При установке Центра регистрации Aladdin eRA выполняется конфигурирование установленного в среде функционирования веб‑сервера, в результате чего для внешнего доступа открывается порт, используемый для подключения по протоколу HTTPS (по умолчанию 443). Изменение порта веб‑сервера для подключения к нему по протоколу HTTPS осуществляется путём редактирования конфигурационного файла Центра регистрации Aladdin eRA (см. раздел 4.2).

В таблице ниже (см. Таблица 3) приведен список портов, которые использует Центра регистрации Aladdin eRA. Доступ к данным портам для внешних подключений ограничивается автоматически при установке Центра регистрации Aladdin eRA с помощью утилиты «iptables» из состава ОС.

Внимание! Во избежание возникновения ошибок в работе Центра регистрации Aladdin eRA переназначение данных портов запрещено.

Таблица 3 – Таблица входящих сетевых портов

Порт

Транспорт

Протокол

Назначение

1051

TCP

HTTP

Внутренний интерфейс для подключения к внутреннему сервису «tasks‑service» (сервис заявок)

1101

TCP

HTTP

Внутренний интерфейс для подключения к внутреннему сервису «ca‑adapter‑service» (адаптер для подключения к Центру сертификации Aladdin eCA)

1201

TCP

HTTP

Внутренний интерфейс для подключения к внутреннему сервису «policies‑service» (сервис правил выпуска)

1251

TCP

HTTP

Внутренний интерфейс для подключения к внутреннему сервису «security‑service» (сервис безопасности)

1301

TCP

HTTP

Внутренний интерфейс для подключения к внутреннему сервису «routes‑service» (сервис маршрутизации)

1351

TCP

HTTP

Внутренний интерфейс для подключения к внутреннему сервису «settings‑service» (сервис настройки)

1401

TCP

HTTP

Внутренний интерфейс для подключения к внутреннему сервису «logs‑service» (сервис журнализации)

1451

TCP

HTTP

Внутренний интерфейс для подключения к внутреннему сервису «export‑service» (сервис экспорта)

1501

TCP

HTTP

Внутренний интерфейс для подключения к внутреннему сервису «middleware‑service» (связующий сервис для взаимодействия с внутренним контуром Центра регистрации Aladdin eCA)

1551

TCP

HTTP

Внутренний интерфейс для подключения к внутреннему сервису «kerberos‑provider‑service» (сервис аутентификации по kerberos)

1601

TCP

HTTP

Внутренний интерфейс для подключения к внутреннему сервису «x509‑provider‑service» (сервис аутентификации по сертификату)

1651

TCP

HTTP

Внутренний интерфейс для подключения к внутреннему сервису «external‑integration‑service» (сервис публичного API)

1701

TCP

HTTP

Внутренний интерфейс для подключения к внутреннему сервису «api‑gateway‑service» (сервис проксирования)

1751

TCP

HTTP

Внутренний интерфейс для подключения к внутреннему сервису «scep enrollment‑service» (сервис SCEP)

1801

TCP

HTTP

Внутренний интерфейс для подключения к внутреннему сервису «wstep‑enrollment‑service» (сервис WSTEP)

1851

TCP

HTTP

Внутренний интерфейс для подключения к внутреннему сервису «storage‑service» (сервис хранения файлов)

Подготовка среды функционирования для установки Центра регистрации Aladdin eRA, заключается в установке и настройке следующего ПО:

  • Зависимостей и подключение репозиториев ОС.
  • Среды исполнения Java.
  • СУБД.
  • Веб‑сервера.
  • JC‑WebClient.

Также необходимо предварительно выполнить следующие действия:

  • Включить компьютер, на котором будет выполнено установка Центра регистрации Aladdin eRA, в домен ресурсной системы (доменной службы каталогов).
  • Создать службу HTTP и keytab‑файл[1] на контроллере домена ресурсной системы (см. раздел 4).
  • Создать в Центре сертификации Aladdin eCA учетную запись с правами «Администратор» для взаимодействия Центра регистрации Aladdin eRA с Центром сертификации Aladdin eCA, выпустить для нее сертификат и выгрузить контейнер PKCS#12[2].
  • Создать в Центре сертификации Aladdin eCA субъект для веб‑сервера Центра регистрации Aladdin eRA, выпустить для него сертификат по шаблону WEB‑Server (ECA‑WEB‑server) и выгрузить контейнер PKCS#12.
  • Перенести подготовленные контейнеры PKCS#12 на компьютер, где будет выполнено развертывание Центра регистрации Aladdin eRA.

Для использования алгоритмов ГОСТ Р 34.10‑2012 и RSA Центр регистрации Aladdin eRA может взаимодействовать с криптопровайдером СКЗИ «КриптоПро CSP». В данной ситуации на Центре регистрации Aladdin eRA также необходимо применять СКЗИ «КриптоПро CSP» для:

  • Организации канала взаимодействия Серверных компонентов Центра сертификации Aladdin eCA и Центра регистрации Aladdin eRA по протоколу TLS ГОСТ.
  • Организации канала взаимодействия Клиентского и Серверного компонентов Центра регистрации Aladdin eRA по протоколу TLS ГОСТ.
  • Обеспечения TLS‑аутентификации пользователей Центра сертификации Aladdin eCA в Центре регистрации Aladdin eRA с использованием отечественных криптографических алгоритмов.
  • Подписи маркеров доступа пользователей Центра сертификации Aladdin eCA по алгоритму ГОСТ Р 34.11‑2012/34.10‑2012 256/512 Бит.

Порядок установки и настройки СКЗИ «КриптоПро CSP» представлен в Приложении 7. Установка и настройка СКЗИ «КриптоПро CSP» могут быть выполнены после установки Центра регистрации Aladdin eRA в процессе его эксплуатации.

При применении СКЗИ «КриптоПро CSP»:

  • В качестве веб‑сервера должен использоваться веб‑сервер «сpnginx» из состава СКЗИ «КриптоПро CSP». Установка веб‑сервера выполняется после установки СКЗИ «КриптоПро CSP». Порядок установки веб‑сервера «сpnginx» приведен в разделе 5. После установки веб‑сервера необходимо установить на СКЗИ «КриптоПро CSP» серверную лицензию, обеспечивающую возможность использования СКЗИ «КриптоПро CSP» в качестве TLS‑сервера.
  • Сертификаты для веб‑сервера и учетной записи для взаимодействия с Центром сертификации Aladdin eCA должны быть выпущены по алгоритму ГОСТ Р 34.11‑2012/34.10‑2012 256/512 Бит.

В зависимости от типа операционной систему сценарии подготовки частично различаются:

  • для РЕД ОС 7.3 и РЕД ОС 8 сценарий подготовки описан в разделе 3.1;
  • для Astra Linux Special Edition 1.7 и Astra Linux Special Edition 1.8 – в разделе 2;
  • для Альт Сервер 8, релиз 10 – в разделе 3.3.

[1] Keytab-файл используется для аутентификации доменных пользователей в Центре регистрации Aladdin eRA с использованием Kerberos без ввода пароля.

