Red Hat Summit 红帽全球峰会支持控制台（Console）开发人员开始试用联系人

13.6. 更改 CA 证书的信任设置

证书系统子系统使用其证书数据库中的 CA 证书来验证在支持 SSL 的通信过程中收到的证书。

可能需要更改存储在证书数据库、临时或永久的 CA 上的信任设置。例如，如果访问或被破坏的证书出现问题，将 CA 证书标记为不受信任的可防止使用 CA 签名的证书的实体向证书系统进行身份验证。当问题解决时，CA 可以再次标记为可信。

要永久不信任 CA，请考虑将其证书从信任数据库中删除。具体说明请查看 第 13.5.2 节 “从数据库中删除证书”。

13.6.1. 通过控制台更改信任设置
复制链接

注意

pkiconsole 已被弃用，并将在以后的主发行版本中被新的基于浏览器的 UI 替代。虽然 pkiconsole 在发布替代 UI 之前继续可用，但我们鼓励在此鼓励使用命令行与 pkiconsole 等效，因为 pki CLI 将继续支持并在将来有新的基于浏览器的 UI 时受到改进。

要更改 CA 证书的信任设置，请执行以下操作：

  1. 打开子系统控制台。 

    # pkiconsole -d nssdb -n 'optional client cert nickname' https://server.example.com:secure_port/subsystem_type
  2. 在 Configuration 选项卡中，System Keys 和 Certificates from the left navigation tree.
  3. 选择 CA 证书 选项卡。
  4. 选择要修改的 CA 证书，然后点 Edit。

  5. 此时将打开一个提示，其中读取 The Certificate chain is (un) trusted, you want to (un) trust it?

    点 yes 会更改证书链的信任设置；按 no 可保留原始信任关系。

13.6.2. 使用 certutil 更改信任设置
复制链接

要使用 certutil 更改证书的信任设置，请执行以下操作：

  1. 打开实例的证书数据库目录。 

    # cd /var/lib/pki/instance_name/alias

  2. 使用 -L 选项运行 certutil 来列出数据库中的证书。例如： 

    # certutil -L -d .

Certificate Authority - Example Domain    CT,c,
subsystemCert cert-instance_name          u,u,u
Server-Cert cert-instance_name            u,u,u

  3. 使用 -M 选项运行 certutil 来更改证书的信任设置。 

    # certutil -M -n cert_nickname -t trust -d .

    例如： 

    # certutil -M -n "Certificate Authority - Example Domain" -t TCu,TCu,TCu -d .

  4. 再次列出证书，以确认证书信任已被更改。 

    # certutil -L -d .

Certificate Authority - Example Domain    CTu,CTu,CTu
subsystemCert cert-instance_name          u,u,u
Server-Cert cert-instance_name            u,u,u

有关使用 certutil 命令的详情，请参考 http://www.mozilla.org/projects/security/pki/nss/tools/certutil.html。

Red Hat logoGithubredditYoutubeTwitter

学习

尝试、购买和销售

社区

关于红帽文档

通过我们的产品和服务，以及可以信赖的内容，帮助红帽用户创新并实现他们的目标。 了解我们当前的更新.

让开源更具包容性

红帽致力于替换我们的代码、文档和 Web 属性中存在问题的语言。欲了解更多详情，请参阅红帽博客.

關於紅帽

我们提供强化的解决方案，使企业能够更轻松地跨平台和环境（从核心数据中心到网络边缘）工作。

Theme

© 2026 Red Hat返回顶部