Apache HTTP Server
Kopiér link til siden “Apache HTTP Server”
Finder indlæste TLS VirtualHosts og skifter det valgte RSA- eller ECDSA-certifikat med kontrolleret genindlæsning.
Sådan forløber det
- Service-agenten på serveren henter opgaven fra appliancen over udgående HTTPS, port 443.
- Discovery finder indlæste VirtualHosts og deres ordnede certifikat- og nøgleslots. Vælg stierne til det RSA- eller ECDSA-slot, der skal ændres.
- Certifikat og nøgle valideres og stages ved målfilerne. Kendte nøglekonflikter afvises før ændringer; tidligere filer gemmes beskyttet til gendannelse.
- Filerne skiftes, konfigurationen kontrolleres, og Apache genindlæses. Gendannelse sker kun, når den tidligere fungerende tjeneste observeres brudt efter skiftet. En kørende tjeneste genindlæses med de gendannede filer; kun en stoppet tjeneste startes.
- Kontrol bruger tjenestens hovedproces og lokale TLS-svar for det valgte slot. Et accepteret reload uden tilstrækkeligt bevis rapporteres med advarsel.
Tekniske detaljer
- Forbindelse
- Pakken kører gennem service-agenten på serveren. Agenten forbinder over udgående HTTPS til appliancen, port 443 som standard. I åbner ingen port ind til serveren.
- Tjenestens porte
- 443, 80
- I skal bruge
- Service-agenten installeret på serveren. SSH-konto med adgang til at læse indlæst konfiguration og certifikater, skrive de valgte filer og deres mapper samt køre faste configtest-, reload- og startkommandoer via afgrænset sudo.
- Platform
- Apache 2.4 og nyere
- Handlinger
- Discovery, Installation, Kontrol; ingen rollback-handling
- Pakker
-
apache-ssh1.4.1 - Bemærk
-
- Discovery spørger den kørende Apache, hvor konfigurationen ligger: processens -f og -d, ellers systemd-enheden, ellers apache2 -V eller httpd -V. Include og IncludeOptional følges. Deploy accepterer også filer uden for standardmapperne, når en VirtualHost i den aktive konfiguration bruger netop de filer.
- SSH-login kan bruge adgangskode eller privat nøgle. Filskrivning sker som denne konto; sudo giver kun adgang til faste tjenestekommandoer. Ukendt indlæst konfiguration markeres ufuldstændig.
- Lokale TLS-vært-, port- og SNI-felter er valgfrie; ellers bruges kendte indlæste lyttere. RELOAD=false skriver kun filer og advarer om ubekræftet aktivering. Deploy-kontrollen viser tilstedeværende mellemcertifikater; verify rapporterer kædetillid og navnematch hver for sig. Ubekræftet aktivering blokerer ikke en senere fornyelse, men uafklaret gendannelse rapporteres som fejl.
- For et mod_md-administreret navn kan det valgfrie TARGET_SERVER_NAME vælge overtagelse. Certifikatet skal dække alle navne; kun den valgte deklaration skifter til statiske filer og manuel fornyelse. Kontoen skal kunne skrive konfigurationsfilen og dens mappe. Andre administrerede navne bevares. Fornyelse af eksisterende statiske mod_md-filer kræver ingen konfigurationsændring.
- Alpine/musl og BusyBox-miljøer understøtter de samme valgte certifikatstier. Installer Bash, OpenSSL, GNU coreutils og flock fra util-linux; BusyBox erstatter ikke Bash. Stiernes længde og tilladte tegn kontrolleres også på Alpine.