[2] Порядок создания субъектов и выпуска сертификатов приведен в документе «Центр сертификатов доступа Aladdin Enterprise Certificate Authority Certified Edition. Руководство администратора. Часть 2. Функции управления Центра сертификации Aladdin Enterprise Certification Authority».

Подготовка среды функционирования с ОС РЕД ОС

Подключение репозиториев и установка зависимостей

Для РЕД ОС репозитории настроены по умолчанию для скачивания из сети Интернет. Для проверки доступности и готовности к дальнейшим командам следует установить необходимые пакеты из состава ОС, выполнив команды:

sudo dnf install tar unzip iptables

При ошибке следует проверить наличие интернет‑соединения.

Если доступ к сети Интернет отсутствует, зависимости возможно установить с USB‑носителя из комплекта поставки ОС следующим образом:

  • перейдите в каталог USB‑носителя;
  • для установки зависимостей выполните команду:
sudo dnf install tar unzip iptables

Установка среды исполнения Java

Для обеспечения сертифицированной среды функционирования необходимо установить Axiom JDK Certified. В противном случае можно установить свободно распространяемое ПО, например, OpenJDK.

Установка Axiom JDK Certified

Для установки Axiom JDK Certified 17 воспользуйтесь инструкцией с официального сайта производителя.

Установка OpenJDK

Для установки OpenJDK 17 воспользуйтесь инструкцией по установке пакета «java‑17‑openjdk» с официального сайта РЕД ОС:

Установка и настройка СУБД

Выполните установку и настройку одной из нижеприведённых базы данных:

  • PostgreSQL из состава сертифицированной операционной системы.
  • Postgres Pro.
  • Jatoba.

Порядок разрешения конфликтов между СУБД PostgreSQL приведен в Приложении 1.

Порядок настройки взаимодействия с СУБД, размещенной на отдельном узле, приведен в Приложении 2.

Центр регистрации Aladdin eRA может быть настроен на взаимодействие с СУБД по протоколу TLS. Программное средство не будет функционировать, если ему не удалось установить TLS‑соединение с СУБД. Порядок настройки TLS‑соединения с СУБД приведен в Приложении 3.

Установка СУБД PostgreSQL[1]

Порядок установки СУБД PostgreSQL:

  • Установите последнюю доступную версию СУБД PostgreSQL, выполнив команду:
sudo dnf install postgresql‑server
  • Выполните установку последней доступной версии пакета postgresql‑contrib, выполнив команду:
sudo dnf install postgresql‑contrib
  • Произведите инициализацию БД, выполнив команду:
sudo postgresql‑setup ‑‑initdb

В случае ошибки Data directory in ‘/var/lib/pgsql/data’ is not empty… cледует очистить директорию командой ниже и повторить инициализацию БД:

sudo rm ‑rf /var/lib/pgsql/data
  • Запустите PostgreSQL, выполнив команду:
sudo systemctl start postgresql
  • Добавьте запуск PostgreSQL в автозагрузку, выполнив команду:
sudo systemctl enable postgresql
  • Отредактируйте файл /var/lib/pgsql/data/postgresql.conf[2] с правами администратора – установите число подключений max_connections в значение 1000[3].
  • Отредактируйте файл /var/lib/pgsql/data/pg_hba.conf[4] с правами администратора. Измените параметры для успешного локального подключения пользователя к базе данных:

host all all 127.0.0.1/32 ident 

на

host all all 127.0.0.1/32 password 

host all all ::1/128 ident 

на

host all all ::1/128 password 

  • Выполните перезапуск СУБД PostgreSQL для вступления изменений в силу, выполнив команду:
sudo systemctl restart postgresql

Установка СУБД Postgres Pro[5]

Порядок установки СУБД Postgres Pro:

  • Загрузите скрипт для добавления репозитория, выполнив команду[6]:
wget https://repo.postgrespro.ru/std‑16/keys/pgpro‑repo‑add.sh
  • Запустите скрипт, выполнив команду с правами суперпользователя (root или sudo):
sudo sh pgpro‑repo‑add.sh
  • Обновите список пакетов, выполнив команду с правами суперпользователя (root или sudo):
sudo dnf update
  • Установите Postgres Pro, выполнив команду с правами суперпользователя (root или sudo):
sudo dnf install postgrespro‑std‑16
  • Отредактируйте файл /var/lib/pgpro/std‑16/data/postgresql.conf[7] с правами администратора– установите число подключений max_connections в значение 1000[8].
  • Отредактируйте файл /var/lib/pgpro/std‑16/data/pg_hba.conf[9] с правами администратора – измените параметры для успешного локального подключения пользователя к базе данных:

host all all 127.0.0.1/32 ident 

на

host all all 127.0.0.1/32 password 

host all all ::1/128 ident 

на

host all all ::1/128 password 

  • При отсутствии создайте символические ссылки на утилиты psql и pg_dump, выполнив команды с правами суперпользователя (root или sudo):
sudo ln ‑s /opt/pgpro/std‑16/bin/psql /usr/bin/psql
 
sudo ln ‑s /opt/pgpro/std‑16/bin/pg_dump /usr/bin/pg_dump
  • Выполните перезапуск СУБД Postgres Pro для вступления изменений в силу, выполнив команду:
sudo systemctl restart postgrespro‑std‑16.service

Установка СУБД Jatoba[10]

Порядок установки СУБД Jatoba:

  • Создайте каталог /localrepo, выполнив команду:
sudo mkdir /localrepo
  • В каталог /localrepo скопируйте необходимые файлы для установки СУБД Jatoba.

Внимание! Необходимо скопировать полную структуру файлов и каталогов из дистрибутива. Также допускается установка с носителя оптической записи напрямую. В этом случае, пользователю не требуется копировать файлы, а вместо каталога «localrepo» на всех шагах установки указывать соответствующий путь до носителя оптической записи и директорию репозитория СУБД на носителе оптической записи для соответствующей ОС.

  • Дистрибутив СУБД Jatoba содержит:
    • каталог /packages;
    • каталог /repodata;
    • файл ключа RPM‑GPG‑KEY‑Jatoba.
  • Проверьте результат копирования всех файлов дистрибутива, перейдя в каталог /localrepo и выполнив команду:
ls ‑l
  • Установите открытый ключ репозитория командой:
sudo rpm ‑‑import /localrepo/RPM‑GPG‑KEY‑Jatoba
  • Создайте файл /etc/yum.repos.d/jatoba‑[версия].repo с описанием локального репозитория в системе, в котором разместите следующее описание:
[jatoba‑[версия]]
 
name=Jatoba [версия] Official Repository
 
baseurl=file:///localrepo
 
enabled=1
 
gpgcheck=0
 
gpgkey=file:///localerepo/RPM‑GPG‑KEY‑Jatoba
  • Обновите описания пакетов командой:
sudo dnf makecache
  • Установите основные пакеты СУБД Jatoba 4 командой:
sudo dnf install jatoba[версия]‑client jatoba[версия]‑contrib jatoba[версия]‑libs jatoba[версия]‑server

Пакеты jatoba[версия]‑client, jatoba[версия]‑contrib, jatoba[версия]‑libs и jatoba[версия]‑server являются обязательными для установки СУБД.

