Servere, sslbrain ikke kender

Dækker ingen pakke i kataloget jeres applikation, skriver I selv installationsscriptet og lægger det op som en custom agent. sslbrain udsteder og fornyer certifikatet, og jeres script installerer det.

Hvornår har I brug for det her

Applikationen læser sit certifikat fra en fil, et keystore eller Windows’ certifikatlager, og ingen pakke i kataloget kender den.
Applikationen skal genstartes eller have en kommando efter certifikatskiftet, som kataloget ikke laver.

Serveren skal have en service-agent. Scriptet kører altid på serveren, så et system, der kun kan nås gennem et API fra appliancen, kan ikke dækkes.

Skriv scriptet, og læg det op

Find ud af, hvor applikationen læser certifikatet, i hvilket format, og hvordan den indlæser det igen.
Skriv agent.yml og scriptet i PowerShell, bash eller Python. Tag udgangspunkt i eksemplet til Linux, se Windows-servere for Windows, og vælg formatet med cert_format (variabler).
Afprøv scriptet i hånden på en testserver med et testcertifikat.
Læg agenten op under Agenter › Katalog › Custom agenter (Læg en custom agent op). Det kræver rollen Owner.
Tillad custom agenter på serveren (Tillad scriptet på serveren).
Opret reglen som i trin 8. I trinnet Tjenester vælger I en af de tjenester, discovery har fundet på serveren, fx IIS eller RDP (Vælg tjenesterne). Tjenester kan ikke tilføjes i hånden, så har discovery ikke fundet nogen, kan serveren ikke vælges.
I trinnet Opsummering klikker I på Tilføj agent under Agentkæde for … og vælger jeres custom agent. sslbrain kører så agenterne i kæden i stedet for tjenestens egen pakke.

Tillad scriptet på serveren

En service-agent kører ikke custom agenter med sin standardindstilling. Sæt agentens script-politik til 31 på hver Windows-server, der skal køre scriptet. Det gøres med MSI-egenskaben SCRIPTPOLICY=31 ved installationen eller med Group Policy, som også rammer servere, der kommer til senere i samme OU (Service-agentens script-politik).

Signering

Appliancen signerer jeres custom agent, når den lægges op. Ændrer I scriptet, skal I lægge en ny version op, for service-agenten kører ikke et script, hvis signatur ikke passer (Signering).

Kontrollér, at det virker

Kør reglen, og kontrollér certifikatet på serveren som i trin 8. Fejler kørslen, står scriptets output under Udrulning › Kørsler (Installationen fejler).