macOS Sunucularına SSL Sertifikası Nasıl Kurulur

Bu eğitim macOS’ta SSL sertifikasının nasıl kurulacağını açıklar. Sertifikanızı ve CA paketinizi Keychain Access ile içe aktarmayı, birçok mevcut kurulumda hâlâ kullanılan eski macOS Server (Server.app) iş akışını ve Server.app’in artık bulunmadığı güncel macOS sürümleri için gerçekçi yolu kapsar.

Önemli: Apple, macOS Server (Server.app) ürününü sonlandırdı. Web, e-posta ve barındırma hizmetlerinin çoğu 2018’de kaldırıldı ve uygulamanın kendisi Nisan 2022’de kullanımdan çıkarıldı. Son sürüm olan 5.12.2, yalnızca macOS Monterey’e kadar çalışır. Aşağıdaki adımlar, hem eski Server.app yöntemini hem de günümüzdeki yaklaşımı kapsar.

CSR kodu oluşturma

SSL sertifikanızı etkinleştirmek için alan adınız ve kuruluşunuz hakkındaki bilgileri Sertifika Yetkilisine (CA) gönderirsiniz. Bu standart adım, Sertifika İmzalama Talebi veya CSR olarak adlandırılır. İki seçeneğiniz vardır:

• CSR’yi otomatik olarak oluşturmak için CSR Generator aracımızı kullanın.
• macOS’ta CSR nasıl oluşturulur başlıklı adım adım eğitimimizi izleyin.

CSR’yi siparişiniz sırasında gönderin. CA, talebinizi doğrulayacak ve onaylandıktan sonra sertifikayı imzalayıp yayınlayacaktır. Sertifika dosyalarını e-posta ile alacaksınız. Bundan sonra, aşağıdaki kurulum adımlarına geçin.

macOS’ta SSL sertifikası kurma

Aşağıdaki adımlar, orijinal macOS Server (Server.app) iş akışını takip eder: CA paketini ve sertifikayı Keychain Access ile içe aktarın, ardından sertifikayı Server uygulamasındaki hizmetlere atayın. Mac’inizde artık Server uygulaması yoksa, Adım 2’den sonra Güncel macOS: Server.app yok bölümüne geçin, çünkü Keychain içe aktarma işlemi hâlâ geçerlidir.

Adım 1: Sertifika dosyalarınızı hazırlayın

CA’nın size gönderdiği ZIP arşivini indirin ve çıkarın. Elinizde .crt uzantılı bir dosya (birincil sertifikanız) ve .ca-bundle uzantılı bir dosya (kök ve ara sertifikalar, aynı zamanda CA paketi olarak da adlandırılır) olmalıdır. Ayrıca CSR ile oluşturduğunuz özel anahtara da gerek duyacaksınız.

Adım 2: .ca-bundle dosyasını Keychain Access’e ekleyin

CA paketiyle başlayın. Bu paket, tarayıcıların ve istemcilerin güvenilir bir köke kadar bir güven zinciri oluşturmak için kullandığı kök ve ara sertifikaları barındırır. Bunlar olmadan, ziyaretçiler “güvenli değil” veya güvenilmeyen sertifika uyarısı görebilir.

1. .ca-bundle uzantılı dosyayı bulun.
2. Keychain Access‘i açın (Spotlight ile arayın veya Uygulamalar > Yardımcı Programlar içinde bulun).
3. .ca-bundle dosyasını sürükleyip Keychain Access penceresine bırakın. Tüm kullanıcılar ve hizmetler için geçerli olması için System anahtarlığına ekleyin.
4. İçe aktarmayı onaylamak için arama çubuğuna CA’nızın adını yazın. Ara sertifikaları ve kök sertifikayı listelenmiş görmelisiniz.

Aynı işlemi, başsız (headless) veya uzak bir sunucuda faydalı olan Terminal üzerinden de yapabilirsiniz. Bu komut paketi sistem anahtarlığına içe aktarır:

sudo security import yourdomain.ca-bundle -k /Library/Keychains/System.keychain

Adım 3: Birincil sertifikanızı ekleyin (eski Server.app)

Bu adım, kullanımdan kaldırılan Server.app‘i kullanır. Mac’inizde bu uygulama artık yoksa, bunun yerine bir sonraki bölüme bakın.

1. Server uygulamasını açın ve Server > Certificates bölümüne gidin.
2. Ana sayfada, beklemede olan sertifikaya (CSR’yi oluşturduğunuzda oluşturulan sertifika) çift tıklayın.
3. Açılan pencerede, .crt dosyanızı sürükleyip bırakın, ardından OK‘a tıklayın.
4. Geçerli bir sertifika artık yayınlayanın adını ve son kullanma tarihini gösterir.

