Технический портал

Адаптер УЦ Aladdin Enterprise CA (далее Адаптер УЦ AeCA) представляет собой компонент JMS, который позволяет выполнять выпуск сертификатов пользователей в удостоверяющем центре Aladdin Enterprise Certificate Authority производства компании Аладдин, а также управление данными сертификатами.

Примечание. Компонент «Адаптер УЦ AeCA» является лицензируемой опцией продукта JMS. Функциональность компонента доступна только при условии приобретения соответствующей опции, информации о которой зафиксирована в файле лицензии на продукт.

Адаптер УЦ AeCA включает в себя две составные части:

собственно адаптер для сервера JMS, устанавливается на компьютер с компонентом «Сервер JMS»;
модуль расширения для консоли управления JMS, устанавливается на компьютер с серверным web-приложением «Консоль управления JMS». После развертывания он выполняет в консоли JMS, в частности, функции редактора профиля выпуска сертификатов AeCA, где находятся настройки работы адаптера.

Дистрибутив

Дистрибутив адаптера УЦ AeCA включает следующие пакеты установки (Табл. 29).

Табл. 29 – Дистрибутивы адаптера УЦ AeCA

ОС	Файл дистрибутива	Описание
Astra Linux	aladdin-enterprise-ca-adapter_4.1.0.xxxx.deb	Адаптер УЦ AeCA
РЕД ОС	aladdin-enterprise-ca-adapter_4.1.0.xxxx_x64.rpm
ОС Альт	aladdin-enterprise-ca-adapter_4.1.0.xxxx_alt_x64.rpm
Astra Linux	aladdin-enterprise-ca-adapter-admin_4.1.0.xxxx.deb	Модуль расширения AeCA для серверного web-приложения Консоль управления JMS
РЕД ОС	aladdin-enterprise-ca-adapter-admin_4.1.0.xxxx_x64.rpm
ОС Альт	aladdin-enterprise-ca-adapter-admin_4.1.0.xxxx_alt_x64.rpm

Порядок установки адаптера УЦ AeCA

Подготовительные действия

Скопируйте с дистрибутивного диска на компьютер с компонентом «Сервер JMS», файл дистрибутива адаптера УЦ AeCA.

Установка

3. Установите адаптер УЦ AeCA с помощью соответствующей команды.

3.1 Для ОС Astra Linux:

dpkg -i <путь_к_файлу_deb-пакета согласно Табл. 29, с. 107>

3.2 Для РЕД ОС:

dnf install <путь_к_файлу_rpm-пакета согласно Табл. 29, с. 107>

3.3 Для ОС Альт:

apt-get install <путь_к_файлу_rpm-пакета согласно Табл. 29, с. 107>

4. Выполните команду консольного агента JMS для инициализации адаптера к УЦ AeCA:

Aladdin.EAP.Agent.Terminal aeca-adapter initialize

Примечания:

1) Если JMS не был инициализирован до установки адаптера, то дополнительно выполнять команду инициализации адаптера не требуется.

2) Для получения полного описания команды aeca-adapter initialize обратитесь к разделу «Приложение 2. Справочник команд консольного агента Aladdin.EAP.Agent.Terminal», с. 120.

5. Для проверки корректности установки адаптера необходимо выполните команду connector show консольного агента JMS:

Aladdin.EAP.Agent.Terminal connector show

В случае корректной установки будет получен консольный вывод следующего вида.

Рис. 86 – Пример выдачи команды connector show после корректной установки адаптера УЦ AeCA

Порядок установки модуля расширения AeCA для консоли управления JMS

Подготовительные действия

Скопируйте файл дистрибутива модуля расширения AeCA для соответствующей ОС на компьютер с серверным web-приложением «Консоль управления JMS».

Установка

Установите модуль расширения УЦ AeCA для консоли управления JMS с помощью соответствующей команды.

1.1 Для ОС Astra Linux:

dpkg -i <путь_к_файлу_deb-пакета согласно Табл. 29, с. 107>

1.2 Для РЕД ОС:

dnf install <путь_к_файлу_rpm-пакета согласно Табл. 29, с. 107>

1.3 Для ОС Альт:

apt-get install <путь_к_файлу_rpm-пакета согласно Табл. 29, с. 107>

Порядок удаления адаптера УЦ AeCA

Удаление адаптера УЦ AeCA

Для удаления адаптера УЦ AeCA с сервера JMS выполните следующую команду:

sudo apt remove aladdin-enterprise-ca-adapter

Примечание. При обновлении JMS удаление адаптера следует производить перед удалением сервера JMS.

