对于Fedora、Ubuntu、Linux，如果您在使用gui添加证书以添加新的根权限时遇到example.com Not a Certification authority错误。如果您希望信任服务器自签名证书，它不能提及无效的授权。。。即使这是它自己。我只通过信任我的权限并使用该权限密钥对服务器证书进行签名来使其工作。

这是它接受的自签名CA证书。这是我找到绕过cert_authority_invalid的唯一方法，我花了几个小时试图让它接受一个自签名的端点证书，没有雪茄。只要声明为CA:TTRUE，用户界面将接受自签名授权。之后，chrome将接受由具有正确DN的密钥签名的所有证书，而无需单独添加它们。

openssl req-new-x509-extensions v3_req-days 8440-config ca.conf-key rockstor.key-out rockstor.cert

[req]
distinguished_name=dn
req_extensions=v3_req
prompt = no

[v3_req]
basicConstraints=CA:TRUE,pathlen:0
keyUsage = keyEncipherment, dataEncipherment
extendedKeyUsage = serverAuth, clientAuth
subjectAltName=@alt_names

[alt_names]
DNS.1 = ca.tdpowerskills.com

[dn]
C = US
ST = LA
L = Alexandria
O = TDPS Certification Authority
OU = LEARNOPS
CN = ca.tdpowerskills.com

openssl req-new-x509-extensions v3_req-days 8440-config config.conf-key rockstor.key-out rockstor.cert

[req]
distinguished_name=dn
req_extensions=v3_req
prompt = no

[v3_req]
basicConstraints=CA:FALSE
keyUsage = keyEncipherment, dataEncipherment
extendedKeyUsage = serverAuth, clientAuth
subjectAltName=@alt_names
issuerAltName=DNS:ca.tdpowerskills.com

[alt_names]
DNS.1 = big.tdps.app

[dn]
C = US
ST = LA
L = Alexandria
O = TDPS Certification Authority
OU = LEARNOPS
CN = ca.tdpowerskills.com

如果这不起作用：

chrome://restart实际重新启动尝试使用firefox获取有关错误的更多详细信息，它会更好地解释错误。。。当chrome会说ERR_CERTIFICATE_INVALID时，firefox会抛出：MOZILLA_PKIX_ERROR_CA_CERT_USED_AS_END_ENTITY。请记住，chrome现在需要Subject Alternate Name，并且几乎忽略CN。

对于其他人：

certutil-d sql:$HOME/.pki/nssdb-A-t“P，，”-n＜昵称＞-i＜my.crt＞//用于服务器支持certutil-d sql:$HOME/.pki/nssdb-A-t“C，，”-n＜昵称＞-i＜my.crt＞用于CAhttps://blogs.oracle.com/meena/about-trust-flags-of-certificates-in-nss-database-that-can-be-modified-by-certutil对于Firefox，添加异常证书的UI确实有效，一旦你这样做，它就会信任它。也许您在/etc/pki/tls/openssl.cnf中有一些时髦的设置，这些设置与您的配置合并在一起。也许您没有向配置或命令行添加扩展，例如v3_req注意，我的方法只需使用授权密钥签署证书并添加开发服务器的详细信息，就不需要CSR。CSR允许更多密钥用于实际安全。我尝试了一切，但chrome需要具有基本约束CA:true集的权限。服务器证书必须由有效的授权机构签名。。。即使这只是他们用CA签名的另一个证书：true。

