Requisitos previos para la instalación

Apart from the prerequisites listed here for Orchestrator installation, Identity Server needs valid certificates.

Certificados

Identity Server requiere los siguientes certificados válidos:

• A certificate for the HTTPS protocol.

• A certificate used to sign the tokens generated by the Identity Server.The certificate is used for signing OpenID access tokens that are used for user identification via browser and for service-to-service communication between Orchestrator and Identity Server. Click here for more details about OpenID Connect.

  Importante:

  Puedes utilizar una longitud máxima de clave de 4096 bits para firmar certificados. Te recomendamos encarecidamente que utilices una longitud de clave de al menos 512 bits (64 bytes) como práctica recomendada.

  Importante:

  Por motivos de seguridad, el certificado utilizado por Identity Server debe:

  • tener una clave pública en 2048 bits
  • tener una clave privada accesible por el usuario de AppPool,
  • estar en su periodo de validez (no haber caducado).

  The certificate's location is set in Identity Server's configuration file appsettings.Production.json, in the Signing Credential section.

Rotación de certificados

Puedes emplear la rotación de certificados para evitar el riesgo de vencimiento de los certificados y, por tanto, que Identity Server deje de funcionar. Este método implica mantener dos certificados y rotarlos periódicamente. Sin embargo, ten en cuenta que solo puedes utilizar una clave de firma cada vez.

Para iniciar el proceso de rotación de certificados, sigue los siguientes pasos:

1. Specify the initial certificate's Name, Location, and NameType using the StoreLocation parameter in appsettings.Production.json’s SigningCredentialSettings section. Note that this is the default signing key.
2. Especifica el Name del segundo certificado, Location, y NameType utilizando el parámetro ValidationKeys en la misma sección del archivo appsettings.Production.json. Asegúrate de completar este paso antes de la fecha de rotación.
3. En esta etapa, el segundo certificado se publica utilizando el punto identity/.well-known/openid-configuration/jwksfinal. Esto garantiza que todos tengan tiempo suficiente para actualizar su documento de descubrimiento en caché.
4. En el momento de la rotación, cambia los certificados y reinicia Identity Server. El nuevo certificado se puede utilizar para firmar, mientras que el anterior sigue disponible para fines de validación siempre que lo necesites.
5. El certificado anterior se puede eliminar de forma segura de la configuración después de 48 horas.

En el siguiente ejemplo, SigningCredential hace referencia al certificado utilizado actualmente, mientras que ValidationKeys hace referencia a la clave de validación recientemente publicada.

"SigningCredentialSettings": {
      "StoreLocation": {
        "Name": "2816a67bc34496ca0acabbe04eb149b88ade0684",
        "Location": "LocalMachine",
        "NameType" : "Thumbprint",
        "ValidationKeys": [
            {
            "Name": "2cde6c443f0147c6258a6fe2203e71a997bfcd44",
            "Location": "LocalMachine",
            "NameType" : "Thumbprint"
            }
        ]
      }
    }

Importante:

Si utilizas AI Center, asegúrate de reimplementarlo cada vez que actualices el certificado de Identity Server.

Impacto en el cifrado AppSettings.Production.json

La rotación de los certificados puede afectar al cifrado de los datos de AppSetting.Production.json .

Para rotar los certificados de firma, manteniendo la configuración de cifrado segura, procede de la siguiente manera:

1. Descifra el archivo AppSettings.Production.json.
2. Actualice el certificado de firma en el archivo AppSettings.Production.json .
3. Vuelve a encriptar archivo AppSettings.Production.json.
4. Reinicie el Identity Server.