Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

--- de:dfnpki:tcs:2025:acme [2026/01/23 18:12] – [Wildcard-Zertifikate] Juergen Brauckmann
+++ de:dfnpki:tcs:2025:acme [2026/02/13 09:28] (aktuell) – Juergen Brauckmann
@@ Zeile 4: / Zeile 4: @@
 Viele einführende Informationen finden sich in dem folgenden Foliensatz: {{ :de:dfnpki:harica:2026-01-22-automatisierung.pdf |Webinar "Automatisierung mit ACME"}}
+(Der verlinkte Foliensatz wurde am 12.02.2026 mit Hinweisen auf die derzeitige Inkompatibilität von ''mod_md'' ergänzt)
 ===== ACME EAB Accounts =====
@@ Zeile 73: / Zeile 75: @@
     * Fähigkeit, dns-01-Challenges zu beantworten
-Es gibt keine Möglichkeit, die Ausstellung von Wildcard-Zertifikaten weiter einzuschränken.
+Es gibt keine Möglichkeit, in der HARICA-Oberfläche die Ausstellung von Wildcard-Zertifikaten einzuschränken. Gegebenenfalls können hierfür [[https://doku.tid.dfn.de/de:dfnpki:tcs:2025:caa|CAA-Records]] verwendet werden (Achtung: Nur eingeschränkte Möglichkeiten bei Schreibzugriff aufs DNS von Subdomains, da CAA-Records von Subdomains die darüberliegende Domain überschreiben können!)
-==== Beispielaufrufe ====
+==== Werkzeuge und Beispielaufrufe ====
+=== Allgemein ===
+Unter https://acmeclients.com/ findet sich eine Liste von aktuell verfügbaren ACME Clients.
 === certbot ===
@@ Zeile 88: / Zeile 94: @@
     certbot certonly --webroot --webroot-path /var/www --non-interactive --agree-tos --email <eigene Mailadresse> --eab-kid <Key ID> --eab-hmac-key <HMAC Key> --server <Server URL> --domain <FQDN>
+''certbot'' installiert unter Umständen bereits direkt einen ''cron''-Job und einen ''systemd''-Timer zu Erneuerung des Zertifikats. Bitte unbedingt kontrollieren!
+    systemctl show certbot.timer
 === simple-acme ===
@@ Zeile 133: / Zeile 142: @@
 https://cert-manager.io/docs/usage/certificate/
+=== Nicht nutzbar: Apache Modul mod_md ===
+Neuere Versionen von ''mod_md'' sind derzeit nicht mit HARICA kompatibel. Das erste Ausstellen eines Zertifikats funktioniert, allerdings scheitert die Erneuerung aufgund eines Bugs in der ARI-Implementierung von ''mod_md''. Teilweise wurde auch beobachtet, dass ''mod_md'' soviele Anfragen an die ACME-Directory-URL des HARICA-Systems schickt, dass dort eine IP-Sperre greift.
+Der Fehler ist nach unserem Kenntnisstand mindestens ab ''mod_md'' v2.6.0 enthalten (Achtung: Versionssnummern von ''mod_md'' sind unabhängig von den Apache-Versionen).
+''mod_md'' ist damit derzeit nicht nutzbar.
+=== ACME-Proxy tiny-acme-server ===
+Von der Friedrich-Alexander-Universität Erlangen-Nürnberg gibt es den ''tiny-acme-server'', der nach innen zur Einrichtung hin ACME mit http-01-Challenge anbietet, und in Richtung des PKI-Anbieters mit dessen spezifischen API kommuniziert: https://gitos.rrze.fau.de/noc/tiny-acme-server/-/tree/master?ref_type=heads
-=== Apache Modul mod_md ===
+=== ACME-Proxy PKI Self Service Portal HM.edu ===
-Apache-Modul mod_md aktivieren:
+Die Hochschule München veröffentlicht ihr PKI Self-Service-Portal unter: https://github.com/hm-edu/pki-portal-deployment/tree/main
-   a2enmod md ssl
-Konfiguration des Apache: Es sind nur wenige Zeilen in den Server-Context einzutragen (und nicht den Virtualhost!). Im VirtualHost muss lediglich SSL angeschaltet werden. Es sind keine Pfade zu Zertifikaten oder Keys zu konfiguieren.
-   MDomain <fqdn>
-   MDContactEmail <mailadresse>
-   MDCertificateAgreement accepted
-   MDCertificateAuthority <Server-URL wie im ACME EAB Account angegeben>
-   MDExternalAccountBinding /etc/apache2/<Datei mit EAB Details>
-   <VirtualHost *:443>
-      ServerName <fqdn>
-      SSLEngine On
-      DocumentRoot /var/www/html
-   </VirtualHost>
-Inhalt der Datei mit EAB-Details:
-    {"kid": "<Key ID aus HARICA", "hmac": "<HMAC Key aus HARICA"}
-In Experimenten war nach der initialen Konfiguration ein zweifacher Neustart des Apache notwendig.
 ==== Fallstricke und Fehlermeldungen ====