Запуск программы

Запуск служб серверов Центра сертификации Aladdin eCA и Центра регистрации Aladdin eRA осуществляет администратор на сервере, где развёрнут соответствующий компонент.

Оператору предоставляется доступ к клиентским частям посредством веб-интерфейса. Для запуска клиентской части Центра сертификации Aladdin eCA или Центра регистрации Aladdin eRA:

  • Запустите веб-браузер.
  • В адресную строку веб-браузера введите IP-адрес или полное доменное имя сервера, на котором соответственно установлен Центра сертификации Aladdin eCA или Центра регистрации Aladdin eRA (например: https://172.22.5.21).
  • Выберите сертификат доступа аутентифицирующегося пользователя.

Подключение к веб-интерфейсу

Веб‑интерфейс представляется собой графический интерфейс в виде совокупности динамических веб‑страниц, отображаемых в веб‑браузере. Веб‑интерфейсы реализованы клиентскими компонентами Центра сертификации Aladdin eCA и Центра регистрации Aladdin eRA и предназначены для управления серверными компонентами Центра сертификации Aladdin eCA и Центра регистрации Aladdin eRA (выполнения доступных пользователю в рамках его полномочий действий).

Подключение к веб‑интерфейсу Центра сертификации Aladdin и Центра регистрации Aladdin eRA выполняется из веб‑браузера удаленно по сети передачи данных с выделенного компьютера.

Канал управления является защищенным — организован по протоколу HTTPS/TLS с двусторонней аутентификацией и шифрованием передаваемых данных. Идентификация и аутентификация Операторов выполняется по предъявленному сертификату, который должен быть предварительно установлен в хранилище веб‑браузера или хранилище сертификатов используемой ОС.

Установка сертификата оператора

Полученный Оператором контейнер сертификата доступа для аутентификации на веб-сервере Центра сертификации Aladdin eCA или Центра регистрации Aladdin eRA необходимо перенести любым удобным способом на жёсткий диск компьютера, с которого выполняется подключение к веб-интерфейсу, для его дальнейшей установки в хранилище сертификатов браузера для сохранения информации о доверенных сертификатах с целью успешного подключения к серверу на клиентской стороне.

Процесс установки сертификата представлен на примере веб-браузера Firefox:

  • Откройте браузер Firefox / Настройки / Приватность и Защита / Сертификаты (см. Рисунок 1). Нажмите кнопку <Просмотр сертификатов>.

Рисунок 1 – Окно настроек браузера

  • Перейдите на вкладку «Ваши сертификаты», в открывшейся вкладке нажмите кнопку <Импортировать> (см. Рисунок 2).

Рисунок 2 – Окно управления сертификатами

  • Выберите предварительно подготовленный файл сертификата, подписанный Центром сертификации Aladdin eCA, который будет принимать обработанные Центром сертификации Aladdin eCA или Центра регистрации Aladdin eRA запросы на сертификаты доступа и находящийся в списке разрешённых Издателей. Нажмите кнопку <Открыть> (см. Рисунок 3).

Рисунок 3 – Окно выбора импортируемого файла сертификата

  • Введите PIN‑код сертификата доступа в открывшемся окне и нажмите кнопку <OK> (см. Рисунок 4).

Рисунок 4 – Окно ввода PIN‑кода сертификата

PIN‑код сертификата устанавливается администратором Центра сертификации Aladdin eCA при выпуске сертификата доступа.

  • В таблице окна «Управление сертификатами» появится запись об импортированном сертификате (см. Рисунок 5). Нажать кнопку <ОК>.

Рисунок 5 – Окно «Управление сертификатами»

Подключение к веб-интерфейсу

Порядок подключения к веб‑интерфейсу:

  • Запустите веб‑браузер и в адресной строке введите IP‑адрес или доменное имя компьютера, на котором установлен соответственно Центр сертификации Aladdin eCA или Центр регистрации Aladdin eRA (например, https://172.22.5.21 или https://sub02.presale.aeca).
  • Для безопасного доверенного соединения при обращении к серверу Центр сертификации Aladdin eCA или Центр регистрации Aladdin eRA используйте доменное имя, указанное в атрибуте сертификата веб-сервера Subject alternative name (SAN) и соответственно указанное в конфигурационном файле /etc/hosts/ сервера.
  • В открывшемся окне выберите сертификат для аутентификации в Центр сертификации Aladdin eCA или Центр регистрации Aladdin eRA (см.). Нажмите кнопку <ОК>.
  • Далее на открывшейся странице с предупреждением системы безопасности нажмите кнопку <Дополнительно>, примите риск и продолжите подключение.

Рисунок 6 – Окно выбора сертификата для аутентификации

Рисунок 7 – Страница с предупреждением системы безопасности

В результате вы подключитесь соответственно к веб‑интерфейсу Центра сертификации Aladdin eCA или Центра регистрации Aladdin eRA.

При подключении к веб-интерфейсу Центра сертификации Aladdin eCA аутентификация по сертификату выполняется автоматически.

При подключении к веб-интерфейсу Центра регистрации Aladdin eRA пройдите аутентификацию, нажав в окне авторизации кнопку <Сертификат>.

Рисунок 8 – Окно авторизации

В случае отказа в доступе к веб-интерфейсу Оператор будет уведомлен сообщением об ошибке. Возможные причины отказа:

    • сертификат доступа пользователя не импортирован в доверенное хранилище браузера;
    • отсутствие издателя сертификата доступа, импортированного в доверенное хранилище браузера, в списке разрешённых издателей веб-сервера;
    • невозможно выполнить авторизацию с использованием сертификата. Сертификат не привязан к пользователю;
    • остановка работы служб на веб-сервере;
    • срок действия сертификата доступа истёк;
    • действия сертификата было приостановлено или сертификат отозван;
    • аккаунт заблокирован;
    • достигнуто предельное число сессий аккаунта.

