#### 20250606

IIS 伺服器憑證中 的憑證儲存區內容為 WebHosting , 可在 certlm 找到嗎? 還是在那裡可以檢視?

在 IIS（Internet Information Services）中，如果你將伺服器憑證安裝到「**Web Hosting**」憑證儲存區（Certificate Store），
這個儲存區是專門為 IIS 使用的，並不是在一般的 `certlm.msc`（本機電腦憑證管理單元）中預設顯示的儲存區之一。

### 如何查看「Web Hosting」憑證儲存區的內容：

#### 方法一：使用 `certlm.msc` 加載「Web Hosting」儲存區
1. 開啟「執行」視窗（Win + R），輸入 `mmc`，按下 Enter。
2. 在 MMC 主控台中，點選「檔案」 > 「新增/移除嵌入式管理單元」。
3. 選擇「憑證」，點選「新增」。
4. 選擇「電腦帳戶」，然後點選「下一步」。
5. 選擇「本機電腦」，然後點選「完成」。
6. 點選「確定」返回主控台。
7. 在左側的憑證樹狀結構中，展開「憑證（本機電腦）」。
8. 你應該會看到一個名為「Web Hosting」的儲存區（如果有憑證安裝在那裡的話）。

#### 方法二：使用 PowerShell 查看
你也可以使用 PowerShell 查看「Web Hosting」儲存區的憑證：

```powershell
Get-ChildItem -Path Cert:\LocalMachine\WebHosting
```

這會列出所有安裝在「Web Hosting」儲存區的憑證。

---

如果你沒有看到「Web Hosting」儲存區，可能是因為目前沒有憑證安裝在那裡，或者你需要以系統管理員身份執行 MMC 或 PowerShell。

需要我幫你寫一段 PowerShell 腳本來匯出或檢查這些憑證嗎？

「**Web Hosting**」憑證儲存區是 Windows 作業系統中一個專門為 **IIS（Internet Information Services）** 設計的憑證儲存區。它的主要用途是：

---

### 🔐 **Web Hosting 憑證儲存區的用途**

1. **專為 IIS 託管網站的憑證而設計**  
   這個儲存區是為了讓 IIS 更有效率地管理和使用 SSL/TLS 憑證，特別是在多網站、多憑證的環境中。

2. **支援 SNI（Server Name Indication）**  
   當 IIS 使用 SNI 來在同一個 IP 上託管多個 HTTPS 網站時，Web Hosting 儲存區可以更好地管理這些憑證。

3. **安全性與隔離性**  
   將憑證儲存在 Web Hosting 儲存區中，可以讓憑證與其他系統憑證（如 Personal 或 My 儲存區）分開，降低誤用或誤刪的風險。

4. **支援自動化部署與管理**  
   某些自動化工具（例如使用 PowerShell 或憑證管理 API）會預設將憑證安裝到 Web Hosting 儲存區，以便與 IIS 整合。

5. **IIS 8.0 以後版本的最佳實踐**  
   從 IIS 8.0 開始，Microsoft 建議將網站憑證安裝到 Web Hosting 儲存區，而不是傳統的「個人（Personal）」儲存區。

---

### 📌 補充說明

- 如果你使用 **IIS 管理員** 匯入憑證，並選擇「Web Hosting」作為儲存區，那麼這些憑證就會被 IIS 自動識別並可用於網站綁定。
- 若你使用 Let's Encrypt 或其他自動化工具（如 win-acme、Certify The Web），它們也常會將憑證安裝到 Web Hosting 儲存區。

---

如果你正在設定 IIS 並考慮憑證儲存區的選擇，我可以幫你比較不同儲存區的優缺點，或協助你撰寫 PowerShell 腳本來管理這些憑證。需要嗎？



太好了！以下是你可以用來比較與管理 IIS 憑證儲存區的 PowerShell 腳本範例，並說明各儲存區的用途與建議使用情境。

---

## ✅ **PowerShell 腳本：列出各儲存區的憑證**

這段腳本會列出「個人（My）」與「Web Hosting」儲存區中的所有憑證，並顯示主體名稱、到期日與憑證用途。

```powershell
# 定義要檢查的儲存區
$stores = @("My", "WebHosting")

foreach ($storeName in $stores) {
    Write-Host "`n=== 憑證儲存區：$storeName ===" -ForegroundColor Cyan
    $store = New-Object System.Security.Cryptography.X509Certificates.X509Store($storeName, "LocalMachine")
    $store.Open("ReadOnly")
    
    foreach ($cert in $store.Certificates) {
        Write-Host "主體名稱：" $cert.Subject
        Write-Host "到期日：" $cert.NotAfter
        Write-Host "用途：" $cert.EnhancedKeyUsageList | ForEach-Object { $_.FriendlyName }
        Write-Host "-----------------------------"
    }

    $store.Close()
}
```

---

## 📊 **儲存區比較表**

| 儲存區名稱       | 位置                         | 建議用途                             | 備註 |
|------------------|------------------------------|--------------------------------------|------|
| **Personal (My)** | `Cert:\LocalMachine\My`      | 傳統用途，適用於一般應用程式與服務   | 舊版 IIS 或非網站用途 |
| **Web Hosting**   | `Cert:\LocalMachine\WebHosting` | 專為 IIS 託管網站設計，支援 SNI 與多站台 | 建議用於 IIS 8.0+ |

