Zertifikatsverwaltung

Mit der Zertifikatsverwaltung können Sie das TLS-Zertifikat bzw. die vollständige Zertifikatskette eines Servers abrufen, prüfen und bei Bedarf in den dynamischen Truststore von agorum core importieren. Damit können Sie zum Beispiel eine verschlüsselte Verbindung zu einem Mailserver oder einem anderen Server herstellen, dessen Zertifikat noch nicht vertraut wird, ohne dass agorum core dazu neu gestartet werden muss.

Hintergrundinformationen

Wenn agorum core eine verschlüsselte Verbindung zu einem externen Server aufbaut, zum Beispiel zu einem Mailserver über SMTP, IMAP oder POP3, muss agorum core dem Zertifikat vertrauen, das der externe Server bei der Verbindung präsentiert. Ist das Zertifikat nicht durch eine öffentlich vertraute Zertifizierungsstelle signiert oder handelt es sich um ein selbstsigniertes Zertifikat, schlägt die Verbindung mit einem SSL-Handshake-Fehler fehl.

Mit der Zertifikatsverwaltung rufen Sie die vom Server präsentierte Zertifikatskette ab und importieren das benötigte Zertifikat in den dynamischen Truststore von agorum core. Zertifikate im dynamischen Truststore werden zusätzlich zu den Zertifikaten des Standard-Truststores als vertrauenswürdig behandelt.

Berechtigung

Sie können die Zertifikatsverwaltung verwenden, wenn Sie Administrator sind und zur Verwendung der Werkzeuge für die Administration über folgende ACL berechtigt sind:

ACL_agorum admin tools

Öffnen der Zertifikatsverwaltung

Klicken Sie oben rechts in der Kopfleiste auf   und dann auf Administration > Werkzeuge > Zertifikatsverwaltung.

Übersicht über die Bedienoberfläche

Die Bedienoberfläche der Zertifikatsverwaltung ist in folgende Bereiche unterteilt:

• Verbindungsdaten: Hier geben Sie Verbindungsart, Host und Port des Servers ein, dessen Zertifikat Sie abrufen möchten.
• Zertifikatskette: Zeigt die vom Server abgerufene Zertifikatskette an, jeweils mit Aussteller, Gültigkeit, alternativen Namen (SAN, Subject Alternative Name) und Flags. Hier wählen Sie das Zertifikat aus, das Sie importieren möchten.
• Importierte Zertifikate im dynamischen Truststore: Zeigt alle Zertifikate an, die aktuell im dynamischen Truststore von agorum core hinterlegt sind. Hier können Sie ein importiertes Zertifikat auch wieder entfernen.

Sie können folgende Verbindungsarten auswählen. Beim Wechsel der Verbindungsart wird der zugehörige Standard-Port automatisch in das Feld Port übernommen:

Verbindungsart	Standard-Port
Direkt (TLS)	Kein Standard-Port hinterlegt, muss manuell angegeben werden
SMTP (STARTTLS)	587
SMTPS	465
IMAP (STARTTLS)	143
IMAPS	993
POP3 (STARTTLS)	110
POP3S	995

Zertifikate verwalten

Zertifikat von einem Server abrufen

1. Wählen Sie die passende Verbindungsart aus.
2. Geben Sie den Host ein, zum Beispiel mail.example.com.
3. Prüfen Sie den vorbelegten Port und passen Sie ihn bei Bedarf an.
4. Klicken Sie auf die Schaltfläche Zertifikat abrufen.
   
   Ergebnis: Die Zertifikatsverwaltung ruft die vom Server präsentierte Zertifikatskette ab und zeigt sie in der Tabelle Zertifikatskette an. Das von agorum core empfohlene Zertifikat wird automatisch vorausgewählt. Zusätzlich prüft die Zertifikatsverwaltung, ob mit den aktuellen Einstellungen bereits eine gesicherte Verbindung (SSL-Handshake) möglich wäre, und zeigt das Ergebnis oberhalb der Zertifikatskette an.

 

Bedeutung der Hinweise nach dem Abrufen

Abhängig vom Ergebnis der Prüfung zeigt die Zertifikatsverwaltung einen der folgenden Hinweise an:

Hinweis	Bedeutung
SSL-Handshake OK.	Mit den aktuellen Einstellungen ist bereits eine gesicherte Verbindung zum Server möglich. Ein Import ist nicht erforderlich.
Keinem Zertifikat in der Kette wird bisher vertraut.	Sie müssen ein Zertifikat aus der Kette importieren, damit die Verbindung funktioniert.
Der Hostname stimmt nicht mit dem CN/SAN des Zertifikats überein.	Das Zertifikat wurde für einen anderen Hostnamen ausgestellt. Die Verbindung wird auch nach einem Import fehlschlagen.
Das Server-Zertifikat ist abgelaufen.	Das Zertifikat ist nicht mehr gültig. Ein Import allein stellt die Funktion der Verbindung nicht wieder her.
Das Server-Zertifikat ist noch nicht gültig.	Das Zertifikat gilt erst ab einem späteren Zeitpunkt.
Der Download der Zertifikatskette ist fehlgeschlagen.	Der Server konnte nicht erreicht oder die Verbindung nicht aufgebaut werden. Prüfen Sie Host, Port und Verbindungsart.

Zertifikatsdetails anzeigen

Sie können sich zu jedem Zertifikat in der Zertifikatskette oder im dynamischen Truststore die vollständigen Details anzeigen lassen, unter anderem Aussteller, Gültigkeitszeitraum, alternative Namen (SAN) und Fingerprint (SHA-256).

Doppelklicken Sie dazu in der Tabelle Zertifikatskette oder Importierte Zertifikate im dynamischen Truststore auf das gewünschte Zertifikat.

Zertifikat importieren

1. Rufen Sie die Zertifikatskette des gewünschten Servers ab, siehe Zertifikat von einem Server abrufen.
2. Markieren Sie in der Tabelle Zertifikatskette das gewünschte Zertifikat.
3. Klicken Sie auf die Schaltfläche Zertifikat importieren.
   
   Ergebnis: Das Zertifikat wird in den dynamischen Truststore von agorum core aufgenommen und erscheint anschließend in der Tabelle Importierte Zertifikate im dynamischen Truststore. Ein Neustart von agorum core ist nicht notwendig. Anschließend prüft die Zertifikatsverwaltung die Verbindung erneut und aktualisiert den angezeigten Hinweis.

Zertifikat entfernen

1. Markieren Sie in der Tabelle Importierte Zertifikate im dynamischen Truststore das gewünschte Zertifikat.
2. Klicken Sie auf die Schaltfläche Zertifikat entfernen.
3. Bestätigen Sie die Sicherheitsabfrage mit Ja.
   
   Ergebnis: Das Zertifikat wird aus dem dynamischen Truststore entfernt.

Importierte Zertifikate aktualisieren

Wenn Zertifikate über ein anderes Werkzeug oder von einem anderen Administrator importiert wurden, können Sie die Anzeige aktualisieren. Klicken Sie dazu auf die Schaltfläche Aktualisieren. Die Tabelle Importierte Zertifikate im dynamischen Truststore wird anschließend neu geladen.