Wenn Zertifikatserneuerung manuell verfolgt wird, ist ein Ausfall nur eine Frage der Zeit.
In modernen Anwendungen ist ein TLS-Zertifikat nicht nur eine Sicherheitskomponente — es ist ein direkter Teil der Verfügbarkeit. Ein abgelaufenes Zertifikat bedeutet einen Vertrauensfehler auf der Benutzerseite, eine Verbindungsablehnung in API-Clients und in einigen Szenarien einen vollständigen Service-Ausfall. Der Fehler taucht typischerweise auf, während die Anwendung selbst einwandfrei läuft.
Kurzlebige Zertifikate verbessern die Sicherheit, erhöhen aber auch die operative Belastung. In einem 90-Tage-Zertifikatszyklus reicht ein manueller Kalender, eine E-Mail-Benachrichtigung oder ein externes Skript nicht aus. Selbst wenn das Zertifikat erneuert wurde, wenn es nicht auf den ADC angewendet wurde, bedient der laufende Dienst weiterhin das alte.
Unternehmensumgebungen benötigen auch mehr als eine CA. Wenn bei einer CA ein Rate-Limit, ein Kontoproblem oder ein Validierungsfehler auftritt, ist ein schneller Wechsel zu einem alternativen Anbieter erforderlich. Eine auf eine einzige CA gesperrte Architektur macht Zertifikatsoperationen unnötig fragil.
In HA-Architekturen ist das Problem kritischer. Wenn zwei Geräte versuchen, Zertifikate für dieselbe Domain mit separaten ACME-Konten auszustellen, entstehen Rate-Limit- und Inkonsistenzrisiken. Zertifikatskonten, Thumbprints und Erneuerungsstatus müssen über HA-Knoten synchron gehalten werden.
TR7 ADC bringt ACME-Zertifikatsausstellung und -erneuerung — einschließlich Kontoregistrierung, Schwellenwert-Kontrolle, Diff-Erkennung, automatische Prüfung und HA-Sharing — in den integrierten Zertifikatsverwaltungsflow des Geräts.
Unser Ansatz
TR7 behandelt ACME-Zertifikatserneuerung nicht als einmaliges Skript, sondern als kontrollierten, wiederholbaren Teil des Zertifikatslebenszyklus.
ACME-Einstellungen sind an ein typensicheres Zertifikatsprofil gebunden
E-Mail-Adresse, CA-Auswahl, Domain-Liste, Schlüsseltyp und EAB-Zugangsdaten werden unter derselben Struktur gehalten. Fehlende oder ungültige Felder werden zum Registrierungszeitpunkt abgefangen. Der Erneuerungsflow verlässt sich daher auf ein validiertes Zertifikatsobjekt statt auf Ad-hoc-Befehlsparameter.
Automatische Prüfungen scannen das Erneuerungsfenster zweimal täglich
TR7 prüft Zertifikate zweimal täglich — morgens und abends. Wenn die verbleibenden Tage unter den per-Zertifikat-Erneuerungsschwellenwert fallen, startet der Erneuerungsflow. Der Operator muss keinen Kalender führen oder einen externen Cron-Job schreiben.
Wenn sich der Konfigurations-Fingerabdruck ändert, werden Issue und Renew getrennt
Wenn sich CA, Domain-Liste oder Schlüsseltyp ändern, behandelt TR7 dies als neue Zertifikatsausstellung. Wenn dieselbe Konfiguration beibehalten wird, läuft nur der Erneuerungsflow. Diese Unterscheidung verhindert falsches Renew-Verhalten beim Hinzufügen einer Domain oder Ändern eines Schlüsseltyps.
Kontozugangsdaten werden zwischen HA-Knoten geteilt
Der ACME-Konto-Thumbprint wird mit dem HA-Peer-Knoten geteilt. Beide Geräte verhalten sich daher konsistent und verwenden dasselbe CA-Konto. Das Rate-Limit-Risiko wird reduziert und das Zertifikatsmanagement bleibt bei aktiv-passiven Failovers in derselben Kontokette.
Fähigkeiten
ACME-Zertifikatserneuerung bringt CA-Auswahl, Kontoregistrierung, automatische Erneuerung, HA-Sharing und Audit-Sichtbarkeit in einen einzigen Zertifikatsverwaltungsflow.