---

## 🛠️ 想要進一步做什麼？

我可以幫你：

1. 匯出某個儲存區的憑證（含私鑰）為 `.pfx` 檔案。
2. 自動將憑證從 Personal 移動到 Web Hosting。
3. 建立一個定期檢查憑證過期的腳本。
4. 整合 Let's Encrypt 自動更新流程。

你想要我幫你做哪一項？還是有其他需求？


#### 使用 Let's Encrypt 自動更新流程, 將憑證安裝到 Web Hosting 儲存區
使用 Let's Encrypt 自動更新憑證並將其安裝到 Web Hosting 儲存區的流程，
通常會依據你的主機環境（如 cPanel、Plesk、Apache、Nginx、或其他共享主機）而有所不同。
不過，我可以提供一個通用的流程，並根據你使用的環境進行調整。

---

### 🔐 Let's Encrypt 自動更新與安裝流程（通用）

#### 1. 安裝 Certbot（Let's Encrypt 官方工具）
Certbot 是最常用來申請與自動更新憑證的工具。

```bash
sudo apt update
sudo apt install certbot
```

如果你使用的是 Apache 或 Nginx，可以安裝對應的插件：

```bash
# Apache
sudo apt install python3-certbot-apache

# Nginx
sudo apt install python3-certbot-nginx
```

---

#### 2. 申請憑證

```bash
sudo certbot certonly --manual --preferred-challenges dns -d yourdomain.com -d www.yourdomain.com
```

或使用自動模式（如果你的主機支援）：

```bash
sudo certbot --nginx -d yourdomain.com -d www.yourdomain.com
```

---

#### 3. 自動更新憑證

Certbot 安裝時會自動建立一個 cron job 或 systemd timer。你可以手動測試更新：

```bash
sudo certbot renew --dry-run
```

---

#### 4. 將憑證安裝到 Web Hosting 儲存區

這部分依據你的主機類型而異：

- **cPanel / Plesk**：通常需要透過 API 或 UI 上傳憑證。
- **FTP/SFTP 上傳**：你可以將憑證檔案（`fullchain.pem` 和 `privkey.pem`）上傳到指定目錄。
- **自動化腳本**：可以撰寫 shell script 將憑證複製到指定位置，並重新啟動 Web 服務。

範例腳本（將憑證複製到指定目錄）：

```bash
#!/bin/bash
DOMAIN="yourdomain.com"
CERT_DIR="/etc/letsencrypt/live/$DOMAIN"
DEST_DIR="/path/to/your/webhosting/certs"

cp $CERT_DIR/fullchain.pem $DEST_DIR/cert.pem
cp $CERT_DIR/privkey.pem $DEST_DIR/key.pem

# 可選：重新啟動 Web 服務
# systemctl restart nginx
```

---

### ✅ 建議下一步

請告訴我你使用的 Web Hosting 類型（例如：cPanel、Plesk、Apache、Nginx、Cloud Hosting 等），我可以提供更具體的自動化流程或腳本。

你目前的主機環境是什麼呢？

#### 目前的主機環境是 Windows 11 IIS

感謝補充！既然你使用的是 **Windows 11 + IIS（Internet Information Services）**，我們可以使用 Let's Encrypt 的 Windows 工具，例如 **win-acme (WACS)** 來自動申請與安裝 SSL 憑證。

以下是完整的自動化流程：

---

## ✅ 使用 win-acme (WACS) 自動申請與安裝 Let's Encrypt 憑證到 IIS

### 步驟 1：下載 win-acme 工具

1. 前往官方網站下載最新版：https://www.win-acme.com/download/
2. 解壓縮到一個資料夾，例如：`C:\win-acme\`

---

### 步驟 2：執行 win-acme 並申請憑證

1. 以 **系統管理員身份** 開啟 PowerShell 或命令提示字元。
2. 進入 win-acme 資料夾：

```powershell
cd C:\win-acme\
```

3. 執行主程式：

```powershell
wacs.exe
```

4. 選擇以下選項：
   - `N` - 新的憑證（簡單模式）
   - 選擇你要保護的 IIS 網站
   - 選擇自動安裝憑證到 IIS
   - 選擇是否要自動建立 HTTP-01 驗證（預設即可）

---

### 步驟 3：自動續期設定

win-acme 會自動建立一個 Windows 工作排程（Task Scheduler），每晚檢查憑證是否需要更新。

你可以手動測試續期：

```powershell
wacs.exe --renew --baseuri "https://acme-v02.api.letsencrypt.org/"
```

---

### 步驟 4：憑證儲存與備份（可選）

憑證會儲存在：

```
C:\ProgramData\win-acme\acme-v02.api.letsencrypt.org\
```

你可以設定 win-acme 將憑證匯出為 `.pfx` 檔案，並自動上傳到其他儲存區（例如 FTP、雲端、NAS 等），這需要額外設定「安裝後腳本」。

---

### ✅ 額外功能（可選）

- 支援多網域（SAN）
- 支援 DNS 驗證（適用於內部網站）
- 可整合 PowerShell 腳本進行自動部署

---

如果你有特定需求，例如：
- 將憑證同步到其他伺服器
- 使用 DNS 驗證（例如 Cloudflare）
- 自動匯出 `.pfx` 檔案到特定資料夾

我可以幫你撰寫對應的自動化腳本。你需要這些功能嗎？

#### Windows 10 Pro 繁體中文版 以 Win-Acme 安裝憑證到 IIS 中, 20250607