SSL Automatisering

Kubernetes med cert-manager

cert-manager är redan den klient klustret använder. Konfigurationen handlar om att peka den på en CA som utfärdar certifikat ni kan stå för inför kunder och revision.

Svensk support, vardagar 10-16 +46 10 101 03 34
E-post info@fairssl.se
Betala mot faktura E-faktura via Peppol 30 dagar netto, PDF-faktura 14 dagar netto
Bankgiro (Handelsbanken) 650-4757
E-faktura Peppol för offentlig sektor och företag
VAT-nr DK33075782

Klustret hämtar redan själv, men från en kostnadsfri utfärdare

Ett certifikat i Kubernetes är en Secret som Ingress refererar och som poddar monterar. Den delen fungerar redan. Det som brukar saknas är en kommersiell CA med organisationsvalidering och ett avtal bakom, utan att klustret ska hämta certifikaten någon annanstans ifrån än vanligt.

Vad den genererade konfigurationen gör

Guiden skriver en ClusterIssuer med FairSSL som ACME-server och med externalAccountBinding. HMAC-nyckeln läggs i en Secret, och Certificate-objekten hänvisar till issuern på samma sätt som förut.

Skapar en Secret med EAB HMAC-nyckeln i cert-manager-namespacet.
Skapar en ClusterIssuer som pekar på FairSSL ACME-server.
Certificate-objektet namnger den Secret certifikatet ska ligga i.
cert-manager förnyar och byter Secreten på plats.

Var certifikatet hamnar

I en TLS Secret med det namn du sätter i secretName. Ingress refererar den Secreten, och cert-manager skriver det förnyade certifikatet till samma Secret, så manifesten inte behöver ändras. Certificate-objektet står som Ready när det är på plats.

Det här bör du veta i förväg

Använd cert-manager v1.21 eller senare med feature gate ACMEUseARI påslagen om du vill ha ARI. När issuern är en ClusterIssuer ska EAB-Secreten ligga i cert-manager-namespacet och inte i applikationens eget. Väljer du en http01-solver måste ingress controllern fortfarande nås på port 80 utifrån: det är bara dns01 med AutoDNS som tar bort det kravet.

Guider för den här plattformen

Versioner som stöds

Guiden i kontrollpanelen är skriven för de här versionerna. Kör du en äldre version än den som står här, fråga oss innan du beställer.

Plattform	Versioner	Körs på	ACME-klient
Kubernetes	VersionerGuiden sätter ingen versionsgräns	Körs påKubernetes-klustret	ACME-klientcert-manager, ARI från v1.21 med feature gate ACMEUseARI

Validering utan att öppna något in mot servern

En ACME-klient som validerar över HTTP kräver att port 80 är öppen in mot servern. En klient som validerar över DNS kräver en API-nyckel till din DNS-leverantör, och den nyckeln ligger då på servern med skrivbehörighet till din zon. Interna servrar och appliances klarar sällan någondera.

Den enda CNAME du skapar per domän

_dnsauth.<domain> CNAME <hash>.autodns.fairssl.dk

Du skapar den en gång per registrerad domän. FairSSL skriver CA:ns valideringspost i vår egen zon, och du rör inte din DNS igen vid förnyelse.

En post per domän

Wildcard, SAN-namn och nya underdomäner på samma registrerade domän använder samma CNAME-vidarebefordran.

Inga DNS-nycklar på servern

Klienten får aldrig åtkomst till din DNS-zon. En komprometterad server kan därför inte ändra dina DNS-poster.

Utgående HTTPS, ingen inkommande regel

Servern måste kunna anropa fairssl.dk över HTTPS. Någon inkommande regel i brandväggen behövs inte, och servern behöver ingen publik adress.

Så fungerar AutoDNS →

Vad som övervakas när klienten kör

En automatisering som stannar utan att säga till är sämre än en förnyelse i kalendern. Vi mäter därför både certifikatet och den klient som ska förnya det.

Förnyelsefönster varje timme

Vi frågar CA:n via ARI när certifikatet bör förnyas och kontrollerar varje timme. Svarar CA:n inte faller vi tillbaka på 21 och 7 dagar före utgång.

Klienten slutar höra av sig

Börjar en klient checka in hälften så ofta som den ska skickar vi en varning. Ett certifikat kan vara giltigt långt efter att klienten som skulle förnya det har slutat köra.

