Verwalten der Zertifikate

Wichtig:

Bei der Installation werden selbstsignierte Zertifikate in Ihrem Namen generiert. Sie sollten sie durch Zertifikate ersetzen, die von einer vertrauenswürdigen Zertifizierungsstelle signiert wurden, sobald die Installation abgeschlossen ist.

Sie können das uipathctl -CLI-Tool verwenden, um Zertifikate nach der Installation zu aktualisieren. Weitere Informationen finden Sie in der uipathctl-Dokumentation.

Generieren einer Certificate Signing Request (CSR) und eines privaten Schlüssels

Führen Sie den folgenden Befehl aus, um die CSR und den privaten Schlüssel zu generieren:

# copy the machine openssl configuration locally
cp /etc/pki/tls/openssl.cnf ./openssl.tmp.cnf

# Replace the [AUTOMATION_SUITE_FQDN] value. For example, "automationsuite.corp.com"
AS_FQDN=[AUTOMATION_SUITE_FQDN]
cat >> ./openssl.tmp.cnf <<EOF
[SAN]
subjectAltName=DNS:$AS_FQDN,DNS:alm.$AS_FQDN,DNS:monitoring.$AS_FQDN,DNS:registry.$AS_FQDN,DNS:objectstore.$AS_FQDN,DNS:insights.$AS_FQDN
EOF

# create the certificate request
openssl req -new -sha256 -newkey rsa:2048 -nodes -keyout server.key -subj "/C=xx/ST=xx/O=xx/OU=xx/CN=$AS_FQDN" -reqexts SAN -config openssl.tmp.cnf -out ${AS_FQDN}.csr

Ihr IT-Team verwendet die erhaltenen Werte, um ein signiertes Zertifikat zu generieren. Der generierte private Schlüssel bleibt lokal.

Verwalten des TLS-Zertifikats

Um weitere Informationen zum Aktualisieren der TLS-Zertifikate anzuzeigen, führen Sie den folgenden Befehl aus:

uipathctl config update-tls-certificates --help

Ausgabe:

************************************************************************************
Manage tls certificates

Usage:
  uipathctl config tls-certificates [flags]
  uipathctl config tls-certificates [command]

Available Commands:
  get         Get the current tls certificates
  update      Update tls certificates

Flags:
  -h, --help   help for tls-certificates

Global Flags:
      --context string      name of the kubeconfig context to use
      --kubeconfig string   kubectl configuration file (default: ~/.kube/config)
      --log-format string   log format. one of [text,json] (default "text")
      --log-level string    set log level. one of [trace,debug,info,error] (default "error")
  -q, --quiet               suppress all output except for errors and warnings
      --timeout duration    timeout of the command (default 1h0m0s)

************************************************************************************

Suchen der TLS-Zertifikate

Zertifikate werden als geheimer Schlüssel auf Istio-Ebene gespeichert. Sie finden Zertifikate unter dem Namen istio-ingressgateway-certs im Namespace istio-system .

Sehen Sie sich die Zertifikatsdateien in der folgenden Liste an:

• Das Server-TLS-Zertifikat wird als tls.crt gespeichert.
• Privater Server-TLS-Schlüssel als tls.key
• CA-Paket wird als ca.crt gespeichert.

Sie können die Geheimnisse mit dem folgenden Befehl überprüfen:

kubectl -n istio-system get secrets istio-ingressgateway-certs -o yaml

Zertifikate werden auch im UiPath-Namespace gespeichert. Das gilt für jedes UiPath®-Produkt, das Zertifikatinformationen benötigt, um eingehenden Aufrufen zu vertrauen. Weitere Informationen finden Sie unter Grundlegendes zur Containerarchitektur bezüglich Zertifikaten.

Aktualisieren der TLS-Zertifikate

Wichtig:

Sie müssen den Zertifikatschlüssel entschlüsseln, bevor Sie das Serverzertifikat aktualisieren. Das Überspringen des Entschlüsselungsschritts würde zu einem Fehler führen.

Führen Sie den folgenden Befehl aus, um den Zertifikatschlüssel zu entschlüsseln:

# replace /path/to/encrypted/cert/key to absolute file path of key
# replace /path/to/decrypt/cert/key to store decrypt key
# Once prompted, please entry the passphrase or password to decrypt the key

openssl rsa -in /path/to/encrypted/cert/key -out /path/to/decrypt/cert/key

Um das Zertifikat zu aktualisieren, führen Sie den folgenden uipathctl -Befehl aus. Sie benötigen den Pfad zu jeder der drei Zertifikatsdateien. Alle Zertifikatsdateien müssen das Format pem haben.

• Zertifizierungsstellenpaket – Dieses Paket darf nur die Kettenzertifikate enthalten, die zum Signieren des TLS-Serverzertifikats verwendet werden. Das in der Option --cacert bereitgestellte Zertifikat darf keine Blattzertifikate enthalten. Das Kettenlimit beträgt bis zu neun Zertifikate.

