Подготовка к установке eCA-VA должна быть проведена на каждом компьютере, где предполагается его развертывание.

В зависимости от типа операционной системы действия по подготовке сервера различаются.

Таблица сетевого взаимодействия

При установке eCA-VA осуществляется конфигурирование установленного в среде функционирования веб‑сервера, в результате чего для внешнего доступа открывается порт сервера, используемый для подключения по протоколу HTTPS (по умолчанию 443). Изменение порта веб‑сервера для подключения к нему по протоколу HTTPS осуществляется путем редактирования конфигурационного файла eCA-VA (см. 4.3).

В таблице Таблица 3 приведён список портов, которые открывает для локальной передачи данных внутри сервера и использует eCA-VA. Доступ к данным портам для внешних подключений ограничивается автоматически при установке eCA-VA с помощью утилиты «iptables» из состава ОС сервера. Во избежание возникновения ошибок в работе eCA-VA переназначение данных портов запрещено.

Таблица 3 – Таблица входящих сетевых портов

Порт

Транспорт

Протокол

Назначение

1100

TCP

HTTP

Внутренний интерфейс для подключения к внутреннему сервису «certificate‑authority‑service» (Сервис сертификатов)

1150

TCP

HTTP

Внутренний интерфейс для подключения к внутреннему сервису «storage‑service» (Сервис хранения)

1200

TCP

HTTP

Внутренний интерфейс для подключения к внутреннему сервису «templates‑service» (Сервис шаблонов)

1250

TCP

HTTP

Внутренний интерфейс для подключения к внутреннему сервису «security‑service» (Сервис безопасности)

1300

TCP

HTTP

Внутренний интерфейс для подключения к внутреннему сервису «licenses‑service» (Сервис лицензирования)

1350

TCP

HTTP

Внутренний интерфейс для подключения к внутреннему сервису «routes‑service» (Сервис маршрутизации)

1400

TCP

HTTP

Внутренний интерфейс для подключения к внутреннему сервису «external‑integration‑service» (Сервис внешних интеграций)

1450

TCP

HTTP

Внутренний интерфейс для подключения к внутреннему сервису «validation‑authority‑service» (Сервис валидации)

1500

TCP

HTTP

Внутренний интерфейс для подключения к внутреннему сервису «publisher‑service» (Сервис публикации)

1550

TCP

HTTP

Внутренний интерфейс для подключения к внутреннему сервису «subjects‑service» (Сервис субъектов)

1600

TCP

HTTP

Внутренний интерфейс для подключения к внутреннему сервису «ldap‑service» (Сервис синхронизации по LDAP)

1650

TCP

HTTP

Внутренний интерфейс для подключения к внутреннему сервису «logs‑service» (Сервис журнализации)

1700

TCP

HTTP

Внутренний интерфейс для подключения к внутреннему сервису «export‑service» (Сервис экспорта)

1750

TCP

HTTP

Внутренний интерфейс для подключения к внутреннему сервису «event‑delivery‑service» (Сервис доставки событий)

1800

TCP

HTTP

Внутренний интерфейс для подключения к внутреннему сервису «settings‑service» (Сервис настройки)

1850

TCP

HTTP

Внутренний интерфейс для подключения к внутреннему сервису «x509‑provider‑service» (Сервис аутентификации по сертификату)

1900

TCP

HTTP

Внутренний интерфейс для подключения к внутреннему сервису «api‑gateway‑service» (Сервис проксирования)

Подготовка сервера

Подготовка сервера eCA-VA заключается в установке и настройке следующих программных компонентов:

  • Зависимостей и подключение репозиториев ОС.
  • Среды исполнения Java.
  • СУБД.
  • Веб‑сервера.
  • СКЗИ «КриптоПро CSP» (для использования алгоритмов ГОСТ Р 34.10‑2012 и RSA). Порядок установки и настройки СКЗИ «КриптоПро CSP» представлен в Приложении 5. Установка и настройка СКЗИ «КриптоПро CSP» могут быть выполнены после установки eCA-VA в процессе его эксплуатации.

При использовании СКЗИ «КриптоПро CSP» канал взаимодействия клиентской и серверной части  eCA-VA должен быть организован по протоколу TLS ГОСТ, а также должна обеспечиваться TLS‑аутентификация пользователей в eCA-VA с использованием отечественных криптографических алгоритмов. Для этого в качестве веб‑сервера должен использоваться веб‑сервер Сpnginx из состава СКЗИ «КриптоПро CSP». Установка веб‑сервера выполняется после установки СКЗИ «КриптоПро CSP». Порядок установки веб‑сервера Сpnginx из состава СКЗИ «КриптоПро CSP» приведен в подразделе 3.6. После установки веб‑сервера необходимо установить на СКЗИ «КриптоПро CSP» серверную лицензию, обеспечивающую возможность использования СКЗИ «КриптоПро CSP» в качестве TLS‑сервера.

