CloudPortal · Certifikat
SSL-certifikat som förnyas och installeras automatiskt
Automatisk förnyelse har många redan. Det som återstår är att få in det nya certifikatet på varje server. CloudPortal automatiserar också det steget: en agent på servern installerar certifikatet i IIS eller nginx, eller som PEM-filer, och kontrollerar att det nya certifikatet faktiskt används.
- Installation i IIS, i nginx eller i en PEM-katalog, utan att någon loggar in på servern
- Kontroll efteråt att servern visar det nya certifikatet
- Nyckeln skapas på servern och lämnar den aldrig
Förnyelsen är automatisk. Installationen är det sällan.
Med automatisk förnyelse kommer det nya certifikatet i tid, men ofta som en .pem-, .crt- eller .pfx-fil. Sedan ska någon importera den, byta bindning i IIS, uppdatera nginx och ladda om tjänsten, på varje server där certifikatet används. Glöms en server bort går certifikatet ut där ändå.
Den längsta tillåtna giltighetstiden för publika TLS-certifikat kortas dessutom stegvis de kommande åren, så installationen behöver göras allt oftare. CloudPortal tar hand om hela kedjan: förnyelse, installation och kontroll av att servern visar det nya certifikatet.
Så ser det ut
Exempel: shop.example.com på två servrar
Webbshoppen körs på web01 med IIS och på web02 med nginx. Båda servrarna har en agent.
- 1
Agenten hittar var certifikatet används
Agenterna rapporterar IIS-bindningen på web01 och nginx-blocket på web02. Portalen föreslår en automatisering med namnen ifyllda, och en behörig person godkänner den.
- 2
Förnyelse utan filer att flytta
När det är dags förnyar CloudPortal certifikatet via ACME. Nyckeln skapas på respektive server och lämnar den aldrig, så ingen .pfx-fil behöver skickas runt.
- 3
Installation och kontroll
Agenten byter certifikat i IIS-bindningen. På nginx-servern körs en konfigurationskontroll innan nginx laddas om. Sedan kontrolleras att servern visar det nya certifikatet, och resultatet syns i portalen.
Det här ingår
Installation i IIS
Agenten lägger certifikatet i datorns certifikatarkiv och uppdaterar IIS-bindningen. Nyckeln skapas på servern och kan inte exporteras.
nginx och PEM-katalog
På Linux lägger agenten certifikat och nyckel som PEM-filer i en katalog och byter dem i ett steg. För nginx körs en konfigurationskontroll innan nginx laddas om.
Kontroll av resultatet
Efter installationen läser agenten tillbaka bindningen och kontrollerar att servern visar det nya certifikatet. Ett certifikat som är förnyat men inte installerat visas tydligt.
Hittar befintliga bindningar
Agenten rapporterar IIS-bindningar och nginx-block, och portalen föreslår vad som kan automatiseras. En behörig person granskar innan något skapas.
Nyckeln stannar på servern
Varje server skapar sin egen nyckel. Den skickas aldrig till portalen eller till andra servrar.
Översikt med orsak och nästa steg
Alla certifikat i en lista sorterad efter vad som kräver åtgärd, även de ni bara bevakar. Fastnar en förnyelse eller installation visas orsaken och vad som behöver göras.
Vad som krävs
Automatisk installation kräver en agent på servern och att domänen kan valideras via DNS.
- En agent på servern
- Windows Server 2016 eller senare, eller en aktuell Linuxdistribution, till exempel Ubuntu 22.04 och senare eller RHEL 8 och senare. Agenten behöver utgående HTTPS till portalen. Servern behöver inte vara nåbar utifrån.
- IIS, nginx eller en PEM-katalog
- Det är de installationsflöden agenten har. Certifikat som används på andra ställen kan ni bevaka i översikten.
- Validering via DNS
- Domänen valideras via DNS. Zoner i CloudPortal hanteras direkt, och för zoner hos en annan DNS-leverantör räcker en CNAME-post.
- Godkännande
- En ny server och en ny automatisering godkänns av någon med behörighet innan något installeras.
Vanliga frågor
Vi har redan automatisk förnyelse. Vad tillför CloudPortal?
Installationen. Förnyelsen ger ett nytt certifikat, men det ska också in i IIS, i nginx eller i katalogen som tjänsten läser, på varje server. CloudPortal gör det steget automatiskt och kontrollerar att servern visar det nya certifikatet.
Hur fungerar det med IIS?
Agenten lägger certifikatet i datorns certifikatarkiv och uppdaterar IIS-bindningen. Nyckeln skapas på servern och kan inte exporteras. Efteråt kontrolleras att bindningen visar det nya certifikatet.
Hur fungerar det med nginx och andra Linuxtjänster?
Agenten lägger certifikat och nyckel som PEM-filer i en katalog och byter dem i ett steg. För nginx körs en konfigurationskontroll innan nginx laddas om. Agenten ändrar aldrig er nginx-konfiguration.
Lämnar den privata nyckeln servern?
Nej. Nyckeln skapas på servern för varje certifikat och skickas aldrig till portalen eller till andra servrar.
Behöver servern vara åtkomlig från internet?
Nej. Agenten tar själv kontakt med portalen via utgående HTTPS, och domänen valideras via DNS. Inga inkommande portar behöver öppnas.
Vi använder redan win-acme eller certbot. Krockar det?
Agenten upptäcker andra ACME-klienter på servern och flaggar dem. Det som de hanterar automatiseras inte förrän ni uttryckligen väljer det.
Varför blir det här viktigare framöver?
Den längsta tillåtna giltighetstiden för publika TLS-certifikat kortas stegvis de kommande åren. Ju kortare giltighetstid, desto oftare behöver certifikatet installeras.
Se automatisk installation i er miljö
Vi visar hur agenten hittar era IIS-bindningar och nginx-block, och hur ett certifikat förnyas, installeras och kontrolleras.