Скрипт генерации

Mon, 01 Jan 0001 00:00:00 +0000

Для генерации TLS-сертификатов, необходимых для работы компонентов Системы, предназначен скрипт [certs.sh](https://gitlab.ngrsoftlab.ru/multicheck-platform/mp-back/platform-services/-/blob/dev/distribution/tls/cert.sh?ref_type=heads)

Указанный скрипт:

создает центр сертификации (CA);
выпускает подписанные сертификаты для каждого, нуждающегося в этом, компонента;
находится в директории: ${MPPATH}/bin/certs/tls/certs.sh
запускается в процессе установки Системы, но его можно использовать отдельно:

certs.sh {gen|reset|reset-all|cluster} <FQDN> <OS>

FQDN - полное доменное имя, которое будет добавлено в CN. Необходимо для локального docker-registry.

OS - Поддерживаются значения Ubuntu|Astra|Alt|RedOS. Чувствительно к регистру.
certs.sh gen multicheck.ngrsoftlab.ru Astra # Выпустит сертификаты на основе имеющихся корневых. Если их нет - создаст и их. Поместит корневые и подписанные сертификаты в /usr/local/share/ca-certificates/

certs.sh gen multicheck.ngrsoftlab.ru Alt   # Выпустит сертификаты на основе имеющихся корневых. Если их нет - создаст и их. Поместит корневые и подписанные сертификаты в /etc/pki/ca-trust/source/anchors/

certs.sh reset multicheck.ngrsoftlab.ru Astra # Удалит все сертификаты и ключи, кроме CA.

certs.sh reset-all multicheck.ngrsoftlab.ru Astra # Удалит все сертификаты и ключи, без исключений.

certs.sh cluster multicheck.ngrsoftlab.ru Astra # Добавит все имеющиеся сертификаты в доверенные (в системное хранилище). Без генерации.

Использование промежуточного CA сертификата

Mon, 01 Jan 0001 00:00:00 +0000

По умолчанию скрипт генерирует самоподписанный CA сертификат и использует его для подписи всех остальных сертификатов компонентов.

Для использования собственного промежуточного CA сертификата заказчика необходимо:

Поместить CA сертификат и приватный ключ в директорию ${MPPATH}/bin/certs/multicheck/ со следующими именами:
- ca_certificate.pem- сертификат CA
- ca_key.key- приватный ключ CA

Запустить скрипт генерации. При наличии указанных файлов скрипт пропустит генерацию CA и будет использовать предоставленные файлы для подписи сертификатов компонентов.