В зависимости от ОС сценарии подготовки различаются:

  • для РЕД ОС 7.3 и РЕД ОС 8 сценарий подготовки описан в разделе 3.3;
  • для Astra Linux Special Edition 1.7 и Astra Linux Special Edition 1.8 – в разделе 4;
  • для Альт Сервер 8, релиз 10 – в разделе 3.5.

Подготовка сервера с операционной системой РЕД ОС

Далее приведена инструкция по подготовке сервера под управлением РЕД ОС 7.3 и РЕД ОС 8.

Подключение репозиториев и установка зависимостей

Для РЕД ОС репозитории настроены по умолчанию для скачивания из сети Интернет. Для проверки доступности и готовности к дальнейшим командам следует установить необходимые пакеты из состава ОС, выполнив команду:

sudo dnf install tar unzip iptables

При ошибке следует проверить наличие доступа к сети Интернет.

Если доступ к сети Интернет отсутствует, зависимости возможно установить с USB‑носителя из комплекта поставки ОС следующим образом:

  • установите USB‑носитель в соответствующий порт сервера;
  • перейдите в каталог USB‑носителя;
  • для установки зависимостей выполните команду:
sudo dnf install tar unzip iptables

Установка среды исполнения Java

Для обеспечения сертифицированной среды функционирования на сервере необходимо установить Axiom JDK Certified версий 17 или 21.

В случае, если обеспечение сертифицированной среды функционирования не требуется, необходимо установить Axiom JDK Certified версий 17 или 21 либо OpenJDK версий 17 или 21.

Установка и настройка СУБД

Выполните установку и настройку одной из нижеприведённых СУБД:

  • PostgreSQL из состава ОС;
  • Postgres Pro;
  • Jatoba.

Порядок разрешения конфликтов между СУБД PostgreSQL приведен в Приложении 1.

Порядок настройки взаимодействия с СУБД, размещенной на отдельном узле, приведен в Приложении 2.

eCA-VA может быть настроено на взаимодействие с СУБД по протоколу TLS. Программа не будет функционировать, если ему не удалось установить TLS‑соединение с СУБД. Порядок настройки TLS‑соединения с СУБД приведен в Приложении 3.

Установка СУБД PostgreSQL[1]

Для установки СУБД PostgreSQL:

  • Установите последнюю доступную версию СУБД PostgreSQL, выполнив команду:
sudo dnf install postgresql‑server
  • Выполните установку последней доступной версии пакета postgresql‑contrib, выполнив команду:
sudo dnf install postgresql‑contrib
  • Произведите инициализацию БД, выполнив команду:
sudo postgresql‑setup ‑‑initdb

В случае ошибки Data directory in ‘/var/lib/pgsql/data’ is not empty… следует очистить каталог командой ниже и повторить инициализацию БД.

sudo rm ‑rf /var/lib/pgsql/data
  • Запустите PostgreSQL, выполнив команду:
sudo systemctl start postgresql
  • Добавьте запуск PostgreSQL в автозагрузку, выполнив команду:
sudo systemctl enable postgresql
  • Отредактируйте файл /var/lib/pgsql/data/postgresql.conf[2]– установите число подключений max_connections в значение 1000[3].
  • Отредактируйте файл /var/lib/pgsql/data/pg_hba.conf[4]– измените параметры для успешного локального подключения пользователя к базе данных:

host all all 127.0.0.1/32 ident 

на

host all all 127.0.0.1/32 password 

host all all ::1/128 ident 

на

host all all ::1/128 password 

  • Выполните перезапуск СУБД PostgreSQL для вступления изменений в силу, выполнив команду:
sudo systemctl restart postgresql

Установка СУБД Postgres Pro

Описание приведено в официальной документации на Postgres Pro, размещённой по адресу https://postgrespro.ru/docs

Установка СУБД Jatoba[5]

Для установки СУБД Jatoba:

  • Создайте каталог /localrepo, выполнив команду:
sudo mkdir /localrepo
  • В каталог /localrepo скопируйте необходимые файлы для установки СУБД Jatoba.

Требуется скопировать полную структуру файлов и каталогов из дистрибутива. Также допускается установка с CD/DVD носителя напрямую. В этом случае, пользователю не требуется копировать файлы, а вместо каталога /localrepo во всех шагах далее указывать соответствующий путь до носителя и директорию репозитория СУБД на носителе для соответствующей ОС.

  • Дистрибутив СУБД Jatoba содержит:
    • каталог /packages;
    • каталог /repodata;
    • файл ключа RPM‑GPG‑KEY‑Jatoba.
  • Проверьте результат копирования всех файлов дистрибутива, перейдя в каталог /localrepo и выполнив команду:
ls ‑l
  • Установите открытый ключ репозитория командой:
sudo rpm ‑‑import /localrepo/RPM‑GPG‑KEY‑Jatoba
  • Создайте файл /etc/yum.repos.d/jatoba‑[версия].repo с описанием локального репозитория в системе, в котором разместите следующее описание:
[jatoba‑[версия]]
 
name=Jatoba [версия] Official Repository
 
baseurl=file:///localrepo
 
enabled=1
 
gpgcheck=0
 
gpgkey=file:///localerepo/RPM‑GPG‑KEY‑Jatoba
  • Обновите описания пакетов командой:
sudo dnf makecache
  • Установите основные пакеты СУБД Jatoba 4 командой:
sudo dnf install jatoba[версия]‑client jatoba[версия]‑contrib jatoba[версия]‑libs jatoba[версия]‑server

Пакеты jatoba[версия]‑client, jatoba[версия]‑contrib, jatoba[версия]‑libs и jatoba[версия]‑server являются обязательными для установки СУБД.

