办公系统放在公司机房，员工连上单位网络就能填报费用。采购快结束时，供应商问起SSL证书，负责人想知道：这套系统只在内部使用，SSL证书作用在哪里？其实员工通过网页办理业务时，仍应配置可正常验证的HTTPS，让电脑与业务入口通信时得到加密和服务身份核验。内网接入限制与这项保护可以同时安排。
项目负责人可以先拿到登录地址和设备清单，再请维护人员解释办证方案：是利用浏览器已有的公众信任体系，还是由企业统一配置自己的信任关系。选择哪条路线，需要把今后的使用与管理一起考虑。
只在办公室使用，为什么仍要保护连接
一笔报销会经过几个位置：员工把差旅单填在自己的电脑上，提交到公司服务器，审批人再从另一台设备打开。数据留在服务器上时怎么保管、从电脑送过去时怎么保护，都是这笔业务需要考虑的环节。
HTTPS用在浏览器与服务入口的通信中。员工连接时，浏览器先按信任规则核验服务证书，随后通过受保护的连接传送业务内容。办公网络可以继续限制接入者，两部分在各自的位置发挥作用。
所以，讨论内部系统要不要证书，可以先看看员工每天在里面做什么。查询薪酬、报送考勤、检索客户资料，都涉及具体业务内容。负责人据此提出“员工通过网页操作时，相关通信采用HTTPS”，供应商就有了清楚的交付要求。
如果员工使用的是专门安装的桌面客户端，就请开发人员另外说明它如何与服务器通信。本文的安排针对网页业务；采购中把实际使用方式写清，才方便确认供应商承诺保护的是哪一段连接。
先确定员工以后使用哪个登录地址
准备办证，可以把员工平时收到的登录链接交给维护人员。假如聊天通知里发的是一串内网IP，浏览器书签里存的是“oa”，采购单上却写着另一个域名，先决定以后统一用哪一个，再核对办证条件。
证书里的名称应与员工打开的入口相符。公司如果选定正式域名，就让网络人员把该域名接到业务服务上，再由证书维护人员配置相应凭据。最后请员工按正式通知中的链接登录，检查实际收到的证书。
这个域名可以属于公司已经管理的域名体系，由内部解析指向机房里的服务。企业采用可申请证书的正式名称，同时保留网络访问限制，员工依然按公司规定进入系统。办证方案与服务开放范围各有明确安排。
以后机房更换服务器，员工可以继续使用原书签，由技术人员在背后调整地址与服务。为此，项目交接时应把域名管理人也纳入联系人范围。办公系统维护和域名管理有人配合，这个入口才方便长期保留。
系统不对外开放，也能完成域名验证
办证时，服务方需要核对申请人是否有权控制这个域名。经办人可以先说明：“业务在机房里，我们能管理域名，请确认支持哪种验证。”这样便于对方判断，应该通过网页上的指定文件核验，还是采用DNS记录等方式。
DNS提供域名记录查询。采取这类验证时，可以由办证经办人接收验证要求，再转交域名管理员设置相应记录。签发机构通过查询记录来核对控制权，报销页面则继续在原来规定的网络范围内运行。
Let’s Encrypt在DNS-01文档中列举了一种适用情况：网页服务器没有向互联网开放，也可以为其域名完成这项验证。经办人选定服务方后，应向对方取得本次所需的记录内容，把设置任务交给有权限的域名管理员。
旧系统如果让员工输入“oa”，或访问192.168开头的私有地址，应先把这个情况告诉服务方。CA/Browser Forum的公众TLS证书规则禁止在证书中放入内部名称和保留IP地址。这类入口需要考虑调整名称，或交由内部证书体系处理。
调整之前，可以先调查现有入口在哪里使用：全公司的书签、手机里的链接，还是其他系统发来的审批通知。技术团队据此估算改用正式域名的工作量，再与保留原入口、建立内部信任体系的方案比较。
员工设备分散，还是由公司统一配置
员工电脑能否识别服务证书，要看电脑接受哪些签发结果。使用公众信任证书，可以利用浏览器或操作系统预先具备的信任依据。公司在选型时，拿出正在使用的电脑和手机型号，请服务方说明该方案对这些环境的支持情况。
比如采购协作页面还要给供应商使用，对方可能各自带着电脑。选型时就应拿这些设备条件评估：采用公众信任路线，是否可以正常验证；采用内部签发路线，谁负责协调对方配置。这会直接影响后续的接入工作量。
