ACME-Automatisierung ersetzt keine Zertifikatsüberwachung
ACME ist die richtige Grundlage für kurzlebige öffentliche TLS-Zertifikate. Es automatisiert Ausstellung und Erneuerung. Alle öffentlichen und internen Zertifikate inventarisiert es jedoch nicht von selbst. Ebenso wenig ermittelt es die zuständige Stelle oder stellt sicher, dass für jedes Asset ein Warnweg eingerichtet ist, über den das zuständige Team reagieren kann.
Was ACME tatsächlich löst
RFC 8555 definiert ACME als ein Protokoll, das eine Zertifizierungsstelle und ein Antragsteller verwenden können, um die Validierung von Identifikatoren und die Ausstellung von Zertifikaten zu automatisieren. Das ist wichtig: Ohne Automatisierung werden kürzere Zertifikatslebensdauern betrieblich unrealistisch.
Die in RFC 9773 standardisierte ACME Renewal Information verbessert den Erneuerungsprozess. Ein ACME-Server kann empfohlene Erneuerungsfenster bereitstellen; ein Client kann melden, dass er ein Zertifikat erfolgreich erneuert und ersetzt hat. Let’s Encrypt empfiehlt, ARI häufig abzufragen und nach Möglichkeit anstelle eines fest codierten Erneuerungszeitpunkts zu verwenden.
ACME deckt ab
- Anfordern eines Zertifikats von einem ACME-Server.
- Nachweis der Kontrolle über Identifikatoren durch unterstützte Challenges.
- Empfang des ausgestellten Zertifikats und, je nach Client, dessen automatische Erneuerung.
- Sperr- und Zertifikatverwaltungsfunktionen auf Kontoebene.
Die Überwachung muss weiterhin prüfen
- Welches Zertifikat wird an jedem Host, Port und SNI-Namen tatsächlich vorgelegt?
- Welche öffentlichen und internen Endpunkte, Dateien und welches TLS-Zertifikatsmaterial in Kubernetes liegen innerhalb der Inventargrenze?
- Ob sich die Kette, der Aussteller, der SAN-Satz, der Schlüsseltyp oder die TLS-Richtlinie unerwartet geändert haben.
- Wer ist für den Endpunkt verantwortlich, und über welchen Warnweg kann das zuständige Team vor dem Ende des Erneuerungsfensters reagieren?
- Welche internen Zertifikate, privaten PKI-Endpunkte und manuell installierten Zertifikate liegen außerhalb des ACME-Pfads?
Die Überwachungsgrenze reicht über die Ausstellung hinaus
Die entscheidende Grenze ist einfach: ACME kann melden, dass ein Zertifikat ausgestellt oder erneuert wurde. Es kann weder jeden Endpunkt inventarisieren, den Benutzer und interne Systeme erreichen, noch jedes Zertifikat, das außerhalb dieses ACME-Ablaufs auf einem privaten Host oder in einem Cluster gespeichert ist.
Diese Grenze wird wichtiger, je kürzer Zertifikatslaufzeiten werden. Erneuerung ist dann keine vierteljährliche Kalenderaufgabe mehr, sondern ein normaler Infrastrukturzyklus. Ein belastbarer Zyklus benötigt automatisierte Ausstellung, automatisierte Bereitstellung und unabhängige Beobachtung.
Fehlermodi werden durch die Automatisierung nicht entfernt
Assets außerhalb des ACME-Pfads
VPNs, Appliances, private APIs, manuell installierte Zertifikate und interne PKI können sowohl außerhalb des automatisierten Bestands als auch des zugehörigen Warnwegs bleiben.
Automatisiert nur an einem Ort
Der öffentliche Webserver ist automatisiert, VPN, Appliance, Administrationsoberfläche, interne API oder Endpunkt eines Kundenmandanten werden jedoch weiterhin manuell verwaltet.
Keine Zuständigkeit im Fehlerfall
Der Erneuerungsjob gehört zu einem Team, der Endpunkt zu einem anderen, und die Warnung landet in einem gemeinsamen Postfach, das niemand als betrieblichen Kanal behandelt.
Falsche Erneuerungsannahmen
Ein fest codierter Zeitplan oder das Verhalten eines alten Clients kann für 90-Tage-Zertifikate funktionieren, wird aber mit kürzeren Laufzeiten und veränderten Erneuerungsfenstern anfällig.
Ein praktisches Betriebsmodell
- Verwenden Sie ACME für die Ausstellung und Erneuerung überall dort, wo der Endpunkt und die Zertifizierungsstelle dies unterstützen.
- Verwenden Sie ARI-fähige Clients, sofern verfügbar, damit die Zertifizierungsstelle empfohlene Erneuerungsfenster und frühzeitigen Ersatzbedarf melden kann.
- Überwachen Sie den Live-Endpunkt unabhängig vom ACME-Client.
- Verfolgen Sie Verantwortliche, Benachrichtigungsziele, beobachtete Quellen und Erneuerungsmethoden für jedes Zertifikat.
- Führen Sie interne Zertifikate und Endpunkte, die keine öffentliche ACME-Zertifizierungsstelle nutzen, im selben Betriebsbestand zusammen.
- Lösen Sie Warnungen anhand dessen aus, was Benutzer und Systeme tatsächlich sehen, nicht nur anhand des Erfolgs des Ausstellungsjobs.
Wo Nocert ansetzt
Nocert ersetzt weder ACME-Clients noch Zertifizierungsstellen oder die Bereitstellungsautomatisierung. Es überwacht Zertifikate, die von erreichbaren öffentlichen und internen TLS-Endpunkten vorgelegt werden, und führt Dateisystem- sowie Kubernetes-Funde im selben Bestand zusammen. Teams können so den Ablauf von ACME-verwalteten und anderen Assets verfolgen. Die Business- und Custom-Workspaces ergänzen außerdem den Status der Compliance-Regeln.
Nocert arbeitet damit neben ACME, nicht an dessen Stelle. Das klare Modell überlässt ACME Ausstellung und Erneuerung und bestätigt das Ergebnis an den wichtigen Endpunkten durch unabhängige Überwachung.
Primärquellen
Dieser Hinweis stützt sich auf den ACME-Standard, die Erweiterung ACME Renewal Information, den Integrationsleitfaden von Let’s Encrypt und dessen Dokumentation zu Anfragelimits.