ローカル発行者証明書を取得できません（ただし、信頼できるCA証明書ストアは問題ないようです）。

Question

私の問題を解決し、ここで解決策を共有します。信頼できるCAストアの証明書は実際には大丈夫です。私の問題は、OpenSSLを削除して再構築することで発生しました。

「新しい」OpenSSLインストールディレクトリには、とりわけ次のものが含まれています。/資格そして/プライベートフォルダとopenssl.cnfファイル。

$ ll
total 68
drwxr-xr-x  9 root root  4096 Jul 28 12:10 ./
drwxr-xr-x 11 root root  4096 Jul 26 21:58 ../
drwxr-xr-x  2 root root  4096 Jul 26 21:59 bin/
drwxr-xr-x  2 root root  4096 Jul 26 21:59 certs/
-rw-r--r--  1 root root   412 Jul 28 12:10 ct_log_list.cnf
-rw-r--r--  1 root root   412 Jul 28 12:10 ct_log_list.cnf.dist
drwxr-xr-x  3 root root  4096 Jul 26 21:59 include/
drwxr-xr-x  4 root root  4096 Jul 26 21:59 lib/
drwxr-xr-x  6 root root  4096 Jul 26 21:58 man/
drwxr-xr-x  2 root root  4096 Jul 28 12:10 misc/
-rw-r--r--  1 root root 10835 Jul 26 21:59 openssl.cnf
-rw-r--r--  1 root root 10909 Jul 28 12:10 openssl.cnf.dist
drwxr-xr-x  2 root root  4096 Jul 26 21:59 private/

ただし、このサーバー（「新しいプライマリUbuntu20」ではなくサードパーティ製）は、信頼できるCAを次の場所に保存します。/etc/ssl/証明書。簡単に言うと、OpenSSLがすべての共通証明書を持つCAリポジトリを「見つけられない」理由です。解決策は、このソースフォルダを削除し、実際の信頼できるCAストアにシンボリックリンクを追加することでした。

$ rmdir certs    
$ ln -s /etc/ssl/certs ./certs

また追加されました:

$ rm openssl.cnf
$ rmdir private
$ ln -s /etc/ssl/openssl.cnf ./openssl.cnf
$ ln -s /etc/ssl/private ./private

これで、次のようになります。

$ ll
total 48
drwxr-xr-x  7 root root  4096 Jul 30 17:02 ./
drwxr-xr-x 11 root root  4096 Jul 26 21:58 ../
drwxr-xr-x  2 root root  4096 Jul 26 21:59 bin/
lrwxrwxrwx  1 root root    14 Jul 30 16:57 certs -> /etc/ssl/certs/
-rw-r--r--  1 root root   412 Jul 28 12:10 ct_log_list.cnf
-rw-r--r--  1 root root   412 Jul 28 12:10 ct_log_list.cnf.dist
drwxr-xr-x  3 root root  4096 Jul 26 21:59 include/
drwxr-xr-x  4 root root  4096 Jul 26 21:59 lib/
drwxr-xr-x  6 root root  4096 Jul 26 21:58 man/
drwxr-xr-x  2 root root  4096 Jul 28 12:10 misc/
lrwxrwxrwx  1 root root    20 Jul 30 17:02 openssl.cnf -> /etc/ssl/openssl.cnf
-rw-r--r--  1 root root 10909 Jul 28 12:10 openssl.cnf.dist
lrwxrwxrwx  1 root root    16 Jul 30 17:02 private -> /etc/ssl/private/

同じ方法で設定された別のサーバーにログインし、OPENSSLDIR（OpenSSLインストールディレクトリ）を見つけてソリューションを見つけました。

openssl version -d

これら2つのサーバーには違いがあります。このフォルダ内を見てください。動作するサーバー上のフォルダでシンボリックリンクを探します。サーバーに空の「certs」フォルダが見つかりましたが、存在しません。シンボリックリンクを追加しました。解決しました。

Answer 1