Компонент Прокси-сервер для УЦ (Certification Authority Proxy Service) или Web API к УЦ предназначен для обеспечения взаимодействия с удостоверяющим центрами, для которых на данный момент не предусмотрено непосредственных API-интерфейсов для JMS.

В текущей реализации данный Прокси-сервер обеспечивает взаимодействие JMS с УЦ Microsoft Certification Authority. При этом настройка взаимодействия обеспечивается через стандартный профиль JMS для выпуска сертификата через MSCA.

Прокси-сервер устанавливается на Windows-хосте, функционирующем в одном домене с сервером Microsoft, на котором развернута ролевая служба Certification Authority.

Дистрибутив

Дистрибутив Прокси-сервера для УЦ MSCA включает следующие пакеты установки (Табл. 12.).

Табл. 12 – Дистрибутив Прокси-сервера для УЦ MSCA

Системные требования Прокси-сервера для УЦ MSCA

Минимальные системные требования:

• Серверные ОС Windows Server 2012 R2 и выше
• Клиентские ОС Windows 10 и выше (требуется установка компонента RSAT: Active Directory Certificate Services Tools)
• .NET Framework 4.8

Порядок установки Прокси-сервера для УЦ MSCA

Подготовительные действия

Скопируйте с дистрибутивного диска на целевую машину с ОС Windows, предназначенную для установки прокси-сервера, файл дистрибутива

Установка

Чтобы установить компонент Прокси-сервера для УЦ MSCA, выполните следующие действия.

1. Запустите на выполнение файл инсталлятора CAProxyService-1.0.0.4-x64.msi:

Отобразится следующее окно.

Рис. 45 – Окно приветствия мастера установки Прокси-сервера для УЦ MSCA

      2. Нажмите Далее. Отобразится окно лицензионного соглашения.

Выберите Я принимаю условия лицензионного соглашения, нажмите Далее и следуйте указаниям мастера до полной установки Прокси-сервера для УЦ MSCA.

По завершении установки отобразится следующее окно.

Рис. 46 – Окно завершения процедуры установки

По окончании установки в системе должен появиться новый запущенный Windows-сервис с именем CAProxySvc_default (CA Proxy Service - default), Рис. 47.

Рис. 47 – Отображение установленного сервиса для Web API

Первичная проверка работы Прокси-сервера для УЦ MSCA

Проверить работу сервиса можно запустив в браузере следующий URL и пройдя аутентификацию:

http://localhost:6610/api/ca/ping

В ответ система должна вернуть строку следующего вида (Рис. 48).

Рис. 48 – Отображение ответа Web API на тестовый запрос

Настройки Прокси-сервера для УЦ MSCA

После завершения процедуры установки может потребоваться дополнительная настройка сервиса, описанная в настоящем подразделе. Настройка может выполняться через реестр и/или конфигурационные файлы. После любых изменений настроек требуется перезапуск сервиса, который выполняется последовательностью команд:

Настройка подключения к УЦ

Дополнительных настроек для подключения к УЦ не предусмотрено – Прокси-сервер автоматически использует все доступные УЦ.

Настройка полномочий на MSCA для доменного компьютера – Прокси-сервера для УЦ MSCA

Для обеспечения возможности доступа прокси-сервера к шаблонам сертификатов, данному доменному компьютеру (с установленным Прокси-сервером для УЦ MSCA) следует предоставить полные права на доступ к шаблонам сертификатов, которые планируется выпускать с помощью JMS.

Для предоставления таких прав воспользуйтесь оснасткой «Центр Сертификации» (Certification Authority) на сервере с ролью MSCA.

Порядок подготовки и регистрации шаблонов сертификатов MSCA можно изучить на примере подготовки шаблона сертификата пользователя в специальном руководстве по шаблонам сертификатов [6], с.173, в таких разделах, как:

• «Шаблон сертификата для пользователей JMS»;
• «Шаблон сертификата агента регистрации»;

Примечание. При создании шаблона «Агент регистрации JMS» в дополнение к приведенной в указанном документе инструкции в свойствах шаблона на вкладке Обработка запроса следует установить флаг Разрешить экспортировать закрытый ключ, поскольку по технологии настройки данный сертификат экспортируется на сервер JMS с закрытым ключом.

Настройка адресов и портов

По умолчанию Прокси-сервер поднимает две точки входа с базовыми адресами http://localhost:6610 и https://localhost:6611 для подключения по HTTP и HTTPS. При необходимости можно изменить базовый адрес сервиса в следующем разделе реестра:

[HKEY_LOCAL_MACHINE\SOFTWARE\Aladdin\CA Proxy Service\MSCAProxyWebApi]

Для задания адресов используется строковый параметр MSCAProxyWebApiAddresses.

В качестве значения параметра следует указать список базовых адресов через точку с запятой. Поддерживается указание адресов в виде IP, имени хоста, * (любой хост) или localhost (для локальных подключений), например:.

