配置Firefox以使用Windows Certificate Store for Umbrella

簡介

本文檔介紹如何配置Firefox以部署Umbrella根CA。

概觀

Firefox使用者很難部署Cisco Umbrella Root CA，因為沒有集中管理Firefox的內建方式。本文描述如何將Firefox配置為信任Windows證書儲存中的證書。這樣，從長遠來看，通過組策略進行證書管理會更加容易。

本指南按「原樣」提供，除下文概述的內容外，不得由Umbrella直接支援。

使用Windows證書儲存區

自FF49起，包含了一個新選項，允許Firefox信任Windows證書儲存中的根授權。  這意味著可以通過組策略以正常方式部署證書，並且Firefox信任與Internet Explorer信任的相同根授權。  有關詳細資訊，請參閱此處：
https://bugzilla.mozilla.org/show_bug.cgi?id=1265113

很遺憾，Mozilla已決定不在預設情況下啟用此功能，因此此方法仍需要一些其他配置。要啟用此設定，security.enterprise_roots.enabled必須設定為true。  有關詳細資訊，請參閱此處：
https://bugzilla.mozilla.org/show_bug.cgi?id=1314010

要在單台電腦上啟用此功能，請執行以下操作：

• 在Firefox中，在位址列中鍵入about:config
• 如果出現提示，請接受任何警告
• 按一下右鍵以建立新的布林值，然後輸入security.enterprise_roots.enabled作為名稱
• 將該值設定為true

要在多台電腦上啟用此功能，您需要使用其他方法鎖定Firefox中的首選項。其好處在於，一旦啟用該功能，您以後就可以使用組策略輕鬆管理證書。

鎖定Firefox首選項

您可以使用首選項檔案配置security.enterprise_root.enabled設定。為此，請使用附件：

• umbrella.cfg檔案必須放在Firefox目錄的根目錄中。舉例來說：
  C:\Program Files\Mozilla Firefox\umbrella.cfg
• local-settings.js檔案必須放在\defaults\pref子目錄中。舉例來說：
  C:\Program Files\Mozilla Firefox\defaults\pref\local-settings.js

local-settings.js的內容必須如下所示：

 pref("general.config.obscure_value", 0);  pref("general.config.filename", "umbrella.cfg");

umbrella.cfg檔案的內容必須如下所示：

 // lockPref("security.enterprise_roots.enabled", true);

附註：如果手動建立檔案，則必須採用ANSI編碼。

通過組策略分發Firefox首選項檔案

組策略可用於分發檔案。

附註：此過程要求將Firefox安裝到客戶端電腦上的預設位置。

1. 將umbrella.cfg和local-settings.js檔案新增到網路共用。確保共用具有「域電腦」的讀取許可權
2. 在組策略管理中建立/編輯組策略
3. 編輯電腦配置 > 首選項 > Windows設定 > 檔案中的設定
4. 按一下右鍵並選擇「新建檔案」
5. 將原始檔指向網路共用上的umbrella.cfg
6. 將「Destination」檔案指向C:\Program Files\Mozilla Firefox\umbrella.cfg並應用
7. 重複這些步驟，將相同檔案複製到C:\Program Files(x86)\Mozilla Firefox\umbrella.cfg
8. 重複這些步驟，將local-settings.js複製到C:\Program Files\Mozilla Firefox\defaults\pref\local-settings.js
9. 重複這些步驟，將local-settings.js複製到C:\Program Files(x86)\Mozilla Firefox\defaults\pref\local-settings.js

使用Firefox安裝程式分發Firefox首選項

如果您正在執行指令碼化Firefox安裝，則也可以在安裝期間通過指令碼將這些檔案複製到正確的位置。有關執行Firefox指令碼安裝的詳細資訊如下：
https://wiki.mozilla.org/Installer:Command_Line_Arguments

指令碼安裝需要Firefox的完整離線安裝程式。  以下網址提供此功能：
https://www.firefox.com/en-US/download/all/?redirect_source=mozilla-org

（可選）使用CCK2分發Firefox設定

CCK2是另一種常用方法，用於建立鎖定的firefox配置。CCK2是具有GUI的Firefox附加模組，允許您設定許多不同的Firefox首選項：
https://mike.kaply.com/cck2/

CCK2會生成可以提取到Firefox安裝目錄中的AutoConfig設定。
或者，CCK2也可以將這些設定匯出為可以分發給使用者的Firefox擴展。