基本上，如果 Windows 更新客户端接受具有任何有效证书的包，则客户端将容易受到针对 WSUS 服务器或 Windows 更新本身的中间人攻击。默认情况下，仅接受由 Microsoft 签名的包。您需要告诉您的客户，他们还需要接受您已签名的包，您可以通过将该特定证书导入到 Trusted Publishers 存储中来做到这一点。
请注意，在企业 PKI 场景中，根证书通常会通过组策略自动导出到客户端，但这只是为其提供与任何其他公认的证书颁发机构相同的信任级别。Windows 不会将您的 CA 颁发的证书与其他证书区别对待。
此要求记录在建立信任关系和其他地方。关键是第三方 WSUS 包使用的特定代码签名证书必须在受信任的发布者存储中，这不仅仅是由任何有效证书签名的包的问题。
特别注意以下段落：
基本上，如果 Windows 更新客户端接受具有任何有效证书的包，则客户端将容易受到针对 WSUS 服务器或 Windows 更新本身的中间人攻击。默认情况下，仅接受由 Microsoft 签名的包。您需要告诉您的客户，他们还需要接受您已签名的包，您可以通过将该特定证书导入到 Trusted Publishers 存储中来做到这一点。
请注意，在企业 PKI 场景中，根证书通常会通过组策略自动导出到客户端，但这只是为其提供与任何其他公认的证书颁发机构相同的信任级别。Windows 不会将您的 CA 颁发的证书与其他证书区别对待。