• Serverzertifikat – Öffentliches Serverzertifikat

• Privater Schlüssel – Privater Schlüssel für das Serverzertifikat

uipathctl config tls-certificates update --cert server.crt --cacert ca.crt --key server.key

Zugriff auf das TLS-Zertifikat

Um die Zertifikatsdateien auszudrucken, führen Sie den folgenden Befehl aus:

uipathctl config tls-certificates get

Verwalten zusätzlicher Zertifikate von Zertifizierungsstellen

Um weitere Informationen über zusätzliche Zertifikate von Zertifizierungsstellen anzuzeigen, führen Sie den folgenden Befehl aus:

uipathctl config additional-ca-certificates --help

Ausgabe:

***************************************************************************************

Manage additional ca certificates

Usage:
  uipathctl config additional-ca-certificates [flags]
  uipathctl config additional-ca-certificates [command]

Available Commands:
  get         Get the current additional ca certificates
  update      Update additional ca certificates

Flags:
  -h, --help   help for additional-ca-certificates

Global Flags:
      --context string      name of the kubeconfig context to use
      --kubeconfig string   kubectl configuration file (default: ~/.kube/config)
      --log-format string   log format. one of [text,json] (default "text")
      --log-level string    set log level. one of [trace,debug,info,error] (default "error")
  -q, --quiet               suppress all output except for errors and warnings
      --timeout duration    timeout of the command (default 1h0m0s)

***************************************************************************************

Aktualisieren der Zertifikate von Zertifizierungsstellen

Mit diesem Befehl können Sie die vorhandenen konfigurierten Zertifizierungsstellenzertifikate aktualisieren oder ersetzen.

uipathctl config additional-ca-certificates update --cacert additional_ca.crt

Hinweis:

Der obige Befehl fügt der Liste vorhandener Zertifikate ein neues Zertifikat hinzu. Wenn Sie alle zuvor konfigurierten Zertifikate ersetzen möchten, müssen Sie --replace am Ende anhängen.

Die Zertifikatspaketdatei von der Zertifizierungsstelle muss in einem gültigen .pem-Format sein und kann mehr als ein Zertifikat enthalten.

Zugriff auf das Zertifikat von einer Zertifizierungsstelle

Um die bereits konfigurierten Zertifikate von Zertifizierungsstellen herunterzuladen, führen Sie den folgenden Befehl aus:

uipathctl config additional-ca-certificates get

Verwalten von Identitätstoken-Signaturzertifikaten

Um weitere Informationen zu Identitätstoken-Signaturzertifikaten anzuzeigen, führen Sie den folgenden Befehl aus:

uipathctl config token-signing-certificates --help

Ausgabe:

************************************************************************************

Manage token signing certificates

Usage:
  uipathctl config token-signing-certificates [flags]
  uipathctl config token-signing-certificates [command]

Available Commands:
  get         Get the current token signing certificate
  rotate      Rotate token signing certificates
  update      Update future token signing certificate

Flags:
  -h, --help   help for token-signing-certificates

Global Flags:
      --context string      name of the kubeconfig context to use
      --kubeconfig string   kubectl configuration file (default: ~/.kube/config)
      --log-format string   log format. one of [text,json] (default "text")
      --log-level string    set log level. one of [trace,debug,info,error] (default "error")
  -q, --quiet               suppress all output except for errors and warnings
      --timeout duration    timeout of the command (default 1h0m0s)

************************************************************************************

Aktualisieren des Zertifikats

Führen Sie den folgenden Befehl aus, um das neue Zertifikat zum Signieren des Tokens hochzuladen:

Hinweis:

Der folgende Befehl ersetzt nicht das vorhandene Tokensignaturzertifikat.

Stellen Sie sicher, dass das von Ihnen bereitgestellte Zertifikat das Format .pem hat.

uipathctl config token-signing-certificates update --cert server.crt --key server.key

Rotieren des Zertifikats

Um das alte Zertifikat zu rotieren oder durch das neue zu ersetzen, führen Sie den folgenden Befehl aus:

uipathctl config token-signing-certificates rotate

Starten Sie nach der Rotation Bereitstellungen und StatefulSets neu, indem Sie die folgenden Befehle ausführen:

kubectl -n uipath rollout restart deploy
kubectl -n uipath rollout restart sts

Zugreifen auf das Zertifikat

Um das aktuelle Tokensignaturzertifikat herunterzuladen, führen Sie den folgenden Befehl aus:

uipathctl config token-signing-certificates get

Hinweis:

Zwischen der Zertifikatsaktualisierung und dem Rotieren sollte eine Vorlaufzeit von etwa 24-48 Stunden liegen.

Wir benötigen diese Vorlaufzeit, um die Authentifizierung für zwischengespeicherte Token, die von einem alten Zertifikat signiert wurden, weiterhin unterstützen zu können.

Wenn Sie das Zertifikat zu früh vor dem Ablauf des Cache-Tokens rotieren, kann dies zu Ausfallzeiten führen. In diesem Fall müssen Sie möglicherweise alle Ihre Roboter neu starten.

Verwalten des externen OCI-konformen Registrierungszertifikats

Um das Zertifikat nach der Installation für die externe OCI-konforme Registrierung zu aktualisieren, führen Sie die folgenden Schritte aus:

1. Aktualisieren Sie das Flag registry_ca_cert in der Datei input.json . Weitere Informationen finden Sie unter Konfiguration der externen OCI-konformen Registrierung.
2. Aktualisieren Sie das ArgoCD-Zertifikat der vertrauenswürdigen Zertifizierungsstelle für die externe OCI-konforme Registrierung:

   uipathctl config argocd ca-certificates update --cacert [PATH]

Hinweis:

Registrierungen, die von einer privaten Zertifizierungsstelle signiert wurden, funktionieren nicht wie erwartet, indem einfach die Zertifizierungsstellendatei als registry_ca_cert für AKS und EKS bereitgestellt wird. Sie müssen zusätzliche Schritte ausführen, die für den Cloud-Anbieter spezifisch sind. Beispiele für mögliche Lösungen finden Sie unter Benutzerdefinierte Zertifizierungsstelle (ZS) in Azure Kubernetes Service (AKS) (Vorschau) oder Verwenden privater Zertifikate zum Aktivieren eines Container-Repositorys in Amazon EKS.