MID サーバーダウン:OCSP 失効チェックが ocsp.digicert.com への接続に失敗するIssue <!-- /*NS Branding Styles*/ --> .ns-kb-css-body-editor-container { p { font-size: 12pt; font-family: Lato; color: var(--now-color--text-primary, #000000); } span { font-size: 12pt; font-family: Lato; color: var(--now-color--text-primary, #000000); } h2 { font-size: 24pt; font-family: Lato; color: var(--now-color--text-primary, black); } h3 { font-size: 18pt; font-family: Lato; color: var(--now-color--text-primary, black); } h4 { font-size: 14pt; font-family: Lato; color: var(--now-color--text-primary, black); } a { font-size: 12pt; font-family: Lato; color: var(--now-color--link-primary, #00718F); } a:hover { font-size: 12pt; color: var(--now-color--link-primary, #024F69); } a:target { font-size: 12pt; color: var(--now-color--link-primary, #032D42); } a:visited { font-size: 12pt; color: var(--now-color--link-primary, #00718f); } ul { font-size: 12pt; font-family: Lato; } li { font-size: 12pt; font-family: Lato; } img { display: ; max-width: ; width: ; height: ; } } MID サーバーがダウンしてインスタンスへの接続を停止し、この OCSP チェックエラーがエージェントログに表示されることがあります。 この例は、起動後の Washington DC パッチ 7 MID サーバーの agent0.log.0 ファイルのキー行です。 これにより、10 分間再試行されます。 ...INFO (MIDServer) [Main:275] Initializing MID Server...DEBUG (MIDServer) [MIDTLSPolicy:77] MIDSecPolicy: Certificate revocation check for host[<instance name>.service-now.com] is trueINFO (MIDServer) [OCSPCheck:166] OCSPCheck adding BouncyCastle provider at -1INFO (MIDServer) [OCSPCheck:174] OCSPCheckedCertificateCache build with max capacity 32INFO (MIDServer) [OCSPCheck:188] OCSPRevokedCertificateCache build with max capacity 16INFO (MIDServer) [OCSPCheck:202] OCSPTimeoutErrorCache build with max capacity 16WARN (glide.lock.cleaner) [LockManager:86] Freed stuck JVM lock: OCSPCheck CN: *.service-now.comWARN (MIDServer) [OCSPCheck:544] OCSPCheck connection timeout: http://ocsp.digicert.comWARN (MIDServer) [HTTPClient:830] org.apache.commons.httpclient.HttpException: The host did not accept the connection within timeout of 10000 ms *.service-now.comERROR (MIDServer) [RemoteGlideRecord:918] getRecords failed (org.apache.commons.httpclient.HttpException: The host did not accept the connection within timeout of 10000 ms *.service-now.com)WARN (MIDServer) [RetryExecutor:114] MIDRemoteGlideRecord.query failed with error: org.apache.commons.httpclient.HttpException: The host did not accept the connection within timeout of 10000 ms *.service-now.com, retrying in 10 seconds...ERROR (MIDServer) [MIDRemoteGlideRecord:174] org.apache.commons.httpclient.HttpException: The host did not accept the connection within timeout of 10000 ms *.service-now.comcom.service_now.mid.MIDRemoteGlideRecord$RetryableException: org.apache.commons.httpclient.HttpException: The host did not accept the connection within timeout of 10000 ms *.service-now.com その後、以下も無限にループし、 インスタンスユーザーに問題があるという誤解を招くエラーが発生します。これは、インスタンスに接続できないためユーザーチェックを実行できないという副作用にすぎません。 