MongoDB-Zertifikatsverlängerung für Apps-Benutzer

Überblick

MongoDB verwendet zwei Arten von Zertifikaten für eine sichere Verbindung innerhalb des Automation Suite -Clusters:

• CA-Stammzertifikat
• TLS-Zertifikat

Das MongoDB-Zertifizierungsstellenzertifikat für Automation Suite-Versionen vor 2021.10.3 ist nur 60 Tage gültig. Da es keinen automatischen Verlängerungsprozess gibt, ist ein manuelles Verfahren erforderlich, um das Zertifikat zu aktualisieren. Führen Sie die Schritte im Abschnitt Manuelle Zertifikatsaktualisierung aus, um die Zertifikate zu erneuern.

Hinweis: Die manuell aktualisierten Zertifikate sind nur noch 90 Tage gültig. Danach müssen die Zertifikate erneut manuell aktualisiert werden.

Für Automation Suite-Versionen 2021.10.4 und höher wird der Ablauf auf drei Jahre aktualisiert. Bei Neuinstallationen von 2021.10.4 und höher erfolgt die Zertifikatserneuerung automatisch.

Für Umgebungen, die von Version 2021.10.3 und früher aktualisiert wurden, sind einige manuelle Schritte erforderlich. Führen Sie die Schritte im Abschnitt Zertifikatsrotation aus, um die Zertifikate zu aktualisieren.

Manuelle Zertifikatsaktualisierung

Hinweis: Führen Sie dieses Verfahren aus, um MongoDB-Zertifikate nur dann manuell zu aktualisieren, wenn Sie die Automation Suite bis einschließlich 2021.10.3 verwenden.

Online-Umgebung

Dieses Verfahren gilt für Onlineumgebungen.

Voraussetzungen

Erstellen Sie vor dem Starten des Verfahrens eine Skriptdatei mit dem Namen mongo-cert-rotation-script.sh , die die folgenden Informationen enthält.

mongo-cert-rotation-script.sh

export KUBECONFIG=/etc/rancher/rke2/rke2.yaml PATH=$PATH:/var/lib/rancher/rke2/bin:/usr/local/bin
curl -sSL -o kubectl-cert-manager.tar.gz https://github.com/cert-manager/cert-manager/releases/download/v1.6.0/kubectl-cert_manager-linux-amd64.tar.gz
tar xzf kubectl-cert-manager.tar.gz
sudo mv kubectl-cert_manager /usr/local/bin
function update_additional_secrets() {
  #extract updated pem file name
  newPemFileName=$(kubectl -n mongodb get secret mongodb-replica-set-server-certificate-key -o json | jq -r '.data'| jq -r keys[0])
  echo "New pem file name ${newPemFileName}"
  #extract stale pem file name
  oldPemFile=$(kubectl -n mongodb get secret mongodb-replica-set-config -o json | jq -r '.data."cluster-config.json"' | base64 -d | jq -r '.processes[0].args2_6.net.tls.certificateKeyFile')
  oldPemFileName=$(basename "$oldPemFile")
  echo "Stale pem file name ${oldPemFileName}"
  if [[ "$oldPemFileName" != "$newPemFileName" ]]; then
    echo "Pem file entries do not match. replacing"
    #extract replica set secret  cluser config json to file
    kubectl -n mongodb get secret mongodb-replica-set-config -o json | jq -r '.data."cluster-config.json"' | base64 -d > /tmp/clusterConfig.json
    #replace old pem file name with new in the json file
    sed -i -e "s@$oldPemFileName@$newPemFileName@g" /tmp/clusterConfig.json
    #encode the json
    encodedUpdatedClusterConfig=$(jq -r '. | @base64 | "\)\)(.)"' /tmp/clusterConfig.json)
    #patch replica set secret with updated cluster config
    kubectl -n mongodb patch secret mongodb-replica-set-config --type='json' -p='[{"op" : "replace" ,"path" : "/data/cluster-config.json" ,"value" : "'"$encodedUpdatedClusterConfig"'"}]'
  else
    echo "Pem file entries match; not updating"
  fi
}
function rotate_secrets(){
    NAMESPACE="mongodb"
    
