在 macOS 上管理数字凭证需用“钥匙串访问”设置证书信任：导入 .cer/.pem/.crt 文件至“登录”或“系统”钥匙串，双击证书→展开“信任”→设为“始终信任”并输密码确认；区分钥匙串用途，定期清理过期/重复证书，导出备份防误删。
在 macOS 上管理数字凭证和根证书，核心是用好“钥匙串访问”这个系统级工具。它不只是存密码的地方，更是整个系统信任体系的控制中心——证书是否被信任、用在哪些场景、有效期到哪天，全在这里设置。
把证书加进钥匙串是最基础一步
拿到 .cer、.pem 或 .crt 格式的根证书文件后，直接拖进“钥匙串访问”App 的左侧边栏里“登录”或“系统”钥匙串中即可。注意：普通用户一般用“登录”钥匙串；如果证书要供所有用户或系统服务使用（比如某些后台进程），才选“系统”钥匙串——后者需要管理员密码确认。
- 打开方式：启动台搜索“钥匙串访问”，或通过访达前往“应用程序 → 实用工具”
- 拖放位置：确保拖到右侧证书列表的空白区域，不是顶部菜单栏或侧边栏图标上
- 常见错误：双击证书文件默认用预览打开，不会导入；必须手动拖入钥匙串窗口
关键动作是设置“始终信任”
刚导入的证书默认不被完全信任，图标旁会带红叉或黄色警告三角。要让它真正生效，得手动开启信任策略：
- 双击证书 → 点开“信任”小箭头 → 展开“使用此证书时”下拉菜单
- 选择“始终信任”（不是“系统默认”或“从不信任”）
- 关闭窗口时会弹出密码框，输入当前 macOS 登录密码确认变更
- 刷新后看到证书前的红叉消失，说明已启用信任
区分不同钥匙串和用途很必要
macOS 有多个钥匙串，各自作用不同：
- 登录钥匙串：当前用户私有，存放个人证书、网站密码等，受用户密码保护
- 系统钥匙串：全局可用，需管理员权限操作，适合部署企业内网 CA 根证书
- 登录项钥匙串：由 iCloud 同步，不建议放敏感证书（同步可能带来策略冲突）
比如你安装的是公司自建 CA 的根证书，应导入“系统”钥匙串并设为始终信任，这样 Safari、Chrome、邮件 App 甚至终端 curl 都能识别内部 HTTPS 站点。
检查与清理不能少
过期、重复或不再需要的证书会干扰信任链，定期整理很有必要：
- 在钥匙串访问中筛选“过期”状态，右键删除失效条目
- 搜索证书名（如 DigiCert、GlobalSign、或你公司的 CA 名称），确认是否已存在同名但不同版本的证书
- 导出备份：选中证书 → 文件 → 导出，保存为 .cer 或 .p12（含私钥时用后者），防止误删
- 遇到“此连接非私密”提示，可点地址栏锁形图标 → “显示证书” → 查看“证书路径”，快速定位是哪一级没被信任
