Wie kann ich Certbot und den Let's Encrypt-Dienst für meine benutzerdefinierte Domain verwenden?

Arbeiten Sie in einer Unternehmensumgebung mit Ihrem Unternehmensdomänenadministrator zusammen, um die erforderlichen Zertifikate abzurufen. Wenn Sie jedoch die benutzerdefinierte Domain kontrollieren und ein schnelles Zertifikat wünschen, können Sie Certbot und den Dienst Let's Encrypt verwenden, um ein Zertifikat zu erhalten:

1. Installieren Sie Certbot. Certbot ist ein Client für das Protokoll Automatic Certificate Management Environment(ACME) für die Automatisierung von Interaktionen zwischen einer Zertifizierungsstelle und einem Server. Der Let' s Encrypt-Service verwendet diesen Client, um das Eigentumsrecht an der Domäne zu überprüfen und Zertifikate auszustellen. Wählen Sie in der Certbot-Dokumentation Other als Software und das Betriebssystem für Ihren Arbeitsplatz aus, um die entsprechenden Informationen zur Installation der Certbot-Befehlszeile zu erhalten.

2. Führen Sie den folgenden Befehl aus, um Ihr Zertifikat zu erstellen. Dieser Beispielbefehl erstellt ein Zertifikat für die angepassten Domänen example.com und www.example.com. Achten Sie darauf, den Befehl für Ihre eigene angepasste Domäne zu aktualisieren.

   certbot certonly --manual --preferred-challenges dns --email webmaster@example.com --server https://acme-v02.api.letsencrypt.org/directory --agree-tos --domain example.com --domain www.example.com
   

3. Um sicherzustellen, dass Sie Eigner der Domäne sind, legen Sie einen TXT-Datensatz mit Ihrem Domänenregistrator für die Domänen fest, die Sie im vorherigen Schritt mit Werten angefordert haben, die in der Ausgabe des Certbot-Tools bereitgestellt wurden, z. B. _acme_challenge.example.com und _acme_challenge.ww.example.com. Fahren Sie nach dem Festlegen des TXT-Datensatzes mit dem Certbot-Befehl fort.

4. Certbot ruft das von Let' s Encrypt signierte Zertifikat ab. Die Position, an der das Zertifikat gespeichert wird, wird von der Certbot-Ausgabe bereitgestellt. Suchen Sie die Dateien fullchain.pem und privkey.pem.

Beispielbefehl für die Ausführung von Certbot auf einem Ubuntu-System

sudo certbot certonly --manual --preferred-challenges dns --email webmaster@example.com --server https://acme-v02.api.letsencrypt.org/directory --agree-tos --domain example.com --domain www.example.com

Beispielausgabe für die Zertifikatsanforderung für example.com und www.example.com

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Please deploy a DNS TXT record under the name:
_acme-challenge.example.com.
with the following value:
<MASKED>
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Press Enter to Continue
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Please deploy a DNS TXT record under the name:
_acme-challenge.www.example.com
with the following value:
<MASKED>
(This must be set up in addition to the previous challenges; do not remove,
replace, or undo the previous challenge tasks yet. Note that you might be
asked to create multiple distinct TXT records with the same name. This is
permitted by DNS standards.)
Before continuing, verify the TXT record has been deployed. Depending on the DNS
provider, this may take some time, from a few seconds to multiple minutes. You can
check if it has finished deploying with aid of online tools, such as the Google
Admin Toolbox: https://toolbox.googleapps.com/apps/dig/#TXT/_acme-challenge.www.example.com.
Look for one or more bolded line(s) below the line ';ANSWER'. It should show the
value(s) you've just added.
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Press Enter to Continue
Successfully received certificate.
Certificate is saved at: /etc/letsencrypt/live/example.com/fullchain.pem
Key is saved at: /etc/letsencrypt/live/example.com/privkey.pem
This certificate expires on 2023-02-01.
These files will be updated when the certificate renews.
NEXT STEPS:
- This certificate will not be renewed automatically. Autorenewal of --manual certificates requires the use of an authentication hook script (--manual-auth-hook) but one was not provided. To renew this certificate, repeat this same certbot command before the certificate's expiry date.
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
If you like Certbot, please consider supporting our work by:
 * Donating to ISRG / Let's Encrypt: https://letsencrypt.org/donate
 * Donating to EFF: https://eff.org/donate-le
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -

Ihr Zertifikat ist bereit.

