Installation des iSign Servers unter Linux (mit eigenem SSL-Zertifikat & Offline-Lizenz)

🔷 Übersicht

Dieses Handbuch erklärt Schritt für Schritt, wie Sie:

einen iSign-Server unter Ubuntu Linux installieren
ein SSL-Zertifikat für eine sichere HTTPS-Verbindung einrichten
eine Offline-Lizenz aktivieren
den Server danach erfolgreich starten und prüfen

Die Anleitung ist bewusst einfach und verständlich gehalten, damit auch technisch weniger erfahrene Nutzer*innen erfolgreich damit arbeiten können.

🔐 Warum ein eigenes Zertifikat?

In vielen Unternehmen dürfen keine externen Zertifikatsdienste (z. B. Let’s Encrypt) verwendet werden.
In solchen Fällen kann iSign mit einem lokalen oder internen Zertifikat (Corporate CA) betrieben werden.
Dadurch bleibt Ihre Umgebung unabhängig, sicher und konform mit Unternehmensrichtlinien.

Voraussetzungen

Voraussetzung	Beschreibung
Betriebssystem	Linux (z. B. Ubuntu 22.04 LTS)
Zertifikate	`privkey.pem` (privater Schlüssel) und `fullchain.pem` (öffentlicher Teil + Zwischenzertifikate)
Pfad für Zertifikate	`/usr/share/designo/isign-server/instance/default/nginx/ssl/<HOSTNAME>/`
Benutzerrechte	root oder sudo
Lizenzierung	Offline-Lizenzschlüssel

Schritt-für-Schritt Anleitung

🛠️ 1. Vorbereitung des Systems

Führen Sie die folgenden Befehle im Terminal des Servers aus.

sudo apt update && sudo apt upgrade -y
sudo apt install dotnet-host-8.0 -y
sudo apt install docker.io docker-compose -y
sudo systemctl enable --now docker
sudo systemctl enable --now containerd

📦 2. Installation des iSign Servers

Für mehr Infos. iSign 8 - Installation Server Linux

wget -qO- https://releases.de-signo.de/isign/8.0/install.sh | \
bash -s -- isign-server --enable-vocatis

Nach Abschluss ist die iSign-Software installiert und bereit für die Konfiguration.

🔐 3. SSL-Zertifikat einrichten (ManualFilePath)

Damit der Server im Browser sicher erreichbar ist, benötigen Sie ein SSL-Zertifikat.

3.1 Zertifikat vorbereiten

Variante A: Sie besitzen ein Zertifikat (empfohlen)

Kopieren Sie Ihre Dateien:

fullchain.pem
privkey.pem

in den folgenden Ordner: /usr/share/designo/isign-server/instance/default/nginx/ssl//

Kopieren Sie Ihr vorhandenes Zertifikat (z. B. von Ihrer IT-Abteilung oder Unternehmens-CA) in das iSign-Zertifikatsverzeichnis:

HOST="demooffline.isigncloud.de" (z.B.)
certdir="/usr/share/designo/isign-server/instance/default/nginx/ssl/$HOST"

sudo mkdir -p "$certdir"
sudo cp fullchain.pem "$certdir/"
sudo cp privkey.pem  "$certdir/"

# Dateirechte setzen (sehr wichtig!)
sudo chmod 644 "$certdir/fullchain.pem"
sudo chmod 600 "$certdir/privkey.pem"

💡 Tipp:
Wenn Sie kein Unternehmenszertifikat besitzen, können Sie für Tests ein selbstsigniertes Zertifikat erstellen:

Variante B: Sie möchten ein eigenes Zertifikat (Selbstsigniertes Zertifikat ) erstellen (z. B. zum Testen)

sudo openssl req -x509 -nodes -newkey rsa:4096 -sha256 -days 365 \
-keyout privkey.pem -out fullchain.pem \
-subj "/C=DE/ST=Baden-Wuerttemberg/L=Heidelberg/O=DeSigno/CN=<DEINE-DOMAIN>"

Rechte setzen:

sudo chmod 600 privkey.pem
sudo chmod 644 fullchain.pem

Zertifikat an den richtigen Ort kopieren

Ordnerstruktur:

/usr/share/designo/isign-server/instance/default/nginx/ssl/<DOMAIN>/

Anlegen + kopieren:

sudo mkdir -p /usr/share/designo/isign-server/instance/default/nginx/ssl/<DOMAIN>
sudo cp fullchain.pem /usr/share/designo/isign-server/instance/default/nginx/ssl/<DOMAIN>/
sudo cp privkey.pem /usr/share/designo/isign-server/instance/default/nginx/ssl/<DOMAIN>/

3.2 Vertrauenswürdige Zertifizierungsstellen (OPTIONAL, aber wichtig)

Die iSign-Dienste kommunizieren intern und extern über HTTPS.
Wenn ein Zielserver ein Firmenzertifikat oder internes Root-CA-Zertifikat nutzt, muss dieses als vertrauenswürdig hinterlegt werden.

