گواهی‌های SSL/TLS
سرورهای شما در ابتدای هر اتصال یک گواهی ارائه می‌دهند و کلیدهای دسترسیِ هر سرور فارم نیز یکی از این گواهی‌ها را مشخص می‌کنند. MANAGER برای هر فارم جدید یک گواهی می‌سازد و می‌تواند گواهی معتبر Let's Encrypt را به‌صورت خودکار دریافت و تمدید کند.
محل دسترسی
وارد Server Farms شده و فارم موردنظر را باز کنید: فهرست SSL / TLS Certificates گواهی‌ها را نشان می‌دهد و گواهی فعال روی کلیدهای فارم با یک پرچم مشخص شده است. با انتخاب عنوان فهرست، فهرست کامل همراه با Mode و Priority هر گواهی باز می‌شود.
هر فارم جدید به‌طور خودکار دارای یک گواهی خودامضا با نام ساختگی است که تا زمان انتخاب گواهی دیگر، روی کلیدهای آن قرار دارد.
صفحه اختصاصی هر سرور نیز همین فهرست را دارد؛ اما فقط شامل گواهی‌هایی است که منحصراً توسط همان سرور استفاده می‌شوند.
تنظیمات گواهی
برای باز کردن هر گواهی، دامنه آن را انتخاب کنید.
- بخش Visibility مشخص می‌کند دامنه گواهی در اختیار چه کسانی قرار گیرد. گزینه PublicInToken دامنه را در تمام کلیدهای فارم قرار می‌دهد؛ این ویژگی فقط متعلق به یک گواهی است و اختصاص آن به گواهی دیگر، وضعیت گواهی فعلی را به Public تغییر می‌دهد. گواهی Public اختصاصی یک سرور، در صورت داشتن وضعیت CA Signed، فقط زمانی به اپلیکیشن‌ها ارائه می‌شود که MANAGER آنها را به آن سرور هدایت کند. گواهی Private هرگز ارسال نمی‌شود. در هر صورت، سرورها گواهی را به اپلیکیشن‌هایی که دامنه‌اش را درخواست کنند ارائه می‌دهند.
- بخش Signing نحوه امضای گواهی را تعیین می‌کند. گزینه Manual تنظیمات را دست‌نخورده نگه می‌دارد. گزینه AutoSign صدور گواهی را به Let's Encrypt و تمدید آن را به MANAGER می‌سپارد. گزینه DomainOnly ویژه دامنه‌هایی است که گواهی آنها جای دیگری میزبانی می‌شود؛ MANAGER آن را روی سرورها قرار نمی‌دهد و کلیدها نیز حاوی آن نخواهند بود.
- بخش Used By می‌تواند روی Server Farm (برای تمام سرورهای فارم) یا یکی از سرورها تنظیم شود. گواهی موجود در کلیدها را روی Server Farm نگه دارید تا همه سرورها امکان ارائه آن به اپلیکیشن‌های دارنده کلید را داشته باشند.
- بخش Priority با گزینه‌های Normal، Low یا Lowest، ترتیب دامنه‌های گواهی‌های Public را هنگام ارسال چند دامنه به اپلیکیشن‌ها مشخص می‌کند. این گزینه گواهی ارائه‌شده توسط سرور را تغییر نمی‌دهد.
- بخش Signature در صورت امضا توسط مراجع صدور گواهی، CA Signed و در غیر این صورت Self-Signed نمایش داده می‌شود. اپلیکیشن‌ها گواهی CA Signed را مانند مرورگر و بر اساس مرجع صدور و نام آن بررسی می‌کنند؛ بنابراین کلیدها پس از تمدید گواهی همچنان کار خواهند کرد. گواهی Self-Signed صرفاً بر اساس اثر انگشت (Fingerprint) ثبت‌شده در کلید پذیرفته می‌شود.
- بخش Description یادداشتی برای شماست و تاثیری در عملکرد MANAGER ندارد.
افزودن گواهی
در بخش SSL / TLS Certificates، گزینه Add را انتخاب کنید، یک Domain Name وارد کرده و Create را بزنید. MANAGER یک گواهی خودامضا برای این دامنه به‌صورت Public و Manual ایجاد کرده و باز می‌کند. فیلدهای دیگر تنها جزئیات گواهی را تکمیل می‌کنند.
