Sommario

Introduzione

Prerequisiti

ComponentiUsati

Premesse

Problema

Soluzione

Passaggio 1. ScaricaCertificati

Passaggio 2. Identificare la posizione dell'archivio trust

Agente Java, database o computer

Agente di analisi

Agente DotNet

Passaggio 3. Importazione dei certificati nell'archivio protetto

Agente Java, database, computer o analisi

Agente DotNet

Passaggio 4. Verifica dell'importazione

Agente Java, database, computer o analisi

Agente DotNet

Passaggio 5. Riavviare l'agente

Informazioni correlate

Ulteriori informazioni

Introduzione

In questo documento viene descritto come risolvere i problemi di attendibilità dei certificati SSL (Secure Socket Layer)/ TLS (Transport Layer Security) negli agenti AppDynamics.

Prerequisiti

Componenti usati

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Premesse

In questo documento viene descritto come risolvere i problemi di attendibilità dei certificati SSL (Secure Socket Layer)/ TLS (Transport Layer Security) negli agenti AppDynamics dopo la recente migrazione dalla CA radice globale DigiCert alla radice globale DigiCert G2.

Fornisce procedure dettagliate per garantire la corretta configurazione e il ripristino della connettività senza problemi.

Nel 2023 DigiCert ha iniziato la transizione al certificato di firma DigiCert Global Root G2 per il rilascio di certificati TLS/SSL pubblici. Questa modifica è stata richiesta da Mozilla ha aggiornato il criterio di attendibilità, che impone l'aggiornamento dei certificati radice ogni 15 anni, e diffidando i vecchi certificati a partire dal 2025.

Il nuovo certificato di firma utilizza l'algoritmo SHA-256 più sicuro, sostituendo lo standard SHA-1 precedente. Nell'ambito di questa transizione, AppDynamics ha aggiornato i certificati SSL per il dominio .saas.appdynamics.com per utilizzare i certificati di seconda generazione in 2025-06-10.

A causa di questo aggiornamento, alcuni agenti dell'applicazione hanno perso la connettività con i controller SaaS a causa della loro incapacità di riconoscere il nuovo certificato. Per garantire una connettività ininterrotta, è fondamentale aggiornare l'archivio di attendibilità dell'agente AppDynamics in modo da includere i nuovi certificati DigiCert Global Root G2 e IdenTrust.

Nota: Questa modifica riguarda principalmente gli agenti che utilizzano il truststore personalizzato o una versione molto vecchia di OS/java in cui il certificato richiesto non è incluso nel truststore predefinito OS/Java.

Problema

Si è verificato un problema di connettività tra gli agenti AppDynamics e il controller e nei log vengono visualizzati errori relativi alla configurazione o alla comunicazione SSL.

Messaggio di errore di esempio nei registri: "Compilazione del percorso PKIX non riuscita: xxxx impossibile trovare un percorso di certificazione valido per la destinazione richiesta durante il tentativo di convalida"

Soluzione

Passaggio 1. Scarica certificati

- DigiCert Global Root G2:

- Visitare il sito Certificati autorità radice attendibili DigiCert

- Cercare "DigiCert Global Root G2" e scaricare il certificato.

- IdenTrust:

- Vai alla radice commerciale IdenTrust CA 1

- Copiare il contenuto del certificato e salvarlo come file, ad esempio Identrustcommercial.cer o Identrustcommercial.pem

Passaggio 2. Identificare la posizione dell'archivio trust

Nota: Percorso Truststore necessario nel passaggio 3. Importare i certificati nel Truststore

- Agente Java, database o computer

- Proprietà Truststore argomento JVM

1. Verificare se la proprietà -Djavax.net.ssl.trustStore è impostata come argomenti JVM all'avvio dell'agente.

2. Se questa proprietà è impostata, controllare il file keystore specificato da questa proprietà per verificare che includa entrambi i certificati (certificati radice globale DigiCert G2 e certificati radice IdenTrust).

Se la proprietà non è impostata, procedere al passaggio successivo.

- XML informazioni controller

1. L'agente può essere configurato per utilizzare il keystore definito nel file controller-info.xml nella directory di configurazione dell'agente.

2. Verificare l'impostazione controller-keystore-filename.

3. Se presente, esaminare il file keystore specificato per verificare che entrambi i certificati siano inclusi.

(Se non viene trovato, procedere con il passaggio successivo).

