6.2.13 Azure Backup + КриптоПро

USB-токены и смарт-карты JaCartaИнтеграцииUSB-токены и смарт-карты JaCarta

Не актуализировано

Документ не актуализирован: описывает версии продуктов, снятые с поддержки. Приведён в справочных целях; для актуальных сценариев см. другие инструкции раздела.

Аннотация

Настоящий документ содержит сведения по настройке резервного копирования информации в облако Microsoft Azure Backup зашифрованной при помощи Крипто Про EFS и доступа к этой информации по USB-токенам и смарт-картам компании «Аладдин Р.Д.».

Описание демо инфраструктуры

В организации EFS находятся три сервера на основе ОС Windows Server 2012 R2

• DC.EFS.LOCAL - Контроллер Домена Active Directory
• RDS.EFS.LOCAL – Сервер удаленных рабочих столов
• CA.EFS.LOCAL – Будущий удостоверяющий центр и центр выдачи сертификатов

Сотрудники организации подключаются к RDS.EFS.LOCAL для доступа к приложениям и хранят на нем свои рабочие документы.

Необходимо обеспечить защищенность данных, путем их шифрования и осуществления резервного копирования в геораспределенное облачное хранилище Microsoft Azure. Доступ к данным осуществляется по закрытому ключу, который безопасно хранится на USB-токене или смарт-карте.

Azure Backup Vault

Контроллер Домена

Сервер удаленных рабочих столов

DC.EFS.LOCAL

RDS.EFS.LOCAL

Рабочая станция Клиента

Смарт-карта

Удостоверяющий центр

PC.EFS.LOCAL

CA.EFS.LOCAL

Установка необходимого ПО

Установка КриптоПро CSP

ПО Крипто ПРО CSP в настоящем примере необходимо установить на: контроллер домена DC.EFS.LOCAL; сервер рабочих столов RDS.EFS.LOCAL; сервер центра сертификации CA.EFS.LOCAL; клиентские машины PC.EFS.LOCAL.

Во время установки выберите тип — Выборочная и отметьте для установки компонент Kernel mode CSP.

Установка SafeNet Authentication Client

На все ПК и серверы, где планируется использование смарт-карт, установите ПО SafeNet Authentication Client.

Установку производите с параметрами по умолчанию.

Установка КриптоПро EFS

На ПК пользователей и сервер удаленных рабочих столов установите ПО Крипто Про EFS.

1. Установку производите с параметрами по умолчанию.

2. Установку следует производить, только после установки Крипто Про CSP.

Подготовка учетных записей и групп

1. В настоящем примере используются 3 учетные записи и 2 группы. Для демонстрации понадобятся следующие учетные записи:.

Учетные записи:

1.DCAdmin — учетная запись администратора предприятия. 2.efsRA — учетная запись агента восстановления EFS. 3.K.Sobchak — учетная запись рядового пользователя.

Группы:

4.EFSUsers — пользователи, которым будут использовать EFS шифрование 5.EFS Computers — компьютеры на которых будет включено EFS шифрование

2. В группу EFSComputers необходимо включить компьютеры, на которых будет задействовано EFS шифрование с использованием ГОСТ-алгоритма. В настоящем примере это будет RDS.EFS.LOCAL.

Настройка Центра Сертификации

Установка роли центра сертификации

1. В настоящем примере используется упрощённая установка центра сертификации (далее ЦС) с использованием только корневого ЦС.

2. На сервере CA.EFS.LOCAL добавьте роль центра сертификации: Диспетчер сервера -> Управление -> Добавить роли и компоненты.

3. С помощью мастера добавления ролей и компонентов выберите для установки роль Службы сертификатов Active Directory.

При выборе службы ролей необходимо выбрать Центр сертификации.

Настройка службы центра сертификации

1. После завершения установки службы сертификатов необходимо ее настроить.

2. Из Диспетчера серверов вызовите диалог настройки службы.

