Skip to main content

Требования к SSL-сертификатам для Printum

title: Требования к SSL-сертификатам для Printum slug: trebovaniya-k-ssl-sertifikatam tags: [ssl, сертификат, tls, SAN, требования, установка] domain: Security type: Reference audience: partner-engineer product_versions: "4.x" status: ready related_components: [Мониторинг, ПринтМенеджер, Балансировщик] related_pages:

    kak-obnovit-printum ts-ssl-hostname-mismatch ts-ssl-self-signed-in-chain ts-ssl-unable-to-get-local-issuer

    Требования к сертификатам безопасности

    Когда использовать

    Перед выпуском собственных сертификатов для установки или обновления Printum.

    Состав сертификатов

    Для базовой (сингл) схемы нужны три файла:

    Файл Описание
    ca.crt Корневой сертификат (CA)
    server.crt Сертификат сервера
    server.key Закрытый ключ сертификата сервера

    Если используется промежуточный CA — он тоже должен быть передан отдельным файлом.

    Для схемы с балансировщиком — отдельный сертификат и ключ для каждого сервера (HAProxy, Мониторинг, каждый ПринтМенеджер, сервер БД+NFS).

    Привязка сертификата

    • Установка по системы IP: сертификат выпускается на IP-адрес сервера.
    • Установка по системы FQDN: сертификат выпускается на FQDN (доменному имени).

    Должно соблюдаться соответствие между адресом сервера и адресом в выпускаемом сертификате: если система установлена по FQDN, а сертификат выпущен на IP или наоборот — возникнет ошибка Hostname mismatch.

    Обязательные атрибуты

    SSL-сертификат сервера:

    • X509v3 Extended Key Usage: TLS Web Server Authentication, TLS Web Client Authentication
    • X509v3 Subject Alternative Name (SAN) — обязателен. Должен содержать все адреса сервера:
    DNS:server1.example.com
DNS:server1
IP:10.0.0.1

    Без SAN будет ошибка unable to get local issuer certificate.

    Корневой сертификат (CA):

    • X509v3 Key Usage: Digital Signature, Certificate Sign

    Формат

    • Данные в сертификатах — в незашифрованном текстовом виде, кодировка UTF-8.
    • Поддерживаемые расширения: .cer, .crt, .pem (для сертификатов), .key (для ключа).
    • Корневой сертификат — отдельный файл. Нельзя включать его содержимое в server.crt.

    Типовые ошибки и их причины

    Ошибка в логах Причина
    Hostname mismatch Адрес сервера не совпадает с CN или SAN сертификата
    self signed certificate in certificate chain Содержимое CA включено в server.crt
    unable to get local issuer certificate Отсутствует поле SAN в сертификате

    Подробнее — в соответствующих troubleshooting-статьях (ссылки ниже).

    Схема с балансировщиком HAProxy

    Сертификат и ключ к нему должны быть предоставлены отдельно для каждого сервера. Корневой сертификат остаётся общим.

    Пример комплекта сертификатов для развёртывания системы в конфигурации балансировщика:

    Сервер Роль
    Сервер HAProxy Балансировщик
    Сервер 1 Мониторинг
    Сервер 2 ПринтМенеджер №1
    Сервер 3 ПринтМенеджер №2
    Сервер 4 ПринтМенеджер №3
    Сервер 5 База данных ПринтМенеджеров и NFS-хранилище

    Необходимые файлы:

    • Корневой сертификат (.cer/.crt/.pem) — один общий для всех серверов.
    • Сертификат сервера и ключ — для каждого из 6 серверов отдельно.

    Примечание: Для филиальных ПринтМенеджеров требуются собственные сертификаты с общим корневым сертификатом.

    Альтернатива: автоматические сертификаты

    Мониторинг и ПМ позволяют использовать самоподписанные сертификаты, автоматически генерируемые при установке без дополнительных параметров. Самоподписанные сертификаты подходят для работы системы в конфигурации сингл, где Мониторинг и ПМ устанавливаются на один сервер. При использовании самоподписанных сертификатов веб-браузеры будут показывать предупреждение о недоверии на входе в ЛК и панели администратора.

    Back to top