[DRAFT] Kurzanleitung für die Einrichtung von ACME auf Linux-Servern (mit Certbot)
1. Voraussetzungen
Für die automatische Zertifikatsausstellung wird folgendes benötigt:
- HARICA-ACME-Account
- Server-URL
- EAB-Key-ID
- EAB-HMAC-Key
Diese können von einem Harica-Zertifikats-Admin für den jeweiligen Dienst/Server ausgestellt werden.
Liegen diese vor, kann mit der Einrichtung fortgefahren werden.
2. Installation
Auf Debian/Ubuntu:
apt update apt install -y certbot curl jq openssl
3. HARICA-Registrierung
Eine geschützte Konfigurationsdatei '' /root/harica-register ''erstellen:
server = https://HARICA-URL/directory eab-kid = KEY_ID eab-hmac-key = HMAC_KEY email = vorname.nachname@w-hs.de agree-tos = true
Anschließend registrieren:
certbot register --non-interactive \ --config /root/harica-register
4. Zertifikat ausstellen
Beispiel für einen generischen Webserver:
certbot certonly \ --standalone \ --non-interactive \ --agree-tos \ --server "HARICA-SERVER-URL" \ --email "vorname.nachname@w-hs.de" \ --cert-name beispiel.za.w-hs.de \ -d beispiel.za.w-hs.de
Die erste Abfrage des kann einige Minuten dauern!
Ist wurde das Zertifikat erfolgreich angefordert und gespeichert, sollte die Ausgabe in etwa so aussehen:
Successfully received certificate. Certificate is saved at: /etc/letsencrypt/live/beispiel.za.w-hs.de/fullchain.pem Key is saved at: /etc/letsencrypt/live/beispiel.za.w-hs.de/privkey.pem
5. Prüfungen
Nach erfolgreicher Ausgabe kann das Zertifikat/e mit folgendem Command geprüft werden:
certbot certificates
Zertifikatsgültigkeit prüfen:
'' openssl x509 \ -in /etc/letsencrypt/live/beispiel.za.w-hs.de/cert.pem \ -noout -dates ''
Renewal ohne erzwungene Neuausstellung prüfen:
'' sudo certbot renew \ --cert-name beispiel.za.w-hs.de ''
6. Aufräumen
Nachdem bestätigt wurde, dass das Zertifikat erneuert wurde, kann die konfig gelöscht werden
sudo rm -f /root/harica-register