LinuxにカスタムCA証明書を追加する方法｜update-ca-trustとupdate-ca-certificatesの実践手順

この記事のポイント

・RHEL系はupdate-ca-trust、Ubuntu系はupdate-ca-certificatesで追加する
・証明書はPEM形式（BEGIN CERTIFICATE行）が前提、DERは変換が必要
・追加後はopenssl verify / curlで必ず動作確認する
・JavaアプリはOSトラストストアとは独立したkeytoolの設定が別途必要

$ curl -v https://internal-server.example.com/
* Trying 192.168.1.50:443...
* Connected to internal-server.example.com (192.168.1.50) port 443
* TLSv1.3 (OUT), TLS handshake, Client hello (1):
* TLSv1.3 (IN), TLS handshake, Certificate (11):
* TLSv1.3 (OUT), TLS alert, unknown CA (560):
* SSL certificate problem: unable to get local issuer certificate
* Closing connection
curl: (60) SSL certificate problem: unable to get local issuer certificate

# PEM形式かどうかを確認する（"BEGIN CERTIFICATE" が表示されれば OK）
$ head -1 myca.crt
-----BEGIN CERTIFICATE-----

# openssl x509 でも詳細を確認できる
$ openssl x509 -in myca.crt -noout -subject -issuer -dates
subject=C=JP, O=Example Corp, CN=Example Internal CA
issuer=C=JP, O=Example Corp, CN=Example Internal CA
notBefore=Jan  1 00:00:00 2024 GMT
notAfter=Dec 31 23:59:59 2034 GMT

# DER形式をPEM形式に変換する
$ openssl x509 -in myca.der -inform DER -out myca.pem -outform PEM

# 変換結果を確認する
$ head -1 myca.pem
-----BEGIN CERTIFICATE-----

# アンカーディレクトリへ証明書をコピーする
$ sudo cp myca.pem /etc/pki/ca-trust/source/anchors/

# コピーを確認する
$ ls -la /etc/pki/ca-trust/source/anchors/
total 12
drwxr-xr-x. 2 root root   22 Oct 11 11:05 .
drwxr-xr-x. 8 root root  156 Sep  1 09:00 ..
-rw-r--r--. 1 root root 2143 Oct 11 11:05 myca.pem

# トラストストアを更新する（正常終了時は出力なし）
$ sudo update-ca-trust extract

# trust コマンドで登録済みの証明書一覧を確認する
$ trust list | grep -A3 "Example Internal CA"
pkcs11:id=%4A%B1%2D%8C%9E%F3%44%A7%BB%CC%1D%E4%F5%96%78%20;type=cert
    type: certificate
    label: Example Internal CA
    trust: anchor

# 拡張子が .pem の場合は .crt にコピーする
$ cp myca.pem myca.crt

# PEM形式であることを確認する
$ head -1 myca.crt
-----BEGIN CERTIFICATE-----

# 証明書をコピーする
$ sudo cp myca.crt /usr/local/share/ca-certificates/

$ ls -la /usr/local/share/ca-certificates/
total 12
drwxr-xr-x 2 root root 4096 Oct 11 12:00 .
drwxr-xr-x 3 root root 4096 Sep  1 09:00 ..
-rw-r--r-- 1 root root 2143 Oct 11 12:00 myca.crt

# トラストストアを更新する
$ sudo update-ca-certificates
Updating certificates in /etc/ssl/certs...
1 added, 0 removed; done.
Running hooks in /etc/ca-certificates/update.d...
done.

# 追加されたシンボリックリンクを確認する
$ ls -la /etc/ssl/certs/ | grep myca
lrwxrwxrwx 1 root root 40 Oct 11 12:00 myca.pem -> /usr/local/share/ca-certificates/myca.crt

# サーバー証明書がシステムのトラストストアで検証できるか確認する
$ openssl verify /path/to/server.crt
/path/to/server.crt: OK

# RHEL系：集約ファイルを明示的に指定して確認する
$ openssl verify -CAfile /etc/pki/tls/certs/ca-bundle.crt /path/to/server.crt
/path/to/server.crt: OK

# curlで動作確認する（証明書エラーが出なければ OK）
$ curl -LI https://internal-server.example.com/
HTTP/2 200
server: nginx/1.24.0
content-type: text/html; charset=UTF-8

# fileコマンドで形式を確認する
$ file /etc/pki/ca-trust/source/anchors/myca.pem
/etc/pki/ca-trust/source/anchors/myca.pem: PEM certificate
# "PEM certificate" と表示されれば OK
# "data" と出たら DER 形式のまま → PEM に変換が必要

# CA証明書を直接指定すると通る場合 → トラストストアへの登録が未反映
$ curl --cacert /tmp/myca.pem https://internal-server.example.com/

# サーバーが送ってくる証明書チェーンを確認する
$ openssl s_client -connect internal-server.example.com:443 -showcerts 2>/dev/null   | grep -E "(subject|issuer)="
subject=C=JP, O=Example Corp, CN=internal-server.example.com
issuer=C=JP, O=Example Corp, CN=Example Intermediate CA

# Java KeyStoreにCA証明書を追加する（デフォルトパスワードは changeit）
$ sudo keytool -import -trustcacerts \
  -keystore $JAVA_HOME/lib/security/cacerts \
  -storepass changeit \
  -alias myca \
  -file myca.pem
Certificate was added to keystore

# 追加を確認する
$ keytool -list -keystore $JAVA_HOME/lib/security/cacerts -storepass changeit | grep myca
myca, Oct 11, 2026, trustedCertEntry,

# RHEL系の場合
$ export REQUESTS_CA_BUNDLE=/etc/pki/tls/certs/ca-bundle.crt

# Ubuntu系の場合
$ export REQUESTS_CA_BUNDLE=/etc/ssl/certs/ca-certificates.crt

# 永続化する場合は /etc/environment または ~/.bashrc に追記する
$ echo 'REQUESTS_CA_BUNDLE=/etc/pki/tls/certs/ca-bundle.crt' | sudo tee -a /etc/environment