Wann die Erneuerung läuft

Für ein bereits ausgestelltes Zertifikat speichert TLSPilot einen zufälligen UTC-Zeitpunkt und erneuert zu diesem Zeitpunkt. Der Zeitpunkt wird nicht neu gewählt, solange das Erneuerungsfenster gleich bleibt.

• Ohne ARI (Private CA, Enterprise CA oder ACME ohne verwendbares CA-Fenster): ein zufälliger Zeitpunkt im ersten Zehntel des Erneuerungsfensters, spätestens am Ende des Tages, an dem sich das Fenster öffnet, in der Ortszeit des Management-Hosts.
• Mit ARI: dieselbe Regel, angewendet auf das von der CA empfohlene Fenster. Das CA-Fenster hat Vorrang vor dem Schieberegler.

Der Zeitpunkt wird mit dem Zertifikat gespeichert. TLSPilot bestimmt nur dann einen neuen, wenn sich das Fenster ändert: Der Schieberegler wird geändert, das Folgen einer Enterprise-CA-Vorlage ändert das Fenster, oder ein ARI-Fenster verschiebt sich um mehr als eine Stunde. Bei einer Verschiebung von einer Stunde oder weniger bleibt der gespeicherte Zeitpunkt bestehen.

Im letzten Zyklus vor dem Ablauf des Zertifikats gibt es keine zufällige Wahl. Speichert TLSPilot die geplante Erneuerung für ein Fenster zum ersten Mal, ist sie der Beginn des Fensters, wenn dieser noch bevorsteht, oder der Zeitpunkt des Speicherns, wenn das Fenster bereits offen ist. Eine früher für dasselbe Fenster gespeicherte geplante Erneuerung behält ihren Zeitpunkt. Das erneuerte Zertifikat wird in diesem letzten Zyklus verteilt. Liegt die geplante Erneuerung weniger als 1 Stunde vor diesem Zyklus oder danach, laufen Erneuerung und Deployment zum Zeitpunkt der geplanten Erneuerung gemeinsam. Eine geplante Erneuerung genau 1 Stunde vor diesem Zyklus verteilt weiterhin im Zyklus. ARI-Fenster folgen denselben Regeln.

Die Erneuerung verteilt nicht. Das neue Zertifikat wird im nächsten Zyklus verteilt, weil sich das Zertifikat auf dem Ziel vom aktuellen unterscheidet. Der Alert für den manuellen DNS-TXT-Eintrag wird gesendet, wenn diese Erneuerung tatsächlich startet. Eine Beschränkung auf Geschäftszeiten gibt es für diesen Alert nicht.