Начальные условия для развертывания JMS

Для развертывания продукта должны быть выполнены следующие начальные условия.

1. Перед развертыванием продукта убедитесь, что в ОС хоста установлены все последние обновления и ОС содержит актуальный репозиторий. Для обеспечения данного требования используйте руководства по соответствующей ОС.
2. В сетевой доступности для сервера JMS должна быть установлена служба управления учетными записями (ресурсная система). При установке рекомендуется использовать руководство по развёртыванию соответствующей ресурсной системы (например, контроллера ЕПП FreeIPA, ALD Pro, Samba AD и др.) в Astra Linux на сайте официального поставщика сервиса (см. «Полезные web-ресурсы» [1], с. 173).

Примечание. В настоящем руководстве в качестве примера IP-адреса сервера FreeIPA указывается 192.168.10.1; в качестве имени домена FreeIPA указывается freeipa.aladdin.local.

      3. На компьютерах, на которых предполагается устанавливать сервер JMS, сервер СУБД, JMS-клиенты и консоль управления JMS, должен быть установлен клиентский компонент ресурсной системы (например FreeIPA). Все перечисленные типы компьютеров следует зарегистрировать в одном и том же домене ресурсной системы. При установке рекомендуется использовать руководство по развёртыванию соответствующей ресурсной системы (например, контроллера ЕПП FreeIPA, ALD Pro, Samba AD и др.) в Astra Linux на сайте официального поставщика сервиса (см. «Полезные web-ресурсы» [1], с. 173)..

      4. В сетевой доступности для сервера JMS должен быть установлен сервер СУБД PostgreSQL версии 9.6.10. При установке рекомендуется следовать указаниям поставщика СУБД на его официальном сайте (см. «Полезные web-ресурсы» [1], с. 173).

      5. На компьютерах, на которых предполагается устанавливать сервер JMS, в зависимости от операционной системы должно быть установлено соответствующее дополнительное ПО поддержки протокола NTLM SSP (Табл. 7).

Табл. 7 – Пакеты дополнительного ПО поддержки NTLM SSP для разных версий ОС Linux

Кроме перечисленных выше подготовительных действий, может быть подготовлен сертификат для подсистемы аутентификации JMS (для подписи JWT-токенов) со следующими параметрами:

• сертификат должен быть выпущен для хоста сервера JMS (в сертификате должно быть указано доменное имя данного хоста в ресурсной системе);
• назначение ключа подписи:

В результате выпуска сертификата должен быть получен файл контейнера сертификата с закрытым ключом (файл .pfx).

Сертификат должен быть зарегистрирован средствами ОС на хосте с сервером JMS в хранилище CurrentUser\My.

Примечание. В настоящем руководстве в качестве примера JWT-сертификата используется самоподписанный сертификат.

В случае если сертификат для подсистемы аутентификации JMS не установлен, то используется подпись JWT-токенов внутренними ключами сервера JMS (подробнее см. использование команды Aladdin.EAP.Agent.Terminal jwt configure --useCertificate false, раздел «Приложение 2. Справочник команд консольного агента Aladdin.EAP.Agent.Terminal», с. 120)

Установка и первоначальная настройка сервера и консольного агента JMS

Подготовительные действия

Примечание. Все команды в данном разделе выполняются в контексте пользователя root.

Для подготовки к развертыванию сервера JMS и консольного агента JMS выполните следующие действия.

1. Скопируйте с дистрибутивного диска на целевую машину с ОС Linux, предназначенную для установки JMS, следующие файлы:

• Установочный пакет сервера JMS согласно Табл. 3, с. 16.
• ini

      2. В предварительно созданную папку (в текущем документе в качестве примера используется папка /opt/licenses) скопируйте файл лицензии (с расширением .lic), полученный у поставщика продукта.

      3. В случае если у администратора JMS нет административных прав на сервере СУБД, с помощью администратора СУБД выполните предварительные действия по созданию «пустой» БД (см. «Приложение 9. Создание новой БД без административных прав на СУБД», с. 170), для её наполнения в ходе дальнейших шагов по начальному конфигурированию JMS (см. раздел «Установка компонентов сервера JMS», ниже).

      4. В папке с deb-файлом сервера создайте файл первоначальной конфигурации сервера JMS InitialConfiguration.ini по следующему образцу:

В параметре path из секции [licenses] укажите имя файла лицензии вместе с полным путем к нему, созданного на шаге 2.

Назначение остальных параметров файла конфигурации приведено в разделе «Приложение 1. Параметры файла первоначальной конфигурации сервера JMS», с. 114.

