Zertifikate erstellen und einrichten
Das Zertifikat für die Weboberfläche per CSR und die Zertifikate des Teams-SBC über Let's Encrypt.
Teil 1 · Weboberfläche
Webzertifikat: Überblick
Das Webzertifikat sichert HTTPS für Administration, Portale und Manager. Bis Sie ein eigenes Zertifikat aktivieren, verwendet Traefik ein eigenes, selbstsigniertes Zertifikat.
EasyUC erzeugt den privaten Schlüssel selbst, er verlässt den Cluster nicht. Sie erstellen deshalb im Manager eine Zertifikatsanforderung (CSR), lassen sie von Ihrer CA signieren und laden das Zertifikat wieder hoch.
Webzertifikat einrichten
-
CSR erstellen
Öffnen Sie im Manager den Bereich für SSL-Zertifikate. Geben Sie Land, Bundesland, Stadt, Organisation, Common Name und E-Mail-Adresse ein, dazu die SAN-Einträge. EasyUC erzeugt einen RSA-Schlüssel mit 4096 Bit.
-
CSR signieren lassen
Reichen Sie die CSR bei Ihrer CA ein, einer internen PKI oder einer öffentlichen CA.
-
Zertifikat hochladen
Laden Sie das signierte Zertifikat im Format PEM oder DER hoch, dazu die CA- und Zwischenzertifikate.
-
Aktivieren
EasyUC prüft, ob das Zertifikat zum Schlüssel passt, und sortiert die Kette. Ist die Kette unvollständig, erhalten Sie eine Warnung. Danach gilt das Zertifikat für alle Web-Routen.
Tipp
Tragen Sie als SAN alle Hostnamen und IP-Adressen ein, unter denen EasyUC erreichbar sein soll. EasyUC erkennt bei jedem Eintrag selbst, ob es ein DNS-Name oder eine IP-Adresse ist. Weil es keine gemeinsame virtuelle IP gibt, gehören bei einem Cluster auch die Namen dazu, auf die Sie nach einem Ausfall umstellen, siehe Redundanz.
Warnung
Einen vorhandenen privaten Schlüssel oder eine PFX-/PKCS#12-Datei können Sie nicht importieren. Das Zertifikat muss für die CSR ausgestellt sein, die Sie in EasyUC erstellt haben.
Webzertifikat erneuern
Der Manager zeigt die verbleibende Gültigkeit an. Unter 30 Tagen empfehlen wir die Erneuerung.
Eine automatische Erneuerung gibt es für das Webzertifikat nicht. Wiederholen Sie die Schritte: CSR erstellen, signieren lassen, hochladen, aktivieren.
Teil 2 · Teams-SBC
Teams-SBC-Zertifikate: Überblick
Für Direct Routing braucht jeder Teams-Tenant ein öffentliches Zertifikat für den SBC. EasyUC bezieht es bei Let's Encrypt über die DNS-01-Prüfung. Port 80 muss dafür nicht aus dem Internet erreichbar sein.
Der SAN ist der SBC-FQDN des Tenants, zum Beispiel sbc.example.com. Die Domain muss im Teams-Tenant verifiziert sein.
Der SBC verwendet TLS 1.2 mit mutual TLS gegen die Root-CAs von Microsoft. Das Zwischenzertifikat ist Teil der Kette.
SBC-Zertifikat ausstellen
Für die DNS-01-Prüfung muss ein TXT-Eintrag in der DNS-Zone des SBC-FQDN stehen. Den legen Sie von Hand an, oder EasyUC erledigt das über Cloudflare.
Manuell
-
EasyUC zeigt den TXT-Eintrag
_acme-challenge.<fqdn>und seinen Wert an. -
Legen Sie den Eintrag bei Ihrem DNS-Anbieter an.
-
Bestätigen Sie in EasyUC. EasyUC prüft den Eintrag und stellt das Zertifikat aus.
_acme-challenge.sbc.example.com. TXT "<Wert aus EasyUC>"Automatisch mit Cloudflare
Hinterlegen Sie ein Cloudflare-API-Token. EasyUC legt den TXT-Eintrag dann selbst an und entfernt ihn danach wieder.
EasyUC braucht dafür ausgehend TCP 443 zu api.cloudflare.com.
Erneuerung und Neuladen
- EasyUC prüft täglich um 03:30 Uhr, ob eine Erneuerung fällig ist.
- Mit Cloudflare erneuert EasyUC das Zertifikat automatisch, sobald 30 Tage oder weniger Gültigkeit übrig sind.
- Ohne Cloudflare zeigt die Administrationsoberfläche an, dass die Erneuerung fällig ist. Sie wiederholen dann den manuellen TXT-Schritt.
- Die Gültigkeit mit Ablaufdatum und verbleibenden Tagen sehen Sie je Tenant.
Der SBC lädt ein neues Zertifikat automatisch. Das SIP-Profil des Tenants startet er neu, sobald kein Gespräch aktiv ist, spätestens nach 30 Minuten.