ACME - Automatic Certificate Management Environment

ACME - Автоматичне середовище управління сертифікатами повністю усуває ручну працю під час оновлення SSL сертифікатів безпеки, автоматично підтверджує, що сервер дійсно володіє доменним іменем. ACME викорістовуеться для автоматичного продовження SSL-сертифікатів DigiCert в поєднанні з фірмовим агентом DigiCert ACME Automation Agent або стороннім клієнтом на кшталт Certbot. Це дозволяє повністю виключити людський фактор і автоматично оновлювати сертифікати до закінчення їхньої дії.

Протокол ACME створила некомерційна організація Internet Security Research Group (ISRG) спеціально для свого всесвітньо відомого проєкту — безкоштовного центру сертифікації Let's Encrypt. Проєкт розробляли спільно з іншими великими гравцями у сфері IT та кібербезпеки. У березні 2019 року розробники передали протокол комітету IETF Internet Engineering Task Force, який затвердив ACME як офіційний міжнародний інтернет-стандарт. Завдяки цьому сьогодні технологію використовує не лише Let's Encrypt, а й інші гіганти наприклад, Digicert, Google

Digicert CertCentral automation agent - це спеціалізована фірмова утиліта агент автоматизації від засвідчувального центру DigiCert. Її головне завдання - автоматично випускати, встановлювати та оновлювати TLS/SSL-сертифікати безпеки на серверах.

ACME не лише для веб-сайтів! За допомогою Digicert ACME постачальники Інтернет речей >>> можуть легко керувати та автоматизувати перевірку, встановлення, продовження та відгук SSL /TLS сертифікати на ACME-сумісні пристрої.

У порівнянні зі сторонніми утилітами ( third-party ACME clients ), офіційний нативний агент від DigiCert надає:

• Централізоване керування:
  Ви можете контролювати автоматизацію всіх серверів безпосередньо з єдиної панелі CertCentral.
• Автоматичні оновлення:
  Агент сам оновлює своє програмне забезпечення, його не потрібно обслуговувати вручну.
• Максимальна продуктивність:
  Він від початку оптимізований під протоколи та API компанії DigiCert.
• Безпека:
  Не потребує відкривати зайві порти брандмауера на вхідний трафік, оскільки працює за захищеною вихідною моделлю ( pull communication )

Налаштування ACME

Щоб ваш сервер міг авторизуватися в центрі сертифікації DigiCert, йому потрібні спеціальні ключі безпеки. Процес складається з двох основних етапів: 1) отримання облікових даних у адграфікс та 2) налаштування сервера.

1) адграфікс згенерує для вас ACME Credentials.
* Обов'язково скопіюйте та збережіть ці дані - вони показуються лише один раз:

• DigiCert request URL - адреса ACME-сервера DigiCert
• KID Key Identifier - ідентифікатор ключа
• HMAC Key - унікальний ключ аутентифікації

2) Налаштування автоматизації на сервері

Використання Certbot на прикладі Linux + Nginx/Apache

Certbot >>> автоматично створить завдання у системному планувальнику Cron або Systemd timer, яке двічі на день перевірятиме статус сертифіката і оновить його за 30 днів до завершення дії.

1. Зареєструйте ваш Certbot в DigiCert, підставивши свої значення KID та HMAC:

   
   bash
   certbot register --server https://digicert.com --eab-kid "ВАШ_KID" --eab-hmac-key "ВАШ_HMAC_KEY"
   

2. Запустіть команду для отримання та автоматичного налаштування сертифіката на вебсервері наприклад, для Nginx :

   
   bash
   certbot --nginx -d example.com -d ://example.com --server https://digicert.com
   

3. Перевірте роботу автоматичного оновлення ( імітація оновлення ) :

   
   bash
   certbot renew --dry-run