Vier Zertifizierungsstellen werden über dasselbe Panel verwaltet
TR7 ADC unterstützt vier CA-Optionen: Let's Encrypt, ZeroSSL, SSL.com und Google Trust Services. Der Operator wählt den Anbieter beim Erstellen über das Zertifikatsprofil aus. Dies reduziert die Abhängigkeit von einem einzigen Anbieter. Eine andere CA kann für Unternehmenskonten, Tests oder Dienste bevorzugt werden, die eine andere Vertrauenskette erfordern.
HTTP-01-Validierung stellt Single-Domain-Zertifikate schnell aus
HTTP-01-Challenge validiert die Domain über Web-Traffic. Wenn Port 80 erreichbar ist, kann ein Zertifikat ohne zusätzliche DNS-Integration ausgestellt werden. Dies ermöglicht schnelles Onboarding, insbesondere für Single-Domain- und Standard-vService-Szenarien. Wildcard-Zertifikate nehmen stattdessen den DNS-01-Weg.
DNS-01-Validierung — ein Wildcard, das sich selbst erneuert
Wählen Sie DNS-01 statt HTTP-01, benennen Sie Ihren DNS-Anbieter und hinterlegen Sie die API-Zugangsdaten einmal: Ab dann weist die Appliance den Besitz über einen DNS-Eintrag nach, den sie selbst veröffentlicht — der einzige Weg zu einem Wildcard-Zertifikat. Ein `*.firma.de` deckt jeden Host ab, den Sie noch gar nicht angelegt haben, und derselbe zweimal tägliche Erneuerungslauf hält es aktuell: kein offener Port 80, kein Onboarding je Host, keine Erinnerung in irgendeinem Kalender.
EAB-Zugangsdaten binden Unternehmens-CA-Konten automatisch
Für CA-Konten, die EAB erfordern, werden Key-ID und HMAC-Zugangsdaten im Zertifikatsprofil gespeichert. Der Operator gibt diese über die Oberfläche ein; TR7 generiert die Authentifizierungsbefehle automatisch. Dies reduziert manuelle Befehlsfehler in Setups, die Unternehmens-CA-Konten verwenden. Der Onboarding-Prozess wird besonders für kontobasierte ACME-Anbieter vereinfacht.
Multi-Domain-SAN-Zertifikate werden unter einem einzigen Objekt gehalten
Ein Zertifikat kann mehrere Domains enthalten. Die Domain-Liste wird als Array im Zertifikatsobjekt gespeichert und jede Domain wird mit ihrem eigenen Parameter im Validierungsflow verarbeitet. Wenn eine Domain hinzugefügt wird, erkennt TR7 dies als Konfigurationsänderung. Der Neuausstellungsflow läuft dann mit dem neuen Domain-Set, anstatt das bestehende Zertifikat fälschlicherweise zu erneuern.
Per-Zertifikat-Erneuerungsschwellenwert ermöglicht frühzeitige Erneuerungskontrolle
Ein Erneuerungsschwellenwert in Tagen kann pro Zertifikat gesetzt werden. Eine frühere Erneuerungsrichtlinie — wie 60 Tage — kann für kritische Dienste angewendet werden; ein kürzeres Fenster kann für Standarddienste gewählt werden. TR7 vergleicht die verbleibenden Tage mit diesem Schwellenwert. Wenn der Schwellenwert überschritten wird, beginnt die automatische Erneuerung.
Zwei automatische tägliche Prüfungen führen die Zertifikatsverfolgung im Hintergrund durch
TR7 führt die Zertifikatserneuerungsprüfung zweimal täglich durch: um 07:00 und 22:00 Uhr. Dieser Flow verarbeitet nur Zertifikate, deren Erneuerungsfenster erreicht wurde. Der Operator muss keinen externen Cron-Job, kein Shell-Skript oder manuelle Checkliste führen. Die Zertifikatserneuerung wird Teil des regulären Wartungszyklus des Geräts.
