Support

Installation

Erfahren Sie, wie Sie TLS Pilot mit dem heruntergeladenen Installer einrichten: Lizenz akzeptieren, Installationsordner wählen und Setup abschliessen. Daten landen unter ProgramData, Ereignisprotokolle werden angelegt, und ein eigener Zertifikatsspeicher-Ordner für private Schlüssel wird vorbereitet.

Dieses Tutorial-Video liegt noch nicht auf dem Server.

• Einführung 00:00
• Installer starten 00:07
• Lizenzvereinbarung 00:14
• Installationsverzeichnis 00:18
• Dateiübertragung und Protokolle 00:34
• Zertifikatsspeicher-Ordner 00:44
• Setup abschliessen 00:56

Community Edition Walkthrough

Gehen Sie nach der Installation durch die TLS Pilot Community Edition: bestätigen Sie die kostenlose Lizenz im initialen Setup-Assistenten, konfigurieren Sie Let's Encrypt (Staging oder Produktion), legen Sie den Erneuerungszyklus fest, stellen Sie anschliessend Ihr erstes ACME-Zertifikat mit DNS-01 aus, fügen Sie ein IIS-Deployment mit WinRM-Credentials hinzu und sehen Sie die automatische Erneuerung über den Management-Service.

Dieses Tutorial-Video liegt noch nicht auf dem Server.

• Introduction 00:00
• Start Initial Setup Wizard 00:09
• Community Edition license 00:27
• Choose ACME issuer 00:36
• Let's Encrypt email and staging 00:55
• Renewal cycle schedule 01:32
• Summary and Finalize 02:00
• First Steps and UI 02:09
• Create first ACME certificate 02:39
• Certificate name and SANs 03:17
• Key algorithm and challenge type 04:11
• DNS credentials 04:31
• Renewal window 05:26
• IIS deployment and WinRM 05:45
• Community Edition limits 08:21
• Issue now and DNS-01 08:46
• Deploy and health check 10:11
• Service, renewal, and wrap-up 11:02

Initialer Setup-Assistent

Gehen Sie nach der Installation durch den initialen Setup-Assistenten: Option zur Migrations-Wiederherstellung, Community versus bezahlte Lizenz, Zertifikatsaussteller (ACME, Enterprise CA, Private CA), Web UI und Identitätsanbieter, Erneuerungszyklus sowie Entra-ID-App-Registrierungs-Helper.

Dieses Tutorial-Video liegt noch nicht auf dem Server.

• Einführung 00:00
• Migrations-Backup-Option 00:17
• Lizenz und Community Edition 00:39
• Einmaligen Schlüssel eingeben 01:13
• Zertifikatsaussteller auswählen 01:59
• Private-CA-Überblick 02:48
• Let's-Encrypt-Kontakt-E-Mail 04:11
• Enterprise-CA-Vorlagen 04:41
• Private CA konfigurieren 04:58
• Web UI aktivieren 05:31
• Web-UI-Zertifikat 06:49
• Identitätsanbieter (AD oder Entra ID) 07:50
• Zeitplan für den Erneuerungszyklus 09:14
• Zusammenfassung und Abschluss 10:12
• Entra-ID-Helper und Zustimmung 10:19
• Erste Zertifikate und RBAC-Einblick 14:12

Private-CA-Zertifikat

Stellen Sie Ihr erstes Zertifikat über die integrierte Private CA aus. Geben Sie Common Name und SANs ein, legen Sie Gültigkeit und Schlüsselalgorithmus fest, dokumentieren Sie Zweck und Eigentümer, stellen Sie sofort aus und prüfen Sie Zertifikatsdetails sowie die PDF-Dokumentation.

Dieses Tutorial-Video liegt noch nicht auf dem Server.

