Debian 장치에 사설 CA 인증서 배포

우리는 인트라넷 사이트에서만 사용하는 사설 인증 기관(CA)을 갖고 있습니다.

인증서를 쉽게 얻을 수 있습니다.

openssl s_client -showcerts -connect atlas.sim.local:8443 </dev/null 2>/dev/null|openssl x509 -outform PEM >atlas.crt

내 Debian 장치가 이 인증 기관을 자동으로 신뢰하도록 하고 싶습니다. 개인 저장소가 있고 apt모든 데비안 장치에는 이 저장소의 패키지가 설치되어 있습니다. 그래서 이 *.crt파일을 이 패키지에 배포하고 싶습니다 .

이 패키지는 다음을 효과적으로 수행합니다.

install -Dm644 atlas.crt /usr/share/ca-certificates/sim.local/atlas.crt

그런데 이 파일을 배포한 후 CA 인증서를 어떻게 다시 생성합니까? 배포할 파일이나 postinst.

---

나의 첫 번째 생각은 간단했습니다.

/usr/sbin/update-ca-certificates

그러나 man update-ca-certificates말했다:

update-ca-certificates/etc/ssl/certsSSL 인증서를 보관할 디렉터리를 업데이트하고 인증서를 생성하는 프로그램입니다 ca-certificates.crt.

파일을 읽습니다 /etc/ca-certificates.conf. 각 줄은 /usr/share/ca-certificates신뢰할 수 있는 CA 인증서의 경로 이름을 제공합니다.

이렇게 하려면 sim.local/atlas.crt해당 파일이 있는지 확인해야 합니다. 안타깝게도 해당 콘텐츠가 포함된 다른 파일을 삽입할 수 있는 방법 /etc/ca-certificates.conf이 없습니다 ./etc/ca-certificates.conf.d/

---

내가 읽어보면 /etc/ca-certificates.conf다음과 같다.

# This file lists certificates that you wish to use or to ignore to be
# installed in /etc/ssl/certs.
# update-ca-certificates(8) will update /etc/ssl/certs by reading this file.
#
# This is autogenerated by dpkg-reconfigure ca-certificates.

그래서 시도해 볼 수 있습니다.

dpkg-reconfigure ca-certificates

그러나 이로 인해 기본적으로 인증서 선택이 취소되는 대화형 대화 상자가 나타납니다. 차라리 이것이 비대화형이었으면 좋겠습니다.

---

이것이 내가 지금 가지고 있는 것입니다 postinst. 그러나 이것이 올바른 해결책인지는 확실하지 않습니다. 올바른 방법이 있나요?

#!/bin/bash

set -e

case "$1" in
  configure)

    if [ -e /etc/ca-certificates.conf ] && 
      ! grep -q sim.local/atlas.crt /etc/ca-certificates.conf; then

        printf "%s\n" sim.local/atlas.crt >> /etc/ca-certificates.conf;
        /usr/sbin/update-ca-certificates;
    fi
  ;;
esac