Apps ユーザー向けの MongoDB 証明書の更新

概要

MongoDB では、次の 2 種類の証明書を、Automation Suite クラスター内のセキュリティで保護された接続に使用します。

• CA ルート証明書
• TLS 証明書

2021.10.3 より前の Automation Suite バージョンの MongoDB CA 証明書は、60 日間のみ有効です。自動更新プロセスは用意されていないため、証明書を更新するには手動での手順が必要です。「証明書の手動更新」セクションの手順に従って、証明書を更新します。

注: 手動で更新した証明書は、さらに 90 日間だけ有効です。その後は再度、証明書を手動で更新する必要があります。

Automation Suite バージョン 2021.10.4 以降では、有効期限が更新されて 3 年間になります。2021.10.4 以降の新規インストールでは、証明書の更新は自動です。

2021.10.3 以前のバージョンからアップグレードした環境の場合は、手動での手順がいくつか必要です。「証明書のローテーション」セクションの手順に従って、証明書を更新します。

証明書の手動更新

注: 2021.10.3 までの Automation Suite を使用している場合のみ、次の手順に従って MongoDB 証明書を手動で更新してください。

オンライン環境

この手順はオンライン環境に適用されます。

前提条件

手順を開始する前に、以下の情報を含む mongo-cert-rotation-script.sh という名前のスクリプト ファイルを作成します。

mongo-cert-rotation-script.sh

export KUBECONFIG=/etc/rancher/rke2/rke2.yaml PATH=$PATH:/var/lib/rancher/rke2/bin:/usr/local/bin
curl -sSL -o kubectl-cert-manager.tar.gz https://github.com/cert-manager/cert-manager/releases/download/v1.6.0/kubectl-cert_manager-linux-amd64.tar.gz
tar xzf kubectl-cert-manager.tar.gz
sudo mv kubectl-cert_manager /usr/local/bin
function update_additional_secrets() {
  #extract updated pem file name
  newPemFileName=$(kubectl -n mongodb get secret mongodb-replica-set-server-certificate-key -o json | jq -r '.data'| jq -r keys[0])
  echo "New pem file name ${newPemFileName}"
  #extract stale pem file name
  oldPemFile=$(kubectl -n mongodb get secret mongodb-replica-set-config -o json | jq -r '.data."cluster-config.json"' | base64 -d | jq -r '.processes[0].args2_6.net.tls.certificateKeyFile')
  oldPemFileName=$(basename "$oldPemFile")
  echo "Stale pem file name ${oldPemFileName}"
  if [[ "$oldPemFileName" != "$newPemFileName" ]]; then
    echo "Pem file entries do not match. replacing"
    #extract replica set secret  cluser config json to file
    kubectl -n mongodb get secret mongodb-replica-set-config -o json | jq -r '.data."cluster-config.json"' | base64 -d > /tmp/clusterConfig.json
    #replace old pem file name with new in the json file
    sed -i -e "s@$oldPemFileName@$newPemFileName@g" /tmp/clusterConfig.json
    #encode the json
    encodedUpdatedClusterConfig=$(jq -r '. | @base64 | "\)\)(.)"' /tmp/clusterConfig.json)
    #patch replica set secret with updated cluster config
    kubectl -n mongodb patch secret mongodb-replica-set-config --type='json' -p='[{"op" : "replace" ,"path" : "/data/cluster-config.json" ,"value" : "'"$encodedUpdatedClusterConfig"'"}]'
  else
    echo "Pem file entries match; not updating"
  fi
}
function rotate_secrets(){
    NAMESPACE="mongodb"
    
    #shellcheck disable=SC2154
    HOME_DIR=$(eval echo "~$whoami")
    echo "extracting certs and secrets from relevant files"
    #cleanup if the dir already exists
    rm -rf "$HOME_DIR"/tmp/.certs || true
    mkdir -p "$HOME_DIR"/tmp/.certs/
    kubectl -n "$NAMESPACE" get secret/tls-ca-key-pair -o jsonpath='{.data.ca\)\).crt}' | base64 -d > "$HOME_DIR"/tmp/.certs/ca.crt
    kubectl -n "$NAMESPACE" create configmap mongo-ca --from-file="$HOME_DIR/tmp/.certs/ca.crt" --dry-run=client -o yaml | kubectl apply -f -
    
    kubectl -n mongodb label  configmap mongo-ca config-discovery=yes 2>/dev/null || true
    
