Smarter by Design.Simpler for Business
lb certificate
lb certificate komutu, vService'lerin sunduğu sunucu sertifikalarını yönetir. Sertifika beş yoldan gelebilir: ACME ile otomatik alınır, elle yüklenir, PFX dosyasından içe aktarılır, cihazda üretilen bir istekle dış CA'ya imzalatılır ya da TR7'nin kendi dahili CA'sıyla üretilir. Panel karşılığı SSL/TLS Certificates ekranıdır.
Komut Özeti
# komuttan sonra Tab
admin@TR7LBWAF01> lb certificate
add create-csr delete issue-internal
list renew-internal show update
admin@TR7LBWAF01> lb certificate list # hepsini listele
admin@TR7LBWAF01> lb certificate show <kimlik> # birini göster
admin@TR7LBWAF01> lb certificate add type <tür> name <ad> …
admin@TR7LBWAF01> lb certificate create-csr name <ad> cn <alan-adı> …
admin@TR7LBWAF01> lb certificate issue-internal name <ad> …
admin@TR7LBWAF01> lb certificate renew-internal certId <sertifika>
admin@TR7LBWAF01> lb certificate update id <kimlik> …
admin@TR7LBWAF01> lb certificate delete <kimlik>
admin@TR7LBWAF01>
add komutunda ilk yazılan alan type'tır
Sertifikanın nasıl geleceği önce seçilir; ad ve öteki alanlar ondan sonra istenir.
Sertifika Nereden Gelir
| Komut | Ne yapar | Anahtar nerede üretilir |
|---|---|---|
add type acmeSh | ACME sunucusundan otomatik alır ve süresi dolmadan yeniler | Cihazda |
add type manual | Elde bulunan sertifika ve anahtar metnini kaydeder | Dışarıda |
add type pfx | PFX dosyasındaki sertifika ve anahtarı içe aktarır | Dışarıda |
create-csr | Cihazda anahtar ve sertifika isteği (CSR) üretir; istek dış bir CA'ya imzalatılır, imzalı sertifika kayda yapıştırılarak tamamlanır. Anahtar cihazdan çıkmaz | Cihazda |
add type csr | Aynı türde bir kaydı elle oluşturur | — |
issue-internal | Dahili ara CA'dan bir sertifika profiliyle uç sertifika üretir; otomatik yenilemeyi süren bir defter satırı da açılır | Cihazda |
renew-internal | Dahili üretilmiş bir sertifikayı hemen yeniler | Cihazda |
add — Zorunlu Alanlar
| Sıra | Alan | Durum | Değer |
|---|---|---|---|
| 1 | type | Zorunlu | acmeSh · manual · pfx · csr |
| 2 | name | Zorunlu | Kaydın adı |
| 3 | cert · key | Koşullu zorunlu | Yalnız manual türünde: sertifika ve anahtar metni |
| 3 | pfxFile | Koşullu zorunlu | Yalnız pfx türünde: PFX dosyası |
acmeSh — ACME ile otomatik sertifika
| Alan | Ne yapar | Arkasına ne yazılır |
|---|---|---|
--acmeShServer | Sertifikanın alınacağı ACME sunucusunu seçer | letsencrypt (varsayılan) · zerossl · sslcom · google |
--acmeShEmailAddress | ACME kaydında kullanılacak e-posta adresini verir | E-posta adresi |
--acmeShChallengeType | Alan adı sahipliğinin nasıl kanıtlanacağını seçer | http01 (varsayılan) · dns01 |
acmeShDnsProviderId | DNS doğrulamasında kullanılacak sağlayıcıyı seçer | lb acme-dns-provider kaydı; --acmeShChallengeType dns01 yazıldığında zorunlu olur ve satırda -- olsa bile öneksiz, hemen ardından yazılır |
--acmeShDomains.N.domain | Sertifikanın kapsayacağı alan adını yazar | Alan adı; her biri kendi indeksiyle |
--acmeShDomains.N.poolId | HTTP doğrulamasının hangi vService üzerinden yapılacağını seçer | vService kaydı |
--acmeShKeyLength | Üretilecek anahtarın uzunluğunu seçer | ec-256 (varsayılan) · ec-384 · ec-521 · 2048 · 3072 · 4096 |
--acmeShRenewThreshold | Süre bitimine kaç gün kala yenileneceğini belirler | 7 (varsayılan) · 14 · 30 · 45 · 90 · 180 gün |
--acmeShDeviceId | İşlemin hangi cluster üyesinde yürütüleceğini seçer | Cluster kimliği (varsayılan 1) |
--acmeShZoneId | İşlemin hangi sanal cihazdan yapılacağını seçer | Sanal cihaz; varsayılan, komutun çalıştığı cihaz |
--acmeShNamespace | İşlemin hangi yönlendirme tablosundan çıkacağını seçer | Yönlendirme tablosu (varsayılan 1) |
--acmeShEabId · --acmeShEabHmac | Sunucunun istediği dış hesap bağlama bilgilerini taşır | Sağlayıcının verdiği kimlik ve HMAC; yalnız --acmeShServer sslcom, google ya da zerossl iken açılır |
manual — Elle yükleme
| Alan | Durum | Ne yapar | Arkasına ne yazılır |
|---|---|---|---|
cert | Zorunlu | Sunucu sertifikasını kaydeder | PEM metni; çift tırnak içinde yazılır |
key | Zorunlu | Sertifikanın özel anahtarını kaydeder | PEM metni |
--password | İsteğe bağlı | Şifreli anahtarın parolasını verir | Anahtarın parolası |
pfx — PFX dosyasından içe aktarma
| Alan | Durum | Ne yapar | Arkasına ne yazılır |
|---|---|---|---|
pfxFile | Zorunlu | Sertifika ve anahtarı içeren dosyayı alır | Cihazdaki PFX dosyası |
--password | İsteğe bağlı | PFX dosyasının parolasını verir | Dosyanın parolası |
Zincir Alanları
Bu alanlar manual, pfx ve csr türlerinde ortaktır; ara ve kök sertifikanın nasıl tamamlanacağını belirler.
