Requisitos de los certificados

Requisitos del certificado TLS y del certificado de firma del token de identidad para la instalación de Automation Suite en OpenShift.

Importante:

Para obtener más información sobre cómo gestionar los certificados después de la instalación, consulta Gestionar certificados.

Automation Suite exige dos certificados en el momento de la instalación.

• Certificado TLS : necesario para la comunicación TLS entre el cliente y el clúster;

• Certificado de firma del token de identidad : necesario para firmar el token de autenticación.

  Importante:

  El proceso de instalación genera certificados autofirmados en tu nombre. Te recomendamos que los sustituyas por certificados firmados por una autoridad de certificación (CA) de confianza. Ten en cuenta que los certificados pueden generarse en el momento de la instalación solo si concedes privilegios de administrador al instalador de Automation Suite durante la instalación. Si no puedes conceder privilegios de administrador al instalador, debes crear y gestionar los certificados tú mismo.

  Además de los certificados anteriores, es posible que debas proporcionar certificados de CA de confianza adicionales si quieres que el clúster confíe en el software externo. Ejemplo: certificado de CA de SQL Server, certificado de CA de servidor SMTP, certificado de CA de almacén de objetos externo compatible con S3, etc.

  En el momento de la instalación, debe proporcionar certificados de CA para cualquier software externo que requiera una comunicación TLS segura. Sin embargo, si no ha habilitado la comunicación TLS, puede configurarla después de la instalación.

  Para obtener instrucciones, consulta Gestionar certificados.

Requisitos del certificado TLS

• El formato del archivo debe ser .pem, es decir, certificado DER codificado en Base64;
• La longitud de la clave privada debe ser como mínimo 2048;
• Uso de clave extendido: TLS Web Server Authentication; obligatorio para acceder a Automation Suite en dispositivos iOS;
• La clave del certificado debe descifrarse. Si la clave está cifrada, ejecute el siguiente comando para descifrarla:

  # replace /path/to/encrypted/cert/key to absolute file path of key
  # replace /path/to/decrypt/cert/key to store decrypt key
  # Once prompted, please entry the passphrase or password to decrypt the key
  
  openssl rsa -in /path/to/encrypted/cert/key -out /path/to/decrypt/cert/key
  

• Debe tener nombre alternativo para sujeto para todas las entradas DNS requeridas para instalar Automation Suite. Si el FQDN para el clúster es automationsuite.mycompany.com, el SAN del certificado debe tener el siguiente DNS:
  • automationsuite.mycompany.com
  • *.automationsuite.mycompany.com
    Nota:

    Como alternativa y si el carácter comodín * es demasiado genérico, disponga de entradas SAN para los siguientes DNS:

    • automationsuite.mycompany.com
    • insights.automationsuite.mycompany.com
    • apps.automationsuite.mycompany.com

Archivo de certificado TLS

Automation Suite requiere tres archivos en el momento de la instalación, como se indica a continuación:

• Archivo de certificado TLS : el archivo de certificado público del servidor. Este archivo debe contener la cadena de certificados de servidor público completa en formato PEM: el certificado de servidor hoja, seguido de los certificados de CA intermedios y la CA raíz que forman la ruta de firma para ese certificado de hoja. Incluye solo los certificados que forman parte de la cadena de firma real del certificado de hoja; no incluyas certificados de CA hermanos, no relacionados, duplicados o alternativos.
• Archivo de clave TLS : archivo de clave privada para el certificado del servidor.
• Paquete de autoridad de certificación : este es el certificado público de CA que se utiliza para firmar o emitir el certificado TLS. Este archivo debe contener la cadena de certificados completa, incluida la CA raíz y todos los certificados intermedios. Incluye solo los certificados utilizados para firmar el certificado del servidor TLS. Incluir cualquier otra cosa provocará un error.

Importante:

A partir de Automation Suite 2.2510.2, ca.crt debe contener la cadena de certificados completa utilizada para firmar el certificado del servidor TLS, incluidos todos los certificados intermedios y la CA raíz. No se aceptan cadenas parciales, e incluir certificados fuera de la cadena de firma real del certificado de hoja, como certificados de CA hermanos, no relacionados, duplicados o alternativos, también hará que la validación TLS falle. Para solucionar errores de validación de certificados TLS, consulta Errores de validación de certificados TLS.

Para verificar el certificado de CA y TLS, ejecute el siguiente comando en la máquina Linux:

# Please replace /path/to/ca-certificate-bundle and /path/to/server-certificate with actual file path.

openssl verify -CAfile /path/to/ca-certificate-bundle /path/to/server-certificate

Si eliges traer tu propio Cert Manager y tu certificado TLS lo emite una CA privada o no pública, debes incluir manualmente tanto el certificado de la hoja como los certificados de la CA intermedios en el archivo de certificado TLS. En el caso de las CA públicas, los sistemas cliente confían automáticamente en ellas, y no se requiere ninguna otra acción adicional por tu parte.

Certificado de firma del token de identidad

Automation Suite tiene los siguientes requisitos en términos de certificado de firma de tokens en el momento de la instalación:

• El formato del archivo debe ser pkcs12 para firmar el token de autenticación;
• Se requiere una contraseña para firmar el certificado.

Si no se proporciona un certificado de firma del token de identidad, Automation Suite utiliza los certificados del servidor para generar uno en el momento de la instalación.