Configurar o Firefox para usar o Repositório de Certificados do Windows para Umbrella

Introdução

Este documento descreve como configurar o Firefox para implantar a CA raiz do guarda-chuva.

Overview

A implantação da CA raiz do Cisco Umbrella pode ser difícil para usuários do Firefox, pois não há uma maneira integrada de gerenciar centralmente o Firefox. Este artigo descreve como o Firefox pode ser configurado para confiar em certificados no armazenamento de certificados do Windows. Isso torna o gerenciamento de certificados por meio da política de grupo muito mais fácil a longo prazo.

Esta orientação é fornecida "no estado em que se encontra" e não pode ser suportada diretamente pela Umbrella além do que está descrito abaixo.

Usar o armazenamento de certificados do Windows

A partir do FF49, uma nova opção foi incluída, permitindo que o Firefox confie em autoridades raiz no armazenamento de certificados do Windows.  Isso significa que os certificados podem ser implantados via política de grupo como de costume e que o Firefox confia nas mesmas autoridades raiz que o Internet Explorer confia.  Para obter mais detalhes, consulte aqui:
https://bugzilla.mozilla.org/show_bug.cgi?id=1265113

Infelizmente, a Mozilla decidiu não ativar esse recurso por padrão, portanto, esse método ainda requer alguma outra configuração. Para habilitar essa configuração, security.enterprise_roots.enabled deve ser definido como true.  Para obter mais detalhes, consulte aqui:
https://bugzilla.mozilla.org/show_bug.cgi?id=1314010

Para habilitar este recurso em um único computador:

• No Firefox, digite about:config na barra de endereços
• Se solicitado, aceite quaisquer avisos
• Clique com o botão direito do mouse para criar um novo valor booleano e insira security.enterprise_roots.enabled como o Nome
• Defina o valor como verdadeiro

Para ativar esse recurso em vários computadores, você precisa usar outro método para bloquear as preferências no Firefox. O benefício é que, uma vez habilitado, você pode facilmente gerenciar certificados usando a política de grupo no futuro.

Bloqueando preferências do Firefox

Você pode usar um arquivo de preferências para definir a configuração security.enterprise_roots.enabled. Para fazer isso, use os arquivos anexados:

• O arquivo umbrella.cfg deve ser colocado na raiz do diretório do Firefox. Por exemplo:
  C:\Program Files\Mozilla Firefox\umbrella.cfg
• O arquivo local-settings.js deve ser colocado no subdiretório \defaults\pref. Por exemplo:
  C:\Program Files\Mozilla Firefox\defaults\pref\local-settings.js

O conteúdo de local-settings.js deve ser o seguinte:

 pref("general.config.obscure_value", 0);  pref("general.config.filename", "umbrella.cfg");

O conteúdo do arquivo umbrella.cfg deve ser o seguinte:

 // lockPref("security.enterprise_roots.enabled", true);

Note: Se os arquivos forem criados manualmente, eles deverão ser codificados por ANSI.

Distribuindo arquivos de preferências do Firefox por meio da Diretiva de Grupo

A política de grupo pode ser usada para distribuir os arquivos.

Note: Esse processo requer que o Firefox esteja instalado no local padrão nos computadores cliente.

1. Adicione os arquivos umbrella.cfg e local-settings.js a um compartilhamento de rede. Verifique se o compartilhamento tem permissões de leitura para 'Computadores de Domínio'
2. Criar/Editar uma diretiva de grupo no Gerenciamento de Diretiva de Grupo
3. Edite as configurações em Configuração do Computador > Preferências > Configurações do Windows > Arquivos
4. Clique com o botão direito do mouse e selecione Novo arquivo
5. Aponte o arquivo de origem para umbrella.cfg no compartilhamento de rede
6. Aponte o arquivo 'Destination' para C:\Program Files\Mozilla Firefox\umbrella.cfg e Apply
7. Repita essas etapas para copiar o mesmo arquivo para C:\Program Files (x86)\Mozilla Firefox\umbrella.cfg
8. Repita essas etapas para copiar local-settings.js para C:\Program Files\Mozilla Firefox\defaults\pref\local-settings.js
9. Repita essas etapas para copiar local-settings.js para C:\Program Files (x86)\Mozilla Firefox\defaults\pref\local-settings.js

Distribuir as preferências do Firefox com o instalador do Firefox

Esses arquivos também podem ser copiados por script para o local correto durante a instalação, se você estiver executando uma instalação com script do Firefox. Detalhes sobre como executar uma instalação com script do Firefox estão aqui:
https://wiki.mozilla.org/Installer:Command_Line_Arguments

O instalador offline completo do Firefox é necessário para uma instalação com script.  Isso está disponível aqui:
https://www.firefox.com/en-US/download/all/?redirect_source=mozilla-org

(Opcional) Distribuindo configurações do Firefox com CCK2

O CCK2 é outro método popular para criar configurações bloqueadas do firefox. O CCK2 é um complemento do Firefox com uma GUI que permite definir muitas preferências diferentes do Firefox:
https://mike.kaply.com/cck2/

O CCK2 produz configurações de configuração automática que podem ser extraídas no diretório de instalação do Firefox.
Opcionalmente, o CCK2 também pode exportar essas configurações como uma extensão do Firefox que pode ser distribuída aos usuários.