Certificats ACME - HARICA¶
Pointeurs utiles¶
https://services.renater.fr/tcs/acme
Configuration pour la création de certificats avec renouvellement automatique¶
Le serveur utilisé est inf-mirror
! à faire la première fois :
certbot register --email ssi.ias@universite-paris-saclay.fr --agree-tos --server https://acme-v02.harica.gr/acme/24a95669-716c-4eb7-b35f-4508ed5ffa28/directory --eab-kid ****** --eab-hmac-key ******
eab-kid et eab-hmac ont été fournis par la DI U-PSACLAY
Les certificats (et leur clé privée associée) sont centralisés dans :
/usr/local/shell/cert_acme
Création d'un certificat avec certbot¶
Sans CSR¶
root@inf-mirror:/usr/local/shell/cert_acme# certbot certonly --server https://acme-v02.harica.gr/acme/24a95669-716c-4eb7-b35f-4508ed5ffa28/directory -d "*.plato-sas.ias.u-psud.fr" -d *.plato-sas.ias.u-psud.fr Saving debug log to /var/log/letsencrypt/letsencrypt.log How would you like to authenticate with the ACME CA? - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 1: Runs an HTTP server locally which serves the necessary validation files under the /.well-known/acme-challenge/ request path. Suitable if there is no HTTP server already running. HTTP challenge only (wildcards not supported). (standalone) 2: Saves the necessary validation files to a .well-known/acme-challenge/ directory within the nominated webroot path. A separate HTTP server must be running and serving files from the webroot path. HTTP challenge only (wildcards not supported). (webroot) - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - Select the appropriate number [1-2] then [enter] (press 'c' to cancel): 2 Requesting a certificate for *.plato-sas.ias.u-psud.fr Successfully received certificate. Certificate is saved at: /etc/letsencrypt/live/plato-sas.ias.u-psud.fr/fullchain.pem Key is saved at: /etc/letsencrypt/live/plato-sas.ias.u-psud.fr/privkey.pem This certificate expires on 2027-05-23. These files will be updated when the certificate renews. Certbot has set up a scheduled task to automatically renew this certificate in the background. - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - If you like Certbot, please consider supporting our work by: * Donating to ISRG / Let's Encrypt: https://letsencrypt.org/donate * Donating to EFF: https://eff.org/donate-le - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Certificat ici :
root@inf-mirror:/etc/letsencrypt/archive/plato-sas.ias.u-psud.fr# ll total 20 -rw-r--r-- 1 root root 1765 Nov 5 15:02 cert1.pem -rw-r--r-- 1 root root 2445 Nov 5 15:02 chain1.pem -rw-r--r-- 1 root root 4210 Nov 5 15:02 fullchain1.pem -rw------- 1 root root 241 Nov 5 15:02 privkey1.pem root@inf-mirror:/etc/letsencrypt/archive/plato-sas.ias.u-psud.fr# cp privkey1.pem plato-sas.ias.u-psud.fr.key root@inf-mirror:/etc/letsencrypt/archive/plato-sas.ias.u-psud.fr# cp fullchain1.pem plato-sas.ias.u-psud.fr.pem root@inf-mirror:/etc/letsencrypt/archive/plato-sas.ias.u-psud.fr# ll total 32 -rw-r--r-- 1 root root 1765 Nov 5 15:02 cert1.pem -rw-r--r-- 1 root root 2445 Nov 5 15:02 chain1.pem -rw-r--r-- 1 root root 4210 Nov 5 15:02 fullchain1.pem -rw------- 1 root root 241 Nov 5 15:05 plato-sas.ias.u-psud.fr.key -rw-r--r-- 1 root root 4210 Nov 5 15:06 plato-sas.ias.u-psud.fr.pem -rw------- 1 root root 241 Nov 5 15:02 privkey1.pem
Avec CSR existant¶
Option : interface HARICA¶
Se connecter avec l'identifiant ADONIS (gestion des domaines gérés par les DNS de la DI)
Créer un nouveau certificat¶
Certificate Requests -> Server
- Entrer le nom de domaine pour un wildcard (ou le nom de la machine précis)
- Sélectionner certificat OV
- Il faut rentrer une passphrase (obligatoire à partir de la UI - à voir si c'est le cas aussi en CLI ?)
- Sélectionner auto-generated CSR
- Ensuite il faut télécharger le clé privée qui a été générée
Pui le certificat passe en statut "pending" le temps qu'il soit validé par a DSI Univ
Une fois validé, on reçoit un mail et on peut récupérer le certificat depuis l'interface