  • Перейдите в директорию расположения исполняемых файлов СУБД Jatoba посредством команды:
cd /usr/jatoba‑[версия]/bin/
  • Инициализируйте каталог данных СУБД Jatoba при помощи команды:
sudo ./jatoba‑setup initdb jatoba‑[версия]
  • Отредактируйте файл /var/lib/jatoba/[версия]/data/postgresql.conf под администратором– установите число подключений max_connections в значение 1000[11].
  • Отредактируйте файл /var/lib/jatoba/[версия]/data/pg_hba.conf под администратором. Измените параметры для успешного локального подключения пользователя к базе данных:

host all all 127.0.0.1/32 ident

на

host all all 127.0.0.1/32 password

host all all ::1/128 ident

на

host all all ::1/128 password

  • Добавьте СУБД Jatoba в автозагрузку командой:
sudo systemctl enable jatoba‑[версия]
  • Выполните перезапуск СУБД Jatoba для вступления изменений в силу, выполнив команду:
sudo systemctl restart jatoba‑[версия]

[1] Подробное описание приведено на официальном сайте производителя.

[2] Расположение файла может отличаться, для поиска можно использовать команду sudo find / -type f -name postgresql.conf

[3] Значение max_connections равное 1000 является рекомендуемым, при необходимости можно установить и большее значение.

[4] Расположение файла может отличаться, для поиска файла можно использовать команду sudo find / -type f -name pg_hba.conf

[5] Подробное описание приведено на официальном сайте производителя.

[6] Команды ниже приведены для 16-ой версии Postgres Pro.

[7] Расположение файла указано для 16 версии Postgres Pro, для поиска можно использовать команду sudo find / -type f -name postgresql.conf

[8] Значение max_connections равное 1000 является рекомендуемым, при необходимости можно установить и большее значение.

[9] Расположение файла указано для 16 версии Postgre Pro, для поиска можно использовать команду sudo find / -type f -name pg_hba.conf

[10] Подробное описание приведено на официальном сайте производителя.

[11] Значение max_connections равное 1000 является рекомендуемым, при необходимости можно установить и большее значение.

Установка веб-сервера

РЕД ОС поддерживает веб‑сервера Nginx и Apache, которые обеспечивают сертифицированную среду функционирования. Веб‑серверы устанавливаются из основного репозитория сертифицированной ОС.

Установка веб-сервера Apache

Порядок установки веб‑сервера Apache:

  • Установите пакет, выполнив команду с правами суперпользователя:
sudo dnf install httpd
  • Установите дополнительный модуль для использования протокола SSL, выполнив:
sudo dnf install mod_ssl
  • Добавьте веб‑сервер в автозагрузку, выполнив команду:
sudo systemctl enable httpd

Установка веб-сервера Nginx

Порядок установки веб‑сервера Nginx:

  • Установите пакет из официального репозитория ОС, выполнив команду:
sudo dnf install nginx
  • Запустите установленный веб‑сервер, выполнив команду:
sudo systemctl start nginx
  • Добавьте веб‑сервер в автозагрузку, выполнив команду:
sudo systemctl enable nginx

Подготовка среды функционирования с ОС Astra Linux SE

Подключение репозиториев и установка зависимостей

Подключение репозиториев и установка зависимостей Astra Linux Special Edition 1.7[1]

Порядок подключения репозиториев и зависимостей:

  • Для обновления посредством сети Интернет перед началом установки компонентов необходимо установить пути нахождения всех необходимых репозиториев[2], отредактировав файл /etc/apt/sources.list, выполнив команду:
sudo nano /etc/apt/sources.list
  • Укажите ссылки на следующие репозитории[3]:
deb https://dl.astralinux.ru/astra/frozen/1.7_x86‑64/1.7.6/repository‑main/   1.7_x86‑64 main contrib non‑free
 
deb https://dl.astralinux.ru/astra/frozen/1.7_x86‑64/1.7.6/repository‑update/ 1.7_x86‑64 main contrib non‑free
 
deb https://dl.astralinux.ru/astra/frozen/1.7_x86‑64/1.7.6/repository‑base/   1.7_x86‑64 main contrib non‑free
  • Укажите нижеприведённый репозиторий для развёртывания веб‑сервера Nginx, если не требуется обеспечение сертифицированной среды[4]:
deb https://dl.astralinux.ru/astra/frozen/1.7_x86‑64/1.7.6/repository‑extended/ 1.7_x86‑64 main contrib non‑free
  • Для установки необходимых компонентов в офлайн режиме предварительно необходимо настроить использование установочных дисков в качестве репозиториев, отредактировав файл /etc/apt/sources.list и зарегистрировать физический компакт‑диск, вставленный в привод компакт‑дисков, выполнив команду:
apt‑cdrom add

Возможно, потребуется указать имя для регистрируемого компакт‑диска, в таком случае можно указать произвольное понятное вам имя (например, MAIN для инсталляционного диска и DEVEL для диска со средствами разработки). Процедуру регистрации следует выполнить для всех дисков, на которых поставляется обновление (поочерёдно смонтировать образы или выполнить регистрацию для всех точек монтирования или поочерёдно установить диски в привод для физических дисков).

  • Выполните обновление пакетов для операционной системы из указанных репозиториев, выполнив команду:
sudo apt update
  • Для проверки доступности и готовности к дальнейшим командам следует установить необходимые пакеты из состава ОС, выполнив команды:
sudo apt install tar unzip iptables

В процессе установки в офлайн режиме может потребоваться заменить и вставить диск с нужным репозиторием («диск 1», «диск 2», «develop»).

Подключение репозиториев и установка зависимостей Astra Linux Special Edition 1.8[5]

Порядок подключения репозиториев и зависимостей:

  • Для обновления посредством сети Интернет перед началом установки компонентов необходимо установить пути нахождения всех необходимых репозиториев[6], отредактировав файл /etc/apt/sources.list, выполнив команду:
sudo nano /etc/apt/sources.list
  • Укажите ссылки на следующие репозитории[7]:
deb https://dl.astralinux.ru/astra/frozen/1.8_x86‑64/1.8.1/main‑repository/ 1.8_x86‑64 main contrib non‑free
  • Укажите нижеприведённый репозиторий для развёртывания веб‑сервера Nginx, если не требуется обеспечение сертифицированной среды[8]:
deb https://dl.astralinux.ru/astra/frozen/1.8_x86‑64/1.8.1/extended‑repository/ 1.8_x86‑64 main contrib non‑free
  • Для установки необходимых компонентов в офлайн режиме предварительно необходимо настроить использование установочных дисков в качестве репозиториев, отредактировав файл /etc/apt/sources.list и зарегистрировать физический компакт‑диск, вставленный в привод компакт‑дисков, выполнив команду:
apt‑cdrom add

Возможно, потребуется указать имя для регистрируемого компакт‑диска, в таком случае можно указать произвольное понятное вам имя (например, MAIN для инсталляционного диска и DEVEL для диска со средствами разработки). Процедуру регистрации следует выполнить для всех дисков, на которых поставляется обновление (поочерёдно смонтировать образы или выполнить регистрацию для всех точек монтирования или поочерёдно установить диски в привод для физических дисков).

