Das SSL-Zertifikat des RAS Management Portal ändern — was die Doku verschweigt

Das RAS Management Portal (WebAdminService) lauscht standardmäßig auf Port 20443 und verwendet ein selbstsigniertes Zertifikat von Parallels. Um es durch ein internes oder öffentliches Zertifikat zu ersetzen, verweist die offizielle Vorgehensweise auf die Weboberfläche unter https://localhost:20443/console/config/properties. In der Praxis funktioniert das nicht immer.

Der Bug in der Oberfläche

Bei manchen Installationen (beobachtet unter RAS 21.1 auf mehreren Management-Portal-Servern) bleiben die Felder Certificate und Certificate Password ausgegraut, selbst wenn man die Oberfläche lokal auf dem Server mit einem eigenen lokalen Administratorkonto aufruft. Die Schaltfläche Upload ist aktiv und der Dateiauswahldialog öffnet sich, aber nach Auswahl der PFX-Datei erscheint keine Passwortabfrage und die Felder bleiben leer.

Dieses Verhalten ist auf mehreren Servern mit demselben Ergebnis reproduzierbar. Wenn Sie in dieser Situation sind, bleibt als einzige Alternative die direkte Bearbeitung der Konfigurationsdatei.

Vorgehen über die JSON-Datei

Der RAS Web Administration Service speichert seine Konfiguration in:

C:Program Files (x86)ParallelsApplicationServerWebAdminServiceappsettings.json

Bevor Sie etwas ändern, beenden Sie den Dienst und legen eine Sicherung an:

Stop-Service "RAS Web Administration Service"
Copy-Item "C:Program Files (x86)ParallelsApplicationServerWebAdminServiceappsettings.json" `
          "C:Program Files (x86)ParallelsApplicationServerWebAdminServiceappsettings.json.bak"

Kopieren Sie Ihre PFX-Datei auf den Server, zum Beispiel:

C:ProgramDataParallelsRASCertportal.mydomain.local.pfx

Bearbeiten Sie den Block HttpsDefaultCert in appsettings.json wie folgt:

"HttpsDefaultCert": {
  "Url": "https://*:20443",
  "Certificate": {
    "Path": "C:\ProgramData\Parallels\RASCert\portal.mydomain.local.pfx",
    "Password": "YourPFXPassword"
  }
}

Wichtige Punkte:

• Verwenden Sie den Schlüssel Password (Passwort im Klartext), nicht EncryptedPassword.
• Pfade in der JSON-Datei verwenden doppelte Backslashes (\).
• Die PFX-Datei muss für das Konto lesbar sein, unter dem der Dienst läuft.

Start-Service "RAS Web Administration Service"

Beim ersten Start liest der Dienst das Klartextpasswort, verschlüsselt den Wert und schreibt die Datei neu, wobei Password durch EncryptedPassword mit dem verschlüsselten Wert ersetzt wird. Das ist das erwartete Verhalten.

Die PFX-Datei vor dem Einsatz prüfen

Eine beschädigte oder leere PFX-Datei lässt den Dienst beim Start scheitern, ohne dass die Oberfläche eine klare Fehlermeldung anzeigt. Prüfen Sie Ihre PFX-Datei daher vor dem Bearbeiten von appsettings.json immer mit certutil:

certutil -dump C:ProgramDataParallelsRASCertportal.mydomain.local.pfx

Der Befehl sollte die Attribute des Zertifikats anzeigen (Subject, Issuer, Gültigkeitsdaten). Zeigt die Ausgabe nur Nullen oder leere Bytes, ist die Datei beschädigt und muss vor jedem Einsatzversuch neu erzeugt werden.

Zusammenfassung

Der Klartextschlüssel Password in appsettings.json ist die von Parallels unterstützte Methode für die manuelle Bearbeitung. Der Dienst übernimmt die Verschlüsselung beim ersten Start selbst. Der Schlüssel EncryptedPassword ist nur für den internen Gebrauch gedacht — er wird vom Dienst selbst erzeugt oder von der Oberfläche, wenn sie korrekt funktioniert.