Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

Link zu dieser Vergleichsansicht

Beide Seiten der vorigen Revision Vorhergehende Überarbeitung
Nächste Überarbeitung		 Vorhergehende Überarbeitung
de:dfnpki:tcs:2025:acme [2026/01/21 13:46] – Juergen Brauckmannde:dfnpki:tcs:2025:acme [2026/02/13 09:28] (aktuell) – Juergen Brauckmann
Zeile 2: Zeile 2:
  
 HARICA bietet die Möglichkeit, über das ACME-Protokoll und Standard-Werkzeuge Serverzertifikate zu beziehen. HARICA bietet die Möglichkeit, über das ACME-Protokoll und Standard-Werkzeuge Serverzertifikate zu beziehen.
-Hierfür müssen in der Oberfläche unter https://cm.harica.gr sogenannte ACME Accounts angelegt werden. 
  
-Es gibt zwei verschiedene Typen ACME Accounts: +Viele einführende Informationen finden sich in dem folgenden Foliensatz: {{ :de:dfnpki:harica:2026-01-22-automatisierung.pdf |Webinar "Automatisierung mit ACME"}}
-  * Enterprise Accounts +
-  * Personal Accounts+
  
 +(Der verlinkte Foliensatz wurde am 12.02.2026 mit Hinweisen auf die derzeitige Inkompatibilität von ''mod_md'' ergänzt)
  
-==== Enterprise Accounts ====+===== ACME EAB Accounts ===== 
 + 
 +Zur Nutzung von ACME mit HARICA müssen in der Oberfläche unter https://cm.harica.gr sogenannte ACME EAB Accounts angelegt werden. 
 + 
 +Es gibt zwei verschiedene Typen ACME EAB Accounts: 
 +  * Enterprise EAB Accounts 
 +  * Personal EAB Accounts 
 + 
 + 
 +==== Enterprise EAB Accounts ====
  
   * Können nur vom Enterprise Admin angelegt werden   * Können nur vom Enterprise Admin angelegt werden
Zeile 23: Zeile 30:
     * ACME Challenge, wenn die Domain keine aktuelle Validierung hat     * ACME Challenge, wenn die Domain keine aktuelle Validierung hat
  
-Die Nutzung von Enterprise ACME Accounts ist dokumentiert unter: [[https://doku.tid.dfn.de/de:dfnpki:tcs:2025:acme_enterprise|https://doku.tid.dfn.de/de:dfnpki:tcs:2025:acme_enterprise]]+Die Nutzung von Enterprise ACME EAB Accounts ist dokumentiert unter: [[https://doku.tid.dfn.de/de:dfnpki:tcs:2025:acme_enterprise|https://doku.tid.dfn.de/de:dfnpki:tcs:2025:acme_enterprise]]
  
  
-==== Personal Accounts ====+==== Personal EAB Accounts ====
  
   * In einem Enterprise nur verfügbar, wenn der Admin die Möglichkeit hierzu freigeschaltet hat   * In einem Enterprise nur verfügbar, wenn der Admin die Möglichkeit hierzu freigeschaltet hat
Zeile 58: Zeile 65:
 HARICA unterstützt die Challenge-Typen ''http-01'' und ''dns-01''. HARICA unterstützt die Challenge-Typen ''http-01'' und ''dns-01''.
  
-==== Beispielaufrufe ====+==== Wildcard-Zertifikate ==== 
 + 
 +Wildcard-Zertifikate können ausgestellt werden, wenn die folgenden Bedingungen zutreffen: 
 +  * Enterprise EAB Account 
 +    * Mit Domainregeln, die Subdomains einschließt 
 +    * und vorvalidierten Domains 
 +    * **oder** beim Account-Typ SSL DV der Fähigkeit, dns-01-Challenges zu beantworten. 
 +  * Personal EAB Account 
 +    * Fähigkeit, dns-01-Challenges zu beantworten 
 + 
 +Es gibt keine Möglichkeit, in der HARICA-Oberfläche die Ausstellung von Wildcard-Zertifikaten einzuschränken. Gegebenenfalls können hierfür [[https://doku.tid.dfn.de/de:dfnpki:tcs:2025:caa|CAA-Records]] verwendet werden (Achtung: Nur eingeschränkte Möglichkeiten bei Schreibzugriff aufs DNS von Subdomains, da CAA-Records von Subdomains die darüberliegende Domain überschreiben können!)  
 + 
 +==== Werkzeuge und Beispielaufrufe ==== 
 + 
 +=== Allgemein === 
 + 
 +Unter https://acmeclients.com/ findet sich eine Liste von aktuell verfügbaren ACME Clients.
  
