Renovación de certificados de MongoDB

MongoDB utiliza dos tipos de certificados para una conexión segura dentro del clúster de Automation Suite :

• Certificado raíz de CA
• Certificado TLS

A partir de la versión 2022.4.0, los certificados de MongoDB generados durante la instalación son válidos durante tres años.

Para entornos actualizados desde versiones anteriores a la 2021.10.3 a la 2022.4, siga los pasos descritos en esta página para la rotación del certificado de MongoDB. Los certificados de MongoDB generados son válidos por tres años.

Nota:

Para instalaciones nuevas de 2022.4 en adelante, la rotación de certificados se realiza automáticamente. El certificado de CA se renueva automáticamente 30 días antes de que caduque, mientras que el certificado TLS se renueva 20 días antes de que caduque. Por ello, no es necesaria la intervención del usuario para mantener la validez de los certificados.

Sin embargo, si quieres renovar los certificados manualmente, puedes utilizar la CLI de rotación de certificados. Siga los pasos a continuación para ejecutar la rotación de certificados.

1. SSH al nodo VM.

   ssh <username>@<node-fqdn>

2. Asume el rol de superusuario ejecutando el siguiente comando.

   sudo su

3. Vaya al directorio de instalación (para instalaciones nuevas) o actualice (para entornos actualizados) ejecutando el siguiente comando.

   cd <Installation/Upgrade Directory>

4. Copie el siguiente script rotate-cert.sh en el directorio de instalación.

   ./configureUiPathAS.sh mongodb rotate-certificate
   kubectl -n mongodb get secret/tls-ca-key-pair -o jsonpath='{.data.ca\.crt}' | base64 -d > /tmp/.certs/ca.crt
   kubectl -n mongodb create configmap mongo-ca --from-file="/tmp/.certs/ca.crt" --dry-run=client -o yaml | kubectl replace -f -
   kubectl rollout restart sts mongodb-replica-set -n mongodb

5. Ejecuta el script de rotación de certificados usando el siguiente comando.

   chmod u+x rotate-cert.sh
   ./rotate-cert.sh

El script de rotación de certificados tarda entre 5 y 10 minutos en completarse. Los nuevos certificados generados por el script son válidos durante tres años desde el momento de su creación y se renuevan automáticamente según la línea de tiempo mencionada anteriormente.