Certifikatautomatisering

Certifikatautomatisering och CLM: våra lösningar

FairSSL har utvecklat två lösningar för certifikatautomatisering, eller Certificate Lifecycle Management (CLM) som det också kallas. Dessutom säljer vi CLM-lösningar direkt från CA:erna GlobalSign och DigiCert.

Den här sidan ger överblicken: vad de tre alternativen är, vilket som passar vilken miljö och var ni börjar. Båda våra egna lösningar börjar med ett gratis konto. Hos FairSSL pratar ni med tekniker. Vi har inga säljare.

Tre alternativ

FairSSL ACME och sslbrain täcker var sin typ av miljö, och de kan användas tillsammans. CLM-plattformarna från CA:erna är för er som vill ha CA:ns egen plattform.

Molntjänst

FairSSL ACME

Snabbt igång. Ni kör en ACME-klient på varje server, och klienten beställer, validerar och förnyar certifikatet hos FairSSL. Ingen appliance, inga öppna portar in och ingen installation utöver klienten.

Läs om FairSSL ACME

Passar för: Ett mindre antal servrar och utrustning där en ACME-klient är lätt att hålla igång, eller där utrustningen har ACME inbyggt.
Det ni driftar själva: En ACME-klient per server, eller utrustningens inbyggda ACME. Domänvalideringen sker genom en enda CNAME till AutoDNS, så inga DNS-nycklar ligger på servrarna.
Certifikat: Betalda DV- och OV-certifikat från DigiCert, Thawte, GeoTrust och RapidSSL, som enkeldomän, SAN och wildcard.
Pris: 370 SEK per certifikat och år utöver certifikatpriset. En avgift täcker upp till 25 servrar som använder certifikatet. Omutfärdanden och SAN-ändringar ingår.
Uppstart: Skapa ett gratis FairSSL-konto, lägg upp CNAME-posten och installera klienten enligt vår guide. Sedan är ni igång.

Programvara i ert nätverk

sslbrain

Central hantering av mycket, blandat och besvärligt. sslbrain körs i ert nätverk som appliance eller i Docker och förnyar och installerar certifikat på servrar, nätverksutrustning och molntjänster från ett ställe.

Så förnyar och installerar sslbrain automatiskt (på engelska)

Passar för: Er med en mer sammansatt miljö eller större krav på tidsbesparing och på att hantera utrustning: många servrar, utrustning utan ACME-stöd eller compliance-krav.
Det ni driftar själva: sslbrain som appliance eller i Docker, ansluten till sslbrain Cloud. Serviceagenter på servrarna, och API eller SSH till nätverksutrustning och molntjänster utan agent. Privata nycklar stannar hos er.
Certifikat: Let's Encrypt, Google, DigiCert, Sectigo och GlobalSign inbyggda, alla andra CA:er med ACME via egen ACME-källa, och Windows CA och MitID Erhverv som tillval.
Pris: Free täcker 5 servrar, 10 installationsplaner, upp till 2 domäner och 1 användare. Betald från 2 990 EUR per år exkl. moms för 50 servrar. En server, lastbalanserare, brandvägg eller molntjänst räknas som en.
Uppstart: Räkna med tid för uppstarten: appliancen ska sättas upp och konfigureras innan den första servern är ansluten. Free använder sslbrains fasta certifikatprofil, och på de betalda planerna väljer ni själva CA-källor. I gengäld minskar arbetet per server därefter.

Säljs av FairSSL

CLM direkt från CA:erna

CA:ernas egna plattformar för er som vill ha plattformen från den CA ni redan köper certifikat hos, eller behöver discovery, koppling till er lokala CA och SCEP för enheter i samma verktyg.

Se de fem nivåerna av certifikathantering

DigiCert Trust Lifecycle Manager

En containerbaserad plattform i DigiCert ONE med separata managers för TLS, code signing, enheter och dokument. Kan köras i molnet, in-country, on-premises eller hybrid.

GlobalSign

Atlas som utfärdandelager med ACME och EAB, TLS Connect med discovery och driftsättning med eller utan agent, och LifeCycleX, som även samlar certifikat från Microsoft CA och EJBCA. Den enda med jurisdiktion utanför USA bland de CA:er vi arbetar med.

Pris

Priset avtalas individuellt och hänger normalt samman med er certifikatvolym hos den aktuella CA:n. FairSSL levererar båda plattformarna. Kontakta oss för pris och installation.

Vilken passar er

Det finns ingen fast gräns för antalet servrar. sslbrain blir rätt val när arbetet med att underhålla varje server överstiger priset för central hantering, och det sker tidigare när det finns compliance-krav, utrustning utan ACME-stöd eller besvärliga servrar.

