Seminar Zoraxy TLS/SSL & ACME: Zertifikate automatisieren

Inhaltsverzeichnis

• Abstract
• Zielgruppe und Voraussetzungen
• Lernziele
• Agenda
• Praxisübungen
• Betriebskriterien für Zertifikate

Abstract

Dieses Seminar fokussiert die sichere und wartbare TLS-Einführung mit Zoraxy. Behandelt werden Zertifikatskonzepte (SNI/SAN), ACME-Automatisierung inklusive Auto-Renew und DNS-Challenge sowie die Standardisierung von HTTPS-Redirects und Zertifikatszuweisung. Der Praxisteil führt durch typische Fehlerbilder (DNS, Ports, Challenge-Typ) und stellt einen Betriebskalender für Renewal und Rotation bereit.

Zielgruppe und Voraussetzungen

• Zielgruppe: Admins, DevOps, Betrieb
• Voraussetzungen: Zoraxy Grundlagen, Architektur und Web-UI, ideal Zoraxy Installation & Deployment: Linux, Windows, Docker, SBC und Zoraxy Reverse-Proxy-Routing & Load Balancing

Lernziele

• TLS-Konzept für mehrere Hostnames entwickeln (SNI/SAN)
• ACME-Einrichtung und Auto-Renew sicher betreiben
• DNS-Challenge-Workflow verstehen und anwenden
• Zertifikate importieren und zuweisen
• Troubleshooting-Runbook für Zertifikatsfehler erstellen

Agenda

• TLS-Grundlagen: Zertifikatstypen, SAN, SNI, Chain, Renewal-Fenster
• ACME in Zoraxy: Auto-Renew, Challenge-Typen (HTTP/DNS)
• Praxis 1: Erstes Zertifikat erstellen, HTTPS aktivieren
• Praxis 2: DNS-Challenge-Szenario (Wildcard oder restricted Ports)
• Fehlerbilder, Monitoring, Betriebscheckliste

Praxisübungen

• HTTPS-Rollout für einen Host
  • Hostname auswählen (z. B. app-a.beispiel.tld)
  • ACME-Konfiguration vorbereiten (E-Mail, Provider, Challenge-Typ)
  • Zertifikat anfordern und speichern
  • Zertifikat der Proxy-Regel zuweisen
  • Redirect-Regel „HTTP→HTTPS“ aktivieren
  • Validierung: TLS-Handshake, Zertifikatskette, HSTS-Entscheidung dokumentieren
• SAN-Zertifikat für mehrere Subdomains
  • Liste der Subdomains definieren
  • SAN-Zertifikat anfordern
  • Zuweisungslogik dokumentieren: welche Regeln teilen welches Zertifikat
  • Validierung: mehrere Hostnames testen
• DNS-Challenge (Wildcard oder nicht-öffentliche Dienste)
  • Entscheidung DNS-Challenge: geeignet für Wildcards oder eingeschränkte Erreichbarkeit
  • DNS Provider Workflow definieren (API Token, TXT Record, TTL)
  • Challenge durchführen, Zertifikat ausstellen
  • Ergebnis: DNS-Challenge-Runbook
• Renewal-Betrieb absichern
  • Renewal-Intervall und Frühwarnfenster definieren
  • Monitoring-Check einrichten: Ablaufdatum, Erneuerungsstatus
  • Dokumentationsartefakt: Zertifikatsinventar (Hostname → Zertifikat → Ablaufdatum)

Betriebskriterien für Zertifikate

• Zertifikate sind inventarisiert (Owner, Ablaufdatum, Ruleset)
• Renewal ist überwacht (Warnung vor Ablauf)
• DNS-Challenge-Token sind minimiert (Least Privilege)
• Zertifikatswechsel folgt Change-Management (Test + Rollback)