Das ACME-Konto wird bei der ersten Verwendung automatisch registriert
Wenn ein Zertifikatsprofil zum ersten Mal verwendet wird und das entsprechende CA-Konto noch nicht existiert, initiiert TR7 die Kontoregistrierung automatisch. Der Konto-Thumbprint wird extrahiert und dauerhaft gespeichert. Dasselbe Konto wird dann für nachfolgende Zertifikatsoperationen wiederverwendet. Der Operator muss keinen separaten Kontoregistrierungsprozess verwalten.
Issue und Renew werden durch Konfigurations-Hash getrennt
TR7 erzeugt einen Konfigurations-Fingerabdruck aus CA-Auswahl, Schlüsseltyp und Domain-Liste. Wenn dieser Fingerabdruck mit dem vorherigen Wert übereinstimmt, läuft der Erneuerungsflow; wenn er abweicht, wird ein neues Zertifikat ausgestellt. Dieses Verhalten wählt die richtige Aktion, wenn sich die Domain-Liste oder der Schlüsseltyp ändert. Das Zertifikatsmanagement verlässt sich auf Änderungserkennung statt auf Annahmen.
HA-Cluster-Thumbprint-Sharing reduziert das Rate-Limit-Risiko
In einer HA-Umgebung teilen beide Knoten dieselben CA-Kontozugangsdaten. Dies verhindert, dass aktive und passive Geräte wiederholt Operationen für dieselbe Domain mit unabhängigen Konten durchführen. Rate-Limit- und Kontokonflikt-Risiko sinkt. Nach einem Failover setzt das Zertifikatsmanagement innerhalb derselben Kontokette fort.
Der moderne Schlüsseltyp ist der Standard; Alternativen sind wählbar
Der Standard-Schlüsseltyp ist ec-256. Der Operator kann ec-384 oder RSA-basierte Schlüssellängen nach Bedarf wählen. Dies bewahrt schnelle Handshakes für moderne Clients, während die RSA-Option für Clients verfügbar bleibt, die Legacy-Kompatibilität erfordern. Eine Schlüsseltypänderung wird als neuer Ausstellungsflow behandelt.
Prozessausgabe wird live gestreamt und der Fehlergrund ist sichtbar
Während der Zertifikatsausstellung oder -erneuerung wird die Prozessausgabe Zeile für Zeile an die Oberfläche gestreamt. Validierungsfehler, Rate-Limits, Domain-Erreichbarkeitsprobleme oder EAB-Probleme sind für den Operator sichtbar. Dies nimmt die Zertifikatserneuerung aus der Schwarz-Box-Kategorie. Die Fehlerbehebungszeit wird reduziert.
Benutzer-Log und Audit-Trail machen Zertifikatsoperationen nachverfolgbar
Kontoregistrierung, Ausstellung, Erneuerung, Erfolgs- und Fehlerereignisse werden in das Benutzer-Log und den Audit-Stream geschrieben. Es ist möglich zu sehen, welche Operation für welches Zertifikat wann ausgeführt wurde. Mit SIEM-Integration werden Zertifikatserneuerungsereignisse an das zentrale Überwachungssystem weitergeleitet. Der Zertifikatslebenszyklus wird für Compliance-Teams nachweisbar.
Operative Tiefe
Der ACME-Erneuerungsflow tut mehr als ein Zertifikat abzurufen — er arbeitet neben Kontospeicherung, Prozessisolation, Timeout-Handling, HA-Sharing und Fehlerverwaltung.
Kontoverzeichnis-Isolierung
Jede CA- und E-Mail-Kombination wird in ihrem eigenen Kontoverzeichnis gehalten. Dies verhindert, dass Kontozugangsdaten verschiedener Anbieter sich vermischen. Mehrere CA-Konten können sicher auf demselben Gerät verwaltet werden.
Prozess-Timeout-Kontrolle
Eine Zeitobergrenze wird auf Zertifikatsausstellungs- und -erneuerungsoperationen angewendet. Prozesse, die lang laufen oder stecken bleiben, bleiben nicht auf unbestimmte Zeit offen. Timeout, vom Benutzer initiiertes Stoppen und Prozessabschluss werden als separate Zustände behandelt.
