Сертификаты SSL/TLS
Серверы задействуют сертификат при каждом подключении, а ключи доступа фермы указывают на один из них. MANAGER автоматически создает сертификат для каждой новой фермы, а также умеет получать доверенный сертификат от Let's Encrypt и продлевать его сам.
Где их найти
Перейдите в Server Farms и выберите ферму: в блоке SSL / TLS Certificates показан их список, а флажком отмечен тот, который используется в ключах доступа. Нажмите на заголовок списка, чтобы открыть подробный вид со столбцами Mode и Priority.
Каждая новая ферма сразу получает самоподписанный сертификат со случайным именем — он используется в ключах по умолчанию, пока вы не укажете другой.
На странице отдельного сервера отображается такой же список, но только с сертификатами, привязанными именно к нему.
Параметры сертификата
Чтобы открыть настройки, нажмите на домен сертификата.
- Параметр Visibility определяет, кому передается домен сертификата. Значение PublicInToken добавляет его во все ключи фермы; оно может быть только у одного сертификата, а при назначении другому текущий становится Public. Сертификат со статусом Public на отдельном сервере, если он имеет статус CA Signed, передается в приложения только при подключении к этому серверу. Сертификаты со статусом Private не передаются приложениям никогда. В любом случае серверы предоставляют сертификат приложениям, запрашивающим его домен.
- Параметр Signing задает способ подписи. Manual оставляет сертификат без изменений. AutoSign запрашивает подпись у Let's Encrypt и автоматически продлевает ее через MANAGER. Вариант DomainOnly нужен для доменов, чей сертификат размещен в другом месте: MANAGER не устанавливает его на серверы, и добавить его в ключи нельзя.
- Параметр Used By принимает значение Server Farm (для всех серверов фермы) либо указывает на конкретный сервер. Сертификат из ключей доступа должен иметь статус Server Farm, чтобы любой сервер фермы мог подтвердить подлинность перед приложениями с этими ключами.
- Параметры Priority, Normal, Low и Lowest задают порядок доменов для сертификатов со статусом Public, когда MANAGER передает приложению несколько адресов. На выбор сертификата самим сервером это не влияет.
- Поле Signature показывает CA Signed, если сертификат выдан доверенным центром сертификации, и Self-Signed в остальных случаях. Сертификаты со статусом CA Signed проверяются приложениями как в браузере (по центру сертификации и имени), поэтому ключи работают и после их продления. Сертификаты Self-Signed сверяются только по отпечатку, сохраненному в ключе.
- Поле Description — заметка для вас. MANAGER никак ее не обрабатывает.
Добавить сертификат
В разделе SSL / TLS Certificates нажмите Add, введите Domain Name и выберите Create. MANAGER создаст для домена самоподписанный сертификат со статусами Public и Manual и откроет его. Остальные поля лишь дополняют сведения о сертификате.
Если добавить сертификат со страницы отдельного сервера, использовать его будет только этот сервер.
Чтобы подписать его в центре сертификации, переключите Signing на AutoSign. О том, как это работает и как включить домен в ключи, читайте в статье Использование доменного имени и доверенного сертификата.
AutoSign
В режиме AutoSign MANAGER запрашивает сертификат для домена у Let's Encrypt. Let's Encrypt проверяет домен по обычному HTTP через TCP-порт 80, поэтому домен должен указывать на один из серверов фермы с открытым портом. Сначала такую же проверку выполняет MANAGER. В это время в строке Signing отображается статус Validating....
MANAGER автоматически продлевает сертификат примерно за 30 дней до окончания его срока. Сертификаты Let's Encrypt действуют 90 дней.
Если проверка не пройдена, в строке Signing красным цветом появится причина ошибки. MANAGER повторяет попытку раз в день, а после шести неудач подряд возвращает Signing на Manual. Чтобы повторить попытку сразу, переключитесь на Manual, а затем снова выберите AutoSign.
Загрузить сертификат
С помощью Upload можно добавить сторонний сертификат: файл PFX с экспортируемым закрытым ключом и Certificate Password. При загрузке выберите Visibility (по умолчанию — Private). Если MANAGER подтвердит издателя, в поле Signature появится CA Signed.
Загруженный сертификат действует для всей фермы, даже если вы добавили его со страницы конкретного сервера. Чтобы закрепить его за одним сервером, измените параметр Used By после загрузки.
Сертификат в ключах
Ключи фермы содержат домен сертификата PublicInToken и его отпечаток. Если сертификат отмечен как CA Signed, приложения находят домен и принимают любой подписанный доверенным центром сертификат. Если он Self-Signed, принимается только этот сертификат, а для подключения нужен адрес сервера: в этом случае MANAGER требует, чтобы хотя бы у одного сервера фермы был адрес со статусом PublicInToken.
Если назначить PublicInToken другому сертификату, прежний останется на серверах в статусе Public, и старые ключи продолжат работать. При подключении приложения автоматически получат новый ключ (функция Push token to clients включена по умолчанию), но только если у одного из серверов фермы есть адрес PublicInToken.
При добавлении или загрузке сертификата для уже существующего домена прежний сертификат удаляется. Новый получает статус Visibility от старого, если тот был выше — так обновленный сертификат сохранится в ключах. Старые ключи продолжат действовать, если новый сертификат CA Signed. Если же он самоподписанный, пользователям понадобятся новые ключи.
Удалить сертификат
В окне сертификата нажмите Delete. MANAGER не позволит удалить сертификат, привязанный к ключам, или последний общий сертификат фермы: сначала назначьте PublicInToken другому сертификату или добавьте новый.
