Automatische SSL-Zertifikatsverlängerung für MSPs

Das Zertifikatsmodul von KairosLink deckt die drei Dinge ab, die ein MSP mit den Zertifikaten seiner Kunden tun muss: wissen, welche Zertifikate existieren und wann sie ablaufen, das SSL öffentlicher Domains überwachen und SSL-Zertifikate verlängern, ohne jedes Jahr zu bezahlen oder den Server anzufassen. Alles aus derselben Konsole, in der Sie bereits das Monitoring der Geräte erledigen.

Zertifikatsinventar auf jedem Gerät

Der Agent durchsucht die Zertifikatspeicher jedes Windows-Geräts (LocalMachine, einschließlich der Speicher Personal, WebHosting und Remote Desktop) und liest zu jedem Zertifikat Antragsteller, Aussteller, Ablaufdatum, das Vorhandensein des privaten Schlüssels und die Information, ob es selbstsigniert ist. Die Gesamtansicht listet alle Zertifikate nach dem nächstliegenden Ablauf sortiert, mit einer Ampel auf Basis der Schwellenwerte für Warnung und Kritisch und einem Suchfeld nach Antragsteller, Aussteller oder Anzeigename. Der Scan läuft einmal täglich automatisch auf den Online-Geräten und lässt sich zusätzlich für ein bestimmtes Gerät auf Anforderung starten.

Welche SSL-Zertifikate Ihrer Domains laufen demnächst ab?

Neben den auf den Geräten installierten Zertifikaten prüft KairosLink das Zertifikat, das eine beliebige öffentliche Domain ausliefert, über einen echten TLS-Handshake aus der Konsole heraus, ganz ohne Agent auf diesem Server. Zu jeder Domain werden Aussteller, Antragsteller und Ablauf festgehalten, und Verbindungsfehler werden mit einer lesbaren Meldung erkannt: Name im DNS nicht auflösbar, Zeitüberschreitung, Verbindung abgelehnt oder fehlgeschlagener TLS-Handshake. Die Prüfung läuft beim Hinzufügen der Domain, einmal täglich automatisch und jederzeit auf Anforderung.

E-Mail-Warnungen verwenden einen Schwellenwert für Warnung bei 30 Tagen vor Ablauf und einen kritischen bei 7 Tagen, beide je Organisation änderbar. Jede Domain hat genau eine offene Warnung: Sie eskaliert mit näher rückendem Ablauf von Warnung auf Kritisch und löst sich von selbst auf, sobald das Zertifikat verlängert oder wieder gültig ist. So erhält niemand zwanzigmal dieselbe Erinnerung.

Automatische Verlängerung von SSL-Zertifikaten

KairosLink stellt SSL-Zertifikate mit dem ACME-Protokoll von Let's Encrypt und DNS-01-Validierung aus und verlängert sie ebenso. Unterstützt werden Einzeldomain-, Multi-Domain- (mehrere Namen in einem Zertifikat, SAN) und Wildcard-Zertifikate (*.domain.com). Die Ausstellung folgt einem automatischen Ablauf: Der Agent erzeugt das Schlüsselpaar und den CSR auf dem Server, KairosLink veröffentlicht den TXT-Eintrag zur Validierung im DNS, wartet die Propagierung ab, validiert gegenüber Let's Encrypt, lädt das Zertifikat herunter und installiert es auf dem Gerät.

Der private Schlüssel wird auf dem Server des Kunden erzeugt und bleibt dort. Er wird nie an die Plattform übertragen oder dort gespeichert: Zwischen Agent und KairosLink wandern nur der CSR und das ausgestellte Zertifikat, also öffentliches Material. Die Installation erfolgt automatisch auf IIS, wo die HTTPS-Bindung auf Port 443 angelegt wird, und auf Exchange, wo das Zertifikat den Diensten IIS und SMTP zugewiesen wird. Jede Verlängerung startet 30 Tage vor Ablauf ohne Zutun, und schlägt eine Verlängerung zweimal hintereinander fehl, öffnet sich eine Warnung, damit der Techniker sie prüfen kann.

Da die Validierung über DNS erfolgt und nicht über eine eingehende Verbindung zum Server, funktioniert sie auch für interne Server, die nicht im Internet stehen. Jede Ausstellung hinterlässt eine Schritt-für-Schritt-Spur im Ereignisprotokoll: CSR angefordert, CSR empfangen, Auftrag erstellt, TXT-Eintrag veröffentlicht, Challenge validiert, Zertifikat ausgestellt, installiert und Dienst aktiviert, jeweils mit dem Datum jeder Phase.

Die Ersparnis: Verlängerung ohne Kosten je Zertifikat

Kommerzielle Wildcard- und Multi-Domain-Zertifikate kosten mehrere Hundert US-Dollar im Jahr, und Verlängerungen sind meist teurer als das erste Jahr. Die Zertifikate, die KairosLink über ACME ausstellt, verursachen keine Kosten je Zertifikat und verlängern sich selbst, Wildcard und Multi-Domain eingeschlossen. Der MSP zahlt nicht mehr für jedes Zertifikat und verliert keine Zeit mit Verlängerungen von Hand, und mit den Berichten kann er jedem Kunden zeigen, welche Zertifikate er für ihn verwaltet.

Häufige Fragen