Einführung in SSL-Zertifikate introduction
Erfahren Sie mehr über die Self-Service-Tools, die Cloud Manager Ihnen zur Installation und Verwaltung von SSL(Secure Socket Layer)-Zertifikaten bereitstellt.
Was sind SSL-Zertifikate? overview
Unternehmen und Organisationen verwenden SSL(Secure Socket Layer)-Zertifikate, um ihre Websites sicher zu machen, damit ihre Kundinnen und Kunden ihnen vertrauen können. Um das SSL-Protokoll verwenden zu können, erfordert ein Webserver ein SSL-Zertifikat.
Wenn eine Organisation oder ein Unternehmen ein Zertifikat von einer Zertifizierungsstelle (ZS) anfordert, führt die Zertifizierungsstelle einen Überprüfungsprozess durch. Dieser Prozess kann von der Überprüfung der Namenskontrolle der Domains bis zur Erfassung von Unternehmensregistrierungsdokumenten und Abonnentenvereinbarungen reichen. Sobald die Informationen eines Unternehmens oder einer Organisation verifiziert wurden, signiert die Zertifizierungsstelle den entsprechenden öffentlichen Schlüssel mithilfe des privaten Schlüssels der Zertifizierungsstelle. Da alle wichtigen Zertifizierungsstellen über Stammzertifikate in Webbrowsern verfügen, wird das Zertifikat der Organisation oder des Unternehmens über eine Vertrauenskette verknüpft und vom Webbrowser als vertrauenswürdiges Zertifikat erkannt.
Verwalten von Zertifikaten mit Cloud Manager cloud-manager
Cloud Manager bietet Self-Service-Tools zum Installieren und Verwalten von SSL(Secure Socket Layer)-Zertifikaten, die die Site für Benutzende sicher machen. Cloud Manager unterstützt zwei Modelle für die Verwaltung Ihrer Zertifikate.
Beide Modelle bieten die folgenden allgemeinen Funktionen für die Verwaltung Ihrer Zertifikate:
- Jede Cloud Manager-Umgebung kann mehrere Zertifikate verwenden.
- Ein privater Schlüssel kann mehrere SSL-Zertifikate ausstellen.
- Der Plattform-TLS-Service leitet Anfragen basierend auf dem zum Beenden verwendeten SSL-Zertifikat und dem CDN-Service, der diese Domain hostet, an den CDN-Service der Kundin bzw. des Kunden weiter.
Von Adobe verwaltete SSL-Zertifikate (DV) adobe-managed
DV-Zertifikate stehen für die einfachste SSL-Zertifizierungsstufe und werden häufig zu Testzwecken oder zum Schützen von Websites mit einer einfachen Verschlüsselung verwendet. DV-Zertifikate sind in Produktions- und Sandbox-Programmen verfügbar.
Nachdem das DV-Zertifikat erstellt wurde, erneuert Adobe es automatisch alle drei Monate, es sei denn, es wird gelöscht.
Kundenseitig verwaltete SSL-Zertifikate (OV/EV) customer-managed
OV- und EV-Zertifikate bieten CA-validierte Informationen. Mithilfe dieser Informationen können Benutzende bewerten, ob die Eigentümerin bzw. der Eigentümer der Website, die Absenderin bzw. der Absender der E-Mail oder die digitale Unterzeichnerin bzw. der digitale Unterzeichner von Code- oder PDF-Dokumenten vertrauenswürdig ist. DV-Zertifikate erlauben keine solche Prüfung der Eigentümerschaft.
OV und EV bieten diese Funktionen zusätzlich über DV-Zertifikate in Cloud Manager an.
- Ein OV/EV-Zertifikat kann von mehreren Umgebungen verwendet werden. Es wird also nur einmal hinzugefügt, kann aber mehrmals verwendet werden.
- Jedes OV/EV-Zertifikat enthält normalerweise mehrere Domains.
- Cloud Manager akzeptiert Platzhalter-OV/EV-Zertifikate für eine Domain.
Anforderungen für kundenseitig verwaltete OV/EV-SSL-Zertifikate requirements
Wenn Sie sich dafür entscheiden, Ihr eigenes kundenseitig verwaltetes SSL-Zertifikat hinzuzufügen, muss es die folgenden aktualisierten Anforderungen erfüllen:
-
DV(Domain Validation)-Zertifikate und selbstsignierte Zertifikate werden nicht unterstützt.
-
Das Zertifikat muss den Richtlinien der OV (Organization Validation) oder EV (Extended Validation) entsprechen.
-
Das Zertifikat muss ein X.509-TLS-Zertifikat sein, das von einer vertrauenswürdigen Zertifizierungsstelle (ZS) ausgestellt wurde.
