Comment résoudre les chiffrements faibles dans TLS 1.2

Effectuez une mise à niveau vers TLS 1.3 ou configurez des suites de chiffrement sécurisées pour Automation Suite sous Linux.

TLS 1.2 présente des vulnérabilités liées à une implémentation de chiffrement faible. Si vous utilisez TLS 1.2, vous devez suivre l'une des étapes suivantes :

• Option A : mise à niveau vers TLS 1.3
• Option B : utilisez TLS 1.2 et modifiez votre suite de chiffrement pour résoudre les problèmes TLS du serveur d'API kube

Si vous ne savez pas quelle version de TLS vous utilisez, consultez la section Comment vérifier la version TLS.

Option A : Mise à niveau vers TLS 1.3

Important :

Avant d'appliquer TLS 1.3, vérifiez que tous les Robots et navigateurs se connectant à Automation Suite prennent en charge TLS 1.3. Toute machine dont la version TLS maximale prise en charge est inférieure à 1.3 ne pourra pas se connecter après l’application. Si vous ne pouvez pas garantir la prise en charge de TLS 1.3 dans votre environnement, envisagez l'option B à la place.

Pour mettre à niveau vers TLS 1.3, procédez comme suit :

1. Modifiez la configuration de l'écouteur TLS principal dans Automation Suite, qui fonctionne sur le port 443. Pour ce faire, mettez à jour la valeur du paramètre istioMinProtocolVersion dans le fichier cluster_config.json en TLSV1_3.

2. Réexécutez l'installation d'Automation Suite en exécutant la commande suivante :

   ./bin/uipathctl manifest apply cluster_config.json --versions versions/helm-charts.json
   

3. Mettez à jour le serveur d'API kube sur TLS 1.3. Le serveur d'API kube fonctionne sur le port 6443. Pour effectuer la mise à niveau, ajoutez la ligne suivante à votre fichier config.yaml :

   sed -i '/kube-apiserver-arg:/a\  - tls-min-version=VersionTLS13' /etc/rancher/rke2/config.yaml
   

4. Redémarrez le serveur RKE2. Veuillez noter que cette étape peut entraîner un temps d’arrêt temporaire.

   systemctl restart rke2-server
   

Option B : modifier votre suite chiffrée

Pour continuer à utiliser TLS 1.2 et renforcer la sécurité de votre système, procédez comme suit. Notez que les étapes suivantes résolvent les problèmes TLS du serveur d'API kube.

1. Modifiez votre suite de chiffrement en insérant la ligne suivante dans votre config.yaml. La ligne de configuration doit inclure les paramètres des chiffrements que vous souhaitez autoriser.

   sed  -i '/kube-apiserver-arg:/a\  - "tls-cipher-suites=TLS_CHACHA20_POLY1305_SHA256,TLS_AES_256_GCM_SHA384,TLS_AES_128_GCM_SHA256,TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256,TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256,TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_128_GCM_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA,TLS_RSA_WITH_AES_256_GCM_SHA384"' /etc/rancher/rke2/config.yaml
   

2. Redémarrez le serveur RKE2. Veuillez noter que cette étape peut entraîner un temps d’arrêt temporaire.

   systemctl restart rke2-server