K (Pfad verkuerzt) |
Jnk (Diskussion | Beiträge) |
||
| (29 dazwischenliegende Versionen von 4 Benutzern werden nicht angezeigt) | |||
| Zeile 6: | Zeile 6: | ||
|hasdisambig=Nein | |hasdisambig=Nein | ||
}} | }} | ||
| − | {{ | + | {{template caller |
| − | | | + | |marker=Draft |
| − | |||
}} | }} | ||
Die Certification Authority (CA) der Universität Paderborn bietet Administratoren von Einrichtungen der Universität Paderborn die SSL-Zertifizierung von Servern. | Die Certification Authority (CA) der Universität Paderborn bietet Administratoren von Einrichtungen der Universität Paderborn die SSL-Zertifizierung von Servern. | ||
| + | |||
| + | ==Voraussetzung== | ||
| + | Da nur berechtigte Personen für einen angegebenen Bereich ein Serverzertifikat beantragen können, kontrollieren Sie zunächst, ob Sie die entsprechenden Berechtigungen haben. Die CA der Universität Paderborn führt dazu eine Liste der Bereiche bzw. Abteilungen der Universität Paderborn und der jeweils für die Beantragung von Serverzertifikaten berechtigten Personen. Um sich für Ihren Bereich auf der Liste zu registrieren, senden Sie bitte eine E-Mail mit Ihren Kontaktdaten an die CA der Universität Paderborn [mailto:ca@uni-paderborn.de ca@uni-paderborn.de]. Wir rufen dann zurück. | ||
| + | |||
| + | In der folgenden Übersicht finden Sie eine Liste der zuständigen Personen. Sollten die Einträge nicht mehr korrekt sein, nehmen Sie bitte wie oben genannt Kontakt mit uns auf. | ||
| + | * [[Zertifizierungsinstanz Verantwortliche für Serverzertifikate]] | ||
| + | |||
| + | ==Vorgehen== | ||
| + | Wir empfehlen das automatisierte Beantragen von Zertifikaten über das ACME Protokoll. Dazu sind folgende Schritte nötig: | ||
| + | * Senden Sie eine E-Mail an uns mit der Bitte um Einrichtung eines ACME-Accounts | ||
| + | * Beizulegen: eine Liste aller benötigten Domains | ||
| + | * Weitere Domains können später nachgetragen werden | ||
| + | |||
| + | Im Anschluss erhalten Sie von uns alle nötigen Daten um Zertifikate zu beantragen: | ||
| + | * <code>Key ID</code>(eab-kid) | ||
| + | * <code>HMAC Key</code>(eab-hmac-key) | ||
| + | * <code>Server URL</code> | ||
| + | |||
| + | |||
| + | Die Ausstellung eines Zertifikats kann beispielsweise mit Certbot erfolgen. | ||
| + | |||
| + | ==Automatisierung== | ||
| + | Wir empfehlen das Erneuern von Zertifikaten über das ACME-Protokoll zu automatisieren. Das ist beispielsweise mit '''Certbot''' möglich. | ||
| + | |||
| + | <code>certbot certonly --standalone --agree-tos --email <Ihre E-Mail-Adresse>@uni-paderborn.de --eab-kid <Ihr EAB-KID> --eab-hmac-key <Ihr HMAC-Key> --server <ACME-Server-Adresse> --domain <Ihre Domain></code> | ||
| + | |||
| + | Weitere Informationen und Anleitung zur Nutzung von Certbot finden Sie unter: | ||
| + | * https://certbot.eff.org | ||
| + | <br> | ||
| + | |||
| + | <bootstrap_accordion> | ||
| + | <bootstrap_panel heading="Warum Zertifikate automatisiert erneuern?" color="info"> | ||
| + | Moderne TLS-Zertifikate, wie sie z.B. von '''HARICA''' oder '''Let's Encrypt''' ausgestellt werden, haben zunehmend kürzere Gültigkeitszeiträume. | ||
| + | Manuelles Beantragen und Einspielen der Zertifikate würde so einen hohen Wartungsaufwand verursachen. | ||
| + | Um diesen Prozess zu automatisieren, setzt die Universität Paderborn auf das ACME-Protokoll (Automatic Certificate Management Environment). | ||
| + | Dieses Protokoll ermöglicht es, Zertifikate automatisch und sicher anzufordern, zu validieren und zu erneuern – ohne dass jedes Mal manuell ein Antrag gestellt werden muss. | ||