Примечание. В случае если обращение к ресурсной системе требует осуществлять по протоколу SSL, в секции [AccountSystem] следует также добавить параметр useSsl=true и убедиться в корректности значения параметра serverPort (636 для SSL, значение по умолчанию). Подробнее см. в разделах  «Настройка SSL для доступа к ресурсной системе», с. 65 и «Приложение 1. Параметры файла первоначальной конфигурации сервера JMS», с. 114.

      5. На хосте с установленной СУБД PostgreSQL следует установить дополнительный компонент с помощью следующей команды:

Установка компонентов сервера JMS

Примечание. Все команды в данном разделе выполняются в контексте пользователя root.

1. Установите на текущем хосте сервер JMS с помощью соответствующей команды.

      1.1. Для ОС Astra Linux:

      1.2. Для РЕД ОС:

      1.3. Для ОС Альт:

По окончании успешной установки должна отобразиться информация следующего вида:

Рис. 1 – Информация в консоли в случае успешной установки сервера JMS

      2. Выполните начальное конфигурирование сервера JMS c помощью следующей команды консольного агента:

Примечание. Полное описание команд консольного агента см. в разделе «Приложение 2. Справочник команд консольного агента Aladdin.EAP.Agent.Terminal», с. 120.

По окончании конфигурирования в консоли должна отобразиться строка «Инициализация сервера завершена успешно».

Рис. 2 – Сообщение в консоли об успешной начальной настройке сервера JMS

      3. Проверьте статус службы сервера JMS следующей командой.

Состояние должно быть «active (running)»:

Рис. 3 – Отображение статуса службы сервера JMS

      4. Проверьте статус сервера бизнес-логики JMS с помощью следующей команды консольного агента

В случае корректной работы сервера бизнес-логики должна отобразиться строка «Текущее состояние сервера: Работает».

Установка и первоначальная настройка серверного web-приложения Консоль управления JMS (JMS Web Admin)

Подготовительные действия

Скопируйте с дистрибутивного диска на целевую машину с ОС Linux, предназначенную для установки серверного Web-приложения, дистрибутивный файл Консоли управления согласно Табл. 4, с. 16.

Установка серверного компонента Консоли управления JMS

Примечание. Все команды в данном разделе выполняются в контексте пользователя root.

1. Установите серверный компонент web-приложения Консоль управления JMS с помощью соответствующей команды.

      1.1 Для ОС Astra Linux:

      1.2 Для РЕД ОС:

      1.3 Для ОС Альт:

По окончании успешной установки должна отобразиться информация следующего вида:

Рис. 4 – Информация в консоли в случае успешной установки серверного web-приложение Консоль управления JMS

      2. В папке /opt/eap-web-admin/ отредактируйте файл appsettings.json.

Исходная версия данного файла конфигурации выглядит следующим образом:

В случае если серверный компонент консоли управления JMS установлен на хосте, отличном от хоста с сервером JMS, то в полях IntegrationApiUrl и AuthenticationApiUrl следует указать адрес хоста с сервером JMS (номера портов следует сохранить прежними).

Настройку адреса в параметре Url следует выполнять следующим образом:

• если необходимо обеспечить обработку запросов, поступающих только на IPv4-интерфейсы хоста, то в адресе следует указать http://0.0.0.0:5000 (значение по умолчанию);
• если необходимо обеспечить обработку запросов, поступающих только на IPv6-интерфейсы хоста, то в адресе следует указать http://[::]:5000;
• если необходимо обеспечить обработку запросов, поступающих на все IPv4- и IPv6-интерфейсы хоста, то в адресе следует указать http://*:5000;
• если необходимо обеспечить обработку запросов, поступающих только с локального хоста, то в адресе следует указать http://localhost:5000 либо http://127.0.0.1:5000 (http://[::1]:5000 для IPv6);
• если необходимо обеспечить обработку запросов, поступающих на конкретный интерфейс хоста, то в адресе следует указать адрес данного сетевого интерфейса, например http://192.168.1.100:5000;
• порядок настройки SSL для серверного web-приложения Консоль управления JMS приведен в разделе «Настройка SSL/TLS на стороне Web-приложения Консоль управления JMS», с. 61.

При необходимости ограничить поступления запросов из внешней сети по IP-адресам используйте встроенные сетевые средства операционной системы или внешний межсетевой экран.

      3. Перезапустите службу серверного компонента консоли управления JMS, выполнив следующую команду:

      4. Проверьте статус службы.

Состояние должно быть «active (running)»:

Рис. 5 – Отображение статуса службы серверного компонента консоли управления JMS

      5. Для проверки корректности установки web-приложения Консоль управления JMS на хосте с сервером JMS запустите веб-браузер Firefox и введите в нем адрес, установленный на шаге 2 в конфигурационном файле json для атрибута Url (по умолчанию http://localhost:5000).

