Fortinet FortiADC
Kopiera länk till sidan “Fortinet FortiADC”
Förnyar certifikatet på en FortiADC virtual server och FortiADC:s HTTPS-certifikat för management via REST API:et.
Så går det till
- Appliancen ansluter till Fortinet FortiADC genom FortiADC REST API på port 443.
- Certifikat och nyckel laddas upp som ett nytt lokalt certifikat, och kedjan som intermediate CA-certifikat i en intermediate CA group som paketet själv skapar. Ett certifikat som paketet redan har laddat upp återanvänds. Nyckeln skickas som PEM i den verifierade TLS-anslutningen eller, när ni väljer det, som PKCS#12 under ett engångslösenord.
- För en virtual server kopierar paketet dess local certificate group med det nya certifikatet på den valda medlemmens plats och pekar bara dess client SSL profile på kopian. Den gamla gruppen ändras inte. För management byter paketet FortiADC:s HTTPS-certifikat i system global. Om det misslyckas: Svarade tjänsten före bytet och visar ett okänt certifikat efteråt, eller svarar en virtual server inte längre, sätter paketet tillbaka det tidigare i samma körning och rapporterar om det lyckades. Visar tjänsten fortfarande det gamla certifikatet rapporteras bytet som inte genomfört, och inget läggs tillbaka.
- Kontroll: paketet läser konfigurationen igen i en ny förfrågan och hämtar certifikatet som tjänsten visar över TLS, från den virtual serverns adress och port eller från management-anslutningen. Resultatet avgörs av om det är det nya certifikatet. När tjänsten visar det nya certifikatet rapporteras också om servernamnet finns i certifikatet. Om det misslyckas: Kan appliancen inte nå den virtual servern rapporterar paketet resultatet med en varning utifrån konfigurationen.
Tekniska detaljer
- Anslutning
- Paketet körs på appliancen, som ansluter över HTTPS till FortiADC REST API, port 443. Ingen agent installeras.
- Ni behöver
- API-nyckel för en REST API-administratör med läs- och skrivrätt. Nyckeln skickas bara i headern APITOKEN, aldrig i en URL, och användarnamnet skickas inte. Discovery hittar de virtual servers som kan förnyas, så regeln väljer en av dem eller management.
- Plattform
- FortiADC 7.4, 7.6 och 8.0 med en REST API-administratör
- Åtgärder
- Discovery, Installation, Kontroll, Rollback, Borttagning
- Paket
-
fortiadc-api1.0.0 - Observera
-
- Paketet ändrar bara den valda virtual serverns client SSL profile eller management-certifikatet. Använder andra virtual servers samma profil får de också det nya certifikatet, och resultatet nämner dem. Andra profiler som använder den gamla gruppen och andra certifikat rörs inte.
- Får paketet inget svar på en ändring läser det FortiADC innan det gör mer, och skickar aldrig samma ändring två gånger. Har någon annan ändrat profilen eller system global under tiden stoppar paketet utan att skriva.
- Rollback pekar profilen eller system global tillbaka på det tidigare certifikatet, bara medan den fortfarande pekar på det som deploy satte, och bara när tjänsten svarade innan och är trasig nu. Annars ändras inget.
- Borttagning tar bara bort grupper och certifikat som paketet själv har skapat, när inget längre använder dem, och läser efteråt att de är borta. Avvisar FortiADC en borttagning blir objektet kvar, och resultatet nämner det.
- Anslutningen till FortiADC verifieras som standard mot systemets trust store, ett CA-bundle eller ett fingeravtryck i MANAGEMENT_TLS_PIN_SHA256. Efter byte av management-certifikatet accepterar körningen exakt det nya certifikatet, och med pin anger resultatet det nya fingeravtrycket som pinningen ska uppdateras till.
- När appliancen når den virtual servern genom NAT anges adress, port och servernamn för kontrollen i FORTIADC_SERVICE_HOST, FORTIADC_SERVICE_PORT och FORTIADC_SERVICE_SNI.
- I ett HA-kluster ändrar paketet den enhet det ansluter till, och certifikat och nycklar når de övriga medlemmarna genom FortiADC:s HA-synkronisering från Configuration Source. Fortinet dokumenterar inget REST-anrop som visar att en medlem har fått ändringen, och paketet anropar inget, så resultatet varnar om de övriga medlemmarna. Anslut paketet till Configuration Source.
- Fortinet dokumenterar inget spara-kommando i FortiADC:s REST API och beskriver inte när en REST-ändring sparas; paketet kör inget. Paketet läser tillbaka varje ändring i en ny förfrågan. FortiADC kan skriva API-anrop i sina egna loggar, och paketet stänger inte av loggningen.
- Discovery hittar FortiADC:s version, VDOM:er, HA-läge, management-certifikat, lokala certifikat, certificate groups, intermediate CA groups, client SSL profiles och virtual servers, och vilka av dem och management-certifikatet som kan förnyas.