| + | Die Ausstellung der Zertifikate erfolgt dabei über die von der Universität genutzte Zertifizierungsstelle HARICA in Kombination mit einem ACME-Client (z.B. Certbot). | ||
| + | </bootstrap_panel> | ||
| + | </bootstrap_accordion> | ||
| + | |||
| + | ==Siehe auch== | ||
| + | * [[Zertifizierungsinstanz]] | ||
| + | |||
| + | <!-- | ||
== Was ist zu tun? == | == Was ist zu tun? == | ||
| Zeile 34: | Zeile 77: | ||
| − | Bitte die | + | Bitte die Hostnamen eingeben, für die das Zertifikat gültig sein soll. |
| − | Einen pro Zeile | + | Einen pro Zeile! |
| − | .upb.de | + | Folgende Eingaben sind möglich: |
| + | - Hostname ohne Domain (dann werden uni-paderborn.de und upb.de automatisch angehängt) | ||
| + | - Hostname mit Domain (FQDN) | ||
| + | Alle Eingaben werden über DNS Abfragen verifiziert. | ||
Der erste Name wird der CommonName des Zertifikats! | Der erste Name wird der CommonName des Zertifikats! | ||
Ein leerer Name beendet die Abfrage. | Ein leerer Name beendet die Abfrage. | ||
Name: imt-infoboard | Name: imt-infoboard | ||
| − | Name: | + | Name: andromeda.ad |
| + | Name: doku.dasi.nrw | ||
Name: | Name: | ||
Zu erstellendes Zertifikat: | Zu erstellendes Zertifikat: | ||
CN: imt-infoboard.uni-paderborn.de | CN: imt-infoboard.uni-paderborn.de | ||
| − | SubjectAlternativeNames: DNS: | + | SubjectAlternativeNames: DNS:andromeda.ad.uni-paderborn.de, DNS:andromeda.ad.upb.de, DNS:doku.dasi.nrw, DNS:imt-infoboard.uni-paderborn.de, DNS:imt-infoboard.upb.de |
Zielordner: /upb/users/o/odenbach/data/imt-infoboard.uni-paderborn.de_6ILVY | Zielordner: /upb/users/o/odenbach/data/imt-infoboard.uni-paderborn.de_6ILVY | ||
Soll das Zertifikat so erstellt werden? [n]j | Soll das Zertifikat so erstellt werden? [n]j | ||
| Zeile 70: | Zeile 117: | ||
* Klicken Sie den Button „'''Your Institution'''“. | * Klicken Sie den Button „'''Your Institution'''“. | ||
* Suchen Sie per „'''Add your Institution'''“ nach '''Paderborn''' und wählen Sie die Universität aus. | * Suchen Sie per „'''Add your Institution'''“ nach '''Paderborn''' und wählen Sie die Universität aus. | ||
| − | * '''Melden Sie sich mit ihrem | + | * '''Melden Sie sich mit ihrem Uni-Account und Passwort an.''' |
| − | * | + | * Klicken Sie am oberen rechten Rand der Seite auf die Schaltfläche "'''Enroll Certificate'''". |
| − | |||
| − | |||
* Fügen Sie die CSR Zeichenfolge aus Ihrer Zwischenablage in das Feld „CSR“ ein und überprüfen Sie, dass nach verlassen des Feldes darunter alle Hostnamen für das Zertifikat erscheinen (.uni-paderborn.de und .upb.de Varianten). | * Fügen Sie die CSR Zeichenfolge aus Ihrer Zwischenablage in das Feld „CSR“ ein und überprüfen Sie, dass nach verlassen des Feldes darunter alle Hostnamen für das Zertifikat erscheinen (.uni-paderborn.de und .upb.de Varianten). | ||
* Senden Sie zum Abschluss das Formular per „'''Submit'''“ ab. | * Senden Sie zum Abschluss das Formular per „'''Submit'''“ ab. | ||
Aktuelle Version vom 10. Juli 2025, 09:40 Uhr
Allgemeine Informationen
| Anleitung | |
|---|---|
| Informationen | |
| Betriebssystem | Alle |
| Service | Zertifizierungsinstanz |
| Interessant für | Bereiche |
| HilfeWiki des ZIM der Uni Paderborn | |
 | This article is only a draft. Information provided here is most possibly incomplete and/or imprecise. Feel free to help us by expanding it. |
Die Certification Authority (CA) der Universität Paderborn bietet Administratoren von Einrichtungen der Universität Paderborn die SSL-Zertifizierung von Servern.