• Einführung 00:00
• Neues Zertifikat und Aussteller 00:07
• Namen, CN und SANs 00:46
• Import aus vorhandenem CSR oder CRT 01:28
• Gültigkeit, Schlüsselalgorithmus, Erneuerung 01:51
• Deployments vorerst überspringen 02:55
• Dokumentation und Service Owner 03:02
• RBAC und Issue Now 03:59
• Zertifikatsdetails prüfen 04:35

Enterprise-CA-Zertifikat

Fordern Sie ein Zertifikat von einer Active-Directory-Enterprise-CA an: wählen Sie ausstellende CA und Vorlage, setzen Sie das Erneuerungsfenster, stellen Sie sofort aus und nutzen Sie Typfilter (EC, PC, AC) sowie die Suche in der Zertifikatsliste.

Dieses Tutorial-Video liegt noch nicht auf dem Server.

• Einführung 00:00
• Enterprise-CA-Aussteller wählen 00:13
• Namen und SANs 00:21
• Ausstellende CA und Vorlage 00:33
• Ausstellung und Typ-Badges 01:01
• Zertifikate filtern und suchen 01:36

ACME-Zertifikat

Stellen Sie ein öffentliches ACME-Zertifikat über Let's Encrypt aus: Staging versus Produktion, Leaf-Schlüsselalgorithmus, DNS-01-Validierung mit integrierten DNS-Anbietern, API-Credentials speichern und Zertifikat mit automatischer TXT-Validierung anfordern.

Dieses Tutorial-Video liegt noch nicht auf dem Server.

• Einführung 00:00
• Neues ACME-Zertifikat 00:11
• Common Name 00:39
• Staging- versus Produktionseinstellungen 00:49
• Optionen zur Domainvalidierung 01:27
• DNS-01 und DNS-Anbieter 01:44
• Credential Manager für die DNS-API 02:34
• Erneuerungsfenster und Issue Now 03:02
• ACME-Anforderung und Validierung 03:26

ACME-Einstellungen

Fügen Sie ACME-Provider unter Einstellungen hinzu und konfigurieren Sie sie: integrierte Directories, JSON-Import für ACME v2, Directory-URL-Prüfungen, EAB-Credentials, Standard-Schlüsselalgorithmen, Account-Reset, Freigabe für New Certificate sowie Wartezeit für die DNS-01-Propagation.

Dieses Tutorial-Video liegt noch nicht auf dem Server.

• Einführung 00:00
• Registerkarte ACME Providers 00:07
• Weitere Provider importieren 00:24
• Directory-URL anpassen 00:35
• EAB-Credentials 01:04
• Standard-Schlüsselalgorithmus 01:33
• Account zurücksetzen und aktivieren 01:55
• Wartezeit für DNS-01-Propagation 02:19

Weitere Challenge-Typen

Lernen Sie ACME-Challenge-Typen jenseits von DNS-01 kennen: HTTP-01 über Listener, lokales Webroot oder remote WinRM/SSH-Deployment der Validierungsdatei sowie TLS-ALPN-01 auf Port 443 mit den praktischen Einschränkungen gegenüber DNS-01 bei Wildcards.

Dieses Tutorial-Video liegt noch nicht auf dem Server.

• Einführung 00:00
• Challenge des Zertifikats ändern 00:04
• HTTP-01-Überblick 00:22
• Listener auf dem Management-Host 01:05
• Remote-WinRM- oder SSH-Webroot 01:27
• TLS-ALPN-01 und Port 443 01:59
• Warum DNS-01 bevorzugt wird 03:01

Zertifikatsexport

Exportieren Sie Zertifikate aus TLS Pilot in den Formaten, die Ihre Ziele benötigen: PFX/PKCS#12 mit Kette und privatem Schlüssel, verschlüsseltes PEM, separates CRT- und Key-ZIP, PKCS#8-PEM sowie PKCS#1 für ältere RSA-only-Anwendungen.

Dieses Tutorial-Video liegt noch nicht auf dem Server.