-
Folgende Kryptografieschlüsseltypen werden unterstützt:
- RSA 2048-Bit, Standardunterstützung.
RSA-Schlüssel, die größer als 2048 Bit sind (z. B. 3072-Bit- oder 4096-Bit-RSA-Schlüssel), werden derzeit nicht unterstützt. - Elliptic Curve(EC)-Schlüssel
prime256v1(secp256r1) undsecp384r1. - Elliptic Curve Digital Signature Algorithm(ECDSA)-Zertifikate. Solche Zertifikate sind gemäß Adobe-Empfehlung RSA vorzuziehen, um die Leistung, Sicherheit und Effizienz zu verbessern.
- RSA 2048-Bit, Standardunterstützung.
-
Zertifikate müssen korrekt formatiert sein, damit die Validierung erfolgreich ist. Private Schlüssel müssen im
PKCS#8-Format vorliegen.
secp256r1 oder secp384r1) zu verwenden.Best Practices für die Zertifikatsverwaltung
-
Vermeiden von sich überschneidenden Zertifikaten:
- Um eine reibungslose Zertifikatsverwaltung sicherzustellen, sollten Sie die Bereitstellung sich überschneidender Zertifikate vermeiden, die derselben Domain entsprechen. Beispielsweise kann ein Platzhalterzertifikat (*.example.com) neben einem bestimmten Zertifikat (dev.example.com) zu Verwirrung führen.
- Die TLS-Ebene priorisiert das spezifischste und zuletzt bereitgestellte Zertifikat.
Beispielszenarien:
-
Ein „Dev-Zertifikat“ umfasst
dev.example.comund wird als Domain-Zuordnung fürdev.example.combereitgestellt. -
Das „Staging-Zertifikat“ umfasst
stage.example.comund wird als Domain-Zuordnung fürstage.example.combereitgestellt. -
Wenn das „Staging-Zertifikat“ nach dem „Dev-Zertifikat“ bereitgestellt/aktualisiert wird, bedient es auch Anfragen für
dev.example.com.Um solche Konflikte zu vermeiden, stellen Sie sicher, dass Zertifikate genau auf ihre vorgesehenen Domains beschränkt bleiben.
-
Platzhalterzertifikate
Platzhalterzertifikate (z. B.
*.example.com) werden zwar unterstützt, sollten aber nur verwendet werden, wenn dies notwendig ist. Bei Überschneidungen hat das spezifischere Zertifikat Vorrang. Beispielsweise bedient das spezifische Zertifikatdev.example.comanstelle des Platzhalters (*.example.com). -
Validierung und Fehlerbehebung:
Bevor Sie versuchen, ein Zertifikat mit Cloud Manager zu installieren, empfiehlt Adobe, die Integrität Ihres Zertifikats lokal mit Tools wieopensslzu überprüfen. Zum Beispiel:openssl verify -untrusted intermediate.pem certificate.pem
Format für kundenseitig verwaltete Zertifikate certificate-format
SSL-Dateien müssen im PEM-Format vorliegen, damit sie in Cloud Manager installiert werden können. Häufige Dateierweiterungen des PEM-Formats umfassen .pem,, crt, .cer und .cert.
Folgende openssl-Befehle können zum Konvertieren von Nicht-PEM-Zertifikaten verwendet werden.
-
Konvertieren von PFX in PEM
code language-shell openssl pkcs12 -in certificate.pfx -out certificate.cer -nodes -
Konvertieren von P7B in PEM
code language-shell openssl pkcs7 -print_certs -in certificate.p7b -out certificate.cer -
Konvertieren von DER in PEM
code language-shell openssl x509 -inform der -in certificate.cer -out certificate.pem
Begrenzung der Anzahl installierter SSL-Zertifikate limitations
Cloud Manager unterstützt immer bis zu 50 installierte Zertifikate. Diese Zertifikate können mit einer oder mehreren Umgebungen in Ihrem Programm verknüpft sein und auch abgelaufene Zertifikate enthalten.
Wenn Sie den Grenzwert erreicht haben, überprüfen Sie Ihre Zertifikate und löschen Sie ggf. abgelaufene Zertifikate. Oder gruppieren Sie mehrere Domains im selben Zertifikat, da ein Zertifikat mehrere Domains (bis zu 100 SANs) abdecken kann.
Weitere Informationen learn-more
Benutzende mit den erforderlichen Berechtigungen können Cloud Manager verwenden, um SSL-Zertifikate für ein Programm zu verwalten. Weitere Details zur Verwendung dieser Funktionen finden Sie in den folgenden Dokumenten.