  • Перейдите в директорию расположения исполняемых файлов СУБД Jatoba посредством команды:
cd /usr/jatoba‑[версия]/bin/
  • Инициализируйте каталог данных СУБД Jatoba при помощи команды:
sudo ./jatoba‑setup initdb jatoba‑[версия]
  • Отредактируйте файл /var/lib/jatoba/[версия]/data/postgresql.conf– установите число подключений max_connections в значение 1000[6].
  • Отредактируйте файл /var/lib/jatoba/[версия]/data/pg_hba.conf– измените параметры для успешного локального подключения пользователя к базе данных:

host all all 127.0.0.1/32 ident

на

host all all 127.0.0.1/32 password

host all all ::1/128 ident

на

host all all ::1/128 password

  • Добавьте СУБД Jatoba в автозагрузку командой:
sudo systemctl enable jatoba‑[версия]
  • Выполните перезапуск СУБД Jatoba для вступления изменений в силу, выполнив команду:
sudo systemctl restart jatoba‑[версия]

[1] Подробное описание приведено в официальной документации на PostgreSQL, размещённой по адресу https://postgrespro.ru/docs

[2] Расположение файла может отличаться, для поиска можно использовать команду sudo find / -type f -name postgresql.conf

[3] Значение max_connections равное 1000 является рекомендуемым, при необходимости можно установить и большее значение.

[4] Расположение файла может отличаться, для поиска можно использовать команду sudo find / -type f -name pg_hba.conf

[5] Подробное описание приведено в официальной документации на Jatoba, размещённой по адресу https://www.gaz-is.ru/produkty/inform-sistemy/subd-jatoba.html#materialy

[6] Значение max_connections равное 1000 является рекомендуемым, при необходимости можно установить и большее значение.

Установка веб сервера

РЕД ОС поддерживает веб‑сервера Nginx и Apache, которые обеспечивают сертифицированную среду функционирования. Оба веб‑сервера устанавливаются из основного репозитория сертифицированной ОС.

Установка веб‑сервера Apache

Для установки веб‑сервера Apache:

  • Установите пакет, выполнив команду с правами суперпользователя (от имени пользователя root, либо с использованием sudo):
sudo dnf install httpd
  • Установите дополнительный модуль для использования протокола ssl в apache, выполнив команду с правами суперпользователя (от имени пользователя root, либо с использованием sudo):
sudo dnf install mod_ssl
  • Добавьте веб‑сервер в автозагрузку, выполнив команду c правами суперпользователя:
sudo systemctl enable httpd

Установка веб‑сервера Nginx

Для установки веб‑сервера Nginx:

  • Установите пакет из официального репозитория ОС, выполнив команду с правами суперпользователя:
sudo dnf install nginx
  • Запустите установленный веб‑сервер, выполнив команду:
sudo systemctl start nginx
  • Добавьте веб‑сервер в автозагрузку, выполнив команду:
sudo systemctl enable nginx

Подготовка сервера с операционной системой Astra Linux Special Edition

Подключение репозиториев и установка зависимостей

Подключение репозиториев и установка зависимостей Astra Linux Special Edition 1.7[1]

Для подключения репозиториев и установка зависимостей Astra Linux Special Edition 1.7:

  • Для обновления посредством сети Интернет перед началом установки компонентов установите пути нахождения всех необходимых репозиториев, отредактировав файл /etc/apt/sources.list:
    • Укажите ссылки на следующие репозитории:
deb https://dl.astralinux.ru/astra/stable/1.7_x86‑64/repository‑main/ 1.7_x86‑64 main contrib non‑free
 
deb https://dl.astralinux.ru/astra/stable/1.7_x86‑64/repository‑update/ 1.7_x86‑64 main contrib non‑free
 
