v1.0_3.3.6 Замена портальных/WEB сертификатов

Общее описание

Для обеспечения безопасного взаимодействия между администратором и системой NAICE реализована защита пользовательских интерфейсов: lemmus, gavia, larus, castor и sterna. HTTP-трафик полностью зашифрован с использованием протокола TLS, что предотвращает перехват данных и несанкционированный доступ. 

При этом генерируется различные сертификаты для двух групп сервисов:

1. Административные сервисы:
   • Gavia REST API Gateway - внешнее API для управления сущностями;
   • Lemmus, Authorization Server - сервер авторизации для администраторов;
   • Larus - WEB GUI для администратора;
2. Портальные сервисы:
   • Castor - API управления настройкой порталов и портальной авторизацией;
   • Sterna - WEB GUI портала.

Использование самоподписанного сертификата

Во время установки сервисов NAICE для пользовательских интерфейсов автоматически выполняется генерация двух самоподписанных сертификата, что позволяет обеспечить защищённое взаимодействие через HTTPS на основе параметров, указанных в конфигурации.

Для перегенерирования нового самоподписанного сертификата необходимо сделать следующее:

1) Для WEB-интерфейса NAICE:

Перейти в веб-интерфейс OVA-образа, доступный по следующей ссылке:

https://<IP-адрес установки NAICE>:8000

После чего перейти на вкладку NAICE - Certificates - web и нажать кнопку Сгенерировать самоподписанный сертификат.

2) Для портальных сервисов

Перейти в веб-интерфейс OVA-образа, доступный по следующей ссылке:

https://<IP-адрес установки NAICE>:8000

После чего перейти на вкладку NAICE - Certificates - portal и нажать кнопку Сгенерировать самоподписанный сертификат.

Использование собственного сертификата

При наличии собственного заверенного сертификата предусмотрена возможность заменить самоподписанный сертификат на собственный.

Требования к пользовательскому сертификату

Сертификат должен соответствовать всем нижеуказанным требованиям для обеспечения корректной работы с сервисом NAICE.

1. Сертификат должен быть в формате PEM или CRT.
2. Использование сертификатов в формате DER или контейнеров PKCS не поддерживается.
3. Сертификат должен поддерживать только шифрование AES.
4. Сертификат и приватный ключ должны быть отдельными файлами.
5. В пароле не допускается использование символов: $, ', ", `, скобок и пробелов.
6. Сертификат  должен содержать атрибуты:
   1. Subject: CN;
   2. X509v3 Key Usage: Digital Signature, Key Encipherment (обязательно critical);
   3. X509v3 Extended Key Usage: TLS Web Server Authentication, TLS Web Client Authentication;
   4. X509v3 Subject Alternative Name: должен включать DNS-имя, соответствующее имени сервиса.

Для замены самоподписанного сертификата на пользовательский необходимо выполнить следующее:

1) Перейти в веб-интерфейс OVA-образа, доступный по следующей ссылке:

https://<IP-адрес установки NAICE>:8000

2) Перейти на вкладку NAICE →  Certificates → web (Для сертификатов WEB-интерфейса) или NAICE →  Certificates → portal (Для портальных сервисов), ввести Пароль к файлу приватного ключа, Имя домена и загрузить следующие файлы:

• Файл сертификата
• Ключ сертификата

3) Нажать кнопку Сохранить

Мониторинг срока действия сертификатов

Для мониторинга срока дейтсвия сертификатов WEB-интерфейса или портальных сервисов необходимо сделать следующее:

1) Перейти в веб-интерфейс OVA-образа, доступный по следующей ссылке:

https://<IP-адрес установки NAICE>:8000

2) Перейти на вкладку NAICE →  Certificates → web (Для сертификатов WEB-интерфейса) или NAICE →  Certificates → portal (Для портальных сервисов).