   

3. Введите учетные данные пользователя, входящего в группу Администраторы предприятия.

3.В качестве службы для настройки выберите Центр сертификации.

4. Укажите вариант установки центра сертификации — ЦС Предприятия.

5. Укажите тип центра сертификации — Корневой ЦС.

6. Укажите тип закрытого ключа — Создать новый закрытый ключ.

7. Задайте параметры шифрования согласно рисунку.

   

8. Имя ЦС можно оставить в значении по умолчанию.

9. Срок действия установите — 5 лет.

Расположение баз данных можно оставить в значении по умолчанию. 10. Нажмите кнопку Настроить. Далее отобразится запрос на выбор расположения контейнера. 11. закрытого ключа (далее ЗК). Выберите Реестр (Registry). 12.

12. После ввода произвольной последовательности для генерации ключа отобразится диалог ввода ПИН-кода. Задайте ПИН-код для контейнера ЗК.

13. Первоначальная настройка ЦС на этом закончена. 14.

14. Экспорт сертификата ЦС

15. Выполните экспорт сертификата ЦС в файл, доступный для контроллера домена. Для этого воспользуйтесь оснасткой Сертификаты (локальный компьютер).

16. Задайте произвольное имя сертификата, например efs_root_ca.cer.

Настройка шаблонов сертификатов

1. Откройте оснастку Центр сертификации из Диспетчера серверов -> Средства.

2. Далее Шаблоны сертификатов -> Действие -> Управление.

3. Скопируйте шаблон Агент восстановления EFS, в появившемся окне переименуйте поле Отоброжаемое имя шаблона.

   

4. Установите галочку Опубликовать сертификат в Active Directory.

5. На вкладке Обработка запроса снимите галочку Разрешить экспортировать закрытый ключ.

6. На вкладке шифрование выставьте параметры, как показано на рисунке.

   

7. На вкладке Требования выдачи выставьте следующие настройки.

   

8. На вкладке Безопасность добавьте пользователя, который будет выдавать ключи другим пользователям.

9. Разрешите этому пользователю Чтение, Запись и Заявка. Аналогично выполняется конфигурация шаблонов Базовое шифрование EFS, **Вход со смарт-**10. картой и Агент регистрации.

Публикация шаблонов

1. 1.В списке шаблонов сертификатов удалите шаблоны Агент восстановления EFS и Базовое шифрование EFS.
2. Вместо них добавьте только что созданные шаблоны: Шаблоны сертификатов -> Действие -> Создать -> Выдаваемый шаблон сертификата.

Инициализация и выпуск ключей

Необходимо инициализировать три ключа для пользователей: DCAdmin, efsRA, K.Sobchak.

Выпуск сертификата Агента регистрации

В качестве агента регистрации, в настоящем примере, используется учетная запись DCADmin.

Войдите пользователем DCAdmin на CA.EFS.LOCAL и из оснастки Сертификаты –> текущий пользователь запросите сертификат ГОСТ Агент регистрации. В качестве контейнера используйте смарт-карту (для DCADmin).

После выпуска сертификата агента регистрации, появляется возможность выпускать сертификаты для других пользователей от имени DCADmin.

Выпуск сертификата Агента восстановления EFS

Из-под пользователя DCAdmin при помощи оснастки Сертификаты – >текущий пользователь выполните запрос сертификата ГОСТ Агент восстановления EFS для пользователя efsRA.

Выпуск сертификата производите на смарт-карту предназначенную для efsRA.

Этот сертификат экспортируйте в файл

Аналогично произвести выпуск сертификата ГОСТ Вход со смарт-картой.

Выпуск сертификата Пользователя

1. Выполняется аналогично предыдущему, только необходимо использовать шаблоны ГОСТ Базовое шифрование и ГОСТ Вход со смарт-картой.

