信任库为什么要统一分发
每个客户端环境都有自己的信任库：Linux 发行版用系统证书包，企业级发行版另有集中管理命令，Windows 用证书管理器，Java 用自带信任库，容器镜像与语言运行时也各自内置一份。自建 CA 的根证书必须分发到全部相关环境，否则会出现「浏览器正常但命令行报错」这类割裂现象；容器镜像重建后信任库会丢失，需要把导入动作写进构建流程。
基本信息
| 发行版一 | 把证书放进本地证书目录后执行更新命令 |
|---|---|
| 发行版二 | 把证书放进锚点目录后执行更新命令 |
| Java | 使用自带信任库，需要单独导入 |
| 容器与运行时 | 镜像可能不读系统库，需显式指定证书路径 |
典型使用场景
- 自建 CA 上线：把根证书分发到全部客户端类型
- 排错：浏览器正常但命令行报错时核对信任库
- 容器化：把导入动作写进镜像构建流程
- 多语言环境：为不同运行时分别配置证书路径
- 审计：检查信任库中是否存在不该存在的根证书
导入自定义根
导入自定义根
cp internal-root.crt /usr/local/share/ca-certificates/ && update-ca-certificates # Debian 系
cp internal-root.crt /etc/pki/ca-trust/source/anchors/ && update-ca-trust # RHEL 系
keytool -importcert -alias internal-root -file internal-root.crt -cacerts -storepass changeit
openssl verify -CAfile internal-root.crt leaf.pem # 验证导入结果环境与位置
| 环境 | 存放与生效方式 | 注意 |
|---|---|---|
| Debian 系 | 本地证书目录加更新命令 | 文件名需带证书后缀 |
| RHEL 系 | 锚点目录加更新命令 | 新版本有独立命令 |
| Windows | 证书管理器导入 | 分当前用户与计算机两类 |
| Java | 导入自带信任库 | 需要重启应用 |
分发渠道要与信任等级匹配：内网根证书通过配置管理或设备管理平台下发，比逐台手工导入更可审计，也能在环境重建后自动恢复。
落地建议
- 把根证书导入写进基础镜像与初始化脚本
- 为每种运行时确认实际读取的证书路径
- 定期核对信任库，移除过期或不该存在的根
- 变更信任库后做一次端到端验证
只在图形界面里导入根证书，而命令行工具与语言运行时不读同一份信任库，是排障中最容易被忽略的一环；这类问题表现为同一台机器上不同工具给出相反结论。