Dezelfde SSL installeren/TLS certificaat op meerdere servers kan worden bereikt met behulp van twee primaire methoden. Het delen van certificaten tussen servers is een gratis functie met SSL.com-certificaten – u kunt hersleutelen (heruitgeven) van een certificaat zo vaak als nodig is zonder extra kosten. Hieronder schetsen we twee benaderingen voor het delen of implementeren van certificaten op servers, gevolgd door aanbevelingen voor automatisering en beheer.
Methode 1: Certificaten delen via PFX-bestand
De eerste methode houdt in een .pfx-bestand maken (PKCS#12-archief) met uw certificaat, de tussenliggende certificaten en de persoonlijke sleutel, dan importeren van die .pfx naar andere servers. (Veel cloudproviders, zoals Microsoft Azure, vereisen het uploaden van een certificaat in .pfx-formaat om hun services te kunnen gebruiken.)
Stappen:
-
Exporteer een .pfx-bestand van de server waar het certificaat is geïnstalleerd. U kunt gebruiken of de Windows Certificaat exporteren tovenaar (zie ). Deze handleidingen combineren uw privésleutel, servercertificaat en alle vereiste tussenproducten in één PFX-bestand.
-
Importeer het .pfx-bestand op elke extra server die het certificaat nodig heeft. Voor Linux/Unix-systemen kunt u OpenSSL gebruiken om het certificaat en de sleutel uit de PFX te halen (raadpleeg de handleiding van SSL.com over ). Op Windows-servers kunt u de PFX importeren met behulp van de MMC-module Certificaten of IIS Manager – zie .
-
Configureer de server om het geïmporteerde certificaat te gebruiken. Dit houdt doorgaans in dat het certificaat aan uw site of service wordt gekoppeld. In IIS moet u bijvoorbeeld het certificaat koppelen aan de HTTPS-poort en het IP van de website (SSL.com biedt een handleiding over ter referentie). Werk op andere servers de configuratie bij zodat deze naar de nieuwe certificaat- en privésleutelbestanden verwijst. Zodra deze is geconfigureerd, gebruikt de server het gedeelde certificaat voor beveiligde verbindingen.
Methode 2: Unieke certificaten per server
De alternatieve methode is veiliger voor grote implementaties, maar vereist extra certificaatbeheer. Als u liever wilt dat elke server zijn eigen eigen privésleutel en certificaat (in plaats van exact dezelfde sleutel te delen), kunt u uw SSL.com-certificaat voor elke server opnieuw uitgeven met behulp van een nieuwe CSR en sleutelpaar:
Stappen:
-
Genereer een CSR en privésleutel op elke server
die het certificaat nodig heeft. Volg de platformspecifieke richtlijnen om een nieuwe Certificate Signing Request te maken:
-
Voor Linux/Unix Apache of Nginx-servers, genereer een CSR met OpenSSL (zie voor Apache/Nginx-omgevingen).
-
Voor Windows/IIS gebruikt u de GUI van de server of PowerShell om een CSR (raadpleeg de handleiding van SSL.com over ).
-
Voor WHM/cPanel gebruikt u cPanel's SSL/TLS interface om een CSR (Zie ). Elke server heeft nu zijn eigen privésleutel en CSR.
-
-
Uw certificaatbestelling opnieuw verwerken bij SSL.com met de nieuwe CSR. Zoek in uw SSL.com-accountportaal uw certificaatbestelling en gebruik de Rekey / Opnieuw verwerken optie om de nieuwe in te dienen CSR. (SSL.com biedt een stapsgewijze handleiding over voor dit doel.) Dit genereert een nieuw certificaat van de CA dat overeenkomt met de server CSRElke keer dat u dit doet, ontvangt u een nieuw certificaat (terwijl de vorige certificaten voor andere servers ook geldig blijven).
-
Installeer het nieuwe certificaat op de betreffende server. Na heruitgifte downloadt en installeert u de certificaatbestanden op die server, net zoals u dat met een normaal single-server certificaat zou doen. Volg bijvoorbeeld de instructies om te installeren in , , of , afhankelijk van uw platform. Zodra die server is geïnstalleerd en geconfigureerd, zal hij zijn unieke certificaat (met een eigen privésleutel). Herhaal dit proces voor elke extra server indien nodig. (Alle uitgegeven certificaten hebben betrekking op uw oorspronkelijke bestelling en vallen onder dezelfde uitgiftevoorwaarden.)
