Sissejuhatus

Tartu Ülikool kasutab veebilehtedele sertifikaatide tellimiseks kahte sertifitseerimisteenuse pakkujat, LetsEncrypt ja Sectigo:

• Tasulises veebimajutuse serveris webhost.ut.ee on võimalik valida mõlemat lahendust, vaikimisi seadistakse LetsEncrypt.
• Sisu.ut.ee lehtedel on kasutusel ainult LetsEncrypt.
• Kõigil ülejäänud juhtudel võib vastavalt oma oskusele seadistada kas LetsEncrypt või tellida Sectigo CA sertifikaat ITO vahendusel.
• Webhost.ut.ee ja sisu.ut.ee LetsEncrypt teenuse seadistavad ITO töötajad. Sectigo CA sertifikaate tellivad enamasti ITO ja HPC töötajad, kuid põhjendatud vajaduse puhul teeme Sectigo sertifikaaditellimise konto ka ITO-välistele TÜ töötajatele.

LetsEncrypt

LetsEncrypt - tasuta teenus mis nõuab veebiserveris sertifikaadi uuendamise utiliidi paigaldamist. See on vajalik, sest LetsEncrypt väljastab ainult paarikuulise kehtivusajaga sertifikaate. Veebileht peab sertifikaadi tellimiseks ja uuendamiseks olema avatud kogu Internetile;

Täpsemad juhendid leiab teenusepakkuja veebiportaalist.

Sectigo - see sektsioon on ainult neile kellel on kehtiv Sectigo sertifikaatide tellimise konto

Teenuselepingu hankija on GÉANT, Tartu ülikoolile vahendab seda HTM all toimiv EENet. Sectigo CA teenus on TÜ jaoks tasuta. Kehtivate teenusetingimuste alusel tohib Sectigo sertifikaate tellida ainult Tartu Ülikooli nimele registreeritud domeeninimedele. Sertifikaat kehtib maksimaalselt ühe aasta, tellida saab nii teenusepakkuja veebiportaali kaudu, kui ka certbot skriptidega üle ACME protokolli.

Sertifikaadi tellimine Sectigo CA portaalist

1. Logi sisse Sectigo veebiportaali ja veendu et vajalikule teise taseme domeeninimele on portaalis võimalik sertifikaati tellida:
   (vasakul ülanurgas kolm kriipsu - menüü) Domains - manab ette saadaval olevate 2LD domeeninimede nimekirja
   Kui vajalikku 2LD domeeninime selles nimestikus ei ole, siis pöördu ITO kasutajatoe poole selle lisamise nõudega
2. Sertifikaadi tellimiseks tuleb luua võtmefail ning sertifikaaditellimuse fail.

3. Võtmefaili loomiseks sobib Linuxi käsurea käsk:

   Code Block
   openssl genrsa -out <id>.key 2048

   <id> tuleb asendada identifitseeriva nimega, näiteks sobib selleks domeeninimi ja tellimise aasta, nagu "www.ut.ee_2021". Käsu tulemusena tekib fail <id>.key.

4. Sertifikaaditellimise faili loomiseks sobib käsk:
   

   Code Block
   openssl req -new -sha256 -key <id>.key -out <id>.csr -subj '/CN=<domeeninimi>'

   <id> on sama mis võtme loomisel. Käsu tulemusena tekib fail <id>.csr

5. Veendu et domeeninimi on valideeritud - vali menüüst (vasakul ülanurgas kolm kriipsu):
6. Domains → veendu et vajaliku domeeninime staatus on "VALIDATED"
   Kui domeeninimi ei ole valideeritud, siis saada ITO kasutajatoele nõue domeeninime valideerimiseks

7. Vali menüüst (vasakul ülanurgas kolm kriipsu):
   Certificates → SSL Certificates → "+" (paremal ülanurgas) → Using a Certificate Signing Request (CSR) → Next

8. Rippmenüüst:
   Organization -> Tartu Ülikool
   Department -> Tartu Ülikooli vastav allüksus millele sertifikaati tellitakse
   Certificate Profile -> "GÉANT OV SSL" või "GÉANT OV Multi-Domain", kui sertifikaat katab rohkem kui ühe domeeninime

9. Vajuta Next.

10. Tekib ala kuhu saab hiirega lohistada eelnevalt loodud <id>.csr faili või kopeerida selle faili sisu tekstina.

11. Vajuta Next.

12. Multi-Domain puhul saab nüüd lisada "Subject Alternative Names" lahtrisse lisadomeeninimesid

13. Vajuta Next → OK.

Mõne aja möödudes saadab Sectigo CA e-postiga juhised kuidas värskelt loodud sertifikaat alla laadida. Kui e-kiri ei ole tunni jooksul saabunud, siis on juba põhjust arvutiabi poole pöörduda.

Sertifikaadi tellimine ACME teel certbot utiliidiga

1. Certbot kasutamiseks peab olema eelnevalt seadistatud letsencrypt kataloogis Sectigo võtmefailide kataloog
   Kui seda ei ole, siis küsi see ITO kasutajatoe vahendusel
2. Certbot abil saab tellida sertifikaate ainult Sectigo portaalis valideeritud ja skriptiga tellimiseks lubatud domeeninimedele
   Kui sertifikaadi tellimine ei õnnestu, siis anna sellest teada ITO kasutajatoele

3. Sertifikaadi tellimise käsurea näide:

   Code Block
   certbot certonly --standalone -d minuveeb.ut.ee