Configurar Firefox para usar el Almacén de certificados de Windows para Umbrella

Introducción

Este documento describe cómo configurar Firefox para implementar la CA raíz de Umbrella.

Overview

La implementación de la CA raíz de Cisco Umbrella puede ser difícil para los usuarios de Firefox, ya que no hay una forma integrada de administrar Firefox de forma centralizada. En este artículo se describe cómo se puede configurar Firefox para confiar en los certificados del almacén de certificados de Windows. Esto hace que la administración de certificados a través de la política de grupo sea mucho más fácil a largo plazo.

Esta guía se proporciona "tal cual" y no puede ser apoyada directamente por Umbrella más allá de lo que se describe a continuación.

Utilizar el almacén de certificados de Windows

A partir de FF49, se ha incluido una nueva opción que permite a Firefox confiar en las autoridades raíz en el almacén de certificados de Windows.  Esto significa que los certificados se pueden implementar a través de la directiva de grupo de la forma habitual y Firefox confía en las mismas autoridades raíz en las que confía Internet Explorer.  Para obtener más información, consulte aquí:
https://bugzilla.mozilla.org/show_bug.cgi?id=1265113

Desafortunadamente, Mozilla ha decidido no activar esta función de forma predeterminada, por lo que este método todavía requiere alguna otra configuración. Para habilitar esta configuración, security.enterprise_roots.enabled debe establecerse en true.  Para obtener más información, consulte aquí:
https://bugzilla.mozilla.org/show_bug.cgi?id=1314010

Para habilitar esta característica en un solo equipo:

• En Firefox, escriba about:config en la barra de direcciones
• Si se le solicita, acepte cualquier advertencia
• Haga clic con el botón secundario para crear un nuevo valor booleano e introduzca security.enterprise_roots.enabled como nombre
• Establezca el valor en true

Para habilitar esta característica en varios equipos, debe usar otro método para bloquear las preferencias en Firefox. La ventaja es que, una vez habilitada, puede administrar fácilmente los certificados mediante la directiva de grupo en el futuro.

Bloquear preferencias de Firefox

Puede utilizar un archivo de preferencias para configurar la configuración security.enterprise_roots.enabled. Para ello, utilice los archivos adjuntos:

• El archivo umbrella.cfg debe colocarse en la raíz del directorio de Firefox. Por ejemplo:
  C:\Program Files\Mozilla Firefox\umbrella.cfg
• El archivo local-settings.js debe colocarse en el subdirectorio \defaults\pref. Por ejemplo:
  C:\Program Files\Mozilla Firefox\defaults\pref\local-settings.js

El contenido de local-settings.js debe ser el siguiente:

 pref("general.config.obscure_value", 0);  pref("general.config.filename", "umbrella.cfg");

El contenido del archivo umbrella.cfg debe ser el siguiente:

 // lockPref("security.enterprise_roots.enabled", true);

Nota: Si crea los archivos manualmente, deben estar codificados en ANSI.

Distribución de archivos de preferencias de Firefox mediante la directiva de grupo

Se puede utilizar la directiva de grupo para distribuir los archivos.

Nota: Este proceso requiere que Firefox esté instalado en la ubicación predeterminada de los equipos cliente.

1. Agregue los archivos umbrella.cfg y local-settings.js a un recurso compartido de red. Asegúrese de que el recurso compartido tiene permisos de lectura para 'Equipos de dominio'
2. Crear/editar una directiva de grupo en Administración de directivas de grupo
3. Edite la configuración en Configuración del equipo > Preferencias > Configuración de Windows > Archivos
4. Haga clic con el botón derecho y seleccione Nuevo archivo
5. Señale Archivo de origen en umbrella.cfg en el recurso compartido de red
6. Señale el archivo 'Destination' para que sea C:\Program Files\Mozilla Firefox\umbrella.cfg y Apply.
7. Repita estos pasos para copiar el mismo archivo en C:\Program Files (x86)\Mozilla Firefox\umbrella.cfg
8. Repita estos pasos para copiar local-settings.js en C:\Program Files\Mozilla Firefox\defaults\pref\local-settings.js
9. Repita estos pasos para copiar local-settings.js en C:\Program Files (x86)\Mozilla Firefox\defaults\pref\local-settings.js

Distribución de preferencias de Firefox con el instalador de Firefox

Estos archivos también se pueden copiar mediante secuencias de comandos a la ubicación correcta durante la instalación, si está realizando una instalación con secuencia de comandos de Firefox. Los detalles sobre cómo realizar una instalación guiada de Firefox están aquí:
https://wiki.mozilla.org/Installer:Command_Line_Arguments

Se necesita el instalador fuera de línea completo para Firefox para una instalación con scripts.  Esto está disponible aquí:
https://www.firefox.com/en-US/download/all/?redirect_source=mozilla-org

(Opcional) Distribución de la configuración de Firefox con CCK2

CCK2 es otro método popular para crear configuraciones de firefox bloqueadas. CCK2 es un complemento de Firefox con una interfaz gráfica de usuario que le permite establecer muchas preferencias diferentes de Firefox:
https://mike.kaply.com/cck2/

CCK2 genera una configuración de configuración automática que se puede extraer en el directorio de instalación de Firefox.
De manera opcional, CCK2 también puede exportar estos ajustes como una extensión de Firefox que se puede distribuir a los usuarios.