Trin 8 af 8

8. Første certifikat på serveren

En deploy-regel bestemmer, hvilket certifikat der installeres på hvilke tjenester, og fornyer det automatisk. Reglen bestiller certifikatet, installerer det på de tjenester, I vælger, og installerer det igen, hver gang certifikatet fornyes. Service-agenten installerer ikke selv certifikater; den udfører reglen.

Før I starter

Serveren er forbundet (trin 5), og discovery har kørt på den (discovery på serveren).
Navnene i certifikatet er dækket af en CNAME viderestilling eller en DNS-API-adgang (trin 6).
I har rollen administrator eller operatør.

Opret reglen

Åbn Udrulning › Regler, og klik på Opret regel. Kommer I fra Opret regel på serverens række under Servere eller fra serverens side, er guiden åben med serveren og de tjenester, service-agenten har fundet, valgt. Mangler serveren i guidens første trin, så tilføj en enhed uden agent med Tilføj enhed, eller åbn Installer service-agent i en ny fane. Det, I har valgt i guiden, bevares. Kommer I fra Opret certifikat for … i trin 6, er guiden åben med navnene udfyldt.
Vælg de tjenester, der skal have certifikatet, i trinnet Tjenester (vælg tjenesterne).
Vælg Nyt certifikat i trinnet Certifikat. Har I allerede certifikatet i sslbrain, så vælg Brug et eksisterende certifikat.
Vælg profilen under Profil, fx Gratis Auto (trin 7). Findes der kun én, er den valgt.
Kontrollér Navne: ét navn pr. linje, og det første bliver CN. Et certifikat kan have op til 100 navne, også wildcard som *.example.dk.
Panelet Domænevalidering skal vise, at hvert navn er dækket. Er et navn ikke dækket, så ret det i trin 6, før I går videre.
Giv reglen et Regelnavn i trinnet Opsummering. Installerer reglen på IIS-bindings, så vælg En ad gangen under Strategi.
Klik på Gem og deploy nu. Reglen venter på certifikatet og installerer det, når det er udstedt.

Pakken til IIS kan ikke bekræfte installationen. Med standardstrategien står kørslen derfor som Fejlet, selv om certifikatet er installeret. Kontrollér installationen som under Kontrollér, at det virker. De øvrige indstillinger står under Reglens indstillinger.

Vælg tjenesterne

Trinnet Tjenester viser servere med deres tjenester. Søg med Søg servere…, eller filtrér på OS og rolle.

Åbn en server for at se dens tjenester. En IIS-binding vises som ip:port:hostname.
Står der Ingen opdagelse ved serveren, så klik på Kør opdagelse. Listen opdateres, når service-agenten har meldt resultatet.
Skal appliancen selv have certifikatet, så vælg tjenesten på serveren Denne appliance (appliancens certifikat).

Discovery bestemmer, hvilken pakke der installerer, fx iis8plus til en IIS-binding og exchange2013-2019 til Exchange. Pakkerne står i Integrationer.

Kontrollér, at det virker

Reglens side viser Første udrulning, indtil et døgn efter, at certifikatet er installeret på alle reglens tjenester: Certifikat bestilt, Certifikat udstedt og Installeret på tjenesterne, med Se resultatet, der åbner kørslen. Fejler et trin, står det ved trinnet. Forsidens Kom i gang sætter flueben ved Certifikat installeret, når en kørsel har installeret et certifikat på en af jeres servere.

En grøn kørsel betyder, at sslbrain har registreret installationen. Den viser ikke, at serveren leverer certifikatet. Kontrollér det på serveren.