Wie kann ich ein Ursprungszertifikat, das ich von meiner CIS erhalten habe, für meine benutzerdefinierte Domain verwenden?

Wenn Sie Ihr Zertifikat und Ihren Schlüssel von Ihrer öffentlichen und vertrauenswürdigen Zertifizierungsstelle erhalten, sind sie signiert und sicher. Sie arbeiten mit Ihrer CA zusammen, um das signierte SSL/TLS-Zertifikat für Ihre benutzerdefinierte Domain zu erhalten.

Sie können auch Cloud Internet Services (CIS) verwenden, um ein Ursprungszertifikat zu bestellen, und dann CIS so konfigurieren, dass die Benutzer-IP-Adressen gemäß diesem Fluss an Ihre Anwendung oder Funktion weitergeleitet werden:

1. Bestellen Sie Ihr Ursprungszeugnis:

   1. Gehen Sie in der Konsole IBM Cloud auf Ressourcenliste und filtern Sie nach Ihrer Internet Services Instanz. Klicken Sie in den Suchergebnissen auf den Namen der Zielinstanz, um deren Detailseite anzuzeigen.
   2. Gehen Sie auf der Seite mit den Instanzdetails CIS zur Seite Ursprung (Sicherheit>Herkunft ) und klicken Sie auf Bestellen.
   3. Behalten Sie im Bereich "Herkunftszertifikat bestellen" alle Standardeinstellungen bei und geben Sie den Domänennamen ein, mit dem Sie arbeiten möchten. Beispiel: myapp.example.com. Klicken Sie zur Bestätigung auf Bestellen.
   4. Kopieren Sie die Werte des Ursprungszertifikats und des privaten Schlüssels. Sie benötigen diese Informationen, wenn Sie Ihre Domäne zuordnen.

2. Konfigurieren Sie den flexiblen End-to-End-TLS-Modus und wenden Sie ihn an.

   Das Randzertifikat wird von CIS bereitgestellt. Das Ursprungszertifikat wird nur zur Verschlüsselung des Datenverkehrs zwischen CIS und der Anwendung oder Funktion Code Engine verwendet.

Nachdem Ihr DNS-Eintrag erfolgreich in CIS erstellt wurde, haben Sie CIS so konfiguriert, dass Benutzer-IP-Adressen an Ihre Anwendung oder Funktion weitergeleitet werden.

Domänenzuordnungen über die Konsole anzeigen

Sie können eine Liste aller automatisch generierten und angepassten Domänenzuordnungen für Ihre Anwendung oder Funktion über die Konsole anzeigen. Standardmäßig gilt der Inhalt der Tabelle für angepasste Domänenzuordnungen. Verwenden Sie den Filter Typ, um die Sicht zu ändern.

Diese Ansicht zeigt Informationen zum Ablauf des Zertifikats an, das Ihrer Zuordnung zugeordnet ist. Wenn das Zertifikat abläuft, ist die Anwendung oder Funktion mit der Domänenzuordnung nicht mehr erreichbar und diese Bedingung führt zu einem SSL-Fehler. Wenn Sie ein Zertifikat haben, das in Kürze abläuft, aktualisieren Sie die angepasste Domänenzuordnung, um ein aktualisiertes Zertifikat zu verwenden.

Diese Ansicht enthält auch Informationen zu der bestimmten Anwendung oder Funktion, die der Domänenzuordnung zugeordnet ist, und zum Typ der Domänenzuordnung. Für Mappings, die Code Engine generiert, kann der Typ System-public, System-private oder System-internal sein. Für angepasste Domänenzuordnungen, die Sie erstellen, lautet der Typ Custom.

