So installieren Sie ein SSL-Zertifikat auf IBM Cloud

Dieses Tutorial erklärt wie man ein SSL-Zertifikat auf IBM Cloud installiert. IBM Cloud verfügt über zwei Infrastrukturtypen, und jeder behandelt Zertifikate unterschiedlich: VPC (Virtual Private Cloud) speichert das Zertifikat im Secrets Manager und weist es einem Load Balancer zu, während die Classic-Infrastruktur einen eigenen SSL-Zertifikatsspeicher führt. Sie erfahren außerdem, wie man einen CSR für IBM Cloud generiert.

Einen CSR für IBM Cloud generieren

Wenn Sie den CSR bereits generiert und Ihr Zertifikat von der Zertifizierungsstelle erhalten haben, überspringen Sie den ersten Schritt und gehen Sie direkt zum Abschnitt für Ihren Infrastrukturtyp.

Ein CSR (Certificate Signing Request) ist ein Block codierten Textes, der Ihre Kontakt- und Domaininformationen enthält. Um ein SSL-Zertifikat zu erhalten, erstellen Sie den CSR und senden ihn zur Validierung an Ihre Zertifizierungsstelle. Beim Generieren des CSR wird auch Ihr privater Schlüssel erzeugt, den Sie während der Installation benötigen. IBM Cloud verfügt über kein Konsolenformular, das einen CSR oder einen Schlüssel für ein importiertes Zertifikat erstellt, sodass Sie beides selbst generieren müssen.

Sie haben zwei Möglichkeiten:

• Verwenden Sie unseren CSR-Generator, um den CSR und den privaten Schlüssel automatisch zu erstellen. Sie geben nur Ihre Daten ein, und das Tool erstellt beides für Sie.
• Generieren Sie den CSR über die OpenSSL-Befehlszeile auf Ihrem eigenen Computer.

Um den CSR und einen 2048-Bit-Schlüssel mit OpenSSL zu erstellen, führen Sie folgenden Befehl aus:

openssl req -new -newkey rsa:2048 -nodes -keyout yourdomain.key -out yourdomain.csr

Übermitteln Sie den CSR während Ihrer Bestellung an die Zertifizierungsstelle. Verwahren Sie den privaten Schlüssel an einem sicheren Ort und geben Sie ihn nicht weiter. Verlieren oder löschen Sie ihn nicht: Ohne den passenden Schlüssel kann das ausgestellte Zertifikat nicht installiert werden.

Hinweis: Die Option -nodes lässt den Schlüssel unverschlüsselt, was von IBM Cloud verlangt wird (sowohl Secrets Manager als auch der Classic-Speicher lehnen passwortgeschützte Schlüssel ab). Fügen Sie dem CSR keine Challenge-Phrase hinzu.

SSL-Zertifikat auf IBM Cloud VPC (Secrets Manager) installieren

Dies ist die aktuelle Methode für VPC-Workloads: Application Load Balancer, Kubernetes Ingress über einen ALB und moderne Deployments. Das Zertifikat wird im Secrets Manager gespeichert, und der Load Balancer liest es von dort, sodass die Schritte lauten: Zertifikat importieren, den Load Balancer autorisieren und dann das Zertifikat an einem HTTPS-Listener auswählen.

Zum Certificate Manager: ältere IBM Cloud-Anleitungen bezogen sich auf einen Dienst namens Certificate Manager. IBM hat diesen eingestellt (End of Support war der 31. Dezember 2022) und die Zertifikatsspeicherung in den Secrets Manager verlagert. Falls Sie noch Zertifikate in einer alten Certificate Manager-Instanz haben, migrieren Sie diese in den Secrets Manager. Für neue Installationen verwenden Sie direkt den Secrets Manager, wie unten gezeigt.

Sie benötigen eine Secrets Manager-Instanz, bevor Sie beginnen. Falls Sie noch keine haben, erstellen Sie diese über den IBM Cloud-Katalog (sowohl der Trial- als auch der Standard-Plan funktionieren), und kehren Sie dann hierher zurück.

Schritt 1: Bereiten Sie Ihre Zertifikatsdateien vor

Nach der Validierung sendet Ihnen die Zertifizierungsstelle ein ZIP-Archiv. Entpacken Sie es. Sie sollten drei Dinge im PEM-Format erhalten:

• yourdomain.crt, Ihr Server- (Leaf-)Zertifikat.
• intermediate.crt oder yourdomain.ca-bundle, das/die Zwischenzertifikat(e).
• yourdomain.key, der unverschlüsselte private Schlüssel, den Sie mit dem CSR erstellt haben.

Wenn Ihr Schlüssel passwortgeschützt ist, entfernen Sie zunächst das Passwort, da Secrets Manager nur einen unverschlüsselten Schlüssel akzeptiert:

openssl rsa -in yourdomain.key -out yourdomain_nopass.key

Schritt 2: Das Zertifikat in den Secrets Manager importieren

• Öffnen Sie in der IBM Cloud-Konsole das Navigationsmenü und gehen Sie zu Resource list.
• Erweitern Sie Security und wählen Sie Ihre Secrets Manager-Instanz aus.
• Klicken Sie in der Tabelle Secrets auf Add.
• Wählen Sie auf der ersten Seite TLS certificate. Wählen Sie auf der nächsten Seite Import certificate.
• Geben Sie dem Secret einen Namen (ohne Leerzeichen) und laden Sie dann Ihre Dateien hoch: das Serverzertifikat im Feld Certificate (erforderlich), den privaten Schlüssel im Feld Private key (erforderlich für einen funktionierenden HTTPS-Listener) und das Zwischenzertifikat im Feld Intermediate (ICA) (empfohlen, damit die Kette vollständig ist).
• Klicken Sie auf Create, um das Zertifikat zu speichern.

