Voraussetzungen für die Installation

Apart from the prerequisites listed here for Orchestrator installation, Identity Server needs the following:

Zertifikat

Identity Server erfordert 2 gültige Zertifikate:

• A certificate for the HTTPS protocol.

• Ein Zertifikat, das zum Signieren der von Identity Server generierten Token verwendet wird.

  Wichtig:

  Aus Sicherheitsgründen muss das vom Identity Server verwendete Zertifikat:

  • einen öffentlichen Schlüssel mit 2048 Bit haben
  • über einen privaten Schlüssel verfügen, auf den der AppPool-Benutzer zugreifen kann,
  • in seinem Gültigkeitszeitraum sein (nicht abgelaufen).

  The certificate's location is set in Identity Server's configuration file appsettings.Production.json, in the Signing Credential section.

  Hinweis:

  The certificate is used for signing OpenID access tokens that are used for user identification via browser and for service-to-service communication between Orchestrator and Identity Server. Click here for more details about OpenID Connect.

Zertifikatsrotation

Sie können die Zertifikatsrotation einsetzen, um das Risiko eines Ablaufs des Zertifikats und implizit eines Ausfalls von Identity Server zu vermeiden. Diese Methode beinhaltet die Beibehaltung von zwei Zertifikaten und deren regelmäßige Rotation. Beachten Sie jedoch, dass Sie jeweils nur einen Signaturschlüssel verwenden können.

Führen Sie die folgenden Schritte aus, um die Zertifikatsrotation zu initiieren:

1. Specify the initial certificate's Name, Location, and NameType using the SigningCredential parameter in appsettings.Production.json’s SigningCredential section. Note that the first signing key you register is the default.
2. Geben Sie Name, Locationund NameType des zweiten Zertifikats an, indem Sie den Parameter ValidationKeys im gleichen Abschnitt der appsettings.Production.json-Datei verwenden. Stellen Sie sicher, dass Sie diesen Schritt vor dem Rotationsdatum ausführen.
3. In dieser Phase wird das zweite Zertifikat mit dem Endpunkt identity/.well-known/openid-configuration/jwks veröffentlicht. Dadurch wird sichergestellt, dass jeder genügend Zeit hat, sein zwischengespeichertes Discovery-Dokument zu aktualisieren.
4. Wechseln Sie zum Zeitpunkt der Rotation die Zertifikate, und starten Sie Identity Server neu. Das neue Zertifikat kann nun zum Signieren verwendet werden, während das vorherige Zertifikat weiterhin für Validierungszwecke verfügbar ist, solange Sie es benötigen.
5. Das vorherige Zertifikat kann nach 48 Stunden sicher aus der Konfiguration entfernt werden.

Im folgenden Beispiel verweist SigningCredential auf das aktuell verwendete Zertifikat, während ValidationKeys auf den neu veröffentlichten Validierungsschlüssel verweist.

"SigningCredentialSettings": {
      "StoreLocation": {
        "SigningCredential": {
            "Name": "2816a67bc34496ca0acabbe04eb149b88ade0684",
            "Location": "LocalMachine",
            "NameType" : "Thumbprint"
        },
        "ValidationKeys": [
            {
            "Name": "2cde6c443f0147c6258a6fe2203e71a997bfcd44",
            "Location": "LocalMachine",
            "NameType" : "Thumbprint"
            }
        ]
      }
    }

Wichtig:

Wenn Sie AI Center verwenden, stellen Sie sicher, dass Sie es erneut bereitstellen, wenn Sie das Identity Server-Zertifikat aktualisieren.