3.2.1 CA-Zertifikat ablegen

(Z. B. firmeninterne Root-CA)

sudo cp meineCA.crt /usr/local/share/ca-certificates/
sudo update-ca-certificates

3.3.2 Automatische Integration

Beim Start der iSign-Docker-Container werden die CA-Zertifikate automatisch geladen.

3.3.3 Wann wird das gebraucht?

Fall	CA nötig?
Öffentliche Server	❌ Nein
Firmeninterne LDAP/SMTP	✔ Ja
Reverse-Proxy mit Unternehmenszertifikat	✔ Ja
Interne APIs	✔ Ja
Behördenserver (API)	✔ Ja

⚙️ 4. Server-Konfiguration anpassen

Öffnen Sie die Konfigurationsdatei:

sudo nano /etc/isign/server/compose/server-setup.jsonc

Passen Sie folgende Einstellungen an:

4.1 Server URL

"ServerUrl": "https://<DOMAIN>/",

4.2 SSL-Konfiguration für eigenes Zertifikat

"sslMode": "ManualFilePath",
"CertificateFindValue": "<DOMAIN>"

Speichern und schließen. Strg O, Bestätigung, Strg X

🔒 5. Offline-Lizenz einrichten

5.1 Lizenzdatei auf den Server übertragen (Windows PowerShell)

scp "C:\Pfad\offline.ZIP" root@SERVER-IP:/root/offline.ZIP

5.2 Lizenz in den Compose-Ordner kopieren

sudo cp /root/offline.ZIP /etc/isign/server/compose/offline.ZIP

5.3 Lizenz anwenden

sudo isign-server-docker-issrvconfig license default use --file /config/offline.ZIP

5.4 Aktivierungsanfrage erzeugen

sudo isign-server-docker-issrvconfig license default create-activation-request /license/request.json

5.5 request-adatei

5.6 Aktivierte Lizenz zurückspielen

scp "C:\Pfad\activation.ZIP" root@SERVER-IP:/root/activation.ZIP
sudo cp /root/activation.ZIP /usr/share/designo/isign-server/instance/default/license/
sudo isign-server-docker-issrvconfig license default use --no-purge --file /license/activation.ZIP

🔁 6. Konfiguration anwenden & starten

sudo isign-server-docker-apply-config

➡️ Danach sind Server, SSL und Lizenz aktiv.

🌐 7. Server testen

Öffne im Browser:

https://<DOMAIN>/ID/Identity/Account/Login

Der iSign Login-Screen sollte sichtbar sein.

Browser-Test

Wenn Sie ein eigenes Firmenzertifikat nutzen, sehen Sie ein Schloss-Symbol 🔒.
Bei selbstsigniertem Zertifikat erscheint eine Warnung – das ist für Testumgebungen normal.

8. Installation erfolgreich abgeschlossen

Ihr iSign-Server läuft nun mit:

✔ HTTPS-Verschlüsselung
✔ Offline-Lizenz
✔ vollständiger Docker-Installation
✔ gültiger Server-URL

Bei Bedarf können weitere Module oder Anpassungen erfolgen (z. B. Vocatis-Konfiguration, Benutzerverwaltung).

9. Häufige Fragen & Antworten

❓ Das Setup meldet einen SSL-Fehler beim Start

➡️ Überprüfen Sie:

Liegen die Dateien im richtigen Verzeichnis (.../ssl/<HOSTNAME>/)?
Ist der Hostname identisch mit der ServerUrl in der Konfiguration?
Hat privkey.pem die Rechte 600 (nur root lesbar)?

❓ Warum erscheint im Browser „unsichere Verbindung“?

