Configurer Firefox pour utiliser le magasin de certificats Windows pour Umbrella

Introduction

Ce document décrit comment configurer Firefox pour déployer l'AC racine Umbrella.

Aperçu

Le déploiement de l'autorité de certification Cisco Umbrella Root peut s'avérer difficile pour les utilisateurs de Firefox, car il n'existe aucun moyen intégré de gérer Firefox de manière centralisée. Cet article décrit comment Firefox peut être configuré pour faire confiance aux certificats dans le magasin de certificats Windows. La gestion des certificats via la stratégie de groupe est ainsi beaucoup plus facile à long terme.

Cette ligne directrice est fournie « en l'état » et ne peut être directement appuyée par Umbrella au-delà de ce qui est décrit ci-dessous.

Utiliser le magasin de certificats Windows

Depuis FF49, une nouvelle option a été incluse qui permet à Firefox d'approuver les autorités racine dans le magasin de certificats Windows.  Cela signifie que les certificats peuvent être déployés via une stratégie de groupe comme d'habitude et que Firefox fait confiance aux mêmes autorités racine qu'Internet Explorer.  Pour plus de détails, voir ici :
https://bugzilla.mozilla.org/show_bug.cgi?id=1265113

Malheureusement, Mozilla a décidé de ne pas activer cette fonctionnalité par défaut, de sorte que cette méthode nécessite toujours une autre configuration. Pour activer ce paramètre, security.enterprise_roots.enabled doit être défini sur true.  Pour plus de détails, voir ici :
https://bugzilla.mozilla.org/show_bug.cgi?id=1314010

Pour activer cette fonctionnalité sur un seul ordinateur :

• Dans Firefox, tapez about:config dans la barre d'adresse
• Si vous y êtes invité, acceptez les avertissements
• Cliquez avec le bouton droit de la souris pour créer une nouvelle valeur booléenne et entrez security.enterprise_roots.enabled comme nom
• Définissez la valeur sur true

Pour activer cette fonctionnalité sur plusieurs ordinateurs, vous devez utiliser une autre méthode pour verrouiller les préférences dans Firefox. L'avantage est qu'une fois activé, vous pouvez facilement gérer les certificats à l'aide de la stratégie de groupe à l'avenir.

Verrouillage des préférences Firefox

Vous pouvez utiliser un fichier de préférences pour configurer le paramètre security.enterprise_roots.enabled. Pour ce faire, utilisez les fichiers joints :

• Le fichier umbrella.cfg doit être placé à la racine du répertoire Firefox. Exemple :
  C:\Program Files\Mozilla Firefox\umbrella.cfg
• Le fichier local-settings.js doit être placé dans le sous-répertoire \defaults\pref. Exemple :
  C:\Program Files\Mozilla Firefox\defaults\pref\local-settings.js

Le contenu de local-settings.js doit être le suivant :

 pref("general.config.obscure_value", 0);  pref("general.config.filename", "umbrella.cfg");

Le contenu du fichier umbrella.cfg doit être le suivant :

 // lockPref("security.enterprise_roots.enabled", true);

Remarque : Si vous créez les fichiers manuellement, ils doivent être codés ANSI.

Distribution des fichiers de préférences Firefox via la stratégie de groupe

La stratégie de groupe peut être utilisée pour distribuer les fichiers.

Remarque : Ce processus nécessite que Firefox soit installé à l'emplacement par défaut sur les ordinateurs clients.

1. Ajoutez les fichiers umbrella.cfg et local-settings.js à un partage réseau. Assurez-vous que le partage dispose d'autorisations de lecture pour « Ordinateurs du domaine »
2. Créer/Modifier une stratégie de groupe dans Gestion des stratégies de groupe
3. Modifiez les paramètres dans Configuration ordinateur > Préférences > Paramètres Windows > Fichiers
4. Cliquez avec le bouton droit et sélectionnez Nouveau fichier
5. Pointez le fichier source vers umbrella.cfg sur le partage réseau
6. Pointez le fichier « Destination » vers C:\Program Files\Mozilla Firefox\umbrella.cfg et Apply
7. Répétez ces étapes pour copier le même fichier dans C:\Program Files (x86)\Mozilla Firefox\umbrella.cfg
8. Répétez ces étapes pour copier local-settings.js vers C:\Program Files\Mozilla Firefox\defaults\pref\local-settings.js
9. Répétez ces étapes pour copier local-settings.js dans C:\Program Files (x86)\Mozilla Firefox\defaults\pref\local-settings.js

Distribution des préférences Firefox avec l'installateur Firefox

Ces fichiers peuvent également être copiés par script à l'emplacement approprié au cours de l'installation, si vous effectuez une installation par script de Firefox. Les détails sur l'exécution d'une installation scriptée de Firefox sont ici :
https://wiki.mozilla.org/Installer:Command_Line_Arguments

Le programme d'installation hors connexion complet de Firefox est requis pour une installation par script.  Ceci est disponible ici :
https://www.firefox.com/en-US/download/all/?redirect_source=mozilla-org

(Facultatif) Distribution des paramètres Firefox avec CCK2

CCK2 est une autre méthode répandue pour créer des configurations firefox verrouillées. CCK2 est un module complémentaire de Firefox doté d'une interface graphique utilisateur qui vous permet de définir de nombreuses préférences Firefox :
https://mike.kaply.com/cck2/

CCK2 génère des paramètres AutoConfig qui peuvent être extraits dans le répertoire d'installation de Firefox.
En option, CCK2 peut également exporter ces paramètres en tant qu'extension Firefox pouvant être distribuée aux utilisateurs.