将内部 CA 部署到 linux 客户端

Question

我有大量运行 RedHat Enterprise Linux 5 和 6 的工作站。我想将我们新的内部 CA (Active Directory) 部署到这些机器上。我可以手动将证书导入到 Firefox 10 中，没有任何问题，但我似乎无法找到将 .cer 文件存储在文件系统上的位置，以便 FireFox 和 Google Chrome 使用它。这两种浏览器都使用的可信 CA 是否有一个中央位置？

如果没有，我会采用更自动化的方式让 FireFox 接受我的 CA。

我试过的东西

• 使用 Mozilla 提供的certutil- 但这似乎只处理客户端证书，除非我弄错了。
• 修改/etc/pki/tls/ca-bundle.crt包含在ca-certificates包中。Firefox 似乎不支持此文件。

Answer 1

对于 Firefox：FF 将证书存储在用户配置文件中，您必须为每个盒子上的每个配置文件导入证书。对于受信任的 CA，证书应为 PEM 格式，并使用以下certutil命令导入（在 RedHat 上的包中提供nss-tools）：

您可以使用此命令列出证书：

certutil -L -d ~/.mozilla/firefox/[profile]

然后，可以使用以下命令导入证书：

certutil -A -n 'Certificate Name' -t CT,, -d ~/.mozilla/firefox/[profile] < /path/to/certificate.pem

有关详细信息，请参阅http://www.dzhang.com/blog/2011/01/29/importing-exporting-firefox-certificates-from-command-line。

根据chromium wiki，您可以将 certutil 用于 chromium。我不知道这是否也适用于库存镀铬。

通过一些脚本编写，应该可以在此环境中自动部署 AD 证书颁发机构。