➡️ Das ist normal, wenn ein selbstsigniertes Zertifikat verwendet wird.
Importieren Sie das Zertifikat in den vertrauenswürdigen Speicher:

Windows: Doppelklick → Zertifikat importieren → „Vertrauenswürdige Stammzertifizierungsstellen“
Linux (Firefox): Einstellungen → Datenschutz & Sicherheit → Zertifikate → Importieren

❓ Kann ich später von ManualFilePath zurück zu ACME wechseln?

➡️ Ja, bearbeiten Sie die server-setup.jsonc:

sudo jq '.http.SslMode="ACME" | .http.AcceptLetsEncryptTOS=true | .http.EMail="admin@firma.de"' \
  /etc/isign/server/compose/server-setup.jsonc | sudo tee /etc/isign/server/compose/server-setup.jsonc >/dev/null
sudo isign-server-docker-apply-config

❓ Wie aktualisiere ich mein Zertifikat später?

Neues privkey.pem und fullchain.pem in denselben Ordner kopieren.
Rechte setzen (chmod 600 privkey.pem, chmod 644 fullchain.pem).
Konfiguration neu anwenden:x

sudo isign-server-docker-apply-config

10. Typische Probleme & Lösungen

❌ Docker Dienste laufen nicht

Lösung:

sudo systemctl restart docker
sudo docker ps

❌ Zertifikat wird nicht geladen

Check:

Ordnername = exakt <DOMAIN>
Datei heißt fullchain.pem
Datei heißt privkey.pem
Rechte korrekt gesetzt

❌ Offline-Lizenz wird nicht akzeptiert

Check:

ZIP-Datei nicht umbenannt
Datei im richtigen Lizenzordner
Befehl mit --no-purge wiederholen

11. Zusammenfassung

Schritt	Ergebnis
Zertifikate in `$certdir` kopiert	✅
iSign installiert mit ManualFilePath	✅
Konfiguration geprüft	✅
HTTPS-Zugriff erfolgreich	✅
Schloss im Browser sichtbar	✅

12. Empfehlung für Administratoren

Zertifikate regelmäßig erneuern (je nach CA-Richtlinie, i. d. R. alle 12–24 Monate).
Backup der server-setup.jsonc und Zertifikatsordner erstellen.
Für produktive Systeme nur von einer vertrauenswürdigen CA signierte Zertifikate verwenden.

🔷 Übersicht​

🔐 Warum ein eigenes Zertifikat?​

Voraussetzungen​

Schritt-für-Schritt Anleitung​

🛠️ 1. Vorbereitung des Systems​

📦 2. Installation des iSign Servers​

🔐 3. SSL-Zertifikat einrichten (ManualFilePath)​

3.1 Zertifikat vorbereiten​

Variante A: Sie besitzen ein Zertifikat (empfohlen)​

Variante B: Sie möchten ein eigenes Zertifikat (Selbstsigniertes Zertifikat ) erstellen (z. B. zum Testen)​

Zertifikat an den richtigen Ort kopieren​

3.2 Vertrauenswürdige Zertifizierungsstellen (OPTIONAL, aber wichtig)​

3.2.1 CA-Zertifikat ablegen​

3.3.2 Automatische Integration​

3.3.3 Wann wird das gebraucht?​

⚙️ 4. Server-Konfiguration anpassen​

4.1 Server URL​

4.2 SSL-Konfiguration für eigenes Zertifikat​

🔒 5. Offline-Lizenz einrichten​

5.1 Lizenzdatei auf den Server übertragen (Windows PowerShell)​

5.2 Lizenz in den Compose-Ordner kopieren​

5.3 Lizenz anwenden​

5.4 Aktivierungsanfrage erzeugen​

5.5 request-adatei​

5.6 Aktivierte Lizenz zurückspielen​

🔁 6. Konfiguration anwenden & starten​

🌐 7. Server testen​

Browser-Test​

8. Installation erfolgreich abgeschlossen​

9. Häufige Fragen & Antworten​

❓ Das Setup meldet einen SSL-Fehler beim Start​

❓ Warum erscheint im Browser „unsichere Verbindung“?​

❓ Kann ich später von ManualFilePath zurück zu ACME wechseln?​

❓ Wie aktualisiere ich mein Zertifikat später?​

10**. Typische Probleme & Lösungen**​

❌ Docker Dienste laufen nicht​

❌ Zertifikat wird nicht geladen​

❌ Offline-Lizenz wird nicht akzeptiert​

11. Zusammenfassung​

12. Empfehlung für Administratoren​