Externe ACME-Clients

Ein externer ACME-Client kann Zertifikate anfordern und erneuern, wenn die integrierte Zertifikatsanforderung nicht zu Ihrer Netzwerk- oder DNS-Einrichtung passt. Der Client schreibt Zertifikat und privaten Schlüssel in Dateien, die der Server als eigenes Zertifikat verwendet.

Zu den verbreiteten Clients gehören acme.sh und Certbot. Wählen Sie einen Client, der Ihren DNS-Provider und die benötigte ACME-Challenge unterstützt.

Der folgende Ablauf gilt für die meisten Clients:

1. Wählen Sie einen öffentlichen DNS-Namen und die Zertifizierungsstelle.
2. Konfigurieren Sie das DNS-Provider-Modul oder eine delegierte Challenge-Zone.
3. Fordern Sie das Zertifikat mit DNS-01 an.
4. Installieren Sie Zertifikat, vollständige Kette und privaten Schlüssel in dedizierte Dateien.
5. Konfigurieren Sie den Server so, dass er diese Dateien als eigenes Zertifikat verwendet.
6. Aktivieren Sie die geplante Erneuerung des Clients.
7. Prüfen Sie, dass erneuerte Dateien atomar geschrieben und geänderte Dateien vom Server geladen werden.

Verwenden Sie die Dokumentation des Clients für Installation, Zugangsdaten und Zeitplanung. Die i-net-Dokumentation enthält keine providerabhängigen API-Zugangsdaten.

Das folgende Beispiel ist providerneutral. Ersetzen Sie DNS-Modul, Domain und Dateipfade durch Werte Ihrer Umgebung:

# Zertifikat ueber ein DNS-Provider-Modul anfordern
acme.sh --issue --dns dns_provider_module -d app.example.com --server letsencrypt
 
# Erneuerte Dateien in die vom Server verwendeten Pfade installieren
acme.sh --install-cert -d app.example.com \
  --key-file /path/to/server.key \
  --fullchain-file /path/to/server-fullchain.pem

Der Modulname und die erforderlichen Umgebungsvariablen unterscheiden sich je DNS-Provider. Verwenden Sie die acme.sh-Liste der DNS-APIs und die Dokumentation des Providers.

Für einen experimentellen DNS-PERSIST-01-Staging-Ablauf verwenden Sie nur eine Clientversion und ein Staging-Verzeichnis, die diese Challenge ausdrücklich dokumentieren. Ersetzen Sie die Staging-Option nicht durch eine erratene Kommandozeilenoption.

Wählen Sie in der Webserver-Konfiguration die Quelle für ein eigenes Zertifikat und geben Sie die vom ACME-Client installierten Zertifikats- und Schlüsseldateien an.

Die Zertifikatsdatei muss die benötigten Zwischenzertifikate enthalten. Der private Schlüssel muss für den Serverprozess lesbar sein und darf nicht durch ein Passwort geschützt sein, wenn der Server beim Start kein Passwort abfragen kann.

Speichern Sie Zertifikatsdateien außerhalb eines öffentlich erreichbaren Webverzeichnisses. Beschränken Sie die Dateiberechtigungen so, dass nur ACME-Client und Serverprozess den privaten Schlüssel lesen können.

Der externe ACME-Client ist für Zeitplanung und Erneuerung zuständig. Testen Sie den Erneuerungsbefehl vor dem ersten Ablaufzeitraum und überwachen Sie Log oder Servicestatus.

Wenn sich eine Zertifikatsdatei ändert, kann die Aufgabe Automatische Aktualisierung von benutzerdefinierten SSL-Zertifikaten das geänderte Zertifikat ohne vollständigen Neustart laden. Behalten Sie Zertifikats- und Schlüsselpfade bei, damit der Trigger für Dateiänderungen funktioniert.

• Eine manuelle DNS-Challenge ermöglicht keine unbeaufsichtigte Erneuerung.
• Ein DNS-API-Token ist eine Abhängigkeit, die separat erneuert oder widerrufen werden muss.
• Ein Zertifikat kann erfolgreich ausgestellt werden, während internes DNS noch auf die falsche Adresse zeigt.
• Staging-Zertifikaten wird absichtlich nicht vertraut.
• ACME-Client und geplante Aufgabe müssen außerhalb der Serverkonfiguration gepflegt werden.