Imposta un’applicazione personalizzata per l’automazione gestita

L'automazione gestita CertCentral supporta le applicazioni server web più comuni direttamente dalla scatola.

CertCentral fornisce anche la flessibilità di estendere la gestione certificati per altre applicazioni non supportate nativamente consentendo la configurazione di client ACME di terze parti tramite l’opzione "applicazione personalizzata".

Per attivare l’automazione gestita per un’applicazione personalizzata, segui questa procedura:

Deploy DigiCert agent
Install and configure a DigiCert agent on the server system. The agent coordinates automation requests sent from Trust Lifecycle Manager.
Imposta il client ACME di terze parti
Nell’host certificato, installa e configura il tuo client ACME di terze parti preferito.
Crea script della shell
Nell’host certificato, crea uno script di supporto che CertCentral può utilizzare per invocare il client ACME di terze parti.
Add script details in Trust Lifecycle Manager
Configure the shell script details in Trust Lifecycle Manager so it knows how to find and execute the custom automation script.
Configura le impostazioni di automazione gestita
In CertCentral, usa il menu Gestisci automazione per configurare lo script della shell da usare con l’applicazione personalizzata.

Deploy DigiCert agent

Custom automations require that a DigiCert agent be installed and running on each server. The agent coordinates automation requests received from Trust Lifecycle Manager and calls your custom shell script to handle certificate lifecycle events for the custom application.

For detailed instructions about setting up a DigiCert agent, see Deploy and manage agents.

Imposta il client ACME di terze parti

L’automazione gestita CertCentral funziona con qualsiasi client di terze parti che supporta il protocollo ACME standard di settore.

Segui le linee guida del fornitore software per installare e configurare il tuo client ACME di terze parti preferito nell’host certificato.

Crea script della shell

CertCentral richiede uno script della shell sull’host certificato per invocare il client ACME di terze parti. Durante un evento di automazione, l’agente DigiCert chiama lo script della shell per invocare il client, che a sua volta ottiene e installa il certificato.

Lo script della shell deve contenere i comandi di automazione base per il client ACME di terze parti. La sintassi del comando varierà in base a quale client ACME di terze parti viene usato. Per ulteriori informazioni controlla le linee guida del fornitore software.

Di seguito sono riportati degli esempi di script della shell usati per ottenere i certificati DigiCert tramite client di terze parti EFF Certbot (Linux) e Win-ACME (Windows):

Esempio 1. EFF Certbot (Linux)

directoryuri=$1
host=$2
emailaddress=$3
eabkeyidentifier=$5
eabkeyhmac=$6
process_path=/usr/bin/apachectl
server_root=/etc/httpd
config_root=/etc/httpd/config
procCmdLine="/usr/bin/apachectl start"
acmeConfigDirectory="/etc/letsencrypt/"
certbot --server $directoryuri --config-dir $acmeConfigDirectory --eab-kid $eabkeyidentifier  --eab-hmac-key $eabkeyhmac --installer apache -m $emailaddress --force-renew --agree-tos --no-redirect --expand -d $host --no-verify-ssl --no-autorenew --pre-hook "$process_path stop" --post-hook $procCmdLine -n --apache-server-root $server_root --apache-vhost-root $config_root
returnCode=$?
echo "The command exit status : ${returnCode}"
exit $returnCode

Esempio 2. Win-ACME (Windows)

set SERVERURL=%1
set SANS=%2
set EMAIL=%3
set KEYALGO=%4
set EABKEY=%5
set EABHMAC=%6
set VALIDATIONMODE=--validation selfhosting
"wacs.exe" --baseuri %SERVERURL% --eab-key-identifier=%EABKEY% --eab-key=%EABHMAC% --target manual --host %SANS% --emailaddress %EMAIL% --force --accepttos --notaskscheduler %VALIDATIONMODE% --csr %KEYALGO% --store centralssl --centralsslstore  ./certs
set returnCode=%errorlevel%
EXIT /B %returnCode%

Le definizioni variabili nella parte alta di questi script della shell includono gli argomenti ACME richiesti:

Questi devono corrispondere agli argomenti ACME che configuri per l’applicazione personalizzata in CertCentral.
Durante un evento di automazione, i valori per questi argomenti sono forniti dall’agente di automazione DigiCert locale che richiama lo script della shell.

