微软作为 CA：Microsoft PKI 根证书与受信任根证书计划

微软既是根存储运营方，也是证书颁发机构，但不是一家你能买到证书的 CA。微软受信任根证书计划决定 Windows 信任哪些根证书；微软自己的 PKI 则为微软和 Azure 服务签发 TLS 证书，这些证书链到被所有主流根存储收录的微软根证书。

所有者与总部

CCADB 中的 CA 所有者是美国公司 Microsoft Corporation，www.microsoft.com 的证书上写的地址是华盛顿州雷德蒙德。微软的公开 CA、证书下载地址及其 CP/CPS 政策文件发布在 Microsoft PKI Repository 中。

根证书

截至 2026 年 11 月，CCADB 的 TLS 报告列出微软的两张根证书：Microsoft RSA Root Certificate Authority 2017（RSA 4096）和 Microsoft ECC Root Certificate Authority 2017（ECDSA P-384），均有效至 2042-07-18，被 Chrome、Mozilla、Apple、微软同时信任用于 TLS。Azure 的 CA 文档还列出了 Microsoft TLS RSA Root G2，它以由 DigiCert Global Root G2 签发的交叉证书形式分发，www.microsoft.com 目前返回的证书链就经过这张交叉证书。

证书产品

微软不向公众销售证书。微软的 CA 只为 Azure、Microsoft 365 和微软网站等自营服务签发证书。Azure 客户为自己的域名配置 HTTPS 时，证书来自其他 CA：要么通过 Azure 集成的服务获取，要么自己上传。

ACME 支持

微软没有为自己的 CA 提供公开的 ACME 服务，需要自动续期的用户应选择其他提供 ACME 的 CA。

免费证书

微软不会用自己的公开 CA 为客户域名签发证书，免费的也没有。

重大事件

对站长来说，微软更重要的身份是根证书计划。Windows 会按需下载受信任的根证书，微软还可以对某张根证书施加“NotBefore”限制：继续信任某个日期之前签发的证书，拒绝之后签发的；CCADB 中 Entrust 的 AffirmTrust 根证书就是这种状态。在企业内网或离线环境中，Windows 的根证书自动更新可能被组策略关闭，遇到新 CA 签发的证书显示不受信任时，可以先检查系统的根证书更新设置，必要时手动导入根证书。对特定微软中间证书做固定（pinning）的应用，应以 Azure CA 文档为准，因为微软会轮换签发 CA。