証明書の要件

重要:

For details on how to manage certificates post-installation, see Managing certificates.

Automation Suite では、インストール時に 2 つの証明書が必要です。

• TLS certificate – required for TLS communication between the client and the cluster;
• ID トークン署名証明書 – 認証トークンへの署名に必要です。

注:

インストール プロセスによってユーザーに代わって自己署名証明書が生成されますが、インストールが完了したら、信頼された証明機関によって署名された証明書で速やかに更新することをお勧めします。

重要:

インストール プロセスによって、ユーザーに代わって自己署名証明書が生成されます。信頼された証明機関 (CA) によって署名された証明書に置換することをお勧めします。

クラスターに外部ソフトウェアを信頼させるには、前述の証明書とは別に、追加の信頼された CA 証明書の提供が必要になる場合があります。 例: SQL Server の CA 証明書、SMTP サーバーの CA 証明書、外部の S3 互換 ObjectStore の CA 証明書など。

インストール時に、セキュリティで保護された TLS 通信が必要な外部ソフトウェアすべてに対して CA 証明書を提供する必要があります。ただし、TLS 通信を有効化していない場合は、インストール後に設定できます。

For instructions, see Managing certificates.

TLS 証明書の要件

TLS 証明書は、次の要件を満たす必要があります。

• ファイル形式は .pem、つまり Base64 でエンコードされた DER 証明書であること。

• 秘密キーの長さが 2048 以上であること。

• 拡張キーの用途: TLS Web サーバー認証。iOS デバイス上で Automation Suite にアクセスするために必要です。

• 証明書キーが復号されていること。キーが暗号化されている場合は、次のコマンドを実行して復号します。

  # replace /path/to/encrypted/cert/key to absolute file path of key
  # replace /path/to/decrypt/cert/key to store decrypt key
  # Once prompted, please entry the passphrase or password to decrypt the key
  
  openssl rsa -in /path/to/encrypted/cert/key -out /path/to/decrypt/cert/key
  

• Automation Suite のインストールに必要な DNS エントリのすべてにサブジェクトの別名 (SAN) が設定されていること。クラスターの FQDN が automationsuite.mycompany.com の場合、証明書の SAN には次の DNS が含まれている必要があります。

  • automationsuite.mycompany.com

  • *.automationsuite.mycompany.com

    注:

    * ワイルドカードでは包括的すぎる場合は、次の DNS に SAN エントリがあることを確認してください。

    • automationsuite.mycompany.com
    • alm.automationsuite.mycompany.com
    • monitoring.automationsuite.mycompany.com
    • insights.automationsuite.mycompany.com

TLS 証明書ファイル

Automation Suite では、インストール時に次の 3 つのファイルが必要です。

• TLS certificate file — the server’s public certificate file. This file must contain only the leaf server certificate.
• TLS key file — private key file for the server certificate.
• Certificate Authority Bundle — this is the Public Certificate of CA which is used to sign or issue the TLS certificate. This file must contain both root and all intermediate certificates if present.

CA および TLS 証明書を確認するには、Linux マシンで次のコマンドを実行します。

# Please replace /path/to/ca-certificate-bundle and /path/to/server-certificate with actual file path.

openssl verify -CAfile /path/to/ca-certificate-bundle /path/to/server-certificate

ID トークン署名証明書

Automation Suite には、インストール時に次のようなトークン署名証明書関連の要件があります。

• 認証トークンに署名するためのファイル形式が pkcs12 であること。
• 証明書に署名するためのパスワードが必要です。

ID トークン署名証明書が提供されない場合は、インストール時に Automation Suite がサーバー証明書を使用して生成します。