Kom i gang
Kopiér link til siden “Kom i gang”Manualen fører jer fra en installeret appliance til det første certifikat, som sslbrain udsteder, installerer på en af jeres servere og selv fornyer. Trinnene står i den rækkefølge, I udfører dem.
- Installér sslbrain-appliancen i jeres netværk. Private nøgler dannes her, og sslbrain Cloud ser dem aldrig.
- Sæt domænevalidering op: CNAME viderestilling til your.autodns.sslbrain.net, adgang til jeres DNS-udbyders API eller en dns-persist-01 TXT-post.
- Vælg jeres CA: Let’s Encrypt, DigiCert, Google Public CA, Sectigo eller GlobalSign, eller jeres egen Windows Certificate Services.
- Installér service-agenter på Windows- og Linux-servere. De henter selv deres certifikater fra appliancen; i DMZ og på fjernlokationer gennem sslbrain Cloud.
- Opret certifikater. sslbrain Cloud taler med CA’en og DNS, appliancen taler kun udgående på port 443 med sslbrain Cloud.
- Opret installationsplaner: appliancen leverer selv til FortiGate, F5, NetScaler, Palo Alto og andet udstyr uden agent.
Transport: sådan henter service-agenten sine opgaver
Service-agenten starter altid selv forbindelsen, så den behøver ingen indgående port på serveren. De to veje er ligeværdige. En server kan bruge den ene eller begge, og har den begge, prøver agenten som standard de direkte adresser først.
DirekteServeren kan nå appliancen.
Service-agentpå Windows- eller Linux-serveren
Forbindelse: service-agenten starter HTTPS til appliancen, på port 443 som standard, og henter sine opgaver.
sslbrain appliancei jeres netværk
Beskeder over forbindelsen
- Opgave sslbrain appliance til Service-agent
- Resultat Service-agent til sslbrain appliance
Via sslbrain CloudServeren kan ikke nå appliancen, fx i en filial eller hos en hostingudbyder.
Service-agentpå Windows- eller Linux-serveren
Forbindelse: service-agenten starter HTTPS på port 443 til sslbrain Cloud og henter sine beskeder.
sslbrain Cloudkun relæ
Forbindelse: appliancen starter HTTPS på port 443 til sslbrain Cloud og henter sine beskeder.
sslbrain appliancei jeres netværk
Videresender asynkrone, signerede beskeder, krypteret så kun appliancen og agenten kan læse dem. Styrer ikke agenten.
Beskeder over forbindelsen
- Opgave sslbrain appliance til sslbrain Cloud til Service-agent
- Resultat Service-agent til sslbrain Cloud til sslbrain appliance
- Lokalt valg på serveren: med CloudDeny på Windows eller --cloud-deny på Linux går agenten aldrig via Cloud, uanset hvad appliancen sender.
- Appliancen forbinder aldrig til agenten.
Udførelse: hvem installerer certifikatet hvor
Service-agenten installerer certifikater på sin egen server. Mod andre destinationer gør appliancen eller en service-agent arbejdet over destinationens API eller SSH.
Hvem udfører
- sslbrain appliancei jeres netværk Kører i Bash Logger ind med adgangsoplysninger fra vault’en.
- Windows-service-agentpå sin egen Windows-server Kører i PowerShell Henter selv opgaven (diagram 1). Installerer lokalt på sin egen server, uden netværksforbindelse: fx IIS, Exchange, SQL Server
- Linux-service-agentpå sin egen Linux-server Kører i Bash Henter selv opgaven (diagram 1). Installerer lokalt på sin egen server, uden netværksforbindelse: fx Nginx, Apache, Postfix
Push mod andre destinationer: appliancen eller en service-agent
- Forbindelse fra den, der udfører, til netværksudstyr og appliances: API over HTTPS eller SSH. Netværksudstyr og appliancesLoad balancere, firewalls, storage og hypervisorer
- Forbindelse fra den, der udfører, til cloudtjenester: API over HTTPS. CloudtjenesterAWS, Azure, Google Cloud, Cloudflare og Akamai
- Windows- og Linux-servere får kun certifikater gennem deres egen service-agent.
- Appliancen kan finde Windows-servere og installere service-agenten på dem, men installerer aldrig certifikater uden om agenten.
- Mindst mulige rettigheder: hvilke scripts en agent må køre, bestemmes på serveren, og appliancen kan ikke ændre det. En Linux-agent kan nøjes med at skrive i de certifikatmapper, I giver adgang til.
Det skal I have klar
Kopiér link til afsnittet “Det skal I have klar”- En sslbrain Cloud-konto, hvor I er ejer eller administrator. Kontoen skal have godkendt licensvilkårene og databehandleraftalen.
- Plads til appliancen: en virtuel maskine i VMware, Proxmox eller KVM, eller en Linux-server med Docker. Se Før I starter.
- Administratoradgang til de servere, der skal have certifikater.
Fra installation til første certifikat
Kopiér link til afsnittet “Fra installation til første certifikat”Start med trin 1. Når appliancen svarer i browseren, fortsætter I med trin 2. Trin 4 er valgfrit.
- 1. Installér sslbrain Installér appliancen som virtuel maskine i VMware, Proxmox eller KVM, eller i Docker på jeres egen Linux-server, og åbn den i browseren.
- 2. Første opsætning Knyt appliancen til jeres sslbrain Cloud-konto, vælg licens, gem de 12 backup-ord, og vælg Auto eller Manuelt.
- 3. Navn og certifikat til appliancen Giv appliancen det gratis navn under my.sslbrain.net, så får den et betroet certifikat, uden at I gør mere.
- 4. Find de certifikater, I allerede har Valgfrit: scan netværket, og se hvilke servere der svarer med TLS, og hvornår deres certifikater udløber.