اگر گواهی از صفحه اختصاصی یک سرور اضافه شود، فقط توسط همان سرور استفاده خواهد شد.
برای اینکه یک مرجع صدور گواهی (CA) آن را امضا کند، Signing را روی AutoSign بگذارید. راهنمای استفاده از نام دامنه و گواهی معتبر این مراحل و نحوه قرار دادن دامنه در کلیدها را توضیح می‌دهد.
امضای خودکار (AutoSign)
با فعال بودن AutoSign، نرم‌افزار MANAGER از Let's Encrypt درخواست صدور گواهی برای دامنه می‌کند. Let's Encrypt دامنه را از طریق HTTP معمولی روی پورت TCP به شماره 80 بررسی می‌کند؛ بنابراین دامنه باید به یکی از سرورهای فارم با پورت باز اشاره کند. MANAGER نیز ابتدا همین بررسی را انجام می‌دهد. در این مدت، وضعیت Signing به‌صورت Validating... نمایش داده می‌شود.
حدود ۳۰ روز پیش از انقضای گواهی، MANAGER آن را تمدید می‌کند. گواهی‌های Let's Encrypt دارای اعتبار ۹۰ روزه هستند.
اگر بررسی با خطا مواجه شود، علت آن با رنگ قرمز در Signing نمایش داده می‌شود. MANAGER تقریباً روزی یک‌بار دوباره تلاش می‌کند و پس از شش بار شکست متوالی، Signing را به Manual برمی‌گرداند. برای تلاش مجدد فوری، ابتدا Manual و سپس AutoSign را انتخاب کنید.
بارگذاری گواهی
گزینه Upload گواهی تهیه‌شده از مراجع دیگر را دریافت می‌کند: یک فایل PFX به همراه کلید خصوصی که باید قابلیت خروجی‌گرفتن (exportable) داشته باشد، و همچنین Certificate Password آن. هنگام بارگذاری، Visibility را تعیین کنید؛ این مقدار در ابتدا Private است. اگر MANAGER بتواند امضاکننده را تأیید کند، Signature به‌صورت CA Signed نشان داده می‌شود.
گواهی بارگذاری‌شده در کل فارم استفاده می‌شود، حتی اگر آن را از صفحه یک سرور بارگذاری کرده باشید. برای اختصاص آن به یک سرور خاص، بعداً مقدار Used By را تغییر دهید.
گواهی درون کلیدها
کلیدهای فارم حاوی دامنه و اثرانگشت (fingerprint) گواهی PublicInToken آن هستند. اگر گواهی از نوع CA Signed باشد، اپلیکیشن‌ها دامنه را بررسی کرده و هر گواهی معتبری که توسط یک مرجع صادر شده باشد را می‌پذیرند. اگر از نوع Self-Signed باشد، تنها همان گواهی خاص را قبول می‌کنند و برای دسترسی به آن به آدرس سرور نیاز دارند: در این حالت، MANAGER الزام می‌کند که یکی از سرورهای فارم یک آدرس PublicInToken داشته باشد.
اختصاص وضعیت PublicInToken به یک گواهی دیگر، گواهی قبلی را به‌صورت Public روی سرورها نگه می‌دارد تا کلیدهای قدیمی همچنان متصل بمانند. اپلیکیشن‌ها هنگام اتصال کلید جدید را دریافت می‌کنند، زیرا Push token to clients به‌طور پیش‌فرض فعال است؛ البته به شرطی که دست‌کم یکی از سرورهای فارم دارای آدرس PublicInToken باشد.
افزودن یا بارگذاری گواهی برای دامنه‌ای که در فارم وجود دارد، جایگزین نسخه قبلی شده و قبلی حذف می‌شود. گواهی جدید در صورت بالاتر بودن سطح، Visibility گواهی قبلی را حفظ می‌کند تا تمدید آن در کلیدها باقی بماند. اگر گواهی جدید CA Signed باشد، کلیدهای قدیمی به کار خود ادامه می‌دهند؛ اما اگر خودامضا است، باید کلیدهای جدیدی به کاربران خود بدهید.
حذف گواهی
در پنجره مربوطه، گزینه Delete را انتخاب کنید. MANAGER اجازه حذف گواهی قرارگرفته در کلیدها یا آخرین گواهی سراسری فارم را نمی‌دهد: ابتدا باید PublicInToken را به گواهی دیگری اختصاص دهید یا یک گواهی جدید اضافه کنید.