deb https://dl.astralinux.ru/astra/stable/1.7_x86‑64/repository‑base/ 1.7_x86‑64 main contrib non‑free
    • Укажите нижеприведённый репозиторий для развёртывания веб‑сервера Nginx, если не требуется обеспечение сертифицированной среды[2]:
deb https://dl.astralinux.ru/astra/stable/1.7_x86‑64/repository‑extended/ 1.7_x86‑64 main contrib non‑free
    • Для установки необходимых компонентов в офлайн режиме предварительно необходимо настроить использование установочных дисков в качестве репозиториев, отредактировав файл /etc/apt/sources.list и зарегистрировать физический компакт‑диск, вставленный в привод компакт‑дисков, выполнив команду:
apt‑cdrom add
    • Возможно, потребуется указать имя для регистрируемого компакт‑диска, в таком случае можно указать произвольное понятное вам имя (например, MAIN для инсталляционного диска DEVEL для диска со средствами разработки). Процедуру регистрации следует выполнить для всех дисков, на которых поставляется обновление (поочередно смонтировать образы или выполнить регистрацию для всех точек монтирования или поочерёдно установить диски в привод для физических дисков).
  • Выполните обновление пакетов для ОС из указанных репозиториев, выполнив команду:
sudo apt update
  • Для проверки доступности и готовности к дальнейшим командам следует установить необходимые пакеты из состава ОС, выполнив команду:
sudo apt install tar unzip iptables

В процессе установки в офлайн режиме может потребоваться заменить и вставить диск с нужным репозиторием («диск 1», «диск 2», «develop»).

Подключение репозиториев и установка зависимостей Astra Linux Special Edition 1.8[3]

Для подключения репозиториев и установки зависимостей Astra Linux Special Edition 1.8:

  • Для обновления посредством сети Интернет перед началом установки компонентов установите пути нахождения всех необходимых репозиториев, отредактировав файл /etc/apt/sources.list:
    • Укажите ссылки на следующие репозитории:
deb https://dl.astralinux.ru/astra/stable/1.8_x86‑64/main‑repository/     1.8_x86‑64 main contrib non‑free non‑free‑firmware
    • Укажите нижеприведённый репозиторий для развёртывания веб‑сервера Nginx, если не требуется обеспечение сертифицированной среды[4]:
deb https://dl.astralinux.ru/astra/stable/1.8_x86‑64/extended‑repository/ 1.8_x86‑64 main contrib non‑free non‑free‑firmware
    • Для установки необходимых компонентов в офлайн режиме предварительно необходимо настроить использование установочных дисков в качестве репозиториев, отредактировав файл /etc/apt/sources.list и зарегистрировать физический компакт‑диск, вставленный в привод компакт‑дисков, выполнив команду:
apt‑cdrom add
    • Возможно, потребуется указать имя для регистрируемого компакт‑диска, в таком случае можно указать произвольное понятное вам имя (например, MAIN для инсталляционного диска DEVEL для диска со средствами разработки). Процедуру регистрации следует выполнить для всех дисков, на которых поставляется обновление (поочередно смонтировать образы или выполнить регистрацию для всех точек монтирования или поочерёдно установить диски в привод для физических дисков).
  • Выполните обновление пакетов для ОС из указанных репозиториев, выполнив команду:
sudo apt update
  • Для проверки доступности и готовности к дальнейшим командам следует установить необходимые пакеты из состава ОС, выполнив команду:
sudo apt install tar unzip iptables

В процессе установки в офлайн режиме может потребоваться заменить и вставить диск с нужным репозиторием («диск 1», «диск 2», «develop»).

[1] Подробнее о репозиториях Astra Linux SE 1.7 см. в https://wiki.astralinux.ru/pages/viewpage.action?pageId=158598882

[2] Для обеспечения сертифицированной среды программный компонент «Центр сертификации Aladdin Enterprise Certification Authority» необходимо развёртывать с использованием веб-сервера Apache в ОС Astra Linux Special Edition 1.7

[3] Подробнее о репозиториях Astra Linux SE 1.8 см. в https://wiki.astralinux.ru/pages/viewpage.action?pageId=302043111

[4]  В Astra Linux для обеспечения сертифицированной среды Aladdin eVA необходимо развёртывать с использованием web-сервера Apache

Установка среды исполнения Java

Для обеспечения сертифицированной среды функционирования на сервере необходимо установить Axiom JDK Certified версий 17 или 21.

В случае, если обеспечение сертифицированной среды функционирования не требуется, необходимо установить Axiom JDK Certified версий 17 или 21 либо OpenJDK версий 17 или 21.

Установка и настройка СУБД

Выполните установку и настройку одной из нижеприведённых СУБД:

  • PostgreSQL из состава ОС;
  • Postgres Pro;
  • Jatoba.

Порядок разрешения конфликтов между СУБД PostgreSQL приведен в Приложении 1.

Порядок настройки взаимодействия с СУБД, размещенной на отдельном узле, приведен в Приложении Приложение 2. Настройка подключения к внешней СУБД.

eCA-VA может быть настроено на взаимодействие с СУБД по протоколу TLS. Программа не будет функционировать, если ему не удалось установить TLS‑соединение с СУБД. Порядок настройки TLS‑соединения с СУБД приведен в Приложении 3.