FairSSL ACME passar när

Servrarna kan köra en ACME-klient, eller utrustningen har ACME inbyggt.
Ni vill komma igång utan att installera en central appliance och utan att öppna portar in utifrån.
Ni vill validera domäner via AutoDNS med en CNAME per domän, så att servrarna inte behöver API-nycklar till DNS.
Många certifikat är samlade på lastbalanserare, brandväggar eller omvända proxyservrar med en ACME-klient.
Utrustning utan ACME klarar ni från en server med en ACME-klient eller för hand enligt vår guide.

sslbrain passar när

Det finns många servrar, och agenten kan rullas ut på Windows via MSI/GPO.
Certifikaten ska ut till flera push-destinationer, där sslbrain installerar dem utan agent.
Det finns besvärliga destinationer som F5, Kemp, FortiGate och Cisco.
Servrarna är mycket olika.
Ni har compliance-krav på att privata nycklar stannar i ert nätverk, eller behöver certifikat från er Windows CA eller MitID Erhverv tillsammans med de publika.
Ni kan avsätta tid för att installera sslbrain-appliancen, ansluta servrarna och ställa in certifikatinstallationen.

Alla plattformar som sslbrain installerar certifikat på (öppnar sslbrain.com i en ny flik)

Utrustning med ACME: det guiderna täcker

FairSSL ACME når den här utrustningen antingen med inbyggt ACME eller via en värd med en ACME-klient. Varje guide beskriver den begränsning utrustningen har.

FortiGate ACME inbyggt för ett FQDN. Wildcard och flera SAN-namn går via en värd med lego eller simple-acme.
Cisco ASA Har ett fält för ACME-serverns URL men inga fält för EAB. Varje enhet registreras med sin egen engångs-URL.
Kemp LoadMaster Kan bara använda en ACME-server. Har ni certifikat från både Let's Encrypt och FairSSL/DigiCert flyttar Kemp alla till den ena. Guiden låter en värd hämta certifikatet och överföra det via Kemps API.
NetScaler I vår guide hämtar NetScaler inte certifikaten själv: en Windows-server med simple-acme beställer dem och överför dem via NITRO API. NetScaler Console med ACME eller Zero Touch är en separat lösning.

Stöter ni på en av begränsningarna är sslbrain enklare för FortiGate, Kemp LoadMaster och NetScaler, eftersom det installerar certifikatet på utrustningen via API.

Certifikat och CA:er

FairSSL ACME

Betalda DV- och OV-certifikat från DigiCert, Thawte, GeoTrust och RapidSSL, som enkeldomän, SAN och wildcard. Produkten väljs centralt per profil, utan att röra servrarna.

370 SEK per certifikat och år utöver certifikatpriset. En avgift täcker upp till 25 servrar som använder samma certifikat. Det är en ram för avgiften, inte en gräns för lösningen.

sslbrain

sslbrain använder både gratis och betalda certifikat och växlar automatiskt till en annan CA om den primära fallerar.

Inbyggt: Let's Encrypt, Google, DigiCert, Sectigo och GlobalSign.
Via ACME: Alla andra CA:er med ACME, till exempel ZeroSSL, Actalis, HARICA och Certum, som egen ACME-källa från Professional.
Windows CA (AD CS): Certifikat från er egen Windows CA till interna system. Tillval till Enterprise.
MitID Erhverv: Servercertifikat från MitID Erhverv. Tillval till Enterprise.

Gratis certifikat på alla planer. Betalda DV-certifikat från Basic, där certifikatenheter köps utöver. Egen ACME-källa och lokal ACME-källa från Professional. Windows CA och MitID Erhverv som tillval till Enterprise.

Priser för sslbrain

Fyra exempel

Fyra miljöer som vi känner igen från kunder. Destinationerna och arbetet med att sköta dem avgör valet, inte ett visst antal servrar.

FairSSL ACME

Det normala valet när destinationerna kan använda ACME.

7 servrar och en brandvägg

6 Windows-servrar kör IIS, Exchange, SharePoint, AD, ADFS, WAP och NAV/BC/CRM. I miljön finns också 1 Linux-server och 1 brandvägg. En enkel uppsättning.

Därför FairSSL ACME: med AutoDNS (en CNAME per domän) ligger inga API-nycklar till DNS på servrarna, och inga brandväggsportar behöver öppnas in till de interna servrarna.
1-2 proxyservrar med 40+ certifikat

1-2 servrar fungerar som lastbalanserare, brandvägg eller omvänd proxy och hanterar 40+ certifikat. I miljön finns också 5-7 vanliga Windows-servrar.