Om installationen lyckades

Windows-klienten rapporterar resultatet av installationen tillbaka. Ett certifikat som är utfärdat men inte bundet till webbplatsen räknas som ett fel.

E-postlarm per profil

Larm ställs in per profil, så drift och utveckling kan få besked på var sin adress.

Övervaknings-API

Status kan hämtas som JSON eller läsas direkt av PRTG och Prometheus, så certifikaten syns i det övervakningssystem ni redan tittar på.

Certifikat utan automatisering

Certifikat som inte körs automatiskt får utgångsmail 28 dagar och 7 dagar före utgång.

Administration, profiler och behörigheter →

Vad automatiseringen kostar

Avgiften betalas per huvudcertifikat, per år, utöver priset på själva certifikatet.

370 SEK per huvudcertifikat och år

Kortare giltighetstid betyder fler utfärdanden per år. Antalet utfärdanden ändrar inte priset: du betalar för certifikatet under förvaltning, inte per förnyelse.

Upp till 25 servrar som använder certifikatet ingår i avgiften. Varje server får sitt eget återutfärdade certifikat.
Återutfärdanden kostar inget extra.
Ändringar i certifikatets SAN-namn kostar inget extra.
Fler ACME-klienter som använder samma certifikat kostar inget extra.

Ytterligare ett certifikat prissätts för sig: certifikatets eget pris plus avgiften för ett år.

Räkneexempel och prisdetaljer →

Från beställning till ett certifikat som förnyar sig självt

Steg tre finns inte i en generisk ACME-guide: konfigurationen skrivs för din plattform.

1
Beställ certifikatet i kontrollpanelen och slå på automatisering för det.
2
Skapa CNAME-vidarebefordran för domänen. En gång per registrerad domän.
3
Välj din plattform i guiden. Portalen skriver konfigurationskommandot med kontonyckel och domäner ifyllda, och du kopierar det med en knapp.
4
Kör kommandot på servern. Klienten hämtar certifikatet, installerar det och förnyar det sedan själv.

Klienten för Windows paketerar vi själva och bygger dagligen. Linux och macOS använder stock lego, som det genererade kommandot anropar. Hämta Windows-klienten

Kom igång i kontrollpanelen →

Support via e-post och telefon är kostnadsfri före, under och efter installationen. Fjärrinstallation är ett tillval till fast pris.

Hitta din plattform

Guiden i kontrollpanelen skriver konfigurationen för den plattform du väljer, med kontonyckel och domäner ifyllda. Du kopierar den med en knapp och kör den på servern.

Windows

Simple-ACME i FairSSL-utgåvan hämtar certifikatet, installerar det i certifikatlagret och binder det till webbplatsen eller tjänsten.

IIS 8+, IIS 6-7.5, Exchange, RDS, ADFS, WAP, SQL Server, PRTG, Dynamics NAV/BC, Tomcat

Se konfigurationen →

Linux

Stock lego med FairSSL som ACME-server. Det genererade kommandot skriver certifikatet och reloadar tjänsten efteråt.

nginx, Apache, HAProxy, Traefik, Caddy, Postfix, lego

Se konfigurationen →

macOS

Lego, med samma konfiguration som på Linux.

lego

Appliances

FortiGate 7.6.3 och F5 BIG-IP 21.1.0 och senare talar ACME själva. Äldre versioner och de övriga lådorna hämtar certifikatet via en agent eller en enrollment-URL.

FortiGate, FortiMail, FortiWeb, NetScaler ADC, F5 BIG-IP, Kemp LoadMaster, Cisco ASA, Cisco FDM, Kubernetes cert-manager

Se konfigurationen →

Det här ingår inte

Guiden skriver ingen konfiguration för pfSense, Synology, Palo Alto eller Sophos. Kör du någon av dem, fråga oss innan du köper så tittar vi på vad som går att göra.

Certifikat på många servrar och appliances

Ett offentligt SSL-certifikat får vara giltigt i högst 199 dagar nu, 99 dagar senast 2027-03-15 och 46 dagar senast 2029-03-15. Varje certifikat måste då bytas minst två gånger om året nu och minst åtta gånger om året från 2029, på varje server, brandvägg och lastbalanserare där det används. sslbrain från FairSSL körs som en appliance i ert eget nätverk och förnyar och installerar certifikaten från ett ställe, även på utrustning utan agent.

Så förnyar och installerar sslbrain certifikat automatiskt (på engelska)