Adım 4: Sertifikayı hizmetlerinize atayın (eski Server.app)

Server uygulamasında, Secure services using ayarını bulun. Açılır menüyü kullanarak SSL sertifikanızı seçin. Dosya paylaşımı veya e-posta gibi belirli hizmetlere atamak için Custom‘a tıklayın ve güvence altına almak istediğiniz hizmetleri seçin. İşiniz bittiğinde OK‘a tıklayın.

SSL sertifikanız artık kuruldu. Sonucu onaylamak ve yaygın sorunları kontrol etmek için SSL Checker aracımızı kullanın.

Güncel macOS: Server.app yok (Keychain ile Apache veya nginx kullanın)

Apple, Server.app’i kullanımdan kaldırdığı için güncel macOS sürümlerinde Server > Certificates ekranı ve hizmet başına sertifika ataması bulunmamaktadır. Sertifikayı Keychain Access’e içe aktarma işlemi (Adım 2) sistem güveni için hâlâ geçerlidir, ancak HTTPS’yi doğrudan bir web sunucusunu yapılandırarak sağlarsınız. macOS, dahili olarak Apache (httpd) ile birlikte gelir ve nginx, Homebrew üzerinden kullanılabilir. Sertifikanızı ve anahtarınızı sunucunun okuyabileceği bir yere, örneğin /etc/ssl/ altına yerleştirin ve özel anahtarın yalnızca root tarafından okunabilir kalmasını sağlayın.

Seçenek A: Dahili Apache (httpd)

/etc/apache2/httpd.conf dosyasını düzenleyin ve SSL modüllerinin ve SSL yapılandırmasının yüklenmesi için şu satırların başındaki # işaretini kaldırın:

LoadModule socache_shmcb_module libexec/apache2/mod_socache_shmcb.so
LoadModule ssl_module libexec/apache2/mod_ssl.so
Include /private/etc/apache2/extra/httpd-ssl.conf

Önce, Apache 2.4.8 ve sonraki sürümlerde SSLCertificateFile‘ın beklediği tam zincir dosyasını (sertifikanızın ardından CA paketi) oluşturun:

cat yourdomain.crt yourdomain.ca-bundle > yourdomain_fullchain.crt

Ardından /etc/apache2/extra/httpd-ssl.conf dosyasını düzenleyin ve 443 portunu dinlediğinden emin olun. Bu dosya zaten kendinden imzalı bir sertifika içeren varsayılan bir <VirtualHost _default_:443> bloğuyla birlikte gelir; bu nedenle, 443 portunda iki sunucu olmasını önlemek için o bloğu düzenleyin veya aşağıdaki sanal sunucuyu ekleyip varsayılanı yorum satırı yapın:

<VirtualHost *:443>
    ServerName www.yourdomain.com
    DocumentRoot "/Library/WebServer/Documents"

    SSLEngine on
    SSLCertificateFile    /etc/ssl/yourdomain_fullchain.crt
    SSLCertificateKeyFile /etc/ssl/private/yourdomain.key

    SSLProtocol         -all +TLSv1.2 +TLSv1.3
    SSLHonorCipherOrder off
</VirtualHost>

Yukarıdaki yollar, özel anahtarın /etc/ssl/private/ içinde olduğunu varsayar; bu dizin macOS’ta varsayılan olarak mevcut olmayabilir. Önce bu dizini oluşturun ve anahtarın yalnızca root tarafından okunabilir kalmasını sağlayın:

sudo mkdir -p /etc/ssl/private
sudo chmod 600 /etc/ssl/private/yourdomain.key

Yeniden başlatmadan önce yapılandırmayı test edin, ardından Apache’yi yeniden başlatın:

sudo apachectl configtest
sudo apachectl restart

Testten Syntax OK mesajını görmelisiniz. Bir hata alırsanız, sunucunun başlatılamamasını önlemek için yeniden başlatmadan önce hatayı düzeltin.

Seçenek B: nginx

nginx kullanıyorsanız, sunucu bloğunuzda tam zincir dosyasına ve anahtara referans verin, ardından yeniden yükleyin:

server {
    listen 443 ssl;
    server_name www.yourdomain.com;

    ssl_certificate     /etc/ssl/yourdomain_fullchain.crt;
    ssl_certificate_key /etc/ssl/private/yourdomain.key;

    ssl_protocols TLSv1.2 TLSv1.3;
}

sudo nginx -t
sudo nginx -s reload

Bir Mac filosunda yapılandırma yönetimi için (eski Profile Manager’ın üstlendiği rol), bunun yerine güncel bir MDM çözümü kullanın. Herhangi bir makineden kurulan sertifikayı doğrulamak için SSL Checker aracımızı kullanın.

Sıkça sorulan sorular