Simple-ACME (win-acme): komplett Windows-guide

Innan du startar simple-acme behöver du skapa EAB-uppgifter i FairSSL:s kontrollpanel. EAB (External Account Binding) kopplar ACME-certifikaten till ditt FairSSL-konto, så att alla certifikat, klienter och förnyelser syns och övervakas.

simple-acme.exe --register ^
  --baseuri https://fairssl.dk/acme/ ^
  --eab-key-identifier ERT_KEY_ID ^
  --eab-key ER_HMAC_KEY ^
  --eab-algorithm HS256 ^
  --emailaddress er@email.se ^
  --accepttos

För automatisering och CI/CD använder du CLI-argument i stället för den interaktiva menyn. Här är de vanligaste scenarierna.

IIS-webbplats med FairSSL AutoDNS

Wildcard + huvuddomän, validerat via DNS-01 med FairSSL AutoDNS. Inga API-nycklar till DNS behövs. --siteid 1 installerar certifikatet på IIS-webbplats 1 och binder det automatiskt till de värdnamn på webbplatsen som matchar certifikatets namn.

simple-acme.exe ^
  --baseuri https://fairssl.dk/acme/ ^
  --source manual ^
  --host "*.ditt-doman.se,ditt-doman.se" ^
  --validationmode dns-01 ^
  --validation acme-dns ^
  --csr ec ^
  --store certificatestore ^
  --installation iis ^
  --siteid 1 ^
  --accepttos

DNS-validering med egen DNS-leverantör och extra PEM + PFX (pluggable)

Om du inte använder AutoDNS och i stället har direkt API-åtkomst till din DNS-leverantör (kräver pluggable-versionen). Exemplet validerar via Cloudflares API, sparar certifikatet i Windows Certificate Store, som PEM-filer och som PFX, och installerar det på IIS-webbplats 1:

simple-acme.exe ^
  --baseuri https://fairssl.dk/acme/ ^
  --source manual ^
  --host www.ditt-doman.se,ditt-doman.se ^
  --validationmode dns-01 ^
  --validation cloudflare ^
  --cloudflareapitoken ER_CF_TOKEN ^
  --csr ec ^
  --store certificatestore,pemfiles,pfxfile ^
  --pemfilespath C:\certs\ditt-doman.se ^
  --pfxfilepath C:\certs\ditt-doman.se ^
  --pfxpassword LOSENORD ^
  --installation iis ^
  --siteid 1 ^
  --accepttos

Lagringsalternativ (store)

Simple-acme kan spara certifikat på flera sätt. Kombinera dem med komma i --store.

--store certificatestore

--store pemfiles ^
--pemfilespath C:\certs\

--store pfxfile ^
--pfxfilepath C:\certs\ ^
--pfxpassword LOSENORD

Kombinera lagringstyper: --store certificatestore,pemfiles sparar i Windows Certificate Store och exporterar PEM-filer samtidigt.

Skript efter förnyelse

Kör ett skript när förnyelsen är klar, till exempel för att aktivera certifikatet på nätverksutrustning eller starta om en tjänst:

simple-acme.exe ^
  --baseuri https://fairssl.dk/acme/ ^
  --source manual ^
  --host rdp.ditt-doman.se ^
  --validationmode dns-01 ^
  --validation acme-dns ^
  --csr ec ^
  --store pemfiles ^
  --pemfilespath C:\certs\rdp ^
  --installation script ^
  --script "C:\scripts\deploy-cert.ps1" ^
  --scriptparameters "'{CertThumbprint}' '{StoreType}'" ^
  --accepttos

Simple-acme stöder RSA- och ECDSA-nycklar. Valet påverkar hur snabb handskakningen är, hur mycket data som skickas och hur framtidssäker nyckeln är.

Simple-acme använder P-384 som standard för EC, vilket är det vi rekommenderar. Om du behöver ändra nyckeltyp gör du det i settings.json:

{
  "CSR": {
    "EC": {
      "CurveName": "secp384r1"
    }
  }
}

Simple-acme skapar en schemalagd aktivitet i Windows Task Scheduler när det första certifikatet skapas. Aktiviteten körs dagligen och förnyar certifikat som snart löper ut.

Viktigt: Den schemalagda aktiviteten och settings.json måste stämma överens. Starttid, slumpmässig fördröjning och sökvägar måste vara desamma på båda ställena. Ändrar du en inställning på det ena stället måste du uppdatera det andra. Skillnader mellan de två är en av de vanligaste orsakerna till att förnyelsen misslyckas utan att någon märker det.

"ScheduledTask": {
  "StartBoundary": "05:00:00",
  "RandomDelay": "01:00:00"
}

Kort livslängd för certifikat (47 dagar från 2029)

Med en livslängd på 47 dagar från 15 mars 2029 måste förnyelsen köras oftare och fungera varje gång. Simple-acme med ARI sköter det automatiskt: CA:n bestämmer när certifikatet ska förnyas, och klienten följer det. Testa din konfiguration noggrant nu, medan certifikaten fortfarande gäller i 199 dagar, så att du är redo för de kortare livstiderna.