Handbuch - Univention

3 Domänendienste / LDAP-Verzeichnisdienst
3.6 SSL-Zertifikatsverwaltung
Unter UCS werden sensitive Daten immer verschlüsselt über das Netzwerk übertragen, zum Beispiel
durch die Verwendung von SSH für den Login auf Systeme oder durch Verwendung von Protokollen auf
Basis von SSL/TLS. (Transport Layer Security (TLS) ist der aktuelle Protokollname, der Name des Vor-
gängerprotokolls Secure Socket Layer (SSL) ist jedoch weiterhin gebräuchlicher und wird auch in dieser
Dokumentation verwendet).
SSL/TLS kommt beispielsweise bei der Listener/Notifier-Domänenreplikation oder beim HTTPS-Zugriff auf
die Univention Management Console zum Einsatz.
Für eine verschlüsselte Kommunikation zwischen zwei Rechnern müssen beide Kommunikationspartner
die Authentizität des verwendeten Schlüssels prüfen können. Dafür besitzt jeder Rechner ein so genanntes
Rechnerzertifikat, das von einer Zertifizierungsstelle (Certification Authority, CA) herausgegeben und
signiert wird.
UCS bringt seine eigene CA mit, die bei der Installation des Domänencontroller Master automatisch ein-
gerichtet wird und von der jedes UCS-System im Rahmen des Domänenbeitritts automatisch ein Zertifikat
für sich selbst und das öffentliche Zertifikat der CA bezieht. Diese CA tritt als Root-CA auf, signiert ihr
eigenes Zertifikat, und kann Zertifikate für andere Zertifizierungsstellen signieren.
Die UCS-CA befindet sich immer auf dem Domänencontroller Master. Auf jedem Domänencontroller
Backup wird eine Kopie der CA vorgehalten, die über einen Cronjob standardmäßig alle 20 Minuten mit
der CA auf dem Domänencontroller Master synchronisiert wird.
Achtung:
Die CA wird nur vom Domänencontroller Master zum Domänencontroller Backup synchronisiert und nicht
umgekehrt. Es sollte also ausschließlich die CA auf dem Domänencontroller Master verwendet werden.
Wird ein Domänencontroller Backup zum Domänencontroller Master hochgestuft (durch Ausführung des
Skripts univention-backup2master), so kann die CA auf dem dann neuen Domänencontroller Master
direkt verwendet werden.
Das UCS-Root-Zertifikat hat - ebenso wie die damit erstellten Rechnerzertifikate - einen bestimmten Gül-
tigkeitszeitraum.
Achtung:
Ist dieser Zeitraum abgelaufen, funktionieren Dienste, die ihre Kommunikation mit SSL verschlüsseln (z.B.
LDAP oder die Domänenreplikation) nicht mehr. Es ist deshalb notwendig, die Gültigkeit der Zertifikate zu
regelmässig überprüfen und rechtzeitig das Root-Zertifikat rechtzeitig zu erneuern. Für die Überwachung
des Gültigkeitszeitraums wird ein Nagios-Plugin bereitgestellt. Außerdem erfolgt bei der Anmeldung an der
Univention Management Console eine Warnmeldung, wenn das Root-Zertifikat bald abläuft (der Warn-
zeitraum kann mit der Univention Configuration Registry-Variable ssl/validity/warning festgelegt
werden und beträgt standardmässig 30 Tage).
Auf UCS-Systemen überprüft ein Cronjob täglich die Gültigkeit des lokalen Rechnerzertifikats und
des Root-Zertifikats und schreibt das Ablaufdatum in die Univention Configuration Registry-Variable
ssl/validity/days. Der dort angegebene Wert spiegelt die Anzahl der Tage seit dem 1.1.1970 wie-
der. Ist die Gültigkeitsdauer des Root-Zertifikats kleiner als die des Rechner-Zertifikats, wird zusätzlich die
Univention Configuration Registry-Variable ssl/validity/ca auf true gesetzt.
46