公司也可以建立自己的证书签发和信任配置。比如，IT部门给受管理的电脑加入内部根证书，设备便能够以它作为核验相应内部证书的依据。随后，办公系统使用由该体系签发的服务证书，员工设备按配置完成识别。
这条路线要有人持续负责。新电脑加入时谁做配置，新增入口向谁申请，系统证书更新时谁检查，都会成为日常工作。用来完成签署的秘密凭据叫私钥，企业也需要明确谁能够使用、存放在哪里。
比较方案时，可以让供应商按同一份设备清单解释：采用各自方案后，谁要配置员工电脑，谁要维护系统端证书，日后新增手机又怎么办。经办人据此对照现有人手，就容易判断哪种安排能长期执行。
员工看到证书警告，应让维护人员处理什么
系统交给员工使用时，可以一起发出简短的报障说明。遇到证书警告，员工把刚才打开的链接和画面发到指定渠道，补充使用的设备情况。维护人员据此核对：是不是约定的服务名称、证书日期是否合适、设备接受哪套签发结果。
一种值得先查的情形，是电脑沿用了旧书签。新入口已经采用正式域名，书签打开的还是原来那串内网IP，浏览器就可能发现访问地址与证书名称对不上。维护人员应把员工引导到约定的入口，同时清点还有哪些旧链接需要调整。
内部签发方案还要考虑新设备加入。IT人员给新同事配置电脑时，应按统一流程完成相应信任设置，再试着登录业务入口。已经交付给员工的电脑若缺少配置，也由管理员核实后补齐，员工有问题就走同一个报障渠道。
报障时补充一句“只有今天发的新电脑出现”或“全体员工从上午开始出现”，也很有帮助。维护人员可以据此分别查看新设备的配置、系统入口的变化，把排查落到明确的范围内。
远程办公时，把员工到系统的路径讲清楚
员工出差后再用这套系统，要先解决怎样接入单位网络。采用VPN，也就是虚拟专用网络时，可以请维护人员画出从笔记本到公司网关、再到报销服务的路径，分别标注连接采用的保护方式。
如果VPN连接止于公司网关，从网关到业务服务器还存在后续路径。维护人员可以结合这一路径配置办公网站的HTTPS，让员工在不同办公地点都沿用公司公布的网页地址，并正常完成证书核验。
如果员工首先进入公司统一接入平台，再由平台转送请求，就请技术团队在图上注明这个中转环节。让对方分别解释电脑连接平台、平台连接业务服务器时采用的配置，采购经办人也能据此核对服务范围。
远程办公方案确定后，还应在原有员工管理中安排接入资格：离职同事退出、岗位调整后变更权限、临时合作结束后收回入口。由人事与IT按公司流程衔接，受保护的连接也就有了明确的使用人群。
验收时，用员工真正要做的操作检查
验收可以请经常办理报销的同事参加：从准备发给全公司的入口进入，用测试资料填单，上传票据，再交给测试审批人处理。维护人员跟着看一遍，检查这些操作实际使用的连接和页面。
这里要看的是整笔业务能否完成。例如，填单页已经使用HTTPS，选取票据后却去请求原来的HTTP上传地址，就可能遭到浏览器拦截。请技术人员顺着失败的这一步检查资源引用，比单独展示登录页更能说明配置结果。
如果项目约定支持手机审批，就请审批人在手机上也走完一遍；合作人员需要接入时，则按其实际设备条件测试。需要公司预先配置的终端，先完成配置再使用，验收记录写明当时采用的设备条件。
交接时可以让维护人员把更新过程演示一次：在哪里查看当前证书，下一次由谁申请，换好后怎样确认员工入口已经采用新证书。依赖自动更新的，还要指出通知发到哪里。负责人看过这条工作流程，日后有人调岗也知道该交接什么。
内部系统SSL证书常见问题
准备采用内部签发，怎样把费用问清楚？
可以请服务方区分首次建立签发体系、现有设备配置和后续维护的工作。再拿一次新增员工电脑的情形询问：包含哪些处理，需要公司提供什么配合。这样比较的是实际服务范围，也便于安排内部人员接手。
内部系统是买来的，证书由谁负责？
可以直接问供应商：“员工从哪个地址登录，这个入口的证书由谁申请和更新？”若部署在公司机房，继续确认交付给本公司哪些维护工作；若入口由供应商托管，就请对方说明服务包含的配置和日后处理办法。
准备交付公司内部系统时，可以把SSL证书相关要求落实为三个结果：正式入口有明确名称，员工设备能够完成验证，证书后续更新有人接手。按实际设备和维护条件选定方案，员工就能从约定入口办理业务，企业也清楚这项服务由谁持续负责。
相关阅读：内网IP可以申请SSL证书