1. Wenn Ihr Projekt den Status Aktiv hat, klicken Sie auf der Seite Code Engine Projekte auf den Namen Ihres Projekts.
2. Klicken Sie auf der Übersichtsseite auf "Domain-Zuordnungen ".
3. Zeigen Sie auf der Seite "Domänenzuordnungen" eine Liste der definierten Domänenzuordnungen für Ihre vorhandenen Anwendungen oder Funktionen an. Type gibt an, ob die Zuordnung automatisch generiert wird oder ob es sich um eine angepasste Domänenzuordnung handelt.

Domänenzuordnungen über die Befehlszeilenschnittstelle anzeigen

Verwenden Sie den Befehl ibmcloud ce domainmapping list, um eine Liste aller angepassten Domänenzuordnungen für Ihre Anwendungen oder Funktionen über die Befehlszeilenschnittstelle anzuzeigen. Beispiel:

ibmcloud ce domainmapping list

Beispielausgabe

Listing domain mappings...
OK

Name              CNAME                                                        Target  Target-Type  Status  Secret Name  Age
www.example.com   custom.abcdabcdabc.us-south.codeengine.appdomain.cloud       myapp   app          ready   mytlssecret  36m

Wenn Sie eine Liste aller Domänenzuordnungen für Ihre Anwendungen oder Funktionen anzeigen möchten, einschließlich der angepassten Domänenzuordnungen, die Sie erstellen, und der automatisch generierten Domänenzuordnungen, die Code Engine erstellt, geben Sie die Option --all im Befehl ibmcloud ce domainmapping list an. Angepasste Domänenzuordnungen zeigen einen Wert für CNAME an.

Domänenzuordnung über die Konsole aktualisieren

Angenommen, die angepasste Domänenzuordnung für www.example.com hat ein Zertifikat, das bald abläuft. Sie können die Domänenzuordnung über die Konsole aktualisieren, um ein aktualisiertes Zertifikat zu verwenden, oder den geheimen TLS-Schlüssel für die Zuordnung ersetzen. Sie können Ihre Domänenzuordnung auch so aktualisieren, dass sie auf eine andere Anwendung oder Funktion in Ihrem Projekt verweist.

1. Gehen Sie auf der Seite Code Engine Projekte zu Ihrem Projekt.
2. Klicken Sie auf der Übersichtsseite auf Domänenzuordnungen.
3. Klicken Sie auf der Seite 'Domänenzuordnungen' auf das Symbol Aktionen > Bearbeiten, um die Zuordnung zu bearbeiten. Sie können auch in die Zeile Ihrer definierten angepassten Domäne klicken, um die Zuordnung zu aktualisieren.
4. Im Bereich "Domain-Zuordnung aktualisieren" können Sie die Anwendung oder Funktion ändern, die mit dieser Domain-Zuordnung verknüpft ist. Alternativ können Sie das TLS-Geheimnis für diese Zuordnung ersetzen oder aktualisieren.
5. Klicken Sie auf Aktualisieren, um Ihre Änderungen zu speichern.

Nachdem Sie die Zuordnung aktualisiert haben, können Sie die Liste der Domänenzuordnungen für die neuesten Änderungen anzeigen.

Domänenzuordnung über die CLI aktualisieren

Mit dem Befehl ibmcloud ce domainmapping update können Sie eine angepasste Domänenzuordnung aktualisieren.

Angenommen, die angepasste Domänenzuordnung für www.example.com hat ein Zertifikat, das bald abläuft. Sie können die Domänenzuordnung aktualisieren, um ein aktualisiertes Zertifikat zu verwenden, oder den geheimen TLS-Schlüssel für die Zuordnung mit der Option --tls-secret ersetzen. Sie können auch die Option --target verwenden, um Ihre Domain-Zuordnung zu aktualisieren und auf eine andere Anwendung oder Funktion in Ihrem Projekt zu verweisen.

