Cambiar el certificado SSL del RAS Management Portal: lo que la documentación no cuenta

El RAS Management Portal (WebAdminService) escucha por defecto en el puerto 20443 y usa un certificado autofirmado de Parallels. Para sustituirlo por un certificado interno o público, el procedimiento oficial remite a la interfaz web en https://localhost:20443/console/config/properties. En la práctica, no siempre funciona.

El bug de la interfaz

En algunas instalaciones (observado en RAS 21.1 en varios servidores del Management Portal), los campos Certificate y Certificate Password siguen en gris incluso al acceder a la interfaz en local desde el propio servidor con una cuenta de administrador local dedicada. El botón Upload está activo y se abre el cuadro de selección de archivos, pero tras elegir el archivo PFX no aparece ninguna petición de contraseña y los campos siguen vacíos.

Este comportamiento se reproduce en varios servidores con el mismo resultado. Si te encuentras en esta situación, la única alternativa es editar directamente el archivo de configuración.

El procedimiento con el archivo JSON

El RAS Web Administration Service guarda su configuración en:

C:Program Files (x86)ParallelsApplicationServerWebAdminServiceappsettings.json

Antes de cambiar nada, detén el servicio y haz una copia de seguridad:

Stop-Service "RAS Web Administration Service"
Copy-Item "C:Program Files (x86)ParallelsApplicationServerWebAdminServiceappsettings.json" `
          "C:Program Files (x86)ParallelsApplicationServerWebAdminServiceappsettings.json.bak"

Copia el archivo PFX en el servidor, por ejemplo:

C:ProgramDataParallelsRASCertportal.mydomain.local.pfx

Edita el bloque HttpsDefaultCert de appsettings.json así:

"HttpsDefaultCert": {
  "Url": "https://*:20443",
  "Certificate": {
    "Path": "C:\ProgramData\Parallels\RASCert\portal.mydomain.local.pfx",
    "Password": "YourPFXPassword"
  }
}

Puntos clave:

• Usa la clave Password (contraseña en texto plano), no EncryptedPassword.
• Las rutas del archivo JSON usan barras invertidas dobles (\).
• El archivo PFX debe poder leerlo la cuenta con la que se ejecuta el servicio.

Start-Service "RAS Web Administration Service"

En el primer arranque, el servicio lee la contraseña en texto plano, cifra el valor y reescribe el archivo, sustituyendo Password por EncryptedPassword con el valor cifrado. Es el comportamiento esperado.

Valida el PFX antes de desplegarlo

Un PFX dañado o vacío hará que el servicio falle al arrancar sin ningún mensaje de error claro en la interfaz. Antes de editar appsettings.json, valida siempre el archivo PFX con certutil:

certutil -dump C:ProgramDataParallelsRASCertportal.mydomain.local.pfx

El comando debería mostrar los atributos del certificado (Subject, Issuer, fechas de validez). Si la salida solo muestra ceros o bytes vacíos, el archivo está dañado y hay que regenerarlo antes de cualquier intento de despliegue.

Resumen

La clave en texto plano Password de appsettings.json es el método que Parallels admite para la edición manual. El propio servicio se encarga del cifrado en el primer arranque. La clave EncryptedPassword está pensada solo para uso interno: la genera el propio servicio o la interfaz cuando funciona correctamente.

¿Quieres ver RASInsider primero en las noticias de Google?