КриптоПро УЦ 2.0

Подключение Indeed CM к КриптоПро УЦ 2.0 возможно одним из следующих способов в зависимости от варианта исполнения УЦ:

• SOAP — варианты исполнения 5, 6, 9, 10 (ОС Windows)
• REST — варианты исполнения 15, 16 (ОС Windows и Linux)

Чтобы настроить работу Indeed CM с КриптоПро УЦ 2.0:

1. Создайте сервисную группу пользователей в Центре Регистрации КриптоПро УЦ 2.0.
2. Создайте сервисную учетную запись для работы с Indeed CM.
3. Подготовьте шаблоны сертификатов и сертификат для подключения к УЦ.
4. Установите на сервер Indeed CM сертификат для подключения к УЦ, корневой сертификат КриптоПро УЦ 2.0 и список отозванных сертификатов (CRL).
5. Настройте подключение к КриптоПро УЦ 2.0 в Консоли управления Indeed CM.
6. Если каталог пользователей расположен только в Центре Регистрации КриптоПро УЦ 2.0, настройте аутентификацию в веб-сервисах Indeed CM по сертификатам.

Создание сервисной учетной записи

Windows

Сервисную учетную запись можно создать следующими способами:

• Зарегистрировать учетную запись через веб-портал Центра Регистрации (рекомендуется)
• Использовать существующую учетную запись Центра Регистрации и добавить ее в группу безопасности

Чтобы зарегистрировать учетную запись через веб-портал Центра Регистрации (ЦР):

1. На сервере Indeed CM запустите браузер от имени администратора и откройте веб-портал ЦР КриптоПро УЦ 2.0: https://<имя сервера УЦ>/UI/.
2. На начальной странице выберите Регистрация. Откроется форма регистрации пользователя.
3. Укажите Имя и E-mail сервисной учетной записи.
4. Сохраните выданные ЦР логин и временный пароль.
5. (Опционально) Укажите дополнительную информацию.
6. Завершите регистрацию.
7. В Консоли управления ЦР одобрите запрос на регистрацию нового пользователя.
8. Добавьте созданного пользователя в группу безопасности.

Linux

Роль сервисной учетной записи выполняет оператор Центра Регистрации с сертификатом клиентской аутентификации и сертификатом подписи.

Подробнее о сертификатах оператора ЦР

Учетной записи оператора ЦР нужны следующие сертификаты:

• Сертификат клиентской аутентификации — сертификат с назначением «Проверка подлинности клиента» для подключения к УЦ
• Сертификат подписи — сертификат с назначениями «Цифровая подпись» и «Неотрекаемость» для подписи запросов к УЦ

Эти сертификаты указываются при настройке подключения к УЦ в Indeed CM в полях Клиентский сертификат и Сертификат подписи.

Команды выполняются на сервере УЦ в каталоге /opt/cpca/pkica.

1. Создайте группу операторов и выдайте ей права на каталог пользователей ЦР.

   cd /opt/cpca/pkica
   ./pkica ra folder add -n <имя каталога>
   ./pkica ra group add -n <имя группы>
   ./pkica ra permission grant --folder <имя каталога> --group <имя группы> --all

2. Создайте учетную запись оператора ЦР, укажите пути к сертификату клиентской аутентификации и сертификату подписи.

   ./pkica ra operator add \
     --last-name "<Фамилия>" \
     --first-name "<Имя>" \
     --tls-cert-file <путь к сертификату клиентской аутентификации> \
     --signing-cert-file <путь к сертификату подписи> \
     --group <имя группы> \
     --login <логин>

Для инсталляций с несколькими серверами Indeed CM

Если в инфраструктуре планируется установить несколько серверов Indeed CM, перенесите сертификаты клиентской аутентификации и подписи оператора ЦР вместе с контейнерами закрытых ключей на каждый сервер Indeed CM.

Настройка шаблонов и выпуск сертификата для подключения к УЦ

Windows

Выпустите сертификат агента подачи заявок для сервисной учетной записи.

Создание шаблона сертификата

1. Запустите утилиту Диспетчер УЦ.
2. В разделе Сервер ЦС выберите Шаблоны сертификатов.
3. Создайте шаблон сертификата Indeed CM Service User на основе шаблона Пользователь. Откроется окно свойств шаблона.
4. (Опционально) Укажите Срок действия сертификата.
5. В разделе Параметры создания ключа выберите Ключ принадлежит: Компьютеру и убедитесь, что включена опция Разрешить экспорт ключа.
6. В разделе Настройка расширений сертификата выберите Улучшенный ключ (2.5.29.37) и нажмите Изменить....
7. В окне Настройки расширения нажмите Изменить....
8. Поставьте отметку напротив пункта Агент запроса сертификата и два раза нажмите OK.
9. Нажмите Применить.

