Сертификаты TLS

Общие сведения

Раздел Безопасность - Сертификаты TLS основного меню Web-интерфейса позволяет централизованно управлять TLS-сертификатами в кластере: загружать, обновлять и отслеживать состояние сертификатов на всех узлах.

Раздел доступен для чтения и редактирования пользователю с ролью Администратор безопасности. Раздел доступен для чтения пользователю с ролью Аудитор безопасности.

Проверка обновления сертификатов и синхронизация осуществляются с помощью компонента cert-manager, который является systemd-сервисом, расположенным на каждом узле.

В окне раздела Сертификаты TLS доступны операции по обновлению информации, загрузки сертификата, приватного ключа, файла с DH-параметрами и по применению загруженного сертификата.

Также в окне доступна информация о загруженном сертификате и отчет о применения сертификата на узлах.

Загрузка нового сертификата

Убедиться, что сервис cert-manager запущен на всех узлах кластера.
Загрузить сертификат, нажав на кнопку Сертификат (.crt).

Публичный сертификат сервера. Обязательный файл.
Загрузить приватный ключ, нажав на кнопку Приватный ключ (.key).

Секретный ключ сервера. Обязательный файл.
При необходимости загрузить файл с DH-параметрами, нажав
на кнопку DH-параметры (.pem).

Файл с параметрами Диффи-Хеллмана (только для TLS 1.2). Опциональный файл.
Нажать кнопку Применить.

После загрузки сертификата система автоматически настраивает использование сертификата всеми узлами с помощью сервиса cert-manager.

Внимание

Сертификат должен быть в формате PEM. Ключ должен быть незашифрованным (без пароля).

Возможно загрузить только один набор файлов (один сертификат, один ключ и один файл с DH-параметрами). Внутри файла может быть цепочка сертификатов.

Проверка загруженного сертификата

После загрузки сертификата убедиться, что в окне раздела Сертификаты TLS отобразилась информация:

Кому выдан — субъект выдачи сертификата.
Кем выдан — информация о структуре, выпустившей сертификат.
Действителен с/до — дата начала и окончания действия сертификата.
Отпечаток — отпечаток для проверки целостности.
Common Name (CN) — основное имя сертификата.
Subject Key Identifier (SKI) — идентификатор ключа субъекта.

В нижней части окна отображается таблица со статусом применения сертификата на каждом узле.

Внимание

В случае ошибки работы сервиса cert-manager для ротации сертификатов можно выполнить команду:

update-ssl

Запуск сервиса cert-manager

cert-manager — это systemd-сервис, который устанавливается вместе с Space Disp и работает на каждом узле кластера. Сервис автоматически выполняет действия:

Проверка наличия новых и обновленных сертификатов в БД.
Сохранение сертификатов в нужные директории.
Перезапуск сервисов (Apache).

Для запуска сервиса cert-manager необходимо:

После установки Space Disp скопировать полученный ключ key.bin из директории /opt/event-exporter (на узле с ролью Leader во время установки) в каталог /opt/cert-manager.

Запустить сервис cert-manager.

sudo systemctl start cert-manager.service && sudo systemctl enable cert-manager.service

Управление сервисом cert-manager

Проверка статуса:
```
sudo systemctl status cert-manager
```
Запуск сервиса:
```
sudo systemctl start cert-manager
```
Остановка сервиса:
```
sudo systemctl stop cert-manager
```
Перезапуск сервиса:
```
sudo systemctl restart cert-manager
```
Просмотр журнала работы службы:
```
sudo journalctl -u cert-manager -f
```