Een aangepast toepassing instellen voor beheerde automatisering

Beheerde automatisering van CertCentral ondersteunt standaard de meest populaire webservertoepassingen.

CertCentral biedt ook de flexibiliteit om het certificaatbeheer uit te breiden voor extra toepassingen die niet standaard worden ondersteund, doordat het configuratie van ACME-clients van derden mogelijk maakt via de optie "aangepaste toepassing".

Volg deze stappen om beheerde automatisering voor een aangepaste toepassing in te schakelen:

Deploy DigiCert agent
Install and configure a DigiCert agent on the server system. The agent coordinates automation requests sent from Trust Lifecycle Manager.
Stel de ACME-clients van de derde partij in
Installeer de ACME-client van een derde partij waar uw voorkeur naar uitgaat op de certificaathost.
Schrijf een shellscript
Schrijf op de certificaathost een hulpscript dat CertCentral kan gebruiken om de ACME-client van de derde partij op te roepen.
Add script details in Trust Lifecycle Manager
Configure the shell script details in Trust Lifecycle Manager so it knows how to find and execute the custom automation script.
Configureer de instellingen voor de beheerde automatisering
Gebruik in CertCentral het menu Automatisering bewerken om het shellcript te configureren om het met de aangepaste toepassing te gebruiken.

Deploy DigiCert agent

Custom automations require that a DigiCert agent be installed and running on each server. The agent coordinates automation requests received from Trust Lifecycle Manager and calls your custom shell script to handle certificate lifecycle events for the custom application.

For detailed instructions about setting up a DigiCert agent, see Deploy and manage agents.

Stel de ACME-clients van de derde partij in

Door CertCentral beheerde automatisering werkt met elke client van derden die het ACME-protocol, dat de industriestandaard is, ondersteunt.

Volg de richtlijnen van de softwareleverancier voor het installeren en configureren van de ACME-client van uw voorkeur op de certificaathost.

Schrijf een shellscript

CertCentral vereist een shellscript op de certificaathost om de ACME-client van een derde partij aan te roepen. Tijdens een automatiseringsgebeurtenis roept de DigiCert agent het shellscript aan om de client aan te roepen, die op zijn beurt het certificaat verwerft en installeert.

Het shellscript moet de basale automatiseringscommando's bevatten voor de ACME-client van de derde partij. De syntaxis van de commando's varieert afhankelijk van de ACME-client van de derde partij die wordt gebruikt. Raadpleeg de richtlijnen van de softwareleverancier voor meer informatie.

Hieronder vindt u voorbeelden van shellscripts die worden gebruikt om DigiCert-certificaten te verkrijgen via de clients EFF Certbot (Linux) en Win-ACME (Windows):

voorbeeld 1. EFF Certbot (Linux)

directoryuri=$1
host=$2
emailaddress=$3
eabkeyidentifier=$5
eabkeyhmac=$6
process_path=/usr/bin/apachectl
server_root=/etc/httpd
config_root=/etc/httpd/config
procCmdLine="/usr/bin/apachectl start"
acmeConfigDirectory="/etc/letsencrypt/"
certbot --server $directoryuri --config-dir $acmeConfigDirectory --eab-kid $eabkeyidentifier  --eab-hmac-key $eabkeyhmac --installer apache -m $emailaddress --force-renew --agree-tos --no-redirect --expand -d $host --no-verify-ssl --no-autorenew --pre-hook "$process_path stop" --post-hook $procCmdLine -n --apache-server-root $server_root --apache-vhost-root $config_root
returnCode=$?
echo "The command exit status : ${returnCode}"
exit $returnCode

voorbeeld 2. Win-ACME (Windows)

set SERVERURL=%1
set SANS=%2
set EMAIL=%3
set KEYALGO=%4
set EABKEY=%5
set EABHMAC=%6
set VALIDATIONMODE=--validation selfhosting
"wacs.exe" --baseuri %SERVERURL% --eab-key-identifier=%EABKEY% --eab-key=%EABHMAC% --target manual --host %SANS% --emailaddress %EMAIL% --force --accepttos --notaskscheduler %VALIDATIONMODE% --csr %KEYALGO% --store centralssl --centralsslstore  ./certs
set returnCode=%errorlevel%
EXIT /B %returnCode%

De variabeledefinities bovenaan deze shellscripts lezen de vereiste ACME-argumenten in:

Deze moeten overeenstemmen met de ACME-argumenten die u in CertCentral configureert voor de aangepaste toepassing.
Tijdens een automatiseringsgebeurtenis worden waarden voor deze argumenten geleverd door de lokale DigiCert-automatiseringsagent die het shellscript aanroept.

