| Debian/Ubuntu | /usr/local/share/ca-certificates/ 放 .crt 后 update-ca-certificates |
|---|---|
| RHEL 系 | /etc/pki/ca-trust/source/anchors/ 后 update-ca-trust |
| Java | keytool -importcert -keystore $JAVA_HOME/lib/security/cacerts |
| 容器与运行时 | Node/Python 等镜像可能不读系统库，需显式指定 CA 包路径 |
导入自定义根（两系示例）
导入自定义根（两系示例）
cp internal-root.crt /usr/local/share/ca-certificates/internal-root.crt && update-ca-certificates
# RHEL 系：cp internal-root.crt /etc/pki/ca-trust/source/anchors/ && update-ca-trust分发渠道要与信任等级匹配：内网根证书通过配置管理或 MDM 下发，比手工导入更可审计。