Netzwerk-Namespace-Bewusstsein
In Multi-Tenant-Setups und Konfigurationen mit separaten Routing-Tabellen können ACME-Operationen über den korrekten Netzwerk-Namespace ausgeführt werden. Challenge-Traffic verlässt daher über den Ausgangsweg des relevanten Tenants oder der Zone. Dies reduziert Zertifikats-Validierungsfehler in Multi-Netzwerk-Architekturen.
Dateiextraktion und -import
Wenn die Zertifikatsausstellung abgeschlossen ist, werden die Speicherorte des Zertifikats, der vollständigen Kette und der privaten Schlüsseldateien aus der Prozessausgabe erfasst. TR7 liest diese Dateien und importiert sie in seinen eigenen Zertifikats-Store. Das erneuerte Zertifikat wird somit dem ADC verfügbar gemacht.
Thumbprint-Persistenz
Der ACME-Konto-Thumbprint wird in dauerhaftem Speicher gespeichert. Selbst wenn das Gerät neu startet, geht die Kontokette nicht verloren. HA-Sharing setzt ebenfalls basierend auf diesen dauerhaften Informationen fort.
Benachrichtigung und SIEM
Wenn die Zertifikatserneuerung fehlschlägt, wird das Fehlerereignis protokolliert und kann an den zentralen Überwachungsstream weitergeleitet werden. Ein Zertifikat, das dem Ablaufen nahe kommt, kann zusätzlich mit dem Benachrichtigungssystem verknüpft werden. Dies ermöglicht es, das Operations-Team zu warnen, bevor das Zertifikat abläuft.
Wann zu verwenden
Automatische Erneuerung für E-Commerce-Domains
Single-Domain-Zertifikate für öffentliche Web- und Zahlungs-vServices werden via HTTP-01 ausgestellt. TR7 prüft den Erneuerungsschwellenwert zweimal täglich und erneuert das Zertifikat, wenn das Ablaufdatum naht.
Multi-Tenant-SaaS-Kunden-Subdomain-Zertifikate
Jeder Tenant bringt seine eigene Subdomain mit. TR7 speichert die Domain-Liste im Zertifikatsobjekt und bindet sie über SNI an den relevanten vService. Zertifikate werden im Hintergrund erneuert.
Unternehmens-CA-Konto mit EAB-Anforderung
Ein Unternehmens-CA-Anbieter benötigt EAB-Zugangsdaten. Der Operator definiert Key-ID und HMAC im Zertifikatsprofil; TR7 führt Kontoregistrierung und Zertifikatsausstellung automatisch durch.
Einzelnes ACME-Konto über einen HA-Cluster
In einem aktiv-passiven TR7-Paar teilen beide Geräte denselben CA-Konto-Thumbprint. Zertifikatsoperationen bleiben konsistent und das Risiko unnötiger Neuvalidierung wird reduziert.
Erneuerungsnachweis für Compliance
Zertifikatsausstellungs- und -erneuerungsereignisse werden im Audit-Log erfasst. Bei einem Audit ist es möglich zu zeigen, welches Zertifikat wann erneuert wurde und welches Benutzer- oder Systemereignis die Operation ausgelöst hat.
Tenant-Zertifikat in einem separaten Netzwerk-Namespace
Wenn der Validierungsverkehr eines Tenants über seinen eigenen Netzwerk-Namespace ausgehen muss, wird die ACME-Operation in diesem Kontext ausgeführt. Multi-Tenant-Routentrennung wird beibehalten, während die Zertifikatserneuerung abgeschlossen wird.
Häufig gestellte Fragen
Welche ACME-Zertifizierungsstellen unterstützt TR7?
Wann wird die automatische Erneuerung ausgelöst?
Was passiert, wenn sich die Domain-Liste oder der Schlüsseltyp ändert?
Wie teilen zwei HA-Geräte dasselbe CA-Konto?
Erfordert HTTP-01-Validierung zusätzliche Infrastruktur?
Können Zertifikatserneuerungsoperationen auditiert werden?
Zertifikatserneuerung zum Teil des ADC machen
Vier CAs, EAB, HA-Thumbprint-Sharing und zweimal tägliche automatische Prüfungen — in einem einzigen Zertifikatsverwaltungsflow. Lassen Sie uns ein Live-Setup in Ihrer eigenen Umgebung durchgehen.