証明書の要件

EKS/AKS に Automation Suite をインストールするための TLS および ID トークン署名証明書の要件。

重要:

インストール後に証明書を管理する方法の詳細については、「 証明書を管理する」をご覧ください。

Automation Suite では、インストール時に 2 つの証明書が必要です。

• TLS 証明書 - クライアントとクラスター間の TLS 通信に必要です。
• ID トークン署名証明書 - 認証トークンへの署名に必要です。

重要:

インストール プロセスによって、ユーザーに代わって自己署名証明書が生成されます。 信頼された証明機関 (CA) によって署名された証明書に置換することをお勧めします。 インストール時に証明書を生成できるのは、インストール時に Automation Suite インストーラーに管理者権限を付与した場合のみです。 インストーラーの管理者権限を付与できない場合は、証明書を自分で作成して管理する必要があります。

クラスターに外部ソフトウェアを信頼させるには、前述の証明書とは別に、追加の信頼された CA 証明書の提供が必要になる場合があります。 例: SQL Server の CA 証明書、SMTP サーバーの CA 証明書、外部の S3 互換 ObjectStore の CA 証明書など。

インストール時に、セキュリティで保護された TLS 通信が必要な外部ソフトウェアすべてに対して CA 証明書を提供する必要があります。ただし、TLS 通信を有効化していない場合は、インストール後に設定できます。

手順については、「証明書 を管理する 」をご覧ください。

TLS 証明書の要件

TLS 証明書は、次の要件を満たす必要があります。

• ファイル形式は .pem、つまり Base64 でエンコードされた DER 証明書である必要があります。

• 秘密キーの長さが 2048 以上であること。

• 拡張キーの用途: TLS Web サーバー認証。iOS デバイス上で Automation Suite にアクセスするために必要です。

• 証明書キーが復号されていること。キーが暗号化されている場合は、次のコマンドを実行して復号します。

  # replace /path/to/encrypted/cert/key to absolute file path of key
  # replace /path/to/decrypt/cert/key to store decrypt key
  # Once prompted, please entry the passphrase or password to decrypt the key
  
  openssl rsa -in /path/to/encrypted/cert/key -out /path/to/decrypt/cert/key
  

• Automation Suite のインストールに必要な DNS エントリのすべてにサブジェクトの別名 (SAN) が設定されていること。クラスターの FQDN が automationsuite.mycompany.com の場合、証明書の SAN には次の DNS が含まれている必要があります。

  • automationsuite.mycompany.com
  • *.automationsuite.mycompany.com
  注:

  * ワイルドカードでは包括的すぎる場合は、次の DNS に SAN エントリがあることを確認してください。

  • automationsuite.mycompany.com
  • alm.automationsuite.mycompany.com
  • monitoring.automationsuite.mycompany.com
  • insights.automationsuite.mycompany.com
  • apps.automationsuite.mycompany.com

TLS 証明書ファイル

Automation Suite では、インストール時に次の 3 つのファイルが必要です。

• TLS 証明書ファイル - サーバーのパブリック証明書ファイルです。このファイルには、PEM 形式の完全なパブリック サーバー証明書チェーン (リーフ サーバー証明書、それに続く中間 CA 証明書、およびそのリーフ証明書の署名パスを形成するルート CA) が含まれている必要があります。リーフ証明書の実際の署名チェーンの一部である証明書のみを含めます。兄弟証明書、無関係証明書、重複証明書、または代替 CA 証明書は含めないでください。
• TLS キー ファイル - サーバー証明書の秘密キー ファイルです。
• Certificate Authority Bundle - TLS 証明書の署名または発行に使用される CA の公開証明書です。このファイルには、ルート CA とすべての中間証明書を含む、完全な証明書チェーンが含まれている必要があります。TLS サーバー証明書の署名に使用される証明書のみを含めます。他のものを含めると失敗につながります。

重要:

Automation Suite 2.2510.2 以降では、ca.crt には、すべての中間証明書とルート CA を含む、TLS サーバー証明書の署名に使用される完全な証明書チェーンが含まれている必要があります。部分チェーンは受け入れられず、リーフ証明書の実際の署名チェーンの外部の証明書 (兄弟証明書、関連なし証明書、重複証明書、または代替 CA 証明書など) を含めると、TLS 検証が失敗します。TLS 証明書検証エラーのトラブルシューティングについては、「 TLS 証明書検証エラー」をご覧ください。

CA および TLS 証明書を確認するには、Linux マシンで次のコマンドを実行します。

# Please replace /path/to/ca-certificate-bundle and /path/to/server-certificate with actual file path.
openssl verify -CAfile /path/to/ca-certificate-bundle /path/to/server-certificate

独自の Cert Manager を使用することを選択し、TLS 証明書がプライベートまたは非公的 CA によって発行されている場合は、リーフ証明書と中間 CA 証明書の両方を TLS 証明書ファイルに手動で追加する必要があります。 公的 CA の場合は、クライアント システムによって自動的に信頼されるので、ユーザーの操作は不要です。

ID トークン署名証明書

Automation Suite には、インストール時に次のようなトークン署名証明書関連の要件があります。

• 認証トークンに署名するためのファイル形式が pkcs12 であること。
• 証明書に署名するためのパスワードが必要です。

ID トークン署名証明書が提供されない場合は、インストール時に Automation Suite がサーバー証明書を使用して生成します。