28 votes

Comment installe-t-on un certificat CA personnalisé sur CentOS ?

Je suis en train d'essayer d'installer un certificat pour mon serveur de certificats interne sur une série de systèmes CentOS, et je trouve que la documentation à ce sujet est presque inexistante.

Mon objectif final est de pouvoir utiliser git, curl, et autres contre des serveurs sécurisés internes sans erreurs.

Sur Ubuntu, c'est assez simple, vous ajoutez le certificat dans un dossier et exécutez une commande pour générer une série de liens pour ajouter le certificat CA au chemin de certification.

Je n'arrive absolument pas à trouver comment faire cela sur CentOS... beaucoup d'informations sont disponibles sur la confiance des certificats aléatoires. (Pour info : créez un lien symbolique dans /etc/pki/tls/certs vers le fichier de certificat encodé en PEM, nommé avec le hachage du certificat. Cela n'a pas fonctionné pour mon CA, car les applications susmentionnées ne peuvent toujours pas vérifier un certificat signé par le CA).

Comment installez-vous un nouveau certificat racine sur un système CentOS ?

34voto

Mikey T.K. Points 1357

À partir de CentOS 6+, il existe un outil pour cela. Selon ce guide, les certificats peuvent d'abord être installés en activant le dépôt de certificats partagé du système :

update-ca-trust enable

Puis en plaçant les certificats en tant que CA à faire confiance dans /etc/pki/ca-trust/source/anchors/ pour une priorité élevée (non remplaçable), ou /usr/share/pki/ca-trust-source/ (priorité inférieure, remplaçable), et enfin en mettant à jour le dépôt du système avec :

update-ca-trust extract

Et voilà, les outils système feront désormais confiance à ces certificats lors de la réalisation de connexions sécurisées !

14 votes

Je vous félicite d'être revenu trois ans plus tard avec une solution. Merci beaucoup.

0 votes

Juste pour signaler à quelqu'un qui n'est pas en mesure de résoudre ce problème, vérifiez si les certificats ont les autorisations requises.

1 votes

J'ai dû mettre mon certificat dans /usr/share/pki/ca-trust-source/anchors pour que ça fonctionne.

1voto

fartheraway Points 4886

Malheureusement, je ne pense pas qu'il y ait un moyen centralisé unique de faire cela dans CentOS. J'ai passé beaucoup de temps à essayer d'accomplir la même chose. Le magasin de certificats pki tls principal est utilisé pour beaucoup de choses mais certainement pas pour tout.

Ma solution a été de maintenir un module puppet qui poussera un magasin de certificats mis à jour à chaque emplacement utilisé par produit. La logique de base est si un magasin donné existe alors ajouter mon entrée personnalisée.

Ce n'est pas parfait - certaines instances tomcat que je déploie ont une installation Java interne avec un répertoire cacerts non standard pour une - mais cela gère la plupart de mes besoins.

SistemesEz.com

SystemesEZ est une communauté de sysadmins où vous pouvez résoudre vos problèmes et vos doutes. Vous pouvez consulter les questions des autres sysadmins, poser vos propres questions ou résoudre celles des autres.

Powered by:

X