- Démarrage
- Prérequis
- Meilleures pratiques
- Installation
- Mise à jour en cours
- Serveur d'identité
- Résolution des erreurs de démarrage
Guide d'installation d'Orchestrator
Prérequis à l'installation
Outre les conditions préalables énumérées ici pour l’installation d’Orchestrator, l'Identity Server requiert des certificats valides.
Identity Server requiert les certificats valides suivants :
- Un certificat pour le protocole HTTPS.
-
A certificate used to sign the tokens generated by the Identity Server.The certificate is used for signing OpenID access tokens that are used for user identification via browser and for service-to-service communication between Orchestrator and Identity Server. Click here for more details about OpenID Connect.
Important :Vous pouvez utiliser une longueur de clé maximale de 4096 bits pour la signature des certificats. Comme meilleure pratique, nous vous recommandons fortement d'utiliser une longueur de clé d'au moins 512 bits (64 octets).
Important :Pour des raisons de sécurité, le certificat utilisé par le serveur d’identité doit :
- avoir une clé publique 2048 bits
- dispose d'une clé privée accessible par l'utilisateur d'AppPool,
- être dans sa période de validité (non expiré).
L’emplacement du certificat se définit dans le fichier de configurationappsettings.Production.json
du serveur d’identité, dans la section Signature des informations d’identification.
Vous pouvez utiliser la rotation des certificats pour éviter le risque d’expiration du certificat et, implicitement, une panne de l'Identity Server. Cette méthode implique de maintenir deux certificats et de procéder à leur rotation périodique. Notez toutefois que vous ne pouvez utiliser qu’une seule clé de signature à la fois.
Pour lancer le processus de rotation des certificats, procédez comme il suit :
- Indiquez les paramètres
Name
,Location
etNameType
du certificat initial en utilisant le paramètreStoreLocation
dans la section SigningCredentialSettings deappsettings.Production.json
. Notez qu'il s'agit de la clé de signature par défaut. - Spécifiez le
Name
du deuxième certificat,Location
etNameType
en utilisant le paramètreValidationKeys
dans la même section du fichierappsettings.Production.json
. Assurez-vous de terminer cette étape avant la date de rotation. - À ce stade, le deuxième certificat est publié à l’aide du point de terminaison
identity/.well-known/openid-configuration/jwks
. Cela permet à chacun d'avoir suffisamment de temps pour mettre à jour son document de découverte mis en cache. - Au moment de la rotation, changez les certificats et redémarrez Identity Server. Le nouveau certificat peut maintenant être utilisé pour la signature alors que le certificat précédent continue d’être disponible à des fins de validation aussi longtemps que vous en aurez besoin.
- Le certificat précédent peut être supprimé en toute sécurité de la configuration après 48 heures.
SigningCredential
fait référence au certificat actuellement utilisé alors que ValidationKeys
fait référence à la clé de validation nouvellement publiée.
"SigningCredentialSettings": {
"StoreLocation": {
"Name": "2816a67bc34496ca0acabbe04eb149b88ade0684",
"Location": "LocalMachine",
"NameType" : "Thumbprint",
"ValidationKeys": [
{
"Name": "2cde6c443f0147c6258a6fe2203e71a997bfcd44",
"Location": "LocalMachine",
"NameType" : "Thumbprint"
}
]
}
}
"SigningCredentialSettings": {
"StoreLocation": {
"Name": "2816a67bc34496ca0acabbe04eb149b88ade0684",
"Location": "LocalMachine",
"NameType" : "Thumbprint",
"ValidationKeys": [
{
"Name": "2cde6c443f0147c6258a6fe2203e71a997bfcd44",
"Location": "LocalMachine",
"NameType" : "Thumbprint"
}
]
}
}
AppSettings.Production.json
AppSetting.Production.json
.
Pour effectuer une rotation des certificats de signature tout en garantissant la sécurité du chiffrement des paramètres, procédez comme suit :
- Décrypte le fichier
AppSettings.Production.json
. - Mettez à jour le certificat de signature dans le fichier
AppSettings.Production.json
. - Crypte le fichier
AppSettings.Production.json
. - Redémarrez le serveur d'identité.