTIFICATE_INVALID时，firefox会抛出：MOZILLA_PKIX_ERROR_CA_CERT_USED_AS_END_ENTITY。请记住，chrome现在需要Subject Alternate Name，并且几乎忽略CN。

对于其他人：

certutil-d sql:$HOME/.pki/nssdb-A-t“P，，”-n＜昵称＞-i＜my.crt＞//用于服务器支持certutil-d sql:$HOME/.pki/nssdb-A-t“C，，”-n＜昵称＞-i＜my.crt＞用于CAhttps://blogs.oracle.com/meena/about-trust-flags-of-certificates-in-nss-database-that-can-be-modified-by-certutil对于Firefox，添加异常证书的UI确实有效，一旦你这样做，它就会信任它。也许您在/etc/pki/tls/openssl.cnf中有一些时髦的设置，这些设置与您的配置合并在一起。也许您没有向配置或命令行添加扩展，例如v3_req注意，我的方法只需使用授权密钥签署证书并添加开发服务器的详细信息，就不需要CSR。CSR允许更多密钥用于实际安全。我尝试了一切，但chrome需要具有基本约束CA:true集的权限。服务器证书必须由有效的授权机构签名。。。即使这只是他们用CA签名的另一个证书：true。

WINDOWS 2017年6月WINDOWS Server 2012

我听从了布拉德·帕克斯的回答。在Windows上，您应该在受信任的根证书颁发机构存储中导入rootCA.pem。

我执行了以下步骤：

openssl genrsa -out rootCA.key 4096
openssl req -x509 -new -nodes -key rootCA.key -newkey rsa:4096 -sha256 -days 1024 -out rootCA.pem
openssl req -new -newkey rsa:4096 -sha256 -nodes -keyout device.key -out device.csr
openssl x509 -req -in device.csr -CA rootCA.pem -CAkey rootCA.key -CAcreateserial -out device.crt -days 2000 -sha256 -extfile v3.ext

其中v3.ext为：

authorityKeyIdentifier=keyid,issuer
basicConstraints=CA:FALSE
keyUsage = digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment
subjectAltName = @alt_names

[alt_names]
DNS.1 = localhost
IP.1 = 192.168.0.2
IP.2 = 127.0.0.1

然后，在我的例子中，我有一个自托管的web应用程序，所以我需要将证书与IP地址和端口绑定，证书应该在我的存储库中，并带有私钥信息，所以我导出为pfx格式。

openssl pkcs12 -export -out device.pfx -inkey device.key -in device.crt

使用mmc控制台（文件/添加或删除管理单元/证书/添加/计算机帐户/本地计算机/确定），我在个人存储中导入了pfx文件。

后来我使用这个命令绑定证书（您也可以使用HttpConfig工具）：

netsh http add sslcert ipport=0.0.0.0:12345 certhash=b02de34cfe609bf14efd5c2b9be72a6cb6d6fe54 appid={BAD76723-BF4D-497F-A8FE-F0E28D3052F4}

certhash=证书Thumprint

appid=GUID（您的选择）

首先，我尝试以不同的方式在受信任的根证书颁发机构上导入证书“device.crt”，但仍然收到相同的错误：

但我意识到我应该导入根权限的证书，而不是域的证书。所以我使用mmc控制台（文件/添加或删除管理单元/证书/添加/计算机帐户/本地计算机/OK），在受信任的根证书颁发机构存储中导入了rootCA.pem。

重新启动Chrome，它就可以工作了。

使用localhost：

或IP地址：

我唯一做不到的是，它有过时的密码（图片上的红色方框）。在这一点上，我们非常感谢帮助。

使用makecert，无法添加SAN信息。使用NewSelfSignedCertificate（Powershell），您可以添加SAN信息，它也可以工作。

这对我有用：

使用Chrome，通过HTTPS点击服务器上的一个页面，然后继续浏览红色警告页面（假设你还没有这样做）。打开Chrome设置>显示高级设置>HTTPS/SSL>管理证书。单击“颁发机构”选项卡，然后向下滚动以在您为证书提供的“组织名称”下查找您的证书。选择它，单击“编辑”（注意：在最新版本的Chrome中，该按钮现在是“高级”而不是“编辑”），选中所有框并单击“确定”。您可能需要重新启动Chrome。

