Wenn Sie hier gelandet sind, ohne die Einstiegsseite zu kennen, bitte lesen Sie diese zuerst. Dort wird auch erklärt was ACME ist.

Eine Freischaltung ist nur in Sonderfällen notwendig, wenn der ACME Server Ihren Server nicht per HTTP/S erreichen kann (fehlende Freischaltung von Port 80 in der Instituts/Enterprise-Cloud Firewall, fehlender DNS Eintrag). In den meisten Fällen sollte ACME ohne Anträge/Freischaltung funktionieren, wie auf der Einstiegsseite zu Serverzertifikaten beschrieben.

Bevor Sie eine Freischaltung beantragen:

certbot hat einen standalone Modus, so dass "normales ACME" auch auf Systemen funktioniert, auf denen kein Webserver läuft
prüfen Sie ob Sie Zugriff auf Port 80 für den ACME Server (acme.pki.cert.tu-dresden.de / 172.26.53.3 ) freischalten können (Enterprise-Cloud Firewall oder Institutsfirewall)

Ablauf der Freischaltung

Die Freischaltung von ACME Accounts erfolgt per formlosem Antrag an den Service Desk. Dort wird überprüft ob die beantragende Person für die beantragten Domains zuständig ist.

Die folgenden Schritte sind notwendig:

einen ACME Account r egistrieren (siehe unten)
ID des ACME Accounts auslesen
- Linux mit certbot ab Version 1.23:
```
certbot show_account --server https://acme.pki.cert.tu-dresden.de
```
- Linux mit älterem certbot:
  - die certbot Konfigurationsdatei "/etc/letsencrypt/accounts/acme.pki.cert.tu-dresden.de/<random>/regr.json" öffnen
  - dort den Wert ab "urn:uuid" auslesen
  - falls certbot als unprivilegierter Nutzer ausgeführt wird, befindet sich die Konfiguration unter Linux in `~/.acme`
- Windows mit simple-acme):
  - Im Pfad "C:\ProgramData\simple-acme\acme.pki.cert.tu-dresden.de" die Datei "Registration_v2" öffnen
  - den Eintrag "Kid" auslesen, dort ist der Wert ab "urn:uuid" relevant
Ticket zur Freischaltung beim Service Desk eröffnen
- Betreff "ACME Account freischalten"
- ACME Account ID angeben
- gewünschte Domains angeben
- Kurze Erläuterung warum kein "normales" ACME genutzt werden kann
sobald der ACME Account für die gewünschten Domains freigeschaltet ist, können mit dem ACME Client Zertifikate bezogen werden, ohne dass eine ACME Challenge gelöst werden muss

ACME Account registrieren

Linux mit certbot

Certbot installieren
- Debian/Ubuntu:
```
sudo apt install certbot python3-certbot-apache 
```
  - Oder python3-certbot-nginx falls auf dem Server nginx benutzt wird
- OpenSuSE/SLES:
```
sudo zypper install python3-certbot python3-certbot-apache 
```

ACME Account registrieren:

sudo certbot register -m ADMIN-EMAIL@tu-dresden.de --server https://acme.pki.cert.tu-dresden.de/

Weitere Informationen zu cerbot: https://certbot.eff.org/

Windows mit simple-acme

Simple-acme von https://simple-acme.com/download herunterladen und entpacken

ACME Account registrieren:

wacs.exe --register --emailaddress ADMIN-EMAIL@tu-dresden.de --baseuri "https://acme.pki.cert.tu-dresden.de/"

Weitere Informationen zu simple-acme : https://simple-acme.com/

ACME Account Domain Berechtigungen anzeigen

Mit folgenden Befehl können anhand der Account ID die freigeschalteten Domains für diesen Account ausgelesen werden:

curl https://acme.pki.cert.tu-dresden.de/account/urn:uuid:$account_uuid

Hinweis: Die Formatierung kann verbessert werden, wenn Sie das Paket „jq“ installieren und die Ausgabe durch jq leiten:

curl https://acme.pki.cert.tu-dresden.de/account/urn:uuid:$account_uuid | jq