Step CA

Eigener ACME Server

• step-ca erlaubt es einen eigenen ACME Server zu hosten
• die Software wurde von der Firma Smallstep entwickelt
• ACME-Client bots, die custom ACME Server benutzen können (wie z.B. acme.sh), sind so in der Lage Zertifikate von einen selbst gehosteten Server signieren zu lassen

Installation

• Es sind zwei Pakete erforderlich, um step-ca zu betreiben: step-cli und step-certificates
• Für Debian basierte Systeme wäre es:
• wget https://dl.smallstep.com/gh-release/certificates/gh-release-header/vXX.YY.ZZ/step-ca_XX.YY.ZZ_amd64.deb
• dpkg -i step-ca_XX.YY.ZZ_amd64.deb
• wget https://dl.smallstep.com/gh-release/cli/gh-release-header/vXX.YY.ZZ/step-cli_XX.YY.ZZ_amd64.deb
• dpkg -i step-cli_XX.YY.ZZ_amd64.deb
• Der step-Dienst sollte unter einen dedizierten Nutzer laufen
• useradd -m -s /bin/bash step
• Ein systemd-Dienst kann angelegt werden, um das Starten, Überwachen und Stoppen zu vereinfachen
• vim /etc/systemd/system/step-ca.service

[Unit]
Description=step-ca
After=syslog.target network.target

[Service]
User=step
Group=step
ExecStart=/bin/sh -c '/bin/step-ca /home/step/.step/config/ca.json --password-file=/home/step/.step/pwd >> /var/log/step-ca/output.log 2>&1'
Type=simple
Restart=on-failure
RestartSec=10

[Install]
WantedBy=multi-user.target

• Nun noch die richtigen Berechtigungen und Eigentümer auf die benötigten Ordner setzen
• mkdir -p /var/log/step-ca
• chown -R step:step /var/log/step-ca
• Falls der Server auf Port 443 laufen sollte, muss eine Capability auf die Binary gesetzt werden
• setcap CAP_NET_BIND_SERVICE=+eip /bin/step-ca

Konfiguration

• Für die initiale Konfiguration gibt es einen Wizard, welcher die Parameter für eine minimalen Konfiguration abfrägt
• step ca init

Links

• https://blog.sean-wright.com/self-host-acme-server/
• https://github.com/smallstep/cli/releases
• https://github.com/smallstep/certificates/releases