Installerer certifikatet til den valgte Dovecot-tjeneste og kontrollerer det lokalt via TLS eller STARTTLS.
Sådan forløber det
- Service-agenten på serveren henter opgaven fra appliancen over udgående HTTPS, port 443.
- Finder Dovecots certifikatopsætninger, lokale IMAP/POP-porte og synlige henvisninger fra andre certifikatværktøjer. Den valgte opsætning kontrolleres før ændringen.
- Klargør og validerer certifikat og nøgle. Hvis andre tjenester bruger de samme filer, får kun den valgte Dovecot-opsætning sit eget filpar; de fælles filer og fornyelsesjob bevares.
- Skifter filerne og genindlæser kun Dovecot. Hvis det fejler: Ved et delvist filskift eller tab af en tidligere fungerende lokal TLS-forbindelse gendannes filerne og den berørte konfiguration. Rollback kontrolleres mod den tidligere tilstand; en ubekræftet gendannelse meldes som fejl.
- Sammenligner det lokalt serverede certifikats fingeraftryk via TLS eller IMAP/POP STARTTLS. Det nye certifikat giver succes; allerede korrekt tilstand giver succes uden ændring. Manglende lokal kontrol giver en advarsel. Serveres det gamle certifikat stadig efter ét ekstra reload, meldes fejl uden blind rollback.
Tekniske detaljer
- Forbindelse
- Pakken kører gennem service-agenten på serveren. Agenten forbinder over udgående HTTPS til appliancen, port 443 som standard. I åbner ingen port ind til serveren.
- Tjenestens porte
- 110, 143, 993, 995
- I skal bruge
- Service-agenten installeret på serveren. Kontoen skal kunne skrive certifikat- og nøglefiler med de eksisterende rettigheder og genindlæse Dovecot. Sudo kan begrænses til faste Dovecot-kommandoer. En delt certifikatopsætning kræver også læse- og skriveadgang til den valgte konfiguration. Uden root kan nye filer få kontoens ejerskab; gruppe og rettigheder bevares, og ændringen vises som en advarsel.
- Handlinger
- Discovery, Installation, Kontrol, Rollback
- Pakker
-
dovecot-ssh1.3.1 - Bemærk
-
- Discovery læser den konfigurationsfil, den kørende Dovecot er startet med (masterprocessens -c, ellers systemd-enheden, ellers den fil doveconf oplyser), med dens !include-filer. De faste stier under /etc/dovecot bruges kun, når tjenesten ikke kan svare. Deploy og rollback accepterer også filer uden for standardmapperne, når den aktive konfiguration bruger netop det certifikat og den nøgle, og doveconf bekræfter det.
- Fingeraftrykket viser, hvilket certifikat der serveres, ikke om navn og tillidskæde er gyldige. En anden lokal opsætnings certifikat giver en advarsel ved installation. Discovery kan kun vise de certifikatværktøjer, den kan se.
- Kræver Bash, OpenSSL, GNU coreutils og flock. Udvidet discovery og overtagelse af delt opsætning kræver Python 3.6 eller nyere. Konfigurationsstier og gendannelsesjournaler læses også på Alpine/musl med disse værktøjer installeret. Valg af tjeneste og lokal TLS-port er valgfrie.