Отобразится страница следующего вида.

Рис. 6 – Стартовая страница Web-приложения Консоль управления JMS

Проверка работы web-приложения Консоль управления JMS

1. С внешней машины в web-браузере выполните подключение к web-консоли JMS по адресу

где <IP-адрес_сервера_web-консоли> — IP-адрес или FQDN-имя компьютера с установленным серверным web-приложением Консоль управления JMS.

Примечание. В случае настройки защищенного соединения по SSL/TLS в адресе укажите https://

Отобразится страница следующего вида.

Рис. 7 – Доступ к web-консоли JMS с внешнего компьютера

      2. В поле Пользователь введите логин пользователя в формате:

<имя_ресурсной_системы>\<имя_пользователя>,

где <имя_ресурсной_системы> — значение, указанное в поле [accountSystem] -> name файла первоначальной конфигурации (см. «Приложение 1. Параметры файла первоначальной конфигурации сервера JMS», с. 114).

Например:

Примечание. Альтернативным способом аутентификации пользователя является указание в качестве доменного префикса netbios-имени домена. Например для домена aladdin.local и пользователя admin допускается ввести значение aladdin\admin

После ввода аутентификационных данных отобразится страница следующего вида.

Рис. 8 – Стартовая страница web-приложения Консоль управления JMS

Web-приложение Консоль управления JMS готово к работе.

Дополнительные настройки

Для начала работы в JMS может понадобиться добавить поддержку дополнительных типов токенов (электронных ключей, ЭК).

Порядок добавления токенов описан в разделе «Добавление поддержки моделей ЭК / профилей в JMS», с. 50.

Для начала работы в JMS может понадобиться добавить поддержку дополнительных типов токенов (электронных ключей, ЭК).

Порядок добавления токенов описан в разделе «Добавление поддержки моделей ЭК / профилей в JMS», с. 50.

Установка и первоначальная настройка JMS Web Agent (JWA)

Компонент JWA следует устанавливать на компьютерах, предназначенных для работы из клиентских web-приложений (Клиент JMS и Консоль управления JMS).

Примечание. Все команды в данном разделе выполняются в контексте пользователя root.

Подготовительные действия

Для подготовки к развертыванию компонента JMS Web Agent (JWA) выполните следующие действия.

1. Скопируйте с дистрибутивного диска на целевую машину с ОС Linux, предназначенную для установки JWA, следующие файлы:

• jcpkcs11-2_x.x.x.xxx_al1.6_x64.deb – единая библиотека JaCarta;
• дистрибутив JWA согласно Табл. 5, с. 16.

      2. Для корректной работы Единой библиотеки JaCarta установите фоновую службу PC/SC следующей командой:

      3. Установите единую библиотеку JaCarta следующей командой:

При успешной установке должна отобразиться информация следующего вида:

Рис. 9 – Индикация успешной установки единой библиотеки JaCarta

Примечание. В случае обновление ПО JMS, при условии, что обновляется также единая библиотека JaCarta перед установкой нового пакета с единой библиотекой следует удалить ранее установленную. Для удаления устаревшей единой библиотеки JaCarta используйте команду:

      4. Установите пакет libnss3-tools из состава репозитория ОС следующей командой:

Установка JWA

1. Установите компонент JMS Web Agent (JWA), выполнив соответствующую команду.

      1.1 Для ОС Astra Linux:

      1.2 Для РЕД ОС:

      1.3 Для ОС Альт:

По окончании успешной установки должна отобразиться информация следующего вида:

Рис. 10 – Индикация успешной установки компонент JMS Web Agent

      2. Выполните остановку процесса JWA командой:

      3. Выполните конфигурирование компонента JWA на текущем хосте с помощью команды следующего вида

<путь>/Aladdin.JMS.WebAgent --jms-host <Сервер_JMS> --jms-web-host <Сервер_JMS_Web_Admin>

где  <путь> — путь к исполняемому файлу JWA;

         <Сервер_JMS>  — FQDN-имя сервера JMS;

         <Сервер_JMS_Web_Admin> — FQDN-имя сервера с серверным компонентом web-приложения «Консоль управления JMS».

Например:

По окончании успешного конфигурирования в консоли должна отобразиться строка «Configuration appsettings.json is updated.

Примечание. Полный перечень команд JWA см. в разделе «Приложение 5. Справочник команд JMS Web Agent (JWA)», с. 148.

