Aller au contenu principal

Méthodes de mise à jour des certificats

clmBot prend en charge deux modes de mise à jour des certificats, que vous pouvez choisir selon l’environnement réseau du serveur :

Mode de mise à jourMode de fonctionnementExigence de portScénario applicable
Push cloudInitiation du push depuis la console de gestion, réception et mise à jour par le service clmBotPort entrant 8862/tcp à ouvrirPolitique réseau autorisée, mise à jour effective immédiate souhaitée
Récupération programméeExécution programmée de clmBot via crontab ou le Planificateur de tâches Windows pour vérifier les mises à jourAucun port entrant à ouvrirServeurs ne pouvant pas ouvrir de port entrant (mode par défaut recommandé)

Les deux modes ne sont pas conflictuels : au sein d’un même lot de serveurs, certains peuvent utiliser le push et d’autres la récupération programmée.

Mode 1 : Push cloud​

Démarrer le service clmBot côté serveur​

./clm-bot-linux-amd64 server -a="0.0.0.0:8862"

-a Spécifiez l'adresse d'écoute et le port, par défaut 0.0.0.0:8862. Une fois démarré, clmBot s'exécute en permanence en tant que serveur, en attendant les pushs du cloud.

Attention
  • Vous devez ouvrir le port entrant 8862/tcp dans le pare-feu du serveur et le groupe de sécurité cloud.
  • Le serveur clmBot active l'authentification TLS mutuelle pour les connexions push cloud, n'acceptant que les certificats de push des nœuds ayant terminé l'activation d'intégration.

Si vous ne souhaitez pas ouvrir le port entrant, utilisez Méthode 2 : Récupération périodique.

Informations

Le serveur clmBot doit rester en cours d'exécution pour recevoir les pushs. En environnement de production, il est recommandé de l'enregistrer comme service système et de configurer le démarrage automatique, voir Déploiement et mise à niveau en tant que service.

Pousser le certificat depuis la console d'administration​

Connectez-vous à la console d'administration, accédez à la liste des points d'installation, trouvez le point d'installation cible et cliquez sur Pousser le certificat, puis confirmez. Le système poussera le certificat le plus récent vers le serveur et effectuera automatiquement la mise à jour.

Méthode 2 : Récupération périodique​

Le mode de récupération périodique ne nécessite pas d'ouvrir le port entrant, c'est la méthode recommandée par défaut. clmBot n'inclut pas de planificateur périodique ; il faut utiliser crontab, le Planificateur de tâches Windows ou un système de planification existant pour exécuter périodiquement les commandes de mise à jour.

Linux : Configuration de crontab​

Ajoutez la commande de mise à jour clmBot à crontab :

crontab -e

Ajouter une ligne (exécution de la vérification de mise à jour des certificats à 3 h du matin chaque jour) :

0 3 * * * cd /opt/clm-bot && ./clm-bot-linux-amd64 update-certificate >> update.log 2>&1
注意
  • 命令中必须先 cd 到 clmBot 安装目录再执行，因为 clmBot 默认从当前目录读取 config.yaml。
  • 也可以不切换目录，通过 -c 参数指定配置文件路径：./clm-bot-linux-amd64 -c /opt/clm-bot/config.yaml update-certificate。
  • 请将路径替换为实际安装目录。

执行输出会追加到 update.log，同时 clmBot 会在配置文件所在目录的 logs/clm-bot.log 中记录运行日志。

Windows : configuration d’une tâche planifiée​

Sur le serveur Windows, créez une tâche planifiée pour exécuter périodiquement :

cd /d C:\clm-bot && clm-bot-windows-amd64.exe update-certificate >> update.log 2>&1

Une fois la création terminée, vous pouvez cliquer avec le bouton droit sur la tâche et sélectionner Exécuter pour la vérifier, puis consulter les journaux dans le répertoire d'installation pour confirmer le résultat de l'exécution.

Renouvellement et mise à jour automatiques des certificats​

Les certificats mis à jour par clmBot proviennent du renouvellement automatique dans le cloud. Connectez-vous à la console d'administration, accédez à la page de détails du certificat SSL, sélectionnez ou saisissez la période de renouvellement (par exemple 30 jours) dans les paramètres de renouvellement automatique, puis enregistrez.

Effet global après configuration :

  1. Avant l'expiration du certificat, le cloud effectue automatiquement le renouvellement selon la période définie et génère un nouveau certificat.
  2. clmBot obtient le nouveau certificat selon le mode configuré (push ou récupération planifiée).
  3. clmBot met à jour le certificat local :
  • Si le certificat local est identique au dernier certificat cloud, la mise à jour est ignorée.
  • En cas de divergence, il tente de générer une sauvegarde horodatée .bak, puis exécute successivement before_script, écrit le nouveau certificat et exécute after_script. En cas d'échec de la sauvegarde, une erreur est enregistrée mais la mise à jour continue ; la fin du rechargement du service doit être confirmée par le résultat du script et l'état du middleware.
Astuce

Si vous souhaitez forcer l'exécution d'une opération after_script sans mettre à jour le certificat (par exemple pour déboguer le script de rechargement), vous pouvez utiliser le paramètre --force-after.

Dernière mise à jour le