Renouveler les certificats TLS des services Cyberwatch avec Podman

Vérifier la date d’expiration d’un certificat

openssl x509 -noout -enddate -in /etc/cyberwatch/certs/cbw-nginx-cert.pem

Renouveler les certificats des services

Un avertissement s’affiche en ligne de commande lors d’un cyberwatch restart quand des certificats arrivent à expiration. L’utilisateur cyberwatch n’étant pas sudoers, le renouvellement doit être effectué par un utilisateur disposant des droits sudo.

Par défaut, seuls les certificats expirant dans moins de 45 jours sont renouvelés. L’option --force permet de renouveler tous les certificats sans condition.

# Renouveler tous les services
sudo cyberwatch renew-certificates

# Cibler des services spécifiques
sudo cyberwatch renew-certificates nginx db

# Forcer le renouvellement indépendamment de la date d'expiration
sudo cyberwatch renew-certificates --force

Renouveler le CA

sudo cyberwatch renew-certificates --with-ca

# Combinable avec --force
sudo cyberwatch renew-certificates --force --with-ca

Sur un satellite, le certificat du CA maître (cbw-root-ca-cert-master.pem) doit être présent dans /etc/cyberwatch/certs/ avant de renouveler le CA satellite. Voir la procédure de renouvellement maître/satellites.