1.2.1. Подготовка инфраструктуры
Aladdin Enterprise CAБыстрый стартAladdin Enterprise CA
Состав развёртываемой PKI
Заголовок раздела «Состав развёртываемой PKI»Развёртываемый вариант PKI включает:
- Корневой центр сертификации (далее — корневой ЦС) на базе программного комплекса “Центр сертификации Aladdin Enterprise Certification Authority” версии 2.4 (далее — eCA-CA).
- Издающий подчинённый центр сертификации (далее — подчинённый ЦС) на базе eCA-CA.
- Центр валидации (далее — ЦВ) для корневого ЦС на базе программного комплекса “Центр валидации Aladdin Enterprise Validation Authority” версии 2.4 (далее — eCA-VA).
- ЦВ для подчинённого ЦС на базе eCA-VA.
- Центр регистрации (далее — ЦР) на базе программного комплекса “Центр регистрации Aladdin Enterprise Registration Authority” версии 2.4 (далее — eCA-RA).
- Контроллер домена на базе программного комплекса ALD Pro версии 2.4.0 или 3.0.0 (далее — ALD Pro).
- АРМ администратора на базе ОС Astra Linux SE.
- АРМ оператора на базе ОС Astra Linux SE.
- АРМ пользователя домена на базе ОС Astra Linux SE.
Описание целевых параметров компонентов PKI приведено в таблице.
| Наименование компонента | Описание параметров |
|---|---|
| Корневой ЦС | Имя центра сертификации: Root. Поддерживаемые криптографические алгоритмы: стандартный RSA; стандартный ECDSA. Параметры ЭП ЦС: алгоритм: RSA; длина ключа ЭП: 4096; алгоритм хэширования: SHA512. Место хранения закрытого ключа ЦС: локальное хранилище Aladdin eCA |
| Подчинённый ЦС | Имя центра сертификации: Sub. Поддерживаемые криптографические алгоритмы: стандартный RSA; стандартный ECDSA. Параметры ЭП ЦС: алгоритм: RSA; длина ключа ЭП: 3072; алгоритм хэширования: SHA384. Место хранения закрытого ключа ЦС: локальное хранилище Aladdin eCA на жёстком диске ВМ Aladdin eCA |
| ЦВ для корневого ЦС | Обслуживаемый ЦС: корневой. Сервис CRL: включён. Сервис Delta CRL: отключён. Сервис OCSP: отключён |
| ЦВ для подчинённого ЦС | Обслуживаемый ЦС: подчинённый. Сервис CRL: включён. Сервис Delta CRL: включён. Сервис OCSP: включён. Параметры OCSP: криптопровайдер: стандартный; место хранения закрытого ключа службы OCSP: локальное хранилище Aladdin eCA на жёстком диске ВМ Aladdin eCA. шаблон сертификата службы OCSP: OCSP Signer; алгоритм электронной подписи: RSA; длина ключа электронной подписи: 2048; обновления сертификата службы: автоматическое. Параметры ответов службы OCSP: статус неизвестных сертификатов GOOD; включать сертификата OCSP подписи в ответ; включать цепочку сертификатов в ответ |
| ЦР | Правило выпуска сертификатов для группы ipaservers. Шаблон правила выпуска сертификатов: WEB-Server. Режим обработки правила выпуска сертификатов: “Автоматический выпуск” |
| АРМ администратора | Способ аутентификации: сетевой. Тип аутентификации: двухфакторная |
| АРМ оператора | Способ аутентификации: сетевой. Тип аутентификации: двухфакторная |
| АРМ пользователя домена | Способ аутентификации: сетевой. Тип аутентификации: двухфакторная |
Развёртывание PKI
Заголовок раздела «Развёртывание PKI»Перед развёртыванием PKI убедитесь в наличии следующих компонентов производителя:
- Aladdin Enterprise CA в исполнении Ready-to-Go:
- виртуальный образ OVF для импорта в гипервизор;
- лицензия (*.lic-файл) для активации Aladdin Enterprise CA;
- инсталляционный пакет программного средства “Единый Клиент JaCarta” (можно скачать по ссылке: https://aladdin-rd.ru/support/downloads/jacarta_client/);
- дистрибутив приложения JC–WebClient (можно скачать по ссылке: https://aladdin-rd.ru/support/downloads/jc-webclient/);
- ключевой носитель JaCarta PKI (можно получить для тестирования в рамках пилотного проекта);
- инсталляционный пакет ALD Pro;
- файл с лицензией для активации ALD Pro.
Требования к инфраструктуре:
- Развёртывание решения выполняется в виртуальной инфраструктуре, которая должна удовлетворять следующим требованиям:
- поддержка OVF-формата для импорта ВМ;
- возможность проброса USB-подключений к физическому компьютеру.
- Для выполнения сценариев необходимо подключение к домену. Подключение осуществляется либо к уже существующему домену, либо к развёрнутому домену (см. Развёртывание домена и eCA).
Подготовка гипервизора для импорта виртуальной машины Aladdin eCA
Заголовок раздела «Подготовка гипервизора для импорта виртуальной машины Aladdin eCA»Обеспечьте наличие на используемом гипервизоре 8 ядер CPU, 24 ГБ RAM и 120 ГБ дискового пространства под будущую ВМ Aladdin eCA.
Подготовка виртуальной машины для контроллера домена
Заголовок раздела «Подготовка виртуальной машины для контроллера домена»Если планируется использовать уже существующий домен, то пропустите данный шаг, иначе подготовьте виртуальную машину согласно таблице.
| Назначение | ОС | Количество | CPU (не менее) | RAM (не менее) | Диск, объём (не менее, Гб) | Тип диска | IP-адрес |
|---|---|---|---|---|---|---|---|
| Сервер контроллера домена | Astra Linux SE | 1 | 8 | 8 | 300 | SSD | Статический |
Подготовка АРМ
Заголовок раздела «Подготовка АРМ»Подготовьте АРМ согласно таблице.
| Назначение | ОС | Количество | CPU (не менее) | RAM (не менее) | Диск, объём (не менее, Гб) | Тип диска | IP-адрес |
|---|---|---|---|---|---|---|---|
| АРМ администратора | Astra Linux SE | 1 | 2 | 4 | 50 | — | Статический |
| АРМ оператора | Astra Linux SE | 1 | 2 | 4 | 50 | — | Статический |
| АРМ пользователя домена | Astra Linux SE | 1 | 2 | 4 | 50 | — | Статический |