Domäner utan DNS-API

Gör domänen klar utan en API-nyckel till er DNS.

Domänen finns hos en leverantör utan DNS-API

AutoDNS (CNAME) fungerar hos alla DNS-leverantörer. Ni skapar en fast CNAME-post och valideringen går via sslbrain Cloud (EU).

Det här behöver ni

Namnen som certifikatet ska omfatta.
Behörighet att skapa DNS-poster hos leverantören.

Skapa den fasta DNS-posten

Öppna Utfärdande › Domäner och klicka på Gör klar vid domänen.
Kopiera den visade CNAME-posten till er DNS. Det behövs en post per namn. Domänen och dess wildcard använder samma post. Se namn och värde i steg 6.
Ange namnen i domäntestet och klicka på Kontrollera domän. Låt CNAME-posten ligga kvar för förnyelserna.

Kontrollera att det fungerar

Domäntestet visar Klar för certifikat. Ni kan nu välja certifikatkälla och skapa installationsplanen.

Om det inte fungerar

Testet visar felaktig eller saknad CNAME → rätta posten efter värdet under Gör klar. Se felsökning i steg 6.
Appliancen når inte sslbrain Cloud → kontrollera anslutningen under första konfigurationen.
Ni behöver ändra poster på er egen DNS-server → använd uppgifterna för er egen DNS-server nedan.
En DNS-API-åtkomst misslyckas → öppna den under Servrar › Åtkomstuppgifter. Använd Testa åtkomst för en REST-leverantör. RFC 2136 och skript testas vid utfärdandet. Läs resultatet i körningen under Installationsplaner › Körningar.

När ni vill uppdatera er egen DNS-server

En DNS-server som BIND kan uppdateras med nsupdate enligt RFC 2136. Appliancen måste nå servern. TSIG-nyckeln ska ha behörighet att skapa och radera valideringsposterna, och en offentlig CA ska kunna läsa dem i offentlig DNS.

Formuläret för att skapa åtkomst visar bara inbyggda leverantörer. En ägare öppnar Utfärdande › Domäner › DNS-leverantörer › Lägg till DNS-leverantör, ger åtkomsten ett Namn, väljer Hetzner DNS och anger ett tillfälligt värde i Hetzner DNS API Token. Klicka på Testa och spara och sedan Spara ändå när testet misslyckas.

Öppna åtkomsten under Servrar › Åtkomstuppgifter. Välj native (RFC 2136 nsupdate) under Executor-adapter, fyll i fälten nedan och Zonbindningar (en per rad) och klicka på Spara. Den här adaptern använder inte det tillfälliga tokenvärdet.

Fält	Innehåll
Namnserver (server)	DNS-serverns namn eller adress
Zon	Zonen, till exempel `example.se`
TSIG-algoritm	Till exempel `hmac-sha256`, som är standard
TTL (sekunder)	5 till 86400, standard 60
Användarnamn	TSIG-nyckelns namn
Lösenord / Nyckel	TSIG-nyckelns hemlighet i base64

När leverantören har ett API som saknas i listan

En ägare ger åtkomsten ett Namn och väljer Ny anpassad REST DNS-leverantör… under DNS-leverantör i formuläret. Använd leverantörens API-dokumentation för fälten:

Avsnitt	Det som ska beskrivas
Leverantören	Namn, beskrivning och Base-URL med HTTPS på en offentlig adress
Inloggning	Auth-typ och tillhörande headers eller query-parametrar
Zoner	Sökväg till zonlistan och JSON-paths till listan, zon-id och zonnamn
Skapa record	Metod, sökväg, JSON-body och TTL
Radera record	Ett DELETE-anrop med postens ID eller uppslag av ID före radering

Sökvägar och body kan använda {zone_id}, {zone}, {name}, {fqdn}, {type}, {value} och {ttl}. Radering kan också använda {record_id}. En JSON-path skrivs med punkt, till exempel data.records. Fyll i åtkomstuppgifterna, använd Testa åtkomst och klicka på Spara.

Appliancen anropar själv leverantörens API. Ändrar ni beskrivningen gäller det alla åtkomster som använder den.

När valideringen kräver ett skript

Lägg ett körbart skript i /data/dns-scripts/ på appliancen. På en virtuell appliance är mappen /opt/sslbrain/data/dns-scripts/ på värden. Filerna kan läggas in via konsolens root-shell. För Docker finns mappen på volymen som monterats som /data. Använd chmod 755 på filen.

Skapa åtkomsten enligt beskrivningen för RFC 2136. Välj sedan script under Executor-adapter och fyll i Sökväg till operatörsskript. Timeout är som standard 60 sekunder och kan ställas in till 5 till 300 sekunder.

Miljövariabel	Innehåll
`SSLBRAIN_DNS_ACTION`	`create` eller `remove`
`SSLBRAIN_DNS_RECORD_NAME`	Postens namn
`SSLBRAIN_DNS_RECORD_TYPE`	Postens typ
`SSLBRAIN_DNS_RECORD_VALUE`	Postens värde
`SSLBRAIN_DNS_FQDN`	Namnet som valideras
`SSLBRAIN_DNS_AUTODNS_TARGET`	Appliancens CNAME-mål
`SSLBRAIN_DNS_REQUIREMENT_ID`	Valideringens id när det finns
`SSLBRAIN_DNS_USERNAME`	Användarnamnet från åtkomsten
`SSLBRAIN_DNS_SECRET_FILE`	Fil med hemligheten, med filbehörighet 0600

Exit-kod 0 betyder utfört, 2 betyder utfört med varning och alla andra koder betyder fel. Hemligheten skickas via filen och finns inte på kommandoraden.