SBC-Zertifikat je Tenant

Wozu dient das

Microsoft nimmt einen Direct-Routing-Trunk nur an, wenn der SBC ein öffentlich vertrauenswürdiges Zertifikat für genau seinen Hostnamen vorlegt. EasyUC bestellt dieses Zertifikat bei Let’s Encrypt selbst und speichert es. Der private Schlüssel bleibt auf dem Server. Er wird nirgends angezeigt und lässt sich nicht herunterladen.

Den Besitz des Hostnamens weist EasyUC über das Verfahren DNS-01 nach: Let’s Encrypt verlangt einen bestimmten TXT-Eintrag in der DNS-Zone der Domain. Port 80 muss dafür nicht aus dem Internet erreichbar sein.

Es gibt zwei Wege. Von Hand: EasyUC zeigt Name und Wert des TXT-Eintrags, Sie legen ihn bei Ihrem DNS-Anbieter an. Das funktioniert bei jedem Anbieter. Automatisch: Sind auf der SBC-Seite Zugangsdaten für Cloudflare hinterlegt, setzt EasyUC den Eintrag selbst und erneuert das Zertifikat ohne Zutun.

Voraussetzungen

Lizenzmodul teams. Ohne dieses Modul erscheint der Workspace EasyUC Teams nicht.
Rolle EasyUC Teams (ROLE_APP_TEAMS_WORKSPACE) mit den Unterrechten TENANTS (ROLE_APP_TEAMS_TENANTS) zum Lesen und TENANTS bearbeiten (ROLE_APP_TEAMS_TENANTS_EDIT) zum Ändern.
Der Tenant ist angelegt und sein Hostname stimmt.
Auf der SBC-Seite sind Kontakt-E-Mail und Umgebung Produktion gepflegt, Prüfverfahren steht auf DNS-01.
Sie können in der öffentlichen DNS-Zone der Domain einen TXT-Eintrag anlegen. Für den automatischen Weg: ein Cloudflare-API-Token mit Schreibrecht auf die Zone.
Der EasyUC-Server erreicht Let’s Encrypt über HTTPS und kann öffentliche DNS-Namen auflösen.

Schritt für Schritt: Zertifikat von Hand über einen TXT-Eintrag holen

Öffnen Sie Teams-Tenants, klicken Sie auf den Tenant und bleiben Sie im Abschnitt Einstellungen.
Gehen Sie zum Kasten Zertifikat für diesen Hostnamen (Let’s Encrypt). Der Pfeil neben Zertifikat in der Kopfzeile springt direkt dorthin.
Klicken Sie Zertifikat anfordern und bestätigen Sie die Rückfrage. EasyUC legt die Bestellung an.
Warten Sie auf den Kasten Jetzt diesen TXT-Eintrag in der DNS-Zone dieser Domain anlegen. Der Zustand lautet DNS-Eintrag nötig.
Kopieren Sie Name des Eintrags und Wert über die Schaltflächen Kopieren. Mit Zeile kopieren erhalten Sie den Eintrag als eine Zeile im Zonenformat.
Legen Sie bei Ihrem DNS-Anbieter einen Eintrag der Art TXT mit diesem Namen und diesem Wert an. Setzen Sie die TTL so kurz wie möglich, 60 Sekunden sind ideal.
Warten Sie, bis der Eintrag öffentlich abrufbar ist. Je nach Anbieter dauert das einige Minuten.
Klicken Sie Jetzt prüfen und ausstellen.
Lautet die Antwort „Let’s Encrypt prüft den Eintrag noch. Bitte in einer Minute erneut auf „Jetzt prüfen und ausstellen“ klicken.“, warten Sie eine Minute und klicken Sie erneut.
Nach der Meldung „Das Zertifikat wurde ausgestellt und gespeichert.“ steht im Kasten ausgestellt, gültig bis mit Datum und Resttagen.
Löschen Sie den TXT-Eintrag wieder. Er wird nach der Ausstellung nicht mehr gebraucht.

Schritt für Schritt: Automatische Ausstellung und Erneuerung mit Cloudflare

Erstellen Sie bei Cloudflare ein API-Token mit dem Recht, DNS-Einträge der Zone zu bearbeiten.
Öffnen Sie EasyUC Teams → Teams → SBC-Einrichtung und klicken Sie Bearbeiten.
Tragen Sie unter DNS-Anbieter cloudflare ein.
Tragen Sie unter DNS-Zugangsdaten die Zeile CF_API_TOKEN=… mit Ihrem Token ein. Ein Text ohne Gleichheitszeichen gilt als das Token selbst.
Klicken Sie Speichern. In der Übersicht steht danach „DNS-Zugangsdaten hinterlegt, die Erneuerung läuft von allein“.
EasyUC prüft täglich um 03:30 Uhr alle aktiven Tenants. Fehlt ein Zertifikat, ist ein Versuch gescheitert oder beträgt die Restlaufzeit 30 Tage oder weniger, setzt EasyUC den TXT-Eintrag, stellt aus und räumt den Eintrag wieder weg.
Wollen Sie nicht bis zum nächsten Lauf warten, fordern Sie das Zertifikat auf der Tenant-Seite einmal von Hand an.

