Was ist ACME?

Automatic Certificate Management Environment (ACME) ist ein Protokoll, das die Anforderung, Validierung, Ausstellung und Erneuerung digitaler Zertifikate zwischen einem Client und einer Zertifizierungsstelle (CA) automatisiert. Es ersetzt die manuelle Zertifikatsregistrierung durch einen API-gesteuerten Austausch, und „ Versa “-Geräte können es ab Release 22.1.3 als Zertifikatsservertyp nutzen.

Die wichtigsten Erkenntnisse

• ACME automatisiert die Ausstellung, Validierung und Erneuerung von Zertifikaten über eine API.
• Damit entfallen die manuellen Schritte zur CSR-Erstellung und zum Importieren von Zertifikaten.
• Die Kontrolle über Domänen oder Geräte wird durch automatisierte Sicherheitsabfragen nachgewiesen.
• Die IETF hat ACME in RFC 8555 standardisiert; Let’s Encrypt hat es populär gemacht.
• Versa Die Geräte unterstützen ACME als Zertifikatsservertyp seit Release 22.1.3.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · ACME & Versa · Häufig gestellte Fragen

Warum ist ACME wichtig?

Jedes TLS-Zertifikat hat ein Ablaufdatum, und wenn ein Zertifikat unbemerkt abläuft, fällt der dahinterstehende Dienst aus – eine häufige, vermeidbare Ursache für Ausfälle. Vor der Einführung von ACME musste ein Administrator, um die Zertifikate auf dem neuesten Stand zu halten, eine CSR generieren, diese bei einer Zertifizierungsstelle einreichen und das Ergebnis importieren, bevor das alte Zertifikat ablief. Dieser Vorgang musste für jeden Host und jeden Verlängerungszyklus wiederholt werden.

ACME wandelt diesen manuellen Arbeitsablauf in einen automatisierten API-Austausch um. Ein Client fordert ein Zertifikat an, weist die Kontrolle über eine Kennung nach und erhält ein signiertes Zertifikat, ohne dass ein Mensch in den Prozess eingreifen muss – anschließend erneuert er es auf dieselbe Weise, so oft wie nötig. Diese Automatisierung machte kurzlebige Zertifikate in großem Maßstab praktikabel: Die kostenlose, ACME-basierte Zertifizierungsstelle von Let’s Encrypt trieb die massenhafte Einführung von HTTPS voran, und dasselbe Muster erstreckt sich nun auch auf interne PKI-Umgebungen, IoT-Geräteflotten und Netzwerkgeräte, die eine routinemäßige Zertifikatsrotation erfordern.

Was ist ACME?

Ein ACME-Austausch findet zwischen einem ACME-Client (dem Gerät oder der Software, die ein Zertifikat anfordert) und einem ACME-Server statt, der von einer Zertifizierungsstelle betrieben wird. Der Client registriert mithilfe eines Schlüsselpaars ein Konto bei der Zertifizierungsstelle und reicht anschließend einen Auftrag ein, in dem er eine oder mehrere Kennungen – in der Regel Domainnamen – angibt, die zertifiziert werden sollen.

Um nachzuweisen, dass er über diese Identifikatoren verfügt, erfüllt der Client eine oder mehrere von der Zertifizierungsstelle gestellte Herausforderungen. Sobald die Validierung erfolgreich abgeschlossen ist, sendet der Client eine CSR für die Bestellung, und die Zertifizierungsstelle stellt das signierte Zertifikat zum Herunterladen bereit. Jede Nachricht ist eine JSON-Web-Signatur-Anfrage (JWS) über HTTPS, sodass der gesamte Lebenszyklus – Bestellung, Validierung, Fertigstellung, Download und spätere Verlängerung – abläuft, ohne dass ein Mensch Dateien erstellen oder jeden Schritt manuell genehmigen muss.

Arten von ACME-Herausforderungen

ACME definiert mehrere Arten von Herausforderungen, um die Kontrolle über eine Kennung nachzuweisen. Bei HTTP-01 muss der Client ein Token unter einer bekannten URL auf Port 80 bereitstellen, das die Zertifizierungsstelle abruft, um die Kontrolle über den Webserver zu bestätigen. Bei DNS-01 veröffentlicht der Client einen TXT-Eintrag unter der Domain – dies funktioniert auch ohne öffentlichen Webserver und ist die einzige Option für Wildcard-Zertifikate. Bei TLS-ALPN-01 wird das Token während eines TLS-Handshakes auf Port 443 in einem selbstsignierten Zertifikat präsentiert.

