Citrix StoreFront: SSL-Zertifikat austauschen
HTTPS-Zertifikat von Citrix StoreFront austauschen: Namen für Basis-URL und Load Balancer, IIS-Bindung auf jedem Server der Gruppe, Vertrauen am Gateway und Prüfung.
Das HTTPS von StoreFront für Clients ist eine IIS-Bindung. Das Zertifikat liegt im Windows-Speicher Eigene Zertifikate des lokalen Computers und wird an der IIS-Site ausgewählt - es ist keines der internen Zertifikate der Citrix Delivery Services, die Sie unverändert lassen.
Voraussetzungen
- Besorgen Sie eine PFX-Datei, deren CN oder SAN die StoreFront-Basis-URL enthält - Pflicht. Hinter einem Load Balancer ist die Basis-URL meist der Name am Load Balancer. Citrix empfiehlt zusätzlich den eigenen FQDN jedes Servers als SAN, damit Sie Server direkt testen können.
- Behalten Sie das alte Zertifikat im Speicher jedes Servers, bis das neue geprüft ist.
- Notieren Sie auf jedem Server der StoreFront-Servergruppe die IIS-Site und ihre
https-Bindung (IP, Port, Hostname, SNI). - Notieren Sie, wie Gateway (NetScaler) oder Load Balancer dem Zertifikat von StoreFront vertrauen: über die CA oder über ein fest hinterlegtes Zertifikat.
Zertifikat Schritt für Schritt austauschen
- Nehmen Sie den ersten Server aus dem Load Balancer und importieren Sie die PFX-Datei
dort unter Zertifikate (Lokaler Computer) > Eigene Zertifikate (
certlm.msc). Das Weitergeben von Änderungen in der StoreFront-Konsole kopiert keine IIS-Zertifikate auf die anderen Server. - Wählen Sie im IIS-Manager die StoreFront-Site (meist Default Web Site) >
Bindungen, bearbeiten Sie die
https-Bindung, behalten Sie IP, Port, Hostname und SNI bei, wählen Sie das neue Zertifikat und klicken Sie auf OK. Ab Windows Server 2022 bietet der Bindungsdialog außerdem Disable Legacy TLS, um TLS-Versionen unter 1.2 abzulehnen. - Prüfen Sie den Server (unten), nehmen Sie ihn wieder in den Load Balancer und wiederholen Sie das auf jedem Server der Gruppe.
- Hat Gateway oder Load Balancer das Backend-Zertifikat fest hinterlegt oder vertraut der neuen ausstellenden CA nicht, passen Sie dessen Vertrauenseinstellung an.
Eine geänderte IIS-Bindung gilt ohne iisreset für neue TLS-Verbindungen; angemeldete
Nutzer bleiben angemeldet. Recyceln Sie die Anwendungspools von StoreFront nicht nur
wegen des Zertifikats - das kann Nutzer abmelden.
Produktspezifische Hinweise
Terminiert ein NetScaler Gateway die öffentliche TLS-Verbindung, sehen Nutzer das Zertifikat des Gateways; das Zertifikat von StoreFront ist dann die Backend-Strecke zwischen Gateway und StoreFront. Citrix empfiehlt auch dort HTTPS, also sind beide zu erneuern - das Gateway-Zertifikat wie in der NetScaler-Anleitung beschrieben.
Nur beim erstmaligen Umstieg von HTTP auf HTTPS: die https-Bindung auf jedem Server
anlegen, dann die Basis-URL in der StoreFront-Konsole auf https:// ändern und die
Änderung weitergeben. Eine Routine-Erneuerung des Zertifikats berührt die Basis-URL nicht.
Neues Zertifikat prüfen
Testen Sie jeden Server direkt, mit dem öffentlichen Namen als SNI, dann über den Load Balancer (auf einem beliebigen Rechner mit OpenSSL, oder öffnen Sie die Basis-URL im Browser und sehen Sie sich das Zertifikat an):
openssl s_client -connect sf01.example.com:443 -servername storefront.example.com -showcerts </dev/nullPrüfen Sie Antragsteller und SAN, Aussteller, Ablaufdatum und Kette. Öffnen Sie dann die Basis-URL im Browser, lassen Sie die Citrix Workspace-App den Store finden, die Apps auflisten und eine starten.
Rollback
Wählen Sie an der https-Bindung jedes Servers wieder das alte Zertifikat, machen Sie
Änderungen am Vertrauen von Gateway oder Load Balancer rückgängig und führen Sie einen
Starttest durch.
Häufige Probleme
- Die Basis-URL oder der Name am Load Balancer fehlt in den SANs.
- Nur ein StoreFront-Server wurde aktualisiert.
- Statt der IIS-Bindung wurden die internen Zertifikate der Delivery Services geändert.
- Ein Health Monitor am Load Balancer vertraut der neuen ausstellenden CA nicht.
Zertifikatstausch mit aethercert automatisieren
Das aethercert-Deployment-Ziel für Citrix StoreFront importiert das Zertifikat und aktualisiert die lokale IIS-HTTPS-Bindung. Richten Sie es für jeden StoreFront-Server ein, der Verkehr erhalten kann.
Unter Deployment-Ziele finden Sie die Felder dieser Vorlage, die Voraussetzungen auf dem Host und den Stand der Verifizierung.
Quellen
Omnissa Horizon Connection Server
TLS-Zertifikat auf dem Omnissa (ehemals VMware) Horizon Connection Server austauschen: exportierbarer Schlüssel, Anzeigename vdm, Zwischenzertifikate, Neustart, jeder Server im Pod.
NGINX
SSL-Zertifikat auf NGINX austauschen: Fullchain-PEM bauen und prüfen, mit Rückweg installieren, nginx -t, Reload ohne Verbindungsabbruch - auch in Docker.