Установка СУБД PostgreSQL[1]

  • Установите последнюю доступную версию СУБД PostgreSQL, выполнив команду:
sudo apt install postgresql
  • Выполните установку последней доступной версии пакета postgresql‑contrib, выполнив команду:
sudo apt install postgresql‑contrib
  • Установите пакет postgresql‑client, выполнив команду:
sudo apt install postgresql‑client
  • Запустите PostgreSQL, выполнив команду:
sudo systemctl start postgresql
  • Добавьте запуск PostgreSQL в автозагрузку, выполнив команду:
sudo systemctl enable postgresql
  • При наличии мандатных политик[2]:
    • выдайте полномочия пользователю postgres, выполнить команду:
sudo pdpl‑user ‑l 0:0 ‑i 63 postgres
    • предоставьте служебному пользователю postgres право на чтение файла, содержащего классификационную метку пользователя, поочередно выполнив команды:
sudo usermod ‑a ‑G shadow postgres
 
sudo setfacl ‑d ‑m u:postgres:r /etc/parsec/macdb
 
sudo setfacl ‑R ‑m u:postgres:r /etc/parsec/macdb
 
sudo setfacl ‑m u:postgres:rx /etc/parsec/macdb
  • Отредактируйте файл /etc/postgresql/11/main/postgresql.conf[3]– установите число подключений max_connections в значение 1000[4].
  • Перезапустите СУБД PostgreSQL для вступления изменений в силу, выполнив команду:
sudo systemctl restart postgresql

Установка СУБД Postgres Pro

Описание приведено в официальной документации на Postgres Pro, размещённой по адресу https://postgrespro.ru/docs

Установка СУБД Jatoba[5]

  • Создайте каталог /localrepo, выполнив команду:
mkdir /localrepo
  • В каталог /localrepo скопируйте необходимые файлы для установки СУБД Jatoba.

Требуется скопировать полную структуру файлов и каталогов из дистрибутива. Также допускается установка с CD/DVD носителя напрямую. В этом случае, пользователю не требуется копировать файлы, а вместо каталога /localrepo во всех шагах далее указывать соответствующий путь до носителя и директорию репозитория СУБД на носителе для соответствующей ОС.

  • Дистрибутив СУБД Jatoba содержит:
    • каталог /pool;
    • каталог /dists;
    • файл ключа DEB‑GPG‑KEY‑Jatoba.
  • Проверьте результат копирования всех файлов дистрибутива, перейдя в каталог /localrepo и выполнив команду:
ls ‑l
  • Установите открытый ключ репозитория командой:
sudo apt‑key add /localrepo/DEB‑GPG‑KEY‑Jatoba
  • Создайте файл /etc/apt/sources.list.d/jatoba‑[версия].list с описанием локального репозитория в системе, в котором разместите следующее описание:
deb file:///localrepo stable non‑free
  • Обновите описания пакетов командой:
sudo apt update
  • Установите основные пакеты СУБД Jatoba командой:
sudo apt install jatoba[версия]‑client jatoba[версия]‑contrib jatoba[версия]‑libs jatoba[версия]‑server

Пакеты jatoba[версия]‑client, jatoba[версия]‑contrib, jatoba[версия]‑libs и jatoba[версия]‑server являются обязательными для установки СУБД.

  • При наличии мандатных политик[6]:
    • выдайте полномочия пользователю postgres, выполнить команду:
sudo pdpl‑user ‑l 0:0 ‑i 63 postgres
    • предоставьте служебному пользователю postgres право на чтение файла, содержащего классификационную метку пользователя, поочередно выполнив команды:
sudo usermod ‑a ‑G shadow postgres
 
sudo setfacl ‑d ‑m u:postgres:r /etc/parsec/macdb
 
sudo setfacl ‑R ‑m u:postgres:r /etc/parsec/macdb
 
sudo setfacl ‑m u:postgres:rx /etc/parsec/macdb
  • Перейдите в директорию расположения исполняемых файлов СУБД Jatoba посредством команды:
cd /usr/jatoba‑[версия]/bin/
  • Инициализируйте каталог данных СУБД Jatoba при помощи команды:
sudo ./jatoba‑setup initdb jatoba‑[версия]
  • Отредактируйте файл /var/lib/jatoba/[версия]/data/postgresql.conf с правами администратора– установите число подключений max_connections в значение 1000[7].
  • Добавьте СУБД Jatoba в автозагрузку командой:
sudo systemctl enable jatoba‑[версия]
  • Выполните перезапуск СУБД Jatoba для вступления изменений в силу, выполнив команду:
sudo systemctl restart jatoba‑[версия]

В случае возникновения ошибки запуска следует обратиться к внутренним логам:

ls /var/lib/jatoba/[версия]/data/lob
 
сat /var/lib/jatoba/[версия]/data/log/[weekDay]

[1] Подробное описание приведено в официальной документации на PostgreSQL, размещённой по адресу https://postgrespro.ru/docs

[2] Подробная информация по аутентификации в СУБД PostgreSQL для Astra Linux Special Edition приведена в https://wiki.astralinux.ru/pages/viewpage.action?pageId=238751148

[3] Расположение файла может отличаться. В инструкции расположение указано для 11 версии PostgreSQL. Для поиска можно использовать команду sudo find / -type f -name postgresql.conf

[4] Значение max_connections равное 1000 является рекомендуемым, при необходимости можно установить и большее значение.