SSL automatiseren/TLS Certificaatbeheer
Het handmatig exporteren, kopiëren en opnieuw uitgeven van certificaten kan lastig worden naarmate het aantal servers groeit. Voor verbeterde efficiëntie en beveiliging, overweeg deze automatiseringstools en -oplossingen die door SSL.com en de community worden aangeboden:
-
ACME Protocol Automatisering – SSL.com ondersteunt de Geautomatiseerde omgeving voor certificaatbeheer (ACME) voor handsfree certificaatuitgifte en -verlenging (). ACME-klanten zoals Certbot (de populaire ACME-tool van de EFF voor Let's Encrypt) en Kubernetes-certificaatbeheerder kan worden gericht op het ACME-eindpunt van SSL.com om automatisch certificaten op uw servers aan te vragen en te installeren. Hiermee kunt u certificaten naadloos gesynchroniseerd en vernieuwd houden op meerdere systemen. Lees voor meer informatie het overzicht van SSL.com over en hoe het certificaatbeheer kan stroomlijnen. De documentatie van Certbot is beschikbaar op de voor verschillende platforms, en het Kubernetes cert-manager project is gedocumenteerd op de – beide zijn compatibel met SSL.com's ACME-services. Met ACME elimineert u de meeste handmatige stappen, omdat certificaatlevenscyclustaken (uitgifte, verlenging, intrekking) op een gestandaardiseerde manier door de clientsoftware worden afgehandeld.
-
SSL.com SSL Manager – Voor Windows-omgevingen biedt SSL.com de SSL Manager toepassing is een gratis GUI-tool waarmee u SSL/TLS certificaten (en zelfs codeondertekenings- en documentondertekeningscertificaten) rechtstreeks vanaf uw bureaublad. Het vereenvoudigt taken zoals het genereren CSRs, certificaten installeren in Windows-certificaatopslagplaatsen en certificaatformaten converteren, allemaal op één plek. Dit kan vooral handig zijn als u een certificaat moet implementeren op meerdere Windows-servers of -services. U kunt sleutels en certificaten beheren met een paar klikken in plaats van handmatige opdrachten uit te voeren. SSL Manager integreert ook met hardwaretokenapparaten (bijv. YubiKey) voor certificaatopslag. SSL Manager kan tijd besparen en de kans op fouten verkleinen bij het werken met meerdere Windows-servers.
-
begeleid PKI Het resultaat – Voor implementaties in ondernemingen of grootschalige behoeften kunt u SSL.com's overwegen begeleid PKI platform. SSL.com's laat organisaties de cloudgebaseerde certificaatinfrastructuur van SSL.com gebruiken om certificaten uit te geven en te beheren via een webinterface of API. Deze oplossing kan het beheer van certificaten voor meerdere servers, applicaties en zelfs IoT-apparaten centraliseren (). Met een gehoste privé CA/RA (Registration Authority)-service hoeft u geen eigen certificaatautoriteit te runnen: SSL.com neemt het zware werk (veilig sleutelbeheer, infrastructuur, audits) voor zijn rekening, terwijl u het certificaatuitgiftebeleid en de automatisering beheert via gebruiksvriendelijke tools of RESTful API's. Dit is ideaal voor het automatiseren van certificaatimplementatie in complexe omgevingen en kan worden geïntegreerd in uw CI/CD-pipelines of DevOps-workflows voor naadloze schaalbaarheid.
-
Scripting- en DevOps-hulpmiddelen – Naast het bovenstaande kunt u certificaattaken opnemen in uw configuratiebeheer- of implementatiescripts. Op Linux kunt u bijvoorbeeld shellscripts gebruiken met OpenSSL-opdrachten om certificaten te distribueren en opnieuw te laden, en op Windows kunt u PowerShell scripts (raadpleeg Microsoft's voor begeleiding) om certificaten te importeren en ze aan services te binden. Deze benaderingen, gecombineerd met het ACME-protocol of SSL.com API's, maken end-to-end automatisering in uw DevOps-processen mogelijk. Door certificaatbewerkingen te scripten, vermindert u de handmatige inspanning en minimaliseert u het risico op downtime vanwege verlopen certificaten of configuratiefouten.
Ondersteuning en contact
SSL beheren/TLS certificaten op meerdere servers kunnen vragen oproepen. Als u hulp nodig hebt, Het ondersteuningsteam van SSL.com staat voor u klaar. Antwoorden op veelgestelde vragen vindt u in de , die gedetailleerde how-to-artikelen en FAQ's biedt. Voor persoonlijke ondersteuning, neem dan contact op met
