JMS Web Manager (JWM) – компонент JMS, предоставляющий возможность пользователям управлять через web-браузер своими OTP-аутентификаторами, а также электронными ключами, как внутри корпоративной сети, так и из-за её пределов через общедоступные сети.

JWM включает в себя следующие основные компоненты:

  • серверный компонент сервисов личного кабинета (ЛК) — обеспечивает бизнес-логику работы ЛК и его взаимодействие с JMS и JAS и включает в себя сервис данных (Data) и сервис аутентификации (Auth). Может устанавливаться на отдельный сервер;
  • серверный компонент web-портала ЛК — обеспечивает работу пользовательского web-интерфейса ЛК для удалённых пользователей, работающих через web-браузер. Портал ЛК может быть настроен для доступа пользователей как из внутренней корпоративной сети (private-режим), так и из внешней сети (public-режим). Каждый из порталов (внешний и внутренний) может устанавливаться на отдельный сервер.

Свои прикладные функции компонент JWM выполняет путем обращения к серверным компонентам JMS (JMS Server) и JAS (JaCarta Authentication Server) посредством соответствующих API-интерфейсов.

Дистрибутив

Табл. 13 – Установочные пакеты сервера JWM

ОС

Файл дистрибутива

Описание

Astra Linux

aladdin-jwm-services_4.1.0.xxxx_x64.deb

Установочные пакеты сервисов (Auth и Data) ЛК

РЕД ОС

aladdin-jwm-services_4.1.0.xxxx_x64.rpm

ОС Альт

aladdin-jwm-services_4.1.0.xxxx_alt_x64.rpm

Astra Linux

aladdin-jwm-portal_4.1.0.xxxx_x64.deb

Установочные пакеты портала ЛК

РЕД ОС

aladdin-jwm-portal_4.1.0.xxxx_x64.rpm

ОС Альт

aladdin-jwm-portal_4.1.0.xxxx_alt_x64.rpm

Системные требования компонентов JWM

Табл. 14 – Системные требования для установки компонентов JWM

Компонент среды функционирования

Требование

Операционная система

·   Astra Linux SE 1.7 Smolensk;

·   Astra Linux CE 2.13 Orel;

·   РЕД ОС 7.2, 7.3;

·   ОС Альт 8 СП

Сервер СУБД

·   PostgreSQL версий 11—16;

·   Jatoba 1.9.1-3

·   Microsoft SQL Server 2012; 2014; 2016; 2017; 2019;

(При использовании СУБД Microsoft SQL Server необходимым компонентом является SQL Server Database Engine)


Дополнительное ПО

Пакеты, необходимые для работы .NET (см. инструкцию  https://learn.microsoft.com/en-us/dotnet/core/install/linux-scripted-manual)

Аппаратная платформа

Требования к аппаратной платформе совпадают с требованиями, предъявляемыми операционными системами, в которых развернуты серверные компоненты сервисов и web-портала ЛК (сервера JWM)

Оперативная память (не менее)

4 ГБайт

Свободное место на жестком диске (не менее)

1 ГБайт

Развёртывание JWM

Порядок установки JWM приводится на примере развертывания типовой архитектуры, включающей в себя отдельные серверы для Auth- и Data-сервисов JWM, а также отдельные серверы для внешнего и внутреннего порталов JWM (Рис. 60).

 Примечание. В примере развертывания в качестве ресурсной системы приведена Microsoft Active Directory.

Рис. 60 – Пример типовой архитектуры развертывания JWM (описывается в разделе)

Подготовительные действия

Перед развертыванием JWM выполните следующие действия.

  1. Для компьютеров, на которых будут установлены компоненты JWM, выпустите сертификаты в формате *.pfx (экспорт сертификата следует выполнять с закрытым ключом). Данный сертификат используется для подписания JWT-токенов. При выпуске используются назначения «Проверка подлинности клиента», «Проверка подлинности сервера». При настройке компонента JMW данный pfx-файл следует указать в качестве параметра.

 Примечание. В случае если выпущенный сертификат уже установлен на компьютер, при настройке соответствующего компонента JWM достаточно указать его отпечаток.