Åbn certifikatet under Certifikater › Styret af sslbrain. Notér Serial og udløbsdato for den nyeste version under Versioner.
Hent certifikatet fra serveren, sådan som en klient ser det. Brug navnet i certifikatet og tjenestens port, til en webserver 443.
- bash
- PowerShell
Terminal window
openssl s_client -connect <servernavn>:<port> -servername <servernavn> </dev/null 2>/dev/null \ | openssl x509 -noout -serial -enddate
Terminal window
$name = '<servernavn>' $tcp = [Net.Sockets.TcpClient]::new($name, <port>) $ssl = [Net.Security.SslStream]::new($tcp.GetStream(), $false, { $true }) $ssl.AuthenticateAsClient($name) $cert = [Security.Cryptography.X509Certificates.X509Certificate2]::new($ssl.RemoteCertificate) $cert.SerialNumber; $cert.NotAfter $ssl.Dispose(); $tcp.Dispose()
I en browser: åbn adressen, klik på låsen ved adressefeltet, og vis certifikatet.
Er serial og udløb de samme som i sslbrain, leverer serveren certifikatet.

Serveren kan også scannes fra appliancen med TLS-scanning.

Følg kørslen

Kortet Kørsler på reglens side viser hver kørsel med status. Se kørslen åbner detaljerne med hvert skridt under Fejlsøgning. Kør regel starter en ny kørsel. De statusser, der kræver en forklaring:

Venter på certifikat: certifikatet er bestilt, men ikke udstedt endnu.
Delvis: nogle tjenester lykkedes, andre fejlede.
Sprunget over: tjenesten blev sprunget over, fx fordi serveren ikke er dækket af licensen.

Udrulning › Kørsler viser alle installationer på tværs af regler. Kør igen kører en enkelt installation igen.

Fornyelse

sslbrain tjekker hver 3. time, hvilke certifikater der skal fornyes. Der er ingen indstilling for det.

Certifikatets levetid	Fornyes
90 dage eller kortere	Når to tredjedele af levetiden er gået, for et 90-dages certifikat ca. 30 dage før udløb
Længere end 90 dage	30 dage før udløb
Alle	Senest 7 dage før udløb

Reglen installerer den fornyede version, hvis reglen er aktiv og Auto-deploy ved certifikatfornyelse er slået til. Det sker inden for vedligeholdelsesvinduet.

Planlagt

Udrulning › Planlagt viser certifikatkildernes kørsler og Opdateringstjek (brain + agenter), der kører hver 4. time og kan sættes på pause. Fornyelser står ikke her (fornyelse).

Hvis det fejler

Kørslen står på Venter på certifikat, eller certifikatet bliver ikke udstedt: se Validering fejler.
Kørslen står som Fejlet, men certifikatet er installeret på IIS: vælg En ad gangen under Strategi i reglen.
Kørslen står som Fejlet eller Delvis: åbn kørslen, og læs fejlkoden under Fejlsøgning. Se Installationen fejler.
Serveren leverer stadig det gamle certifikat efter en grøn kørsel: tjenesten bruger et andet certifikat end det, pakken har skiftet. Kør discovery på serveren igen, og kontrollér, at den rigtige binding er valgt i reglen.
Den 11. regel bliver afvist: licensen Free giver plads til 10 regler (licenser).
Certifikatet fornyes ikke til tiden: se Fornyelse fejler.

Reglens indstillinger

Indstilling	Standard	Betydning
Strategi	En ad gangen med verificering	Installerer på én tjeneste ad gangen og venter på, at installationen er bekræftet. De andre valg er En ad gangen og Alle på en gang
Ved fejl	Forsøg igen, rul tilbage ved fejl	Prøver igen og ruller tilbage til det certifikat, der var før, hvis det stadig fejler
Auto-deploy ved certifikatfornyelse	Slået til	Den fornyede version installeres af sig selv
Vedligeholdelsesvindue	Appliancens vindue fra Appliance og licens › Oversigt, eller når som helst	Begrænser, hvornår reglen må installere. Et vindue på reglen gælder i stedet for appliancens. Kræver Professional eller Enterprise (servicevinduer)
Følg thumbprint (IIS)	Slået til	Efter første installation skiftes certifikatet alle de steder på serveren, hvor det bruges