Зачем
Подготовить рабочее место для развёртывания компонентов. Проверяем пакет, выполняем команды установки и запуска веб-мастера. Открываем его в браузере и проверяем начальный список компонентов.
Результат
Веб-мастер запущен и готов к настройке узлов стенда. Длительность главы — 03:11.
| В полном ролике | В главе | Что происходит |
|---|---|---|
| 00:01:22 | 00:00:00 | Что подготовлено и какой результат получим |
| 00:02:07 | 00:00:45 | Переход в каталог с пакетом |
| 00:02:21 | 00:00:58 | Проверка имени и размера файла .deb |
| 00:02:49 | 00:01:27 | Установка пакета |
| 00:03:32 | 00:02:09 | Запуск itc-installer |
| 00:03:41 | 00:02:18 | Сообщение о готовности приложения и порт |
| 00:03:55 | 00:02:32 | Открытие веб-мастера и принятие лицензии |
| 00:04:17 | 00:02:54 | Начальный экран компонентов и версия установщика |
Время:00:02:08в полном ролике·00:00:45в главе·Где:Машина установщика; открытая консоль обычного пользователя
$cd ~/Downloads Параметры
| cd | Сменить текущий каталог |
| ~ | Домашний каталог текущего пользователя |
| Downloads | Папка со скопированным установочным пакетом |
Что увидеть: текущий каталог меняется на Downloads; последующие команды работают с файлом пакета в этой папке.
Время:00:02:21в полном ролике·00:00:59в главе·Где:Машина установщика, ~/Downloads
$ls -lh clearway-ca-installer_26.2.0-1_amd64.deb Параметры
| ls | Показать сведения о файле |
| -l | Подробный список |
| -h | Удобные единицы размера |
| имя .deb | Имя именно вашего файла в текущей папке |
Что увидеть: строка с именем пакета и размером; в записи показано 388M.
Время:00:02:53в полном ролике·00:01:31в главе·Где:Машина установщика, ~/Downloads
$sudo dpkg -i ./clearway-ca-installer_26.2.0-1_amd64.deb Параметры
| sudo | Запуск с повышенными правами |
| dpkg | Менеджер пакетов Debian/Astra Linux |
| -i | Установить указанный пакет |
| ./ | Текущий каталог |
| имя .deb | Должно совпадать с проверенным файлом |
Что увидеть: пакет распакован и настроен; сообщение «Clearway CA — веб-инсталлятор установлен» и возврат приглашения консоли.
Здесь устанавливается пакет веб-мастера. Установка базы и корневого ЦС начинается в главе 2.
Время:00:03:32в полном ролике·00:02:09в главе·Где:Машина установщика; обычная учётная запись
$itc-installer Параметры
| itc-installer | Исполняемая команда запуска установленного веб-мастера |
| параметры | Не задаются |
Что увидеть: в консоли появляются Now listening on https://[::]:5224 и Application started. Окно остаётся открытым, пока нужен мастер.
Затем в браузере открывается https://localhost:5224/installer через заранее подготовленный туннель. Ctrl+C останавливает мастер; в демонстрации его оставляют работающим.
Зачем
Создать корневой центр, который подписывает сертификаты подчинённых центров и задаёт начало цепочки доверия. Подключаемся к корневой машине, готовим её базу, устанавливаем службу и создаём корневой сертификат.
Результат
Корневой ЦС установлен и отвечает; управление выполняется через mclient. Длительность главы — 11:59.
| В полном ролике | В главе | Что происходит |
|---|---|---|
| 00:04:33 | 00:00:00 | Назначение корневого центра и план главы |
| 00:05:18 | 00:00:45 | Выбор компонента базы данных |
| 00:05:44 | 00:01:11 | Подключение к корневой машине |
| 00:07:14 | 00:02:41 | Роль, пароль, имя базы и версия PostgreSQL |
| 00:08:56 | 00:04:23 | Проверки, подготовка и установка схемы базы |
| 00:09:49 | 00:05:16 | Переход к установке корневого ЦС |
| 00:10:30 | 00:05:57 | Имя центра, адрес публикации и параметры службы |
| 00:12:25 | 00:07:51 | Подключение службы к подготовленной базе |
| 00:13:38 | 00:09:04 | Проверки и выполнение установки |
| 00:14:22 | 00:09:49 | Автоматическое скачивание архива; зачем открываем историю установок |
| 00:14:35 | 00:10:02 | Сохранение сертификатов и назначение файлов |
| 00:15:13 | 00:10:40 | Проверка работающего центра через mclient |
Время:00:15:14в полном ролике·00:10:41в главе·Где:Именно машина корневого ЦС
$sudo -iu itc-svc Параметры
| sudo | Открыть сеанс другой записи |
| -i | Сеанс входа с окружением целевого пользователя |
| -u itc-svc | Имя технологического пользователя; -i и -u объединены в -iu |
Что увидеть: в приглашении консоли меняется имя пользователя на itc-svc.
itc-svc — имя в учебном стенде; требуется запись, выбранная в вашем инсталляторе.