В случае отказа в доступе обратитесь соответственно к администратору Центра сертификации Aladdin eCA или Центра регистрации Aladdin eRA.

Аутентификация с использованием сертификата на ключевом носителе

Первичная настройка СВТ для двухфакторной аутентификации оператора по сертификату на ключевом носителе

Для настройки сначала выполните установку Единого Клиента JaCarta (см. подраздел 3.2.3.2), а затем выполните настройку браузера (настройку Firefox см. в подразделе 3.2.3.3, настройку Chromium в зависимости от ОС см. в подразделах 3.2.3.4 и 3.2.3.5).

Установка Единого Клиента JaCarta

  • Для поддержки ключевых носителей произведите установку Единого Клиента JaCarta, для этого:
    • Скопируйте на компьютер в одну папку файлы из дистрибутива для дальнейшей инсталляции:
      • sh;
      • jacartauc_*_ro_x64.rpm;
      • jcpkcs11-2_*_x64.rpm;
      • jcsecurbio_*_x64.rpm;
      • RPM-GPG-KEY-ALADDIN_RD-AO.public (Открытый ключ АО "Аладдин Р.Д.").
    • Под пользователем с правами администратора запустите эмулятор терминала.
    • В эмуляторе терминала прейдите в папку с дистрибутивами, выполнив команду:
cd …/…/…
    • Установите Единый Клиент JaCarta, выполнив команду:
bash install.sh

Подробное описание процедуры установки Единого Клиента JaCarta приведено в разделе 4 RU.АЛДЕ.03.01.013-01 32 01-2 «Единый Клиент JaCarta. Руководства администратора «Аладдин Р.Д.».

Только для ОС Astra Linux Special Edition 1.7 произведите подготовку ОС, установив дополнительную библиотеку службы сетевой безопасности, выполнив команду от имени текущего пользователя:

apt install libnss3-tools

Текущий локальный пользователь должен иметь права на файлы в папке ~/.pki/nssdb/.

Рекомендуется очистить кэш браузера и ранее применённые решения по аутентификации в браузере (для браузера Firefox: Настройки -> Приватность и защита -> Сертификаты -> Просмотр сертификатов).

Настройка веб-браузера Firefox для РЕД ОС, Альт 8 СП релиз 10, Astra Linux Special Edition

Выполните настройку браузера Firefox в следующем порядке:

  • откройте Настройки -> Приватность и защита -> Сертификаты -> Устройства защиты;
  • в диалоговом окне нажмите кнопку <Загрузить>;
  • в окне загрузки драйвера нажмите кнопку <Обзор> и выберите файл модуля /lib64/libjcPKCS11-2.so (см. Рисунок 9) и подтвердите загрузку модуля, нажав кнопку <ОК>;

Рисунок 9 – Настройка браузера Firefox

    • перезапустите веб-браузер.

Настройка веб- браузера Chromium для РЕД ОС и Альт 8 СП релиз 10

Выполните настройку браузера Chromium в следующем порядке:

  • удалите каталог локальной библиотеки сертификатов, выполнив команду:
rm -rf ~/.pki
  • cоздайте каталог локальной библиотеки сертификатов, выполнив команду под текущим пользователем:
mkdir ~/.pki/nssdb
  • инициализируйте локальную библиотеку сертификатов, выполнив команду под текущим пользователем:
certutil --empty-password -d ~/.pki/nssdb -N
  • подключите модуль к локальной библиотеке сертификатов nssdb, выполнив команду под текущим пользователем:
modutil -dbdir sql:.pki/nssdb/ -add “JaCarta” -libfile /usr/lib64/libjcPKCS11-2.so
  • перезапустите браузер.

Настройка веб-браузера Chromium для Astra Linux Special Edition

Выполните настройку браузера Chromium в следующем порядке:

  • подключите модуль nssdb для работы с сертификатами, выполнив команду:
modutil -dbdir sql:.pki/nssdb/ -add “JaCarta” -libfile /lib/libjcPKCS11-2.so
  • перезапустите браузер.

Двухфакторная аутентификации оператора по сертификату на ключевом носителе

Полученный Оператором ключевой носитель с записанным на нём сертификатом доступа для аутентификации на веб-сервере Центра сертификации Aladdin eCA или Центра регистрации Aladdin eRA необходимо подключить в USB-порт предварительного настроенного средства вычислительной техники – рабочего места Оператора для его дальнейшей аутентификации с целью успешного подключения к серверу на клиентской стороне.

  • Запустите веб‑браузер и в адресной строке введите IP‑адрес или доменное имя компьютера, на котором установлен соответственно Центр сертификации Aladdin eCA или Центр регистрации Aladdin eRA (например, https://172.22.5.21 или https://sub02.presale.aeca).
  • В появившемся окне введите PIN-код ключевого носителя.

Рисунок 10 – Окно ввода PIN-кода ключевого носителя

  • В появившемся окне выберите сертификат с подключенного ключевого носителя.

Рисунок 11 – Окно выбора сертификата пользователя для аутентификации на сервере

Время действия токена доступа – 3 минуты. Время действия токена обновления – 24 часа, то есть по истечению времени действия токена обновления будет требоваться повторная аутентификация пользователя для доступа к серверу Центра сертификации.