  • Выполните обновление пакетов для операционной системы из указанных репозиториев, выполнив команду:
sudo apt update
  • Для проверки доступности и готовности к дальнейшим командам следует установить необходимые пакеты из состава ОС, выполнив команды:
sudo apt install tar unzip iptables

В процессе установки в офлайн режиме может потребоваться заменить и вставить диск с нужным репозиторием («диск 1», «диск 2», «develop»).

Поддержка активного режима замкнутой программной среды

Центр регистрации Aladdin eRA обеспечивает работу ОС Astra Linux Special Edition 1.7 и Astra Linux Special Edition 1.8 в активном режиме замкнутой программной среды (далее – ЗПС). Для этого в состав установочных пакетов программного комплекса включен публичный открытый ключ АО «Аладдин Р.Д.» ‑ aladdin_pub.key. После распаковки установочного пакета ключ находится в каталоге /opt/aecaRa/digsig/keys/
aladdin_pub.key.

Для обеспечения режима ЗПС открытый ключ необходимо переместить в каталог /etc/digsig/keys/.

[1] Подробнее см. на официальном сайте производителя.

[2] Ссылки на репозитории приведены для Astra Linux SE версии 1.7.6

[3] При использовании доменной службы каталогов ALD Pro необходимо указывать адреса репозиториев в соответствии с инструкцией по подготовке и присоединению хоста к домену ALD Pro.

[4] В Astra Linux SE для обеспечения сертифицированной среды Центр регистрации Aladdin eCA необходимо развёртывать с использованием веб-сервера Apache.

[5] Подробнее см. на официальном сайте производителя.

[6] Ссылки на репозитории приведены для Astra Linux SE 1.8.1

[7] При использовании доменной службы каталогов ALD Pro необходимо указывать адреса репозиториев в соответствии с инструкцией по подготовке и присоединению хоста к домену ALD Pro.

[8] В Astra Linux SE для обеспечения сертифицированной среды Центра регистрации Aladdin eRA необходимо развёртывать с использованием веб-сервера Apache

Установка среды исполнения Java

Для обеспечения сертифицированной среды функционирования необходимо установить Axiom JDK Certified. В противном случае можно установить свободно распространяемое ПО, например, OpenJDK.

Установка Axiom JDK

Для установки Axiom JDK Certified 17 воспользуйтесь инструкцией с официального сайта производителя.

Установка OpenJDK

Для установки OpenJDK 17 воспользуйтесь инструкцией по установке пакета «java‑17‑openjdk» с официального сайта Astra Linux:

Установка и настройка СУБД

Выполните установку и настройку одной из нижеприведённых базы данных:

  • PostgreSQL из состава сертифицированной ОС;
  • Postgres Pro.
  • Jatoba.

Порядок разрешения конфликтов между СУБД PostgreSQL приведен в Приложении 1.

Порядок настройки взаимодействия с СУБД, размещенной на отдельном узле, приведен в Приложении 2.

Программное средство может быть настроено на взаимодействие с СУБД по протоколу TLS. Программное средство не будет функционировать, если ему не удалось установить TLS‑соединение с СУБД. Порядок настройки TLS‑соединения с СУБД приведен в Приложении 3.

Установка СУБД PostgreSQL[1]

Порядок установки СУБД PostgreSQL:

  • Установите последнюю доступную версию СУБД PostgreSQL, выполнив команду:
sudo apt install postgresql
  • Выполните установку последней доступной версии пакета postgresql‑contrib, выполнив команду:
sudo apt install postgresql‑contrib
  • Установите пакет postgresql‑client, выполнив команду:
sudo apt install postgresql‑client
  • Запустите PostgreSQL, выполнив команду:
sudo systemctl start postgresql
  • Добавьте запуск PostgreSQL в автозагрузку, выполнив команду:
sudo systemctl enable postgresql
  • При наличии мандатных политик[2]:
    • выдайте полномочия пользователю postgres, выполнить команду:
sudo pdpl‑user ‑l 0:0 ‑i 63 postgres
    • предоставьте служебному пользователю postgres право на чтение файла, содержащего классификационную метку пользователя, поочерёдно выполнив команды:
sudo usermod ‑a ‑G shadow postgres
 
sudo setfacl ‑d ‑m u:postgres:r /etc/parsec/macdb
 
sudo setfacl ‑R ‑m u:postgres:r /etc/parsec/macdb
 
sudo setfacl ‑m u:postgres:rx /etc/parsec/macdb
  • Отредактируйте файл /etc/postgresql/11/main/postgresql.conf[3] с правами администратора– установите число подключений max_connections в значение 1000[4].
  • Выполните перезапуск СУБД PostgreSQL для вступления изменений в силу, выполнив команду:
sudo systemctl restart postgresql

Установка СУБД Postgres Pro[5]

Порядок установки СУБД Postgres Pro:

  • Загрузите скрипт для добавления репозитория, выполнив команду[6]:
wget https://repo.postgrespro.ru/std‑16/keys/pgpro‑repo‑add.sh  
  •  Запустите скрипт, выполнив команду с правами суперпользователя (root или sudo):
sudo sh pgpro‑repo‑add.sh
  • Обновите список пакетов, выполнив команду с правами суперпользователя (root или sudo):
sudo apt update
  • Установите Postgres Pro, выполнив команду с правами суперпользователя (root или sudo):
sudo apt install postgrespro‑std‑16
  • При наличии мандатных политик[7]:
    • выдайте полномочия пользователю postgres, выполнить команду:
sudo pdpl‑user ‑l 0:0 ‑i 63 postgres
    • предоставьте служебному пользователю postgres право на чтение файла, содержащего классификационную метку пользователя, поочерёдно выполнив команды:
sudo usermod ‑a ‑G shadow postgres
 
sudo setfacl ‑d ‑m u:postgres:r /etc/parsec/macdb
 
sudo setfacl ‑R ‑m u:postgres:r /etc/parsec/macdb
 
sudo setfacl ‑m u:postgres:rx /etc/parsec/macdb
  • Отредактируйте файл /var/lib/pgpro/std‑16/data/postgresql.conf[8] с правами администратора– установите число подключений max_connections в значение 1000[9].
  • При отсутствии создайте символические ссылки на утилиты psql и pg_dump, выполнив команды с правами суперпользователя (root или sudo):
sudo ln ‑s /opt/pgpro/std‑16/bin/psql /usr/bin/psql
 
sudo ln ‑s /opt/pgpro/std‑16/bin/pg_dump /usr/bin/pg_dump
  • Выполните перезапуск СУБД Postgres Pro для вступления изменений в силу, выполнив команду:
sudo systemctl restart postgrespro‑std‑16.service

Установка СУБД Jatoba[10]

Порядок установки СУБД Jatoba:

  • Создайте каталог /localrepo, выполнив команду:
sudo mkdir /localrepo
  • В каталог /localrepo скопируйте необходимые файлы для установки СУБД Jatoba.