    #shellcheck disable=SC2154
    HOME_DIR=$(eval echo "~$whoami")
    echo "extracting certs and secrets from relevant files"
    #cleanup if the dir already exists
    rm -rf "$HOME_DIR"/tmp/.certs || true
    mkdir -p "$HOME_DIR"/tmp/.certs/
    kubectl -n "$NAMESPACE" get secret/tls-ca-key-pair -o jsonpath='{.data.ca\)\).crt}' | base64 -d > "$HOME_DIR"/tmp/.certs/ca.crt
    kubectl -n "$NAMESPACE" create configmap mongo-ca --from-file="$HOME_DIR/tmp/.certs/ca.crt" --dry-run=client -o yaml | kubectl apply -f -
    
    kubectl -n mongodb label  configmap mongo-ca config-discovery=yes 2>/dev/null || true
    
}
PREVIOUS_REVISION=$(kubectl -n mongodb get cert cert-manager-tls-certificate -o json | jq -r '.status.revision')
echo "Previous Version"
echo $PREVIOUS_REVISION
kubectl cert-manager renew --namespace=mongodb --all
sleep 60
CURRENT_REVISION=$(kubectl -n mongodb get cert cert-manager-tls-certificate -o json | jq -r '.status.revision')
echo "Current Version"
echo $CURRENT_REVISION
#Validate if Cert gets renewed
if [[ "${PREVIOUS_REVISION}" != "${CURRENT_REVISION}" ]]; then
  echo "Cert Renewal Successful. Previous Revision: $PREVIOUS_REVISION Current Revision: $CURRENT_REVISION"
  echo "Rotating secrets"
  rotate_secrets
  echo "Secrets rotated"
  echo "Updating additional secrets"
  update_additional_secrets
  echo "Additional secrets updated"
  echo "Rolling restart mongodb replica set"
  kubectl rollout restart sts mongodb-replica-set -n mongodb
  echo "Mongodb replica successfully Restarted"
  echo "Rolling restart apps server"
  kubectl rollout restart  -n uipath deployment apps-server
  echo "Apps server successfully restarted"
  echo "Rolling restart apps-wsserver"
  kubectl rollout restart  -n uipath deployment apps-wsserver
  echo "Apps wsserver successfully restarted"
else
  echo "Cert Renewal UnSuccessful. Previous Revision: $PREVIOUS_REVISION Current Revision: $CURRENT_REVISION"
fi
rm -rf /usr/local/bin/kubectl-cert_manager

Verfahren

1. Kopieren Sie das Skript aus den Voraussetzungen (mongo-cert-rotation-script.sh) auf den Knoten der virtuellen Maschine (VM), indem Sie die folgenden Befehle ausführen:

   scp <path-to-cert-script> <username>@<node-fqdn>:~

2. Stellen Sie mit SSH eine Verbindung mit der Maschine her.

   ssh <username>@<node-fqdn>

3. Überprüfen Sie das aktuelle Ablauf- und Erneuerungsdatum, indem Sie den folgenden Befehl ausführen. Suchen Sie nach den Feldern notBefore und notAfter .

   export KUBECONFIG=/etc/rancher/rke2/rke2.yaml PATH=$PATH:/var/lib/rancher/rke2/bin:/usr/local/bin
   kubectl -n mongodb describe certs

4. Kopieren Sie das Skript aus dem Basisverzeichnis in das Installationsverzeichnis, indem Sie die folgenden Befehle ausführen:

   mv /home/<username>/mongo-cert-rotation-script.sh <installer-dir>
   cd <installer-dir>

5. Führen Sie das Skript mit den folgenden Befehlen aus:

   chmod u+x mongo-cert-rotation-script.sh
   ./mongo-cert-rotation-script.sh

6. Überprüfen Sie das neue Ablauf- und Erneuerungsdatum, indem Sie den folgenden Befehl ausführen. Suchen Sie nach den Feldern notBefore und notAfter .

   kubectl -n mongodb describe certs

Offline-Umgebung

Dieses Verfahren gilt für Offlineumgebungen (airpgapped).

Voraussetzungen

Erstellen Sie vor dem Starten des Verfahrens eine Skriptdatei mit dem Namen mongo-cert-rotation-script.sh , die die folgenden Informationen enthält.