Удаление расширения AeCA для консоли управления JMS

Для удаления расширения AeCA для консоли управления JMS выполните следующую команду:

sudo apt remove aladdin-enterprise-ca-adapter-admin

Примечание. При обновлении JMS удаление адаптера следует производить перед удалением серверного web-приложения Консоль управления JMS.

Предварительные настройки для выпуска сертификатов AeCA в JMS

Подключение к УЦ

Для выпуска сертификатов следует осуществить подключение к УЦ. Для этого выполните следующие действия

Добавьте сертификат корневого (и подчинённого, если есть) УЦ в хранилище доверенных сертификатов.

1.1 Экспортируйте корневой сертификат УЦ.

1.2 Сконвертируйте его в формат crt:

openssl x509 -inform DER -in <filepath>/CA-Root.cer -out CA-Root.crt

1.3 Добавьте полученный сертификат в список доверенных.

Для ОС Astra Linux:

Скопируйте файл вашего сертификата в хранилище сертификатов в каталог usr/local/share/ca-certificates/:

sudo cp CA-Root.crt /usr/local/share/ca-certificates/
 
sudo update-ca-certificates

Если команда не найдена, установите пакет:

sudo apt install ca-certificates

Для РЕД ОС выполните следующие команды:

yum install ca-certificates
 
update-ca-trust force-enable
 
cp CA-Root.crt /etc/pki/ca-trust/source/anchors/
 
update-ca-trust extract

2. Добавьте p12, которому разрешено работать с УЦ (контейнер пользователя AeCA с правами «Администратор», выпущенный в AeCA).

2.1 Создайте пользователя в AeCA с правами «Администратор» и выпустите ему сертификат. При выпуске экспортируйте p12.

2.2 На машине с сервером JMS сделайте ь импорт контейнера p12:

sudo Aladdin.EAP.Agent.Terminal certificates install --path <path to p12> --password <password>

2.3 Убедитесь в корректной установке сертификата в хранилище

sudo Aladdin.EAP.Agent.Terminal certificates list

3. В консоли управления JMS укажите адрес сервера УЦ. (Важно! Адрес должен быть указан так, как прописан в сертификате).

4. Укажите сертификат для аутентификации в УЦ. Выберите из доступных.

5. Нажмите Обновить. После этого произойдет загрузка в JMS данных из УЦ.

6. Выберите профиль сертификата (внутренняя сущность УЦ).

7. Выберите внешний ключ. Внешний ключ служит для идентификации уникальности пользователя (для AD и подобных ресурсных систем необходимо выбрать objectGUID; для FreeIPA и подобных ресурсных систем – ipaUniqueID).

Рис. 87 – Интерфейс подключения к УЦ AeCA в консоли управления JMS

Особенности настройки профиля выпуска сертификата УЦ AeCA (вкладка Сертификат)

В текущей версии адаптера доступно управление формированием именем субъекта и альтернативным именем субъекта, для выпускаемых сертификатов.

Рис. 88 – Поля вкладки Сертификат профиля выпуски сертификата УЦ AeCA в консоли управления JMS

Настройки в поле Имя субъекта (Subject DN)

В зависимости от выбранного профиля сертификата меняется список доступных атрибутов имени субъекта (Subject DN). По умолчанию редактор автоматически подставляет обязательные для заполнения атрибуты и запрещает их удаление в редакторе. При отсутствии обязательных атрибутов в запросе выпуск сертификата закончится ошибкой.

Пример для AD:

Рис. 89 – Пример значения имени субъекта из AD для шаблона сертификата пользователя в УЦ AeCA

Пример для ALD Pro:

Рис. 90 – Пример значения имени субъекта из ALD Pro шаблона сертификата пользователя в УЦ AeCA

Примечание. Для ALD Pro необходимо поменять значение по умолчанию на uid, иначе будет ошибка при выпуске.

Настройки в поле Альтернативное имя субъекта (Subject Alternative Name)

Поле позволяет задавать шаблон формирования альтернативного имени субъекта сертификата в форматах: RFC822Name, DNSName, URI, UPN.

Необходимо задать RFC822Name и UPN (т.е. выбрать UPN-подобные атрибуты).

Рис. 91 – Пример корректной настройки альтернативного имени субъекта для шаблона сертификата пользователя в УЦ AeCA