Eigenes Stammzertifikat (CA)
Den Outpost auf ein internes Stammzertifikat verweisen, wenn euer Netz TLS aufbricht.
Viele Unternehmensnetze prüfen ausgehendes HTTPS: eine Firewall oder ein Web-Proxy entschlüsselt die Verbindung und verschlüsselt sie mit einem eigenen Stammzertifikat neu. Für den Outpost sieht das aus wie ein fremdes Zertifikat auf bridge.meingpt.com — und er bricht ab, denn genau das soll er tun.
Damit er trotzdem arbeitet, zeigt ihr ihm euer Stammzertifikat.
Woran ihr erkennt, dass es das ist
Der Reiter Verbindung und der Assistent haben denselben Knopf: Prüfung starten. Die Prüfung TLS-Zertifikat schlägt dann fehl und nennt den Aussteller — bei den verbreiteten Appliances mit Namen, etwa Zscaler Root CA. Das ist die eindeutige Diagnose; ohne sie ist eine gescheiterte Kopplung genauso oft eine Firewallregel oder ein Proxy.
Erst prüfen, dann konfigurieren
Ein eigenes Zertifikat einzutragen, weil die Kopplung nicht funktioniert, ist Raten. Lasst die Prüfung laufen: sie sagt euch, ob DNS, TCP, TLS, die Erreichbarkeit von meinGPT oder die Systemuhr das Problem ist.
Einrichten
Zertifikat besorgen
Fragt die IT nach dem Stamm-CA-Zertifikat im PEM- oder CRT-Format. Es sieht so aus:
-----BEGIN CERTIFICATE-----
MIIFuTCCA6GgAwIBAgIU...
-----END CERTIFICATE-----
Legt die Datei auf den Outpost-Rechner, an einen Ort, der bestehen bleibt — nicht in den Download-Ordner. Sie wird bei jedem Start gelesen.
Falls die Kette aus Stamm- und Zwischenzertifikaten besteht, fügt sie zu einer Datei zusammen (Stamm zuerst).
Im Outpost auswählen
Reiter Verbindung → Karte Eigenes Zertifikat → Wählen…. Es öffnet sich der Dateidialog des Betriebssystems; wählt die .pem- oder .crt-Datei.
Die Zeile Aktives Zertifikat zeigt danach den Pfad statt OS-Speicher (Standard). Das ist die Bestätigung, dass es angekommen ist.
Erneut prüfen
Prüfung starten. Steht TLS-Zertifikat auf bestanden, ist es erledigt; die Kopplung funktioniert danach.
Bleibt die Prüfung rot, ist die Kette meistens unvollständig — fragt die IT nach den Zwischenzertifikaten und hängt sie an dieselbe Datei an.
Was der Outpost damit macht
Das Zertifikat gilt für alle ausgehenden Verbindungen des Outpost: den Tunnel zu meinGPT, die meinGPT-API, und einen eigenen Embedding-Endpoint, falls ihr einen nutzt. Es ersetzt den Zertifikatsspeicher des Betriebssystems nicht, sondern kommt hinzu — öffentlich vertrauenswürdige Zertifikate bleiben gültig.
Ohne Eintrag nutzt der Outpost den Speicher des Betriebssystems. Wenn euer Stammzertifikat dort ohnehin per Gruppenrichtlinie ausgerollt ist, braucht ihr diese Seite nicht.
Grenzen
- Eine Datei, kein Verzeichnis. Mehrere CAs fügt ihr zu einer Bündel-Datei zusammen.
- Der Pfad muss bestehen bleiben. Wird die Datei verschoben oder gelöscht, fällt der Outpost beim nächsten Start auf den OS-Speicher zurück und die Prüfung schlägt wieder fehl. Der Reiter Verbindung zeigt dann wieder OS-Speicher (Standard).
- Client-Zertifikate sind das nicht. Verlangt euer Proxy eine Authentifizierung mit Client-Zertifikat, ist das ein anderer Fall — sprecht uns an (enterprise@meingpt.com).