Im folgenden Beispiel wird die benutzerdefinierte Domänenzuordnung www.example.com aktualisiert, um ein aktualisiertes TLS-Geheimnis namens mytlssecret zu verwenden.

1. Aktualisieren Sie das TLS-Geheimnis mytlssecret mit aktualisierten Zertifikats- und privaten Schlüsselinformationen, die in den Dateien mycertchain2.txt und myprivatekey2 auf Ihrer lokalen Workstation enthalten sind.

   ibmcloud ce secret update --name mytlssecret --cert-chain-file  mycertchain2.txt --private-key-file myprivatekey2.txt
   

   Beispielausgabe

   Updating secret mytlssecret..
   OK
   
   

2. Aktualisieren Sie die Domänenzuordnung für die Verwendung des aktualisierten geheimen TLS-Schlüssels.

   ibmcloud ce domainmapping update --domain-name www.example.com --tls-secret mytlssecret2
   

   Beispielausgabe

   Getting domain mapping 'www.example.com.org'...
   Updating domain mapping 'www.example.com.org'...
   
   

Domänenzuordnungen aus der Konsole löschen

In der Konsole können Sie nur Domänenzuordnungen des Typs Custom löschen. Domänenzuordnungen, die von Code Engine automatisch generiert werden, können nicht gelöscht werden.

Gehen Sie wie folgt vor, um eine angepasste Domänenzuordnung aus der Konsole zu löschen:

1. Gehen Sie auf der Seite Code Engine Projekte zu Ihrem Projekt.
2. Klicken Sie auf der Übersichtsseite auf Domänenzuordnungen, um eine Liste der definierten Domänenzuordnungen anzuzeigen.
3. (Optional) Klicken Sie auf Typ, um die Domänenzuordnungen nach Typ zu filtern.
4. Löschen Sie auf der Seite für Domänenzuordnungen die angepasste Domänenzuordnung, die Sie aus Ihrer Anwendung oder Funktion entfernen wollen. Klicken Sie auf das Symbol Aktionen > Löschen, um die Zuordnung zu löschen.

Domänenzuordnungen über die Befehlszeilenschnittstelle löschen

Zum Löschen einer angepassten Domänenzuordnung über die Befehlszeilenschnittstelle verwenden Sie den Befehl ibmcloud ce domainmapping delete.

Sie können nur benutzerdefinierte Domain-Zuordnungen löschen. Code Engine-generierte Domain-Zuordnungen können nicht gelöscht werden. Führen Sie den Befehl ibmcloud ce domainmapping list aus, um eine Liste der angepassten Domänenzuordnungen über die Befehlszeilenschnittstelle anzuzeigen. Eine angepasste Domänenzuordnung hat einen generierten CNAME-Datensatz. In der Befehlszeilenschnittstelle können Sie den generierten CNAME-Wert für eine angegebene angepasste Domänenzuordnung mit dem Befehl ibmcloud ce domainmapping get abrufen.

ibmcloud ce domainmapping delete --domain-name www.example.com -f

Beispielausgabe

Deleting domain mapping 'www.example.com'...
OK

Abrufen des CNAME-Eintrags für eine benutzerdefinierte Domänenzuordnung

Code Engine stellt das CNAME-Ziel für Ihre definierte angepasste Domänenzuordnung bereit.

Zum Abrufen des CNAME-Datensatzes aus der Code Engine-Konsole öffnen Sie Ihre definierte angepasste Domänenzuordnung und zeigen die Seite "Domänenzuordnung aktualisieren" an. Öffnen Sie die Seite "Domänenzuordnung aktualisieren" auf eine der folgenden Arten:

• Klicken Sie in der Tabelle Domänenzuordnungen in die Zeile Ihrer definierten angepassten Domäne.
• Klicken Sie auf das Symbol Aktionen > Bearbeiten, um die Zuordnung zu bearbeiten.