- 5. Forbind servere Vælg vejledningen til jeres servere: service-agenten på Windows og Linux, eller forbindelse uden agent til netværksudstyr og cloud-tjenester.
- 6. Bevis, at domænet er jeres Opret en CNAME viderestilling for hvert domæne, så sslbrain kan få udstedt og fornyet certifikater til det. En DNS-API-adgang er alternativet.
- 7. Vælg, hvor certifikaterne kommer fra Brug profilen Gratis Auto til gratis certifikater, eller få certifikater fra FairSSL, jeres egen Windows CA eller ved upload.
- 8. Første certifikat på serveren Opret en regel, der udsteder certifikatet, installerer det på serveren og gør det igen ved hver fornyelse, og kontrollér, at serveren leverer det.
Står en server i en filial, hos en hostingleverandør eller bag en firewall, som appliancen ikke kan nå igennem, så se Servere uden for jeres netværk.
Kom i gang på appliancens forside
Kopiér link til afsnittet “Kom i gang på appliancens forside”Når appliancen kører, viser dens forside Kom i gang med de tre trin fra forbundet server til installeret certifikat. Et trin får flueben, når det er sket, ikke når I har klikket på det.
- Forbind server: service-agenten er installeret på en server og har meldt sig, eller appliancen har nået en enhed uden agent (trin 5). Service-agenten finder tjenester og certifikater på serveren og udfører deploy-regler. Den vælger ikke selv certifikater.
- Opret deploy-regel: en deploy-regel bestemmer, hvilket certifikat der installeres på hvilke tjenester, og fornyer det automatisk (trin 8). Certifikatet udstedes fra en certifikatprofil (trin 7) for navne, I har bevist er jeres (trin 6).
- Certifikat installeret: reglen har installeret certifikatet på en af jeres servere (kontrollér det).
Større miljøer
Kopiér link til afsnittet “Større miljøer”Vejledninger til bestemte situationer, når den første server kører.
- Rul service-agenten ud på mange Windows-servere Installér service-agenten på mange Windows-servere på én gang med en GPO, eller med en stille MSI-installation fra SCCM eller Intune.
- Domæner uden DNS-API Validér domæner, hvor DNS-udbyderen ikke er indbygget i sslbrain: CNAME viderestilling, egen DNS-server med RFC 2136, egen REST-udbyder eller script.
- Interne certifikater fra Windows CA Udsted og forny certifikater fra jeres egen AD CS, og få dem installeret af reglerne som alle andre certifikater.
- Login med Active Directory Lad kollegerne logge ind på appliancen med deres AD-konto, og giv dem en rolle ud fra deres AD-gruppe.
- Når appliancen er nede Hvad der virker videre, mens appliancen er nede, og hvordan I får den op igen: genstart, geninstallation, gendannelse eller en ny appliance.
- Servere, sslbrain ikke kender Få certifikater ud på en applikation, som ingen pakke i kataloget dækker, med jeres eget script lagt op som custom agent.
- Flyt eller genopret appliancen Sæt appliancen tilbage fra en backup efter en fejl, eller flyt licensen til en ny appliance, når maskinen skal skiftes ud.
- Revision og compliance Giv revisoren adgang til revisionsloggen, og find ud af, hvem der har ændret hvad, hvem der kan hente private nøgler, og hvad appliancen gør af sig selv.
Det daglige arbejde, når certifikaterne fornyes af sig selv.
- Hold øje med certifikaterne Få en e-mail eller et webhook-kald, når et certifikat, en installation eller en server kræver handling, og se status på Overblik og Alarmer.
- Hold sslbrain opdateret Opdatér appliancen til en signeret version, vælg hvad der opdateres af sig selv, og opdatér fra konsollen, hvis webfladen ikke svarer.
- Gem en backup, og gendan fra den Tag en backup af appliancens data og nøgler, hent en kopi væk fra appliancen, og sæt appliancen tilbage til det tidspunkt, backuppen blev taget.
- Når noget ikke virker Slå det op, appliancen viser, og se årsagen og hvad I gør ved det.
Opslag om appliancen og sslbrain Cloud.
- Integrationer Alle steder, sslbrain installerer certifikater. Søg, filtrér på operativsystem og type, og åbn vejledningen til den enkelte integration.
- Egne scripts Læg jeres eget installationsscript i PowerShell, bash eller Python op som custom agent, tillad det på serveren, og se eksempler, variabler og krav til agent.yml.
- Brugere og login Log ind med sslbrain Cloud eller en lokal adgangskode, opret kollegerne med den rigtige rolle, og hold styr på licensens logins.
- Sikkerhed Hvordan appliancen beskytter de private nøgler, hvad de 12 backup-ord åbner, hvilke data der sendes ud, hvad der sker, hvis noget bliver kompromitteret, og hvilke porte der skal være åbne.
- Politik og revision Hvad appliancen gør af sig selv, hvilke scripts service-agenterne må køre, domænegrænsen på Free, og hvor revisionsloggen står.
- Konsolmenu Hvert punkt i den virtuelle appliances konsolmenu: status, netværk, logs, genstart, opdatering, diskplads og Danger zone.
- sslbrain Cloud Kontoen i sslbrain Cloud: appliances, installationsfiler og krav, licenser og units, team, og flytning af en licens til en anden appliance.
- Support og diagnostik Send et supportbundt til FairSSL, del diagnostik, godkend en supportpartner, og åbn SSH for support i 24 timer.
- Værktøjer Aflæs et certifikat, konverter mellem PEM, PFX, DER og JKS, lav og slå CAA-records op, og lav et selvsigneret certifikat til test.
- Moduler Hent de moduler, jeres licens giver, slå dem til, og sæt Windows CA og vedligeholdelsesvinduer op.