Certificate-Agent

Das Zertifikat entsteht im DNS-Editor — aber es muss auf die Maschine, die es benutzt. Der Certificate-Agent (dnseditor-cert-agent) ist ein kleines Programm auf dem Zielsystem: Er holt die ihm zugewiesenen Zertifikate ab, legt sie im gewünschten Format ab, lädt den betroffenen Dienst neu und wiederholt das bei jeder Erneuerung selbsttätig.

In der Enterprise Edition ist der Agent Teil des Funktionsumfangs — jede EE-Instanz bedient Agents.

Einrichtung in drei Schritten

Token erzeugen: Auf der Zertifikatsseite des Projekts → Neues Agent-Token. Dabei wird gewählt, welche Zertifikate der Agent abrufen darf — mehr kann das Token nicht. Es erscheint genau einmal, als fertiges Setup-Kommando zum Kopieren.
Agent installieren (.deb/.rpm, Docker-Sidecar oder als Windows-Dienst) und das kopierte Kommando ausführen:
Terminal-Fenster
```
dnseditor-cert-agent setup --host https://dns.example.com --token dnseagent_…
```
In /etc/dnseditor-cert-agent/config.yaml die Ablagepfade und den Reload-Befehl setzen, sync testen, Dienst starten.

Formate: pem (nginx/Apache), pem-combined (HAProxy), pkcs12 (Windows/Java, mit Passwort), der — auch mehrere Ablagen je Zertifikat.

Sichtbarkeit

Die Zertifikatsseite zeigt je Token den letzten Kontakt (Zeitpunkt, IP, Agent-Version) und je Zertifikat, ob der ausgerollte Stand aktuell oder veraltet ist — nach einer Erneuerung sieht man so sofort, welche Systeme das neue Zertifikat schon haben. Tokens sind jederzeit widerrufbar; der Agent verliert dann augenblicklich den Zugriff.

Sicherheit

Der Agent läuft als eigener, unprivilegierter Benutzer. Reload-Befehle laufen über eine enge sudoers-Regel (sudo -n), die genau die konfigurierten Kommandos erlaubt. Das Token ist unbegrenzt gültig (unbeaufsichtigter Betrieb), gehasht gespeichert und kann nur die gebundenen Zertifikate abrufen — DNS-Änderungen sind damit unmöglich.

Vollständige Anleitung (Pakete, Docker-Muster, eigene PKI): Repository certificate-agent.