Внимание! Необходимо скопировать полную структуру файлов и каталогов из дистрибутива. Также допускается установка с носителя оптической записи напрямую. В этом случае, пользователю не требуется копировать файлы, а вместо каталога «localrepo» на всех шагах установки указывать соответствующий путь до носителя оптической записи и директорию репозитория СУБД на носителе оптической записи для соответствующей ОС.

  • Дистрибутив СУБД Jatoba содержит:
    • каталог /pool;
    • каталог /dists;
    • файл ключа DEB‑GPG‑KEY‑Jatoba.
  • Проверьте результат копирования всех файлов дистрибутива, перейдя в каталог /localrepo и выполнив команду:
ls ‑l
  • Установите открытый ключ репозитория командой:
sudo rpm ‑‑import /localrepo/DEB‑GPG‑KEY‑Jatoba
  • Создайте файл /etc/apt/sources.list.d/jatoba‑[версия].list с описанием локального репозитория в системе, в котором разместите следующее описание:
[deb file:///localrepo stable non‑freename
  • Обновите описания пакетов командой:
sudo apt update
  • Установите основные пакеты СУБД Jatoba командой:
sudo apt install jatoba[версия]‑client jatoba[версия]‑contrib jatoba[версия]‑libs jatoba[версия]‑server

Пакеты jatoba[версия]‑client, jatoba[версия]‑contrib, jatoba[версия]‑libs и jatoba[версия]‑server являются обязательными для установки СУБД.

  • При наличии мандатных политик[11]:
    • выдайте полномочия пользователю postgres, выполнить команду:
sudo pdpl‑user ‑l 0:0 ‑i 63 postgres
    • предоставьте служебному пользователю postgres право на чтение файла, содержащего классификационную метку пользователя, поочередно выполнив команды:
sudo usermod ‑a ‑G shadow postgres
 
sudo setfacl ‑d ‑m u:postgres:r /etc/parsec/macdb
 
sudo setfacl ‑R ‑m u:postgres:r /etc/parsec/macdb
 
sudo setfacl ‑m u:postgres:rx /etc/parsec/macdb
  • Перейдите в директорию расположения исполняемых файлов СУБД Jatoba посредством команды:
cd /usr/jatoba‑[версия]/bin/
  • Инициализируйте каталог данных СУБД Jatoba при помощи команды:
sudo ./jatoba‑setup initdb jatoba‑[версия]
  • Отредактируйте файл /var/lib/jatoba/[версия]/data/postgresql.conf под администратором– установите число подключений max_connections в значение 1000[12].
  • Добавьте СУБД Jatoba в автозагрузку командой:
sudo systemctl enable jatoba‑[версия]
  • Выполните перезапуск СУБД Jatoba для вступления изменений в силу, выполнив команду:
sudo systemctl restart jatoba‑[версия]

[1] Подробное описание приведено на официальном сайте производителя.

[2] Подробная информация по аутентификации в СУБД PostgreSQL приведена на официальном сайте производителя.

[3] Расположение файла может отличаться. В инструкции расположение указано для PostgreSQL версии 11. Для поиска файла можно использовать команду sudo find / -type f -name postgresql.conf

[4] Значение max_connections равное 1000 является рекомендуемым, при необходимости можно установить и большее значение.

[5] Подробное описание приведено на официальном сайте производителя.

[6] Команды ниже приведены для Postgres Pro версии 16.

[7] Подробная информация по аутентификации в СУБД PostgreSQL приведена на официальном сайте производителя.

[8] Расположение файла указано для 16 версии Postgres Pro, для поиска можно использовать команду sudo find / -type f -name postgresql.conf

[9] Значение max_connections равное 1000 является рекомендуемым, при необходимости можно установить и большее значение.

[10] Подробное описание приведено на официальном сайте производителя.

[11] Подробная информация по аутентификации в СУБД PostgreSQL для Astra Linux Special Edition приведена в https://wiki.astralinux.ru/pages/viewpage.action?pageId=238751148

[12] Значение max_connections равное 1000 является рекомендуемым, при необходимости можно установить и большее значение.

Установка веб-сервера

Для обеспечения сертифицированной среды функционирования необходимо установить веб‑сервер Apache из основного репозитория сертифицированной ОС. В противном случае можно установить веб‑сервер Nginx.

Установка веб-сервера Apache

Порядок установки веб‑сервера Apache:

  • Установите пакет, выполнив команду:
sudo apt install apache2
  • Активируйте модули, выполнив поочерёдно команды:
sudo a2enmod ssl
 
sudo a2enmod proxy
 
sudo a2enmod proxy_http
 
sudo a2enmod headers
 
sudo a2enmod cgi
 
sudo a2enmod rewrite
 
sudo a2enmod http2
  • Перезагрузите веб‑сервер, выполнив команду:
sudo systemctl restart apache2
  • Добавьте веб‑сервер в автозагрузку, выполнив команду:
sudo systemctl enable apache2
  • Для проверки корректности запуска модулей выполните команду:
sudo apachectl ‑M | grep ‑E 'ssl|proxy|proxy_http|headers|cgi|rewrite|http2'

Установка веб-сервера Nginx

Порядок установки веб‑сервера Nginx:

Внимание! При выборе веб‑сервера Nginx требуется расширить репозиторий операционной системы, что приведёт к потере сертифицированной среды функционирования.

  • Установите пакет из расширенного репозитория ОС, выполнив команду с правами суперпользователя:
sudo apt install nginx
  • Запустите установленный веб‑сервер, выполнив команду:
sudo systemctl start nginx
  • Добавьте веб‑сервер в автозагрузку, выполнив команду:
sudo systemctl enable nginx

Подготовка среды функционирования с Альт Сервер

Подключение репозиториев и установка зависимостей

Для развёртывания Центра регистрации Aladdin eRA с использованием веб‑сервера Apache[1] перед началом установки компонента необходимо установить путь нахождения необходимого репозитория, отредактировав файл /etc/apt/sources.list, выполнив команду:

sudo nano /etc/apt/sources.list.d/aptsp.list

Укажите ссылку на следующий репозиторий:

rpm [cert8] http://update.altsp.su/pub/distributions/ALTLinux c10f/branch/x86_64‑i586 classic

После этого обновите список доступных пакетов, выполнив команду:

sudo apt‑get update

[1] Для обеспечения сертифицированной среды Центра регистрации Aladdin eRA необходимо развёртывать с использованием веб-сервера Nginx в операционной системе Альт Сервер 8, релиз 10

Установка среды исполнения Java

Для обеспечения сертифицированной среды функционирования необходимо установить Axiom JDK Certified. В противном случае можно установить свободно распространяемое ПО, например, OpenJDK.