Neben den Herausforderungsarten hat ACME auch verschiedene Protokollversionen durchlaufen: Das ursprüngliche ACMEv1, das von frühen Let’s Encrypt-Clients verwendet wurde, ist veraltet, und ACMEv2, das in RFC 8555 standardisiert wurde, ist der aktuelle Stand – es bietet ein explizites Ressourcenbestellungsmodell und Unterstützung für Wildcard-Zertifikate, die in Version 1 fehlten.

ACME & Versa

VOS-Geräte unterstützen seit Release 22.1.3 ACME als einen der Zertifikatsservertypen neben CMP, SCEP, KMIP, GCP und CRL. Ein Administrator fügt es über den gerätebezogenen Zertifikatsmanager von Director hinzu (Konfiguration > Objekte & Konnektoren > Konnektoren > Zertifikatsmanager > Server), indem er den Servertyp „ACME“ auswählt und die Registrierungs-URL der Zertifizierungsstelle, ein Wiederholungsintervall sowie die Schnittstelle angibt, über die der Zugriff erfolgt. Mit Release 22.1.3 wurde außerdem „Default CSR“ eingeführt, das automatisch eine Signaturanforderung generiert, bei der die Geräte-ID als Common Name verwendet wird, anstatt jedes CSR-Attribut manuell eingeben zu müssen.

Die gleiche Option taucht auch bereits früher im Arbeitsablauf auf: Beim Anlegen eines „ Secure SD-WAN “-Mandanten in Concerto mit Zertifikatsauthentifizierung (Release 12.1.1+) wird ein Zertifikatsschritt hinzugefügt, in dem der Servertyp für die Zertifizierungsstelle des Mandanten auf ACME, CMP oder SCEP eingestellt werden kann. Sobald ein Server definiert ist, werden in den Zertifikatsanforderungen die Gültigkeitsdauer, ein Schalter für die automatische Verlängerung und ein Verlängerungsschwellenwert festgelegt – so wird das von ACME ausgestellte Zertifikat eines Geräts automatisch vor Ablauf neu ausgestellt, anstatt manuell nachverfolgt werden zu müssen.

Häufig gestellte Fragen

Wofür steht die Abkürzung ACME?

ACME steht für „Automatic Certificate Management Environment“ (auch „Automated Certificate Management Environment“ geschrieben) und ist in der IETF-RFC 8555 standardisiert. Es definiert eine API für die Anforderung, Validierung, Ausstellung und Erneuerung digitaler Zertifikate zwischen einem Client und einer Zertifizierungsstelle ohne manuelle Schritte.

Wie weist ACME die Kontrolle über eine Domain oder ein Gerät nach?

ACME stellt eine oder mehrere Herausforderungen – beispielsweise die Bereitstellung eines Tokens unter einer bestimmten URL (HTTP-01), die Veröffentlichung eines DNS-TXT-Eintrags (DNS-01) oder dessen Vorlage während eines TLS-Handshakes (TLS-ALPN-01). Die Zertifizierungsstelle stellt das Zertifikat erst aus, nachdem der Client eine Herausforderung erfolgreich gemeistert hat.

Unterstützt „ Versa “ ACME für die Zertifikatsausstellung?

Ja. Seit Release 22.1.3 können VOS-Geräte ACME als Zertifikatsservertyp verwenden, der pro Gerät im Zertifikatsmanager von Director konfiguriert wird, oder als CA-Typ für die Zertifikatsauthentifizierung eines „ Secure SD-WAN “-Mandanten in Concerto – neben den Servertypen CMP, SCEP, KMIP, GCP und CRL.

Was ist der Unterschied zwischen ACME, SCEP und CMP auf einem „ Versa “-Gerät?

Alle drei sind Zertifikatsservertypen, bei denen sich ein VOS-Gerät registrieren lassen kann: ACME ist das automatisierte, API-gesteuerte Protokoll der IETF; SCEP ist das Simple Certificate Enrollment Protocol; CMP ist das Certificate Management Protocol. „ Versa “ konfiguriert alle drei auf dieselbe Weise, nämlich als Auswahloption für den Servertyp im Zertifikatsserver-Objekt.

Wie erneuert ein VOS-Gerät ein ACME-Zertifikat automatisch?

Zertifikatsanforderungen auf einem VOS-Gerät unterstützen eine Umschaltfunktion für die automatische Verlängerung sowie einen Verlängerungsschwellenwert – einen Prozentsatz der Gültigkeitsdauer des Zertifikats, bei dessen Erreichen die Verlängerung automatisch ausgelöst wird, sodass das Gerät ein neues Zertifikat vom ACME-Server anfordert, bevor das aktuelle abläuft.

Mehr über ACME

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über ACME informieren, sollten Sie sich als Nächstes diese Artikel ansehen.