Renouvellement du certificat MongoDB pour les utilisateurs d'applications

Vue d'ensemble (Overview)

MongoDB utilise deux types de certificats pour une connexion sécurisée au sein du cluster Automation Suite :

• Certificat racine CA
• Certificat TLS

Le certificat CA MongoDB pour les versions d'Automation Suite antérieures à 2021.10.3 n'est valable que pendant 60 jours. Comme aucun processus de renouvellement automatique n'est en place, une procédure manuelle est nécessaire pour mettre à jour le certificat. Suivez les étapes de la section Mise à jour manuelle du certificat pour renouveler les certificats.

Remarque : les certificats mis à jour manuellement ne sont valides que pour 90 jours supplémentaires. Après cela, les certificats doivent être à nouveau mis à jour manuellement.

Pour les versions 2021.10.4 et ultérieures d'Automation Suite, l'expiration est passée à trois ans. Pour les nouvelles installations de 2021.10.4 et versions ultérieures, le renouvellement du certificat est automatique.

Pour les environnements mis à niveau à partir de la version 2021.10.3 et antérieures, certaines étapes manuelles sont nécessaires. Suivez les étapes de la section Rotation du certificat (Certificate rotation) pour mettre à jour les certificats.

Mise à jour manuelle du certificat

Remarque : suivez cette procédure pour mettre à jour les certificats MongoDB manuellement uniquement si vous utilisez Automation Suite jusqu'à et y compris 2021.10.3.

Environnement en ligne

Cette procédure s'applique aux environnements en ligne.

Prérequis

Avant de démarrer la procédure, créez un fichier de script nommé mongo-cert-rotation-script.sh contenant les informations ci-dessous.

mongo-cert-rotation-script.sh

export KUBECONFIG=/etc/rancher/rke2/rke2.yaml PATH=$PATH:/var/lib/rancher/rke2/bin:/usr/local/bin
curl -sSL -o kubectl-cert-manager.tar.gz https://github.com/cert-manager/cert-manager/releases/download/v1.6.0/kubectl-cert_manager-linux-amd64.tar.gz
tar xzf kubectl-cert-manager.tar.gz
sudo mv kubectl-cert_manager /usr/local/bin
function update_additional_secrets() {
  #extract updated pem file name
  newPemFileName=$(kubectl -n mongodb get secret mongodb-replica-set-server-certificate-key -o json | jq -r '.data'| jq -r keys[0])
  echo "New pem file name ${newPemFileName}"
  #extract stale pem file name
  oldPemFile=$(kubectl -n mongodb get secret mongodb-replica-set-config -o json | jq -r '.data."cluster-config.json"' | base64 -d | jq -r '.processes[0].args2_6.net.tls.certificateKeyFile')
  oldPemFileName=$(basename "$oldPemFile")
  echo "Stale pem file name ${oldPemFileName}"
  if [[ "$oldPemFileName" != "$newPemFileName" ]]; then
    echo "Pem file entries do not match. replacing"
    #extract replica set secret  cluser config json to file
    kubectl -n mongodb get secret mongodb-replica-set-config -o json | jq -r '.data."cluster-config.json"' | base64 -d > /tmp/clusterConfig.json
    #replace old pem file name with new in the json file
    sed -i -e "s@$oldPemFileName@$newPemFileName@g" /tmp/clusterConfig.json
    #encode the json
    encodedUpdatedClusterConfig=$(jq -r '. | @base64 | "\)\)(.)"' /tmp/clusterConfig.json)
    #patch replica set secret with updated cluster config
    kubectl -n mongodb patch secret mongodb-replica-set-config --type='json' -p='[{"op" : "replace" ,"path" : "/data/cluster-config.json" ,"value" : "'"$encodedUpdatedClusterConfig"'"}]'
  else
    echo "Pem file entries match; not updating"
  fi
}
function rotate_secrets(){
    NAMESPACE="mongodb"
    
