Aria Automation Orchestrator の各種証明書の更新について

Products

VCF Operations/Automation (formerly VMware Aria Suite)

Issue/Introduction

免責事項：これは英文の記事「Updating Various Certificates in Aria Automation Orchestrator」の日本語訳です。
記事はベストエフォートで翻訳を進めているため、ローカライズ化コンテンツは最新情報ではない可能性があります。最新情報は英語版の記事で参照してください。

Aria Automation Orchestrator には、クライアント通信、内部のコンポーネント間通信（gRPC）、または外部連携などに使用される証明書があり、
有効期限が切れている場合に問題が発生します。各種証明書は自動更新されないため、期限切れに伴う通信障害を引き起こす可能性があります。

Environment

VMware Aria Automation Orchestrator 8.18.x

Cause

Orchestrator で利用されている以下のいずれかの証明書の有効期限が切れていることが原因です。
これらの証明書は自動更新機能を持たないため、手動による更新またはワークフローでの更新が必要となります。

Ingress Certificate: クライアントとの通信利用（Envoy が外部通信をするために使用）
内部証明書: ContourとEnvoy間のgRPC通信用
Keystore (Dunes / SSO / CA Keystore): 外部システム連携やパッケージ署名用など

Resolution

対象となる証明書の期限を確認し、期限切れまたは期限が迫っている場合は、以下の方法に従って更新を実施してください。

Ingress Certificate
用途: クライアントとの通信利用（Envoyが外部通信443をするために使用）
期限: 5年（自動更新無し）
確認コマンド: vracli certificate ingress -list | openssl x509 -dates --noout更新手順: 手動更新を実施します。手順の詳細は How to generate a TLS certificate in a standalone Aria Automation Orchestrator 8.18.1 を参照してください。
内部証明書
用途: ContourとEnvoy間のgRPC 通信用
期限: 1年（自動更新無し）
確認コマンド:
kubectl get secret -n prelude envoycert -o jsonpath='{.data.ca\.crt}' | base64 -d | openssl x509 -dates --noout
kubectl get secret -n prelude contourcert -o jsonpath='{.data.ca\.crt}' | base64 -d | openssl x509 -dates --noout更新手順: 手動更新を実施します。手順の詳細は After the reboot, the container 'contour-envoy-#####' is no longer starting を参照してください。
Keystore (Dunes / SSO / CA Keystore)
確認場所: GUI の [Administration] > [Inventory] > [configuration] > [Keystores]
更新手順: 種別に応じて以下の対応が必要です（いずれも自動更新無し）。
- Dunes (パッケージExport時の自己証明として利用 / 期限10年):
  「Generate Package Signing Certificate」のワークフローを実行して更新します。詳細は How to re-generate certificates in Dunes keystore for Standalone Aria Automation Orchestrator を参照してください。
- SSO (vCenterや外部SSOとの連携用SSO証明書 / 期限は発行元に依存):
  vCenterなどからインポートします。詳細は How to Configure the Automation Orchestrator Appliance authentication provider on 8.18.x を参照してください
- CA Keystore (Orchestrator 内部の Java プロセス（vco-app）が、ワークフロー実行時の外部連携（vCenter 等）やパッケージ署名で使用 / 期限は発行元に依存):
  更新用ワークフローを実行します。詳細は How to import a trusted certificate to the keystore in VCO. を参照してください。

Additional Information

How to generate a TLS certificate in a standalone Aria Automation Orchestrator 8.18.1

After the reboot, the container 'contour-envoy-#####' is no longer starting

How to re-generate certificates in Dunes keystore for Standalone Aria Automation Orchestrator

How to Configure the Automation Orchestrator Appliance authentication provider on 8.18.x

How to import a trusted certificate to the keystore in VCO.