ARI (ACME Renewal Information)

Mit ARI (ACME Renewal Information, RFC 9773) teilt die CA TLSPilot mit, wann ein Zertifikat erneuert werden soll. Die CA veröffentlicht für jedes Zertifikat ein empfohlenes Erneuerungsfenster. Muss die CA Zertifikate vorzeitig ersetzen, zum Beispiel nach einem Compliance-Vorfall, kann sie dieses Fenster vorziehen und so eine frühe Erneuerung anfordern. Let’s Encrypt, Google Trust Services, Sectigo, ZeroSSL und DigiCert ONE bieten ARI an. Bei Let’s Encrypt sind von ARI gesteuerte Erneuerungen von allen Rate Limits ausgenommen.

So verwendet TLSPilot ARI:

• Automatisch: Bietet das ACME-Directory des Providers ARI an (renewalInfo), verwendet TLSPilot das Erneuerungsfenster der CA. TLSPilot erkennt das pro Directory, sodass ARI auch ohne Update greift, wenn eine CA es später einführt. Die Enterprise CA und die Private CA verwenden kein ARI.
• Erneuerung: TLSPilot speichert einen zufälligen Zeitpunkt im ersten Zehntel des Fensters bzw. des ARI-Fensters, spätestens am Ende dieses Tages, und erneuert dann. Es verteilt dabei nicht. Das Deployment übernimmt der nächste Zyklus. Ein Fenster, das erst vor dem nächsten Zyklus endet, wird nicht vorzeitig erneuert. Zieht die CA das Fenster vor und ist der Notfallschalter eingeschaltet, erneuert und verteilt TLSPilot sofort (Event 1221). Siehe Kapitel Automatisch erneuern.
• Abfrage: TLSPilot fragt die CA nach der Ausstellung und danach so oft, wie die CA es verlangt, aber mindestens einmal am Tag und höchstens einmal pro Minute. Ohne solche Vorgabe fragt es alle 6 Stunden.
• Ersatz: Mit ARI teilt die neue Bestellung der CA mit, welches Zertifikat sie ersetzt.
• Anzeige: Status und Next action zeigen den Plan (ARI oder Fallback), das Fenster der CA und, falls die CA einen bereitstellt, den Link zu ihrer Erklärung. Die Desktop Admin Console, die WebUI und das PowerShell-Modul zeigen denselben Text.

Notfalloption «Renew immediately on CA emergency»

Im Notfall, zum Beispiel nach einem Widerruf, zieht die CA das Fenster vor, sodass das Zertifikat sofort erneuert werden muss. Für diesen Fall bietet TLSPilot die Option Renew immediately on CA emergency:

Die Option wirkt nur, wenn die CA das Fenster vorgezogen hat. Bei eingeschaltetem Schalter erneuert und verteilt TLSPilot sofort (Event 1221). Bei ausgeschaltetem Schalter wird dieses Fenster zu einem zufälligen Zeitpunkt darin erneuert und im nächsten Zyklus verteilt.

Der Schieberegler für das Erneuerungsfenster als Fallback

Das mit dem Schieberegler eingestellte Erneuerungsfenster bleibt aktiv und ist als Fallback bezeichnet. TLSPilot verwendet es, wenn die CA kein ARI anbietet oder ARI dauerhaft fehlschlägt. Liefert die CA Erneuerungsinformationen, zeigt die Zeile über dem Schieberegler das Fenster der CA. Bei ACME-, Private-CA- und Enterprise-CA-Zertifikaten liegt das Maximum des Schiebereglers knapp unter der Gültigkeit des aktuellen Zertifikats: die Gültigkeit minus einen Tag, bei Zertifikaten mit weniger als 10 Tagen Gültigkeit minus eine Stunde. Empfohlen sind höchstens 30 Tage oder ein Drittel der Gültigkeit. Bei einem neuen Zertifikat stellt TLSPilot den Schieberegler anhand der erwarteten Laufzeit des Profils ein und zeigt vor der ersten Bestellung Renewal timing is set by the CA (ARI).; der Schieberegler heisst dann Fallback if ARI fails (before expiry). Ohne gültiges ARI-Fenster verwendet TLSPilot den Ablauf minus den Wert des Schiebereglers, erneuert zu einem zufälligen Zeitpunkt und verteilt im nächsten Zyklus.

Auf dem Tab Details zeigt die Certificate timeline das von der CA empfohlene ARI-Fenster, die geplante Erneuerung zu ihrem gespeicherten Zeitpunkt und das Fallback-Fenster, siehe Abbildung Certificate timeline mit dem ARI-Fenster der CA.