• Einführung 00:00
• Sicherer Speicher unter certlm 00:16
• Export aus TLS Pilot 00:47
• PFX / PKCS#12 01:05
• Verschlüsseltes PEM und privater Schlüssel 01:31
• Separates CRT- und Key-ZIP 02:01
• PKCS#8-PEM 02:16
• PKCS#1 für ältere Apps 02:33
• Export speichern 02:56

Local Store

Deployment — Local Store

Konfigurieren Sie das automatische Deployment in einen Windows-Zertifikatsspeicher (lokal oder remote): AD-Computerkonten durchsuchen, WinRM-Credentials inklusive gMSA/dMSA hinzufügen, Reload-Befehle und Dienstneustarts, Dry-Run-Validierung, Helper sowie Health Checks nach dem Deploy mit Drift-Redeploy.

Dieses Tutorial-Video liegt noch nicht auf dem Server.

• Einführung 00:00
• Deployments öffnen 00:12
• Deployment-Zieltypen hinzufügen 00:42
• Zertifikatsspeicher lokal oder remote 01:23
• AD durchsuchen und WinRM-Credentials 01:37
• gMSA- und dMSA-Optionen 02:29
• Reload-Befehle und Dienste 03:01
• Dry Run testen 03:54
• Credentials korrigieren und erneut testen 04:31
• Helper-Berechtigungen und Ablauf 05:03
• Speichern und jetzt deployen 06:00
• Health Check und Zyklus-Redeploy 06:52

IIS

Deployment — IIS

Deployen Sie ein Zertifikat auf eine remote IIS-Site: Host und Credentials wählen, Site-Name und HTTPS-Port (Standard 443) binden, Dry Run und Helper-Hinweise nutzen, sofort deployen und die HTTPS-Bindung auf dem Ziel prüfen.

Dieses Tutorial-Video liegt noch nicht auf dem Server.

• Einführung 00:00
• IIS-Deployment hinzufügen 00:08
• Site-Name und Port 00:36
• Helper und Dry Run 00:55
• Deployen und HTTPS binden 01:32
• Bindung auf dem Ziel prüfen 01:59

Nginx

Deployment — Nginx

Deployen Sie Zertifikate auf Linux-Ziele wie nginx über SSH: Linux-Secure-Shell-Credentials hinzufügen (Passwort oder PEM-Key), Cert- und Key-Pfade setzen, optional Owner/Group und Dienstneustart, Dry Run, dann deployen mit Health-Verifikation.

Dieses Tutorial-Video liegt noch nicht auf dem Server.

• Einführung 00:00
• nginx-Deployment hinzufügen 00:09
• SSH-Credentials 00:39
• Zertifikats- und Key-Pfade 01:03
• Port, Owner und Dienstneustart 01:19
• Dry Run und Deploy 01:48

App-Registrierung

Ersetzen Sie Client Secrets durch Zertifikatsauthentifizierung für Entra-ID-App-Registrierungen. Stellen Sie ein Private-CA-Auth-Zertifikat aus, deployen Sie es auf eine bestehende App mit dem Least-Privilege-Helper, legen Sie auch eine neue App-Registrierung an und deployen Sie das Zertifikat auf Scripting-Hosts, die sich an der App authentifizieren.

Dieses Tutorial-Video liegt noch nicht auf dem Server.

• Einführung 00:00
• Warum Zertifikate Client Secrets überlegen sind 00:42
• Private-CA-Auth-Zertifikat ausstellen 01:15
• Auf bestehende App-Registrierung deployen 02:20
• Helper und Least Privilege 03:19
• Helper ausführen und Ownership prüfen 04:56
• Zertifikat auf App Reg deployen 06:12
• Auch auf Scripting-Host-Store deployen 06:58
• Neue App-Registrierung erstellen 07:36
• Helper erstellt App und OwnedBy 08:11
• Im Entra-Portal prüfen 09:43
• Auth-Zertifikate versus TLS-Bindings 10:16

Azure Key Vault

Deployment — Azure Key Vault

Schieben Sie Zertifikate in Azure Key Vault über eine dedizierte App-Registrierung: Private-CA-Service-Account-Zertifikat erstellen, App mit dem Helper provisionieren, Key Vault Certificates Officer über den Vault-Helper gewähren, Dry Run, deployen und auf Erneuerung sowie health-gesteuertes Redeploy setzen.

