Systèmes d'Informations, infrastructure, R&D » Sécurité du Système d'Information IAS

h1. Certificats ACME - HARICA

h2. Pointeurs utiles

https://services.renater.fr/tcs/acme

h2. Configuration pour la création de certificats avec renouvellement automatique

Le serveur utilisé est inf-mirror

! à faire la première fois : 

<pre>

 certbot register --email ssi.ias@universite-paris-saclay.fr --agree-tos --server https://acme-v02.harica.gr/acme/24a95669-716c-4eb7-b35f-4508ed5ffa28/directory --eab-kid ****** --eab-hmac-key ******

</pre>

eab-kid et eab-hmac ont été fournis par la DI U-PSACLAY

Les certificats (et leur clé privée associée) sont centralisés dans : 

<pre><code class="text">

/usr/local/shell/cert_acme

</code></pre>

h3. Création d'un certificat avec certbot

h4. Sans CSR

<pre>

root@inf-mirror:/usr/local/shell/cert_acme# certbot certonly --server https://acme-v02.harica.gr/acme/24a95669-716c-4eb7-b35f-4508ed5ffa28/directory -d "*.plato-sas.ias.u-psud.fr" -d *.plato-sas.ias.u-psud.fr

Saving debug log to /var/log/letsencrypt/letsencrypt.log

How would you like to authenticate with the ACME CA?

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -

1: Runs an HTTP server locally which serves the necessary validation files under

the /.well-known/acme-challenge/ request path. Suitable if there is no HTTP

server already running. HTTP challenge only (wildcards not supported).

(standalone)

2: Saves the necessary validation files to a .well-known/acme-challenge/

directory within the nominated webroot path. A separate HTTP server must be

running and serving files from the webroot path. HTTP challenge only (wildcards

not supported). (webroot)

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -

Select the appropriate number [1-2] then [enter] (press 'c' to cancel): 2

Requesting a certificate for *.plato-sas.ias.u-psud.fr

Successfully received certificate.

Certificate is saved at: /etc/letsencrypt/live/plato-sas.ias.u-psud.fr/fullchain.pem

Key is saved at:         /etc/letsencrypt/live/plato-sas.ias.u-psud.fr/privkey.pem

This certificate expires on 2027-05-23.

These files will be updated when the certificate renews.

Certbot has set up a scheduled task to automatically renew this certificate in the background.

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -

If you like Certbot, please consider supporting our work by:

 * Donating to ISRG / Let's Encrypt:   https://letsencrypt.org/donate

 * Donating to EFF:                    https://eff.org/donate-le

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -

</pre>

Certificat ici : 

<pre>

root@inf-mirror:/etc/letsencrypt/archive/plato-sas.ias.u-psud.fr# ll

total 20

-rw-r--r-- 1 root root 1765 Nov  5 15:02 cert1.pem

-rw-r--r-- 1 root root 2445 Nov  5 15:02 chain1.pem

-rw-r--r-- 1 root root 4210 Nov  5 15:02 fullchain1.pem

-rw------- 1 root root  241 Nov  5 15:02 privkey1.pem

root@inf-mirror:/etc/letsencrypt/archive/plato-sas.ias.u-psud.fr# cp privkey1.pem plato-sas.ias.u-psud.fr.key

root@inf-mirror:/etc/letsencrypt/archive/plato-sas.ias.u-psud.fr# cp fullchain1.pem plato-sas.ias.u-psud.fr.pem

root@inf-mirror:/etc/letsencrypt/archive/plato-sas.ias.u-psud.fr# ll

total 32

-rw-r--r-- 1 root root 1765 Nov  5 15:02 cert1.pem

-rw-r--r-- 1 root root 2445 Nov  5 15:02 chain1.pem

-rw-r--r-- 1 root root 4210 Nov  5 15:02 fullchain1.pem

-rw------- 1 root root  241 Nov  5 15:05 plato-sas.ias.u-psud.fr.key

-rw-r--r-- 1 root root 4210 Nov  5 15:06 plato-sas.ias.u-psud.fr.pem

-rw------- 1 root root  241 Nov  5 15:02 privkey1.pem

</pre>

h4. Avec CSR existant

h2. Option : interface HARICA

https://cm.harica.gr/

Se connecter avec l'identifiant ADONIS (gestion des domaines gérés par les DNS de la DI)

h3. Créer un nouveau certificat

Certificate Requests -> Server

* Entrer le nom de domaine pour un wildcard (ou le nom de la machine précis)

* Sélectionner certificat OV

* Il faut rentrer une passphrase (obligatoire à partir de la UI - à voir si c'est le cas aussi en CLI ?)

* Sélectionner auto-generated CSR

* Ensuite il faut télécharger le clé privée qui a été générée

Pui le certificat passe en statut "pending" le temps qu'il soit validé par a DSI Univ

Une fois validé, on reçoit un mail et on peut récupérer le certificat depuis l'interface

h2. Configuration d'ACME pour les certificats existants