[5] Подробное описание приведено в официальной документации на Jatoba, размещённой по адресу https://www.gaz-is.ru/produkty/inform-sistemy/subd-jatoba.html#materialy

[6] Подробная информация по аутентификации в СУБД PostgreSQL для Astra Linux Special Edition приведена в https://wiki.astralinux.ru/pages/viewpage.action?pageId=238751148

[7] Значение max_connections равное 1000 является рекомендуемым, при необходимости можно установить и большее значение.

Установка веб сервера

ОС Astra Linux SE поддерживает веб‑сервер Apache, которые обеспечивают сертифицированную среду функционирования. Веб‑сервер Apache устанавливается из основного репозитория сертифицированной ОС.

Также в качестве веб‑сервера можно использовать Nginx, но он устанавливается из расширенного репозитория. Использовании веб‑сервера Nginx приведёт к потере сертифицированной среды функционирования.

Установка веб‑сервера Apache

Для установки веб‑сервера Apache:

  • Установите пакет, выполнив команду с правами суперпользователя (от имени пользователя root, либо с использованием sudo):
sudo apt install apache2
  • Активируйте модули, выполнив поочередно команды:
sudo a2enmod ssl
 
sudo a2enmod proxy
 
sudo a2enmod proxy_http
 
sudo a2enmod headers
 
sudo a2enmod cgi
 
sudo a2enmod rewrite
 
sudo a2enmod http2
  • Перезапустите веб‑сервер, выполнив команду с правами суперпользователя:
sudo systemctl restart apache2.service
  • Добавьте веб‑сервер в автозагрузку, выполнив команду с правами суперпользователя:
sudo systemctl enable apache2
  • Для проверки корректности запуска модулей выполните команду с правами суперпользователя:
sudo apachectl ‑M | grep ‑E 'ssl|proxy|proxy_http|headers|cgi|rewrite|http2'

Установка веб‑сервера Nginx

Внимание! При выборе веб‑сервера Nginx требуется расширить репозиторий ОС, что приведёт к потере сертифицированной среды функционирования.

Для установки веб‑сервера Nginx:

  • Установите пакет из расширенного репозитория ОС, выполнив команду с правами суперпользователя:
sudo apt install nginx
  • Запустите установленный веб‑сервер, выполнив команду:
sudo systemctl start nginx
  • Добавьте веб‑сервер в автозагрузку, выполнив команду:
sudo systemctl enable nginx

Подготовка сервера с операционной системой Альт Сервер

Далее приведена инструкция по подготовке сервера под управлением Альт Сервер 8, релиз 10.

Подключение репозиториев и установка зависимостей

Для развёртывания eCA-VA с использованием веб‑сервера Apache[1] перед началом установки компонента необходимо установить путь нахождения необходимого репозитория, отредактировав файл /etc/apt/sources.list.d/altsp.list:

  • Укажите ссылку на следующий репозиторий:
rpm [cert8] http://update.altsp.su/pub/distributions/ALTLinux c10f/branch/x86_64‑i586 classic
  • После этого обновите список доступных пакетов, выполнив команду:
sudo apt‑get update

[1] Для обеспечения сертифицированной среды программный компонент «Центр сертификации Aladdin Enterprise Certification Authority» необходимо развёртывать с использованием web-сервера Nginx в ОС Альт Сервер 8, релиз 10

Установка среды исполнения Java

Для обеспечения сертифицированной среды функционирования на сервере необходимо установить Axiom JDK Certified версий 17 или 21.

В случае, если обеспечение сертифицированной среды функционирования не требуется, необходимо установить Axiom JDK Certified версий 17 или 21 либо OpenJDK версий 17 или 21.

Установка и настройка СУБД

Выполните установку и настройку одной из нижеприведённых СУБД:

  • PostgreSQL из состава ОС;
  • Postgres Pro;
  • Jatoba.

Порядок разрешения конфликтов между СУБД PostgreSQL приведен в приложении Приложение 1. Разрешение конфликта «при установке СУБД Postgres и Postgres Pro.

Порядок настройки взаимодействия с СУБД, размещенной на отдельном узле, приведен в приложении Приложение 2. Настройка подключения к внешней СУБД.

eCA-VA может быть настроено на взаимодействие с СУБД по протоколу TLS. Программа не будет функционировать, если ему не удалось установить TLS‑соединение с СУБД. Порядок настройки TLS‑соединения с СУБД приведен в приложении Приложение 3. Настройка TLS‑соединения c СУБД.

