Перед установкой eCA-VA необходимо выполнить подготовку сервера, где предполагается развертывание eCA-VA, в соответствии с разделом 3 настоящего руководства.

Распаковка инсталляционного комплекта

Распакуйте инсталляционный rpm/deb-пакет, находясь в папке, где расположен пакет, выполнив команду:

Инсталляционный rpm/deb-пакет будет автоматически распакован в директорию /opt/aecaVa.

Структура распакованного инсталляционного rpm/deb-пакета eCA-VA приведена в  таблице Таблица 4.

Таблица 4 – Структура распакованного инсталляционного rpm/deb-пакета eCA-VA

Владельцем распакованных файлов будет являться пользователь «root», другие пользователи не будут иметь прав доступа к инсталляционному комплекту.

Поддержка активного режима замкнутой программной среды в ОС Astra Linux Special Edition

eCA-VA обеспечивает работу ОС Astra Linux Special Edition 1.7 и Astra Linux Special Edition 1.8 в активном режиме замкнутой программной среды (далее – ЗПС). Для этого в состав установочных пакетов eCA-VA включен публичный открытый ключ АО «Аладдин Р.Д.» — aladdin_pub.key. После распаковки установочного пакета ключ находится в каталоге /opt/aecaVa/digsig/keys/aladdin_pub.key.

Для обеспечения режима ЗПС открытый ключ необходимо переместить в каталог /etc/digsig/keys/.

Настройка параметров

Настраиваемые параметры конфигурационного файла /opt/aecaVa/scripts/config.sh позволяют задавать:

• параметры конфигурации развёртывания сервисов eCA-VA;
• параметры конфигурации eCA-VA;
• параметры конфигурации сертификата технического Центра сертификации и сертификата пользователя (администратора) eCA-VA, создаваемого по умолчанию в процессе развёртывания сервера eCA-VA;
• конфигурацию базы данных.

Для настройки параметров отредактируйте конфигурационный файл /opt/aecaVa/scripts/config.sh.  Параметры конфигурации приведены в таблице Таблица 5.

Таблица 5 – Параметры конфигурации

Для обеспечения аутентификации в eCA-VA  субъектов домена, к которому подключен eCA-VA и eCA-CA, укажите необходимые значения параметров в конфигурационном файле /opt/aecaVa/scripts/config.sh:

• kerberos_enabled – для активации аутентификации по билету Kerberos, параметр должен иметь значение true;
• session_max_count – предельное количества сессий для учетных записей ресурсной системы;
• kerberos_service_principal – имя принципала, для которого выпущен файл http.keytab; должно совпадать с именем хоста компьютера, на котором запускается eCA-VA; создается в ресурсной системе);
• kerberos_keytab_location – место размещения файла http.keytab для имени принципала хоста, на котором размещается eCA-VA;
• kerberos_krb5_location – путь к файлу krb5.conf хоста, на котором размещается eCA-VA;
• kerberos_ad_domain – имя домена;
• kerberos_ad_server – имя сервера контроллера домена;
• resource_type – тип ресурсной системы;
• resource_base_dn – должен указывать на организационную единицу в ресурсной системе, ограничивая аутентификацию субъектами данной ресурсной системы;
• ldap_enabled – для активации аутентификации по доменным логину и паролю, параметр должен иметь значение true.

Пример настройки параметров для обеспечения аутентификации субъектов домена:

kerberos_enabled=’true’

session_max_count=’100’

kerberos_service_principal=’HTTP/va-22.ms.ad.aldn@MS.AD.ALDN’

kerberos_keytab_location=’/opt/va-22/pki_admin_http.keytab’

kerberos_krb5_location=’/etc/krb5.conf’

kerberos_ad_domain=’MS.AD.ALDN’

kerberos_ad_server=’ldap://dc1.ms.ad.aldn’

resource_type=’MS_AD’

resource_base_dn=’dc=ms,dc=ad,dc=aldn’

ldap_enabled=’true’

[1] Инструкция по установке и настройке cpnginx - https://support.cryptopro.ru/index.php?/Knowledgebase/Article/View/440/0/nginx-gost-binary-packages. Описание порядка конфигурирования наборов шифров представлено в разделе 6.

Установка eCA-VA на отдельном сервере

Для инициализации процесса установки eCA-VA необходимо запустить скрипт с правами суперпользователя (от имени пользователя root, либо с использованием sudo):

В случае запуска от имени пользователя, не имеющего соответствующих привилегий, будет выведено сообщение, после которого работа инсталлятора завершится:

После инициализации процесса установки:

• Пользователю будет предложено (в случае, если ранее на сервере был установлен eCA-VA):
  • установить обновление eCA-VA;
  • установить eCA-VA;
  • завершить работу инсталлятора.