 === certbot === === certbot ===
Zeile 71: Zeile 94:
     certbot certonly --webroot --webroot-path /var/www --non-interactive --agree-tos --email <eigene Mailadresse> --eab-kid <Key ID> --eab-hmac-key <HMAC Key> --server <Server URL> --domain <FQDN>     certbot certonly --webroot --webroot-path /var/www --non-interactive --agree-tos --email <eigene Mailadresse> --eab-kid <Key ID> --eab-hmac-key <HMAC Key> --server <Server URL> --domain <FQDN>
  
 +''certbot'' installiert unter Umständen bereits direkt einen ''cron''-Job und einen ''systemd''-Timer zu Erneuerung des Zertifikats. Bitte unbedingt kontrollieren!
 +
 +    systemctl show certbot.timer
  
 === simple-acme === === simple-acme ===
Zeile 116: Zeile 142:
 https://cert-manager.io/docs/usage/certificate/ https://cert-manager.io/docs/usage/certificate/
  
 +
 +=== Nicht nutzbar: Apache Modul mod_md ===
 +
 +Neuere Versionen von ''mod_md'' sind derzeit nicht mit HARICA kompatibel. Das erste Ausstellen eines Zertifikats funktioniert, allerdings scheitert die Erneuerung aufgund eines Bugs in der ARI-Implementierung von ''mod_md''. Teilweise wurde auch beobachtet, dass ''mod_md'' soviele Anfragen an die ACME-Directory-URL des HARICA-Systems schickt, dass dort eine IP-Sperre greift.
 +
 +Der Fehler ist nach unserem Kenntnisstand mindestens ab ''mod_md'' v2.6.0 enthalten (Achtung: Versionssnummern von ''mod_md'' sind unabhängig von den Apache-Versionen).
 + 
 +
 +''mod_md'' ist damit derzeit nicht nutzbar.
 +
 +=== ACME-Proxy tiny-acme-server ===
 +
 +Von der Friedrich-Alexander-Universität Erlangen-Nürnberg gibt es den ''tiny-acme-server'', der nach innen zur Einrichtung hin ACME mit http-01-Challenge anbietet, und in Richtung des PKI-Anbieters mit dessen spezifischen API kommuniziert: https://gitos.rrze.fau.de/noc/tiny-acme-server/-/tree/master?ref_type=heads
  
  
-=== Apache Modul mod_md ===+=== ACME-Proxy PKI Self Service Portal HM.edu ===
  
-Apache-Modul mod_md aktivieren: +Die Hochschule München veröffentlicht ihr PKI Self-Service-Portal unter: https://github.com/hm-edu/pki-portal-deployment/tree/main
-   a2enmod md ssl +
-    +
-Konfiguration des Apache: Es sind nur wenige Zeilen in den Server-Context einzutragen (und nicht den Virtualhost!). Im VirtualHost muss lediglich SSL angeschaltet werden. Es sind keine Pfade zu Zertifikaten oder Keys zu konfiguieren. +
-   MDomain <fqdn> +
-   MDContactEmail <mailadresse> +
-   MDCertificateAgreement accepted    +
-   MDCertificateAuthority <Server-URL wie im ACME EAB Account angegeben> +
-   MDExternalAccountBinding /etc/apache2/<Datei mit EAB Details> +
-    +
-   <VirtualHost *:443> +
-      ServerName <fqdn> +
-      SSLEngine On +
-      DocumentRoot /var/www/html +
-   </VirtualHost> +
-    +
-Inhalt der Datei mit EAB-Details: +
-    {"kid": "<Key ID aus HARICA", "hmac": "<HMAC Key aus HARICA"} +
-     +
-In Experimenten war nach der initialen Konfiguration ein zweifacher Neustart des Apache notwendig.+
  
 ==== Fallstricke und Fehlermeldungen ==== ==== Fallstricke und Fehlermeldungen ====
  • Zuletzt geändert: vor 3 Monaten