ACME integracija

Integracija protokola ACME (RFC 8555) za avtomatsko obnovo certifikatov s podporo za post-kvantno.

# Debian/Ubuntu
apt update && apt install certbot python3-certbot-nginx
 
# RHEL/CentOS
dnf install certbot python3-certbot-nginx
 
# Z DNS vtičnikom (Cloudflare)
apt install python3-certbot-dns-cloudflare

Za javno dostopne spletne strežnike:

# Nginx
certbot --nginx -d example.com -d www.example.com
 
# Apache
certbot --apache -d example.com -d www.example.com
 
# Samostojno (vrata 80 prosta)
certbot certonly --standalone -d example.com
 
# Webroot (obstoječi strežnik)
certbot certonly --webroot -w /var/www/html -d example.com

Samodejno podaljšanje Cron:

# Samodejno aktivirano pri namestitvi certbot
# Ročno preverjanje:
systemctl status certbot.timer
 
# Ročni test
certbot renew --dry-run

Za notranje strežnike ali nadomestne znake:

# /etc/letsencrypt/cloudflare.ini
dns_cloudflare_api_token = YOUR_API_TOKEN

chmod 600 /etc/letsencrypt/cloudflare.ini
 
certbot certonly \
    --dns-cloudflare \
    --dns-cloudflare-credentials /etc/letsencrypt/cloudflare.ini \
    -d example.com \
    -d "*.example.com"

# AWS poverilnice v ~/.aws/credentials
certbot certonly \
    --dns-route53 \
    -d example.com \
    -d "*.example.com"

# Z vtičnikom certbot-dns-azure
pip install certbot-dns-azure
 
certbot certonly \
    --authenticator dns-azure \
    --dns-azure-credentials /etc/letsencrypt/azure.ini \
    -d example.com

Kljuke se izvršijo po uspešni obnovi.

# /etc/letsencrypt/renewal-hooks/deploy/reload-nginx.sh
#!/bin/bash
systemctl reload nginx
echo "$(date): Nginx ponovno naložen" >> /var/log/certbot-deploy.log

chmod +x /etc/letsencrypt/renewal-hooks/deploy/reload-nginx.sh

# /etc/letsencrypt/renewal-hooks/deploy/reload-apache.sh
#!/bin/bash
systemctl reload apache2

# /etc/letsencrypt/renewal-hooks/deploy/docker-reload.sh
#!/bin/bash
docker exec nginx nginx -s reload
# ali
docker-compose restart nginx

# /etc/letsencrypt/renewal-hooks/post/notify.sh
#!/bin/bash
DOMAINS=$(echo $RENEWED_DOMAINS | tr ' ' '\n')
echo "Obnovljeno: $DOMAINS" | mail -s "Certifikat obnovljen" admin@example.com

Za notranjo PKI s podporo ACME:

# Namestitev Step-CA
wget https://github.com/smallstep/certificates/releases/download/v0.25.0/step-ca_0.25.0_amd64.deb
dpkg -i step-ca_0.25.0_amd64.deb
 
# Inicializacija CA
step ca init --name="Internal CA" --dns=ca.internal.example.com --address=:443

Dodajanje ACME ponudnika:

step ca provisioner add acme --type ACME

Certbot z zasebnim CA:

certbot certonly \
    --server https://ca.internal.example.com/acme/acme/directory \
    --standalone \
    -d internal-server.example.com

Hibridna strategija:

# 1. ACME certifikat za TLS rokovanje (ECDSA)
certbot certonly --nginx -d example.com
 
# 2. Dodaten PQ certifikat za hibridni način
# (vzporedno preko lastne PKI z WvdS)

// C#: Vzporedno ustvarjanje hibridnega certifikata
using var ecdsa = ECDsa.Create(ECCurve.NamedCurves.nistP384);
var request = new CertificateRequest(
    "CN=example.com", ecdsa, HashAlgorithmName.SHA384);
 
// S PQ razširitvijo za prihodnje odjemalce
var cert = request.CreateSelfSigned(
    DateTimeOffset.UtcNow,
    DateTimeOffset.UtcNow.AddDays(90),
    CryptoMode.Hybrid);

# Dnevniki Certbot
tail -f /var/log/letsencrypt/letsencrypt.log
 
# Preverjanje veljavnosti certifikata
certbot certificates
 
# Prometheus Exporter (cert-exporter)
# Spremlja vse certifikate glede veljavnosti

# Staging strežnik za teste (brez omejitev)
certbot certonly --staging --nginx -d test.example.com
 
# Način za razhroščevanje
certbot certonly --nginx -d example.com --debug

• Načrtovana obnova – Alternativa brez ACME
• Nadzor veljavnosti – Spremljanje certifikatov
• TLS/mTLS – Konfiguracija strežnika

« ← Avtomatizacija | → CI/CD podpisovanje kode »

Wolfgang van der Stille @ EMSR DATA d.o.o. - Post-Quantum Cryptography Professional