Подтвердите выбор действия, вводом цифры 2 и процесс установки продукта будет запущен.

• Автоматически будут созданы:
  • системный пользователь (если не существует) и соответствующая группа.
  • systemd-служба service, функционирующая от имени заданного пользователя.
• Пользователю будет предложено сформировать файлы конфигурации пакета ПО eCA-VA EJBVA из шаблонов в /opt/aecaVa/properties на основе значений, заданных при редактировании файла в /opt/aecaVa/scripts/config.sh.
• Для более тонкой настройки EJBVA возможно ручное редактирование данных файлов в соответствие с руководствами по эксплуатации EJBV Автоматически будут заменены только параметры со значением CHANGEIT:
  • при выборе пункта [Yes] будет осуществлена замена CHANGEIT на значения из конфигурационного файла /opt/aecaVa/scripts/config.sh;
  • при выборе пункта [No] будут использоваться файлы конфигурации в неизменном виде;

• • при выборе пункта [Cancel] установка будет прекращена.
• Пользователю будет предложено установить сервер приложений Java EE:
  • при выборе пункта [Yes] будет осуществлена автоматическая установка и конфигурирование входящего в комплект поставки сервера приложений Java EE Wildfly-18.0.0.Final с подробным выводом процесса установки и конфигурирования сервера приложений в консоль пользователя;
  • при выборе пункта [No] установка сервера приложений Java EE будет пропущена;

• • при выборе пункта [Cancel] установка будет прекращена.
• Пользователю будет предложено установить пакет ПО eCA-VA EJBVA CE:
  • при выборе пункта [Yes] будет осуществлена автоматическая установка и конфигурирование входящего в комплект поставки пакета ПО EJBVA CE с подробным выводом процесса установки и конфигурирования в консоль пользователя;
  • при выборе пункта [No] установка EJBVA будет пропущена;

• • при выборе пункта [Cancel] установка будет прекращена.
• Пользователю будет предложено установить eCA-VA соответствующей версии:
  • при выборе пункта [Yes] будет осуществлена автоматическая установка и конфигурирование входящего в комплект поставки eCA-VA;
  • при выборе пункта [No] установка eCA-VA будет пропущена;
  • при выборе пункта [Cancel] установка будет прекращена.
• После завершения установки в директории, выбранной в качестве пути для установки, будут содержаться:
  • файл txt (по умолчанию, расположен по пути /opt/aeca/generated_passwords.txt), содержащий все созданные и используемые пароли;
  • каталог «p12» (по умолчанию, расположен по пути /opt/aeca/p12/superadmin.p12), содержащий сертификат «Администратора Инициализации», необходимый для дальнейшей аутентификации через Web.
• В процессе установки в случае возникновения ошибки установка будет прекращена, сообщение об ошибке будет выведено в консоль пользователя.
• Так как предусмотрен модульный процесс установки, возможны различные варианты установки:
  • возможно использование заранее подготовленных файлов настроек пакета ПО eCA-VA EJBVA;
  • если в каталоге «properties» уже находятся файлы конфигурации, необходимые пользователю, то при установке возможно пропустить шаг их формирования, ответив отрицательно за запрос инсталлятора;
  • возможно использование заранее подготовленного и корректно настроенного существующего сервера приложений WildFly. Для этого путь, по которому он размещён, должен соответствовать пути, описанному в sh. При установке возможно пропустить данный шаг, ответив отрицательно на запрос инсталлятора;
  • возможно использование заранее подготовленного и корректно настроенного установленного пакета ПО EJBCA, если путь, по которому он размещён, соответствует пути, описанному в sh. При установке возможно пропустить данный шаг, ответив отрицательно за запрос инсталлятора.
  • каждый шаг установки можно выполнить отдельно или повторно, запустив соответствующий скрипт, выполнив команду:

•  В случае отсутствия config.sh или наличие ошибок в config.sh каждый скрипт установки содержит определённые по умолчанию значения, достаточные для его автономной работы.

Подключение к веб-интерфейсу

Общие сведения

Веб-интерфейс Центра валидации представляется собой графический интерфейс в виде совокупности динамических веб‑страниц, отображаемых в веб-браузере. Веб-интерфейс реализован клиентским компонентом Центра валидации и предназначен для управления серверным компонентом Центра валидации.