Установка СУБД PostgreSQL[1]

Для установки СУБД PostgreSQL:

  • Установите пакет postgresql16‑server, выполнив команду[2]:
sudo apt‑get install postgresql16‑server
  • Установите пакет postgresql16‑contrib, выполнив команду:
sudo apt‑get install postgresql16‑contrib
  • Установите пакет postgresql16, выполнив команду:
sudo apt‑get install postgresql16
  • Произведите инициализацию БД, выполнив команду:
sudo /etc/init.d/postgresql initdb
  • В случае ошибки Data directory in ‘/var/lib/pgsql/data’ is not empty… cледует очистить директорию командой ниже и повторить инициализацию БД.
sudo rm ‑rf /var/lib/pgsql/data
  • Запустите PostgreSQL, выполнив команду:
sudo systemctl start postgresql
  • Добавьте запуск PostgreSQL в автозагрузку, выполнив команду:
sudo systemctl enable postgresql
  • Отредактируйте файл /var/lib/pgsql/16/data/postgresql.conf[3]– установите число подключений max_connections в значение 1000[4].
  • Выполните перезапуск СУБД PostgreSQL для вступления изменений в силу, выполнив команду:
sudo systemctl restart postgresql

 Установка СУБД Postgres Pro[5]

Для установки СУБД Postgres Pro:

  • Загрузите скрипт для добавления репозитория, выполнив команду[6]:
wget https://repo.postgrespro.ru/std‑16/keys/pgpro‑repo‑add.sh
  • Запустите скрипт, выполнив команду с правами суперпользователя (root или sudo):
sudo sh pgpro‑repo‑add.sh
  • Обновите список пакетов, выполнив команду с правами суперпользователя (root или sudo):
sudo apt‑get update
  • Установите Postgres Pro, выполнив команду с правами суперпользователя (root или sudo):
sudo apt‑get install postgrespro‑std‑16
  • Отредактируйте файл /var/lib/pgpro/std‑16/data/postgresql.conf[7] с правами администратора– установите число подключений max_connections в значение 1000[8].
  • При отсутствии создайте символические ссылки на утилиты psql и pg_dump, выполнив команды с правами суперпользователя (root или sudo):
sudo ln ‑s /opt/pgpro/std‑16/bin/psql /usr/bin/psql
 
sudo ln ‑s /opt/pgpro/std‑16/bin/pg_dump /usr/bin/pg_dump

Установка СУБД Jatoba[9]

Для установки СУБД Jatoba:

  • Создайте каталог /localrepo, выполнив команду:
sudo mkdir /localrepo
  • В каталог /localrepo скопируйте необходимые файлы для установки СУБД Jatoba.

Требуется скопировать полную структуру файлов и каталогов из дистрибутива. Также допускается установка с CD/DVD носителя напрямую. В этом случае, пользователю не требуется копировать файлы, а вместо каталога /localrepo во всех шагах далее указывать соответствующий путь до носителя и директорию репозитория СУБД на носителе для соответствующей ОС.

  • Дистрибутив СУБД Jatoba содержит:
    • каталог /base;
    • каталог /RPMS.classic;
    • файл ключа RPM‑GPG‑KEY‑Jatoba.
  • Проверьте результат копирования всех файлов дистрибутива, перейдя в каталог /localrepo и выполнив команду:
ls ‑l
  • Создайте файл /etc/apt/sources.list.d/jatoba‑[версия].list с описанием локального репозитория в системе, в котором разместите следующее описание:
rpm file:///localrepo x86_64 classic
  • Обновите описания пакетов командой:
sudo apt‑get update
  • Установите основные пакеты СУБД Jatoba командой:
sudo apt‑get install jatoba[версия]‑client jatoba[версия]‑contrib jatoba[версия]‑libs jatoba[версия]‑server

Пакеты jatoba[версия]‑client, jatoba[версия]‑contrib, jatoba[версия]‑libs и jatoba[версия]‑server являются обязательными для установки СУБД.

  • Перейдите в директорию расположения исполняемых файлов СУБД Jatoba посредством команды:
cd /usr/jatoba‑[версия]/bin/
  • Инициализируйте каталог данных СУБД Jatoba при помощи команды:
sudo ./jatoba‑setup initdb jatoba‑[версия]
  • Отредактируйте файл /var/lib/jatoba/[версия]/data/postgresql.conf под администратором– установите число подключений max_connections в значение 1000[10].
  • Добавьте СУБД Jatoba в автозагрузку командой:
sudo systemctl enable jatoba‑[версия]
  • Выполните перезапуск СУБД Jatoba для вступления изменений в силу, выполнив команду:
sudo systemctl restart jatoba‑[версия]

[1] Подробное описание приведено в официальной документации на PostgreSQL, размещённой по адресу https://postgrespro.ru/docs

[2] Команды ниже приведены для установки 15-ой версии PostgreSQL.

[3] Расположение файла может отличаться. В инструкции расположение указано для 15 версии PostgreSQL. Для поиска можно использовать команду sudo find / -type f -name postgresql.conf

[4] Значение max_connections равное 1000 является рекомендуемым, при необходимости можно установить и большее значение.

[5] Подробное описание приведено в официальной документации на Postgres Pro, размещённой по адресу https://postgrespro.ru/docs

[6] Команды ниже приведена для 16-ой версии Postgres Pro.

[7] Расположение файла указано для 16 версии Postgres Pro, для поиска можно использовать команду sudo find / -type f -name postgresql.conf

[8] Значение max_connections равное 1000 является рекомендуемым, при необходимости можно установить и большее значение.