mongo-airgap-cert-rotation-script.sh

export KUBECONFIG=/etc/rancher/rke2/rke2.yaml PATH=$PATH:/var/lib/rancher/rke2/bin:/usr/local/bin
tar xzf kubectl-cert-manager.tar.gz
sudo mv kubectl-cert_manager /usr/local/bin
function update_additional_secrets() {
  #extract updated pem file name
  newPemFileName=$(kubectl -n mongodb get secret mongodb-replica-set-server-certificate-key -o json | jq -r '.data'| jq -r keys[0])
  echo "New pem file name ${newPemFileName}"
  #extract stale pem file name
  oldPemFile=$(kubectl -n mongodb get secret mongodb-replica-set-config -o json | jq -r '.data."cluster-config.json"' | base64 -d | jq -r '.processes[0].args2_6.net.tls.certificateKeyFile')
  oldPemFileName=$(basename "$oldPemFile")
  echo "Stale pem file name ${oldPemFileName}"
  if [[ "$oldPemFileName" != "$newPemFileName" ]]; then
    echo "Pem file entries do not match. replacing"
    #extract replica set secret  cluser config json to file
    kubectl -n mongodb get secret mongodb-replica-set-config -o json | jq -r '.data."cluster-config.json"' | base64 -d > /tmp/clusterConfig.json
    #replace old pem file name with new in the json file
    sed -i -e "s@$oldPemFileName@$newPemFileName@g" /tmp/clusterConfig.json
    #encode the json
    encodedUpdatedClusterConfig=$(jq -r '. | @base64 | "\)\)(.)"' /tmp/clusterConfig.json)
    #patch replica set secret with updated cluster config
    kubectl -n mongodb patch secret mongodb-replica-set-config --type='json' -p='[{"op" : "replace" ,"path" : "/data/cluster-config.json" ,"value" : "'"$encodedUpdatedClusterConfig"'"}]'
  else
    echo "Pem file entries match; not updating"
  fi
}
function rotate_secrets(){
    NAMESPACE="mongodb"
    
    #shellcheck disable=SC2154
    HOME_DIR=$(eval echo "~$whoami")
    echo "extracting certs and secrets from relevant files"
    #cleanup if the dir already exists
    rm -rf "$HOME_DIR"/tmp/.certs || true
    mkdir -p "$HOME_DIR"/tmp/.certs/
    kubectl -n "$NAMESPACE" get secret/tls-ca-key-pair -o jsonpath='{.data.ca\)\).crt}' | base64 -d > "$HOME_DIR"/tmp/.certs/ca.crt
    kubectl -n "$NAMESPACE" create configmap mongo-ca --from-file="$HOME_DIR/tmp/.certs/ca.crt" --dry-run=client -o yaml | kubectl apply -f -
    
    kubectl -n mongodb label  configmap mongo-ca config-discovery=yes 2>/dev/null || true
    
}
PREVIOUS_REVISION=$(kubectl -n mongodb get cert cert-manager-tls-certificate -o json | jq -r '.status.revision')
echo "Previous Version"
echo $PREVIOUS_REVISION
kubectl cert-manager renew --namespace=mongodb --all
sleep 60
CURRENT_REVISION=$(kubectl -n mongodb get cert cert-manager-tls-certificate -o json | jq -r '.status.revision')
echo "Current Version"
echo $CURRENT_REVISION
#Validate if Cert gets renewed
if [[ "${PREVIOUS_REVISION}" != "${CURRENT_REVISION}" ]]; then
  echo "Cert Renewal Successful. Previous Revision: $PREVIOUS_REVISION Current Revision: $CURRENT_REVISION"
  echo "Rotating secrets"
  rotate_secrets
  echo "Secrets rotated"
  echo "Updating additional secrets"
  update_additional_secrets
  echo "Additional secrets updated"
  echo "Rolling restart mongodb replica set"
  kubectl rollout restart sts mongodb-replica-set -n mongodb
  echo "Mongodb replica successfully Restarted"
  echo "Rolling restart apps server"
  kubectl rollout restart  -n uipath deployment apps-server
  echo "Apps server successfully restarted"
  echo "Rolling restart apps-wsserver"
  kubectl rollout restart  -n uipath deployment apps-wsserver
  echo "Apps wsserver successfully restarted"
else
  echo "Cert Renewal UnSuccessful. Previous Revision: $PREVIOUS_REVISION Current Revision: $CURRENT_REVISION"
fi
rm -rf /usr/local/bin/kubectl-cert_manager

Verfahren

1. Laden Sie die Datei kubectl-cert-manager.tar auf Ihr System herunter, indem Sie den folgenden Befehl ausführen:

   curl -sSL -o kubectl-cert-manager.tar.gz https://github.com/cert-manager/cert-manager/releases/download/v1.6.0/kubectl-cert_manager-linux-amd64.tar.gz