MSCAProxyWebApiAddresses = http://*:6610;https://localhost:6611

Используемые порты должны быть доступны извне через межсетевой экран.

Настройка SSL

Для настройки подключения по https необходимо предварительно выполнить привязку порта к SSL-сертификату для приложения, выполнив команду следующего вида:

Сам SSL-сертификат необходимо установить в хранилище компьютера (Machine Store).

Настройка аутентификации и авторизации

Прокси-сервер поддерживает Basic- и NTLM-аутентификацию.

Дополнительно можно включить авторизацию по доменной или локальной группе. Настройка выполняется в разделе реестра:

[HKEY_LOCAL_MACHINE\SOFTWARE\Aladdin\CA Proxy Service\MSCAProxyWebApi]

Для настройки используйте строковый параметр MSCAProxyWebApiAddresses.

В качестве значения параметра следует указать локальную или доменную группу, в которой должен состоять пользователь для выполнения операций через прокси-сервер. Например:

AuthorizeAsGroupMember = CA_PROXY_GROUP

По умолчанию авторизация отключена (т.е. параметр AuthorizeAsGroupMember не задан)

Для указания хранилища, в котором будет находиться группа используйте строковый параметр AuthorizationGroupStore.

В качестве значения указываются домен контроллер (по умолчанию) или локальный компьютер:

AuthorizationGroupStore = Domain

или

AuthorizationGroupStore = Machine

Настройка локализации

Прокси-сервер поддерживает два языка – русский (по умолчанию) и английский. Переключение языка осуществляется следующей настройкой реестра:

[HKEY_LOCAL_MACHINE\SOFTWARE\Aladdin\CA Proxy Service\Settings]

Culture = ru

или

Culture = en

Настройка работы прокси на клиентских операционных системах

Для корректной работы Прокси-сервера на клиентских операционных системах Windows 10 и более поздних необходимо установить специальный компонент RSAT: Active Directory Certificate Services Tools.

Чтобы установить RSAT в Windows 10, необходимо перейти в раздел Settings -> Apps -> Manage Optional Features -> Add a feature (Параметры Windows -> Приложения -> Дополнительные возможности -> Добавить компонент).

В списке выбрать и установить компонент RSAT: Active Directory Certificate Services Tools:

Рис. 49 – Выбор компонента  RSAT: Active Directory Certificate Services Tools

Дополнительную информацию см. по адресу: https://winitpro.ru/index.php/2018/10/04/ustanovka-rsat-v-windows-10-iz-powershell/

Журналы диагностики Прокси-сервера для УЦ MSCA

Настройки журналов диагностики Прокси-сервера для УЦ MSCA задаются в конфигурационном файле:

По умолчанию журнал диагностики записывается в DEBUG-режиме в следующий каталог:

Одновременно ведется запись важных событий в журналы ОС Windows (Windows Event Log):

Журналы приложений и служб -> CA Proxy Service  (Applications and Services Logs -> CA Proxy Service)

Настройка сервера JMS для работы с Прокси-сервером для УЦ MSCA

Для подключения JMS к Прокси-серверу для УЦ MSCA выполните следующие настройки.

1. На Прокси-сервере УЦ MCSA выпустите сертификат Enrollment Agent (компьютер) с установленной опцией экспорта закрытого ключа (подробнее см. в разделе «Настройка полномочий на MSCA для доменного компьютера – Прокси-сервера для УЦ MSCA », с. 57).
2. Экспортируйте сертификат Enrollment Agent в pfx-файл с паролем.
3. На сервер JMS выполните импорт сертификата командой следующего вида:

      4. Убедитесь в корректной установке сертификата в хранилище пользователя root с помощью команды консольного агента:

При этом будут отображены сертификаты из хранилища 'My' (расположение: CurrentUser). Например:

      5. Экспортируйте корневой сертификат УЦ MSCA в формат cer (DER).

      6. Сконвертируйте корневой сертификат УЦ MSCA в формат crt – например при помощи пакета openssl:

      7. Добавьте полученный crt-сертификат в список доверенных. Данная процедура варьируется в зависимости от типа операционной системы хоста. Например:

      7.1 В случае Astra Linux:

      7.1.1 Скопируете полученный crt-файл в директорию /usr/local/share/ca-certificates/

      7.1.2 Выполните команду

      7.2 В случае РЕД ОС:

      7.2.2 Установите пакет ca-certificates:

• Установите опцию динамической конфигурации: 

• Добавьте файл сертификата в каталог /etc/pki/ca-trust/source/anchors/: 

• Выполните команду:

Аналогичную инструкцию по добавлению crt-сертификата в список доверенных для других ОС можно найти по этой ссылке:

https://manuals.gfi.com/en/kerio/connect/content/server-configuration/ssl-certificates/adding-trusted-root-certificates-to-the-server-1605.html

После этих настроек JMS готов к работе с УЦ через прокси-сервер.