      4. Запустите процесс JWA командой:

      5. Для проверки корректности работы процесса JWA на данном хосте запустите веб-браузер Firefox и перейдите в нем по адресу https://localhost:5600.

Должна отобразиться страница следующего вида.

Рис. 11 – Стартовая страница web-приложения Клиент JMS

 Примечания:

1. При необходимости дополнительные настройки компонента JWA можно выполнить путем редактирования файла /etc/aladdin/jwa-service/appsettings.json.
2. После внесения изменений файл конфигурации json для вступления в силу новых параметров следует перезапустить процесс JWA (см. раздел «Управление процессом JWA», с. 29).
3. Для автоматической аутентификации пользователя по протоколу Kerberos необходимо выполнить дополнительные настройки, описанные в разделе «Порядок настройки прозрачной аутентификации доменных пользователей AD в клиентских приложениях JMS», с. 68.

Управление процессом JWA

Для управления процессом JWA используется файл сценария /opt/jms-client/jwa-service.sh (развертывается автоматически вместе с компонентом JWA).

Для запуска процесса JWA в фоновом режиме используется команда:

Для остановки процесса JWA используется команда:

Для перезапуска процесса используйте команды:

Примечание. В отладочных целях может также использоваться команда

Она позволяет мониторить записи журнала процесса JWA, которые отображаются в интерактивном режиме в терминале. При закрытии терминала процесс JWA в этом случае автоматически останавливается.

Проверка работы JWA c Консолью управления JMS

Для того чтобы проверить корректность работы установленной службы JWA (см. разделы 5.4.1 и 5.4.2, выше) совместно с web-приложением Консоль управления JMS, запустите веб-браузер Firefox и перейдите в нем по адресу, указанному в параметре --jms-web-host (т.е. адреса серверного компонента web-приложения Консоль управления JMS) команды конфигурирования JWA (см. п. 3 раздела «Установка JWA», с. 28).

Отобразится страница следующего вида.

Рис. 12 – Страница аутентификации в Web-приложении Консоль управления JMS

Выполните аутентификацию так, как это описано в разделе «Проверка работы web-приложения Консоль управления JMS», с. 24.

Отобразится страница следующего вида.

Рис. 13 – Вид страницы Консоли управления с корректно подключенным компонентом JWA

В случае если вверху страницы отображается индикация ошибки соединения с JWA (Рис. 14), следует проверить корректность настроенных адресов серверного компонента Консоли управления в секции CORS файла конфигурации файла /etc/aladdin/jwa-service/appsettings.json и при необходимости повторно выполнить команду конфигурирования JWA (см. «Приложение 5. Справочник команд JMS Web Agent (JWA)», с. 148.).

Рис. 14 – Ошибка подключения к компоненту JWA из клиентского web-приложения Консоль управления JMS

Установка и первоначальная настройка приложения JMS Web Agent Tray

Компонент JMS Web Agent Tray следует устанавливать на компьютерах конечных пользователей, использующих ЭК/ЗНИ.

Компонент позволяет выполнять аутентификацию пользователя JMS для того, чтобы выполнять монтирование скрытых разделов ЗНИ, в фоновом режиме осуществлять синхронизацию электронных ключей, подключенных к компьютеру. Кроме того, компонент упрощает процедуру запуска web-клиента JMS.

Примечание. Все команды в данном разделе выполняются в контексте пользователя root.

Подготовительные действия

Для подготовки к развертыванию компонента JMS Web Agent Tray выполните следующие действия.

1. Убедитесь, что на компьютере установлен компонент JWA (см. раздел «Установка и первоначальная настройка JMS Web Agent (JWA)», с. 26)
2. Скопируйте с дистрибутивного диска на целевую машину с ОС Linux, предназначенную для установки компонента, дистрибутив JWA Tray согласно Табл. 6, с. 16.

Установка JWA Tray

1. Установите компонент JWA Tray, выполнив соответствующую команду.

      1.1 Для ОС Astra Linux:

      1.2 Для РЕД ОС:

      1.3 Для ОС Альт:

По окончании успешной установки должна отобразиться информация следующего вида:

Рис. 15 – Индикация успешной установки компонент JWA Tray

1. После установки компонента в области уведомлений рабочего стола операционной системы появится значок , при нажатии на котором правой кнопкой мыши отобразится меню следующего вида.

Рис. 16 – Отображение значка JWA Tray и соответствующего контекстного меню

Начальное меню JWA Tray содержит следующие пункты (Табл. 8).

Табл. 8 – Описание начального меню JWA Tray

Примечание. Компонент JWA Tray (процесс WebAgentTray) считывает конфигурацию из файла jwa.systray.settings.ini.