Certificati SSL/TLS
I tuoi server presentano un certificato a ogni connessione, e le chiavi di accesso di ciascuna server farm ne contengono uno associato. MANAGER ne crea uno per ogni nuova farm e può richiederne e rinnovarne automaticamente uno affidabile con Let's Encrypt.
Dove trovarli
Apri Server Farms e seleziona la farm: nella sezione SSL / TLS Certificates trovi l'elenco dei certificati, con una bandierina che contrassegna quello associato alle chiavi. Il titolo apre la schermata completa, che mostra anche Mode e Priority di ciascuno.
Ogni nuova farm ne include uno: un certificato autofirmato con un nome generato automaticamente, integrato nelle sue chiavi finché non ne scegli un altro.
La pagina del singolo server mostra lo stesso elenco, limitato ai soli certificati utilizzati esclusivamente da quel server.
Impostazioni del certificato
Seleziona il dominio del certificato per visualizzarlo.
- Visibility stabilisce a chi viene assegnato il dominio del certificato. PublicInToken lo include in ogni chiave della farm; può essere assegnato a un solo certificato e, selezionandolo per un altro, questo diventa Public. Un certificato Public usato da un solo server, se è CA Signed, viene comunicato alle app solo quando MANAGER le indirizza a tale server. Con Private non viene mai condiviso. In ogni caso, i server presentano il certificato alle app che ne richiedono il dominio.
- Signing stabilisce come viene firmato il certificato. Manual lo mantiene invariato. AutoSign usa Let's Encrypt per la firma e MANAGER per il rinnovo automatico. DomainOnly è pensato per i domini il cui certificato risiede altrove: MANAGER non lo carica sui server e non può essere associato alle chiavi.
- Used By può essere impostato su Server Farm, per tutti i server della farm, oppure su un server specifico. Mantieni il certificato delle chiavi su Server Farm in modo che ciascun server possa presentarlo alle app connesse.
- Priority (a scelta tra Normal, Low o Lowest) ordina i domini dei certificati Public quando MANAGER ne trasmette diversi alle app. Non modifica il certificato presentato dal server.
- Signature indica CA Signed se firmato da una CA (Certificate Authority), oppure Self-Signed in caso contrario. Le app verificano i certificati CA Signed come farebbe un browser, tramite CA e nome di dominio, garantendo il funzionamento delle chiavi anche dopo il rinnovo. Un certificato Self-Signed viene accettato solo se l'impronta corrisponde a quella contenuta nella chiave.
- Description è una nota personale. MANAGER non la utilizza.
Aggiungi un certificato
Sotto SSL / TLS Certificates, seleziona Add, inserisci un Domain Name e scegli Create. MANAGER crea un certificato autofirmato per il dominio, Public e Manual, e lo apre. Gli altri campi servono solo a completare i dettagli del certificato.
Se aggiunto dalla pagina specifica di un server, il certificato verrà usato esclusivamente da quel server.
Per farlo firmare da un'autorità di certificazione, imposta Signing su AutoSign. Consulta Usa un nome di dominio e un certificato attendibile per la procedura dettagliata e per includere il dominio nelle chiavi.
AutoSign
Con AutoSign, MANAGER richiede a Let's Encrypt un certificato firmato per il dominio. Let's Encrypt verifica il dominio via HTTP standard sulla porta TCP 80: il dominio deve quindi puntare a uno dei server della farm con tale porta aperta. MANAGER esegue prima lo stesso controllo. Nel frattempo, Signing mostra Validating....
Circa 30 giorni prima della scadenza, MANAGER rinnova automaticamente il certificato. I certificati di Let's Encrypt hanno una durata di 90 giorni.
Se la verifica non riesce, Signing segnala il motivo in rosso. MANAGER riprova circa una volta al giorno; dopo sei tentativi falliti consecutivi reimposta Signing su Manual. Per riprovare subito, seleziona Manual e poi di nuovo AutoSign.
Carica un certificato
Con Upload puoi importare un certificato esterno: serve un file PFX con chiave privata esportabile e la relativa Certificate Password. Scegli la Visibility durante il caricamento; l'impostazione predefinita è Private. La voce Signature mostrerà CA Signed se MANAGER riesce a convalidare chi lo ha firmato.
Un certificato caricato viene applicato all'intera farm, anche se caricato dalla pagina di un singolo server. Per assegnarlo a un solo server, modifica in seguito Used By.
Il certificato nelle chiavi
Le chiavi della farm includono il dominio del certificato impostato come PublicInToken e la sua impronta digitale. Se è CA Signed, le app risolvono il dominio e accettano qualsiasi certificato emesso da un'autorità per quel dominio. Se è Self-Signed, accettano solo quel certificato specifico e richiedono l'indirizzo di un server per connettersi: in questo caso, MANAGER richiede che almeno un server della farm abbia un indirizzo PublicInToken.
Assegnando PublicInToken a un altro certificato, il precedente rimane sui server come Public, permettendo alle vecchie chiavi di continuare a connettersi. Le app ricevono la nuova chiave alla connessione successiva, poiché Push token to clients è attivo per impostazione predefinita, a patto che almeno un server della farm abbia un indirizzo PublicInToken.
Aggiungendo o caricando un certificato per un dominio già presente nella farm, il precedente viene sostituito ed eliminato. Il nuovo certificato mantiene la Visibility di quello precedente se era più alta, preservando il rinnovo nelle chiavi. Le vecchie chiavi continuano a funzionare se il nuovo certificato è CA Signed. Se è autofirmato, sarà necessario distribuire nuove chiavi agli utenti.
Elimina un certificato
Seleziona Delete nella finestra di dialogo. MANAGER non consente di eliminare il certificato presente nelle chiavi, né l'ultimo certificato utilizzato dall'intera farm: prima di procedere, assegna PublicInToken a un altro certificato o creane uno nuovo.
