Требования к сертификатам безопасности
Когда использовать
Перед выпуском собственных сертификатов для установки или обновления Printum.
Состав сертификатов
Для базовой (сингл) схемы нужны три файла:
| Файл | Описание |
|---|---|
ca.crt |
Корневой сертификат (CA) |
server.crt |
Сертификат сервера |
server.key |
Закрытый ключ сертификата сервера |
Если используется промежуточный CA — он тоже должен быть передан отдельным файлом.
Для схемы с балансировщиком — отдельный сертификат и ключ для каждого сервера (HAProxy, Мониторинг, каждый ПринтМенеджер, сервер БД+NFS).
Привязка сертификата
- Установка системы по IP: сертификат выпускается на IP-адрес сервера.
- Установка системы по FQDN: сертификат выпускается на FQDN (доменному имени).
Должно соблюдаться соответствие между адресом сервера и адресом в выпускаемом сертификате: если система установлена по FQDN, а сертификат выпущен на IP или наоборот — возникнет ошибка Hostname mismatch.
Обязательные атрибуты
SSL-сертификат сервера:
- X509v3 Extended Key Usage:
TLS Web Server Authentication,TLS Web Client Authentication - X509v3 Subject Alternative Name (SAN) — обязателен. Должен содержать все адреса сервера:
DNS:server1.example.com
DNS:server1
IP:10.0.0.1
Без SAN будет ошибка unable to get local issuer certificate.
Корневой сертификат (CA):
- X509v3 Key Usage:
Digital Signature,Certificate Sign
Формат
- Данные в сертификатах — в незашифрованном текстовом виде, кодировка UTF-8.
- Поддерживаемые расширения:
.cer,.crt,.pem(для сертификатов),.key(для ключа). - Корневой сертификат — отдельный файл. Нельзя включать его содержимое в
server.crt.
Типовые ошибки и их причины
| Ошибка в логах | Причина |
|---|---|
Hostname mismatch |
Адрес сервера не совпадает с CN или SAN сертификата |
self signed certificate in certificate chain |
Содержимое CA включено в server.crt |
unable to get local issuer certificate |
Отсутствует поле SAN в сертификате |
Подробнее — в соответствующих troubleshooting-статьях (ссылки ниже).
Схема с балансировщиком HAProxy
Сертификат и ключ к нему должны быть предоставлены отдельно для каждого сервера. Корневой сертификат остаётся общим.
Пример комплекта сертификатов для развёртывания системы в конфигурации балансировщика:
| Сервер | Роль |
|---|---|
| Сервер HAProxy | Балансировщик |
| Сервер 1 | Мониторинг |
| Сервер 2 | ПринтМенеджер №1 |
| Сервер 3 | ПринтМенеджер №2 |
| Сервер 4 | ПринтМенеджер №3 |
| Сервер 5 | База данных ПринтМенеджеров и NFS-хранилище |
Необходимые файлы:
- Корневой сертификат (
.cer/.crt/.pem) — один общий для всех серверов. - Сертификат сервера и ключ — для каждого из 5 серверов отдельно.
Примечание: Для филиальных ПринтМенеджеров требуются собственные сертификаты с общим корневым сертификатом.
Альтернатива: автоматические сертификаты
Мониторинг и ПринтМенеджер позволяют использовать самоподписанные сертификаты, автоматически генерируемые при установке без дополнительных параметров. Самоподписанные сертификаты подходят для работы системы в конфигурации сингл, где Мониторинг и ПринтМенеджер устанавливаются на один сервер. При использовании самоподписанных сертификатов веб-браузеры будут показывать предупреждение о недоверии на входе в Личный кабинет и панели администратора.