[9] Подробное описание приведено в официальной документации на Jatoba, размещённой по адресу https://www.gaz-is.ru/produkty/inform-sistemy/subd-jatoba.html#materialy

[10] Значение max_connections равное 1000 является рекомендуемым, при необходимости можно установить и большее значение.

Установка веб сервера

ОС Альт Сервер поддерживает веб‑сервер Nginx, который обеспечивает сертифицированную среду функционирования. Веб‑сервер Nginx устанавливается из основного репозитория сертифицированной ОС.

Также в качестве веб‑сервера можно использовать Apache, но он устанавливается из расширенного репозитория. Использовании веб‑сервера Apache приведёт к потере сертифицированной среды функционирования.

Установка веб‑сервера Apache

Внимание! Использование веб‑сервера Apache приведёт к потере сертифицированной среды функционирования.

Для установки веб‑сервера Apache:

  • Установите пакет, выполнив команду с правами суперпользователя (от имени пользователя root, либо с использованием sudo):
sudo apt‑get install apache2‑mod_http2
  • Установите модуль ssl, выполнив команду с правами суперпользователя (от имени пользователя root, либо с использованием sudo):
sudo apt‑get install apache2‑mod_ssl
  • Создайте файлы:
    • /etc/httpd2/conf/mods‑available/http2.load, выполнив команду с правами суперпользователя:
sudo nano /etc/httpd2/conf/mods‑available/http2.load

Внесите следующий текст в созданный файл:

LoadModule http2_module /usr/lib64/apache2/modules/mod_http2.so
    • /etc/httpd2/conf/mods‑available/http2.conf выполнив команду с правами суперпользователя:
sudo nano /etc/httpd2/conf/mods‑available/http2.conf

Внесите следующий текст в созданный файл:

# mod_http2 doesn't work with mpm_prefork
 
<IfModule !mpm_prefork>
 
    Protocols h2 h2c http/1.1
 
</IfModule>
  • Активируйте модули, выполнив поочередно команды:
sudo a2enmod ssl
 
sudo a2enmod proxy
 
sudo a2enmod proxy_http
 
sudo a2enmod headers
 
sudo a2enmod cgi
 
sudo a2enmod rewrite
 
sudo a2enmod http2
  • Включите https порт по умолчанию, выполнив команду с правами суперпользователя:
sudo a2enport https

Установка веб‑сервера Nginx

Для установки веб‑сервера Nginx:

  • Установите пакет из официального репозитория ОС, выполнив команду с правами суперпользователя:
sudo apt‑get install nginx
  • Запустите установленный веб‑сервер, выполнив команду:
sudo systemctl start nginx
  • Добавьте веб‑сервер в автозагрузку, выполнив команду:
sudo systemctl enable nginx

Установка веб сервера Cpnginx

Пакеты веб‑сервера cpnginx расположены в дистрибутиве СКЗИ «КриптоПро CSP». Установка веб‑сервера выполняется после установки СКЗИ «КриптоПро CSP» (см. приложение Приложение 4. Настройка взаимодействия с криптопровайдером СКЗИ «КриптоПро CSP»).

Порядок установки веб‑сервера cpnginx:

  • распакуете архив с дистрибутивом СКЗИ «КриптоПро CSP» командой:
tar ‑zxf <имя_дистрибутива>.tgz && cd <имя_дистрибутива>
  • установите следующие пакеты:
    • для ОС Astra Linux SE командой sudo dpkg ‑i <наименование пакета>.deb:
      • cprocsp‑nginx‑64_5.0.13000‑7_amd64.deb;
      • lsb‑cprocsp‑rcrypt‑64_5.0.13300‑7_amd64.deb;
      • cprocsp‑pki‑plugin‑64_2.0.15000‑1_amd64.deb.
    • для ОС РЕД ОС командой sudo dnf install <наименование пакета>.rpm:
      • cprocsp‑nginx‑64‑5.0.13000‑7.x86_64.rpm;
      • lsb‑cprocsp‑rcrypt‑64‑5.0.13000‑7.x86_64.rpm.
    • для ОС Альт Сервер командой sudo apt‑get install <наименование пакета>.rpm:
      • cprocsp‑nginx‑64‑5.0.13000‑7.x86_64.rpm;
      • lsb‑cprocsp‑rcrypt‑64‑5.0.13000‑7.x86_64.rpm.
  • установите на СКЗИ «КриптоПро CSP» соответствующую лицензию (TLS‑сервер) командой:
sudo /opt/cprocsp/sbin/amd64/cpconfig ‑license ‑set "Номер лицензии"
  • выполните проверку активации лицензии командой:
sudo /opt/cprocsp/sbin/amd64/cpconfig ‑license ‑view
  • Запустите установленный веб‑сервер, выполнив команду:
sudo systemctl start cpnginx.service
  • Добавьте веб‑сервер в автозагрузку, выполнив команду:
sudo systemctl enable cpnginx.service