Установка Axiom JDK Certified

Для установки Axiom JDK Certified 17 воспользуйтесь инструкцией с официального сайта производителя.

Установка OpenJDK

Для установки OpenJDK 17 воспользуйтесь инструкцией по установке пакета «java‑17‑openjdk» с официального сайта Альт Сервер.

Установка и настройка СУБД

Выполните установку и настройку одной из нижеприведённых базы данных:

  • PostgreSQL из состава сертифицированной ОС.
  • Postgres Pro.
  • Jatoba.

Порядок разрешения конфликтов между СУБД PostgreSQL приведен в Приложении 1.

Порядок настройки взаимодействия с СУБД, размещенной на отдельном узле, приведен в Приложении 2.

Программное средство может быть настроено на взаимодействие с СУБД по протоколу TLS. Программное средство не будет функционировать, если ему не удалось установить TLS‑соединение с СУБД. Порядок настройки TLS‑соединения с СУБД приведен в Приложении 3.

Установка СУБД PostgreSQL[1]

Порядок установки СУБД PostgreSQL:

  • Установите последнюю доступную версию СУБД PostgreSQL, выполнив команду[2]:
sudo apt‑get install postgresql15‑server
  • Выполните установку последней доступной версии пакета postgresql‑contrib, выполнив команду:
sudo apt‑get install postgresql15‑contrib
  • Установите пакет postgresql, выполнив команду:
sudo apt‑get install postgresql15
  • Произведите инициализацию БД, выполнив команду:
sudo /etc/init.d/postgresql initdb

В случае ошибки Data directory in ‘/var/lib/pgsql/data’ is not empty… cледует очистить директорию командой ниже и повторить инициализацию БД.

sudo rm ‑rf /var/lib/pgsql/data
  • Запустите PostgreSQL, выполнив команду:
sudo systemctl start postgresql
  • Добавьте запуск PostgreSQL в автозагрузку, выполнив команду:
sudo systemctl enable postgresql
  • Отредактируйте файл /var/lib/pgsql/15/data/postgresql.conf[3] с правами администратора – установите число подключений max_connections в значение 1000[4].
  • Выполните перезапуск СУБД PostgreSQL для вступления изменений в силу, выполнив команду:
sudo systemctl restart postgresql

Установка СУБД Postgres Pro[5]

Порядок установки СУБД Postgres Pro:

  • Загрузите скрипт для добавления репозитория, выполнив команду[6]:
wget https://repo.postgrespro.ru/std‑16/keys/pgpro‑repo‑add.sh
  • Запустите скрипт, выполнив команду с правами суперпользователя (root или sudo):
sudo sh pgpro‑repo‑add.sh
  • Обновите список пакетов, выполнив команду с правами суперпользователя (root или sudo):
sudo apt‑get update
  • Установите Postgres Pro, выполнив команду с правами суперпользователя (root или sudo):
sudo apt‑get install postgrespro‑16‑std
  • Отредактируйте файл /var/lib/pgpro/std‑16/data/postgresql.conf[7] с правами администратора– установите число подключений max_connections в значение 1000[8].
  • При отсутствии создайте символические ссылки на утилиты psql и pg_dump, выполнив команды с правами суперпользователя (root или sudo):
sudo ln ‑s /opt/pgpro/std‑16/bin/psql /usr/bin/psql
 
sudo ln ‑s /opt/pgpro/std‑16/bin/pg_dump /usr/bin/pg_dump
  • Выполните перезапуск СУБД Postgres Pro для вступления изменений в силу, выполнив команду:
sudo systemctl restart postgrespro‑std‑16.service

Установка СУБД Jatoba[9]

Порядок установки СУБД Jatoba:

  • Создайте каталог /localrepo, выполнив команду:
sudo mkdir /localrepo
  • В каталог /localrepo скопируйте необходимые файлы для установки СУБД Jatoba.

Внимание! Необходимо скопировать полную структуру файлов и каталогов из дистрибутива. Также допускается установка с носителя оптической записи напрямую. В этом случае, пользователю не требуется копировать файлы, а вместо каталога «localrepo» на всех шагах установки указывать соответствующий путь до носителя оптической записи и директорию репозитория СУБД на носителе оптической записи для соответствующей ОС.

  • Дистрибутив СУБД Jatoba содержит:
    • каталог /base;
    • каталог /RPMS.classic;
    • файл ключа RPM‑GPG‑KEY‑Jatoba.
  • Проверьте результат копирования всех файлов дистрибутива, перейдя в каталог /localrepo и выполнив команду:
ls ‑l
  • Установите открытый ключ репозитория командой:
sudo rpm ‑‑import /localrepo/RPM‑GPG‑KEY‑Jatoba
  • Создайте файл //etc/apt/sources.list.d/jatoba‑[версия].list].repo с описанием локального репозитория в системе, в котором разместите следующее описание:
rpm file:///localrepo x86_64 classic
  • Обновите описания пакетов командой:
sudo apt‑get update
  • Установите основные пакеты СУБД Jatoba 4 командой:
sudo apt‑get install jatoba[версия]‑client jatoba[версия]‑contrib jatoba[версия]‑libs jatoba[версия]‑server

Пакеты jatoba[версия]‑client, jatoba[версия]‑contrib, jatoba[версия]‑libs и jatoba[версия]‑server являются обязательными для установки СУБД.

  • Перейдите в директорию расположения исполняемых файлов СУБД Jatoba посредством команды:
cd /usr/jatoba‑[версия]/bin/
  • Инициализируйте каталог данных СУБД Jatoba при помощи команды:
sudo ./jatoba‑setup initdb jatoba‑[версия]
  • Отредактируйте файл /var/lib/jatoba/[версия]/data/postgresql.conf под администратором– установите число подключений max_connections в значение 1000[10].
  • Отредактируйте файл /var/lib/jatoba/[версия]/data/pg_hba.conf под администратором. Измените параметры для успешного локального подключения пользователя к базе данных:

host all all 127.0.0.1/32 ident

на

host all all 127.0.0.1/32 password

host all all ::1/128 ident

на

host all all ::1/128 password

  • Добавьте СУБД Jatoba в автозагрузку командой:
sudo systemctl enable jatoba‑[версия]
  • Выполните перезапуск СУБД Jatoba для вступления изменений в силу, выполнив команду:
sudo systemctl restart jatoba‑[версия]

[1] Подробное описание приведено на официальном сайте производителя.

[2] Команды ниже приведены для версии PostgreSQL версии 15.

[3] Расположение файла может отличаться. В инструкции расположение указано для 15 версии PostgreSQL. Для поиска можно использовать команду sudo find / -type f -name postgresql.conf

[4] Значение max_connections равное 1000 является рекомендуемым, при необходимости можно установить и большее значение.

[5] Подробное описание приведено на официальном сайте производителя.

[6] Команды ниже приведены для Postgres Pro версии 16.

[7] Расположение файла указано для Postgres Pro версии 16, для поиска файла можно использовать команду sudo find / -type f -name postgresql.conf

[8] Значение max_connections равное 1000 является рекомендуемым, при необходимости можно установить и большее значение.

