centos如何导入证书链

centos

小樊

2026-09-30 12:50:34

栏目: 智能运维

在 CentOS 上“导入证书链”通常分几种场景，下面按最常见用途说明，你可以对号入座。

一、将证书链导入系统信任库（让系统信任该证书）

适用于：自建 CA、内网证书、第三方证书被系统不信任

# 将证书链（含根+中间）保存为 .crt 文件
sudo cp your_chain.crt /etc/pki/ca-trust/source/anchors/

# 更新信任库
sudo update-ca-trust extract

验证：

openssl verify -CAfile /etc/pki/tls/certs/ca-bundle.crt your_cert.crt

sudo cp your_chain.crt /etc/pki/ca-trust/source/anchors/
sudo update-ca-trust

证书链通常合并：

cat domain.crt intermediate.crt root.crt > fullchain.crt

Nginx 配置：

ssl_certificate     /path/fullchain.crt;
ssl_certificate_key /path/private.key;

SSLCertificateFile      /path/domain.crt
SSLCertificateChainFile /path/chain.crt
SSLCertificateKeyFile   /path/private.key

如果应用是 Java（如 Tomcat）

keytool -import -trustcacerts \
  -alias mychain \
  -file chain.crt \
  -keystore $JAVA_HOME/jre/lib/security/cacerts \
  -storepass changeit

export SSL_CERT_FILE=/path/ca-bundle.crt
export CURL_CA_BUNDLE=/path/ca-bundle.crt

✅ 证书顺序：域名证书 → 中间证书 → 根证书
✅ 文件格式必须是 PEM（.crt / .pem）
✅ 修改后重启相关服务

如果你能告诉我：

我可以给你精确命令。