}
PREVIOUS_REVISION=$(kubectl -n mongodb get cert cert-manager-tls-certificate -o json | jq -r '.status.revision')
echo "Previous Version"
echo $PREVIOUS_REVISION
kubectl cert-manager renew --namespace=mongodb --all
sleep 60
CURRENT_REVISION=$(kubectl -n mongodb get cert cert-manager-tls-certificate -o json | jq -r '.status.revision')
echo "Current Version"
echo $CURRENT_REVISION
#Validate if Cert gets renewed
if [[ "${PREVIOUS_REVISION}" != "${CURRENT_REVISION}" ]]; then
  echo "Cert Renewal Successful. Previous Revision: $PREVIOUS_REVISION Current Revision: $CURRENT_REVISION"
  echo "Rotating secrets"
  rotate_secrets
  echo "Secrets rotated"
  echo "Updating additional secrets"
  update_additional_secrets
  echo "Additional secrets updated"
  echo "Rolling restart mongodb replica set"
  kubectl rollout restart sts mongodb-replica-set -n mongodb
  echo "Mongodb replica successfully Restarted"
  echo "Rolling restart apps server"
  kubectl rollout restart  -n uipath deployment apps-server
  echo "Apps server successfully restarted"
  echo "Rolling restart apps-wsserver"
  kubectl rollout restart  -n uipath deployment apps-wsserver
  echo "Apps wsserver successfully restarted"
else
  echo "Cert Renewal UnSuccessful. Previous Revision: $PREVIOUS_REVISION Current Revision: $CURRENT_REVISION"
fi
rm -rf /usr/local/bin/kubectl-cert_manager

手順

1. 次のコマンドを実行して、「前提条件」のスクリプト (mongo-cert-rotation-script.sh) を仮想マシン (VM) ノードにコピーします。

   scp <path-to-cert-script> <username>@<node-fqdn>:~

2. SSH を使用してマシンに接続します。

   ssh <username>@<node-fqdn>

3. 次のコマンドを実行して、現在の有効期限と更新日を確認します。notBefore フィールドと notAfter フィールドを探します。

   export KUBECONFIG=/etc/rancher/rke2/rke2.yaml PATH=$PATH:/var/lib/rancher/rke2/bin:/usr/local/bin
   kubectl -n mongodb describe certs

4. 次のコマンドを実行して、スクリプトをホーム ディレクトリからインストーラー ディレクトリにコピーします。

   mv /home/<username>/mongo-cert-rotation-script.sh <installer-dir>
   cd <installer-dir>

