Changer le certificat SSL du RAS Management Portal — ce que la doc ne dit pas

Le RAS Management Portal (WebAdminService) écoute par défaut sur le port 20443 avec un certificat auto-signé Parallels. Pour le remplacer par un certificat interne ou public, la procédure officielle pointe vers l’interface web https://localhost:20443/console/config/properties. En pratique, ça ne marche pas toujours.

Le bug de l’UI

Sur certaines installations (observé sur RAS 21.1 avec plusieurs serveurs Management Portal), les champs Certificate et Certificate Password restent grisés même en accédant à l’interface localement depuis le serveur, avec un compte administrateur local dédié. Le bouton Upload est actif, la boîte de dialogue de sélection de fichier s’ouvre, mais après la sélection du PFX aucune invite de mot de passe n’apparaît et les champs restent vides.

Ce comportement est reproductible sur plusieurs serveurs avec le même résultat. Si vous vous trouvez dans cette situation, la seule alternative est l’édition directe du fichier de configuration.

La procédure par édition du fichier JSON

Le service RAS Web Administration Service stocke sa configuration dans :

C:Program Files (x86)ParallelsApplicationServerWebAdminServiceappsettings.json

Avant toute modification, arrêtez le service et faites une sauvegarde :

Stop-Service "RAS Web Administration Service"
Copy-Item "C:Program Files (x86)ParallelsApplicationServerWebAdminServiceappsettings.json" `
          "C:Program Files (x86)ParallelsApplicationServerWebAdminServiceappsettings.json.bak"

Copiez votre fichier PFX sur le serveur, par exemple dans :

C:ProgramDataParallelsRASCertportail.mondomaine.local.pfx

Modifiez le bloc HttpsDefaultCert dans appsettings.json comme suit :

"HttpsDefaultCert": {
  "Url": "https://*:20443",
  "Certificate": {
    "Path": "C:ProgramDataParallelsRASCertportail.mondomaine.local.pfx",
    "Password": "VotreMotDePassePFX"
  }
}

Points importants :

• Utilisez la clé Password (mot de passe en clair), pas EncryptedPassword.
• Les chemins dans le JSON utilisent des doubles antislashs ().
• Le fichier PFX doit être lisible par le compte qui exécute le service.

Redémarrez le service :

Start-Service "RAS Web Administration Service"

Au premier démarrage, le service lit le mot de passe en clair, chiffre la valeur et réécrit le fichier en remplaçant Password par EncryptedPassword avec la valeur chiffrée. C’est le comportement attendu.

Valider le PFX avant de le déployer

Un PFX corrompu ou vide fera planter le service au démarrage sans message d’erreur explicite dans l’interface. Avant de modifier appsettings.json, validez toujours votre fichier PFX avec certutil :

certutil -dump C:ProgramDataParallelsRASCertportail.mondomaine.local.pfx

La commande doit afficher les attributs du certificat (Subject, Issuer, dates de validité). Si la sortie affiche uniquement des zéros ou des octets vides, le fichier est corrompu et doit être régénéré avant toute tentative de déploiement.

En résumé

La clé Password en clair dans appsettings.json est la méthode supportée par Parallels pour l’édition manuelle. Le service se charge lui-même de chiffrer la valeur au premier démarrage. La clé EncryptedPassword n’est destinée qu’à un usage interne — elle est générée par le service ou par l’UI quand celle-ci fonctionne correctement.