Het SSL-certificaat van de RAS Management Portal wijzigen — wat de documentatie niet vertelt

De RAS Management Portal (WebAdminService) luistert standaard op poort 20443 en gebruikt een zelfondertekend certificaat van Parallels. Om het te vervangen door een intern of publiek certificaat, verwijst de officiële procedure naar de webinterface op https://localhost:20443/console/config/properties. In de praktijk werkt dat niet altijd.

De bug in de interface

Bij sommige installaties (waargenomen op RAS 21.1 op meerdere Management Portal-servers) blijven de velden Certificate en Certificate Password grijs, zelfs als je de interface lokaal op de server zelf opent met een apart lokaal beheerdersaccount. De knop Upload is actief en het bestandsselectievenster opent, maar na het kiezen van het PFX-bestand verschijnt er geen wachtwoordvraag en blijven de velden leeg.

Dit gedrag is op meerdere servers met hetzelfde resultaat te reproduceren. Zit je in deze situatie, dan is het rechtstreeks bewerken van het configuratiebestand het enige alternatief.

De procedure via het JSON-bestand

De RAS Web Administration Service slaat zijn configuratie op in:

C:Program Files (x86)ParallelsApplicationServerWebAdminServiceappsettings.json

Stop de service en maak een back-up voordat je iets wijzigt:

Stop-Service "RAS Web Administration Service"
Copy-Item "C:Program Files (x86)ParallelsApplicationServerWebAdminServiceappsettings.json" `
          "C:Program Files (x86)ParallelsApplicationServerWebAdminServiceappsettings.json.bak"

Kopieer je PFX-bestand naar de server, bijvoorbeeld:

C:ProgramDataParallelsRASCertportal.mydomain.local.pfx

Bewerk het blok HttpsDefaultCert in appsettings.json als volgt:

"HttpsDefaultCert": {
  "Url": "https://*:20443",
  "Certificate": {
    "Path": "C:\ProgramData\Parallels\RASCert\portal.mydomain.local.pfx",
    "Password": "YourPFXPassword"
  }
}

Belangrijke punten:

• Gebruik de sleutel Password (wachtwoord in platte tekst), niet EncryptedPassword.
• Paden in het JSON-bestand gebruiken dubbele backslashes (\).
• Het PFX-bestand moet leesbaar zijn voor het account waaronder de service draait.

Start-Service "RAS Web Administration Service"

Bij de eerste start leest de service het wachtwoord in platte tekst, versleutelt de waarde en herschrijft het bestand, waarbij Password wordt vervangen door EncryptedPassword met de versleutelde waarde. Dat is het verwachte gedrag.

Controleer het PFX-bestand vóór de uitrol

Een beschadigd of leeg PFX-bestand laat de service bij het starten mislukken, zonder duidelijke foutmelding in de interface. Controleer je PFX-bestand daarom altijd met certutil voordat je appsettings.json bewerkt:

certutil -dump C:ProgramDataParallelsRASCertportal.mydomain.local.pfx

Het commando hoort de kenmerken van het certificaat te tonen (Subject, Issuer, geldigheidsdata). Toont de uitvoer alleen nullen of lege bytes, dan is het bestand beschadigd en moet het opnieuw worden aangemaakt voordat je een uitrol probeert.

Samenvatting

De sleutel Password in platte tekst in appsettings.json is de door Parallels ondersteunde methode voor handmatig bewerken. De service regelt de versleuteling zelf bij de eerste start. De sleutel EncryptedPassword is alleen bedoeld voor intern gebruik — hij wordt aangemaakt door de service zelf of door de interface als die goed werkt.