Certifikatautomatisering

Certifikatautomatisering og CLM: vores løsninger

FairSSL har udviklet to løsninger til certifikatautomatisering, eller Certificate Lifecycle Management (CLM), som det også kaldes. Derudover forhandler vi CLM-løsninger direkte fra CA'erne GlobalSign og DigiCert.

Denne side giver overblikket: hvad de tre muligheder er, hvilken der passer til hvilket miljø, og hvor I starter. Begge vores egne løsninger begynder med en gratis konto. Hos FairSSL taler I med teknikere. Vi har ingen sælgere.

Tre muligheder

FairSSL ACME og sslbrain dækker hver sin slags miljø, og de kan bruges sammen. CLM-platformene fra CA'erne er til jer, der vil have CA'ens egen platform.

Cloud-tjeneste

FairSSL ACME

Hurtigt i gang. I kører en ACME-klient på hver server, og klienten bestiller, validerer og fornyer certifikatet hos FairSSL. Ingen appliance, ingen åbne porte ind og ingen installation ud over klienten.

Læs om FairSSL ACME

Passer til: Et mindre antal servere og udstyr, hvor en ACME-klient er let at holde kørende, eller hvor udstyret har ACME indbygget.
Det I driver selv: En ACME-klient pr. server, eller udstyrets indbyggede ACME. Domænevalideringen sker gennem én CNAME viderestilling til AutoDNS, så der ligger ingen DNS-nøgler på serverne.
Certifikater: Betalte DV- og OV-certifikater fra DigiCert, Thawte, GeoTrust og RapidSSL, som enkelt-domæne, SAN og wildcard.
Pris: 250 DKK pr. certifikat pr. år oveni certifikatprisen. Ét gebyr dækker op til 25 servere, der bruger certifikatet. Genudstedelser og SAN-ændringer er med.
Opstart: Opret en gratis FairSSL-konto, sæt CNAME viderestillingen op og installer klienten efter vores vejledning. Så er I i gang.

Software i jeres netværk

sslbrain

Central styring af meget, blandet og besværligt. sslbrain kører i jeres netværk som appliance eller i Docker og fornyer og installerer certifikater på servere, netværksudstyr og cloud-tjenester fra ét sted.

Sådan fornyer og installerer sslbrain automatisk

Passer til: Jer med et mere sammensat miljø eller større krav til tidsbesparelse og til styring af udstyr: mange servere, udstyr uden ACME-understøttelse eller compliance-krav.
Det I driver selv: sslbrain som appliance eller i Docker, forbundet til sslbrain Cloud. Service-agenter på serverne, og API eller SSH til netværksudstyr og cloud-tjenester uden agent. Private nøgler bliver hos jer.
Certifikater: Let's Encrypt, Google, DigiCert, Sectigo og GlobalSign indbygget, alle andre CA'er med ACME via egen ACME-kilde, og Windows CA og MitID Erhverv som tilkøb.
Pris: Free dækker 5 servere, 10 installationsplaner, op til 2 domæner og 1 bruger. Betalt fra 2.990 EUR pr. år ekskl. moms for 50 servere. En server, load balancer, firewall eller cloud-tjeneste tæller som én.
Opstart: Regn med tid til opstarten: appliancen skal sættes op og konfigureres, før den første server er forbundet. Free bruger sslbrains faste certifikatprofil, og på de betalte planer vælger I selv CA-kilder. Til gengæld falder arbejdet pr. server derefter.

Forhandles af FairSSL

CLM direkte fra CA'erne

CA'ernes egne platforme til jer, der vil have platformen fra den CA, I i forvejen køber certifikater hos, eller har brug for discovery, forbindelse til jeres lokale CA og SCEP til enheder i samme værktøj.

Se de fem niveauer af certifikatstyring

DigiCert Trust Lifecycle Manager

En containerbaseret platform i DigiCert ONE med separate managers til TLS, code signing, enheder og dokumenter. Kan køre i cloud, i eget land, on-premises eller hybrid.

GlobalSign

Atlas som udstedelseslag med ACME og EAB, TLS Connect med discovery og installation med eller uden agent, og LifeCycleX, der også samler certifikater fra Microsoft CA og EJBCA. Den eneste under jurisdiktion uden for USA blandt de CA'er, vi arbejder med.

Pris

Prisen aftales individuelt og hænger typisk sammen med jeres certifikatvolumen hos den pågældende CA. FairSSL leverer begge platforme. Kontakt os for pris og opsætning.

Hvilken passer til jer

Der er ingen fast grænse på antal servere. sslbrain bliver det rigtige valg, når arbejdet med at vedligeholde hver server overstiger prisen på central styring, og det sker hurtigere, når der er compliance-krav, udstyr uden ACME-understøttelse eller besværlige servere.

