SSL/TLS & Zertifikate

Jeder 'opsi-Configserver' verwaltet eine Certificate Authority (CA), die 'opsi CA'. Diese CA wird vom 'opsi-Configserver' automatisch verwaltet. Jeder 'opsi-Server', auch die 'opsi-Depotserver' erhalten vom 'opsi-Configserver' ein TLS-Zertifikat, das von dieser CA signiert ist. Auch diese Zertifikate werden automatisch erstellt, verteilt und bei Bedarf aktualisiert. Jeder Client, der der 'opsi CA' vertraut, vertraut auch diesen Server-Zertifikaten.

Das Zertifikat der 'opsi CA' kann von jedem 'opsi-Configserver' unter der URL https://<server-address>:4447/ssl/opsi-ca-cert.pem abgerufen werden.

Verbindet sich ein 'opsi-client-agent' mit einem 'opsi-Configserver', ruft er die aktuell hinterlegten CA-Zertifikate automatisch ab und legt sie unter 'c:\opsi.org\tls\opsi-ca-cert.pem' bzw. '/etc/opsi-client-agent/tls/opsi-ca-cert.pem' ab. Dies geschieht jedoch nur unter der Voraussetzung, dass dort entweder noch keine 'opsi CA' abgelegt ist oder eine sichere, verifizierte Verbindung mit dem 'opsi-Configserver' besteht.

Die Verifizierung der Server-Verbindungen ist seit opsi 4.3 standardmäßig aktiv. In opsi-Umgebungen, die von älteren Versionen migriert wurden, muss diese Option manuell aktiviert werden. Die Aktivierung erfolgt über den boolesche Host-Parameter 'opsiclientd.global.verify_server_cert'. Dieser Parameter kann dann Client-spezifisch auf true gesetzt werden oder auch global aktiviert werden. Damit ist die Verifizierung aktiviert. Wird webdav als clientconfig.depot.protocol verwendet, so wird auch der 'opsi-Depotserver' entsprechend geprüft.

Zusätzlich besteht die Möglichkeit die 'opsi CA' auch im Zertifikatsspeicher des Betriebssystems abzulegen. Dann vertraut sowohl das Betriebssystem als auch alle Applikationen, die diesen Zertifikatsspeicher verwenden, der 'opsi CA' und den Zertifikaten der 'opsi-Server'. Dies ist auch Voraussetzung um ein opsi-Depot per WevDAV mounten zu können.

Die Zugehörige boolesche Konfiguration ist opsiclientd.global.install_opsi_ca_into_os_store. Ist diese aktiviert, spielt der 'opsi-client-agent' die 'opsi CA' automatisch in den Zertifikatsspeicher des Betriebssystems ein.

Die Erweiterung Let’s Encrypt ermöglicht es, SSL/TLS-Zertifikate für den opsi-Configserver über die Let’s Encrypt-Zertifizierungsstelle automatisch zu beziehen und zu erneuern.

Folgende Voraussetzungen müssen erfüllt sein, um Let’s Encrypt verwenden zu können:

Die Konfiguration erfolgt im opsiconfd-Service. Hierbei wird der Parameter ssl-server-cert-type auf letsencrypt gesetzt. Weiterhin sollte im Parameter letsencrypt-contact-email eine Kontakt-E-Mail-Adresse für Benachrichtigungen von Let’s Encrypt hinterlegt werden.

Bei einem opsiconfd setup, bzw. bei einem Neustart des opsiconfd-Services, wird das Zertifikat automatisch von Let’s Encrypt bezogen und im Dateisystem des opsi-Servers abgelegt. Das Zertifikat wird dann automatisch von Let’s Encrypt erneuert, bevor es abläuft. Auch die Let’s Encrypt CA-Zertifikate werden automatisch aktualisiert. Es sind also keine weiteren manuellen Schritte notwendig.

Die Erweiterung Custom-CA ermöglicht es Ihnen, Ihre eigene Zertifizierungsstelle (CA) zu verwenden, um Zertifikate für den opsi-Configserver auszustellen.

Die Konfiguration erfolgt im opsiconfd-Service. Hierbei wird der Parameter ssl-server-cert-type auf custom-ca gesetzt.

Das Zertifikat der verwendeten CA und gegenfalls weitere Zertifikate bis hin zur Root-CA (fullchain) müssen im PEM-Format an die Datei /etc/opsi/ssl/opsi-ca-cert.pem auf dem opsi-Server angehängt werden. Das Zertifikat der opsi CA muss in der Datei erhalten bleiben.

Im nächsten Schritt kann ein Zertifikat von der eigenen CA für den opsi-Configserver erstellt werden. Der Private Key des Zertifikats muss im (verschlüsselten) PEM-Format unter /etc/opsi/ssl/opsi-server-key.pem und das Zertifikat selbst im PEM-Format unter /etc/opsi/ssl/opsi-server-cert.pem auf dem opsi-Server abgelegt werden.

Existieren bereits aktive opsi-Clients, sind bei einem Wechsel der Zertifizierungsstelle, z.B. von der opsi CA zu einer eigenen CA oder zu Let’s Encrypt, einige Dinge zu beachten.

Die Clients haben in ihrem lokalen Zertifikatsspeicher das Zertifikat der bisherigen Zertifizierungsstelle hinterlegt. Sie vertrauen also nur Server-Zertifikaten, die von dieser Zertifizierungsstelle signiert wurden. Bevor nun für den opsi-Configserver ein Server-Zertifikat verwendet werden kann, das von einer anderen Zertifizierungsstelle signiert wurde, müssen die Clients auch die neue Zertifizierungsstelle kennen und vertrauen.

Da die Clients die CA-Zertifikate bei jedem Verbindungsaufbau neu abrufen, ist es ausreichend, wenn die CA-Zertifikate der neuen Zertifizierungsstelle auf dem opsi-Configserver hinterlegt sind. Es erfordert dann nur etwas Zeit, bis alle Clients die neuen CA-Zertifikate abgerufen haben.

Vor einer Änderung an ssl-server-cert-type müssen daher die neuen CA-Zertifikate bereits zusätzlich in der Datei /etc/opsi/ssl/opsi-ca-cert.pem hinterlegt werden.

Im Falle von Let’s Encrypt sind das die folgenden CA-Zertifikate:

Sollte es nach dem Wechsel des Server-Zertifikats auf eine andere Zertifizierungsstelle zu Verbindungsproblemen kommen, kann die alte Konfiguration wiederhergestellt werden. Dafür muss nur der ssl-server-cert-type wieder auf den ursprünglichen Wert gesetzt werden.