SSL-Zertifikat manuell austauschen: 30 Anleitungen
Schritt-für-Schritt-Anleitungen zum manuellen Austausch von SSL/TLS-Zertifikaten auf IIS, Exchange, AD FS, RDS, NGINX, Apache, F5, NetScaler, FortiGate, vCenter, Proxmox und mehr.
Ein Zertifikat auszutauschen ist nicht auf jedem System derselbe Vorgang. Manche Produkte lesen PEM-Dateien, manche nutzen einen Windows-Zertifikatspeicher, andere halten Zertifikatsobjekte hinter einer Verwaltungs-API. Der Schritt, der das Zertifikat tatsächlich aktiviert, kann eine geänderte IIS-Bindung sein, ein Graceful Reload, ein rollierender Neustart, ein Policy-Deployment oder eine clusterweite Aktualisierung.
Diese Anleitungen beschreiben den Austausch von Hand, ganz ohne aethercert. Jede folgt demselben Aufbau: was vorbereitet sein muss, was das Produkt mit einem Zertifikat macht, die Schritte zum Austausch, die Prüfung über das Netzwerk, der Rollback und was typischerweise schiefgeht. Am Ende steht jeweils ein kurzer Hinweis, was das passende aethercert-Deployment-Ziel automatisiert, sowie die Herstellerdokumentation, auf der die Anleitung beruht.
Nehmen Sie die Anleitung für das System, das TLS terminiert. Steht ein Load Balancer vor einem Webserver und terminiert dort, ist die Anleitung für den Load Balancer die richtige.
Microsoft und Windows
| Produkt | Anleitung |
|---|---|
| Windows-Zertifikatspeicher | Windows-Zertifikatspeicher |
| IIS | Microsoft IIS |
| Exchange Server | Microsoft Exchange Server |
| AD FS | Microsoft AD FS |
| Remotedesktop-Listener | Remote Desktop (RDP) |
| Remotedesktopdienste | Remotedesktopdienste (RDS) |
| WinRM | Windows Remote Management |
| SQL Server | Microsoft SQL Server |
| Skype for Business | Skype for Business Server |
| Hyper-V Replica | Hyper-V Replica |
| Omnissa (VMware) Horizon | Omnissa Horizon Connection Server |
| Citrix StoreFront | Citrix StoreFront |
Webserver und Container
| Produkt | Anleitung |
|---|---|
| NGINX | NGINX |
| Apache HTTP Server | Apache HTTP Server |
| Jeder andere Linux-Dienst | Eigener Linux-Dienst |
| HAProxy | HAProxy |
| Docker | Docker-Container |
| Eigenes Skript | Eigenes Deployment-Skript |
Load Balancer, Firewalls und Appliances
| Produkt | Anleitung |
|---|---|
| F5 BIG-IP | F5 BIG-IP |
| Kemp / Progress LoadMaster | Progress Kemp LoadMaster |
| Citrix NetScaler | Citrix NetScaler |
| Fortinet FortiGate | Fortinet FortiGate |
| Palo Alto Networks | Palo Alto Networks PAN-OS |
| Cisco Secure Firewall | Cisco Secure Firewall Management Center |
| Sophos Firewall | Sophos Firewall |
| WatchGuard Firebox | WatchGuard Firebox |
Virtualisierung und Orchestrierung
| Produkt | Anleitung |
|---|---|
| VMware vCenter Server | VMware vCenter Server |
| Nutanix Prism | Nutanix Prism |
| Proxmox VE | Proxmox VE |
| Kubernetes | Kubernetes |
Was fast überall gilt
Einige Punkte tauchen in den meisten Anleitungen auf, deshalb stehen sie hier einmal zentral.
-
Importieren heißt nicht aktivieren. Fast jedes Produkt braucht einen zweiten Schritt - eine Bindung, einen Objektverweis, einen Dienstneustart. Wer ihn auslässt, hat weiter das alte Zertifikat im Einsatz, obwohl alles erledigt aussieht.
-
Die Kette ausliefern, nicht nur das Serverzertifikat. Ein Zertifikat, das im eigenen Browser funktioniert, weil dieser das Zwischenzertifikat schon zwischengespeichert hat, scheitert bei einem Client, der es nicht hat.
-
Über das Netzwerk und per Hostname prüfen. Ein Blick in den Speicher oder auf die Datei beweist, dass der Import geklappt hat - nicht, was der Dienst ausliefert.
openssl s_client -connect app.example.com:443 -servername app.example.com -showcerts -
Altes Zertifikat und alten Schlüssel behalten, bis jeder Knoten geprüft ist. Zusammen mit der vorherigen Bindungskennung macht das einen Rollback erst möglich.
-
Jeden Knoten bearbeiten. Ein Load Balancer leitet gern weiter auf genau den einen Server, den Sie vergessen haben.
Stattdessen automatisieren
Jede Anleitung endet mit einem Hinweis, was das passende aethercert-Deployment-Ziel übernimmt. Den Katalog, die Felder jeder Vorlage und den Stand der Verifizierung finden Sie unter Deployment-Ziele.