10.3. 导入中间证书链

在执行这些步骤时，请确保您的 Web 服务离线（停止、禁用等），并确保其他进程（如浏览器）不会并发访问 nssdb。这样做可能会破坏 nssdb，或导致不当使用这些证书。

如果您还没有导入并信任 root 证书，请参阅 第 10.2 节 “导入 root 证书”。

当给出 root 和最终服务器或客户端证书之间的一系列中间证书时，我们需要导入并验证签名的证书链，以便从最接近的 root CA 证书中处理。我们假设 Intermediate CA 位于名为 ca_sub_<num>.crt 的文件中（如 ca_sub_1.crt、ca_sub_2.crt 等等）。根据您的部署替换证书的名称和路径。

首先，我们将导入并验证来自 root CA 证书的任何中间 CA。如果您没有，您可以跳过到下一部分。

有关以下使用的 certutil 和 PKICertImport 选项的详情，请参考 第 10.1 节 “关于 certutil 和 PKICertImport”。