[9] Подробное описание приведено на официальном сайте производителя.

[10] Значение max_connections равное 1000 является рекомендуемым, при необходимости можно установить и большее значение.

Установка веб-сервера

Для обеспечения сертифицированной среды функционирования необходимо установить веб‑сервер Nginx из основного репозитория сертифицированной ОС. В противном случае можно установить веб‑сервер Nginx.

Установка веб-сервера Apache

Порядок установки веб‑сервера Apache:

Внимание! Использование веб‑сервера Apache приведёт к потере сертифицированной среды функционирования.

  • Установите пакет, выполнив команду с правами суперпользователя (от имени пользователя root, либо с использованием sudo):
sudo apt‑get install apache2‑mod_http2
  • Установите модуль SSL, выполнив команду с правами суперпользователя (от имени пользователя root, либо с использованием sudo):
sudo apt‑get install apache2‑mod_ssl
  • Создайте файлы:
    • /etc/httpd2/conf/mods‑available/http2.load, выполнив команду с правами суперпользователя:
sudo nano /etc/httpd2/conf/mods‑available/http2.load
    • Внесите следующий текст в созданный файл:
LoadModule http2_module /usr/lib64/apache2/modules/mod_http2.so
    • /etc/httpd2/conf/mods‑available/http2.conf выполнив команду с правами суперпользователя:
sudo nano /etc/httpd2/conf/mods‑available/http2.conf
    • Внесите следующий текст в созданный файл:
# mod_http2 doesn't work with mpm_prefork
 
<IfModule !mpm_prefork>
 
    Protocols h2 h2c http/1.1
 
</IfModule>
  • Активируйте модули, выполнив поочерёдно команды:
sudo a2enmod ssl
 
sudo a2enmod proxy
 
sudo a2enmod proxy_http
 
sudo a2enmod headers
 
sudo a2enmod cgi
 
sudo a2enmod rewrite
 
sudo a2enmod http2
  • Включите https порт по умолчанию, выполнив команду с правами суперпользователя:
sudo a2enport https

Установка веб-сервера Nginx

Порядок установки веб‑сервера Nginx:

  • Установите пакет из расширенного репозитория ОС, выполнив команду с правами суперпользователя:
sudo apt‑get install nginx
  • Запустите установленный веб‑сервер, выполнив команду:
systemctl start nginx
  • Добавьте веб‑сервер в автозагрузку, выполнив команду:
sudo systemctl enable nginx

Создание службы HTTP и keytab‑файла

Предварительно на Центре регистрации Aladdin eRA должен быть настроен Kerberos (должен быть настроен файл krb5.conf, рекомендуемое расположение /etc/krb5.conf).

При изменении http‑службы или при подключении Центре регистрации Aladdin eRA к другому домену необходимо заменять keytab‑файл.

Получение keytab файла в Samba DC и Альт Домен

  • Подключитесь к контроллеру домена Samba DC (Альт Домен), например, по ssh, выполнив команду:
ssh <username>@<ip_adress>

где <username> – логин пользователя, на котором развёрнут контроллер домена, <ip‑adress> – IP‑адрес контроллера домена.

Если на контроллере домена используется нестандартный порт SSH, команда изменится:

ssh username@ip_adress ‑p 22

где 22 – порт, по которому будет произведено подключение по SSH.

После ввода команды система запросит подтверждение подключения (необходимо ввести yes и нажать Enter) и пароль пользователя. После ввода нажмите клавишу Enter — откроется SSH‑соединение.

  • Перейдите в режим суперпользователя, выполнив команду:
su
  • Cоздайте пользователя‑службу, который будет использоваться для авторизации в LDAP, выполнив команду[1]:
samba‑tool user create ‑‑random‑password <имя пользователя‑службы>
  • Разблокируйте созданного пользователя, выполнив команду:
samba‑tool user setexpiry <имя пользователя‑службы> ‑‑noexpiry
  • Получите Kerberos‑билет для администратора домена, выполнив команду:
kinit <имя администратора домена>@<домен в верхнем регистре>
  • Расширьте для созданного пользователя‑службы доступные поддерживаемые алгоритмы шифрования, выполнив команду[2]:
net ads enctypes set <имя пользователя‑службы> 28 ‑U administrator
  • Привяжите к пользователю‑службе SPN HTTP‑службы, выполнив команду:
samba‑tool spn add HTTP/<имя настраиваемого клиента>.<домен> <имя пользователя‑службы>

где <имя настраиваемого клиента> – имя хоста, на котором производится установка Центра регистрации Aladdin eRA.

  • Измените UPN пользователя‑службы, выполнив команду:
samba‑tool user rename <имя пользователя‑службы> ‑‑upn=HTTP/<имя настраиваемого клиента>.<домен>@<ДОМЕН>

где <имя настраиваемого клиента> – имя компьютера, на котором производится установка Центра регистрации Aladdin eRA.

  • Экспортируйте Kerberos‑билет пользователя‑службы в keytab (можно экспортировать в любое удобное расположение):
samba‑tool domain exportkeytab <расположение keytab‑файла>/http.keytab ‑‑principal=HTTP/<имя настраиваемого клиента>.<домен>

где <имя настраиваемого клиента> – имя хоста, на котором производится установка Центра регистрации Aladdin eRA.

  • Скопируйте созданный на предыдущем шаге keytab‑файл на настраиваемый клиент по пути /etc/http.keytab (рекомендованный путь расположения keytab‑файла), выполнив команду:
scp <путь к файлу> <имя пользователя>@<имя хоста(ip‑адрес)>:<путь к файлу>

где

    • <путь к файлу>– путь к созданному keytab‑файлу;
    • <имя пользователя>– имя пользователя хоста, на котором производится установка Центра регистрации Aladdin eRA;
    • <имя сервера(ip‑адрес)>– укажите имя или IP‑адрес хоста, на котором производится установка Центра регистрации Aladdin eRA;
    • <путь к файлу>– укажите каталог хоста Центра регистрации Aladdin eRA, в который требуется скопировать keytab‑файл.

Пример:

scp /home/user/http.keytab admin@172.22.5.23:/etc
  • Измените права на полученный keytab‑файл, выполнив команду:
sudo chmod 666 /etc/http.keytab

[1] При подключении нескольких Центров регистрации Aladdin eRA к одному контроллеру домена рекомендуется создать пользователя-службу для каждого Центра регистрации Aladdin eRA.

[2] В команде ниже administrator – это пользователь с правами администратора.

