update-ca-trust 命令。首先将证书文件复制到 /etc/pki/ca-trust/source/anchors/ 目录，然后运行 update-ca-trust extract。在CentOS系统中添加根证书是一个涉及多个步骤的详细过程，旨在确保系统能够信任并验证新的根证书，以下是一个详细的指南，包括步骤、命令和注意事项。
一、准备工作
1. 获取根证书
需要获取要添加的根证书文件，这通常是一个.crt或.pem格式的文件，可以从证书颁发机构（CA）的官方网站下载，或者通过其他安全渠道获取。
2. 确认证书格式
确保证书文件是PEM格式的，因为这是Linux系统最常使用的格式，如果证书是其他格式（如DER），可以使用OpenSSL工具进行转换。
3. 备份原有证书
在修改系统证书之前，建议备份原有的证书文件，以防万一出现问题可以恢复。
二、添加根证书步骤
1. 复制证书到指定目录
将根证书复制到CentOS系统的证书存储目录中，对于CentOS 7及更高版本，证书应放置在/etc/pki/ca-trust/source/anchors/目录下。
sudo cp /path/to/your/root-cert.crt /etc/pki/ca-trust/source/anchors/
>/path/to/your/root-cert.crt：替换为实际的根证书文件路径。
2. 创建符号链接
在/etc/ssl/certs/目录下为新添加的根证书创建一个符号链接，以便系统能够识别和使用它。
sudo ln -s /etc/pki/ca-trust/source/anchors/root-cert.crt /etc/ssl/certs/root-cert.crt
>注意：符号链接的名称（如root-cert.crt）可以根据实际情况自定义，但应避免与现有证书冲突。
3. 更新证书数据库
运行update-ca-trust命令来更新系统的证书数据库，使新添加的根证书生效。
sudo update-ca-trust
>4.验证安装
可以通过查看/etc/ssl/certs/目录下的证书列表来验证新证书是否已成功添加。
ls -l /etc/ssl/certs/
还可以使用openssl命令来测试新证书是否被系统信任。
echo | openssl s_client -connect example.com:443 -CApath /etc/ssl/certs/
>如果连接成功且没有证书错误提示，则说明新根证书已成功添加并被系统信任。
三、注意事项
1. 权限问题
在整个过程中，需要使用sudo提权执行相关命令，因为证书存储目录通常需要超级用户权限才能写入。
2. 证书兼容性
确保新添加的根证书与系统的OpenSSL版本兼容，如果不兼容，可能会导致SSL/TLS连接失败。
3. 安全性
从可信来源获取根证书，并避免从不可信的渠道下载证书文件，以防止中间人攻击等安全风险。
四、常见问题解答（FAQs）
Q1: 如何更改已添加的根证书？
A1: 如果需要更改或更新已添加的根证书，可以按照以下步骤操作：
删除旧的根证书文件及其符号链接。
sudo rm -f /etc/pki/ca-trust/source/anchors/old-root-cert.crt sudo rm -f /etc/ssl/certs/old-root-cert.crt
按照上述步骤重新添加新的根证书。
Q2: 为什么添加根证书后仍然无法建立SSL/TLS连接？
A2: 如果添加根证书后仍然无法建立SSL/TLS连接，可能的原因有：
证书未正确安装或配置，请检查证书文件的路径、权限以及符号链接是否正确。
系统未正确识别新证书，可以尝试重新启动相关服务（如Web服务器）或整个系统。
目标服务器使用了自签名证书或不受信任的CA签发的证书，这种情况下，需要将目标服务器的证书添加到信任列表中。
网络问题或防火墙设置阻止了连接，请检查网络连接和防火墙规则。
五、小编有话说
在CentOS系统中添加根证书是一项重要的安全配置任务，它可以确保系统能够信任并验证来自特定CA的SSL/TLS证书，由于涉及到系统的安全配置，因此在进行任何更改之前，请务必备份原有数据并仔细阅读相关文档和指南，随着技术的不断发展和更新，建议定期关注并了解最新的安全动态和最佳实践。