FairSSL ACME passer, når

Serverne kan køre en ACME-klient, eller udstyret har ACME indbygget.
I vil i gang uden at installere en central appliance og uden at åbne porte ind udefra.
I vil validere domæner via AutoDNS med én CNAME pr. domæne, så serverne ikke skal have DNS-API-nøgler.
Mange certifikater er samlet på load balancere, firewalls eller reverse proxy-servere med en ACME-klient.
Udstyr uden ACME kan I klare fra en server med en ACME-klient eller i hånden efter vores vejledning.

sslbrain passer, når

Der er mange servere, og agenten kan rulles ud på Windows via MSI/GPO.
Certifikaterne skal ud til flere push-destinationer, hvor sslbrain installerer dem uden agent.
Der er besværlige destinationer som F5, Kemp, FortiGate og Cisco.
Serverne er meget forskellige.
I har compliance-krav om, at private nøgler bliver i jeres netværk, eller skal have certifikater fra jeres Windows CA eller MitID Erhverv sammen med de offentlige.
I kan afsætte tid til at installere sslbrain-appliancen, forbinde serverne og sætte certifikatinstallationen op.

Alle de platforme, sslbrain installerer certifikater på (åbner sslbrain.com i en ny fane)

Udstyr med ACME: det, vejledningerne dækker

FairSSL ACME når dette udstyr enten med indbygget ACME eller via en vært med en ACME-klient. Hver vejledning beskriver den begrænsning, udstyret har.

FortiGate ACME indbygget til ét FQDN. Wildcard og flere SAN-navne går via en vært med lego eller simple-acme.
Cisco ASA Har et felt til ACME-serverens URL, men ingen felter til EAB. Hver enhed tilmeldes med sin egen engangs-URL.
Kemp LoadMaster Kan kun bruge én ACME-server. Har I certifikater fra både Let's Encrypt og FairSSL/DigiCert, flytter Kemp dem alle over på den ene. Vejledningen lader en vært hente certifikatet og overføre det via Kemps API.
NetScaler I vores vejledning henter NetScaler ikke selv certifikaterne: en Windows-server med simple-acme bestiller dem og overfører dem via NITRO API. NetScaler Console med ACME eller Zero Touch er en separat opsætning.

Rammer I en af begrænsningerne, er sslbrain lettere til FortiGate, Kemp LoadMaster og NetScaler, fordi det installerer certifikatet på udstyret via API.

Certifikater og CA'er

FairSSL ACME

Betalte DV- og OV-certifikater fra DigiCert, Thawte, GeoTrust og RapidSSL, som enkelt-domæne, SAN og wildcard. Produktet vælges centralt pr. profil, uden at røre serverne.

250 DKK pr. certifikat pr. år oveni certifikatprisen. Ét gebyr dækker op til 25 servere, der bruger det samme certifikat. Det er en ramme for gebyret, ikke en grænse for løsningen.

sslbrain

sslbrain bruger både gratis og betalte certifikater og falder automatisk tilbage til en anden CA, hvis den primære fejler.

Indbygget: Let's Encrypt, Google, DigiCert, Sectigo og GlobalSign.
Via ACME: Alle andre CA'er med ACME, fx ZeroSSL, Actalis, HARICA og Certum, som egen ACME-kilde fra Professional.
Windows CA (AD CS): Certifikater fra jeres egen Windows CA til interne systemer. Tilkøb til Enterprise.
MitID Erhverv: Servercertifikater fra MitID Erhverv. Tilkøb til Enterprise.

Gratis certifikater på alle planer. Betalte DV-certifikater fra Basic, hvor certifikatenheder købes oveni. Egen ACME-kilde og lokal ACME-kilde fra Professional. Windows CA og MitID Erhverv som tilkøb til Enterprise.

Priser på sslbrain

Fire eksempler

Fire miljøer, som vi kender dem fra kunder. Det er destinationerne og arbejdet med at passe dem, der afgør valget, ikke et bestemt antal servere.

FairSSL ACME

Det normale valg, når destinationerne kan bruge ACME.

7 servere og én firewall

6 Windows-servere kører IIS, Exchange, SharePoint, AD, ADFS, WAP og NAV/BC/CRM. Derudover er der 1 Linux-server og 1 firewall. En simpel opsætning.

Derfor FairSSL ACME: med AutoDNS (én CNAME pr. domæne) ligger der ingen DNS-API-nøgler på serverne, og der skal ikke åbnes firewall-porte ind til de interne servere.
1-2 proxyservere med 40+ certifikater

1-2 servere fungerer som load balancer, firewall eller reverse proxy og håndterer 40+ certifikater. Derudover er der 5-7 almindelige Windows-servere.