Канал управления является защищенным — организован по протоколу HTTPS/TLS с двусторонней аутентификацией и шифрованием передаваемых данных. Идентификация и аутентификация пользователей выполняется по предъявленному сертификату, который должен быть предварительно установлен в хранилище веб‑браузера или хранилище сертификатов используемой ОС. Пример установки сертификата администратора из контейнера закрытого ключа PKCS#12 приведен в подразделе 4.5.2.

При использовании СКЗИ «КриптоПро CSP» канал взаимодействия клиентского и серверного компонента Центра валидации должен быть организован по протоколу TLS ГОСТ с использованием отечественных криптографических алгоритмов. Для этого на компьютере, предназначенном для подключения к веб-интерфейсу, должны быть выполнены следующие действия:

• Установлен криптопровайдер СКЗИ «КриптоПро CSP» в соответствии с инструкцией, описанной в разделе 2 документа «СКЗИ «КриптоПро CSP». Руководство администратора безопасности. Использование СКЗИ под управлением ОС Linux» ЖТЯИ.00101-03 91 03.
• Установлена клиентская лицензия СКЗИ «КриптоПро CSP», дающая право использовать двустороннюю аутентификацию по протоколу TLS. Порядок установки лицензии описан в разделе 4 документа «СКЗИ «КриптоПро CSP». Руководство администратора безопасности. Использование СКЗИ под управлением ОС Linux» ЖТЯИ.00101‑03 91 03.
• Сертификат учетной записи администратора для взаимодействия с Центром сертификации из контейнера закрытого ключа PKCS#12, выпущенного с использованием алгоритмов ГОСТ, должен быть установлен в личное хранилище пользователя с помощью утилиты cptools из состава СКЗИ «КриптоПро CSP». Порядок установки сертификата из контейнера закрытого ключа приведен в подразделе 2.6.5 документа «СКЗИ «КриптоПро CSP». Инструкция по использованию графического приложения Инструменты КриптоПро (cptools)» ЖТЯИ.00101‑03 92 06.
• Установлен веб-браузер Chromium с поддержкой TLS ГОСТ из состава используемой сертифицированной ОС. Данный веб-браузер входит в состав базовых репозиториев ОС Astra Linux SE, Альт Сервер и РЕД ОС.

Установка сертификата администратора

Для первичной настройки программного комплекса необходимо установить сертификат учётной записи администратора Центра сертификации, к которому подключён Центр валидации, в доверенное хранилище сертификатов веб-браузера[1].

Процесс установки сертификата рассмотрим на примере браузера Firefox:

• Откройте браузер Firefox / Настройки / Приватность и Защита / Сертификаты (см. рисунок Рисунок 1). Нажмите кнопку <Просмотр сертификатов>.

Рисунок 1 – Окно настроек браузера

• Выберите вкладку «Ваши сертификаты», в открывшейся вкладке нажмите кнопку <Импортировать> (см. рисунок Рисунок 2).

Рисунок 2 – Окно управления сертификатами

• Выберите предварительно подготовленный файл сертификата, подписанный Центром сертификации. Нажмите кнопку <Открыть> (см. рисунок Рисунок 3).

Рисунок 3 – Окно выбора импортируемого файла сертификата

• Введите PIN-код сертификата доступа в открывшемся окне и нажмите кнопку <OK> (см. рисунок Рисунок 4).

Рисунок 4 – Окно ввода PIN-кода сертификата

• В таблице окна «Управление сертификатами» появится запись об импортированном сертификате (см. рисунок Рисунок 5). Нажать кнопку <ОК>.

Рисунок 5 – Окно «Управление сертификатами»

[1] Сертификат администратора из контейнера закрытого ключа PKCS#12, выпущенного с использованием алгоритмов ГОСТ, устанавливается в личное хранилище пользователя с помощью утилиты cptools из состава СКЗИ «КриптоПро CSP».

Подключение к веб-интерфейсу

Порядок подключения к веб-интерфейсу:

• Запустите веб-браузер и в адресной строке введите IP-адрес или доменное имя компьютера, на котором установлен Центр валидации (например, https://172.22.5.21).
• В открывшемся окне выберите импортированный сертификат для аутентификации (см. рисунок Рисунок 8). Нажмите кнопку <ОК>.

Доступ к программе

eCA-VA предоставляет возможность аутентификации в нем:

• администраторам подключённых eCA-CA[1];
• администратору инициализации eCA-VA.

eCA-VA позволяет администраторам подключённых eCA-CA аутентифицироваться в нем по сертификатам.