5. 次のコマンドを使用してスクリプトを実行します。

   chmod u+x mongo-cert-rotation-script.sh
   ./mongo-cert-rotation-script.sh

6. 次のコマンドを実行して、新しい有効期限と更新日を確認します。notBefore フィールドと notAfter フィールドを探します。

   kubectl -n mongodb describe certs

オフライン環境

この手順はオフライン (エアギャップ) 環境に適用されます。

前提条件

手順を開始する前に、以下の情報を含む mongo-cert-rotation-script.sh という名前のスクリプト ファイルを作成します。

mongo-airgap-cert-rotation-script.sh

export KUBECONFIG=/etc/rancher/rke2/rke2.yaml PATH=$PATH:/var/lib/rancher/rke2/bin:/usr/local/bin
tar xzf kubectl-cert-manager.tar.gz
sudo mv kubectl-cert_manager /usr/local/bin
function update_additional_secrets() {
  #extract updated pem file name
  newPemFileName=$(kubectl -n mongodb get secret mongodb-replica-set-server-certificate-key -o json | jq -r '.data'| jq -r keys[0])
  echo "New pem file name ${newPemFileName}"
  #extract stale pem file name
  oldPemFile=$(kubectl -n mongodb get secret mongodb-replica-set-config -o json | jq -r '.data."cluster-config.json"' | base64 -d | jq -r '.processes[0].args2_6.net.tls.certificateKeyFile')
  oldPemFileName=$(basename "$oldPemFile")
  echo "Stale pem file name ${oldPemFileName}"
  if [[ "$oldPemFileName" != "$newPemFileName" ]]; then
    echo "Pem file entries do not match. replacing"
    #extract replica set secret  cluser config json to file
    kubectl -n mongodb get secret mongodb-replica-set-config -o json | jq -r '.data."cluster-config.json"' | base64 -d > /tmp/clusterConfig.json
    #replace old pem file name with new in the json file
    sed -i -e "s@$oldPemFileName@$newPemFileName@g" /tmp/clusterConfig.json
    #encode the json
    encodedUpdatedClusterConfig=$(jq -r '. | @base64 | "\)\)(.)"' /tmp/clusterConfig.json)
    #patch replica set secret with updated cluster config
    kubectl -n mongodb patch secret mongodb-replica-set-config --type='json' -p='[{"op" : "replace" ,"path" : "/data/cluster-config.json" ,"value" : "'"$encodedUpdatedClusterConfig"'"}]'
  else
    echo "Pem file entries match; not updating"
  fi
}
function rotate_secrets(){
    NAMESPACE="mongodb"
    
    #shellcheck disable=SC2154
    HOME_DIR=$(eval echo "~$whoami")
    echo "extracting certs and secrets from relevant files"
    #cleanup if the dir already exists
    rm -rf "$HOME_DIR"/tmp/.certs || true
    mkdir -p "$HOME_DIR"/tmp/.certs/
    kubectl -n "$NAMESPACE" get secret/tls-ca-key-pair -o jsonpath='{.data.ca\)\).crt}' | base64 -d > "$HOME_DIR"/tmp/.certs/ca.crt
    kubectl -n "$NAMESPACE" create configmap mongo-ca --from-file="$HOME_DIR/tmp/.certs/ca.crt" --dry-run=client -o yaml | kubectl apply -f -
    
    kubectl -n mongodb label  configmap mongo-ca config-discovery=yes 2>/dev/null || true
    
}
PREVIOUS_REVISION=$(kubectl -n mongodb get cert cert-manager-tls-certificate -o json | jq -r '.status.revision')
echo "Previous Version"
echo $PREVIOUS_REVISION
kubectl cert-manager renew --namespace=mongodb --all
sleep 60
CURRENT_REVISION=$(kubectl -n mongodb get cert cert-manager-tls-certificate -o json | jq -r '.status.revision')
echo "Current Version"
echo $CURRENT_REVISION
#Validate if Cert gets renewed
if [[ "${PREVIOUS_REVISION}" != "${CURRENT_REVISION}" ]]; then
  echo "Cert Renewal Successful. Previous Revision: $PREVIOUS_REVISION Current Revision: $CURRENT_REVISION"
  echo "Rotating secrets"
  rotate_secrets
  echo "Secrets rotated"
  echo "Updating additional secrets"
  update_additional_secrets
  echo "Additional secrets updated"
  echo "Rolling restart mongodb replica set"
  kubectl rollout restart sts mongodb-replica-set -n mongodb
  echo "Mongodb replica successfully Restarted"
  echo "Rolling restart apps server"
  kubectl rollout restart  -n uipath deployment apps-server
  echo "Apps server successfully restarted"
  echo "Rolling restart apps-wsserver"
  kubectl rollout restart  -n uipath deployment apps-wsserver
  echo "Apps wsserver successfully restarted"
else
  echo "Cert Renewal UnSuccessful. Previous Revision: $PREVIOUS_REVISION Current Revision: $CURRENT_REVISION"
fi
rm -rf /usr/local/bin/kubectl-cert_manager

手順

1. 次のコマンドを実行して、kubectl-cert-manager.tar ファイルをシステムにダウンロードします。

   curl -sSL -o kubectl-cert-manager.tar.gz https://github.com/cert-manager/cert-manager/releases/download/v1.6.0/kubectl-cert_manager-linux-amd64.tar.gz

