Hold øje med certifikaterne
Kopiér link til siden “Hold øje med certifikaterne”sslbrain sender kun besked, når der findes en kanal og en alarmregel. Opret begge, før I regner med, at nogen får besked, når noget går galt.
Opret en kanal
Kopiér link til afsnittet “Opret en kanal”En kanal er en e-mailadresse eller en webhook, som beskederne sendes til.
-
Åbn Overvågning › Kanaler.
-
Vælg en Kanaltype under Opret en ny kanal. Hvilke typer I kan vælge, afhænger af licensen, se Kanaler efter licens.
-
Skriv et Kanalnavn, og udfyld felterne under Indstillinger for kanaltypen:
Kanaltype Felter E-mail (Cloud) Modtager E-mail (SMTP) Modtager, SMTP-server, Port (standard 587), Brugernavn, Adgangskode, Kryptering (tls, ssl eller none), Afsenderadresse, Afsendernavn Webhook Webhook URL -
Klik på Opret kanal.
Kanalen står nu under Eksisterende kanaler og kan vælges i en alarmregel.
- E-mail (Cloud) sender til listen E-mailmodtagere under Notifikationer i sslbrain Cloud, op til 10 adresser. Er listen tom, går beskederne til kontoejeren. Feltet Modtager skal udfyldes, men bruges ikke.
- E-mail (SMTP) og Webhook sendes direkte fra appliancen, også når den ikke kan nå sslbrain Cloud. Vælg en af dem, hvis alarmerne skal nå frem under et udfald mod sslbrain Cloud.
En kanal kan ikke rettes. Skal en adresse ændres, så opret en ny kanal, og vælg den i alarmreglerne. Historik ved kanalen viser, hvem der har oprettet og ændret den.
Opret en alarmregel
Kopiér link til afsnittet “Opret en alarmregel”En alarmregel sender besked til én kanal, når en bestemt hændelse sker.
-
Åbn Overvågning › Alarmregler, og klik på Ny alertregel.
-
Skriv et Navn, og vælg en Hændelse og en Kanal.
-
Har I valgt Certifikat udløber, så skriv i Tærskel (dage), hvor mange dage før udløb beskeden skal sendes. Tallet skal være fra 1 til 365.
-
Klik på Gem.
Reglen er slået til, når den er gemt. Reglerne gennemgås hver time, og alt, hvad én regel finder, sendes som én besked. Operator og roller over kan oprette og rette regler. Kun en Administrator kan slette dem.
| Hændelse | Sendes, når |
|---|---|
| Certifikat udløber | Et certifikat har færre dage tilbage end tærsklen. |
| Certifikat udløbet | Et certifikat er udløbet. |
| Installation fejlet | En installation på en server er fejlet inden for det sidste døgn. |
| Fornyelse fejlet | En automatisk fornyelse er fejlet inden for det sidste døgn, eller en Windows CA-kilde er stoppet efter 3 fejl i træk. |
| Forbindelse tabt | sslbrain har ikke kunnet nå en server i mere end 2 timer. |
| Agent inaktiv | En service-agent har ikke meldt sig i mere end 48 timer. |
| Certifikat mismatch | Et installeret certifikat dækker ikke det hostname, bindingen bruger. |
| Ukendt certifikat fundet | En TLS-port, der er set inden for det sidste døgn, viser et certifikat, sslbrain ikke kender. |
| Politikovertrædelse | Der er åbne fund mod politikken, en RSA-nøgle på 1024 bit eller et selvsigneret certifikat i brug. |
Overblik er første punkt under Dagligt i menuen. Kortene øverst tæller kun certifikater, sslbrain styrer. Udløber snart tæller dem, der udløber inden for 30 dage, og bliver kritisk, når et af dem udløber inden for 7 dage. Udløbet tæller udløbne certifikater, der stadig er i brug.
Under kortene står antallet af certifikater, der er fundet på serverne uden at være styret af sslbrain, se Find de certifikater, I allerede har.
Handlinger er listen over det, der skal gøres. Tallet ved menupunktet er antallet af kritiske punkter og advarsler på listen.