Время:00:15:38в полном ролике·00:11:05в главе·Где:Машина корневого ЦС, сеанс технологического пользователя
$export MCLIENT_CONF=/opt/itc/minica/conf/mclient.yml Параметры
| export | Передать переменную окружения программам текущего сеанса |
| MCLIENT_CONF | Переменная с путём к конфигурации mclient |
| /opt/itc/minica/conf/mclient.yml | Готовый файл, созданный установщиком на этой машине |
Что увидеть: переменная установлена для последующего вызова mclient; нормальный результат команды — без отдельного вывода.
Используется готовая конфигурация установщика. При другом каталоге установки укажите соответствующий полный путь.
Время:00:16:00в полном ролике·00:11:27в главе·Где:Машина корневого ЦС; предварительно указан MCLIENT_CONF
$/opt/itc/minica/mclient ping Параметры
| /opt/itc/minica/mclient | Полный путь установленной клиентской утилиты |
| ping | Прикладная проверка доступности службы по выбранной конфигурации; не ICMP ping |
| параметры | Дополнительных параметров нет |
Что увидеть: сообщение Ping successful / «пинг успешен» и errno: 0.
Это проверка корневого центра до главы о клиентском доверии, через его готовую конфигурацию mclient. На 00:14:22 объясняется, что архив результата скачивается автоматически; для наглядности дополнительно открывается история установок.
Зачем
Научить системы доверять выбранному корневому сертификату. Сравниваем сертификат с источником Root CA, разбирая сведения и отпечаток. Добавляем его в доверенные корневые сертификаты Linux и Windows.
Результат
Доверие к корневому сертификату настроено в обеих системах. Длительность главы — 07:14.
| В полном ролике | В главе | Что происходит |
|---|---|---|
| 00:16:32 | 00:00:00 | Зачем клиентским системам доверять корневому сертификату |
| 00:17:38 | 00:01:06 | Источник публичного корневого сертификата |
| 00:17:53 | 00:01:20 | Просмотр сертификата и сравнение с источником Root CA |
| 00:19:42 | 00:03:09 | Добавление сертификата в каталог доверия Linux |
| 00:20:51 | 00:04:19 | Обновление системного хранилища Linux |
| 00:21:23 | 00:04:50 | Проверка через системный набор доверенных центров |
| 00:22:04 | 00:05:31 | Windows: хранилище компьютера и область доверия |
| 00:22:16 | 00:05:44 | Windows: импорт в хранилище пользователя |
| 00:23:00 | 00:06:28 | Подтверждение имени центра и отпечатка |
Время:00:17:56в полном ролике·00:01:24в главе·Где:Linux: каталог с публичным root-ca.crt, скачанным из истории установки
$openssl x509 -in root-ca.crt -noout -subject -issuer -fingerprint -sha256 Параметры
| openssl x509 | Прочитать сертификат X.509 |
| -in root-ca.crt | Входной публичный сертификат |
| -noout | Не печатать закодированный сертификат целиком |
| -subject | Имя владельца |
| -issuer | Имя издателя |
| -fingerprint | Показать отпечаток |
| -sha256 | Вычислить отпечаток алгоритмом SHA-256 |
Что увидеть: Subject и Issuer содержат Root CA. Весь SHA-256 отпечаток совпадает с заранее полученным доверенным эталоном.
Совпадения имён Subject и Issuer недостаточно. Сравните все 64 шестнадцатеричных символа SHA-256 с доверенным эталоном того же сертификата. На экране источник обозначен Root CA.
Время:00:19:47в полном ролике·00:03:14в главе·Где:Linux: каталог с проверенным root-ca.crt
$sudo install -o root -g root -m 0644 root-ca.crt \
/usr/local/share/ca-certificates/clearway-demo-root.crt Параметры
| sudo | Изменение системного каталога с повышенными правами |
| install | Копировать файл и задать владельца/права |
| -o root | Владелец root |
| -g root | Группа root |
| -m 0644 | Владелец читает/пишет, группа и остальные только читают |
| root-ca.crt | Проверенный публичный исходный сертификат |
| /usr/local/share/ca-certificates/clearway-demo-root.crt | Локальный каталог доверенных центров; один PEM-сертификат в файле с расширением .crt |
Что увидеть: файл размещён в локальном каталоге доверенных центров; затем требуется update-ca-certificates.
