2024-06-26 - Problème de connexion à notre Jenkins¶

Quand on essaie de se connecter à notre Jenkins, un message d'erreur s'affiche :

We are sorry...

Invalid requester

Ce message est affiché par Keycloak, notre IdP, qui est utilisé par Jenkins pour authentifier les utilisateurs grâce au protocol SAML2.

Un message d'erreur dans les logs de Keycloak lors d'un tentative de connexion à Jenkins indique qu'un certificat a expiré :

2024-06-26 07:50:18,723 ERROR [org.keycloak.protocol.saml.SamlService] (executor-thread-1521) request validation failed: org.keycloak.common.VerificationException: Certificate is not valid.

Hypothèse : ce sont les certificats de Jenkins

Je retrouve l'URL de ses metadata : https://jenkins.common.computablefacts.com/securityRealm/metadata Puis je mets chacun des 2 certificats dans un fichier afin d'afficher les dates de validité.

Certificat 1 - signing

J'affiche les dates avec cette commande :

[10:20:06]$ openssl x509 -in jenkins-signing-cert.crt -noout -text
Certificate:
...
        Validity
            Not Before: Jun 14 21:45:38 2024 GMT
            Not After : Jun 14 21:45:38 2025 GMT
...

Certificat 2 - encryption

J'affiche les dates avec cette commande :

[10:23:40]$ openssl x509 -in jenkins-encryption-cert.crt -noout -text
Certificate:
...
        Validity
            Not Before: Jun 14 21:45:38 2024 GMT
            Not After : Jun 14 21:45:38 2025 GMT
...

Constats : - les certificats sont valides (nous sommes le 26/06/2024) - les certificats ont été renouvellés le 14/06

Hypothèse : Keycloak n'a pas les nouveaux certificats. Il a donc les précédents qui ne sont plus valides d'où le message d'erreur.

Dans Keycloak, pour le royaume computablefacts et pour le client Https://jenkins.common.computablefacts.com/securityRealm/finishLogin, Dans l'onglet Keys, il y a 2 certificats "Signing Key" et "Encryption Key". Je vais, avec la même méthode que ci-dessus, afficher les dates de validité de ces certificats.

Signing Key

Je vois que c'est bien un certificat de Jenkins et qu'il a expiré :

[10:42:46]$ openssl x509 -in jenkins-signing-cert-kc.crt -noout -text
Certificate:
    Data:
        Version: 3 (0x2)
        Serial Number:
            21:9b:23:08:b7:4e:d2:be:bd:a9:87:dd:3b:9b:f8:af:fb:1d:2b:76
        Signature Algorithm: sha256WithRSAEncryption
        Issuer: CN = SAML-jenkins
        Validity
            Not Before: Jun 13 20:44:06 2023 GMT
            Not After : Jun 12 20:44:06 2024 GMT
        Subject: CN = SAML-jenkins
        Subject Public Key Info:
            Public Key Algorithm: rsaEncryption

Encryption Key

Je vois également que ce certificat de Jenkins a expiré :

[10:44:56]$ openssl x509 -in jenkins-encryption-cert-kc.crt -noout -text
Certificate:
    Data:
        Version: 3 (0x2)
        Serial Number:
            21:9b:23:08:b7:4e:d2:be:bd:a9:87:dd:3b:9b:f8:af:fb:1d:2b:76
        Signature Algorithm: sha256WithRSAEncryption
        Issuer: CN = SAML-jenkins
        Validity
            Not Before: Jun 13 20:44:06 2023 GMT
            Not After : Jun 12 20:44:06 2024 GMT
        Subject: CN = SAML-jenkins
        Subject Public Key Info:
            Public Key Algorithm: rsaEncryption

Je vais donc importé les nouveaux certificats de Jenkins, ceux que j'ai récupérés dans ses metadata, dans Keycloak.

Pour chaque certificat : - je clique sur "Import" - je choisis "Certificate PEM" - je sélectionne le fichier du nouveau certificat - je valide en cliquant sur "Import" - j'ai un message confirmant que l'import s'est bien passé

Le problème est résolu.