    #shellcheck disable=SC2154
    HOME_DIR=$(eval echo "~$whoami")
    echo "extracting certs and secrets from relevant files"
    #cleanup if the dir already exists
    rm -rf "$HOME_DIR"/tmp/.certs || true
    mkdir -p "$HOME_DIR"/tmp/.certs/
    kubectl -n "$NAMESPACE" get secret/tls-ca-key-pair -o jsonpath='{.data.ca\)\).crt}' | base64 -d > "$HOME_DIR"/tmp/.certs/ca.crt
    kubectl -n "$NAMESPACE" create configmap mongo-ca --from-file="$HOME_DIR/tmp/.certs/ca.crt" --dry-run=client -o yaml | kubectl apply -f -
    
    kubectl -n mongodb label  configmap mongo-ca config-discovery=yes 2>/dev/null || true
    
}
PREVIOUS_REVISION=$(kubectl -n mongodb get cert cert-manager-tls-certificate -o json | jq -r '.status.revision')
echo "Previous Version"
echo $PREVIOUS_REVISION
kubectl cert-manager renew --namespace=mongodb --all
sleep 60
CURRENT_REVISION=$(kubectl -n mongodb get cert cert-manager-tls-certificate -o json | jq -r '.status.revision')
echo "Current Version"
echo $CURRENT_REVISION
#Validate if Cert gets renewed
if [[ "${PREVIOUS_REVISION}" != "${CURRENT_REVISION}" ]]; then
  echo "Cert Renewal Successful. Previous Revision: $PREVIOUS_REVISION Current Revision: $CURRENT_REVISION"
  echo "Rotating secrets"
  rotate_secrets
  echo "Secrets rotated"
  echo "Updating additional secrets"
  update_additional_secrets
  echo "Additional secrets updated"
  echo "Rolling restart mongodb replica set"
  kubectl rollout restart sts mongodb-replica-set -n mongodb
  echo "Mongodb replica successfully Restarted"
  echo "Rolling restart apps server"
  kubectl rollout restart  -n uipath deployment apps-server
  echo "Apps server successfully restarted"
  echo "Rolling restart apps-wsserver"
  kubectl rollout restart  -n uipath deployment apps-wsserver
  echo "Apps wsserver successfully restarted"
else
  echo "Cert Renewal UnSuccessful. Previous Revision: $PREVIOUS_REVISION Current Revision: $CURRENT_REVISION"
fi
rm -rf /usr/local/bin/kubectl-cert_manager

Procédure

1. Copiez le script de Prérequis (mongo-cert-rotation-script.sh) vers le nœud de la machine virtuelle (VM) en exécutant les commandes suivantes :

   scp <path-to-cert-script> <username>@<node-fqdn>:~

2. Connectez-vous à la machine à l'aide de SSH.

   ssh <username>@<node-fqdn>

3. Vérifiez les dates d'expiration et de renouvellement actuelles en exécutant la commande ci-dessous. Recherchez les champs notBefore et notAfter .

   export KUBECONFIG=/etc/rancher/rke2/rke2.yaml PATH=$PATH:/var/lib/rancher/rke2/bin:/usr/local/bin
   kubectl -n mongodb describe certs

4. Copiez le script du répertoire de base vers le répertoire du programme d'installation en exécutant les commandes suivantes :

   mv /home/<username>/mongo-cert-rotation-script.sh <installer-dir>
   cd <installer-dir>

5. Exécutez le script à l'aide des commandes suivantes :

   chmod u+x mongo-cert-rotation-script.sh
   ./mongo-cert-rotation-script.sh

6. Vérifiez les nouvelles dates d'expiration et de renouvellement en exécutant la commande ci-dessous. Recherchez les champs notBefore et notAfter .

   kubectl -n mongodb describe certs

Environnement hors ligne

Cette procédure s'applique aux environnements hors ligne (airpgapped).

Prérequis

Avant de démarrer la procédure, créez un fichier de script nommé mongo-cert-rotation-script.sh contenant les informations ci-dessous.

