Časť LetsEncrypt certifikátova sa dá spravovať pomocou ansible letsencrypt todo opravit link
Pomocou príkazu
openssl req -new -newkey rsa:2048 -nodes -out star_medic_sk_20XX.csr -keyout star_medic_sk_20XX.key -subj „/C=SK/ST=/L=Bratislava/O=Garsius, s.r.o./CN=*.medic.sk“
vygenerujeme kľúč a žiadosť o certifikát. CSR súbor doručíme napríklad firme disig na disig@disig.sk. Po novom budú vyžadovať potvrdenie vlastníctva domény cez mail (cez verejné záznamy nájdu asi stanislavnizky@gmail.com) a mailové potvrdenie od konateľa, že sa mu nezmenili doklady. Faktúra poštou (v 2019 sa stratila - na požiadanie poslali mailom).
Certifikát sa v našich podmienkach terminuje v HAProxy. Preto je potrebné vykonať tieto kroky:
/etc/haproxy/ssl/star.medic.sk.20XX.pem/etc/haproxy/crt-list.txt Potrebné je to preto, že bez takéhoto súboru sa načítajú všetky súbory z ssl adresára a teda aj backupy po editovaní aj súbory s .old príponou a náhodne budú fungovať zastaralé kľúče.haproxy.cfg neobsahuje cestu k certifikátu natvrdo (bolo použité v NUDCH)/usr/local/sbin/ocsp_update.sh. Tento obsahuje natvrdo zadaný pem súbor v haproxy adresári. Stiahne novú pečiatku, uloží ju ako blabla.pem.ocsp, čo automaticky nájde haproxy (po reštarte). Za behu preto dostane špeciálny príkaz ne reload./etc/ansible/books/ocsp_medic.yml ktorý sa o všetko postará. Spúšťať denne (nočne).