erneuerung_per_api

Anonymous (anonymous@undisclosed.example.com) — 2024-12-09T13:15:18+00:00

2026/06/01 15:19	aktuell
Zeile 1:	Zeile 1:
	+	===== Wie kann man bei Sectigo alle Serverzertifikate per API erneuern? =====
	+
	+	Der folgende Python-Schnipsel nutzt die Sectigo REST-API, um alle gültigen Serverzertifikate, die der aufrufende Admin im Zugriff hat, zu erneuern.
	+
	+	Voraussetzung: Der aufrufende Admin ist RAO_SSL oder DRAO_SSL und hat das Privileg "autoApproveCertificates". Dieses Privileg kann in SCM von einem anderen Admin gesetzt werden.
	+
	+	Achtung: Das System von Sectigo erzeugt für jedes Zertifikat potentiell mehrere E-Mails, z.B. an den Original-Antragstellenden. Es können einige Minuten vergehen, bis die Zertifikate ausgestellt worden sind.
	+
	+	Achtung: Der Python-Schnipsel muss noch ergänzt werden, um eine lauffähige Software abzugeben. Dies ist nur eine schnelle Skizze, die mit Sicherheit Fehler enthält.
	+
	+
	+	<code>
	+	import datetime
	+	import json
	+	import os
	+	import requests
	+	import string
	+	from urllib.parse import urlparse
	+	import urllib.request
	+
	+	# Stelle sicher, dass der aufrufende Admin das Privileg autoApproveCertificates hat
	+	# und nicht in der Rolle MRAO ist.
	+	def check_admin_role(username,password):
	+
	+	headers = {
	+	"password": password,
	+	"Content-Type": "application/json;charset=utf-8",
	+	"login": username,
	+	"customerUri": "DFN",
	+	"Accept": "application/json"
	+	}
	+
	+	# id des Admins ermitteln
	+	admin_url = 'https://cert-manager.com/api/admin/v1?login='+username
	+	req = requests.get(admin_url,headers=headers)
	+	if req.status_code == 200:
	+	admins=json.loads(req.text)
	+	if len(admins) > 1:
	+	print("Fehler: Mehr als ein Admin mit username "+username+" gefunden")
	+	exit(-1)
	+
	+	# Mit der Admin-id die Admin-Details ermitteln
	+	admin_url = 'https://cert-manager.com/api/admin/v1/'+str(admins[0]["id"])
	+	admin_req = requests.get(admin_url,headers=headers)
	+	if req.status_code == 200:
	+	admin_details=json.loads(admin_req.text)
	+	# In den Admin-Details nach dem Privileg autoApproveCertificates suchen
	+	if not 'autoApproveCertificates' in admin_details["privileges"]:
	+	print(admin_details)
	+	print("")
	+	print("Fehler: Admin muss das Privileg autoApproveCertificates haben!")
	+	print(" Rechte des Admins im SCM bearbeiten!")
	+	exit(-1)
	+	# Sicherstellen, dass der Admin kein MRAO ist
	+	for cred in admin_details["credentials"]:
	+	if cred["role"] == "MRAO":
	+	print(admin_details)
	+	print("")
	+	print("Fehler: Skript nicht als MRAO aufrufen!")
	+	exit(-1)
	+	else:
	+	print("Fehler: Admin nicht gefunden "+username+" "+admin_req.text)
	+	exit(-1)
	+	else:
	+	print("Fehler: Admin nicht gefunden "+username+" "+req.text)
	+	exit(-1)
	+
	+	# Alle SSL-Zertifikate, die im Status "Issued" sind, mit Renew erneuern.
	+	# Dadurch, dass der Admin das Privileg "autoApproveCertificates" hat,
	+	# wird mit kurzer Verzögerung das Zertifikat ausgestellt.
	+	#
	+	# Erstellt eine Datei "renewlist-<Zeitstempel>" mit einer Liste aller sslIds
	+	# der erneuerten Zertifikate.
	+	# Mit den sslIds können die Zertifikate dann abgerufen werden.
	+	def renew(username,password):
	+
	+	# Admin prüfen