Параметр Требование Комментарий

Параметр	Требование	Комментарий
Формат	только PEM формат (текстовый).	Для преобразования из DER формата можно воспользоваться командой: Создание сертификатов без скрипта Mon, 01 Jan 0001 00:00:00 +0000 Для контролируемой генерации сертификатов для сервисов необходимо воспользоваться файлом openssl.config.sample. В нем изложены все необходимые параметры. Перед использованием необходимо заполнить все переменные: $MP_IP* и $NODE_N_IP Структура генерируемых файлов Mon, 01 Jan 0001 00:00:00 +0000 Скрипт создает следующую структуру директорий и файлов относительно своего расположения: $\{MPPATH}/bin/certs/ ├──server.crt # Сертификат сервера (для Docker) ├──server.key # Приватный ключ сервера ├──tls/ │ ├── broker/ # Сертификаты для broker кластера │ ├── cdr/ # Сертификаты для CDR │ ├── client/ # Сертификаты для клиентов │ ├── server/ # Сертификаты для сервера │ ├── storage/ # Сертификаты для storage кластера │ └── yara/ # Сертификаты для YARA └──multicheck_ca/ # Файлы центра сертификации ├── certs/ # Копии подписанных центром сертификатов ├── ca_certificate.pem # Сертификат CA (PEM) ├── ca_certificate.cer # Сертификат CA (DER) ├── ca_key.key # Приватный ключ CA ├── index.txt # База данных выданных сертификатов └── serial # Серийный номер следующего сертификата Установка сертификатов в доверенные Mon, 01 Jan 0001 00:00:00 +0000 После генерации скрипт автоматически добавляет все созданные сертификаты в доверенные на хосте в зависимости от указанной ОС: Для Ubuntu/Astra: Копирование в `/usr/local/share/ca-certificates/` Обновление командой `update-ca-certificates` Для Alt/RedOS: Копирование в `/etc/pki/ca-trust/source/anchors/` Обновление командой `update-ca-trust` Для Docker: Создание директории `/etc/docker/certs.d/<FQDN>:5443/` Копирование сертификата сервера для использования Docker клиентом Важно: Срок действия сертификатов = 10 лет (3650 дней); Все сертификаты подписываются с использованием конфигурационного файла `openssl.config`; При генерации используется единый CA сертификат для подписи всех компонентов; Сертификаты генерируются только для компонентов, которые не имеют собственных механизмов генерации. Установка сертификатов в доверенные без скрипта Mon, 01 Jan 0001 00:00:00 +0000 Для установки сертификата в доверенные необходимо выполнить действия из предыдущего пункта вручную. Конфигурация openssl Mon, 01 Jan 0001 00:00:00 +0000 Файл openssl.config содержит настройки для центра сертификации (CA) и расширения для различных типов сертификатов, используемых компонентами платформы. Находится в директории: `${MPPATH}/bin/certs/tls/openssl.config` Генерация сертификатов для YARA Mon, 01 Jan 0001 00:00:00 +0000 Скрипт в Системе заранее генерирует сертификаты для этого компонента. Если компонент устанавливается на отдельный хост, то сертификаты генерируются отдельно. Если корневой сертификат `${MPPATH}/bin/certs/multicheck_ca/ca_certificate.pem` и его приватный ключ `${MPPATH}/bin/certs/multicheck_ca/ca_key.key` отсутствуют, то создаётся отдельный центр сертификации. mp-analyzer Самостоятельно генерирует сертификаты на основе корневых при запуске. Важно, чтобы в файле .env были заполнены переменные: `DNS_NAMES=yara.multicheck.ru,mp-analyzer # Используется в качестве дополнительного SAN в сертификате TLS IP_ADDRESSES=$\{MP_IP} # Заполняется автоматически адресом хоста, используется в качестве дополнительного SAN в сертификате TLS` Генерация сертификатов для CDR Mon, 01 Jan 0001 00:00:00 +0000 Скрипт в Системе заранее генерирует сертификаты для этого компонента. В случае, если компонент устанавливается на отдельный хост, сертификаты генерируются отдельно. Если корневой сертификат `${MPPATH}/bin/certs/multicheck_ca/ca_certificate.pem` и его приватный ключ `${MPPATH}/bin/certs/multicheck_ca/ca_key.key` отсутствуют, то создаётся отдельный центр сертификации. mp-file-converter Самостоятельно генерирует сертификаты на основе корневых при запуске. Важно, чтобы в файле .env были заполнены переменные: `EXTERNALHOSTNAME=multicheck.ngrsoftlab.ru # Используется в качестве дополнительного SAN в сертификате TLS EXTERNALIP= # Используется в качестве дополнительного SAN в сертификате TLS`

Формат

только PEM формат (текстовый).

Для преобразования из DER формата можно воспользоваться командой:

Создание сертификатов без скрипта

Mon, 01 Jan 0001 00:00:00 +0000

Для контролируемой генерации сертификатов для сервисов необходимо воспользоваться файлом openssl.config.sample. В нем изложены все необходимые параметры. Перед использованием необходимо заполнить все переменные: $MP_IP* и $NODE_N_IP

Структура генерируемых файлов

Mon, 01 Jan 0001 00:00:00 +0000

Скрипт создает следующую структуру директорий и файлов относительно своего расположения:

$\{MPPATH}/bin/certs/
├──server.crt               # Сертификат сервера (для Docker)
├──server.key               # Приватный ключ сервера
├──tls/
│   ├── broker/             # Сертификаты для broker кластера
│   ├── cdr/                # Сертификаты для CDR
│   ├── client/             # Сертификаты для клиентов
│   ├── server/             # Сертификаты для сервера
│   ├── storage/            # Сертификаты для storage кластера
│   └── yara/               # Сертификаты для YARA
└──multicheck_ca/           # Файлы центра сертификации
    ├── certs/              # Копии подписанных центром сертификатов
    ├── ca_certificate.pem  # Сертификат CA (PEM)
    ├── ca_certificate.cer  # Сертификат CA (DER)
    ├── ca_key.key          # Приватный ключ CA
    ├── index.txt           # База данных выданных сертификатов
    └── serial              # Серийный номер следующего сертификата

Установка сертификатов в доверенные

Mon, 01 Jan 0001 00:00:00 +0000

После генерации скрипт автоматически добавляет все созданные сертификаты в доверенные на хосте в зависимости от указанной ОС:

Для Ubuntu/Astra:

Копирование в /usr/local/share/ca-certificates/
Обновление командой update-ca-certificates

Для Alt/RedOS:

Копирование в /etc/pki/ca-trust/source/anchors/
Обновление командой update-ca-trust

Для Docker:

Создание директории /etc/docker/certs.d/<FQDN>:5443/
Копирование сертификата сервера для использования Docker клиентом

Важно:

Срок действия сертификатов = 10 лет (3650 дней);
Все сертификаты подписываются с использованием конфигурационного файла openssl.config;
При генерации используется единый CA сертификат для подписи всех компонентов;
Сертификаты генерируются только для компонентов, которые не имеют собственных механизмов генерации.

Установка сертификатов в доверенные без скрипта

Mon, 01 Jan 0001 00:00:00 +0000

Для установки сертификата в доверенные необходимо выполнить действия из предыдущего пункта вручную.

Конфигурация openssl

Mon, 01 Jan 0001 00:00:00 +0000

Файл openssl.config содержит настройки для центра сертификации (CA) и расширения для различных типов сертификатов, используемых компонентами платформы.

Находится в директории: ${MPPATH}/bin/certs/tls/openssl.config

Генерация сертификатов для YARA

Mon, 01 Jan 0001 00:00:00 +0000

Скрипт в Системе заранее генерирует сертификаты для этого компонента. Если компонент устанавливается на отдельный хост, то сертификаты генерируются отдельно.

Если корневой сертификат ${MPPATH}/bin/certs/multicheck_ca/ca_certificate.pem и его приватный ключ ${MPPATH}/bin/certs/multicheck_ca/ca_key.key отсутствуют, то создаётся отдельный центр сертификации.

mp-analyzer

Самостоятельно генерирует сертификаты на основе корневых при запуске. Важно, чтобы в файле .env были заполнены переменные:

DNS_NAMES=yara.multicheck.ru,mp-analyzer # Используется в качестве дополнительного SAN в сертификате TLS

IP_ADDRESSES=$\{MP_IP} # Заполняется автоматически адресом хоста, используется в качестве дополнительного SAN в сертификате TLS

Генерация сертификатов для CDR

Mon, 01 Jan 0001 00:00:00 +0000

Скрипт в Системе заранее генерирует сертификаты для этого компонента. В случае, если компонент устанавливается на отдельный хост, сертификаты генерируются отдельно.

mp-file-converter

EXTERNALHOSTNAME=multicheck.ngrsoftlab.ru # Используется в качестве дополнительного SAN в сертификате TLS

EXTERNALIP= # Используется в качестве дополнительного SAN в сертификате TLS

Генерация сертификатов on xFP

Скрипт генерации

Использование промежуточного CA сертификата

Создание сертификатов без скрипта

Структура генерируемых файлов

Установка сертификатов в доверенные

Установка сертификатов в доверенные без скрипта

Конфигурация openssl

Генерация сертификатов для YARA

Генерация сертификатов для CDR