Scert/doc/证书目录配置说明.md

证书目录配置说明

首次初始化第 4 步的“证书部署根目录”支持自定义。未修改时保留安装器提供的默认目录；填写的目录位于 Scert 服务器上，不是浏览器所在电脑。

• 必须使用服务器操作系统支持的绝对路径，不能使用文件系统根目录。
• 目录必须独立，不能与配置、数据、日志、备份目录重叠，不能使用符号链接。
• 提交初始化时，Scert 会在申请证书之前检查目录，并使用自身运行身份验证创建、写入及清理权限。仅清理本次创建的随机探测文件，不清空目录内已有内容。
• 验证通过的自定义目录会写入正式配置，管理证书和后续证书存储使用该目录。目录可写不代表证书已经签发或生产部署已经验收通过。

Linux 服务权限

服务运行账户的文件权限与 systemd 的可写目录限制都必须允许目标目录。仅在页面填写路径不能绕过这些限制。

安装时已开放的证书目录下可以使用独立子目录。若要使用其他目录，管理员应先创建目录、授予 Scert 运行账户权限，并在 Scert.service 的 ReadWritePaths 中追加该目录，随后重载并重启服务。不要为此取消整个服务沙箱，也不要给整个系统目录开放写权限。

若目录不可创建或不可写，页面会明确提示检查运行账户权限及服务可写目录限制，不会先申请证书再因目录权限失败。