Получение сертификата

1. На сервере Indeed CM войдите в личный кабинет пользователя КриптоПро УЦ по логину и временному паролю сервисной учетной записи.
2. Создайте запрос на сертификат.
   1. Откройте вкладку Сертификаты.
   2. В верхней панели меню выберите Создать. Откроется окно запроса на сертификат.
   3. Выберите шаблон сертификата Indeed CM Service User.
   4. Выберите криптопровайдер Crypto-Pro GOST R 34.10-2012 Cryptographic Service Provider. Также поддерживаются криптопровайдеры RSA.
   5. Нажмите Создать.
3. Дождитесь, когда оператор Центра Регистрации одобрит запрос.
4. В личном кабинете пользователя КриптоПро перейдите в раздел Запросы → Изготовление. После выпуска сертификата статус запроса изменится на Завершен. Изготовленный сертификат отобразится на вкладке Сертификаты → Действительные.
5. Сохраните сертификат: выделите его и в правой части строки нажмите Скачать.

Для инсталляций с несколькими серверами Indeed CM

Если в инфраструктуре планируется установить несколько серверов Indeed CM, выпустите сертификат сервисной учетной записи с экспортируемым закрытым ключом и перенесите этот сертификат и его контейнер закрытого ключа на каждый сервер Indeed CM.

Linux

Роль агента подачи заявок выполняет оператор Центра Регистрации, поэтому сертификат агента подачи заявок выпускать не нужно.

Шаблоны сертификатов создаются и редактируются утилитой pkica на сервере УЦ. Добавьте шаблоны и в Центр Сертификации (ЦС), и в Центр Регистрации (ЦР).

1. Добавьте встроенный шаблон КриптоПро УЦ 2.0 в ЦС. Например, шаблон пользователя:

   cd /opt/cpca/pkica
   ./pkica ca template add --default-template User

2. (Опционально) Отредактируйте шаблон: выгрузите его в файл, измените в текстовом редакторе и загрузите обратно.

   ./pkica ca template get --name <имя шаблона> --file <путь к файлу>
   ./pkica ca template update --file <путь к файлу>

3. Перенесите шаблоны из ЦС в ЦР.

   # Экспорт списка шаблонов ЦС в файл
   ./pkica ca template list --detailed --file <путь к файлу> --format Json
   
   # Загрузка файла в настройки ЦР
   ./pkica ra settings set --name Templates --file <путь к файлу>

Установка сертификатов на сервер Indeed CM

Установите на сервер Indeed CM следующие сертификаты:

• Сертификат агента подачи заявок (Windows) или сертификаты клиентской аутентификации и подписи оператора ЦР (Linux) — в личное хранилище сертификатов
• Корневой сертификат КриптоПро УЦ 2.0 — в хранилище доверенных корневых сертификатов
• Список отозванных сертификатов (CRL) — в хранилище промежуточных сертификатов

Как установить сертификаты

Настройка аутентификации в веб-сервисах Indeed CM по сертификатам

Чтобы настроить аутентификацию в веб-сервисах Indeed CM по сертификатам, получите сертификат аутентификации сервера КриптоПро УЦ 2.0 и установите его в личное хранилище сертификатов на сервере Indeed CM.

1. Зарегистрируйте нового пользователя КриптоПро УЦ. В качестве имени пользователя укажите FQDN сервера Indeed CM.
2. На сервере Indeed CM войдите в личный кабинет пользователя КриптоПро УЦ по логину и временному паролю.
3. Создайте запрос на сертификат:
   1. Откройте вкладку Сертификаты.
   2. В верхней панели меню выберите Создать. Откроется окно запроса на сертификат.
   3. Выберите шаблон сертификата Веб-сервер.
   4. Выберите криптопровайдер Crypto-Pro GOST R 34.10-2012 Cryptographic Service Provider. Также поддерживаются криптопровайдеры RSA.
   5. В параметре Ключ будет использоваться для выберите Подпись.
   6. Нажмите Создать.
4. Дождитесь, когда оператор Центра Регистрации одобрит запрос.
5. В личном кабинете пользователя КриптоПро перейдите в раздел Запросы → Изготовление. После выпуска сертификата статус запроса изменится на Завершен. Изготовленный сертификат отобразится на вкладке Сертификаты → Действительные.
6. Сохраните сертификат: выделите его и в правой части строки нажмите Скачать.
7. Установите сертификат в личное хранилище на сервере Indeed CM.