证书要求

Automation Suite 安装的证书要求，包括安装时所需的两个证书。

重要提示：

有关如何在安装后管理证书的详细信息，请参阅管理证书。

Automation Suite 在安装时需要两个证书。

• 服务器证书- 客户端和集群之间的 TLS 通信所必需的；
• 身份令牌签名证书- 签署身份验证令牌所必需的。

备注：

安装过程会代表您生成自签名证书，但我们建议在安装完成后立即使用受信任的证书颁发机构签名的证书来更新这些证书。

重要提示：

安装流程会代表您生成自签名证书。这些证书将在 90 天后过期，安装完成后，您必须将其替换为由受信任的证书颁发机构 (CA) 签名的证书。如果不更新证书，安装将在 90 天后停止工作。

如果您在启用 FIPS 的主机上安装了 Automation Suite，并想要添加自己的证书，请确保它们与 FIPS 兼容。有关 RHEL 支持的符合条件的密码，请参阅RHEL 文档。

除了上述证书外，如果您希望集群信任外部软件，则可能需要提供其他受信任的 CA 证书。示例：SQL Server CA 证书、SMTP Server CA 证书、与 S3 兼容的外部对象存储 CA 证书等。

在安装时，您必须为需要安全 TLS 通信的任何外部软件提供 CA 证书。但是，如果尚未启用 TLS 通信，则可以在安装后进行配置。

有关说明，请参阅管理证书。

服务器证书要求

服务器证书必须满足以下要求：

• 文件格式应为.pem ，即 Base64 编码的 DER 证书；

• 私钥长度应至少为 2048；

• 扩展密钥用法：TLS Web 服务器身份验证；在 iOS 设备上访问 Automation Suite 所必需的；

• 证书密钥必须解密。如果密钥已加密，请运行以下命令将其解密：

  # replace /path/to/encrypted/cert/key to absolute file path of key
  # replace /path/to/decrypt/cert/key to store decrypt key
  # Once prompted, please entry the passphrase or password to decrypt the key
  
  openssl rsa -in /path/to/encrypted/cert/key -out /path/to/decrypt/cert/key
  

• 应包含安装 Automation Suite 所需的所有 DNS 条目的使用者可选名称。如果集群的 FQDN 为 automationsuite.mycompany.com，则证书 SAN 应具有以下 DNS：

  • automationsuite.mycompany.com

  • *.automationsuite.mycompany.com

    备注：

    或者，如果 * 通配符过于通用，请确保以下 DNS 具有 SAN 条目：

    • automationsuite.mycompany.com
    • alm.automationsuite.mycompany.com
    • monitoring.automationsuite.mycompany.com
    • registry.automationsuite.mycompany.com
    • objectstore.automationsuite.mycompany.com
    • insights.automationsuite.mycompany.com
    • apps.automationsuite.mycompany.com

主动/被动证书要求

如果主 Automation Suite 集群和辅助 Automation Suite 集群的 DNS 分别为 automationsuite-primary.mycompany.com 和 automationsuite-secondary.mycompany.com，则必须在证书中将以下 DNS 作为 SAN 条目添加：

• automationsuite-primary.mycompany.com
• alm.automationsuite-primary.mycompany.com
• monitoring.automationsuite-primary.mycompany.com
• registry.automationsuite-primary.mycompany.com
• automationsuite-secondary.mycompany.com
• alm.automationsuite-secondary.mycompany.com
• monitoring.automationsuite-secondary.mycompany.com
• registry.automationsuite-secondary.mycompany.com

服务器证书文件

Automation Suite 在安装时需要三个文件，如下所示：

• 服务器/TLS 证书文件- 服务器的公共证书文件。此文件必须包含 PEM 格式的完整公共服务器证书链：叶服务器证书、中间 CA 证书和根 CA，构成该叶证书的签名路径。仅包含属于叶证书实际签名链的证书，不包含同级 CA 证书、不相关证书、重复证书或备用 CA 证书。
• 服务器/TLS 密钥文件- 服务器证书的私钥文件。
• 证书颁发机构捆绑包- 这是 CA 的公共证书，用于签名或颁发服务器证书。此文件必须包含完整的证书链，包括根 CA 证书和所有中间证书。仅包含用于对 TLS 服务器证书进行签名的证书。包括其他任何内容都会导致失败。

重要提示：

从 Automation Suite 2.2510.2 开始，ca.crt 必须包含用于对 TLS 服务器证书进行签名的完整证书链，包括所有中间证书和根 CA。不接受部分链，并且包含叶证书的实际签名链之外的证书（例如同级证书、不相关证书、重复证书或备用 CA 证书）也会导致 TLS 验证失败。有关 TLS 证书验证错误的故障排除，请参阅TLS 证书验证错误。

要验证 CA 和服务器证书，请在 Linux 计算机上运行以下命令：

# Please replace /path/to/ca-certificate-bundle and /path/to/server-certificate with actual file path.

openssl verify -CAfile /path/to/ca-certificate-bundle /path/to/server-certificate

身份令牌签名证书

Automation Suite 在安装时对令牌签名证书有以下要求：

• 文件格式应为 pkcs12，以便对身份验证令牌进行签名；
• 用于对证书进行签名的密码为必填项。

如果未提供身份令牌签名证书，则 Automation Suite 在安装时使用服务器证书。