インストールの前提条件

こちらに示す Orchestrator のインストールに必要な前提条件とは別に、Identity Server には次の前提条件があります。

証明書

Identity Server には、2 つの有効な証明書が必要です。

• HTTPS プロトコルのための証明書

• Identity Server によって生成されるトークンの署名に使用される証明書

  重要:

  セキュリティ上の理由から、Identity Server で使用する証明書は次の要件を満たしている必要があります。

  • 2048 ビットの公開キーがあること
  • AppPool ユーザーがアクセスできる秘密キーがあること
  • 有効期間内である (失効していない)

  証明書の場所は、Identity Server の構成ファイル appsettings.Production.json の署名資格情報セクションに設定します。
  注: 証明書は OpenID アクセス トークンの署名に使用され、このトークンはブラウザー経由のユーザーの識別や、Orchestrator と Identity Server とのサービス間の通信に使用されます。OpenID Connect について詳しくはこちらをご覧ください。

証明書のローテーション

証明書のローテーションを使用し、証明書の期限が切れて暗黙的に Identity Server が停止するリスクを回避できます。証明書のローテーションでは、2 つの証明書を保持して、それらを定期的にローテーションする必要があります。ただし、一度に 1 つの署名キーしか使用できません。

証明書のローテーション プロセスを開始するには、次の手順を実行します。

1. appsettings.Production.json の SigningCredential セクションで SigningCredential パラメーターを使用して、最初の証明書の Name、Location、および NameType を指定します。最初に登録する署名キーが既定のキーになります。
2. appsettings.Production.json ファイルの同じセクションで ValidationKeys パラメーターを使用して、2 番目の証明書の Name、Location、および NameType を指定します。ローテーション日の前に、この手順を完了する必要があります。
3. この段階で、identity/.well-known/openid-configuration/jwks エンドポイントを使用して 2 番目の証明書がパブリッシュされます。これにより、誰もがキャッシュされた探索ドキュメントを更新する時間を確保できます。
4. ローテーション時刻に証明書を切り替えて、Identity Server を再起動します。これで、新しい証明書を署名に使用できます。前の証明書は必要に応じて、引き続き検証のために使用できます。
5. 前の証明書は、48 時間後に構成から安全に削除できます。

次の例では、SigningCredential は現在使用されている証明書を参照し、ValidationKeys は新たにパブリッシュされた検証キーを参照しています。

"SigningCredentialSettings": {
      "StoreLocation": {
        "SigningCredential": {
            "Name": "2816a67bc34496ca0acabbe04eb149b88ade0684",
            "Location": "LocalMachine",
            "NameType" : "Thumbprint"
        },
        "ValidationKeys": [
            {
            "Name": "2cde6c443f0147c6258a6fe2203e71a997bfcd44",
            "Location": "LocalMachine",
            "NameType" : "Thumbprint"
            }
        ]
      }
    }

重要: AI Center を使用している場合は、Identity Server の証明書を更新するたびに再デプロイしてください。