Hallo zusammen. PVE 9.2.21 im Einsatz. Ich stehe vor der Herausforderung "United Domains" für die ACME Challenge einzubinden. Dafür muss man dort deren "DNS API" aufpreispflichtig buchen - die wäre kompatibel zu Lego und ACME. Hab ich gebucht. In den PVE-Einstellungen finde ich nun aber kein passendes Plugin. Es gibt da zwar ein "udr" das scheint aber nur für spezielle UD Reseller-Accounts gedacht zu sein (und erwartet einen UDR_USER und UDR_PASS), ich habe aber nur einen normalen Endkunden-Account. Laut der Doku von UD soll der API-Schlüssel als "X-API-KEY" übergeben werden. Kann da jemand weiterhelfen?
United Domains ACME Challenge
- Thread starter ramba.zamba
- Start date
Der beste Weg wäre wohl upstream in acme.sh den DNS provider zu implementieren, sonst wäre es noch möglich lego zu benutzen und als deploy hook [0] die Zertifikate in PVE zu installieren [1].
[0] https://go-acme.github.io/lego/advanced/hooks/index.html
[1] https://pve.proxmox.com/pve-docs/pve-admin-guide.html#sysadmin_certs_api_gui
[0] https://go-acme.github.io/lego/advanced/hooks/index.html
[1] https://pve.proxmox.com/pve-docs/pve-admin-guide.html#sysadmin_certs_api_gui
Wenn UD von "kompatibel zu Lego und ACME" spricht, ist meist nur die Art der API gemeint. Ein fertiges Plugin für den Endkunden-Zugang mit
Besser ist ein CNAME-Alias: Bei UD legst du einmal statisch
X-API-KEY kenne ich in acme.sh nicht, bin mir nicht sicher. PVE nimmt die DNS-Plugins aus acme.sh (Paket libproxmox-acme-plugins), und udr ist nur für die Reseller-API. Frag bei UD am besten, welches acme.sh-Plugin die meinen. Ein eigenes Skript in /usr/share/proxmox-acme/dnsapi/ würde ich nicht reinlegen, das ist beim nächsten Update wieder weg.Besser ist ein CNAME-Alias: Bei UD legst du einmal statisch
_acme-challenge.pve.deinedomain.de als CNAME auf eine Zone bei einem Anbieter, den acme.sh unterstützt (z.B. deSEC, kostenlos und aus DE). In PVE trägst du dann bei der Domain unter "Alias" das CNAME-Ziel ein und wählst das Plugin des anderen Anbieters. So brauchst du die kostenpflichtige UD-API gar nicht. Hab ich bei mehreren Providern ohne brauchbare API so gemacht, kein Problem.
Sensationell. Hat zwar 1-2 Anläufe gebraucht, aber das läuft jetzt gut. Ich war zwar erst unsicher, ob ich mit den CNAMEs am Ende nicht die interne Infrastruktur in Teilen offenlege, aber letztlich bekommst du ja jedes Zertifikat eh über die öffentlichen Listen mit. Schade, dass Proxmox hier keine Wildcards unterstützt (auch über die CLI nicht).