私人SSL证书和CA的各种问题

Question

这个问题是相当开放的，因为坦率地说我不是SSL证书的专家，并且它正在影响多种语言的代码。 它甚至可能不是“代码”问题，而是更多的基础结构问题，但此时，我只需要有人指出正确的方向即可。 我的IT部门最近为我提供了专用网络上内部服务的证书。 我正在使用Nginx侦听443，并将80重定向到443。Chrome似乎一切正常，但是切换到Firefox时开始出现问题。 Firefox将网站视为自签名证书，您需要在其中给出明确的指令以忽略它。 但是，问题还没有解决，我的厨师食谱现在在访问我的内部服务之一（API，文件复制等）的任何地方都出现了以下几种错误：

================================================================================
       Error executing action `create` on resource 'remote_file[Download Installer]'
       ================================================================================

       OpenSSL::SSL::SSLError
       ----------------------
       SSL Error connecting to http://service.domain.com/download/client - SSL Error connecting to https://service.domain.com/download/client - SSL_connect returned=1 errno=0 state=error: certificate verify failed

我在Ruby和NodeJS库中看到同样的错误。 通过将库设置为忽略不受信任的库，我已经能够在很大程度上解决该问题，但这只是一个临时解决方案。 我需要了解为什么会这样。 我的证书颁发机构设置不正确吗，我是否需要请IT人员更改某些配置？ 我是否需要将证书复制到需要访问这些HTTPS服务的每台计算机上？ 为什么Chrome可以正常使用？ 我在本地计算机上搜索了我可能在本地拥有的证书，该证书可能导致我在Chrome测试中获得误报，但我在本地没有任何应该有效的证书。 Chrome似乎正在通过网络解决CA？ （这是我假设的工作方式）非常感谢您的任何帮助，谢谢。

Answer 1

我是否需要将证书复制到需要访问这些HTTPS服务的每台计算机上？ 为什么Chrome可以正常使用？

每个应使用此客户端的客户端都必须使用内部CA连接到主机，并且必须信任此CA。 我的猜测是，管理员可以确保将CA包含在所有计算机的Windows信任存储中，因为使用策略可以轻松完成此操作。 但是，Firefox，Ruby，NodeJS和Java（以及其他各种工具）都没有使用Windows信任库，但是它们具有自己的信任库。 因此，本地CA也必须包含在所有这些信任库中。