Verwaltung von Installationspunkten

Ein Installationspunkt ist ein Zertifikatsbereitstellungsziel in der clmBot-Konfigurationsdatei und besteht aus dem Zertifikatsformat (format), dem Dateipfad und einem Aktualisierungsskript. Ein clmBot-Knoten kann mehrere Installationspunkte verwalten.

clmBot bietet die folgenden Befehle zur Verwaltung von Installationspunkten:

Befehl	Zweck
discover-certificate	Automatisches Scannen der Zertifikate auf diesem Rechner (und in Docker-Containern) und Hinzufügen als Installationspunkte
add-server	Interaktives manuelles Hinzufügen von Installationspunkten (schreibt nur in die lokale Konfiguration)
sync-server	Synchronisiert lokale Installationspunkte in die Cloud und kalibriert die Zertifikatsabonnementnummern
setup	Startet die lokale Web-Konfigurationsseite zur Verwaltung der Installationspunkte im Browser
query-certificate	Nur-Lese-Anzeige der aktuell in den einzelnen Installationspunkten bereitgestellten Zertifikatsinformationen

Automatische Erkennung von Zertifikatsinstallationspunkten

Führen Sie discover-certificate aus, um die auf dem Server bereits bereitgestellten Zertifikate automatisch zu scannen:

./clm-bot-linux-amd64 discover-certificate

Scanbereich:

• Linux: nginx, Apache HTTP Server, Tomcat.
• Windows: IIS.

Nach der Befehlsausführung werden die gefundenen Zertifikatsinformationen in Tabellenform aufgelistet (Quelle, Typ, Zertifizierungsstelle (CA), Antragsteller, Pfad, Zugriffspunkt, Seriennummer usw.). Geben Sie die Seriennummer des hochzuladenden Zertifikats ein, um das Hinzufügen zur Hintergrundverwaltung zu bestätigen:

• all: Alle hochladen
• none: Nicht hochladen
• 1,3-5: Nach Seriennummer auswählen, Bereichsangaben werden unterstützt

Nach erfolgreichem Hochladen erscheinen diese Zertifikate als Installationspunkte in der Hintergrundverwaltung, und clmBot generiert im config.yaml die entsprechende Konfiguration für jeden Installationspunkt.

Verfügbare Parameter

Parameter	Beschreibung
--yes / -y	Auswahl überspringen und alle Installationspunkte hochladen
--select	direkt die hochzuladende Sequenznummer angeben (all, none oder 1,3-5), schließt sich mit --yes gegenseitig aus
--skip-filter / -s	Filterung nach Zertifikatsdomains (SAN) überspringen, standardmäßig werden nur Zertifikate hochgeladen, die mit den in der Cloud erlaubten Domains übereinstimmen
--scan-docker / -d	Zusätzlich nginx-, Apache- und Tomcat-Konfigurationen in Docker-Containern scannen (nur Linux/macOS)
--scan-only	Nur alle Zertifikatsinstallationspunkte scannen und ausgeben, ohne Anmeldung und ohne Upload – geeignet für eine Vorschau vor der Bereitstellung

Docker-Container-Szenarien

Bei Verwendung von --scan-docker scannt clmBot die auf dem Host laufenden nginx-, Apache- und Tomcat-Container:

• Der Zertifikatspfad im Container muss auf dem Host gemountet und beschreibbar sein, andernfalls wird dieser Installationspunkt ignoriert.
• Die Zugriffspunkte der Installationspunkte werden anhand der vom Host veröffentlichten IP und des Ports generiert.
• Über die Umgebungsvariablen CLMBOT_NGINX_CONTAINERS, CLMBOT_APACHE_CONTAINERS und CLMBOT_TOMCAT_CONTAINERS können die zu scannenden Containernamen angegeben werden (mehrere Containernamen durch Semikolon trennen).

Installationspunkt manuell hinzufügen

Wenn Cloud-Zertifikate nicht auf dem Server bereitgestellt sind oder die automatische Erkennung sie nicht identifizieren kann, können Installationspunkte manuell hinzugefügt werden:

./clm-bot-linux-amd64 add-server 260101AABBCC pem

Der erste Parameter ist die Zertifikatsabonnementnummer, der zweite Parameter das Zertifikatsformat (pem, pfx, jks, iis oder exchange). Geben Sie den Anweisungen folgend nacheinander die Installationspunkt-ID und den Dateipfad des entsprechenden Formats ein.

add-server schreibt den Installationspunkt nur in die lokale config.yaml und lädt ihn nicht automatisch in die Cloud hoch. Wenn eine Synchronisierung mit der Cloud erforderlich ist, führen Sie anschließend sync-server aus.

Installationspunkte mit der Cloud synchronisieren

sync-server Laden Sie die Installationspunkte aus der lokalen Konfiguration in die Cloud hoch und verwenden Sie die von der Cloud zurückgegebene Abonnementnummer, um die lokale Konfiguration zu ergänzen oder zu kalibrieren:

./clm-bot-linux-amd64 sync-server

Nach der Ausführung werden die lokalen Installationspunkte aufgelistet. Wählen Sie anhand der Nummer das hochzuladende Element aus (ebenso unterstützt werden all, none, 1,3-5). Sie können auch --yes verwenden, um alle hochzuladen, oder --select, um direkt anzugeben.

Information

• Wenn die lokale Abonnementnummer leer ist, wird sie automatisch ergänzt; bei Abweichungen von der Cloud werden Konflikte aufgelistet und erst nach Bestätigung überschrieben.
• Installationspunkte im Exchange-Format werden derzeit nicht unterstützt.

Lokale Web-Konfigurationsseite

Wenn Sie mit der Befehlszeile nicht vertraut sind, können Sie setup verwenden, um die lokale Konfigurationsseite zu starten und Installationspunkte im Browser hinzuzufügen, zu bearbeiten und zu löschen:

./clm-bot-linux-amd64 setup

Nach der Ausführung wird eine Zugriffsadresse mit zufälligem Token ausgegeben (z. B. http://localhost:<端口>/setup?token=...). Öffnen Sie diese im Browser des Servers, um den Installationspunkt zu verwalten.

Hinweis

Die Konfigurationsseite überwacht nur die Loopback-Adresse des Servers und ist von anderen Hosts aus nicht erreichbar. Geben Sie die Zugriffsadresse mit Token nicht an Unbefugte weiter. Beenden Sie die Seite nach Abschluss mit Ctrl+C (oder wie angegeben).

Falls ein Port festgelegt werden soll, verwenden Sie den Parameter -a (z. B. setup -a localhost:8900). In älteren Browserumgebungen können Sie --legacy hinzufügen, um die reine HTML-Konfigurationsseite zu nutzen.

Zertifikatsinformationen des Installationspunkts anzeigen

query-certificate zeigt die aktuell bereitgestellten Zertifikatsinformationen der einzelnen Installationspunkte schreibgeschützt an (Antragsteller, Aussteller, Seriennummer), ohne Zertifikatsdateien zu verändern:

./clm-bot-linux-amd64 query-certificate

Standardmäßig werden alle Installationspunkte abgefragt. Mit dem Parameter -i können Sie eine Installationspunkt-ID angeben, z. B. query-certificate -i nginx_pem.

Nächste Schritte

Konfigurieren Sie nach der Bereitstellung des Installationspunkts die Methode zur Zertifikatsverlängerung. Siehe Methode zur Zertifikatsverlängerung.