Instalador do EPM Windows informa que o endereço não consta no certificado da aplicação Segura™

O instalador do EPM Windows bloqueia a instalação porque o endereço informado em URL não corresponde a nenhum nome do certificado da aplicação Segura™. Este documento se aplica ao EPM Windows 4.2.17. Isso só acontece quando o certificado da aplicação Segura® é emitido por uma autoridade certificadora (CA) pública. Se o certificado for emitido por uma CA privada, como a CA do próprio cofre ou uma CA interna, o instalador não verifica o endereço, e a instalação não é bloqueada por essa causa.

Sintoma

O instalador para com uma mensagem informando que o endereço informado ao instalador não consta no certificado, e o EPM Windows não é instalado.
A mensagem lista os nomes para os quais o certificado foi emitido.
O Visualizador de Eventos do Windows registra o erro no log EPM, geralmente com o ID de evento 18001. O trecho Detalhes do evento mostra o motivo.

Causa 1: O endereço em `URL` não consta no certificado

O nome do host ou o endereço IP do parâmetro de instalação URL não aparece no Nome Alternativo da Entidade (SAN) nem no Nome Comum (CN) do certificado.

Solução: Instalar com um nome que o certificado cobre

Rode o instalador novamente, com URL definido como um dos nomes listados na mensagem. Para usar um endereço IP, o certificado precisa listá-lo como SAN de IP.
Em uma Segura® Platform com vários tenants, se o nome listado não for o nome do tenant, emita um certificado que cubra o nome do tenant. Usar o endereço IP ou um alias no arquivo hosts não funciona, porque o nome do host seleciona o tenant.

Causa 2: Um proxy inspeciona o tráfego TLS

O nome listado não é o nome da aplicação Segura™, e a mensagem menciona um proxy que inspeciona o tráfego TLS. O instalador usa o proxy do sistema, por isso valida o certificado apresentado pelo proxy em vez do certificado da aplicação Segura™.

Solução: Confiar no proxy ou excluir a aplicação Segura™ da inspeção

Faça uma das ações a seguir e rode o instalador novamente:

Importe a CA do proxy no repositório Autoridades de Certificação Raiz Confiáveis do computador local. O certificado gerado pelo proxy também precisa trazer o nome da aplicação Segura®.
Exclua o endereço da aplicação Segura® da inspeção TLS no proxy.