Exigences en matière de certificat

Important :

Pour plus de détails sur la gestion des certificats après l'installation, consultez Gestion des certificats.

Automation Suite requiert deux certificats au moment de l'installation.

• Certificat TLS : requis pour la communication TLS entre le client et le cluster ;
• Certificat de signature de jeton d'identité : Requis pour signer le jeton d'authentification.

Important :

Le processus d'installation génère des certificats auto-signés en votre nom. Nous vous recommandons de les remplacer par des certificats signés par une autorité de certification (CA) approuvée. Notez que les certificats ne peuvent être générés au moment de l'installation que si vous accordez les privilèges d'administrateur du programme d'installation d'Automation Suite lors de l'installation. Si vous ne pouvez pas accorder les privilèges d'administrateur du programme d'installation, vous devez créer et gérer les certificats vous-même.

Outre les certificats précédents, vous devrez peut-être fournir des certificats d'autorité de certification de confiance supplémentaires si vous souhaitez que le cluster fasse confiance à un logiciel externe. Exemple : Certificat CA de serveur SQL, certificat CA de serveur SMTP, certificat CA de magasin d'objets compatible S3 externe, etc.

Au moment de l'installation, vous devez fournir des certificats CA pour tout logiciel externe nécessitant une communication TLS sécurisée. Cependant, si vous n'avez pas activé la communication TLS, vous pouvez la configurer après l'installation.

Pour obtenir des instructions, consultez la Gestion des certificats.

Exigences du certificat TLS

Le certificat TLS doit répondre aux exigences suivantes :

• Le format de fichier doit être .pem, c'est-à-dire un certificat DER encodé en Base64 ;
• La longueur de la clé privée doit être d'au moins 2048 ;
• Utilisation étendue de la clé : authentification du serveur Web TLS ; requis pour accéder à Automation Suite sur les appareils iOS ;
• La clé de certificat doit être déchiffrée. Si la clé est chiffrée, exécutez la commande suivante pour la déchiffrer :

  # replace /path/to/encrypted/cert/key to absolute file path of key
  # replace /path/to/decrypt/cert/key to store decrypt key
  # Once prompted, please entry the passphrase or password to decrypt the key
  
  openssl rsa -in /path/to/encrypted/cert/key -out /path/to/decrypt/cert/key

• Devrait avoir un Nom Alternatif du Sujet pour toutes les entrées DNS requises pour l'installation d'Automation Suite. Si le FQDN du cluster est automationsuite.mycompany.com, le certificat SAN doit avoir le DNS suivant :
  • automationsuite.mycompany.com
  • *.automationsuite.mycompany.com
    Remarque :

    Sinon, si le caractère générique * est trop générique, assurez-vous d'avoir des entrées SAN pour le DNS suivant :

    • automationsuite.mycompany.com
    • alm.automationsuite.mycompany.com
    • monitoring.automationsuite.mycompany.com
    • insights.automationsuite.mycompany.com

    • apps.automationsuite.mycompany.com

Fichier de certificat TLS

Automation Suite requiert trois fichiers au moment de l'installation, comme suit :

• Fichier de certificat TLS — le fichier de certificat public du serveur. Ce fichier ne doit contenir que le certificat du serveur feuille.

• Fichier declé TLS — fichier de clé privée pour le certificat de serveur.

• Ensemble d'autorités de certification — il s'agit du certificat public de l'autorité de certification qui est utilisé pour signer ou émettre le certificat TLS. Ce fichier doit contenir à la fois les certificats racine et tous les certificats intermédiaires, le cas échéant.

Pour vérifier le certificat CA et TLS, exécutez la commande suivante sur la machine Linux :

# Please replace /path/to/ca-certificate-bundle and /path/to/server-certificate with actual file path.

openssl verify -CAfile /path/to/ca-certificate-bundle /path/to/server-certificate

Si vous choisissez d'apporter votre propre gestionnaire de certificats et que votre certificat TLS est émis par une autorité de certification privée ou non publique, vous devez inclure manuellement le certificat de feuille et les certificats d'autorité de certification intermédiaires dans le fichier de certificat TLS. Dans le cas des autorités de certification publiques, elles sont automatiquement approuvées par les systèmes clients et aucune autre action n'est requise de votre part.

Certificat de signature de jeton d'identité

Automation Suite a les exigences suivantes en termes de certificats de signature de jetons au moment de l'installation :

• Le format de fichier doit être pkcs12 pour pouvoir signer le jeton d'authentification ;
• Le mot de passe pour signer le certificat est requis.

Si un certificat de signature de jeton d'identité n'est pas fourni, Automation Suite utilise les certificats de serveur pour générer celui au moment de l'installation.