Felder und Optionen

Felder und Optionen
Feld / Aktion	Bedeutung und Verwendung
Hostname	Name, auf den das Zertifikat lautet. Er entspricht dem SBC-Hostname des Tenants.
Zertifikat	Zustand: ausgestellt, gültig bis …, DNS-Eintrag nötig, wird angefordert, Fehlgeschlagen, keine Bestellung oder noch nicht abgefragt.
Zertifikat anfordern / Zertifikat neu anfordern	Legt eine neue Bestellung bei Let’s Encrypt an. Eine noch frische offene Bestellung wird weitergeführt statt ersetzt.
Jetzt prüfen und ausstellen	Prüft, ob der TXT-Eintrag öffentlich sichtbar ist, und stellt das Zertifikat aus. Erscheint nur bei offener Bestellung.
Name des Eintrags / Art des Eintrags / Wert	Die drei Angaben für den DNS-Eintrag. Die Art ist immer TXT.
Alles in einer Zeile	Derselbe Eintrag als eine Zeile zum Einfügen in eine Zonendatei.
Fingerabdruck	Fingerabdruck des ausgestellten Zertifikats zum Abgleich, zum Beispiel mit einer Prüfung von außen.
Erneut prüfen (Pfeilsymbol)	Liest den Zertifikatszustand neu, ohne etwas zu bestellen.

Ergebnis prüfen und Fehler eingrenzen

Erfolg: In der Kopfzeile des Tenants steht unter Zertifikat gültig bis mit Datum. Der SBC übernimmt das Zertifikat selbst und startet das SIP-Profil des Tenants neu, sobald kein Anruf läuft.
„Der TXT-Eintrag … ist noch nicht sichtbar. Bitte im DNS anlegen; je nach Anbieter dauert es einige Minuten, bis er abrufbar ist.“ Prüfen Sie Name und Art. Manche Anbieter hängen den Zonennamen selbst an; der Name darf die Domain nicht doppelt enthalten.
„Unter … steht bereits ein TXT-Eintrag, aber noch nicht der erwartete Wert. Meist stammt er aus einem früheren Versuch - bitte den Wert ersetzen und einige Minuten warten.“ Ersetzen Sie den alten Wert.
„Für Let’s Encrypt fehlt die Kontakt-E-Mail. Bitte sie auf der SBC-Seite eintragen.“ Ergänzen Sie die E-Mail in den SBC-Einstellungen.
„Es liegt keine offene Zertifikatsbestellung vor. Bitte zuerst „Zertifikat anfordern“.“ Die Bestellung ist abgelaufen. Fordern Sie neu an; der TXT-Wert ist dann ein anderer.
„Der Hostname wurde seit der Bestellung geändert. Bitte das Zertifikat neu anfordern.“ Fordern Sie für den neuen Namen neu an.
„Testumgebung: Dieses Zertifikat ist NICHT öffentlich vertrauenswürdig. Microsoft nimmt den Trunk damit nicht an. …“ Stellen Sie auf der SBC-Seite auf Produktion um und fordern Sie neu an.
„Dieses Zertifikat läuft in weniger als 30 Tagen ab. Ohne hinterlegte DNS-Zugangsdaten erneuert es niemand von allein. Bitte rechtzeitig hier neu anfordern.“ Wiederholen Sie den Ablauf von Hand oder hinterlegen Sie Cloudflare-Zugangsdaten.
„In den DNS-Zugangsdaten wurde kein CF_API_TOKEN gefunden. Erwartet wird eine Zeile CF_API_TOKEN=...“ Korrigieren Sie die Zugangsdaten auf der SBC-Seite.
„Für den DNS-Anbieter „…“ gibt es noch keinen Treiber. Bitte das Zertifikat von Hand anfordern.“ Automatisch geht nur Cloudflare.
Zertifikat ausgestellt, Trunk bleibt trotzdem unten: Prüfen Sie Umgebung, exakten Hostnamen, TLS-Port und Firewall. Weiter im Kapitel „Teams-Anrufe, SIP-Verlauf und Mitschnitte“.