	+	check_admin_role(username,password)
	+	headers = {
	+	"password": password,
	+	"Content-Type": "application/json;charset=utf-8",
	+	"login": username,
	+	"customerUri": "DFN",
	+	"Accept": "application/json"
	+	}
	+	position=0
	+	count=0
	+	certlist=[]
	+
	+	while True:
	+	report_url = 'https://cert-manager.com/api/ssl/v1?status=Issued&position='+str(position)+'&size=200'
	+	req = requests.get(report_url,headers=headers)
	+	cert_details=json.loads(req.text)
	+	for cert in cert_details:
	+	certlist.append(cert["sslId"])
	+
	+	if len(cert_details) < 200:
	+	break;
	+	position=position+200
	+
	+
	+	now = datetime.datetime.now().strftime("%Y%m%d%H%M%S")
	+	with open("renewlist-"+now,"w+") as outputfile:
	+	for cert_sslid in certlist:
	+	renew_url = 'https://cert-manager.com/api/ssl/v1/renewById/'+str(cert_sslid)
	+	renew_req = requests.post(renew_url,headers=headers)
	+	if renew_req.status_code == 200:
	+	res=json.loads(renew_req.text)
	+	print(res["sslId"], file=outputfile, flush=True)
	+	else:
	+	print("Fehler für "+str(cert_sslid)+":"+renew_req.text)
	+
	+	return
	+
	+
	+
	+	</code>
	+
	+	===== Wie können die erneuerten Zertifikate per API heruntergeladen werden? =====
	+
	+	Der folgende Python-Schnipsel nutzt die Sectigo REST-API, um in einzelnes ausgestelltes Serverzertifikat herunterzuladen.
	+
	+	Der Eingabe-Parameter ''sslid'' ist genau die ID, die das Erneuerungs-Verfahren ausgibt. Das Zertifikat muss bereits ausgestellt sein. Es können einige Minuten vergehen zwischen dem Erneuern und dem Ausstellen.
	+
	+
	+	Achtung: Der Python-Schnipsel muss noch ergänzt werden, um eine lauffähige Software abzugeben. Dies ist nur eine schnelle Skizze, die mit Sicherheit Fehler enthält.
	+
	+
	+	<code>
	+	import json
	+	import os
	+	import requests
	+	import string
	+	from urllib.parse import urlparse
	+	import urllib.request
	+
	+	# sslid: herunterzuladendes Zertifikat
	+	# outputdir: Verzeichnis, in dem das Zertifikat abgespeichert werden soll
	+	def collect(sslid,outputdir,username,password):
	+	headers = {
	+	"password": password,
	+	"Content-Type": "application/json;charset=utf-8",
	+	"login": username,
	+	"customerUri": "DFN",
	+	"Accept": "application/json"
	+	}
	+	# Zertifikatdetails abfragen, um den commonName zu ermitteln
	+	name_url = 'https://cert-manager.com/api/ssl/v1/'+str(sslid)
	+	req = requests.get(name_url,headers=headers)
	+	if req.status_code == 200:
	+	cert_details=json.loads(req.text)
	+	commonname=cert_details["commonName"]
	+	print(cert_details["commonName"])
	+	else:
	+	print("Fehler "+str(sslid)+": "+req.text)
	+	exit(-1)
	+
	+	# Herunterladen des Zertifikats
	+	# format=pemia bedeutet: Zertifikat mit Kette. Issuer nach dem SSL-Zertifikat
	+	collect_url = 'https://cert-manager.com/api/ssl/v1/collect/'+str(sslid)+'?format=pemia'
	+	req = requests.get(collect_url,headers=headers)
	+	if req.status_code == 200:
	+	print("Erfolg "+str(sslid))
	+	filename=outputdir+'/'+str(sslid)+'_'+commonname+'_chain.pem'
	+	with open(filename,"w+") as outputfile:
	+	outputfile.write(req.text)
	+	else:
	+	print("Fehler "+str(sslid)+": "+req.text)
	+
	+	return
	+	</code>
	+
	+

Dokumentation DFN-AAI, DFN-PKI und eduroam - de:dfnpki:tcsfaq:aktuellesituation

erneuerung_per_api