====== [DRAFT] Kurzanleitung für die Einrichtung von ACME auf Linux-Servern (mit Certbot) ======

===== 1. Voraussetzungen =====

Für die automatische Zertifikatsausstellung wird folgendes benötigt:

  * HARICA-ACME-Account
  * Server-URL
  * EAB-Key-ID
  * EAB-HMAC-Key

Diese können von einem Harica-Zertifikats-Admin für den jeweiligen Dienst/Server ausgestellt werden.

Liegen diese vor, kann mit der Einrichtung fortgefahren werden.

==== 2. Installation ====

Auf Debian/Ubuntu:

<code>
apt update
apt install -y certbot curl jq openssl

</code>

==== 3. HARICA-Registrierung ====

Eine geschützte Konfigurationsdatei '' /root/harica-register ''erstellen:

<code>
server = https://HARICA-URL/directory
eab-kid = KEY_ID
eab-hmac-key = HMAC_KEY
email = vorname.nachname@w-hs.de
agree-tos = true

</code>

Anschließend registrieren:

<code>
certbot register --non-interactive \
  --config /root/harica-register

</code>

==== 4. Zertifikat ausstellen ====

Beispiel für einen generischen Webserver:

<code>
certbot certonly \
  --standalone \
  --non-interactive \
  --agree-tos \
  --server "HARICA-SERVER-URL" \
  --email "vorname.nachname@w-hs.de" \
  --cert-name beispiel.za.w-hs.de \
  -d beispiel.za.w-hs.de

</code>

Die erste Abfrage des kann einige Minuten dauern!

Ist wurde das Zertifikat erfolgreich angefordert und gespeichert, sollte die Ausgabe in etwa so aussehen:

<code>
Successfully received certificate.

Certificate is saved at:

  /etc/letsencrypt/live/beispiel.za.w-hs.de/fullchain.pem

Key is saved at:
  /etc/letsencrypt/live/beispiel.za.w-hs.de/privkey.pem

</code>
==== 5. Prüfungen ====

Nach erfolgreicher Ausgabe kann das Zertifikat/e mit folgendem Command geprüft werden:

<code>
certbot certificates

</code>

Zertifikatsgültigkeit prüfen:

<code>''
openssl x509 \
  -in /etc/letsencrypt/live/beispiel.za.w-hs.de/cert.pem \
  -noout -dates ''

</code>

Renewal ohne erzwungene Neuausstellung prüfen:

<code>''
sudo certbot renew \
  --cert-name beispiel.za.w-hs.de ''

</code>
==== 6. Aufräumen ====

Nachdem bestätigt wurde, dass das Zertifikat erneuert wurde, kann die konfig gelöscht werden

<code>
sudo rm -f /root/harica-register

</code>