| Alan | Ne yapar | Arkasına ne yazılır |
|---|---|---|
--intermediateCertProfile | Ara sertifikayı hazır bir CA profilinden alır | CA profili kaydı |
--extraIntermediateCertProfiles.N | Zincire ek ara sertifikalar katar | CA profili kayıtları; yalnız --intermediateCertProfile verildiğinde açılır |
--intermediateCert | Ara sertifikayı doğrudan yazar | PEM metni; yalnız --intermediateCertProfile boş bırakıldığında açılır |
--rootCertProfile | Kök sertifikayı hazır bir CA profilinden alır | CA profili kaydı |
--extraRootCertProfiles.N | Zincire ek kök sertifikalar katar | CA profili kayıtları; yalnız --rootCertProfile verildiğinde açılır |
--rootCert | Kök sertifikayı doğrudan yazar | PEM metni; yalnız --rootCertProfile boş bırakıldığında açılır |
--allowDownload | Sertifikanın arayüzden indirilebilmesini açar | true · false (varsayılan false) |
Sertifikadan türeyen alanlar yazılmaz
Aşağıdaki dört alan tamamlama listesinde görünür ama değerleri sertifika çözümlenirken sunucu tarafından doldurulur; elle yazmak beklenen bir kullanım değildir.
| Alan | Ne yapar | Arkasına ne yazılır |
|---|---|---|
--certContent | Çözümlenen sertifikanın içeriğini tutar | Sunucu doldurur; elle yazılmaz |
--certDnsNames.N | Sertifikanın kapsadığı DNS adlarını tutar | Sunucu doldurur; elle yazılmaz |
--infoArr.N | Sertifikadan çözümlenen ek anahtar ayrıntılarını tutar | Sunucu doldurur; elle yazılmaz |
--certEku.N | Sertifikanın genişletilmiş anahtar kullanımını tutar | Sunucu doldurur; elle yazılmaz |
create-csr — Sertifika İsteği Üretme
Cihazda özel anahtar ve CA'ya gönderilecek istek üretir. Anahtar cihazdan çıkmaz; kayıt, dış CA'nın imzaladığı sertifika kayda yapıştırıldığında tamamlanır.
| Sıra | Alan | Durum | Ne yapar | Arkasına ne yazılır |
|---|---|---|---|---|
| 1 | name | Zorunlu | Kayda ad verir | Kaydın adı |
| 2 | cn | Zorunlu | Sertifikanın asıl adını belirler | Common Name, örneğin portal.kurum.com.tr |
| — | --o | İsteğe bağlı | Kurum adını yazar | Organization değeri |
| — | --ou | İsteğe bağlı | Birim adını yazar | Organizational Unit değeri |
| — | --c | İsteğe bağlı | Ülke kodunu yazar | İki harfli ülke kodu, örneğin TR |
| — | --san | İsteğe bağlı | Sertifikanın kapsayacağı ek adları yazar | Virgülle ayrılmış adlar |
| — | --keyAlgo | İsteğe bağlı | Anahtar algoritmasını seçer | rsa2048 (varsayılan) · rsa3072 · rsa4096 · ecP256 · ecP384 |
| — | --allowDownload | İsteğe bağlı | Anahtarın arayüzden indirilebilmesini açar | true · false (varsayılan false) |
issue-internal — Dahili CA ile Sertifika Üretme
Dahili ara CA'dan, bir sertifika profiline göre uç sertifika üretir. Sonuçta normal bir sertifika kaydı ve otomatik yenilemeyi süren bir defter satırı oluşur.
