Zertifikatsanforderungen

Zertifikatsanforderungen für die Installation der Automation Suite, einschließlich der beiden Zertifikate, die zum Zeitpunkt der Installation und für die Verwaltung nach der Installation erforderlich sind.

Wichtig:

Weitere Informationen zur Verwaltung von Zertifikaten nach der Installation finden Sie unter Verwalten von Zertifikaten.

Die Automation Suite erfordert zum Zeitpunkt der Installation zwei Zertifikate.

• Serverzertifikat - erforderlich für TLS-Kommunikation zwischen dem Client und dem Cluster
• Identitätstoken-Signaturzertifikat – zum Signieren des Authentifizierungstokens erforderlich.

Hinweis:

Der Installationsvorgang generiert selbstsignierte Zertifikate in Ihrem Namen; wir empfehlen jedoch, diese mit Zertifikaten zu aktualisieren, die von einer vertrauenswürdigen Zertifizierungsstelle signiert wurden, sobald die Installation abgeschlossen ist.

Wichtig:

Bei der Installation werden selbstsignierte Zertifikate in Ihrem Namen erstellt. Diese Zertifikate laufen in 90 Tagen ab und Sie müssen sie durch Zertifikate ersetzen, die von einer vertrauenswürdigen Zertifizierungsstelle signiert wurden, sobald die Installation abgeschlossen ist. Wenn Sie die Zertifikate nicht aktualisieren, funktioniert die Installation nach 90 Tagen nicht mehr.
Wenn Sie die Automation Suite auf einem FIPS-fähigen Host installiert haben und Ihre eigenen Zertifikate einbringen möchten, stellen Sie sicher, dass diese mit FIPS kompatibel sind. Eine Liste der in Frage kommenden Verschlüsselungen, die von RHEL unterstützt werden, finden Sie in der RHEL-Dokumentation.
Neben den genannten Zertifikaten müssen Sie möglicherweise zusätzliche vertrauenswürdige Zertifikate von Zertifizierungsstellen bereitstellen, wenn der Cluster externer Software vertrauen soll. Beispiele: SQL Server-Zertifizierungsstelle, SMTP-Server-Zertifizierungsstelle, externes S3-kompatibles Objektspeicher-Zertifizierungsstellenzertifikat usw.
Zum Zeitpunkt der Installation müssen Sie Zertifizierungsstellenzertifikate für jede externe Software bereitstellen, die eine sichere TLS-Kommunikation erfordert. Wenn Sie jedoch die TLS-Kommunikation nicht aktiviert haben, können Sie sie nach der Installation konfigurieren.
Anweisungen finden Sie unter Verwalten von Zertifikaten.

Anforderungen an Serverzertifikate

Das Serverzertifikat muss die folgenden Anforderungen erfüllen:

• Das Dateiformat muss .pem sein, d. h. ein base64-codiertes DER-Zertifikat
• Private Schlüssel sollten mindestens 2048 Zeichen lang sein;
• Erweiterte Schlüsselnutzung: TLS-Webserver-Authentifizierung; erforderlich für den Zugriff auf die Automation Suite auf iOS-Geräten;
• Der Zertifikatschlüssel muss entschlüsselt werden. Wenn der Schlüssel verschlüsselt ist, führen Sie den folgenden Befehl aus, um ihn zu entschlüsseln:

  # replace /path/to/encrypted/cert/key to absolute file path of key
  # replace /path/to/decrypt/cert/key to store decrypt key
  # Once prompted, please entry the passphrase or password to decrypt the key
  
  openssl rsa -in /path/to/encrypted/cert/key -out /path/to/decrypt/cert/key
  

• Sollte einen alternativen Antragstellernamen für alle DNS-Einträge haben, die für die Installation der Automation Suite erforderlich sind. Wenn der FQDN für den Cluster automationsuite.mycompany.com lautet, sollte der SAN des Zertifikats das folgende DNS haben:

  • automationsuite.mycompany.com

  • *.automationsuite.mycompany.com

    Hinweis:

    Wenn der Platzhalter * zu allgemein ist, sorgen Sie alternativ für SAN-Einträge für das folgende DNS:

    • automationsuite.mycompany.com
    • alm.automationsuite.mycompany.com
    • monitoring.automationsuite.mycompany.com
    • registry.automationsuite.mycompany.com
    • objectstore.automationsuite.mycompany.com
    • insights.automationsuite.mycompany.com

Aktiv-/Passiv-Zertifikatsanforderungen

Wenn die DNS für den primären und sekundären Automation Suite-Cluster automationsuite-primary.mycompany.com bzw. automationsuite-secondary.mycompany.com sind, müssen Sie das folgende DNS als SAN-Einträge in Ihrem Zertifikat hinzufügen:

• automationsuite-primary.mycompany.com
• alm.automationsuite-primary.mycompany.com
• monitoring.automationsuite-primary.mycompany.com
• registry.automationsuite-primary.mycompany.com
• automationsuite-secondary.mycompany.com
• alm.automationsuite-secondary.mycompany.com
• monitoring.automationsuite-secondary.mycompany.com
• registry.automationsuite-secondary.mycompany.com

Serverzertifikatsdateien

Die Automation Suite erfordert zum Zeitpunkt der Installation drei Dateien:

• Server-/TLS-Zertifikatsdatei – die öffentliche Zertifikatsdatei des Servers. Diese Datei darf nur das Blattserverzertifikat enthalten.
• Server-/TLS-Schlüsseldatei – Private Schlüsseldatei für das Serverzertifikat.
• Zertifizierungsstellenpaket – Dies ist das öffentliche Zertifikat der Zertifizierungsstelle, das zum Signieren oder Ausstellen des Serverzertifikats verwendet wird. Diese Datei muss sowohl Stamm- als auch alle Zwischenzertifikate enthalten, falls vorhanden.

Um die Zertifizierungsstelle und das Serverzertifikat zu überprüfen, führen Sie den folgenden Befehl auf der Linux-Maschine aus:

# Please replace /path/to/ca-certificate-bundle and /path/to/server-certificate with actual file path.

openssl verify -CAfile /path/to/ca-certificate-bundle /path/to/server-certificate

Identitätstoken-Signaturzertifikat

Die Automation Suite hat die folgenden Anforderungen in Bezug auf Tokensignaturzertifikate zum Zeitpunkt der Installation:

• Das Dateiformat muss pkcs12 sein, um das Authentifizierungstoken zu signieren;
• Ein Kennwort zum Signieren des Zertifikats ist erforderlich.

Wenn kein Identitätstoken-Signaturzertifikat angegeben wird, verwendet die Automation Suite die Serverzertifikate, um das zum Zeitpunkt der Installation zu generieren.