将Firefox配置为使用适用于Umbrella的Windows证书存储区

简介

本文档介绍如何配置Firefox以部署Umbrella Root CA。

概述

部署Cisco Umbrella Root CA对Firefox用户来说可能很困难，因为不存在集中管理Firefox的内置方法。本文描述如何将Firefox配置为信任Windows证书存储区中的证书。这使得通过组策略进行证书管理从长远来看变得更加简单。

本指南按“原样”提供，除下文概述的内容外，Umbrella不能直接支持本指南。

使用Windows证书存储区

自FF49起，已包含允许Firefox信任Windows证书存储区中的根证书颁发机构的新选项。  这意味着证书可以通过组策略按正常方式部署，并且Firefox信任Internet Explorer信任的相同根授权。  有关详细信息，请参阅此处：
https://bugzilla.mozilla.org/show_bug.cgi?id=1265113

遗憾的是，Mozilla已决定默认情况下不启用此功能，因此此方法仍需要一些其他配置。要启用此设置，security.enterprise_roots.enabled必须设置为true。  有关详细信息，请参阅此处：
https://bugzilla.mozilla.org/show_bug.cgi?id=1314010

要在单台计算机上启用此功能，请执行以下操作：

• 在Firefox中，在地址栏中键入about:config
• 如果出现提示，请接受任何警告
• 右键单击以创建新的布尔值，然后输入security.enterprise_roots.enabled作为名称
• 将该值设置为true

要在多台计算机上启用此功能，您需要使用其他方法锁定Firefox中的首选项。其优势在于，一旦启用，您以后就可以使用组策略轻松管理证书。

锁定Firefox首选项

可以使用首选项文件配置security.enterprise_root.enabled设置。为此，请使用附加的文件：

• umbrella.cfg文件必须放在Firefox目录的根目录中。例如：
  C:\Program Files\Mozilla Firefox\umbrella.cfg
• local-settings.js文件必须放在\defaults\pref子目录中。例如：
  C:\Program Files\Mozilla Firefox\defaults\pref\local-settings.js

local-settings.js的内容必须如下所示：

 pref("general.config.obscure_value", 0);  pref("general.config.filename", "umbrella.cfg");

umbrella.cfg文件的内容必须如下所示：

 // lockPref("security.enterprise_roots.enabled", true);

注意：如果手动创建文件，则必须采用ANSI编码。

通过组策略分发Firefox首选项文件

组策略可用于分发文件。

注意：此过程要求将Firefox安装到客户端计算机上的默认位置。

1. 将文件umbrella.cfg和local-settings.js添加到网络共享。确保共享具有“域计算机”的读取权限
2. 在组策略管理中创建/编辑组策略
3. 编辑计算机配置 > 首选项 > Windows设置 > 文件中的设置
4. 右键单击并选择“新建文件”
5. 将源文件指向网络共享上的umbrella.cfg
6. 将“Destination”文件指向C:\Program Files\Mozilla Firefox\umbrella.cfg和Apply
7. 重复这些步骤，将同一文件复制到C:\Program Files(x86)\Mozilla Firefox\umbrella.cfg
8. 重复这些步骤，将local-settings.js复制到C:\Program Files\Mozilla Firefox\defaults\pref\local-settings.js
9. 重复这些步骤，将local-settings.js复制到C:\Program Files(x86)\Mozilla Firefox\defaults\pref\local-settings.js

使用Firefox安装程序分发Firefox首选项

如果您正在执行脚本化Firefox安装，则也可以通过脚本将这些文件复制到安装过程中的正确位置。有关执行Firefox脚本安装的详细信息如下：
https://wiki.mozilla.org/Installer:Command_Line_Arguments

脚本安装需要Firefox的完整脱机安装程序。  此处提供以下信息：
https://www.firefox.com/en-US/download/all/?redirect_source=mozilla-org

（可选）使用CCK2分发Firefox设置

CCK2是另一种创建锁定firefox配置的常用方法。CCK2是具有GUI的Firefox加载项，允许您设置许多不同的Firefox首选项：
https://mike.kaply.com/cck2/

CCK2会生成可提取到Firefox安装目录中的AutoConfig设置。
或者，CCK2也可以将这些设置导出为Firefox扩展，以便分发给用户。