您托管了多个 IIS 站点：contoso.com、app1.contoso.com、app2.contoso.com 和 api.contoso.com。您希望使用单个证书来保护所有这些名称，并计划以最小的停机时间续订该证书。您应该怎么做？选择两项。

选择一个包含所有所需主机名（包括基域和所有子域）的SAN证书是正确的，因为它可以保护所有这些站点。在IIS绑定中启用SNI允许在单个IP地址上托管多个HTTPS站点，每个站点使用自己的证书，这在处理多个子域时非常有用。 重叠续订是最佳实践，因为它最大限度地减少了停机时间。通过在现有证书过期前导入新证书，您可以在维护窗口期间逐步更新IIS绑定，而不是在旧证书过期时匆忙更换。 为 .contoso.com 请求通配符证书可以覆盖所有子域名，但不能直接覆盖基域contoso.com。使用嵌套通配符 ..contoso.com 是无效的语法。导出旧私钥并导入新证书是不安全的做法，并且可能导致兼容性问题。