Derfor FairSSL ACME: klienten på proxy-serveren fornyer alle certifikaterne ét sted, og der er kun få servere at passe.

En firewall eller appliance uden ACME-understøttelse får certifikatet installeret efter vores vejledning, fra en server med en ACME-klient eller i hånden. Når der er flere af den slags, begynder sslbrain at give mening. Vejledninger: FortiGate, Cisco ASA, Kemp LoadMaster, NetScaler.

sslbrain

Når central styring sparer mere tid, end det tager at komme i gang.

40 servere, 5 af dem appliances

28 Windows-servere, 7 Linux-servere og 5 appliances. Uden central styring tager en generel ændring mere end en dag, og forskellene mellem systemerne kræver ekstern hjælp til nogle servere og appliances.

Derfor sslbrain: certifikaterne styres centralt, Windows-agenten kan rulles ud via MSI/GPO, og understøttet udstyr får certifikatet via push.
MSP med 40 servere på mange lokationer

En mindre MSP driver 10 lokale servere, primært for kunder. Derudover er der 10 eksterne lokationer eller DMZ'er med 2-4 servere pr. kunde.

Derfor sslbrain: kundernes certifikater og fornyelser styres ét sted på tværs af lokale servere, eksterne lokationer og DMZ'er.

De kan bruges sammen

I kan bruge FairSSL ACME til destinationer med ACME og sslbrain til resten af miljøet. sslbrain kan både bruge gratis certifikater og bestille betalte DV-certifikater på de betalte planer. Bruger I allerede FairSSL ACME, kan sslbrain blive relevant, når arbejdet med de enkelte servere eller behovet for integrationer vokser.

Kom i gang

Begge vores egne løsninger starter gratis, og I kan prøve dem uden at tale med nogen. Er I i tvivl, gennemgår vi jeres miljø og siger, hvad der passer, også når svaret er, at I ikke skal købe noget. Hos FairSSL taler I med teknikere. Vi har ingen sælgere.

Opret en gratis FairSSL-konto Installér sslbrain Free Kontakt os

Spørgsmål om valget

De spørgsmål, vi oftest får, når en kunde skal vælge mellem løsningerne.

Hvornår er FairSSL ACME det rigtige valg?

Når I vil hurtigt i gang uden appliance og uden at åbne porte ind, vil have betalte DV-certifikater fra DigiCert, Thawte, GeoTrust eller RapidSSL, og destinationerne kan bruge ACME. FairSSL ACME passer, når det er let at holde en ACME-klient kørende på hver server, og der ikke er mange destinationer, der kræver særskilte integrationer. I kører ACME-klienterne på serverne eller bruger udstyrets indbyggede ACME.

Hvornår skal vi vælge sslbrain frem for FairSSL ACME?

Når I vil samle certifikatstyringen på tværs af mange, blandede eller besværlige destinationer, eller installere på udstyr uden ACME-klient gennem sslbrains integrationer. Det bliver relevant, når arbejdet med at vedligeholde hver server koster mere end central styring, og det sker hurtigere ved compliance-krav, udstyr uden ACME-understøttelse og besværlige servere. Gratis certifikater er med på alle planer, og Let's Encrypt, Google, DigiCert, Sectigo og GlobalSign er indbygget. En egen ACME-kilde kræver Professional eller Enterprise, og Windows CA og MitID Erhverv kræver Enterprise med tilkøb.

Er der en grænse for, hvor mange servere FairSSL ACME kan bruges til?

Nej. Der er ingen fast grænse på antal servere. Gebyret på 250 DKK pr. certifikat pr. år dækker op til 25 servere, der bruger det samme certifikat, og det er en ramme for gebyret, ikke for løsningen. Grænsen går ved arbejdet: når det at holde en ACME-klient kørende på hver server koster mere end central styring, er sslbrain det rigtige valg.

Kan vi bruge FairSSL ACME og sslbrain samtidig?

Ja. FairSSL ACME til destinationer med ACME og sslbrain til resten af miljøet. sslbrain kan både bruge gratis certifikater og bestille betalte DV-certifikater på de betalte planer, så I kan også samle det hele i sslbrain senere, hvis arbejdet med de enkelte servere vokser.

Hvornår giver en CLM-platform fra DigiCert eller GlobalSign mening?

Når I vil have platformen fra den CA, I i forvejen køber certifikater hos, eller har brug for discovery, forbindelse til jeres lokale CA og SCEP til enheder i samme værktøj. Prisen aftales individuelt og hænger typisk sammen med jeres certifikatvolumen hos CA'en. FairSSL leverer DigiCerts og GlobalSigns platforme og hjælper med at vælge, også når svaret er, at I ikke skal købe en platform.