INFO (MIDServer) [Main:275] Initializing MID Server...WARN (StartupSequencer) [HTTPClient:828] Request not sent to uri= https://<instance name>.service-now.com/MIDServerCheck.do?SOAP : org.apache.commons.httpclient.HttpException: The host did not accept the connection within timeout of 10000 ms *.service-now.com: The host did not accept the connection within timeout of 10000 ms *.service-now.comERROR (StartupSequencer) [InstanceSOAPClient:139] SOAP Request: <SOAP-ENV:Envelope xmlns:xsd="http://www.w3.org/2001/XMLSchema" xmlns:SOAP-ENC="http://schemas.xmlsoap.org/soap/encoding/" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:tns="http://www.service-now.com/GetMIDInfo" xmlns:m="http://www.service-now.com" xmlns:SOAP-ENV="http://schemas.xmlsoap.org/soap/envelope/" SOAP-ENV:encodingStyle="http://schemas.xmlsoap.org/soap/encoding/"><SOAP-ENV:Body><m:execute><roles xsi:type="xsd:string">mid_server,soap,soap_script,soap_query,soap_create,soap_delete,soap_ecc,soap_script,soap_update</roles></m:execute></SOAP-ENV:Body></SOAP-ENV:Envelope>ERROR (StartupSequencer) [InstanceSOAPClient:139] SOAP Response: Status code=0, Response body=nullWARN (StartupSequencer) [UserConfigTest:44] Could not check roles on instance: Request not sent to uri= https://<instance name>.service-now.com/MIDServerCheck.do?SOAP : org.apache.commons.httpclient.HttpException: The host did not accept the connection within timeout of 10000 ms *.service-now.comERROR (StartupSequencer) [StartupSequencer:726] test failurejava.lang.IllegalStateException: User: <mid server instance user> cannot be authenticated. User does not exist, or missing the proper roles. If you have deleted or changed the MID server keystore, and config.xml mid.instance.password value is encrypted, you may need to change this value to plain text (during MID startup, password is re-encrypted using current keystore and written back to mid.instance.password). at com.service_now.mid.services.StartupSequencer.runTests(StartupSequencer.java:664) at com.service_now.mid.services.StartupSequencer.startupSequencerRunnable(StartupSequencer.java:723) at java.base/java.lang.Thread.run(Thread.java:833) 注意:DEBUG 行は、MID サーバーパラメーター mid.log.level=debug の場合にのみ表示されます。この状況では、それを config.xml ファイルに直接追加してから、MID サーバーを再起動する必要があります。そもそもインスタンスと通信していない場合、インスタンスの変更は同期されません。 Release<!-- /*NS Branding Styles*/ --> .ns-kb-css-body-editor-container { p { font-size: 12pt; font-family: Lato; color: var(--now-color--text-primary, #000000); } span { font-size: 12pt; font-family: Lato; color: var(--now-color--text-primary, #000000); } h2 { font-size: 24pt; font-family: Lato; color: var(--now-color--text-primary, black); } h3 { font-size: 18pt; font-family: Lato; color: var(--now-color--text-primary, black); } h4 { font-size: 14pt; font-family: Lato; color: var(--now-color--text-primary, black); } a { font-size: 12pt; font-family: Lato; color: var(--now-color--link-primary, #00718F); } a:hover { font-size: 12pt; color: var(--now-color--link-primary, #024F69); } a:target { font-size: 12pt; color: var(--now-color--link-primary, #032D42); } a:visited { font-size: 12pt; color: var(--now-color--link-primary, #00718f); } ul { font-size: 12pt; font-family: Lato; } li { font-size: 12pt; font-family: Lato; } img { display: ; max-width: ; width: ; height: ; } } 任意のインスタンスバージョンですが、2024 年 11 月以降に発生します。 Cause<!