  1. Убедитесь в сетевой связанности всех компьютеров для развёртывания компонентов JMW (по аналогии со схемой на Рис. 60, с. 74)
  2. На каждый компьютер с компонентом JWM загрузите и отредактируйте ini-файл, содержащий информацию для инициализации устанавливаемого компонента.

Пример такого файла приведен ниже:

;
 
; параметры порталов (фронтенд)
 
;
 
 
 
 
[userplace]
 
; адрес хостирования
 
url = https://*:5700
 
; сертификат для https
 
certificatePath = /home/admin/install/https/cert.pfx
 
certificatePassword = 1234567890
 
; Флаг отключающий проверку валидности сертификата по CRL и Root.
 
noValidate = true
 
; URL сервиса данных
 
dataUrl = http://jwm-services.devel.corp:5702
 
; таймаут обращения к сервису данных, в секундах
 
dataTimeout = 15
 
; использовать прокси для обращения к сервису данных
 
dataUseProxy = false
 
; адрес сервиса аутентификации и параметры соединения
 
authUrl = http://jwm-services.devel.corp:5703
 
; таймаут обращения к сервису аутентификации, в секундах
 
authTimeout = 15
 
; использовать прокси для обращения к сервису аутентификации
 
authUseProxy = false
 
 
 
 
[jwm]
 
; режим работы портала
 
; Public - внешний портал, Private - внутренний портал
 
mode = Private
 
; Виртуальный каталог
 
; совместно с адресом хостирования формирует URL для обращения
 
pathBase = /JMS/private
 
 
 
 
[cors]
 
; настройки CORS - если требуется обращение с другого сайта
 
endpoints = http://portal.devel.corp
 
 
 
 
; URL для поиска JMS Web Agent
 
[jwa]
 
http = http://localhost:5601
 
https = https://localhost:5600
 
 
 
 
;
 
; параметры сервисов (бэкенд)
 
;
 
 
 
 
[dataservice]
 
; адрес хостирования сервиса данных
 
url = http://*:5702
 
; сертификат для https
 
certificatePath =
 
certificatePassword =
 
; Флаг отключающий проверку валидности сертификата по CRL и Root.
 
noValidate = true
 
 
 
 
[authservice]
 
; адрес хостирования сервиса аутентификации
 
url = http://*:5703
 
; сертификат для https
 
certificatePath =
 
certificatePassword =
 
; Флаг отключающий проверку валидности сертификата по CRL и Root.
 
noValidate = true
 
 
 
 
[jms]
 
; адрес сервиса аутентификации JMS AuthenticationServiceWebApi
 
authApiUrl = http://jms.devel.corp:8121
 
; адрес сервиса администрирования JMS IntegrationManagerWebApi
 
clientApiUrl = http://jms.devel.corp:8120
 
; имя пользователя JMS для обращения к сервису администрирования
 
user = devel\admin
 
; пароль пользователя JMS для обращения к сервису администрирования
 
; указывается если сертификат JWT не совпадает с сертификатом STS
 
password =
 
 
 
 
[jas]
 
; URL сервиса аутентификации сервера JAS, если используется
 
url = http://jas.devel.corp:8221/api/v4.1
 
 
 
 
[database]
 
; тип СУБД
 
type=PostgreSQL
 
; адрес сервера СУБД
 
serverAddress=db-host.devel.corp
 
serverPort=5432
 
; серверный логин
 
serverLogin=postgres
 
serverPassword=12345678
 
; имя БД
 
databaseName=jwmdb
 
; пользователь БД
 
databaseLogin=postgres
 
databasePassword=12345678
 
 
 
 
;
 
; общая часть - параметры выпуска и проверки JWT
 
;
 
 
 
 
[jwt]
 
; с сертификатом на хосте сервисов (бэкенде) должен быть связан закрытый ключ
 
; если указать тот же сертификат, что используется JMS, пароль пользователя JMS задавать не нужно
 
 
 
 
; файл сертификата для импорта, если сертификат не загружался ранее
 
certificatePath = /home/admin/install/jwt/cert.pfx
 
; пароль к файлу сертификата для импорта, если используется
 
certificatePassword = 0987654321
 
; Флаг отключающий проверку валидности сертификата по CRL и Root.
 