在Mac上，您可以使用Keychain Access实用程序将自签名证书添加到系统密钥链，然后Chrome将接受它。我在这里找到了分步说明：

Google Chrome、Mac OS X和自签名SSL证书

基本上：

双击带有X的锁定图标并将证书图标拖放到桌面，打开此文件（以.cer扩展名结尾）；这将打开允许您批准证书的密钥链应用程序。

更新11/2017：这个答案可能不适用于大多数较新版本的Chrome。更新02/2016:Mac用户的更好说明可以在这里找到。

在要添加的站点上，右键单击地址栏中的红色锁定图标：单击标记为“连接”的选项卡，然后单击“证书信息”单击“详细信息”选项卡，然后单击“复制到文件…”按钮。。。。这将打开证书导出向导，单击下一步进入导出文件格式屏幕。选择DER编码二进制X.509（.CER），单击“下一步”单击浏览。。。并将文件保存到计算机。给它起个描述性的名字。单击下一步，然后单击完成。打开Chrome设置，滚动到底部，然后单击显示高级设置。。。在HTTPS/SSL下，单击管理证书。。。单击受信任的根证书颁发机构选项卡，然后单击导入。。。按钮这将打开证书导入向导。单击“下一步”进入“要导入的文件”屏幕。单击浏览。。。并选择先前保存的证书文件，然后单击“下一步”。选择将所有证书放置在以下存储中。所选存储应为受信任的根证书颁发机构。如果不是，请单击浏览。。。然后选择它。单击“下一步”并完成单击安全警告上的“是”。重新启动Chrome。

好的，假设你已经创建了一个“有效”的自签名证书。它正确安装在chrome ver 94上。但是当您访问该站点时，您不会得到ssl锁，并且会出现“无效的证书颁发机构”错误。事实上，它是一个有效的证书。但是如果你没有正确浏览网站，你会收到这个错误。我的证书的DNS是DNS1:TFDM，DNS2:TFDM.local，DNS3:172.31.42.251，DNS4:192.168.20.50。

我正在浏览192.168.20.50，它不安全（锁定）。问题是，证书是针对DNS1:TFDM的。因此，我必须输入/etc/hosts文件（centos7）192.168.20.50 TFDM进行解析，然后浏览https://TFDM.问题已解决。您必须正确浏览网站。我以为它会在服务器端解决，但必须在客户端解决。这很容易被忽视，如果其他一切都正确，这可能是你的问题。覆盖安全性和ssl功能会带来麻烦，我认为没有合适的解决方案。如果应用正确，并且遵循Chrome不断更改的规则，自签名证书就可以工作。

要在Windows中创建Chrome v58及更高版本将信任的自签名证书，请使用提升的权限启动Powershell并键入：

New-SelfSignedCertificate -CertStoreLocation Cert:\LocalMachine\My -Subject "fruity.local" -DnsName "fruity.local", "*.fruity.local" -FriendlyName "FruityCert" -NotAfter (Get-Date).AddYears(10)
#notes: 
#    -subject "*.fruity.local" = Sets the string subject name to the wildcard *.fruity.local
#    -DnsName "fruity.local", "*.fruity.local"
#         ^ Sets the subject alternative name to fruity.local, *.fruity.local. (Required by Chrome v58 and later)
#    -NotAfter (Get-Date).AddYears(10) = make the certificate last 10 years. Note: only works from Windows Server 2016 / Windows 10 onwards!!

完成此操作后，证书将保存到个人\证书存储下的本地计算机证书中。

您要将此证书复制到受信任的根证书颁发机构\证书存储。

一种方法是：单击Windows开始按钮，然后键入certlm.msc。然后按照下面的屏幕截图将新创建的证书拖放到Trusted Root Certification Authority\Certificates存储区。

单击页面上的任意位置并键入BYPASS_SEQUENCE：

您不需要查找输入字段，只需键入它即可。这感觉很奇怪，但它有效。我在Mac High Sierra上试过了。

要再次检查他们是否再次更改，请转到最新的Chromium源代码。此时BYPASS_SEQUENCE如下所示：

var BYPASS_SEQUENCE = window.atob('dGhpc2lzdW5zYWZl');

现在他们把它伪装起来了，但要看到真正的BYPASS_SEQUENCE，您可以在浏览器控制台中运行以下行。

console.log(window.atob('dGhpc2lzdW5zYWZl'));

OR

除了键入短语，您还可以在控制台中粘贴代码部分

sendCommand(SecurityInterstitialCommandId.CMD_PROCEED)