| Sıra | Alan | Durum | Ne yapar | Arkasına ne yazılır |
|---|---|---|---|---|
| 1 | name | Zorunlu | Kayda ad verir | Kaydın adı |
| 2 | caId | Zorunlu | Sertifikayı imzalayacak CA'yı seçer | lb ca ile oluşturulmuş ara CA |
| 3 | profileId | Zorunlu | Ömür ve kullanım gibi ayarları getiren profili seçer | Certificate Profiles kaydı |
| 4 | cn | Zorunlu | Sertifikanın asıl adını belirler | Common Name |
| — | --san | İsteğe bağlı | Sertifikanın kapsayacağı ek adları yazar | Virgülle ayrılmış adlar |
| — | --allowDownload | İsteğe bağlı | Anahtarın arayüzden indirilebilmesini açar | true · false (varsayılan false) |
renew-internal — Yenileme
Dahili üretilmiş bir sertifikayı hemen yeniler: yeni anahtar ve yeni seri numarası üretilir, bağlı kayıt yerinde güncellenir, servis yeni sertifikayla yeniden yüklenir.
| Sıra | Alan | Durum | Ne yapar | Arkasına ne yazılır |
|---|---|---|---|---|
| 1 | certId | Zorunlu | Yenilenecek sertifikayı seçer | Dahili üretilmiş bir sertifika kaydı |
admin@TR7LBWAF01> lb certificate renew-internal certId <sertifika>
⚠ Canlı sertifika değiştirilecek ve servis yeniden yüklenecek. Devam edilsin mi?
Devam etmek için "evet" yazın: evet
admin@TR7LBWAF01>
Örnekler
admin@TR7LBWAF01> lb certificate add type acmeSh name portal-cert \
--acmeShServer letsencrypt --acmeShEmailAddress pki@kurum.com.tr \
--acmeShChallengeType http01 --acmeShDomains.0.domain portal.kurum.com.tr \
--acmeShDomains.0.poolId <vService> --acmeShRenewThreshold 30
admin@TR7LBWAF01>
# dns01 seçilince DNS sağlayıcısı alanı açılır
admin@TR7LBWAF01> lb certificate add type acmeSh name joker-cert \
--acmeShChallengeType dns01 acmeShDnsProviderId <sağlayıcı> \
--acmeShDomains.0.domain "*.kurum.com.tr" --acmeShKeyLength ec-384
admin@TR7LBWAF01>
admin@TR7LBWAF01> lb certificate add type manual name elle-cert \
cert "<sertifika-pem>" key "<anahtar-pem>" --intermediateCertProfile <ca-profili>
admin@TR7LBWAF01> lb certificate add type pfx name pfx-cert pfxFile <dosya> --password <parola>
admin@TR7LBWAF01>
# dış CA'ya imzalatılacak istek
admin@TR7LBWAF01> lb certificate create-csr name dis-imzali cn portal.kurum.com.tr \
--o "Kurum" --c TR --san "www.kurum.com.tr,api.kurum.com.tr" --keyAlgo rsa4096
# dahili CA'dan üretim
admin@TR7LBWAF01> lb certificate issue-internal name ic-servis caId <ara-ca> \
profileId <profil> cn servis.kurum.local --san "10.0.10.21"
admin@TR7LBWAF01>
vService'e Bağlama
# certificate alanı yalnız HTTP ve TCP türündeki vService lerde bulunur
admin@TR7LBWAF01> lb service update id <vService> --certificate.0 <sertifika>
admin@TR7LBWAF01>
Güncelleme ve Silme
admin@TR7LBWAF01> lb certificate update id <kimlik> --acmeShRenewThreshold 45
admin@TR7LBWAF01> lb certificate update id <kimlik> --allowDownload true
admin@TR7LBWAF01> lb certificate delete <kimlik>
admin@TR7LBWAF01>
Bilinmesi Gerekenler
- Tür sonradan değişmez gibi davranılmalıdır. Kayıt hangi türle oluşturulduysa alanları ona göre açılır; başka bir yoldan sertifika almak için yeni kayıt oluşturmak daha güvenlidir.
- Yenileme onay ister.
renew-internalçalışmadan önce canlı sertifikanın değişeceğini ve servisin yeniden yükleneceğini söyleyen onay ekranı gelir. - CSR akışı iki adımlıdır.
create-csryalnız anahtarı ve isteği üretir; kayıt, dış CA'nın imzaladığı sertifika kayda yapıştırılana kadar tamamlanmaz. Anahtar bu süreçte cihazdan çıkmaz. buypasssunucusu artık sertifika vermiyor. Değer listede yalnız o sunucuya bakan eski kayıtların düzenlenebilmesi için duruyor; yeni kayıtlarda seçilmemelidir.- EAB bilgileri her sunucuda istenmez.
--acmeShEabIdve--acmeShEabHmacyalnızsslcom,googlevezerosslsunucularında açılır. - PEM metinleri tırnak ister. Sertifika ve anahtar metinleri satır sonu ve boşluk içerdiği için çift tırnak içinde yazılır.