- File cacerts.jks dell'agente

1. Cercare un file denominato cacerts.jksnella cartella della directory di installazione dell'agente.

2. Esaminare il file per verificare che entrambi i certificati siano inclusi.

(Se non viene trovato, procedere con il passaggio successivo).

Nota: Directory di installazione dell'agente

Per Java Agent: AGENT_HOME/verxxx/conf o AGENT_HOME/conf

Per il computer o l'agente DB: AGENT_HOME/conf

- Truststore predefinito JRE

1. Se non viene trovata alcuna delle configurazioni precedenti, come fallback, l'agente utilizza il truststore predefinito di JRE, in genere disponibile in JRE_HOME/lib/security/cacerts.

2. Esaminare il file per verificare che i certificati siano inclusi.

Nota: Se si utilizza IBM Websphere o IBM Websphere Liberty Profile, JRE_HOME si trova rispettivamente all'interno di AppServer o Liberty Directory nella directory di installazione di Websphere, ovvero IBM_WEBSPHERE_HOME/AppServer/java/ o IBM_WEBSPHERE_HOME/Liberty/java/

- Agente di analisi

- Verificare se il percorso (incluso il nome) dell'agente truststore è specificato utilizzando l'elemento <ad.controller.https.trustStorePath> nel file di configurazione dell'agente analytics-agent.properties, quindi l'agente carica tale trustore.

- Se non specificato in thead.controller.https.trustStorePath, carica il truststore Java predefinito della JVM instrumentata, <JRE_HOME>/lib/security/cacerts (modifica password predefinita)

- Se non specificato in ad.controller.https.trustStorePath e l'agente di analisi viene utilizzato come estensione dell'agente computer, carica l'archivio trust utilizzato dall'agente computer.

- Agente DotNet

- Per Windows:

- Passare alla visualizzazione dell'installazione del certificato passando a Esegui> MMC.exe> selezionare File dalla barra degli strumenti e selezionare Aggiungi/Rimuovi snap-in.

- Viene visualizzata la finestra Aggiungi o rimuovi snap-in. Selezionare Certificati> Fare clic su Aggiungi. Verrà visualizzata la finestra snap-in Certificato. Selezionare Account computer> Scegliere il computer locale o un altro computer di conseguenza >Fare clic su Fine>OK.

- Espandere Certificati (computer locale) > Selezionare la cartella Autorità di certificazione radice attendibile ed espandere per visualizzare la cartella Certificati.

- Fare doppio clic sulla cartella Certificati e osservare l'elenco dei certificati attendibili esistenti. Identificare se sono presenti i certificati radice globale DigiCert G2 e IdenTrust altrimenti importare i certificati mancanti.

- Per Linux:

- La posizione dell'archivio trust varia tra le distribuzioni Linux. Le posizioni comuni includono:/etc/ssl/certs (sistema operativo come CentOS/RHEL/Debian)

Nota: Se i certificati DigiCert Global Root G2 o IdenTrust non sono presenti in tutti questi percorsi controllati, è necessario aggiungerli. Per importare i certificati nel truststore, fare riferimento alla procedura descritta nel passaggio 3 Importazione dei certificati nel Truststore.

Passaggio 3. Importazione dei certificati nell'archivio protetto

- Agente Java, database, computer o analisi

- Aprire il terminale o il prompt dei comandi e utilizzare questo comando keytool per importare i certificati radice globali DigiCert G2 e IdenTrust.

keytool -import -trustcacerts -alias

-file

-keystore

-storepass

Sostituisci:

- : Alias univoco, ad esempio digicertglobalrootg2, identrustcoomercial.

- : Percorso del file del certificato (ad esempio, /home/username/Downloads/DigiCertGlobalRootG2.crt).

- : Percorso del file truststore dell'agente (ad esempio, /opt/appdynamics/agent/ver25.x.x.x/conf/cacerts.jks).

- : Password Truststore (impostazione predefinita: changeit, se non personalizzato).

