APNs HTTP/2推送场景 苹果2021.3.29证书变更需配置哪些根CA？

无需安装Sectigo页面列出的全部3款根CA，也不能仅单独安装新版根证书，按苹果官方通知要求配置指定的2款根证书即可满足切换要求

• 苹果官方2021年2月10日的通知明确划定了强制配置范围：2021年3月29日切换节点前后，为保证平滑过渡，每台推送服务器的信任库需同时配置旧版GeoTrust Global CA根证书、新版AAACertificateServices 5/12/2020根证书，全程未提及需要添加Comodo RSA、USERTrust RSA两款根证书
• Sectigo支持页面列出的3款同根体系证书，是其全业务线的公共根证书集合，并非APNs接口专用的配置清单：虽然Comodo RSA、USERTrust RSA的认证路径最终溯源到AAA Certificate Services，但APNs服务器端出示的服务证书链，仅以旧GeoTrust Global CA、2020版AAACertificateServices作为根锚点，不存在需要Comodo RSA、USERTrust RSA作为信任锚的证书段，将这两款加入信任库仅属于冗余配置，不属于强制要求
• 苹果通知中明确说明：已为开发者颁发的APNs SSL服务商证书暂不需要更新，只要服务器信任库完成上述两款指定根证书的配置，即可覆盖切换节点前后的所有TLS握手校验，不会出现因信任链不匹配导致的推送投递失败问题

配置达标校验标准 #

• 配置完成后，可正常与APNs生产/沙箱接口完成TLS 1.2及以上版本的HTTP/2连接握手，无证书不受信的报错
• 无其他同体系根证书的冲突性信任配置问题
• 冗余添加的非强制根证书只要不存在信任规则冲突，不会对现有推送服务造成影响，但无需为了凑齐页面展示的全部证书强行安装

配置误区提醒：不要将第三方根证书服务商的全量产品列表，等同于某一特定业务场景的强制配置清单，所有配置要求始终以苹果针对APNs场景发出的官方通知为唯一依据。

内容的提问来源于stack exchange，提问作者cvocvo