Настройка групповых политик

1. Создайте групповую политику EFS Encryption Policy применяемую к группе EFSComputers. 2.В политике компьютера Конфигурация Windows -> Параметры безопасности -> Политики работы с открытыми ключами -> Шифрованная файловая система EFS->Добавить агента восстановления данных.

   

2. Добавить сертификат efsra.cer. 4.В свойствах Шифрованная файловая система (EFS) на вкладке Общие отметьте Разрешить Шифрование файлов с помощью шифрующей файловой системы (EFS). А на вкладке Сертификаты снять галочку Разрешить EFS создавать самозаверяющиеся сертификаты, если центр сертификации недоступен.

Добавление сертификата ЦС в хранилище доверенных сертификатов

1. Необходимо добавить сертификат ЦС в список доверенных центров сертификации.

2. Для этого создайте политику Trusted Certificates и в секции Конфигурация компьютера -> Политики-> Конфигурация Windows -> Параметры безопасности ->Политика открытого ключа-> Доверенные корневые центры сертификации -> Импорт. Выберите сертификат efr_root_ca.cer.

Настройка сервера RDS

Выпустите служебный, самоподписанный сертификат при помощи утилиты Консоли управления Крипто ПРО EFS. Мои сертификаты -> Все задачи -> Создать самоподписанный сертификат.

1. Далее выполните экспорт сертификата из оснастки Сертификаты - текущий пользователь в двух форматах: с экспортом закрытого ключа (.pfx) и без экспорта закрытого ключа (.cer).

   

Сертификат с закрытым ключом .pfx импортируйте в Личное хранилище компьютера, а сертификат без закрытого ключа .cer в хранилище Доверенные лица компьютера.

ПИН-код при импорте оставьте пустым.

Шифрование файлов

1. Теперь можно проверить шифрование файлов на RDS.EFS.LOCAL. Для этого подключитесь, при помощи смарт-карты к серверу RDS.

2. В каталоге Документы, создайте файл и зашифруйте его, выставив в свойствах файла Другие -> Шифровать содержимое для защиты данных.

3. Нажмите кнопку Подробно, если все прошло без ошибок, отобразиться следующее окно.

Настройка резервного копирования в облако Azure

Для запуска резервного копирования, необходимо зарегистрировать новое хранилище в Azure.

1. Для этого перейдите по ссылке http://manage.windowszure.com. Далее войдите под учетной записью Microsoft, в пункте меню Recovery Services. Перейдите к пункту NEW ->Recovery Services ->Backup Vault ->Quick Create.

2. Задайте имя хранилища, например efs-gost. И выберите регион хранения данных, например North Europe.

   

3. После создания хранилища скачайте файл учетных данных и клиент Azure Backup по предоставленным ссылкам.

Установка Azure Backup Agent

1. Установите скачанный Azure Backup Agent с настройками по умолчанию. В ходе установки, при необходимости, будут установлены отсутствующие компоненты (.Net Framework, Powershell).

   

2. По завершении установки нажмите кнопку Перейти к регистрации.

3. Отобразится следующее окно, выберите файл учетных данных, скачанный ранее.

   

4. Придумайте парольную фразу и укажите путь к файлу ее восстановления.

   

Настройка расписания резерви рования

1. По завершении регистрации откроется окно Служба архивации Microsoft Azure. Создайте в нём расписание архивации.

   

   

В выборе элементов для архивации укажите папку с профилями пользователей.

2. Остальные настройки оставьте по-умоланию.

   

3. Для проверки настроек, нажмите Выполнить мгновенную архивацию.

Восстановление данных

1. Восстановление из резервной копии выполняется аналогично. Вызовите диалог восстановления данных, нажав кнопку Восстановить данные. Выберите пункт Этот сервер -> Обзор файлов -> Выбрать том и дату и время образа.

2. Далее выберите файлы для восстановления.

   

3. Выберите местоположение для восстанавливаемых файлов.

   

4. Проверить файлы может тот пользователя, который их зашифровал или при помощи агента восстановления efsRA.