Commando's gebruikt in het shellscript:

Moeten alle verplichte parameters bevatten.
Mogen niet langer zijn dan 512 tekens.
Mag geen speciale instructies bevatten zoals rm -rf of rmdir

De naam van het shellscript:

Moet eindigen in .bat of .sh
Mogen niet langer zijn dan 255 tekens.

Configureer de instellingen voor de beheerde automatisering

Gebruik het menu voor Beheerde automatisering van CertCentral om de configuratie voor uw aangepaste toepassing te voltooien:

Ga in het linker hoofdmenu van uw CertCentral-account naar Automatisering > Automatisering beheren.
From the More actions dropdown at top, select Add script.
Fill out the Add script form:
1. Name: Enter a user-friendly name to use when referencing the script.
2. Operating system: Select the applicable operating system (Linux or Windows).
3. Script type: Select Custom automation.
4. Script filename: Enter the script's filename in or path relative to the local agent's user-scripts sub-directory.
  - Linux: If your script is named "myscript.sh" and is stored directly in the agent's user-scripts sub-directory, enter myscript.sh here. If you stored the script within an additional sub-directory called "custom-apps" in the user-scripts sub-directory, enter custom-apps/myscript.sh instead.
  - Windows: If your script is named "myscript.bat" and is stored directly in the agent's user-scripts folder, enter myscript.bat here. If you stored the script within an additional sub-folder called "custom-apps" in the user-scripts folder, enter custom-apps\myscript.bat instead.
  Waarschuwing
  Make sure there are no spaces in the filename for either Linux or Windows. The script will fail if the path or filename has spaces in it.
5. Command-line arguments: Enter a space-separated list of general ACME parameters to use with your custom automation script.
  Bijvoorbeeld:
  {acmeDirectoryUrl} {hosts} {email} {key} {extActKid} {extActHmac}
  Merk op dat:
  - Elk argument exact zoals hier weergegeven moet worden ingevoerd.
  - De volgorde van de argumenten moet overeenkomen met hoe ze in uw shellscript worden gebruikt.
  - Tijdens een automatiseringsgebeurtenis worden de vereiste waarden voor deze argumenten automatisch verkregen uit het geselecteerde automatiseringsprofiel.
  Uitleg van ACME-argumenten die worden ondersteund door de beheerde automatisering van CertCentral:
  - {acmeDirectoryUrl} – ACME directory URL-instellingen.
  - {hosts} – Gegevens certificaathost.
  - {email} – E-mailadres voor meldingen.
  - {key} – Sleutelalgoritme (RSA of ECC).
  - {extActKid} – KID van externe account gebruikt in de URL.
  - {extActHmac} – HMAC sleutel voor het ondertekenen van het antwoord.
6. Description (optional): Enter an optional description for the script to help identify it when working with DigiCert agents and agent-based automations in Trust Lifecycle Manager.
Selecteer vanuit de weergave Automatisering bewerken de Naam of de lokale ACME-agent die op dezelfde certificaathost als de aangepaste toepassing wordt uitgevoerd.

Assign script to the applicable agent IP/port targets

To complete the custom automation configuration, assign the script to any DigiCert agents that will coordinate certificate lifecycle automation events for the custom application:

From the Trust Lifecycle Manager main menu, select Integrations > Agents.
Locate the local DigiCert agents on the systems where the custom application is running. Select each agent by name to view the details for it.
Select the pencil (edit) icon on the right of the agent details page to update the agent configuration.
In the IP/port targets section for the agent, locate any IP/port targets where the custom application is running and configure them as follows:
- Application: Select Custom.
- Custom automation script: Select the custom automation script by the name assigned to it in Trust Lifecycle Manager.
Select the Update button at bottom to save your changes.

What's next

After enabling managed automation for your custom application, you can schedule certificate lifeycle automation events for it as you would any other application in Trust Lifecycle Manager.

In deze sectie: