如何解决 TLS 1.2 中的弱密码问题

TLS 1.2 存在与弱密码实现相关的漏洞。 如果使用 TLS 1.2，则必须执行以下步骤之一：

• 选项 A：升级到 TLS 1.3
• 选项 B：使用 TLS 1.2 并修改密码套件以解决 kube API 服务器 TLS 问题

如果不确定所用的 TLS 版本，请参阅如何查看 TLS 版本。

选项 A：升级到 TLS 1.3

要升级到 TLS 1.3，请执行以下步骤：

1. 修改 Automation Suite 中主 TLS 侦听器的配置，该侦听器在端口 443 上运行。 为此，请将cluster_config.json文件中的istioMinProtocolVersion参数的值更新为TLSV1_3 。

2. 运行以下命令，重新运行 Automation Suite 安装：

   ./bin/uipathctl manifest apply cluster_config.json --versions versions/helm-charts.json
   

3. 将 kube API 服务器更新到 TLS 1.3。kube API 服务器在端口 6443 上运行。要执行升级，请使用与您的 Automation Suite 版本匹配的命令以下行添加到您的config.yaml文件中：

   • Automation Suite 2024.10.7 及更高版本：

     sed -i '/kube-apiserver-arg:/a\  - tls-min-version=VersionTLS13' /etc/rancher/rke2/config.yaml
     

   • Automation Suite 2024.10.6 及更早版本：

     sed -i '/kube-apiserver-arg:/a\- tls-min-version=VersionTLS13' /etc/rancher/rke2/config.yaml
     

4. 重新启动 RKE2 服务器。 请注意，此步骤可能会导致暂时停机。

   systemctl restart rke2-server
   

选项 B：修改密码套件

要继续使用 TLS 1.2 并强化系统的安全性，请执行以下步骤。 请注意，以下步骤解决了 kube API 服务器的 TLS 问题。

1. 通过使用与您的 Automation Suite 版本匹配的命令将以下行插入到config.yaml中来修改密码套件。配置行必须包含您要允许的密码的参数。

   • Automation Suite 2024.10.7 及更高版本：

     sed  -i '/kube-apiserver-arg:/a\  - "tls-cipher-suites=TLS_CHACHA20_POLY1305_SHA256,TLS_AES_256_GCM_SHA384,TLS_AES_128_GCM_SHA256,TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256,TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256,TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_128_GCM_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA,TLS_RSA_WITH_AES_256_GCM_SHA384"' /etc/rancher/rke2/config.yaml
     

   • Automation Suite 2024.10.6 及更早版本：

     sed -i '/kube-apiserver-arg:/a\- "tls-cipher-suites=TLS_CHACHA20_POLY1305_SHA256,TLS_AES_256_GCM_SHA384,TLS_AES_128_GCM_SHA256,TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256,TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256,TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_128_GCM_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA,TLS_RSA_WITH_AES_256_GCM_SHA384"' /etc/rancher/rke2/config.yaml
     

2. 重新启动 RKE2 服务器。 请注意，此步骤可能会导致暂时停机。

   systemctl restart rke2-server