Hinweis: Secret-Namen dürfen keine Leerzeichen enthalten, und ein Name, der mit einem Sternchen beginnt, wird zu star umgeschrieben. Der private Schlüssel muss zum Zertifikat passen, und beide müssen im unverschlüsselten PEM-Format vorliegen.

Schritt 3: Den Load Balancer für den Zugriff auf Secrets Manager autorisieren

Bevor ein VPC-Load Balancer das Zertifikat verwenden kann, gewähren Sie ihm Zugriff über eine Service-zu-Service-Autorisierung in IAM. Dies müssen Sie nur einmal pro Konto tun.

• Gehen Sie zu Manage > Access (IAM) > Authorizations und klicken Sie auf Create.
• Source service: VPC Infrastructure Services. Schränken Sie den Resource type auf Load Balancer for VPC ein.
• Target service: Secrets Manager (beschränken Sie ihn auf die Instanz, die Ihr Zertifikat enthält).
• Service access role: Writer.
• Klicken Sie auf Authorize, um die Einstellungen zu speichern.

Schritt 4: Das Zertifikat einem HTTPS-Listener zuweisen

• Öffnen Sie Ihren Application Load Balancer in der IBM Cloud-Konsole (unter VPC Infrastructure > Load balancers).
• Fügen Sie einen neuen HTTPS-Listener am Port 443 hinzu oder bearbeiten Sie einen bestehenden.
• Wählen Sie für das SSL-Zertifikat Ihr Zertifikat aus Secrets Manager aus oder fügen Sie den CRN (Cloud Resource Name) des Zertifikats ein.
• Klicken Sie auf Save, um den Listener anzuwenden.

Ihr Load Balancer stellt HTTPS jetzt mit dem im Secrets Manager gespeicherten Zertifikat bereit. Um das Ergebnis zu bestätigen, verwenden Sie unseren SSL Checker oder öffnen Sie die Website in einem Browser und prüfen Sie das Schlosssymbol.

Zur Erneuerung: Wenn Sie das Zertifikat im Secrets Manager ersetzen, wird die Änderung nicht immer automatisch vom Listener erkannt. Wenn weiterhin das alte Zertifikat ausgeliefert wird, bearbeiten Sie den Listener (wählen Sie zum Beispiel das Zertifikat erneut aus oder passen Sie den Pool an), um den Load Balancer zum Neuladen zu zwingen.

SSL-Zertifikat auf IBM Cloud (Classic Infrastructure) installieren

Verwenden Sie diesen Abschnitt nur, wenn Sie die Classic-Infrastruktur nutzen (Classic Load Balancer oder andere Classic-Dienste). Er gilt nicht für VPC oder Application Load Balancer. Sie können das Zertifikat über die Konsole oder die CLI importieren und es anschließend einem Classic Load Balancer-Listener zuweisen.

Option A: Import über die Konsole

• Öffnen Sie in der IBM Cloud-Konsole das Navigationsmenü und gehen Sie zu Security > SSL > Certificates.
• Klicken Sie auf Import SSL certificate und füllen Sie die Felder aus:

• Certificate: der Inhalt von yourdomain.crt.
• Private Key: der Inhalt von yourdomain.key (unverschlüsselt).
• Intermediate Certificate: der Inhalt von intermediate.crt.
• Klicken Sie auf Add. Das Zertifikat bleibt in der Liste der SSL-Zertifikate, bis Sie es entfernen, und Sie können es jedem Classic-Dienst zuweisen, der SSL benötigt.

Option B: Import über die IBM Cloud CLI

Wenn Sie die Befehlszeile bevorzugen, laden Sie das Zertifikat, den privaten Schlüssel und die Zwischenzertifikatskette mit einem einzigen Befehl über das Classic Infrastructure-Plugin hoch:

ibmcloud sl security cert-add --crt server.crt --key server.key --icc intermediate.crt

Bestätigen Sie den Upload, indem Sie die Zertifikate im Classic-Speicher aufrufen:

ibmcloud sl security cert-list

Der Befehl gibt jedes Zertifikat mit einer id und seinem Common Name zurück. Merken Sie sich die ID des soeben hinzugefügten Zertifikats; Sie benötigen sie, wenn Sie das Zertifikat zuweisen.

Das Zertifikat einem Classic Load Balancer zuweisen

• Öffnen Sie die IBM Cloud-Konsole und gehen Sie im Navigationsmenü zu Classic Infrastructure.
• Gehen Sie zu Network > Load Balancers und wählen Sie den Load Balancer aus, den Sie konfigurieren möchten (Local oder Global, abhängig von Ihrer Konfiguration).
• Öffnen Sie die Registerkarte Listeners. Falls kein HTTPS-Listener vorhanden ist, fügen Sie einen hinzu.
• Wählen Sie in den SSL-Einstellungen des HTTPS-Listeners Ihr hochgeladenes Zertifikat aus dem Dropdown-Menü aus und speichern Sie.

Ihr Classic Load Balancer beendet TLS jetzt mit dem von Ihnen importierten Zertifikat. Überprüfen Sie es mit unserem SSL Checker.

Häufig gestellte Fragen