Därför FairSSL ACME: klienten på proxyservern förnyar alla certifikaten på ett ställe, och det finns bara några få servrar att sköta.

En brandvägg eller appliance utan ACME-stöd får certifikatet installerat enligt vår guide, från en server med en ACME-klient eller för hand. När det finns flera sådana börjar sslbrain löna sig. Guider: FortiGate, Cisco ASA, Kemp LoadMaster, NetScaler.

sslbrain

När central hantering sparar mer tid än det tar att komma igång.

40 servrar, 5 av dem appliances

28 Windows-servrar, 7 Linux-servrar och 5 appliances. Utan central hantering tar en generell ändring mer än en dag, och skillnaderna mellan systemen kräver extern hjälp med vissa servrar och appliances.

Därför sslbrain: certifikaten hanteras centralt, Windows-agenten kan rullas ut via MSI/GPO och utrustning som stöds får certifikatet via push.
MSP med 40 servrar på många platser

En mindre MSP driver 10 lokala servrar, främst för kunder. Dessutom finns 10 externa platser eller DMZ:er med 2-4 servrar per kund.

Därför sslbrain: kundernas certifikat och förnyelser hanteras på ett ställe för lokala servrar, externa platser och DMZ:er.

De kan användas tillsammans

Ni kan använda FairSSL ACME för destinationer med ACME och sslbrain för resten av miljön. sslbrain kan både använda gratis certifikat och beställa betalda DV-certifikat på de betalda planerna. Använder ni redan FairSSL ACME kan sslbrain bli aktuellt när arbetet med de enskilda servrarna eller behovet av integrationer växer.

Kom igång

Båda våra egna lösningar börjar gratis, och ni kan prova dem utan att prata med någon. Är ni osäkra går vi igenom er miljö och säger vad som passar, även när svaret är att ni inte ska köpa något. Hos FairSSL pratar ni med tekniker. Vi har inga säljare.

Skapa ett gratis FairSSL-konto Installera sslbrain Free Kontakta oss

Frågor om valet

De frågor vi oftast får när en kund ska välja mellan lösningarna.

När är FairSSL ACME rätt val?

När ni vill komma igång snabbt utan appliance och utan att öppna portar in, vill ha betalda DV-certifikat från DigiCert, Thawte, GeoTrust eller RapidSSL, och destinationerna kan använda ACME. FairSSL ACME passar när en ACME-klient är lätt att hålla igång på varje server och det inte finns många destinationer som kräver särskilda integrationer. Ni kör ACME-klienterna på servrarna eller använder utrustningens inbyggda ACME.

När ska vi välja sslbrain i stället för FairSSL ACME?

När ni vill samla certifikathanteringen över många, blandade eller besvärliga destinationer, eller installera på utrustning utan ACME-klient genom sslbrains integrationer. Det blir aktuellt när arbetet med att underhålla varje server kostar mer än central hantering, och det sker tidigare vid compliance-krav, utrustning utan ACME-stöd och besvärliga servrar. Gratis certifikat ingår på alla planer, och Let's Encrypt, Google, DigiCert, Sectigo och GlobalSign är inbyggda. En egen ACME-källa kräver Professional eller Enterprise, och Windows CA och MitID Erhverv kräver Enterprise med tillval.

Finns det en gräns för hur många servrar FairSSL ACME kan användas till?

Nej. Det finns ingen fast gräns för antalet servrar. Avgiften på 370 SEK per certifikat och år täcker upp till 25 servrar som använder samma certifikat, och det är en ram för avgiften, inte för lösningen. Gränsen går vid arbetet: när det att hålla en ACME-klient igång på varje server kostar mer än central hantering är sslbrain rätt val.

Kan vi använda FairSSL ACME och sslbrain samtidigt?

Ja. FairSSL ACME för destinationer med ACME och sslbrain för resten av miljön. sslbrain kan både använda gratis certifikat och beställa betalda DV-certifikat på de betalda planerna, så ni kan även samla allt i sslbrain senare om arbetet med de enskilda servrarna växer.

När är en CLM-plattform från DigiCert eller GlobalSign rätt?

När ni vill ha plattformen från den CA ni redan köper certifikat hos, eller behöver discovery, koppling till er lokala CA och SCEP för enheter i samma verktyg. Priset avtalas individuellt och hänger normalt samman med er certifikatvolym hos CA:n. FairSSL levererar DigiCerts och GlobalSigns plattformar och hjälper er att välja, även när svaret är att ni inte ska köpa någon plattform.