ACME-Automatisierung ersetzt keine Zertifikatsüberwachung
ACME automatisiert die Ausstellung und Erneuerung öffentlicher TLS-Zertifikate. Teams müssen auch Zertifikate außerhalb dieses Prozesses erfassen, Zuständigkeiten festlegen und Ablaufwarnungen konfigurieren.
acme.sh hat das Zertifikat erneuert, aber Nginx liefert noch das alte
cert-manager: Certificate ist Ready, aber der Ingress liefert das falsche Zertifikat
Traefik liefert das falsche Zertifikat: SNI, Router und ACME prüfen
Certbot hat das Zertifikat erneuert, aber Nginx liefert noch das alte aus
Was ACME automatisiert
RFC 8555 definiert ACME als Protokoll zur automatisierten Validierung von Identifikatoren und Ausstellung von Zertifikaten zwischen einer Zertifizierungsstelle und einem Antragsteller. Bei kürzeren Zertifikatslaufzeiten bleibt weniger Zeit für manuelle Schritte.
Die in RFC 9773 standardisierte ACME Renewal Information verbessert den Erneuerungsprozess. Ein ACME-Server kann empfohlene Erneuerungsfenster bereitstellen; ein Client kann melden, dass er ein Zertifikat erfolgreich erneuert und ersetzt hat. Let’s Encrypt empfiehlt, ARI häufig abzufragen und nach Möglichkeit anstelle eines fest codierten Erneuerungszeitpunkts zu verwenden.
ACME deckt ab
- Anfordern eines Zertifikats von einem ACME-Server.
- Nachweis der Kontrolle über Identifikatoren durch unterstützte Challenges.
- Empfang des ausgestellten Zertifikats und, je nach Client, dessen automatische Erneuerung.
- Zertifikate widerrufen und auf Kontoebene verwalten.
Die Überwachung muss weiterhin prüfen
- Welches Zertifikat wird an jedem Host, Port und SNI-Namen tatsächlich vorgelegt?
- Welche öffentlichen und internen Endpunkte, Dateien und welches TLS-Zertifikatsmaterial in Kubernetes liegen innerhalb der Inventargrenze?
- Ob sich die Kette, der Aussteller, der SAN-Satz, der Schlüsseltyp oder die TLS-Richtlinie unerwartet geändert haben.
- Welches Team für den Endpunkt zuständig ist und rechtzeitig Warnmeldungen zur Erneuerung erhält.
- Welche internen Zertifikate, privaten PKI-Endpunkte und manuell installierten Zertifikate liegen außerhalb des ACME-Pfads?
Zertifikate nach der Ausstellung prüfen
ACME kann bestätigen, dass ein Zertifikat ausgestellt oder erneuert wurde. Endpunkte, private Hosts oder Cluster außerhalb dieses ACME-Ablaufs werden dabei nicht inventarisiert. Diese Standorte müssen gesondert geprüft werden.
api-01.example.com- Neues ZertifikatNoch 68 Tage
api-02.example.com- Altes Zertifikat weiterhin ausgeliefertNoch 7 Tage
Die Ausstellung war erfolgreich. Die Bereitstellung muss an jedem Endpunkt geprüft werden.
Fehler, die trotz Automatisierung auftreten können
Assets außerhalb des ACME-Pfads
VPNs, Appliances, private APIs, manuell installierte Zertifikate und interne PKI können sowohl außerhalb des automatisierten Bestands als auch des zugehörigen Warnwegs bleiben.
Nur ein Teil der Dienste ist automatisiert
Der öffentliche Webserver ist automatisiert, VPN, Appliance, Administrationsoberfläche, interne API oder Endpunkt eines Kundenmandanten werden jedoch weiterhin manuell verwaltet.
Keine Zuständigkeit im Fehlerfall
Ein Team betreut den Erneuerungsjob, ein anderes den Endpunkt. Die Warnung landet in einem gemeinsamen Postfach, das niemand zur Bearbeitung von Störungen nutzt.
Falsche Erneuerungsannahmen
Ein fest codierter Zeitplan oder das Verhalten eines alten Clients kann für 90-Tage-Zertifikate funktionieren, wird aber mit kürzeren Laufzeiten und veränderten Erneuerungsfenstern anfällig.
So organisieren Sie die Überwachung
- Verwenden Sie ACME für die Ausstellung und Erneuerung überall dort, wo der Endpunkt und die Zertifizierungsstelle dies unterstützen.
- Verwenden Sie ARI-fähige Clients, sofern verfügbar, damit die Zertifizierungsstelle empfohlene Erneuerungsfenster und frühzeitigen Ersatzbedarf melden kann.
- Überwachen Sie den Live-Endpunkt unabhängig vom ACME-Client.
- Halten Sie für jedes Zertifikat die Verantwortlichen, Benachrichtigungsziele, beobachteten Quellen und Erneuerungsmethoden fest.
- Führen Sie interne Zertifikate und Endpunkte, die keine öffentliche ACME-Zertifizierungsstelle nutzen, im selben Betriebsbestand zusammen.
- Lösen Sie Warnungen anhand dessen aus, was Benutzer und Systeme tatsächlich sehen, nicht nur anhand des Erfolgs des Ausstellungsjobs.
Wo Nocert ansetzt
Nocert überwacht Zertifikate erreichbarer öffentlicher und interner TLS-Endpunkte sowie Zertifikate aus Dateien und Kubernetes. Sie können die Ablaufdaten sowohl ACME-verwalteter als auch anderer Zertifikate verfolgen. Business und Custom zeigen außerdem die Ergebnisse der Compliance-Regelprüfungen. Nocert ersetzt weder Ihren ACME-Client noch Ihre Zertifizierungsstelle oder Bereitstellungswerkzeuge.
Prüfen Sie nach einer ACME-Erneuerung, ob die überwachten Endpunkte das erwartete Zertifikat ausliefern.
Primärquellen
Dieser Hinweis stützt sich auf den ACME-Standard, die Erweiterung ACME Renewal Information, den Integrationsleitfaden von Let’s Encrypt und dessen Dokumentation zu Anfragelimits.