Dokumentation DFN-AAI, DFN-PKI und eduroam - de:dfnpki:tcs:2025

acme

Jürgen Brauckmann (brauckmann@dfn-cert.de@undisclosed.example.com) — 2026-09-25T16:03:31+00:00

2026/09/25 15:57		aktuell
Zeile 154:		Zeile 154:
	https://cert-manager.io/docs/usage/certificate/		https://cert-manager.io/docs/usage/certificate/

		+	=== Apache Modul mod_md ===

-	=== Nicht nutzbar: Apache Modul mod_md ===	+	Seit der breiten Verfügbareit von ARI in HARICA ab 2026-07 ist ''mod_md'' auch mit HARICA nutzbar.

-	Neuere Versionen von ''mod_md'' sind derzeit nicht mit HARICA kompatibel. Das erste Ausstellen eines Zertifikats funktioniert, allerdings scheitert die Erneuerung aufgund eines Bugs in der ARI-Implementierung von ''mod_md''. Teilweise wurde auch beobachtet, dass ''mod_md'' soviele Anfragen an die ACME-Directory-URL des HARICA-Systems schickt, dass dort eine IP-Sperre greift.	+	Apache-Modul mod_md aktivieren:
-		+	a2enmod md ssl
-	Der Fehler ist nach unserem Kenntnisstand mindestens ab ''mod_md'' v2.6.0 enthalten (Achtung: Versionssnummern von ''mod_md'' sind unabhängig von den Apache-Versionen).	+
-		+	Konfiguration des Apache: Es sind nur wenige Zeilen in den Server-Context einzutragen (und nicht den Virtualhost!). Im VirtualHost muss lediglich SSL angeschaltet werden. Es sind keine Pfade zu Zertifikaten oder Keys zu konfiguieren.
-		+	MDomain <fqdn>
-	''mod_md'' ist damit derzeit nicht nutzbar.	+	MDContactEmail <mailadresse>
		+	MDCertificateAgreement accepted
		+	MDCertificateAuthority <Server-URL wie im ACME EAB Account angegeben>
		+	MDExternalAccountBinding /etc/apache2/<Datei mit EAB Details>
		+
		+	<VirtualHost :443>*
		+	ServerName <fqdn>
		+	SSLEngine On
		+	DocumentRoot /var/www/html
		+	</VirtualHost>
		+
		+	Inhalt der Datei mit EAB-Details:
		+	{"kid": "<Key ID aus HARICA", "hmac": "<HMAC Key aus HARICA"}
		+
		+	In Experimenten war nach der initialen Konfiguration ein zweifacher Neustart des Apache notwendig.

	=== ACME-Proxy tiny-acme-server ===		=== ACME-Proxy tiny-acme-server ===

usercerts - [S/MIME]

Reimer Karlsen-Masur (karlsen-masur@dfn-cert.de@undisclosed.example.com) — 2026-09-25T11:34:17+00:00

2026/09/25 11:32		aktuell
Zeile 99:		Zeile 99:
	* Übergabe eines CSR in der Spalte "CSR" oder alternativ Generierung der Schüssel durch das HARICA-System.		* Übergabe eines CSR in der Spalte "CSR" oder alternativ Generierung der Schüssel durch das HARICA-System.
	* Die Werte in der Spalte "FriendlyName" dürfen maximal 85 Zeichen lang sein.		* Die Werte in der Spalte "FriendlyName" dürfen maximal 85 Zeichen lang sein.
-	* Es können entweder Zertifikate des Typs ''email_only'' oder aber ''natural_legal_lcp'' (also IV+OV mit Vorname, Nachname und Organisationsname) ausgestellt werden. Der Typ ''natural_legal_lcp'' ist nicht für Gruppen-, Funktions- und Pseudonymzertifikate zugelassen, falls im Vor- und Nachnamen anderes steht als der Vor- und Nachname der natürlichen Person.	+	* Es können entweder Zertifikate des Typs ''email_only'' oder aber ''natural_legal_lcp'' (also IV+OV mit Vorname, Nachname und Organisationsname) ausgestellt werden. Der Typ ''natural_legal_lcp'' ist nicht für Gruppen-, Funktions- und Pseudonymzertifikate zugelassen, falls im Vor- und Nachnamen anderes steht als der Vor- und Nachname einer persönlich identifzierten natürlichen Person.
	* Es gibt eine Begrenzung auf 50 Zeilen.		* Es gibt eine Begrenzung auf 50 Zeilen.

servercerts - [Zertifikattypen und Antragsstellung]

Reimer Karlsen-Masur (karlsen-masur@dfn-cert.de@undisclosed.example.com) — 2026-09-17T16:05:39+00:00

2025/09/12 15:20		aktuell
Zeile 74:		Zeile 74:

	Um den Aufwand auf HARICA-Seite zu vermindern, bitten wir drum, Experimente nicht mit dem Schlüsselwort "harica" durchzuführen.		Um den Aufwand auf HARICA-Seite zu vermindern, bitten wir drum, Experimente nicht mit dem Schlüsselwort "harica" durchzuführen.
		+
		+	=== Serverzertifikate mit IP-Adressen (IPv4/IPv6) ===
		+
		+	HARICA unterstützt den Bezug von Zertifikaten mit IP-Adressen via [[acme\|ACME]].
		+
		+