如何在CentOS上安装自定义CA证书？

我正在尝试在一系列CentOS系统上为我的内部证书服务器安装证书，并且我发现关于此的文档几乎不存在。

我的最终目标是能够使用git，curl以及其他针对内部安全的服务器上没有错误。

在Ubuntu上，它很简单，您将证书放在一个文件夹中，然后运行命令以生成一系列链接，以将CA证书添加到证书路径。

我一辈子都无法找到如何在CentOS上执行此操作的方法。（即：/etc/pki/tls/certs在PEM编码的证书文件中创建一个符号链接，以证书的哈希名称命名。不适用于我的CA，因为上述应用仍然无法验证由CA签名的证书）。

如何在CentOS系统上安装新的根CA？

从CentOS 6+开始，有一个用于此的工具。根据本指南，可以首先通过启用系统共享的CA存储来安装证书：

update-ca-trust enable

然后将证书作为/etc/pki/ca-trust/source/anchors/高优先级（不可覆盖）或/usr/share/pki/ca-trust-source/（低优先级，可覆盖）作为CA信任，最后使用以下命令更新系统存储：

update-ca-trust extract

等等，系统工具现在在建立安全连接时将信任那些证书！

不幸的是，我认为CentOS并没有一种集中的方式来做到这一点。我花了很多时间试图完成同样的事情。主要的pki tls证书存储使用了很多，但绝对不是全部。

我的解决方案是维护一个人偶模块，该模块将更新的证书存储推送到每个产品使用的每个位置。基本逻辑是如果给定商店存在，则添加我的自定义条目。

这不是完美的-我部署的某些tomcat实例具有内部Java安装，其中包含一个非标准的cacerts目录-但它可以满足我的大多数需求。