Auf der Seite Domänenzuordnungen aktualisieren können Sie den Wert CNAME target abrufen. Die Zuordnung www.example.com hat beispielsweise den Wert custom.abcdabcdabc.us-east.codeengine.appdomain.cloud CNAME, wobei abcdabcdabc eine automatisch generierte eindeutige ID und us-east die Region Ihres Projekts ist.

Um den CNAME-Datensatz über die Befehlszeilenschnittstelle abzurufen, verwenden Sie den Befehl ibmcloud ce domainmapping get. Zum Beispiel:

ibmcloud ce domainmapping get --domain-name www.example.com

Beispielausgabe

Getting domain mapping 'www.example.com'...
OK

Domain Name:  www.example.com
CNAME:        custom.abcdabcdabc.us-south.codeengine.appdomain.cloud
Target Name:  myapp
Target Type:  app
TLS Secret:   mytlssecret
Status:       ready

Wenn Sie das CNAME-Ziel haben, können Sie den CNAME-Datensatzeintrag den DNS-Einstellungen Ihrer angepassten Domäne hinzufügen. Beachten Sie, dass die Veröffentlichung des CNAME-Datensatzes mit dem Domänenregistrator einige Zeit in Anspruch nehmen kann, um die DNS-Änderungen im Internet zu füllen.

Hinzufügen eines DNS-Eintrags in CIS, um den Datenverkehr zu Ihrer Anwendung Code Engine zu leiten

Wenn Sie eine CIS Instanz haben, um Ihre benutzerdefinierte Domain zu verwalten, aktualisieren Sie die DNS-Einträge, um auf Ihr Code Engine Projekt zu verweisen, wie folgt. Beachten Sie, dass sich die Schritte für Domänenregistrierungsstellen, die nicht CIS sind, unterscheiden, das Ziel jedoch dasselbe ist: die Erstellung eines DNS-Eintrags vom Typ CNAME, der auf den CNAME-Endpunkt von Code Engine projects verweist:

1. Gehen Sie auf der Instanzdetailseite CIS zu Zuverlässigkeit>DNS. Blättern Sie zu DNS-Einträge und klicken Sie auf Hinzufügen.

2. Im Fensterbereich "Datensatz hinzufügen":

   • Wählen Sie als Typ CNAME.
   • Legen Sie Ihre Subdomain fest, zum Beispiel myapp.
   • Geben Sie den CNAME-Zielwert, den Sie zuvor kopiert haben, als Alias-Domänennamen an.
   • Überprüfen Sie, ob die Detailausgabe des DNS-Eintrags anzeigt, dass Ihre Domänenzuordnung ein Alias ist. Suchen Sie zum Beispiel nach einer Meldung ähnlich der folgenden: myapp.example.com is an alias of custom.<id>.<region>.codeeng.appdomain.cloud. Klicken Sie auf Hinzufügen, um das Hinzufügen des DNS-Eintrags zu bestätigen.

   Wenn Sie mehrere Domains und Subdomains registrieren müssen, z. B. example.com und www.example.com, müssen Sie die Schritte für jede Subdomain wiederholen. Sie können in Erwägung ziehen, ein einziges Zertifikat zu erstellen, das mehr als eine Domäne abdeckt. Sie können dieses einzelne Zertifikat jedoch nur einmal in einer Region verwenden. Wenn Sie Ihre benutzerdefinierten Domänen in mehr als einem Projekt in einer Region verwenden möchten, sollten Sie sie getrennt halten.

Sie sind nun mit der Arbeit mit benutzerdefinierten Domain-Zuordnungen vertraut und haben eine benutzerdefinierte Domain mit ihrem TLS-Zertifikat und ihrem privaten Schlüssel erhalten. Sie können nun eine benutzerdefinierte Domainzuordnung in Code Engine für Ihre Anwendung oder Funktion konfigurieren.