- Et udløbet certifikat eller et med 7 dage eller mindre tilbage er kritisk.
- Et certifikat med højst 30 dage tilbage er en advarsel.
- Listen har også punkter om appliancens eget TLS-certifikat, diskplads, licens, servere, installationer, Auto-DNS og agentkataloget.
- Nogle punkter kan fjernes med ×. Punkter om certifikater kan ikke.
Siden kan også vise et banner:
- Nødadgang aktiv: nogen er logget ind med de 12 backup-ord, se Sikkerhed.
- ”… af jeres … servere er deaktiveret, fordi licensen dækker …”: licensen dækker ikke alle servere, se Når noget ikke virker.
Overvågning › Alarmer viser det, der kræver handling nu. Alarmer kvitteres ikke her. Listen Aktive problemer står i denne rækkefølge:
- Udløbne certifikater.
- Certifikater i kritisk tilstand.
- Installationer, der er fejlet inden for de sidste 7 dage, op til 10.
- Agenter, der ikke har meldt sig i 15 minutter, og servere, sslbrain ikke kan nå.
- Certifikater med advarsel.
Alarmer tæller alle certifikater, også dem, der kun er fundet på serverne. Siden bedømmer et certifikat efter dets samlede gyldighed, så tallene kan afvige fra Overblik, der bruger 30 og 7 dage:
| Certifikatets gyldighed | Advarsel | Kritisk |
|---|---|---|
| Over 90 dage | 28 dage tilbage | 7 dage tilbage |
| 11 til 90 dage | Under 26,67 % af gyldigheden tilbage | Under 10 % tilbage |
| 10 dage eller mindre | Under 47,5 % tilbage | Under 16,67 % tilbage |
Udløbne og erstattede certifikater
Kopiér link til afsnittet “Udløbne og erstattede certifikater”- Certifikater › Udløbet viser udløbne certifikater, som ingen profil styrer, og som intet nyere certifikat har erstattet. Typisk er det certifikater, sslbrain har fundet på serverne. Som standard vises de sidste 90 dage. De bliver aldrig til punkter under Handlinger.
- Certifikater › Erstattet viser certifikater, et nyere certifikat har afløst. Det nyere er enten markeret som fornyelsen eller har samme CN og udsteder. De tæller aldrig med under Udløber snart.
Certifikater på fundne TLS-porte kontrolleres igen hver nat kl. 04:00, se Find de certifikater, I allerede har.
Infrastrukturkort
Kopiér link til afsnittet “Infrastrukturkort”Servere › Infrastrukturkort viser kæden fra certifikatkilde til tjeneste: Kilder, Certifikatprofiler, Certifikater, Deploy-regler, Servere og tjenester og Deployet / status. Et manglende led tegnes som manglende.
Brudte kæder og advarsler viser fejlene med en kode, fx profile_without_source, certificate_without_rule, deployment_failed og server_unreachable. Vis kæde viser kun kæden for ét certifikat.
Hvis det fejler
Kopiér link til afsnittet “Hvis det fejler”- Alarmregler viser “Opret en notifikationskanal først, så alertregler har et sted at sende til.”: opret en kanal først.
- En kanaltype står under Utilgængelige kanaltyper med “Kræver …-abonnement”: licensen giver ikke den kanaltype. Licensen skiftes i sslbrain Cloud, se sslbrain Cloud.
- E-mail (Cloud) kommer ikke frem: appliancen skal være forbundet til sslbrain Cloud.
- Webhook-kaldet kommer ikke frem: adressen skal kunne nås fra appliancen. Appliancen venter højst 15 sekunder på svar.
Kanaler efter licens
Kopiér link til afsnittet “Kanaler efter licens”| Kanaltype | Licens | Sendes |
|---|---|---|
| E-mail (Cloud) | Free og op | Gennem sslbrain Cloud |
| E-mail (SMTP) | Basic og op | Direkte fra appliancen |
| Webhook | Basic og op | Direkte fra appliancen |
Webhook sender et HTTP POST med JSON til adressen:
{"text": "<emne>\n<besked>", "username": "sslbrain"}