Az ACME a tanúsítványok teljes életciklusának kezelésére szolgál, az igényléstől és telepítéstől egészen a megújításig. Az ACME-t már évek óta használhatja az SSLmarket szolgáltatásán keresztül. Nézzük meg együtt, milyen támogatást nyújtanak az egyes webszerverek az ACME protokollhoz.
ACME protokoll és webszerverek
Az ACME protokollt eredetileg különálló kliensek segítségével használták. Egy erre szolgáló programmal igényelhették a TLS-tanúsítványt, majd ugyanez az ACME-kliens telepítette azt a webszerverre is. A legismertebb ACME-kliens a Certbot. Az Apache webszerverhez nyújtott kezdeti támogatás azóta fokozatosan más platformokra is kiterjedt, például a Windows Serverre és az IIS-re.
A jelenlegi trend az ACME-kliens közvetlen integrálása a webszerverbe, így a tanúsítványok beszerzése és telepítése automatikusan, kompatibilis módon történhet, további szoftverek vagy manuális beavatkozás nélkül. Így minden egy helyen érhető el. Beépített ACME-klienssel rendelkező webszerver például a Caddy és az OpenLiteSpeed. Nemrég az Nginx is natív ACME-támogatást kapott, egyelőre azonban nem támogatja az EAB-t, ezért a DigiCert ACME-szolgáltatásával nem használható.
Mi az EAB az ACME-ben?
Az EAB (External Account Binding) az ACME protokoll egyik mechanizmusa, amely az ACME-klienst a hitelesítő hatóságnál vezetett konkrét fiókhoz rendeli. Az ACME-fiók létrehozásakor a kliens a hitelesítő hatóság által biztosított két adatot, a KID azonosítót és a titkos HMAC-kulcsot használja. Ezek segítségével kapcsolódik a szervezet fiókjához. Ennek köszönhetően a hitelesítő hatóság azonosítani tudja a tanúsítványt igénylő felet, alkalmazhatja a belső szabályait, és a fiók beállításainak megfelelően vállalati vagy fizetős tanúsítványokat is kibocsáthat. Az EAB nem helyettesíti a domain hitelesítését (HTTP-01/DNS-01), csupán azt biztosítja, hogy a kérelem egy jogosult fiókból érkezzen.
Az SSLmarket egyedülálló funkciót is kínál: áttekintheti az ACME-n keresztül kibocsátott összes tanúsítványát, amelyeket minden kapcsolódó metaadattal és információval együtt importálunk a felhasználói fiókjába.
Az ACME aktuális támogatása a webszervereken
Az alábbi táblázatban áttekintheti, hogyan integrálták az ACME protokollt az egyes webszerverekbe. A legtöbbjük már rendelkezik beépített ACME-támogatással. Ha az EAB-t is támogatják, akkor a DigiCert tanúsítványait is használhatja, és automatizálhatja azok kezelését. Az ACME-hitelesítő adatokat egyszerűen és ingyenesen igényelheti SSLmarket-fiókjában.
| Webszerver / platform | Natív ACME-kliens | EAB-támogatás | Implementáció típusa | Megjegyzés / belső kliens |
|---|---|---|---|---|
| Apache HTTP Server | Nem | Igen (külső klienssel) | Külső (Certbot, acme.sh, lego…) | Pl. certbot-apache plugin; az EAB kezelését a kliens végzi (DigiCert ACME-vel is működik). |
| NGINX (1.24-ig) | Nem | Igen (külső klienssel) | Külső (Certbot, acme.sh…) | Régebbi NGINX-verziók natív ACME-támogatás nélkül. |
| NGINX (1.25-től) | Igen | Nem | Natív | Natív ACME-támogatás EAB nélkül; a DigiCert használatához külső kliens szükséges. |
| LiteSpeed / OpenLiteSpeed | Igen | Igen | Natív (belsőleg acme.sh alapú) | Integrált, acme.sh alapú kliens; teljes EAB-támogatás (DigiCert ACME). |
| Caddy | Igen | Igen | Natív | Beépített tanúsítványkezelés EAB-támogatással. |
| Traefik | Igen | Igen | Natív | Belsőleg kezeli a tanúsítványokat, az EAB-t is támogatja. |
| HAProxy | Részben (hookok segítségével) | Igen (külső klienssel) | Külső kliens (acme.sh, Certbot…) | A tanúsítványt a külső kliens szerzi be, a telepítés deploy-hook segítségével, a HAProxy újraindítása nélkül, újratöltéssel történik. |
| Lighttpd | Nem | Igen (külső klienssel) | Külső kliens | acme.sh / dehydrated; az EAB kezelését a kliens végzi. |
| IIS / Exchange (Windows) | Igen | Igen | Külső (win-acme, Certify The Web) | Teljesen automatizálható; EAB-támogatás (DigiCert ACME). |
| Tomcat / Jetty / Java-szerverek | Nem | Igen (külső klienssel) | Külső kliens + hookok | Konvertálás JKS/PKCS12 formátumba; az EAB kezelését a kliens végzi. |
| Postfix / Dovecot / Exim | Nem | Igen (külső klienssel) | Külső kliens + hookok | Telepítés szkript segítségével; az EAB kezelését a kliens végzi. |
| Kubernetes (cert-manager) | Igen | Igen | Vezérlő (controller) / kibocsátó (issuer) | EAB-támogatás; DigiCert ACME issuer használatához is megfelelő. |
| Envoy Proxy | Kísérleti | Részben (külső kezelőeszközökön keresztül) | Integráció SDS / cert-manager segítségével | Az ACME-kezelést külső vezérlő végzi; az EAB támogatása a használt klienstől függ. |
| Felhőplatformok (Cloudflare / AWS / GCP) | Igen (saját tanúsítványkezelés) | Belső megoldás (a szabványos EAB-n kívül) | A felhőszolgáltató által kezelt | A DigiCert ACME használatához ezek a szolgáltatások helyett külső klienst kell alkalmazni. |
Összefoglalás
Az ACME segítségével szinte bármilyen környezetben automatizálhatja a tanúsítványok kezelését. Az alapvető útmutatókat az SSLmarket súgójában találja. Ha a használat során bármilyen problémája vagy kérdése merülne fel, forduljon bizalommal ügyfélszolgálatunkhoz.
Biztonságos SSL tanúsítványok szakértője
Symantec Sales Expert Plus
e-mail: pataki(at)zoner.hu