Անցնել պարունակությանը

Ինչպե՞ս փոխարինել անվտանգության սերվերի ներքին TLS բանալին և հավաստագիրը

Լռելյայն անվտանգության սերվերի (Security Server) ներքին TLS բանալին (key) և հավաստագիրը (certificate) ինքնաշխատ կերպով ստեղծվում են անվտանգության սերվերի տեղակայման ընթացքում։

Ներքին TLS բանալին և հավաստագիրը հնարավոր է նաև ձեռքով ստեղծել անվտանգության սերվերի օգտատերի միջերեսով (UI)։ Սակայն գոյություն ունեցող բանալու և հավաստագրի ներմուծումը անվտանգության սերվերի օգտատերի միջերեսով հնարավոր չէ կատարել։ Վերջիններս ներմուծելու համար անհրաժեշտ է օգտագործել shell հասանելիություն անվտանգության սերվերին։

Քայլեր

Գոյություն ունեցող բանալին և հավաստագիրը ներմուծելու համար անհրաժեշտ է կատարել հետևյալ քայլերը․

  1. Ստորև ներկայացված ֆայլերից ստեղծեք պահուստավորված պատճեններ,

    cp -a /etc/xroad/ssl/internal.key /etc/xroad/ssl/internal.key.bak
cp -a /etc/xroad/ssl/internal.crt /etc/xroad/ssl/internal.crt.bak
cp -a /etc/xroad/ssl/internal.p12 /etc/xroad/ssl/internal.p12.bak

  2. փոխարինեք internal.keyև internal.crt այն ֆայլերով, որոնք ցանկանում եք ներմուծել,

  3. ստեղծեք PKCS#12 կոնտեյներ, որը կներառի նոր բանալին և հավաստագիրը,

    openssl pkcs12 -export -in /etc/xroad/ssl/internal.crt -inkey /etc/xroad/ssl/internal.key -name "internal" -out /etc/xroad/ssl/internal.p12 -passout pass:internal

  4. վերագործարկեք xroad-proxy և xroad-proxy-ui-api ծառայությունները,

    systemctl restart xroad-proxy
systemctl restart xroad-proxy-ui-api

  5. հավաստագրի ստուգիչ գումարը (checksum) գործարկեք կոնսոլում (console),

    openssl x509 -in /etc/xroad/ssl/internal.crt -sha1 -noout -fingerprint
SHA1 Fingerprint=0C:F2:B1:EF:DA:A4:2D:A8:E6:D9:56:AA:F1:2D:C9:B1:A2:5F:91:0E

  6. անվտանգության սերվերի օգտատերի միջերեսում ստուգեք, որպեսզի «Keys and Certificates» > «Security Server TLS Key» բաժնում ցուցադրվի նույն ստուգիչ գումարը,

  7. ստուգեք, որպեսզի /var/log/xroad/proxy.log և /var/log/xroad/proxy_ui_api.log լոգերի ֆայլերը չպարունակեն ներքին TLS բանալուն կամ հավաստագրին առնչվող սխալներ,

  8. խնդրի առաջացման դեպքում, վերականգնեք նախնական ֆայլերը և վերագործարկեք xroad-proxy ու xroad-proxy ծառայությունները։