mongo-airgap-cert-rotation-script.sh

export KUBECONFIG=/etc/rancher/rke2/rke2.yaml PATH=$PATH:/var/lib/rancher/rke2/bin:/usr/local/bin
tar xzf kubectl-cert-manager.tar.gz
sudo mv kubectl-cert_manager /usr/local/bin
function update_additional_secrets() {
  #extract updated pem file name
  newPemFileName=$(kubectl -n mongodb get secret mongodb-replica-set-server-certificate-key -o json | jq -r '.data'| jq -r keys[0])
  echo "New pem file name ${newPemFileName}"
  #extract stale pem file name
  oldPemFile=$(kubectl -n mongodb get secret mongodb-replica-set-config -o json | jq -r '.data."cluster-config.json"' | base64 -d | jq -r '.processes[0].args2_6.net.tls.certificateKeyFile')
  oldPemFileName=$(basename "$oldPemFile")
  echo "Stale pem file name ${oldPemFileName}"
  if [[ "$oldPemFileName" != "$newPemFileName" ]]; then
    echo "Pem file entries do not match. replacing"
    #extract replica set secret  cluser config json to file
    kubectl -n mongodb get secret mongodb-replica-set-config -o json | jq -r '.data."cluster-config.json"' | base64 -d > /tmp/clusterConfig.json
    #replace old pem file name with new in the json file
    sed -i -e "s@$oldPemFileName@$newPemFileName@g" /tmp/clusterConfig.json
    #encode the json
    encodedUpdatedClusterConfig=$(jq -r '. | @base64 | "\)\)(.)"' /tmp/clusterConfig.json)
    #patch replica set secret with updated cluster config
    kubectl -n mongodb patch secret mongodb-replica-set-config --type='json' -p='[{"op" : "replace" ,"path" : "/data/cluster-config.json" ,"value" : "'"$encodedUpdatedClusterConfig"'"}]'
  else
    echo "Pem file entries match; not updating"
  fi
}
function rotate_secrets(){
    NAMESPACE="mongodb"
    
    #shellcheck disable=SC2154
    HOME_DIR=$(eval echo "~$whoami")
    echo "extracting certs and secrets from relevant files"
    #cleanup if the dir already exists
    rm -rf "$HOME_DIR"/tmp/.certs || true
    mkdir -p "$HOME_DIR"/tmp/.certs/
    kubectl -n "$NAMESPACE" get secret/tls-ca-key-pair -o jsonpath='{.data.ca\)\).crt}' | base64 -d > "$HOME_DIR"/tmp/.certs/ca.crt
    kubectl -n "$NAMESPACE" create configmap mongo-ca --from-file="$HOME_DIR/tmp/.certs/ca.crt" --dry-run=client -o yaml | kubectl apply -f -
    
    kubectl -n mongodb label  configmap mongo-ca config-discovery=yes 2>/dev/null || true
    
}
PREVIOUS_REVISION=$(kubectl -n mongodb get cert cert-manager-tls-certificate -o json | jq -r '.status.revision')
echo "Previous Version"
echo $PREVIOUS_REVISION
kubectl cert-manager renew --namespace=mongodb --all
sleep 60
CURRENT_REVISION=$(kubectl -n mongodb get cert cert-manager-tls-certificate -o json | jq -r '.status.revision')
echo "Current Version"
echo $CURRENT_REVISION
#Validate if Cert gets renewed
if [[ "${PREVIOUS_REVISION}" != "${CURRENT_REVISION}" ]]; then
  echo "Cert Renewal Successful. Previous Revision: $PREVIOUS_REVISION Current Revision: $CURRENT_REVISION"
  echo "Rotating secrets"
  rotate_secrets
  echo "Secrets rotated"
  echo "Updating additional secrets"
  update_additional_secrets
  echo "Additional secrets updated"
  echo "Rolling restart mongodb replica set"
  kubectl rollout restart sts mongodb-replica-set -n mongodb
  echo "Mongodb replica successfully Restarted"
  echo "Rolling restart apps server"
  kubectl rollout restart  -n uipath deployment apps-server
  echo "Apps server successfully restarted"
  echo "Rolling restart apps-wsserver"
  kubectl rollout restart  -n uipath deployment apps-wsserver
  echo "Apps wsserver successfully restarted"
else
  echo "Cert Renewal UnSuccessful. Previous Revision: $PREVIOUS_REVISION Current Revision: $CURRENT_REVISION"
fi
rm -rf /usr/local/bin/kubectl-cert_manager

Procédure

1. Téléchargez le fichier kubectl-cert-manager.tar sur votre système en exécutant la commande suivante :

   curl -sSL -o kubectl-cert-manager.tar.gz https://github.com/cert-manager/cert-manager/releases/download/v1.6.0/kubectl-cert_manager-linux-amd64.tar.gz