你现在应该在你的页面上获得漂亮的绿色锁。

编辑：我在新计算机上再次尝试了此操作，但仅从红色的不受信任证书页面继续，证书就没有显示在“管理证书”窗口中。我必须做到以下几点：

在具有不受信任证书的页面（https://用红色划掉）上，单击锁>证书信息。注意：在较新版本的chrome上，您必须打开“开发人员工具”>“安全”，然后选择“查看证书”。单击“详细信息”选项卡>“导出”。选择PKCS#7，单一证书作为文件格式。然后按照我的原始说明进入“管理证书”页面。单击“权限”选项卡>“导入”，然后选择将证书导出到的文件，并确保选择PKCS#7，单一证书作为文件类型。如果提示证书存储，请选择受信任的根证书颁发机构选中所有复选框并单击“确定”。重新启动Chrome。

在Mac上，您可以使用Keychain Access实用程序将自签名证书添加到系统密钥链，然后Chrome将接受它。我在这里找到了分步说明：

Google Chrome、Mac OS X和自签名SSL证书

基本上：

双击带有X的锁定图标并将证书图标拖放到桌面，打开此文件（以.cer扩展名结尾）；这将打开允许您批准证书的密钥链应用程序。

对于Fedora、Ubuntu、Linux，如果您在使用gui添加证书以添加新的根权限时遇到example.com Not a Certification authority错误。如果您希望信任服务器自签名证书，它不能提及无效的授权。。。即使这是它自己。我只通过信任我的权限并使用该权限密钥对服务器证书进行签名来使其工作。

这是它接受的自签名CA证书。这是我找到绕过cert_authority_invalid的唯一方法，我花了几个小时试图让它接受一个自签名的端点证书，没有雪茄。只要声明为CA:TTRUE，用户界面将接受自签名授权。之后，chrome将接受由具有正确DN的密钥签名的所有证书，而无需单独添加它们。

openssl req-new-x509-extensions v3_req-days 8440-config ca.conf-key rockstor.key-out rockstor.cert

[req]
distinguished_name=dn
req_extensions=v3_req
prompt = no

[v3_req]
basicConstraints=CA:TRUE,pathlen:0
keyUsage = keyEncipherment, dataEncipherment
extendedKeyUsage = serverAuth, clientAuth
subjectAltName=@alt_names

[alt_names]
DNS.1 = ca.tdpowerskills.com

[dn]
C = US
ST = LA
L = Alexandria
O = TDPS Certification Authority
OU = LEARNOPS
CN = ca.tdpowerskills.com

openssl req-new-x509-extensions v3_req-days 8440-config config.conf-key rockstor.key-out rockstor.cert

[req]
distinguished_name=dn
req_extensions=v3_req
prompt = no

[v3_req]
basicConstraints=CA:FALSE
keyUsage = keyEncipherment, dataEncipherment
extendedKeyUsage = serverAuth, clientAuth
subjectAltName=@alt_names
issuerAltName=DNS:ca.tdpowerskills.com

[alt_names]
DNS.1 = big.tdps.app

[dn]
C = US
ST = LA
L = Alexandria
O = TDPS Certification Authority
OU = LEARNOPS
CN = ca.tdpowerskills.com

如果这不起作用：

chrome://restart实际重新启动尝试使用firefox获取有关错误的更多详细信息，它会更好地解释错误。。。当chrome会说ERR_CERTIFICATE_INVALID时，firefox会抛出：MOZILLA_PKIX_ERROR_CA_CERT_USED_AS_END_ENTITY。请记住，chrome现在需要Subject Alternate Name，并且几乎忽略CN。

对于其他人：

certutil-d sql:$HOME/.pki/nssdb-A-t“P，，”-n＜昵称＞-i＜my.crt＞//用于服务器支持certutil-d sql:$HOME/.pki/nssdb-A-t“C，，”-n＜昵称＞-i＜my.crt＞用于CAhttps://blogs.oracle.com/meena/about-trust-flags-of-certificates-in-nss-database-that-can-be-modified-by-certutil对于Firefox，添加异常证书的UI确实有效，一旦你这样做，它就会信任它。也许您在/etc/pki/tls/openssl.cnf中有一些时髦的设置，这些设置与您的配置合并在一起。也许您没有向配置或命令行添加扩展，例如v3_req注意，我的方法只需使用授权密钥签署证书并添加开发服务器的详细信息，就不需要CSR。CSR允许更多密钥用于实际安全。我尝试了一切，但chrome需要具有基本约束CA:true集的权限。服务器证书必须由有效的授权机构签名。。。即使这只是他们用CA签名的另一个证书：true。

在Windows 10上进行本地测试时，上面的答案对我没有帮助

https://localhost:<端口>。

然而，我找到了这个页面，指示要传递的另一个标志：

https://www.chromium.org/blink/serviceworker/service-worker-faq

如果您想在https://localhost使用自签名证书，请执行以下操作：$ ./chrome—允许不安全的本地主机https://localhost

这并没有消除红色警告，但它确实使我能够使用仅限https的功能，如服务工作者和网络推送通知。