Voraussetzung[Bearbeiten | Quelltext bearbeiten]
Da nur berechtigte Personen für einen angegebenen Bereich ein Serverzertifikat beantragen können, kontrollieren Sie zunächst, ob Sie die entsprechenden Berechtigungen haben. Die CA der Universität Paderborn führt dazu eine Liste der Bereiche bzw. Abteilungen der Universität Paderborn und der jeweils für die Beantragung von Serverzertifikaten berechtigten Personen. Um sich für Ihren Bereich auf der Liste zu registrieren, senden Sie bitte eine E-Mail mit Ihren Kontaktdaten an die CA der Universität Paderborn ca@uni-paderborn.de. Wir rufen dann zurück.
In der folgenden Übersicht finden Sie eine Liste der zuständigen Personen. Sollten die Einträge nicht mehr korrekt sein, nehmen Sie bitte wie oben genannt Kontakt mit uns auf.
Vorgehen[Bearbeiten | Quelltext bearbeiten]
Wir empfehlen das automatisierte Beantragen von Zertifikaten über das ACME Protokoll. Dazu sind folgende Schritte nötig:
- Senden Sie eine E-Mail an uns mit der Bitte um Einrichtung eines ACME-Accounts
- Beizulegen: eine Liste aller benötigten Domains
- Weitere Domains können später nachgetragen werden
Im Anschluss erhalten Sie von uns alle nötigen Daten um Zertifikate zu beantragen:
Key ID(eab-kid)HMAC Key(eab-hmac-key)Server URL
Die Ausstellung eines Zertifikats kann beispielsweise mit Certbot erfolgen.
Automatisierung[Bearbeiten | Quelltext bearbeiten]
Wir empfehlen das Erneuern von Zertifikaten über das ACME-Protokoll zu automatisieren. Das ist beispielsweise mit Certbot möglich.
certbot certonly --standalone --agree-tos --email <Ihre E-Mail-Adresse>@uni-paderborn.de --eab-kid <Ihr EAB-KID> --eab-hmac-key <Ihr HMAC-Key> --server <ACME-Server-Adresse> --domain <Ihre Domain>
Weitere Informationen und Anleitung zur Nutzung von Certbot finden Sie unter:
Warum Zertifikate automatisiert erneuern?
Moderne TLS-Zertifikate, wie sie z.B. von HARICA oder Let's Encrypt ausgestellt werden, haben zunehmend kürzere Gültigkeitszeiträume. Manuelles Beantragen und Einspielen der Zertifikate würde so einen hohen Wartungsaufwand verursachen. Um diesen Prozess zu automatisieren, setzt die Universität Paderborn auf das ACME-Protokoll (Automatic Certificate Management Environment). Dieses Protokoll ermöglicht es, Zertifikate automatisch und sicher anzufordern, zu validieren und zu erneuern – ohne dass jedes Mal manuell ein Antrag gestellt werden muss. Die Ausstellung der Zertifikate erfolgt dabei über die von der Universität genutzte Zertifizierungsstelle HARICA in Kombination mit einem ACME-Client (z.B. Certbot).
Siehe auch[Bearbeiten | Quelltext bearbeiten]