2. 次のコマンドを実行して、証明書マネージャーのバイナリを仮想マシン ノードにコピーします。

   scp <path-to-kubectl-cert-manager> <username>@<node-fqdn>:~

3. 次のコマンドを実行して、「前提条件」のスクリプト (mongo-airgap-cert-rotation-script.sh) を仮想マシン ノードにコピーします。

   scp <path-to-mongo-airgap-cert-rotation> <username>@<node-fqdn>:~

4. SSH を使用してマシンに接続します。

   ssh <username>@<node-fqdn>

5. 次のコマンドを実行して、kubectl-cert-manager.tar ファイルをインストーラー ディレクトリにコピーします。

   mv /home/<username>/kubectl-cert_manager.tar.gz <installer-dir>

6. 次のコマンドを実行して、mongo-airgap-cert-rotation-script.sh スクリプトをインストーラー ディレクトリにコピーします。

注: mongo-airgap-cert-rotation-script.sh ファイルと kubectl-cert-manager.tar ファイルが両方とも同じパスにあることを確認してください。

mv /home/<username>/mongo-airgap-cert-rotation-script.sh <installer-dir>
cd <installer-dir>

7. 次のコマンドを実行して、現在の有効期限と更新日を確認します。notBefore フィールドと notAfter フィールドを探します。

export KUBECONFIG=/etc/rancher/rke2/rke2.yaml PATH=$PATH:/var/lib/rancher/rke2/bin:/usr/local/bin
kubectl -n mongodb describe certs

8. 次のコマンドを使用してスクリプトを実行します。

chmod u+x mongo-airgap-cert-rotation-script.sh
./mongo-airgap-cert-rotation-script.sh

9. 次のコマンドを実行して、新しい有効期限と更新日を確認します。notBefore フィールドと notAfter フィールドを探します。

kubectl -n mongodb describe certs

証明書の有効期限

証明書の有効性を確認すると、次の日付が表示されます。

Not After - これは、証明書の有効期間の有効期限の日時です。

Not Before - これは、証明書の有効期間の開始日時です。

Renewal Time - これは、証明書の手動更新が推奨される日時です。

例:

Certificate 1 in the file

Name:        cert-manager-tls-certificate

Namespace:   mongodb

Not After:              2023-03-08T23:19:49Z

Not Before:             2022-03-08T23:19:49Z

Renewal Time:           2023-02-06T23:19:49Z

証明書のローテーション

注: 2021.10.3 までの Automation Suite を新しいバージョン (2021.10.4 以降) にアップグレードした場合のみ、次の手順に従って MongoDB 証明書を手動で更新してください。

1. 仮想マシン ノードに SSH 接続します。

   ssh <username>@<node-fqdn>

2. 次のコマンドを実行して、スーパー ユーザー ロールを引き受けます。

   sudo su

3. 次のコマンドを実行して、インストール ディレクトリ (新規インストールの場合) またはアップグレード ディレクトリ (アップグレードされた環境の場合) に移動します。

   cd <Installation/Upgrade Directory>

4. 次の rotate-cert.sh スクリプトをインストール ディレクトリにコピーします。

   ./configureUiPathAS.sh mongodb rotate-certificate
   kubectl -n mongodb get secret/tls-ca-key-pair -o jsonpath='{.data.ca\)\).crt}' | base64 -d > /tmp/.certs/ca.crt
   kubectl -n mongodb create configmap mongo-ca --from-file="/tmp/.certs/ca.crt" --dry-run=client -o yaml | kubectl replace -f -
   kubectl rollout restart sts mongodb-replica-set -n mongodb

5. 次のコマンドを使用して、証明書ローテーション スクリプトを実行します。

   chmod u+x rotate-cert.sh
   ./rotate-cert.sh

証明書ローテーション スクリプトの完了には約 5 分から 10 分かかります。このスクリプトで生成される新しい証明書は、作成時点から 3 年間有効であり、前述のタイムラインに従って自動的に更新されます。