2. Kopieren Sie die Binärdatei des Zertifikatsmanagers auf den VM-Knoten, indem Sie den folgenden Befehl ausführen:

   scp <path-to-kubectl-cert-manager> <username>@<node-fqdn>:~

3. Kopieren Sie das Skript aus den Voraussetzungen (mongo-airgap-cert-rotation-script.sh) auf den VM-Knoten, indem Sie die folgenden Befehle ausführen:

   scp <path-to-mongo-airgap-cert-rotation> <username>@<node-fqdn>:~

4. Stellen Sie mit SSH eine Verbindung mit der Maschine her.

   ssh <username>@<node-fqdn>

5. Kopieren Sie die Datei kubectl-cert-manager.tar in das Installationsverzeichnis, indem Sie den folgenden Befehl ausführen:

   mv /home/<username>/kubectl-cert_manager.tar.gz <installer-dir>

6. Kopieren Sie das Skript mongo-airgap-cert-rotation-script.sh in das Installationsverzeichnis, indem Sie den folgenden Befehl ausführen:

Hinweis: Stellen Sie sicher, dass sich sowohl mongo-airgap-cert-rotation-script.sh - als auch kubectl-cert-manager.tar -Dateien im selben Pfad befinden.

mv /home/<username>/mongo-airgap-cert-rotation-script.sh <installer-dir>
cd <installer-dir>

7. Überprüfen Sie das aktuelle Ablauf- und Erneuerungsdatum, indem Sie den folgenden Befehl ausführen. Suchen Sie nach den Feldern notBefore und notAfter .

export KUBECONFIG=/etc/rancher/rke2/rke2.yaml PATH=$PATH:/var/lib/rancher/rke2/bin:/usr/local/bin
kubectl -n mongodb describe certs

8. Führen Sie das Skript mit den folgenden Befehlen aus:

chmod u+x mongo-airgap-cert-rotation-script.sh
./mongo-airgap-cert-rotation-script.sh

9. Überprüfen Sie die neuen Ablauf- und Verlängerungsdaten, indem Sie den folgenden Befehl ausführen. Suchen Sie nach den Feldern notBefore und notAfter.

kubectl -n mongodb describe certs

Datumsangaben zur Gültigkeit des Zertifikats

Bei der Überprüfung der Gültigkeit des Zertifikats werden die folgenden Datumsangaben angezeigt:

Not After – Ablaufdatum und -uhrzeit der Gültigkeitsdauer Ihres Zertifikats.

Not Before – Startdatum und -uhrzeit der Gültigkeitsdauer Ihres Zertifikats.

Renewal Time – Empfohlenes Datum und empfohlene Uhrzeit für die manuelle Verlängerung Ihres Zertifikats.

Zum Beispiel:

Certificate 1 in the file

Name:        cert-manager-tls-certificate

Namespace:   mongodb

Not After:              2023-03-08T23:19:49Z

Not Before:             2022-03-08T23:19:49Z

Renewal Time:           2023-02-06T23:19:49Z

Zertifikatsrotation

Hinweis: Führen Sie dieses Verfahren aus, um MongoDB-Zertifikate nur dann manuell zu aktualisieren, wenn Sie von der Automation Suite bis einschließlich 2021.10.3 auf eine neuere Version (mindestens 2021.10.4) aktualisiert haben.

1. SSH mit dem VM-Knoten.

   ssh <username>@<node-fqdn>

2. Übernehmen Sie die Rolle des Superusers, indem Sie den folgenden Befehl ausführen.

   sudo su

3. Wechseln Sie zum Installations- (für Neuinstallationen) oder Upgrade-Verzeichnis (für aktualisierte Umgebungen), indem Sie den folgenden Befehl ausführen.

   cd <Installation/Upgrade Directory>

4. Kopieren Sie das rotate-cert.sh -Skript unten in das Installationsverzeichnis.

   ./configureUiPathAS.sh mongodb rotate-certificate
   kubectl -n mongodb get secret/tls-ca-key-pair -o jsonpath='{.data.ca\)\).crt}' | base64 -d > /tmp/.certs/ca.crt
   kubectl -n mongodb create configmap mongo-ca --from-file="/tmp/.certs/ca.crt" --dry-run=client -o yaml | kubectl replace -f -
   kubectl rollout restart sts mongodb-replica-set -n mongodb

5. Führen Sie das Zertifikatsrotationsskript aus, indem Sie den folgenden Befehl verwenden.

   chmod u+x rotate-cert.sh
   ./rotate-cert.sh

Das Ausführen des Zertifikatrotationsskripts dauert etwa 5 bis 10 Minuten. Die vom Skript generierten neuen Zertifikate sind ab dem Zeitpunkt der Erstellung drei Jahre lang gültig und werden automatisch gemäß der oben genannten Zeitleiste erneuert.