Для учетных записей администраторов eCA-CA, созданных на основе субъектов ресурсных систем, к которому подключен eCA-VA и данный eCA-CA аутентификация возможна:

• по имени и паролю доменного пользователя, на основе которого создана учетная запись;
• по Kerberos-билету доменного пользователя, на основе которого создана учетная запись.

eCA-VA позволяет администратору инициализации аутентифицироваться в нем по логину и паролю[2].

При обращении к пользовательскому интерфейсу eCA-VA неаутентифицированному пользователю предлагается необязательный выбор сертификата для установки двустороннего TLS-соединения. При этом выбранный пользователем сертификат в дальнейшем автоматически используется для аутентификации в eCA-VA в случае, если пользователем будет выбрана аутентификация по сертификату. В случае, если пользователем не был выбран сертификат, с веб-сервером eCA-VA устанавливается одностороннее TLS-соединение.

В пользовательском интерфейсе eCA-VA при попытке доступа неаутентифицированного пользователя после установки TLS-соединения должно отображается окно авторизации (см. рисунок Рисунок 6).

Рисунок 6 — Окно авторизации

В окне авторизации eCA-VA присутствуют:

• поле выбора подключения «Подключение». В данном поле отображаются все подключения к eCA-CA, а также вариант выбора «Локальное». Подключения к eCA-CA отображаются в списке в формате «Отображаемое имя подключения (адрес хоста подключения)», например, «Тестовое подключение (192.168.111.100)».
• поля ввода реквизитов пользователя («Имя пользователя» и «Пароль»).
• текстовый блок, содержащий имя домена, к которому подключен eCA-VA;
• кнопка «Войти» для выполнения аутентификации по введенным пользователем реквизитам.
• кнопка «Сертификат» для выполнения аутентификации пользователя по ранее выбранному для установки двустороннего TLS-соединения сертификату. Данная кнопка заблокирована, если выбрано «Локальное» подключение;
• кнопка «Kerberos» для выполнения аутентификации пользователя по Kerberos-билету. Данная кнопка заблокирована, если выбрано «Локальное» подключение.

Для аутентификации по имени и паролю администратора инициализации в окне авторизации eCA-VA:

• Выберите «Локальное» в поле «Подключение».
• Выберите INITIAL_ADMIN «Имя пользователя».
• Введите пароль в поле «Пароль».
• Нажмите кнопку «Войти».
• При необходимости введите пароль контейнера Crypto-Pro (см. рисунок Рисунок 7).

Рисунок 7 — Окно ввода пароля контейнера Crypto-Pro

Для аутентификации по сертификату в окне авторизации eCA-VA:

• Выберите подключение к eCA-CA в поле «Подключение».
• Нажмите кнопку «Сертификат».
• При необходимости введите пароль контейнера Crypto-Pro (см. рисунок Рисунок 7).

Для аутентификации по доменным имени и паролю в окне авторизации eCA-VA:

• Выберите подключение к eCA-CA в поле «Подключение».
• Введите доменное имя пользователя в поле «Имя пользователя».
• Введите доменный пароль в поле «Пароль».

Для аутентификации по Kerberos-билету:

• В терминале хоста, на котором планируется выполнить вход в интерфейс eCA-VA:
  • Получите Kerberos-билет для субъекта ресурсной системы, от имени которого должен быть осуществлен вход, путем ввода команды kinit "user_name", где "user_name" это логин субъекта ресурсной системы.
  • Проверьте получение Kerberos-билета путём ввода команды klist.
• В окне авторизации eCA-VA:
  • Выберите подключение к eCA-CA в поле «Подключение».
  • Нажмите кнопку Kerberos.

Рисунок 8 – Окно выбора сертификата

• Далее на открывшейся странице с предупреждением системы безопасности (см. рисунок Рисунок 9) нажмите кнопку <Дополнительно>, примите риск и продолжите подключение.

Рисунок 9 – Страница с предупреждением системы безопасности

• В результате вы подключитесь к веб-интерфейсу Центра валидации, где необходимо пройти аутентификацию.
• Установка Центра валидации завершена.
• Порт, используемый для защищённой связи программы с веб-браузером, 443.
• Для работы программного комплекса подключение к глобальной сети Интернет не требуется.

[1] Управление подключениями к eCA-CA осуществляется администратором инициализации в разделе «Настройки».

[2] Учётная запись администратора инициализации Aladdin eVA создается при чистой установке Aladdin eVA.