Jak aktywować certyfikat Certum SSL z użyciem ACME?

ACME jest protokołem komunikacyjnym, umożliwiającym automatyzację wydawania certyfikatów SSL. Minimalizuje w procesie udział człowieka, a operacje realizowane są za pomocą oprogramowania zainstalowanego na serwerze, które za pośrednictwem API kontaktuje się z CA i realizuje kroki niezbędne do wydania certyfikatu.

Oferowane typy certyfikatów

Za pośrednictwem ACME istnieje możliwość wydawania w Certum certyfikatów Commercial SSL w wariantach:

• na jedną domenę lub adres IP
• wielodomenowych
• wildcard.

Wspieranymi metodami weryfikacji kontroli nad domenami są:

• dns-01 – dla certyfikatów na jedną domenę, wielodomenowych i wildcard. Weryfikacja za pomocą umieszczenia rekordu TXT w DNS domeny. Przykład:

_acme-challenge.twojadomena.pl 300 IN TXT "hyKlXXXXXX"

• http-01 – dla certyfikatów na jedną domenę, wielodomenowych oraz adresów IP. Weryfikacja za pomocą umieszczenia pliku w lokalizacji na serwerze www. Przykład:


http://twojadomena.pl/.well-known/acme-challenge/9w57XXXXXX

o treści:

9w57XXXXXX._whfUXXXXXX

Wymagania wstępne

Certum wspiera ACME w wersji v2.

Do obsługi ACME dostępny jest szereg klientów ACME. Przykładowa instrukcja postępowania jest prezentowana na przykładzie oprogramowania Certbot. Instrukcja ma jedynie charakter poglądowy i w celu wsparcia krok po kroku uruchomienia po stronie serwera implementacji opartej np. o oprogramowanie Certbot, prosimy o wykorzystanie dedykowanych materiałów instruktażowych i wsparcia, dostarczonych przez wydawcę danego klienta ACME. Dokumentacja oprogramowania Certbot jest dostępna pod adresem. https://eff-certbot.readthedocs.io/en/stable/using.html

Do wydania certyfikatu SSL niezbędne jest posiadanie konta w sklepie Certum z zakupionym i nieaktywowanym produktem Commercial SSL, w którym nie podano jeszcze danych w żadnym kroku aktywacji.

Instalacja oprogramowania Certbot

• Pobierz i zainstaluj klienta ACME np. Certbot, korzystając z oficjalnej instrukcji: https://certbot.eff.org/

Rozpoczęcie aktywacji certyfikatu w ACME

Rozpoczęcie procesu aktywacji będzie możliwe z poziomu Twojego konta w zakładce Produkty bezpieczeństwa. Proces składa się z kilku kroków:

Włączenie aktywacji ACME dla produktu

• Zaloguj się na Konto klienta w systemie Certum, przejdź do zakupionego certyfikatu w sekcji Produkty bezpieczeństwa i otwórz jego szczegóły
• Z poziomu szczegółów certyfikatu wybierz opcję aktywacji w ACME. Zapoznaj się z treścią informacyjną i potwierdź wolę aktywacji certyfikatu w ACME
• W rezultacie otrzymasz dane uwierzytelniające: kid oraz hmac, niezbędne do aktywacji certyfikatu w ACME:
  • kid (Key ID): identyfikator konta ACME, wskazywany do identyfikowania danych w żądaniu
  • hmac: klucz kryptograficzny używany do podpisywania żądań.

Aktywacja certyfikatu z użyciem Certbot

• Rozpocznij rejestrację konta ACME w Certum poleceniem poniżej. Wartości kid i hmac uzupełnij zgodnie z danymi otrzymanymi w szczegółach certyfikatu Certum:


certbot.exe register --server https://acme.certum.pl/directory/ --eab-kid z2r7_WC57nZWHvCbyjRV94y836hq19CWPLdU7naHaXXXXXXXXXXXXXXXXXX --eab-hmac-key ZjExMWNiNzQ1ZGI0NjE0MWU3ZjYwNDZjMzhhOGRiYjhmNjFlMjBjOGXXXXXXXXXXXXXXX


• Podaj adres e-mail konta w Certum z zakupionym produktem SSL, na które zostanie w ACME założone konto
• Przeczytaj i potwierdź warunki użytkowania certyfikatów Certum
• W razie potrzeby, odpowiedz na dodatkowe pytania dotyczące przetwarzania danych konta ACME przez Certbot. Skutkiem powinno być potwierdzenie założenia konta
• Rozpocznij żądanie certyfikatu i wybierz metodę weryfikacji posiadania kontroli nad domenami dla których chcesz wydać certyfikat poleceniem:
  
certbot.exe certonly --manual --key-type rsa --server https://acme.certum.pl/directory/ --preferred-challenges dns-01

  gdzie podając parametry, możesz dokonać wyboru:
  • opcji samego wydania certyfikatu, bez jego instalacji na serwerze przełącznikiem certonly
  • typu klucza przełącznikiem –key-type ustawionym na rsa lub ecdsa
  • manualnej weryfikacji domeny przełącznikiem –manual. Automatyczna weryfikacja domeny wymaga skonfigurowanego na serwerze domeny dodatku
  • metody weryfikacji domeny (typu challenga):  dns-01 lub http-01
• Podaj domeny do umieszczenia w certyfikacie. Certbot nie wspiera podawania adresów IP. W przypadku więcej niż jednej domeny, oddziel je spacją:


twojadomena.pl www.twojadomena.pl


• Wybierz opcję automatycznej weryfikacji kontroli nad domenami lub zweryfikuj manualnie posiadanie kontroli nad domenami, zgodnie z wyświetloną instrukcją. Umieść rekord w DNS domen lub plik na serwerze i potwierdź w konsoli gotowość do weryfikacji. Odczekaj na weryfikację i wydanie certyfikatu
• Pobierz certyfikat i klucz prywatny ze wskazanej przez Certbot lokalizacji. W przypadku opcji certonly, zainstaluj je na serwerze i rozpocznij używanie.

Obsługa problemów

W przypadku niepowodzenia w wydaniu certyfikatu pomimo pozytywnej weryfikacji kontroli nad domenami, zapoznaj się z przeprowadzanymi przez Certum automatycznymi weryfikacjami systemowymi.