マネージド自動化のカスタムアプリケーションをセットアップする

CertCentralのマネージド自動化は、最も一般的なウェブサーバアプリケーションを追加設定なしでサポートします。

CertCentralは、「カスタムアプリケーション」オプションを使用してサードパーティーACMEクライアントを設定できるようにすることで、ネイティブにサポートされていない追加のアプリケーションの証明書管理を提供する柔軟性も提供します。

カスタムアプリケーションのマネージド自動化を有効にするには、以下のステップを実行してください。

Deploy DigiCert agent
Install and configure a DigiCert agent on the server system. The agent coordinates automation requests sent from Trust Lifecycle Manager.
サードパーティーACMEクライアントをセットアップする
証明書ホストで、希望するサードパーティーACMEクライアントをインストールして設定します。
シェルスクリプトを作成する
証明書ホストで、サードパーティーACMEクライアントを起動するためにCertCentralが使用できるヘルパースクリプトを作成します。
Add script details in Trust Lifecycle Manager
Configure the shell script details in Trust Lifecycle Manager so it knows how to find and execute the custom automation script.
マネージド自動化を設定する
CertCentralの［自動化の管理］メニューを使用して、カスタムアプリケーションで使用するシェルスクリプトを設定します。

Deploy DigiCert agent

Custom automations require that a DigiCert agent be installed and running on each server. The agent coordinates automation requests received from Trust Lifecycle Manager and calls your custom shell script to handle certificate lifecycle events for the custom application.

For detailed instructions about setting up a DigiCert agent, see Deploy and manage agents.

サードパーティーACMEクライアントをセットアップする

CertCentralのマネージド自動化は、業界標準のACMEプロトコルをサポートするすべてのサードパーティークライアントで機能します。

ソフトウェアプロバイダーのガイドラインに従って、希望するサードパーティーACMEクライアントを証明書ホストにインストールし、設定します。

シェルスクリプトを作成する

CertCentralでは、証明書ホストにサードパーティーACMEクライアントを起動するためのシェルスクリプトが必要です。自動化イベント中、デジサートのエージェントはクライアントを起動するためのシェルスクリプトを呼び出し、このクライアントが証明書の調達とインストールを行います。

このシェルスクリプトには、サードパーティーACMEクライアントに対する基本的な自動化コマンドが含まれている必要があります。コマンド構文は、使用されるサードパーティーACMEクライアントに応じて異なります。詳細については、ソフトウェアプロバイダーのガイドラインを参照してください。

以下は、サードパーティークライアンであるEFF Certbot（Linux）およびWin-ACME（Windows）経由でデジサートの証明書を調達するために使用されるシェルスクリプトの例です。

例 1. EFF Certbot（Linux）

directoryuri=$1
host=$2
emailaddress=$3
eabkeyidentifier=$5
eabkeyhmac=$6
process_path=/usr/bin/apachectl
server_root=/etc/httpd
config_root=/etc/httpd/config
procCmdLine="/usr/bin/apachectl start"
acmeConfigDirectory="/etc/letsencrypt/"
certbot --server $directoryuri --config-dir $acmeConfigDirectory --eab-kid $eabkeyidentifier  --eab-hmac-key $eabkeyhmac --installer apache -m $emailaddress --force-renew --agree-tos --no-redirect --expand -d $host --no-verify-ssl --no-autorenew --pre-hook "$process_path stop" --post-hook $procCmdLine -n --apache-server-root $server_root --apache-vhost-root $config_root
returnCode=$?
echo "The command exit status : ${returnCode}"
exit $returnCode

例 2. Win-ACME（Windows）

set SERVERURL=%1
set SANS=%2
set EMAIL=%3
set KEYALGO=%4
set EABKEY=%5
set EABHMAC=%6
set VALIDATIONMODE=--validation selfhosting
"wacs.exe" --baseuri %SERVERURL% --eab-key-identifier=%EABKEY% --eab-key=%EABHMAC% --target manual --host %SANS% --emailaddress %EMAIL% --force --accepttos --notaskscheduler %VALIDATIONMODE% --csr %KEYALGO% --store centralssl --centralsslstore  ./certs
set returnCode=%errorlevel%
EXIT /B %returnCode%