Получение keytab файла в ALD PRO

  • На контроллере домена авторизуйтесь в UI‑интерфейсе ALD PRO, выполнив ввод в адресную строку браузера:
https://<имя контроллера домена>/ad/ui/#/
  • Перейдите в раздел «Управление доменом» ‑> «Службы и параметры Kerberos», выбрав соответствующие кнопки на экранной форме, или выполните ввод в адресную строку браузера:
https://<имя контроллера домена>/ad/ui/#/domainmgmt/kerberos/services
  • Создайте новую службу, нажав кнопку <+Новая служба>, выбрав класс службы – HTTP, имя компьютера ‑ настраиваемый клиент, на который производится установка Центра регистрации Aladdin eRA. Сохраните изменения, нажав кнопку <Да> всплывающего окна.
  • Получите Kerberos‑билет администратора домена, выполнив команду:
kinit <имя администратора домена>
  • Экспортируйте Kerberos‑билет HTTP‑службы на настраиваемый клиент по рекомендованному пути /etc/http.keytab, выполнив команду:
sudo ipa‑getkeytab ‑s <имя контроллера домена>.<домен> ‑p HTTP/<имя настраиваемого клиента>.<домен>@<ДОМЕН> ‑k /etc/http.keytab
  • Измените права на созданный keytab‑файл (доступ на чтение и перезапись для всех), выполнив команду:
sudo chmod 666 /etc/http.keytab

где /etc/http.keytab – путь размещения http.keytab‑файла.

Получение keytab файла в Free IPA

  • На контроллере домена авторизуйтесь в UI‑интерфейсе Free IPA, выполнив ввод в адресную строку браузера:
https://<имя контроллера домена>/ipa/ui/#/
  • Перейдите в раздел «Идентификация»‑>«Службы», выбрав соответствующие кнопки на экранной форме, или выполните ввод в адресную строку браузера:
https://<имя контроллера домена>/ipa/ui/#/e/service/search
  • Создайте новую службу, нажав кнопку <+Добавить>, выбрав класс службы – HTTP, имя узла – настраиваемый клиент, на который производится установка Центра регистрации Aladdin eRA. Сохраните изменения, нажав кнопку <Да> всплывающего окна.
  • Получите Kerberos‑билет администратора домена, выполнив команду:
sudo kinit <имя администратора домена>
  • Экспортируйте Kerberos‑билет HTTP‑службы на настраиваемый клиент (хост, подготавливаемый для установки Центра регистрации Aladdin eRA) по рекомендованному пути /etc/http.keytab, выполнив команду:
sudo ipa‑getkeytab ‑s <имя контроллера домена>.<домен> ‑p HTTP/<имя настраиваемого клиента>.<домен>@<ДОМЕН> ‑k /etc/http.keytab
  • Изменить права на созданный keytab‑файл (доступ на чтение и перезапись для всех), выполнив команду:
sudo chmod 666 /etc/http.keytab

Получение keytab файла в MS AD

  • На контроллере домена MS AD запустите консоль управления «Active Directory Users and Computers» (ADUC).
  • Создайте пользователя‑службу, который будет использоваться для валидации Kerberos‑билетов, например в организационном юните «Users».
  • После создания пользователя‑службы включите для него на вкладке «Свойства» ‑ «Учётная запись» в поле «Параметры учётной записи» следующие параметры (остальные параметры должны быть отключены):
    • запретить смену пароля пользователем;
    • срок действия пароля не ограничен;
    • данная учётная запись поддерживает 128‑разрядное...;
    • данная учётная запись поддерживает 256‑разрядное...
  • Привяжите SPN создаваемой HTTP‑службы к созданному пользователю и хосту, с одновременным созданием keytab‑файла (можно экспортировать в любое удобное расположение, например в keytab). Для этого выполните команду из командной строки PowerShell:
ktpass ‑princ HTTP/<имя настраиваемого клиента>.<домен>@<ДОМЕН> ‑mapuser <имя пользователя‑службы> ‑pass <пароль пользователя‑службы> ‑ptype KRB5_NT_PRINCIPAL ‑out <расположение keytab‑файла>/http.keytab ‑crypto all

где <имя настраиваемого клиента> – имя хоста, на котором производится установка Центра регистрации Aladdin eRA.

Установка веб-сервера Cpnginx

Пакеты веб‑сервера cpnginx расположены в дистрибутиве СКЗИ «КриптоПро CSP». Установка веб‑сервера выполняется после установки СКЗИ «КриптоПро CSP» (см. Приложение 7).

Порядок установки веб‑сервера cpnginx:

  • распакуете архив с дистрибутивом СКЗИ «КриптоПро CSP» командой:
tar ‑zxf <имя_дистрибутива>.tgz && cd <имя_дистрибутива>
  • установите следующие пакеты:
    • для ОС Astra Linux SE командой sudo dpkg ‑i <наименование пакета>.deb:
      • cprocsp‑nginx‑64_5.0.13000‑7_amd64.deb;
      • lsb‑cprocsp‑rcrypt‑64_5.0.13300‑7_amd64.deb;
      • cprocsp‑pki‑plugin‑64_2.0.15000‑1_amd64.deb.
    • для ОС РЕД ОС командой sudo dnf install <наименование пакета>.rpm:
      • cprocsp‑nginx‑64‑5.0.13000‑7.x86_64.rpm;
      • lsb‑cprocsp‑rcrypt‑64‑5.0.13000‑7.x86_64.rpm.
    • для ОС Альт Сервер командой sudo apt‑get install <наименование пакета>.rpm:
      • cprocsp‑nginx‑64‑5.0.13000‑7.x86_64.rpm;
      • lsb‑cprocsp‑rcrypt‑64‑5.0.13000‑7.x86_64.rpm.
  • установите на СКЗИ «КриптоПро CSP» соответствующую лицензию (TLS‑сервер) командой:
sudo /opt/cprocsp/sbin/amd64/cpconfig ‑license ‑set "Номер лицензии"
  • выполните проверку активации лицензии командой:
sudo /opt/cprocsp/sbin/amd64/cpconfig ‑license ‑view
  • Запустите установленный веб‑сервер, выполнив команду:
sudo systemctl start cpnginx.service
  • Добавьте веб‑сервер в автозагрузку, выполнив команду:
sudo systemctl enable cpnginx.service

Установка JC-WebClient[1]

  • Программное обеспечение JC‑WebClient необходимо установить на компьютер, с которого будет выполняется управление Серверной частью Центра регистрации Aladdin eRA через веб‑интерфейс. JC‑WebClient обеспечивает выпуск сертификатов на электронных ключах (ключевых носителях).
  • При установке и использовании JC‑WebClient сертифицированная среда функционирования не обеспечивается.
  • Скачайте дистрибутив JC‑WebClient с веб‑сайта производителя.
  • Установите зависимости.
  • Установите JC‑WebClient, выполнив команду:

РЕД ОС

sudo dnf install JC‑WebClient‑x64‑x.x.x.xxxx.rpm

Astra Linux SE

sudo apt install ‑f JC‑WebClient‑x64‑x.x.x.xxxx.deb

Альт Сервер

sudo apt‑get install JC‑WebClient‑x64‑x.x.x.xxxx.rpm
  • Перейдите в каталог /etc/rc.d/init.d/, выполнив команду:
cd /etc/rc.d/init.d/
  • Произведите запуск ПО JC‑WebClient, выполнив команду:
sudo sh jcmon start

[1] Официальный сайт производителя.