Dieses Tutorial-Video liegt noch nicht auf dem Server.

• Einführung 00:00
• Key-Vault-Voraussetzungen 00:09
• Azure-Key-Vault-Zielfelder hinzufügen 01:07
• Überblick über Helper-Berechtigungen 02:00
• Key-Vault-Service-Zertifikat erstellen 03:03
• App-Registrierungs-Helper provisionieren 03:53
• Key-Vault-Deployment konfigurieren 05:11
• Vault über Helper autorisieren 06:06
• Dry Run, Deploy und Health 07:25
• Erneuerung und Drift-Redeploy 08:00
• Objekt im Key Vault prüfen 08:19

Custom Deployment

Nutzen Sie Custom Deployments der Enterprise Edition mit PowerShell für Ziele, die nicht integriert sind (Beispiel: Caddy). SSH-Credentials hinzufügen, Deployment- und Health-Check-Skripte mit den Variablen $cert/$target/$cred schreiben, Skriptfehler aus der Deploy-Ausgabe beheben, erneut deployen und das Live-Zertifikat prüfen.

Dieses Tutorial-Video liegt noch nicht auf dem Server.

• Einführung 00:00
• Ordner mit Beispielskripten 00:25
• Caddy-Szenario 00:56
• SSH-Credential hinzufügen 01:22
• Neues Zertifikat mit IP-SAN 02:01
• Custom Deployment auswählen 02:24
• Deployment- und Health-Skripte 03:03
• Ausstellen, Fehler und Skript korrigieren 04:40
• Redeploy und Prüfung im Browser 05:17

Web UI

Verwalten Sie TLS Pilot im Browser über die Web UI: unter Einstellungen aktivieren, Protokolle, Bind-Adresse, Port und TLS-Zertifikat, Anmeldung mit Entra ID, nahezu volle Verwaltungsparität sowie die Grenzen beim Starten von Helpern und dem remote Neustart des Dienstes.

Dieses Tutorial-Video liegt noch nicht auf dem Server.

• Einführung 00:00
• Erscheinungsbild und Registerkarte Web UI 00:20
• Protokolle, Port und Zertifikat 00:38
• RBAC über Entra ID 01:06
• Web UI öffnen und anmelden 01:39
• Zertifikate im Browser verwalten 02:03
• Grenzen von Helper und Dienst 02:16

RBAC

Konfigurieren Sie Role-Based Access Control für die Web UI mit AD oder Entra ID: Break-the-Glass-Local-Admins, Systemrollen (Reader, Owner, Manager, Deployment Admin, Deployer, Credential Admin), Gruppen- und Benutzerzuweisungen, Overrides pro Zertifikat sowie credential-scoped RBAC.

Dieses Tutorial-Video liegt noch nicht auf dem Server.

• Einführung 00:00
• Break-the-Glass-Konten 00:27
• RBAC Manager öffnen 01:18
• Überblick über Systemrollen 01:54
• Gruppen zuweisen und speichern 02:50
• Als Reader anmelden 03:17
• Benutzer zum Manager erheben 04:31
• Zugriff entziehen 05:12
• RBAC pro Zertifikat 05:36
• Manager auf zweitem Zertifikat 07:01
• Credential-scoped RBAC 07:37

Tenants

Nutzen Sie Tenants der Ultimate Edition für MSPs und grosse Teams: Tenants mit erlaubten Ausstellern und Enterprise-CA-Vorlagen anlegen, über den Tenant-Picker wechseln, RBAC-Rollen pro Tenant scopen und Credentials so binden, dass sie nur innerhalb dieses Tenants nutzbar sind.

Dieses Tutorial-Video liegt noch nicht auf dem Server.

• Einführung 00:00
• Tenants und Aussteller hinzufügen 00:27
• Tenant-Picker und New Certificate 01:11
• RBAC auf Tenants gescoped 01:52
• Credentials pro Tenant 02:32

Externe Credential Stores

Ziehen Sie Secrets aus externen Stores wie HashiCorp Vault (auch CyberArk, BeyondTrust, Azure Key Vault): Store unter Security konfigurieren, WinRM-Credentials aus Vault-Pfaden auflösen und alternativ Group oder Delegated Managed Service Accounts für Windows-Ziele nutzen.

