Bestandteile eines Zertifikats: Leaf, Intermediates, Root und Schlüssel

Ein Server präsentiert nicht ein einzelnes Zertifikat, sondern eine Kette:

• Leaf-Zertifikat: das Zertifikat des Servers oder Dienstes, mit den Namen (Common Name und SANs) und dem öffentlichen Schlüssel. Es wird von einer Intermediate-CA ausgestellt.
• Intermediate-Zertifikate: die Zertifikate der ausstellenden CAs zwischen Leaf und Root. Ein Client braucht sie, um den Pfad zu einer Root zu bilden, der er vertraut. Die meisten Probleme mit Ketten sind fehlende Intermediates.
• Root-Zertifikat: das selbstsignierte Zertifikat der Root-CA. Clients vertrauen ihm, weil es bereits in ihrem Root-Store liegt, zum Beispiel unter Trusted Root Certification Authorities von Windows. Der Server sendet es normalerweise nicht mit.
• Privater Schlüssel: gehört zum Leaf-Zertifikat und verlässt den Server, auf dem er verwendet wird, nie, ausser in einem geschützten Export. TLSPilot bewahrt ihn auf dem Management-Host auf; deshalb brauchen Export und die Dateiziele einen gespeicherten Schlüssel.

Full Chain (oft fullchain.pem) bedeutet das Leaf gefolgt von den Intermediates in einer PEM-Datei, ohne Root. Das erwarten Webserver wie Nginx. Eine Datei namens chain.pem enthält meist nur die Intermediates. TLSPilot speichert die Kette, die es von der CA erhält, und benennt die Dateien entsprechend: Unter Linux ist der Standard /etc/ssl/tlspilot/<cert-id>/fullchain.pem und privkey.pem; File Path (WinRM) und UNC share schreiben <name>-fullchain.pem und <name>-privkey.pem, wenn das Ziel ein Ordner ist und der Schlüssel in eine separate Datei geschrieben wird.