Certificados SSL/TLS
Seus servidores apresentam um certificado a cada conexão, e as chaves de acesso de um farm usam um deles. O MANAGER gera um para cada novo farm e pode obter e renovar automaticamente certificados confiáveis via Let's Encrypt.
Onde encontrar
Abra Server Farms e selecione o farm desejado: a seção SSL / TLS Certificates lista todos eles, destacando com uma bandeira o que está incluído nas chaves. O título abre a lista completa, mostrando também Mode e Priority de cada certificado.
Todo novo farm já vem configurado: inclui um certificado autoassinado com nome provisório em suas chaves até você definir outro.
A página de cada servidor exibe a mesma lista, contendo apenas os certificados exclusivos dele.
Configurações do certificado
Selecione o domínio de um certificado para abrir suas configurações.
- Visibility define quem tem acesso ao domínio do certificado. PublicInToken adiciona o domínio a todas as chaves do farm; apenas um certificado por vez pode ter essa opção — ao atribuí-la a outro, o atual passa a ser Public. Um certificado Public exclusivo de um servidor, caso seja CA Signed, só é enviado aos aplicativos quando o MANAGER os direcionar a ele. Um certificado Private nunca é compartilhado. Seja qual for a escolha, os servidores sempre apresentam o certificado aos apps que solicitarem o domínio.
- Signing define o método de assinatura. Manual mantém como está. AutoSign usa o Let's Encrypt para emitir e o MANAGER para renovar de forma automática. DomainOnly é voltado para domínios com certificado externo: o MANAGER não o instala nos servidores e as chaves não o incluem.
- Used By pode ser Server Farm (para todos os servidores do farm) ou um servidor específico. Mantenha o certificado das chaves em Server Farm para que qualquer servidor possa atendê-las.
- Priority (como Normal, Low ou Lowest) define a ordem dos domínios com certificados Public quando o MANAGER disponibiliza vários para os apps. Não altera o certificado que o servidor apresenta.
- Signature exibe CA Signed quando emitido por uma autoridade certificadora e Self-Signed nos demais casos. Os aplicativos validam certificados CA Signed como um navegador comum (pela autoridade e pelo nome), mantendo as chaves funcionando após renovações. Já os certificados Self-Signed são validados apenas pela impressão digital contida na chave.
- Description é uma nota pessoal para sua organização. O MANAGER não usa essa informação.
Adicionar um certificado
Em SSL / TLS Certificates, selecione Add, insira um Domain Name e escolha Create. O MANAGER cria um certificado autoassinado para o domínio, Public e Manual, e o abre. Os outros campos servem apenas para preencher os detalhes do certificado.
Adicionado a partir da página do próprio servidor, o certificado é usado exclusivamente por ele.
Para que uma autoridade certificadora o assine, defina Signing como AutoSign. O guia Usar um nome de domínio e um certificado confiável explica esse processo e como incluir o domínio nas chaves.
AutoSign
Com o AutoSign, o MANAGER solicita ao Let's Encrypt a assinatura de um certificado para o domínio. O Let's Encrypt valida o domínio via HTTP comum na porta TCP 80; portanto, o domínio deve apontar para um dos servidores do cluster com essa porta aberta. O MANAGER faz essa mesma verificação primeiro. Enquanto isso, Signing exibirá Validating....
Cerca de 30 dias antes da expiração, o MANAGER renova o certificado. Os certificados do Let's Encrypt são válidos por 90 dias.
Se uma verificação falhar, Signing mostrará o motivo em vermelho. O MANAGER tenta novamente cerca de uma vez ao dia e, após seis falhas consecutivas, redefine Signing para Manual. Para tentar novamente na hora, selecione Manual e depois AutoSign.
Enviar um certificado
O botão Upload aceita um certificado externo: um arquivo PFX com chave privada exportável e sua Certificate Password. Escolha a Visibility durante o envio; ele começa como Private. O campo Signature exibirá CA Signed se o MANAGER conseguir verificar a assinatura.
Um certificado enviado é usado por todo o cluster, mesmo se você fizer o envio a partir da página de um servidor específico. Para atribuí-lo a apenas um servidor, altere o campo Used By depois.
O certificado nas chaves
As chaves do cluster contêm o domínio do certificado PublicInToken e sua impressão digital. Se for CA Signed, os aplicativos consultam o domínio e aceitam qualquer certificado emitido por uma autoridade para ele. Se for Self-Signed, aceitam apenas aquele certificado e precisam do endereço de um servidor para acessá-lo: nesse caso, o MANAGER exige que um dos servidores do cluster tenha um endereço PublicInToken.
Definir PublicInToken para outro certificado mantém o antigo nos servidores como Public, garantindo a conexão das chaves mais antigas. Os aplicativos recebem a nova chave ao se conectarem — já que Push token to clients vem ativado por padrão —, mas somente enquanto um dos servidores do cluster tiver um endereço PublicInToken.
Adicionar ou enviar um certificado para um domínio que o cluster já possui substitui o antigo, que é excluído. O novo certificado herda a Visibility do anterior se ela for mais alta, mantendo a renovação nas chaves. As chaves mais antigas continuam funcionando se o novo certificado for CA Signed. Se for autoassinado, distribua novas chaves aos seus usuários.
Excluir um certificado
Selecione Delete na caixa de diálogo. O MANAGER não permite excluir o certificado em uso nas chaves nem o último certificado compartilhado por todo o cluster: atribua PublicInToken a outro certificado ou adicione um novo antes de excluir.