Dieses Tutorial-Video liegt noch nicht auf dem Server.

• Einführung 00:00
• Store-Optionen auf der Registerkarte Security 00:22
• HashiCorp Vault konfigurieren 00:42
• Token-Credential speichern 00:59
• Verbindung testen und aktivieren 01:34
• WinRM-Credential aus Vault-Pfad 01:59
• Deploy mit Vault-Secret 03:25
• Alternative gMSA / dMSA 04:02
• Deploy mit Managed Service Account 05:21

Alerts und Logging

Bleiben Sie informiert mit Alert-Kanälen (E-Mail SMTP oder Exchange Online OAuth, Webhooks, Teams, Slack, Syslog), Event-Triggern inklusive Service Owner und Tenant-Filtern sowie Audit-/Betriebs-/Debug-Logging in Dateien und der Windows-Ereignisanzeige unter iTrain TLS Pilot.

Dieses Tutorial-Video liegt noch nicht auf dem Server.

• Einführung 00:00
• Überblick über Alert-Kanäle 00:12
• E-Mail SMTP und OAuth 00:46
• Webhooks 01:36
• Microsoft Teams und Slack 02:06
• Syslog 02:45
• Alert-Regel erstellen 03:01
• Service Owner und Filter 03:27
• Event-Trigger 04:07
• Registerkarte Logging 05:37
• Ordner in der Ereignisanzeige 07:01

Zertifikatsoptionen

Erweiterte Aktionen im Zertifikatslebenszyklus: Namen und Aussteller sind nach der Ausstellung fix, daher Ersatzzertifikat anlegen und Copy Deployments nutzen; löschen oder mit Begründung widerrufen; Force Renew mit Bewusstsein für ACME-Ratenlimits; sowie Rollback auf eine frühere, nicht widerrufene Version mit Redeploy.

Dieses Tutorial-Video liegt noch nicht auf dem Server.

• Einführung 00:00
• Namen nach Ausstellung gesperrt 00:33
• Neues Zertifikat als Ersatz 01:04
• Copy Deployments 01:55
• Optionen Löschen und Widerrufen 02:44
• Widerrufen mit Neuausstellung und Deploy 03:09
• Force Renew 04:33
• Rollback auf vorherige Version 05:15

Backup und Restore

Sichern Sie Konfiguration und Zertifikate von TLS Pilot: geplante Backups und Aufbewahrung, Same-Host-Backups mit DPAPI-geschützten Schlüsseln, passwortgeschützte Migrations-Backups für den Umzug auf einen anderen Server sowie selektives Restore Configuration nur für geänderte Bereiche.

Dieses Tutorial-Video liegt noch nicht auf dem Server.

• Einführung 00:00
• Zeitplan und Aufbewahrung 00:11
• Diesen Computer sichern 00:31
• Private Schlüssel und DPAPI 00:44
• Migrations-Backup 01:08
• Wiederherstellung im Setup-Assistenten 02:15
• Restore Configuration selektiv 02:30

Support-Ticket

Öffnen Sie ein Support-Ticket im Produkt per Chat mit Thomas (KI-First-Level, typischerweise innerhalb von etwa dreissig Minuten): E-Mail, Betreff und Beschreibung auf Deutsch oder Englisch angeben, Zusammenfassung bestätigen, per E-Mail antworten und bei Bedarf an den menschlichen Second-Level eskalieren.

Dieses Tutorial-Video liegt noch nicht auf dem Server.

• Einführung 00:00
• Support-Chat öffnen 00:06
• E-Mail, Betreff und Beschreibung 00:20
• Bestätigen und Ticket erstellen 01:01
• First-Level-KI und Eskalation 01:13
• Beispielantwort zu bestehenden Zertifikaten 02:06