2. Copiez le binaire du gestionnaire de certificats sur le nœud de la machine virtuelle en exécutant la commande suivante :

   scp <path-to-kubectl-cert-manager> <username>@<node-fqdn>:~

3. Copiez le script de Prérequis (mongo-airgap-cert-rotation-script.sh) vers le nœud de machine virtuelle en exécutant les commandes suivantes :

   scp <path-to-mongo-airgap-cert-rotation> <username>@<node-fqdn>:~

4. Connectez-vous à la machine à l'aide de SSH.

   ssh <username>@<node-fqdn>

5. Copiez le fichier kubectl-cert-manager.tar dans le répertoire du programme d'installation en exécutant la commande suivante :

   mv /home/<username>/kubectl-cert_manager.tar.gz <installer-dir>

6. Copiez le script mongo-airgap-cert-rotation-script.sh dans le répertoire du programme d'installation en exécutant la commande suivante :

Remarque : assurez-vous que les fichiers mongo-airgap-cert-rotation-script.sh et kubectl-cert-manager.tar se trouvent dans le même chemin.

mv /home/<username>/mongo-airgap-cert-rotation-script.sh <installer-dir>
cd <installer-dir>

7. Vérifiez les dates d'expiration et de renouvellement actuelles en exécutant la commande ci-dessous. Recherchez les champs notBefore et notAfter .

export KUBECONFIG=/etc/rancher/rke2/rke2.yaml PATH=$PATH:/var/lib/rancher/rke2/bin:/usr/local/bin
kubectl -n mongodb describe certs

8. Exécutez le script à l'aide des commandes suivantes :

chmod u+x mongo-airgap-cert-rotation-script.sh
./mongo-airgap-cert-rotation-script.sh

9. Vérifiez les nouvelles dates d'expiration et de renouvellement en exécutant la commande ci-dessous. Recherchez les champs notBefore et notAfter.

kubectl -n mongodb describe certs

Dates de validité du certificat

Lors de la vérification de la validité du certificat, les dates suivantes s’affichent :

Not After - il s’agit de la date et de l’heure d’expiration de la période de validité de votre certificat.

Not Before - il s’agit de la date et de l’heure de début de la période de validité de votre certificat.

Renewal Time - il s’agit de la date et de l’heure recommandées pour le renouvellement manuel de votre certificat.

Par exemple :

Certificate 1 in the file

Name:        cert-manager-tls-certificate

Namespace:   mongodb

Not After:              2023-03-08T23:19:49Z

Not Before:             2022-03-08T23:19:49Z

Renewal Time:           2023-02-06T23:19:49Z

Rotation des certificats

Remarque : suivez cette procédure pour mettre à jour les certificats MongoDB manuellement uniquement si vous avez effectué une mise à niveau depuis Automation Suite jusqu'à et y compris la version 2021.10.3 vers une version ultérieure (2021.10.4 au moins).

1. SSH vers le nœud de la machine virtuelle.

   ssh <username>@<node-fqdn>

2. Assumez le rôle de super utilisateur en exécutant la commande ci-dessous.

   sudo su

3. Accédez au répertoire d'installation (pour les nouvelles installations) ou de mise à niveau (pour les environnements mis à niveau) en exécutant la commande ci-dessous.

   cd <Installation/Upgrade Directory>

4. Copiez le script rotate-cert.sh ci-dessous dans le répertoire d'installation.

   ./configureUiPathAS.sh mongodb rotate-certificate
   kubectl -n mongodb get secret/tls-ca-key-pair -o jsonpath='{.data.ca\)\).crt}' | base64 -d > /tmp/.certs/ca.crt
   kubectl -n mongodb create configmap mongo-ca --from-file="/tmp/.certs/ca.crt" --dry-run=client -o yaml | kubectl replace -f -
   kubectl rollout restart sts mongodb-replica-set -n mongodb

5. Exécutez le script de rotation des certificats à l'aide de la commande ci-dessous.

   chmod u+x rotate-cert.sh
   ./rotate-cert.sh

Le script de rotation des certificats prend environ 5 à 10 minutes. Les nouveaux certificats générés par le script sont valides pendant trois ans à compter de la date de création et sont automatiquement renouvelés selon le calendrier mentionné ci-dessus.