これらのシェルスクリプトの最上部にある変数定義が、必要なACME引数を読み込みます。

これらは、CertCentralのカスタムアプリケーションに設定するACME引数と一致する必要があります。
自動化イベント中、シェルスクリプトを呼び出すデジサートのローカル自動化エージェントがこれらの引数の値を提供します。

シェルスクリプトで使用されるコマンドの要件：

すべての必須パラメータが含まれていること。
512文字を超えないこと。
rm -rfまたはrmdirなどの特別なディレクティブが含まれていないこと。

シェルスクリプトファイル名の要件：

.batまたは.shで終わること。
255文字を超えないこと。

マネージド自動化を設定する

CertCentralの［自動化の管理］メニューを使用して、カスタムアプリケーションの設定を完了します。

CertCentralアカウントの左側にあるメインメニューで、［自動化］＞［自動化の管理］の順に進みます。
From the More actions dropdown at top, select Add script.
Fill out the Add script form:
1. Name: Enter a user-friendly name to use when referencing the script.
2. Operating system: Select the applicable operating system (Linux or Windows).
3. Script type: Select Custom automation.
4. Script filename: Enter the script's filename in or path relative to the local agent's packages sub-directory. The filename must start with ./ (Linux) or .\ (Windows) and cannot have any spaces in it. For example:
  - Linux: If your script is named "myscript.sh" and is stored directly in the agent's packages sub-directory, enter ./myscript.sh here. If you stored the script within an additional sub-directory called "custom-apps" in the packages sub-directory, enter ./custom-apps/myscript.sh instead.
  - Windows: If your script is named "myscript.bat" and is stored directly in the agent's packages folder, enter .\myscript.bat here. If you stored the script within an additional sub-folder called "custom-apps" in the packages folder, enter .\custom-apps\myscript.bat instead.
  警告
  Make sure there are no spaces in the filename for either Linux or Windows. The script will fail if the path or filename has spaces in it.
5. Command-line arguments: Enter a space-separated list of general ACME parameters to use with your custom automation script.
  以下はその例です。
  {acmeDirectoryUrl} {hosts} {email} {key} {extActKid} {extActHmac}
  以下に注意してください。
  - 各引数は、ここに記載されているとおり正確に入力する必要があります。
  - 引数の順序は、シェルスクリプトで使用される順序と一致する必要があります。
  - 自動化イベント中、選択された自動化プロファイルから、これらの引数に必須な値が自動的に取得されます。
  以下は、CertCentralのマネージド自動化でサポートされるACME引数の説明です。
  - {acmeDirectoryUrl} – ACMEディレクトリURL設定。
  - {hosts} – 証明書ホストの詳細。
  - {email} – 通知用のEメールアドレス。
  - {key} – 鍵のアルゴリズム（RSAまたはECC）。
  - {extActKid} – URLで使用される外部アカウントの鍵識別子。
  - {extActHmac} – 応答に署名するためのHMAC鍵。
6. Description (optional): Enter an optional description for the script to help identify it when working with DigiCert agents and agent-based automations in Trust Lifecycle Manager.
［自動化の管理］ビューで、カスタムアプリケーションと同じ証明書ホストで実行されているローカルACMEエージェントの［名前］を選択します。

Assign script to the applicable agent IP/port targets

To complete the custom automation configuration, assign the script to any DigiCert agents that will coordinate certificate lifecycle automation events for the custom application:

From the Trust Lifecycle Manager main menu, select Integrations > Agents.
Locate the local DigiCert agents on the systems where the custom application is running. Select each agent by name to view the details for it.
Select the pencil (edit) icon on the right of the agent details page to update the agent configuration.
In the IP/port targets section for the agent, locate any IP/port targets where the custom application is running and configure them as follows:
- Application: Select Custom.
- Custom automation script: Select the custom automation script by the name assigned to it in Trust Lifecycle Manager.
Select the Update button at bottom to save your changes.

What's next

After enabling managed automation for your custom application, you can schedule certificate lifeycle automation events for it as you would any other application in Trust Lifecycle Manager.

このセクションの内容: