SSL/TLS-Zertifikate
Ihre Server weisen sich bei jedem Verbindungsaufbau mit einem Zertifikat aus, das in den Zugriffsschlüsseln einer Server-Farm hinterlegt ist. MANAGER erstellt für jede neue Farm automatisch ein Zertifikat und kann vertrauenswürdige Zertifikate von Let's Encrypt selbstständig abrufen und erneuern.
Hier finden Sie die Zertifikate
Öffnen Sie Server Farms und wählen Sie die gewünschte Farm aus: Unter SSL / TLS Certificates sind alle Zertifikate aufgelistet. Eine Markierung zeigt das aktuell in den Schlüsseln hinterlegte Zertifikat an. Ein Klick auf den Titel öffnet die vollständige Liste samt Mode und Priority.
Jede neue Farm erhält automatisch ein selbstsigniertes Zertifikat mit generiertem Namen, das so lange in ihren Schlüsseln hinterlegt bleibt, bis Sie ein anderes festlegen.
Die Detailseite eines einzelnen Servers enthält dieselbe Übersicht, zeigt jedoch nur die Zertifikate an, die ausschließlich dieser Server nutzt.
Zertifikatseinstellungen
Klicken Sie auf die Domain eines Zertifikats, um dessen Einstellungen zu öffnen.
- Visibility legt fest, wer die Domain des Zertifikats erhält. PublicInToken bettet sie in jeden Schlüssel der Farm ein. Dies ist nur für jeweils ein Zertifikat möglich; weisen Sie diese Option einem anderen zu, wechselt das bisherige automatisch zu Public. Ein Public-Zertifikat, das nur von einem einzelnen Server genutzt wird, erreicht Apps bei CA Signed nur dann, wenn MANAGER die Verbindung zu diesem Server leitet. Ein Private-Zertifikat wird nie an Apps übermittelt. Unabhängig von der Wahl weisen sich Server stets gegenüber Apps aus, die gezielt nach dieser Domain fragen.
- Signing steuert die Zertifikatssignierung. Manual übernimmt bestehende Einstellungen unverändert. Bei AutoSign übernimmt Let's Encrypt die Signierung und MANAGER erneuert das Zertifikat automatisch. DomainOnly eignet sich für Domains mit extern verwaltetem Zertifikat: MANAGER hinterlegt es nicht auf Servern, und Schlüssel können es nicht enthalten.
- Used By definiert die Zuweisung: Server Farm gilt für alle Server der Farm, alternativ lässt sich ein einzelner Server auswählen. Belassen Sie das in den Schlüsseln aktive Zertifikat auf Server Farm, damit sich jeder Server gegenüber den verbundenen Apps authentifizieren kann.
- Priority (Normal, Low oder Lowest) ordnet die Domains von Public-Zertifikaten, wenn MANAGER mehrere Domains an Apps übergibt. Die Zertifikatsauswahl des Servers bleibt davon unberührt.
- Signature zeigt CA Signed bei Signierung durch eine Zertifizierungsstelle an, andernfalls Self-Signed. Apps prüfen ein CA Signed-Zertifikat wie ein gewöhnlicher Webbrowser anhand der Vergabestelle und des Namens – so bleiben Schlüssel auch nach einer Verlängerung gültig. Ein Self-Signed-Zertifikat wird ausschließlich über den im Schlüssel gespeicherten Fingerprint akzeptiert.
- Description dient als persönliche Notiz und hat keine funktionale Auswirkung in MANAGER.
Zertifikat hinzufügen
Wählen Sie unter SSL / TLS Certificates die Option Add, geben Sie einen Domain Name ein und wählen Sie Create. MANAGER erstellt ein selbstsigniertes Zertifikat für die Domain – als Public und Manual – und öffnet es. Die übrigen Felder ergänzen lediglich die Details des Zertifikats.
Wird das Zertifikat direkt auf der Seite eines Servers hinzugefügt, nutzt es ausschließlich dieser Server.
Damit eine Zertifizierungsstelle das Zertifikat signiert, setzen Sie Signing auf AutoSign. Unter Einen Domainnamen und ein vertrauenswürdiges Zertifikat verwenden erfahren Sie Schritt für Schritt, wie das funktioniert und wie Sie die Domain in die Schlüssel einbinden.
AutoSign
Mit AutoSign fordert MANAGER bei Let's Encrypt ein signiertes Zertifikat für die Domain an. Let's Encrypt prüft die Domain über einfaches HTTP auf TCP-Port 80; die Domain muss daher auf einen Server der Serverfarm verweisen und dieser Port geöffnet sein. MANAGER führt vorab denselben Test durch. Währenddessen zeigt Signing den Status Validating... an.
Etwa 30 Tage vor Ablauf des Zertifikats erneuert MANAGER dieses automatisch. Zertifikate von Let's Encrypt sind 90 Tage gültig.
Schlägt eine Überprüfung fehl, zeigt Signing die Ursache in Rot an. MANAGER versucht es etwa einmal täglich erneut; nach sechs aufeinanderfolgenden Fehlversuchen wird Signing auf Manual zurückgesetzt. Um es sofort erneut zu versuchen, wählen Sie Manual und anschließend wieder AutoSign.
Zertifikat hochladen
Mit Upload importieren Sie ein externes Zertifikat: eine PFX-Datei samt exportierbarem privaten Schlüssel und dessen Certificate Password. Legen Sie beim Hochladen die Visibility fest; standardmäßig startet es als Private. Signature zeigt CA Signed an, sobald MANAGER den Aussteller verifizieren kann.
Ein hochgeladenes Zertifikat wird von der gesamten Serverfarm genutzt – auch wenn Sie es auf der Seite eines einzelnen Servers hochladen. Um es nur einem Server zuzuweisen, ändern Sie anschließend dessen Used By.
Das Zertifikat in den Schlüsseln
Die Schlüssel der Farm enthalten die Domain des PublicInToken-Zertifikats und dessen Fingerprint. Ist es CA Signed, lösen Apps die Domain auf und akzeptieren jedes dafür von einer Zertifizierungsstelle ausgestellte Zertifikat. Ist es Self-Signed, akzeptieren sie nur genau dieses Zertifikat und benötigen eine Serveradresse für die Verbindung: MANAGER setzt dann voraus, dass mindestens ein Server der Farm eine PublicInToken-Adresse besitzt.
Wird ein anderes Zertifikat auf PublicInToken gesetzt, verbleibt das bisherige als Public auf den Servern, damit ältere Schlüssel weiterhin funktionieren. Apps erhalten bei der nächsten Verbindung automatisch den neuen Schlüssel (da Push token to clients standardmäßig aktiv ist) – vorausgesetzt, mindestens ein Server der Farm hat eine PublicInToken-Adresse.
Das Hinzufügen oder Hochladen eines Zertifikats für eine bereits vorhandene Domain ersetzt und löscht das alte Zertifikat. Das neue übernimmt die Visibility des alten, falls diese höher war, sodass Erneuerungen direkt in den Schlüsseln verbleiben. Ältere Schlüssel funktionieren nahtlos weiter, wenn das neue Zertifikat CA Signed ist. Ist es selbstsigniert, müssen Sie Ihren Nutzern neue Schlüssel bereitstellen.
Zertifikat löschen
Wählen Sie im Dialogfenster Delete. Das in den Schlüsseln hinterlegte Zertifikat oder das letzte von der gesamten Farm genutzte Zertifikat lässt sich nicht löschen: Weisen Sie PublicInToken zuvor einem anderen Zertifikat zu oder fügen Sie ein neues hinzu.