- Esempio per l'importazione del certificato radice globale DigiCert G2.

keytool -import -trustcacerts -alias digicertglobalrootg2 -file /home/username/Downloads/DigiCertGlobalRootG2.crt -keystore /opt/appdynamics/agent/ver4.5.12.0/conf/cacerts.jks -storepass changeit

- Esempio di importazione del certificato radice commerciale IdenTrust.

keytool -import -trustcacerts -alias identrustcommercial -file /home/username/Downloads/identrust_commercial.cer -keystore /opt/appdynamics/agent/ver4.5.12.0/conf/cacerts.jks -storepass changeit

- Agente DotNet

- Per Windows:

- Passare alla visualizzazione dell'installazione del certificato passando a Esegui> MMC.exe> selezionare File dalla barra degli strumenti e selezionare Aggiungi/Rimuovi snap-in.

- Viene visualizzata la finestra Aggiungi o rimuovi snap-in. Selezionare Certificati> Fare clic su Aggiungi. Verrà visualizzata la finestra snap-in Certificato. Selezionare Account computer> Scegliere il computer locale o un altro computer di conseguenza >Fare clic su Fine>OK.

- Espandere Certificati (computer locale) > Selezionare la cartella Autorità di certificazione radice attendibile ed espandere per visualizzare la cartella Certificati.

- Fare clic con il pulsante destro del mouse sulla cartella Certificati e selezionare All Tasks > Import. Certificate Import Wizard (Tutte le attività > Importazione guidata certificati). Verrà visualizzata l'importazione guidata dei certificati, verranno visualizzate le istruzioni e verranno aggiunti i certificati mancantiCertificato radice globale DigiCert G2 e/o Certificato radice IdenTrust.

- Per Linux:

- Copiare i file dei certificati radice globali DigiCert G2 e IdenTrust scaricati nella directory identificata dell'archivio attendibile.

- Aggiornare l'archivio attendibile eseguendo il comando.

sudo update-ca-certificates

Passaggio 4. Verifica dell'importazione

- Agente Java, database, computer o analisi

- Per verificare che i certificati siano stati aggiunti correttamente, eseguire il comando:

keytool -list -v -keystore

-storepass

| grep -e "DigiCert Global Root G2" -e "IdenTrust Commercial Root CA 1" -A 10

Sostituisci:

- <agent_truststore_path>: Percorso del file truststore dell'agente.

- <truststore_password>: La password del truststore.

Nota: Assicurarsi che nell'output vengano visualizzate le directory radice globale DigiCert G2 e radice commerciale IdenTrust CA 1.

- Agente DotNet

- Per Windows:

- Passare alla visualizzazione dell'installazione del certificato passando a Esegui> MMC.exe> selezionare File dalla barra degli strumenti e selezionare Aggiungi/Rimuovi snap-in.

- Viene visualizzata la finestra Aggiungi o rimuovi snap-in. Selezionare Certificati> Fare clic su Aggiungi. Verrà visualizzata la finestra snap-in Certificato. Selezionare Account computer> Scegliere il computer locale o un altro computer di conseguenza >Fare clic su Fine>OK.

- Espandere Certificati (computer locale) > Selezionare la cartella Autorità di certificazione radice attendibile ed espandere per visualizzare la cartella Certificati.

- Fare doppio clic sulla cartella Certificati per visualizzare i certificati radice globale DigiCert G2 e IdenTrust.

- Per Linux:

- Eseguire il comando e verificare se esistono certificati radice globale DigiCert G2 e IdenTrust:

awk '/-----BEGIN CERTIFICATE-----/,/-----END CERTIFICATE-----/ {

print > "/tmp/current_cert.pem"

if (/-----END CERTIFICATE-----/) {

system("openssl x509 -noout -subject -in /tmp/current_cert.pem | grep -E \"DigiCert|IdenTrust\"")

close("/tmp/current_cert.pem")

}

}' /etc/ssl/certs/ca-certificates.crt

Passaggio 5. Riavviare l'agente

Riavviare infine l'agente AppDynamics. In questo modo le modifiche diventano effettive.

Informazioni correlate

Consulenza per il supporto: Aggiunta di certificati SSL radice DigiCert e IdenTrust agli archivi attendibili dell'agente

Ulteriori informazioni

In caso di domande o di problemi, creare un biglietto di assistenza con i seguenti dettagli:

- Registra dall'agente.

- Dettagli del percorso dell'archivio attendibile e dei certificati aggiunti.

- Rilevati messaggi di errore.