Comandi usati nello script della shell:

Deve includere tutti i parametri obbligatori.
Non deve superare 512 caratteri.
Non deve includere direttive speciali come rm -rf o rmdir

Il nome file dello script della shell:

Deve terminare con .bat o .sh
Non deve superare 255 caratteri.

Configura le impostazioni di automazione gestita

Usa il menu Gestisci automazione CertCentral per completare la configurazione per la tua applicazione personalizzata:

Nell’account CertCentral, nel menu principale sinistro, vai su Automazione > Gestisci automazione.
From the More actions dropdown at top, select Add script.
Fill out the Add script form:
1. Name: Enter a user-friendly name to use when referencing the script.
2. Operating system: Select the applicable operating system (Linux or Windows).
3. Script type: Select Custom automation.
4. Script filename: Enter the script's filename in or path relative to the local agent's packages sub-directory. The filename must start with ./ (Linux) or .\ (Windows) and cannot have any spaces in it. For example:
  - Linux: If your script is named "myscript.sh" and is stored directly in the agent's packages sub-directory, enter ./myscript.sh here. If you stored the script within an additional sub-directory called "custom-apps" in the packages sub-directory, enter ./custom-apps/myscript.sh instead.
  - Windows: If your script is named "myscript.bat" and is stored directly in the agent's packages folder, enter .\myscript.bat here. If you stored the script within an additional sub-folder called "custom-apps" in the packages folder, enter .\custom-apps\myscript.bat instead.
  Avvertimento
  Make sure there are no spaces in the filename for either Linux or Windows. The script will fail if the path or filename has spaces in it.
5. Command-line arguments: Enter a space-separated list of general ACME parameters to use with your custom automation script.
  Ad esempio:
  {acmeDirectoryUrl} {hosts} {email} {key} {extActKid} {extActHmac}
  Nota che:
  - Ciascun argomento deve essere inserito esattamente come mostrato qui.
  - L’ordine degli argomenti deve corrispondere a come vengono usati nel tuo script della shell.
  - Durante un evento di automazione, i valori richiesti per questi argomenti vengono automaticamente ottenuti dal profilo di automazione selezionato.
  Spiegazione degli argomenti ACME supportati dall’automazione gestita CertCentral:
  - {acmeDirectoryUrl} – Impostazioni URL ACME directory.
  - {hosts} – Dettagli dell’host certificato.
  - {email} – Indirizzo email per le notifiche.
  - {key} – Algoritmo chiave (RSA o ECC).
  - {extActKid} – Identificatore chiave account esterno usato nell’URL.
  - {extActHmac} – Chiave HMAC per firmare la risposta.
6. Description (optional): Enter an optional description for the script to help identify it when working with DigiCert agents and agent-based automations in Trust Lifecycle Manager.
Dalla visualizzazione Gestisci automazione, seleziona il Nome dell’agente ACME locale che viene eseguito sullo stesso host certificato dell’applicazione personalizzata.

Assign script to the applicable agent IP/port targets

To complete the custom automation configuration, assign the script to any DigiCert agents that will coordinate certificate lifecycle automation events for the custom application:

From the Trust Lifecycle Manager main menu, select Integrations > Agents.
Locate the local DigiCert agents on the systems where the custom application is running. Select each agent by name to view the details for it.
Select the pencil (edit) icon on the right of the agent details page to update the agent configuration.
In the IP/port targets section for the agent, locate any IP/port targets where the custom application is running and configure them as follows:
- Application: Select Custom.
- Custom automation script: Select the custom automation script by the name assigned to it in Trust Lifecycle Manager.
Select the Update button at bottom to save your changes.

What's next

After enabling managed automation for your custom application, you can schedule certificate lifeycle automation events for it as you would any other application in Trust Lifecycle Manager.

In questa sezione: