Posso usar o certificado SSL Single Let's Encrypt para subdomínios em servidores diferentes?

Question

Atualmente, posso obter um único certificado Let's Encrypt SSL em um servidor com vários subdomínios.

por exemplo. m.example.com, www.example.com, example.com no servidor A

No entanto, para usar, por exemplo. cdn.example.com no Servidor B, como posso fazer a implementação?

Minhas ideias são:

(1) certificado único no Servidor A, contendo todos os subdomínios: cdn.example.com, m.example.com, www.example.com, example.com e, em seguida, rsync para o Servidor B

(2) um certificado no Servidor A, contendo: m.example.com, www.example.com, example.com

segundo certificado no Servidor B, contendo apenas: cdn.example.com

Qual é a maneira correta ou a melhor abordagem para fazer a implementação?

Não tenho certeza se tenho permissão para gerar vários certificados em relação a um domínio raiz example.com

Acho que (1) é mais fácil quando se trata de renovação no caso de eu escalar para vários servidores.

Pode ser feito assim? Ou é redundante?

ATUALIZAÇÃO:

o mesmo certificado SSL em dois servidores não totalmente a minha pergunta. A solução aceita responde parcialmente que o certificado SSL é específico do FQDN e não específico da máquina.

Se for esse o caso, não é minha proposta (1) uma solução simplificada?

Minha pergunta é:

Posso ter um certificado SSL parcial contendo apenas subdomínio cdn.example.com , mas deixar os outros no Servidor B tendo outro certificado SSL emitido para o Servidor A com o domínio raiz example.com , www.example.com e m.example.com ?

    

Answer 1

IMHO, Cada servidor deve ter sua própria chave privada, você pode emitir quantos certificados quiser com o LE, a única razão pela qual posso pensar em usar várias SANs por IP é se seus clientes não puderem fazer SNI (exemplo: clientes java antigos se você ' usando webhooks / api's ou outros endpoints).

TLDR; opção 2, não se esqueça de definir seus cronjobs de renovação automática e inserir um e-mail válido caso algo dê errado.

Outra razão pela qual eu usaria chaves separadas para seu aplicativo / recursos é níveis diferentes de confiança. Eu suponho que suas imagens não importam tanto quanto seu código / conteúdo e você não estará enviando formulários para seus usuários através do CDN, o Servidor A pode estar no local e o Servidor B na nuvem pública no SSD.