noValidate = true
 
; отпечаток ранее загруженного сертификата, если существует
 
thumbprint = 834E1F5B10ADB02BF54334AC0E60B82FDEB2E282
 
; время жизни токена в минутах, влияет на таймаут сессии пользователя
 
ttl = 15
 
; допуск времени при проверке JWT, в секундах
 
clockSkew = 60

Подробное толкование назначения секций и параметров ini-файла приведено в разделе «Приложение 7. Параметры файла первоначальной конфигурации компонентов сервера JWM», с. 152.

Файл инициализации можно разместить в произвольную директорию, которая будет указана в дальнейшем при конфигурировании соответствующего сервиса JWM.

Установка компонентов JWM

Порядок развёртывания компонентов JWM приведен на примере ОС Astra Linux.

  1. Для установки сервиса внутреннего (Private) или внешнего (Public) порталов на соответствующий компьютер скопируйте дистрибутив согласно Табл. 13, с. 72 и выполните команду вида:
dpkg -i aladdin-jwm-portal_<version>_x64.deb

Например:

dpkg -i aladdin-jwm-portal_4.1.0.6226_x64.deb

      2. Выполните перезагрузку демона следующей командой

systemctl restart jwm-portal.service

      3. Для установки сервисов Auth и Data на соответствующий компьютер скопируйте дистрибутив согласно Табл. 13, с. 72 и выполните команду вида:

dpkg -i aladdin-jwm-services_<version>_x64.deb

Например:

dpkg -i aladdin-jwm-services_4.1.0.6226_x64.deb

      4. Выполните перезагрузку демона следующей командой

systemctl restart jwm-services.service

Первоначальная настройка компонентов JWM

Для настройки сервисов Auth и Data выполните следующие действия.

  1. На машине с установленными Auth- и Data-сервисами выполните их инициализацию с помощью следующей команды:
sudo /opt/jms-web-manager/DataService/Configurator/ConfigureService init -p <path_to_ini_file>

где <path_to_ini_file>  -- путь к ini-файлу, сформированному на подготовительном этапе.

Например:

sudo /opt/jms-web-manager/DataService/Configurator/ConfigureService init -p /opt/conf/jwm_initial_config.ini

Для настройки порталов (Private и/или Public) выполните следующие действия.

      2. На машине с установленным порталом выполните его инициализацию с помощью следующей команды:

sudo /opt/jms-web-manager/UserPlace/Configurator/ConfigureService init -p <path_to_ini_file>

где <path_to_ini_file>  -- путь к ini-файлу, сформированному на подготовительном этапе.

Например:

sudo /opt/jms-web-manager/UserPlace/Configurator/ConfigureService init -p /opt/conf/jwm_initial_config.ini

 Примечание. Если в домене не настроен список отзыва сертификатов (CRL), для корректной работы компонентов JWM, для которых в результате инициализации были установлены сертификаты для подписания JWT-токенов, на компьютерах, где установлены данные компоненты, можно установить необходимые флаги верификации сертификата командой:

sudo /opt/jms-web-manager/DataService/Configurator/ConfigureService jwt set cert_flags -v 4095 -t 15

Подробнее ознакомиться со всеми флагами верификации можно на web-ресурсе  https://learn.microsoft.com/ru-ru/dotnet/api/system.security.cryptography.x509certificates.x509verificationflags?view=net-7.0

Подготовительные действия для самостоятельной установки JWA пользователями

Для того чтобы обеспечить возможность установки пользователями клиентского агента (JWA) на своих рабочих компьютерах по подсказке из web-клиента следует выполнить следующие действия.

После развертывания и настройки портала JWM в каталоге /opt/jms-web-manager/UserPlace

следует создать вложенную папку следующего формата:

/wwwroot/modules/<платформа>

где вместо <платформа> - следует подставить "Win64", "Linux" или "MacOs" в зависимости от используемых клиентских операционных систем.

В каждый из созданных вложенных каталогов следует скопировать дистрибутив JWA для соответствующей платформы.