如何解决 TLS 1.2 中的弱密码问题

升级到 TLS 1.3 或为 Linux 上的 Automation Suite 配置安全密码套件。

TLS 1.2 存在与弱密码实现相关的漏洞。 如果使用 TLS 1.2，则必须执行以下步骤之一：

• 选项 A：升级到 TLS 1.3
• 选项 B：使用 TLS 1.2 并修改密码套件以解决 kube API 服务器 TLS 问题

如果不确定所用的 TLS 版本，请参阅如何查看 TLS 版本。

选项 A：升级到 TLS 1.3

重要提示：

在强制执行 TLS 1.3 之前，请验证连接到 Automation Suite 的所有机器人和浏览器是否支持 TLS 1.3。强制执行后，任何受支持的 TLS 最高版本低于 1.3 的计算机将无法连接。如果您不能保证整个环境都支持 TLS 1.3，请考虑选项 B。

要升级到 TLS 1.3，请执行以下步骤：

1. 修改 Automation Suite 中主 TLS 侦听器的配置，该侦听器在端口 443 上运行。 为此，请将cluster_config.json文件中的istioMinProtocolVersion参数的值更新为TLSV1_3 。

2. 运行以下命令，重新运行 Automation Suite 安装：

   ./bin/uipathctl manifest apply cluster_config.json --versions versions/helm-charts.json
   

3. 将 kube API 服务器更新到 TLS 1.3。 kube API 服务器在端口 6443 上运行。 要执行升级，请将以下行添加到config.yaml文件中：

   sed -i '/kube-apiserver-arg:/a\  - tls-min-version=VersionTLS13' /etc/rancher/rke2/config.yaml
   

4. 重新启动 RKE2 服务器。 请注意，此步骤可能会导致暂时停机。

   systemctl restart rke2-server
   

选项 B：修改密码套件

要继续使用 TLS 1.2 并强化系统的安全性，请执行以下步骤。 请注意，以下步骤解决了 kube API 服务器的 TLS 问题。

1. 通过将以下行插入到config.yaml中，修改您的密码套件。 配置行必须包含您要允许的密码的参数。

   sed  -i '/kube-apiserver-arg:/a\  - "tls-cipher-suites=TLS_CHACHA20_POLY1305_SHA256,TLS_AES_256_GCM_SHA384,TLS_AES_128_GCM_SHA256,TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256,TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256,TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_128_GCM_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA,TLS_RSA_WITH_AES_256_GCM_SHA384"' /etc/rancher/rke2/config.yaml
   

2. 重新启动 RKE2 服务器。 请注意，此步骤可能会导致暂时停机。

   systemctl restart rke2-server