Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

--- de:dfnpki:tcs:2025:acme [2025/07/29 09:17] – Juergen Brauckmann
+++ de:dfnpki:tcs:2025:acme [2025/10/23 17:25] (aktuell) – [ACME Challenges] Juergen Brauckmann
@@ Zeile 11: / Zeile 11: @@
 ==== Enterprise Accounts ====
-=== Eigenschaften ===
   * Können nur vom Enterprise Admin angelegt werden
   * FQDN/Domains, für die Zertifikate ausgestellt werden können, können im Account sehr detailliert konfiguriert werden
@@ Zeile 24: / Zeile 22: @@
     * Für Domains, die in dem Enterprise gelistet sind
     * ACME Challenge, wenn die Domain keine aktuelle Validierung hat
-=== Anleitung ===
 Die Nutzung von Enterprise ACME Accounts ist dokumentiert unter: [[https://doku.tid.dfn.de/de:dfnpki:tcs:2025:acme_enterprise|https://doku.tid.dfn.de/de:dfnpki:tcs:2025:acme_enterprise]]
@@ Zeile 31: / Zeile 27: @@
 ==== Personal Accounts ====
-=== Eigenschaften ===
   * In einem Enterprise nur verfügbar, wenn der Admin die Möglichkeit hierzu freigeschaltet hat
@@ Zeile 42: / Zeile 35: @@
   * ACME Challenge bei jeder Zertifikatausstellung erforderlich, um die Berechtigung nachzuweisen
   * SSL DV Zertifikate (ohne Organisationsinformationen)
-=== Freischaltung und Nutzung von Personal ACME Accounts ===
-Die Funktionalität für Personal ACME Accounts ist erst nach einer Freischaltung durch den Enterprise Administrator verfügbar.
 Die Freischaltung und Nutzung ist dokumentiert unter: [[https://doku.tid.dfn.de/de:dfnpki:tcs:2025:acme_personal|https://doku.tid.dfn.de/de:dfnpki:tcs:2025:acme_personal]]
@@ Zeile 52: / Zeile 40: @@
 ==== Zertifikatketten ====
-Im Rahmen des Prozesses liefert der ACME-Server einen Zertifikatkette aus, die vom ACME-Client in der Regel zur Installation auf dem System verwendet wird.
-HARICA liefert per ACME eine Kette aus, die im Cross-Zertifikat für die Root CA 2015 endet. Damit ist eine größtmögliche Kompatibilität zu Anwendungssoftware gegeben.  [[https://doku.tid.dfn.de/de:dfnpki:tcs:2025:cacerts#legacy-root-ca-zertifikate_2015_fuer_serverzertifikate|Legacy-Root-CA-Zertifikate 2015]]
+HARICA liefert als Teil der Automatisierung per ACME eine Zertifikatkette aus, die eine größtmögliche Kompatibilität zu Anwendungssoftware sicherstellt. Die Zertifikatkette endet Cross-Zertifikat für die Root CA 2015.  [[https://doku.tid.dfn.de/de:dfnpki:tcs:2025:cacerts#legacy-root-ca-zertifikate_2015_fuer_serverzertifikate|Legacy-Root-CA-Zertifikate 2015]]
 ==== ACME Challenges ====
@@ Zeile 70: / Zeile 57: @@
 HARICA unterstützt die Challenge-Typen ''http-01'' und ''dns-01''.
-**Achtung:** Im Gegensatz zu Let's Encrypt folgt HARICA bei ''dns-01'' derzeit keinen CNAMEs!
-Folgendes funktioniert derzeit **nicht**:
-    _acme-challenge.<domain> IN CNAME <auth-domain>
-    <auth-domain> IN TXT <ACME dns-01 challenge>
 ==== Beispielaufrufe ====
@@ Zeile 136: / Zeile 117: @@
-==== Fehlermeldungen ====
+==== Fallstricke und Fehlermeldungen ====
+=== Fehlermeldungen ===
 Der ACME-Server von HARICA gibt im Fehlerfall teilweise nur sehr generische Meldungen zurück, z.B.
     {
@@ Zeile 146: / Zeile 128: @@
     An unexpected error occurred:
     AttributeError: can't set attribute
+=== Email-Adresse erforderlich ===
+Bitte unbedingt bei der Account-Erzeugung eine Email-Adresse übergeben (z.B. ''certbot''-Parameter ''--email'' oder entsprechende Konfigurationsparameter bei caddy, Traefik, ...). Das HARICA-System lehnt die Account-Erzeugung sonst ab.
+=== Prüfpunkte ===
 Beim Auftreten eines Fehlers sollten folgende Punkte zunächst geprüft werden:
@@ Zeile 161: / Zeile 150: @@
   - Ist es dem ACME Client möglich, eine HTTP- oder DNS-Challenge zu beantworten? Sind hierbei evtl. Fehler aufgetreten (prüfen im Log des ACME Clients)?
+=== Ansible ===
+Bei den ''community.crypto''-Module von Ansible muss der Parameter  ''modify_account: false'' angegeben werden, damit die Zertifikaterstellung funktioniert.