Konfigurieren von Firefox zur Verwendung des Windows-Zertifikatspeichers für Umbrella

Einleitung

In diesem Dokument wird beschrieben, wie Firefox für die Bereitstellung der Umbrella Root CA konfiguriert wird.

Überblick

Die Bereitstellung der Cisco Umbrella Root CA kann für Firefox-Benutzer schwierig sein, da es keine integrierte Möglichkeit zur zentralen Verwaltung von Firefox gibt. In diesem Artikel wird beschrieben, wie Firefox so konfiguriert werden kann, dass Zertifikate im Windows-Zertifikatspeicher als vertrauenswürdig angesehen werden. Dies erleichtert langfristig das Zertifikatsmanagement über Gruppenrichtlinien.

Diese Anleitung wird ohne Mängelgewähr bereitgestellt und kann über das unten Gesagte hinaus nicht direkt von Umbrella unterstützt werden.

Windows-Zertifikatspeicher verwenden

Seit FF49 ist eine neue Option enthalten, die es Firefox ermöglicht, den Stammautorisierungen im Windows-Zertifikatspeicher zu vertrauen.  Das bedeutet, dass Zertifikate wie gewohnt über Gruppenrichtlinien bereitgestellt werden können und Firefox denselben Root-Autoritäten vertraut, denen Internet Explorer vertraut.  Weitere Informationen finden Sie hier:
https://bugzilla.mozilla.org/show_bug.cgi?id=1265113

Leider hat Mozilla entschieden, diese Funktion nicht standardmäßig zu aktivieren, sodass diese Methode noch eine andere Konfiguration erfordert. Um diese Einstellung zu aktivieren, muss security.enterprise_roots.enabled auf true festgelegt werden.  Weitere Informationen finden Sie hier:
https://bugzilla.mozilla.org/show_bug.cgi?id=1314010

So aktivieren Sie diese Funktion auf einem einzelnen Computer:

• Geben Sie in Firefox about:config in die Adressleiste ein.
• Wenn Sie dazu aufgefordert werden, akzeptieren Sie etwaige Warnungen.
• Klicken Sie mit der rechten Maustaste, um einen neuen booleschen Wert zu erstellen, und geben Sie security.enterprise_root.enabled als Namen ein
• Legen Sie den Wert auf true fest.

Um diese Funktion auf mehreren Computern zu aktivieren, müssen Sie eine andere Methode zum Sperren der Einstellungen in Firefox verwenden. Der Vorteil besteht darin, dass Sie Zertifikate nach der Aktivierung einfach mithilfe der Gruppenrichtlinie verwalten können.

Sperren von Firefox-Einstellungen

Sie können eine Einstellungsdatei verwenden, um die Einstellung security.enterprise_roots.enabled zu konfigurieren. Verwenden Sie dazu die angehängten Dateien:

• Die Datei umbrella.cfg muss im Root des Firefox-Verzeichnisses abgelegt werden. Beispiele:
  C:\Program Files\Mozilla Firefox\umbrella.cfg
• Die Datei local-settings.js muss im Unterverzeichnis \defaults\pref abgelegt werden. Beispiele:
  C:\Program Files\Mozilla Firefox\defaults\pref\local-settings.js

Der Inhalt von local-settings.js muss wie folgt lauten:

 pref("general.config.obscure_value", 0);  pref("general.config.filename", "umbrella.cfg");

Der Inhalt der Datei umbrella.cfg muss wie folgt lauten:

 // lockPref("security.enterprise_roots.enabled", true);

Anmerkung: Wenn Sie die Dateien manuell erstellen, müssen sie ANSI-codiert sein.

Verteilung von Firefox-Einstellungsdateien über Gruppenrichtlinien

Die Gruppenrichtlinie kann zum Verteilen der Dateien verwendet werden.

Anmerkung: Für diesen Prozess muss Firefox am Standardspeicherort auf den Client-Computern installiert sein.

1. Fügen Sie die Dateien umbrella.cfg und local-settings.js zu einer Netzwerkfreigabe hinzu. Stellen Sie sicher, dass die Freigabe über Leseberechtigungen für 'Domänencomputer' verfügt.
2. Erstellen/Bearbeiten einer Gruppenrichtlinie in der Gruppenrichtlinienverwaltung
3. Bearbeiten Sie die Einstellungen unter Computerkonfiguration > Voreinstellungen > Windows-Einstellungen > Dateien.
4. Klicken Sie mit der rechten Maustaste, und wählen Sie Neue Datei
5. Verweisen Sie die Quelldatei auf umbrella.cfg in der Netzwerkfreigabe.
6. Zeigen Sie auf die Zieldatei C:\Program Files\Mozilla Firefox\umbrella.cfg und Apply
7. Wiederholen Sie diese Schritte, um dieselbe Datei in C:\Program Files (x86)\Mozilla Firefox\umbrella.cfg zu kopieren
8. Wiederholen Sie diese Schritte, um local-settings.js nach C:\Program Files\Mozilla Firefox\defaults\pref\local-settings.js zu kopieren.
9. Wiederholen Sie diese Schritte, um local-settings.js nach C:\Program Files (x86)\Mozilla Firefox\defaults\pref\local-settings.js zu kopieren.

Verteilung von Firefox-Einstellungen mit dem Firefox-Installationsprogramm

Diese Dateien können während der Installation auch per Skript an den richtigen Ort kopiert werden, wenn Sie eine skriptgesteuerte Firefox-Installation durchführen. Details zur Durchführung einer skriptbasierten Installation von Firefox finden Sie hier:
https://wiki.mozilla.org/Installer:Command_Line_Arguments

Das vollständige Offline-Installationsprogramm für Firefox ist für eine skriptbasierte Installation erforderlich.  Diese finden Sie hier:
https://www.firefox.com/en-US/download/all/?redirect_source=mozilla-org

(Optional) Verteilung der Firefox-Einstellungen mit CCK2

CCK2 ist eine weitere beliebte Methode zum Erstellen gesperrter Firefox-Konfigurationen. CCK2 ist ein Firefox-Add-on mit einer grafischen Benutzeroberfläche, mit der Sie viele verschiedene Firefox-Voreinstellungen festlegen können:
https://mike.kaply.com/cck2/

CCK2 erstellt AutoConfig-Einstellungen, die in das Firefox-Installationsverzeichnis extrahiert werden können.
Optional kann CCK2 diese Einstellungen auch als Firefox-Erweiterung exportieren, die an Benutzer verteilt werden kann.