13.5. 管理证书数据库

打开控制台。

# pkiconsole -d nssdb -n 'optional client cert nickname' https://server.example.com:secure_port/subsystem_type

根据子系统类型和证书的类型，可以安装证书的两个选项卡。

选择适当的选项卡。

要在 本地证书选项卡中安装证书，请单击 Add/Renew。要在 CA Certificates 选项卡中安装证书，请点 Add。两者都将打开证书设置向导。

向导显示证书详情。检查指纹，以确保这是正确的证书，或者使用 Back 按钮返回并提交不同的证书。为证书指定 nickname。

向导会安装证书。

签署证书的任何 CA 都必须由子系统信任。确保这个 CA 的证书存在于子系统的证书数据库（内部或外部）中，并且被信任。

如果没有列出 CA 证书，请将证书作为可信 CA 添加到证书数据库中。如果列出 CA 的证书但不被信任，请将信任设置改为可信，如 第 13.6 节 “更改 CA 证书的信任设置” 所示。

安装未存储在证书系统证书数据库的 CA 发布的证书时，将该 CA 的证书链添加到数据库中。要将 CA 链添加到数据库，请将 CA 链复制到文本文件，再次启动向导，并安装 CA 链。

打开子系统的安全数据库目录。

# cd /var/lib/pki/instance_name/alias

使用 a -A 运行 certutil 命令，以添加证书 and -i 指向包含 CA 发布的证书的文件。

# certutil -A -n cert-name -t trustargs -d . -a -i certificate_file

例如：

certutil -A -n "ServerCert cert-instance_name" -t u,u,u -d . -a -i /tmp/example.cert

打开子系统控制台。

# pkiconsole -d nssdb -n 'optional client cert nickname' https://server.example.com:secure_port/subsystem_type

打开实例的证书数据库目录。

/var/lib/pki/instance_name/alias

使用 -L 选项运行 certutil 来列出数据库中的证书。例如：

# certutil -L -d .

Certificate Authority - Example Domain    CT,c,
subsystemCert cert-instance_name          u,u,u
Server-Cert cert-instance_name            u,u,u

使用 -D 选项运行 certutil 来删除证书。

# certutil -D -d . -n certificate_nickname

例如：

# certutil -D -d . -n "ServerCert cert-instance_name"

再次列出证书，以确认证书已被删除。

# certutil -L -d .

Certificate Authority - Example Domain    CT,c,
subsystemCert cert-instance_name          u,u,u