-- /*NS Branding Styles*/ --> .ns-kb-css-body-editor-container { p { font-size: 12pt; font-family: Lato; color: var(--now-color--text-primary, #000000); } span { font-size: 12pt; font-family: Lato; color: var(--now-color--text-primary, #000000); } h2 { font-size: 24pt; font-family: Lato; color: var(--now-color--text-primary, black); } h3 { font-size: 18pt; font-family: Lato; color: var(--now-color--text-primary, black); } h4 { font-size: 14pt; font-family: Lato; color: var(--now-color--text-primary, black); } a { font-size: 12pt; font-family: Lato; color: var(--now-color--link-primary, #00718F); } a:hover { font-size: 12pt; color: var(--now-color--link-primary, #024F69); } a:target { font-size: 12pt; color: var(--now-color--link-primary, #032D42); } a:visited { font-size: 12pt; color: var(--now-color--link-primary, #00718f); } ul { font-size: 12pt; font-family: Lato; } li { font-size: 12pt; font-family: Lato; } img { display: ; max-width: ; width: ; height: ; } } 2019 年の Orlando リリース以降、MID サーバーは証明書ベンダーの OSCP 失効リストを使用して、インスタンス証明書が失効していないことを確認してきました。 当時、すべてのインスタンスは Entrust の証明書を使用していたため、MID サーバーはポート 80 で http://ocsp.entrust.net URL にアクセスする必要がありました (記載 こちら) で、そうしないと MID サーバーが接続できません。これにより、OCSP チェックと証明書チェーンチェックが MID セキュリティポリシー機能の一部として追加されたときに、何百もの MID サーバーが停止しました。OCSP チェックは、最近では通常のセキュリティベストプラクティスである OCSP サーバーにアクセスする必要があったにもかかわらずです。 2024 年 11 月以降、ServiceNow は証明書ベンダーを DigiCert に変更し、代わりに OCSP URL http://ocsp.digicert.com を使用します。 その時点で顧客に電子メールが送信され、フォローアップの連絡も 2025 年 1 月下旬から 2 月上旬に送信される予定です。 この KB は、その変更を文書化したものです。KB1709661 Why DigiCert OCSP and HTTP port 80 open on customer firewalls is required for MID Servers Resolution<!-- /*NS Branding Styles*/ --> .ns-kb-css-body-editor-container { p { font-size: 12pt; font-family: Lato; color: var(--now-color--text-primary, #000000); } span { font-size: 12pt; font-family: Lato; color: var(--now-color--text-primary, #000000); } h2 { font-size: 24pt; font-family: Lato; color: var(--now-color--text-primary, black); } h3 { font-size: 18pt; font-family: Lato; color: var(--now-color--text-primary, black); } h4 { font-size: 14pt; font-family: Lato; color: var(--now-color--text-primary, black); } a { font-size: 12pt; font-family: Lato; color: var(--now-color--link-primary, #00718F); } a:hover { font-size: 12pt; color: var(--now-color--link-primary, #024F69); } a:target { font-size: 12pt; color: var(--now-color--link-primary, #032D42); } a:visited { font-size: 12pt; color: var(--now-color--link-primary, #00718f); } ul { font-size: 12pt; font-family: Lato; } li { font-size: 12pt; font-family: Lato; } img { display: ; max-width: ; width: ; height: ; } } MID サーバーを使用するホストインスタンスを持つすべてのお客様は、 DigiCert の OCSP URL にアクセスできるように MID サーバーのホストとファイアウォールを再構成する必要があります (DigiCert によってここに記載されています)。DigiCert 証明書ステータス IP アドレス http://ocsp.digicert.com がメインですが、その他も記載されています。 DigiCert OCSP サーバーとの接続をテストするには:ブラウザーを開き、[ocsp.digicert.com/ping.html] に移動します。「DigiCert OCSP サービスに正常に到達しました」というメッセージが表示されます。 ブラウザーからテストする場合、ホスト OS からプロキシサーバー設定を継承しない MID サーバー Java アプリケーションと比較して、異なるプロキシサーバー/ファイアウォール/Web アクセスゲートウェイが使用される可能性があります。 注:これは ポート 80 にあります。KB1709661で説明されている理由 顧客のファイアウォールで DigiCert OCSP および HTTP ポート 80 を開くことが MID サーバーに必要な理由