Копируется открытый сертификат, закрытый ключ не нужен.
Время:00:20:53в полном ролике·00:04:21в главе·Где:Linux, после размещения .crt в /usr/local/share/ca-certificates
$sudo update-ca-certificates Параметры
| sudo | Повышенные права для системных каталогов |
| update-ca-certificates | Обновить общий набор доверенных сертификатов |
| параметры | Не задаются |
Что увидеть: в учебной записи: 1 added, 0 removed.
Время:00:21:27в полном ролике·00:04:55в главе·Где:Linux: каталог с root-ca.crt
$openssl verify -CAfile /etc/ssl/certs/ca-certificates.crt root-ca.crt Параметры
| openssl verify | Проверить сертификат |
| -CAfile /etc/ssl/certs/ca-certificates.crt | Использовать обновлённый системный набор доверенных сертификатов |
| root-ca.crt | Проверяемый корневой сертификат |
Что увидеть: root-ca.crt: OK.
Происхождение и отпечаток сверены до добавления доверия.
Время:00:22:04в полном ролике·00:05:31в главе·Где:Windows PowerShell с повышенными правами; каталог с root-ca.crt
PS>certutil -addstore Root .\root-ca.crt Параметры
| certutil | Утилита сертификатов Windows |
| -addstore | Добавить сертификат в хранилище |
| Root | Доверенные корневые центры сертификации |
| отсутствие -user | Хранилище локального компьютера |
| .\root-ca.crt | Публичный файл в текущем каталоге |
Что увидеть: сертификат добавляется в хранилище компьютера; в ролике этот вариант показан как альтернатива, его выполнение не демонстрируется.
Не требуется выполнять оба варианта. Для служб/машинных сертификатов в озвучке указано хранилище компьютера.
Время:00:22:22в полном ролике·00:05:50в главе·Где:Windows PowerShell: каталог с публичным root-ca.crt
PS>certutil -user -addstore Root .\root-ca.crt Параметры
| certutil | Утилита сертификатов Windows |
| -user | Хранилище текущего пользователя |
| -addstore | Добавить сертификат |
| Root | Доверенные корневые центры сертификации |
| .\root-ca.crt | Файл сертификата в текущем каталоге |
Что увидеть: штатное подтверждение импорта, затем сообщение об успешном добавлении в выбранное пользовательское хранилище.
В диалоге Windows сравнивается SHA-1 с доверенным эталоном SHA-1 того же сертификата: все 40 hex-символов. Его нельзя сравнивать со строкой SHA-256 из Linux. Кнопку «Да» нажимают после совпадения.
Зачем
Отделить выпуск сертификатов пользователей и служб от корневого центра. Создаём базу выдающего ЦС, формируем его запрос и подписываем его корневым центром.
Результат
Выдающий ЦС работает с сертификатом, подписанным корневым центром. Длительность главы — 09:39.
| В полном ролике | В главе | Что происходит |
|---|---|---|
| 00:23:46 | 00:00:00 | Назначение выдающего центра |
| 00:24:54 | 00:01:07 | Порядок установки и подготовка отдельной базы |
| 00:27:07 | 00:03:20 | Установка на выдающей машине и создание запроса |
| 00:28:41 | 00:04:54 | Сохранение запроса; закрытый ключ остаётся на выдающей машине |
| 00:28:58 | 00:05:11 | Подпись запроса на корневом центре |
| 00:30:08 | 00:06:21 | Сохранение сертификата, подписанного корневым ЦС |
| 00:30:22 | 00:06:36 | Возврат на выдающую машину и завершение настройки |
| 00:31:30 | 00:07:43 | Сохранение сертификатов и цепочки доверия |
| 00:31:49 | 00:08:03 | Подготовка mclient на выдающем центре |
| 00:32:16 | 00:08:29 | Проверка доступности службы |
| 00:32:36 | 00:08:49 | Проверка цепочки сертификата выдающего центра |
Время:00:31:53в полном ролике·00:08:07в главе·Где:Именно машина выдающего ЦС
$sudo -iu itc-svc Параметры
| sudo | Сеанс другой записи |
| -i | Окружение сеанса входа |
| -u itc-svc | Технологический пользователь выдающей машины |
Что увидеть: в приглашении консоли проверяются имя пользователя и имя выдающего узла.
Имя пользователя соответствует настройкам инсталлятора этой машины.
Время:00:32:06в полном ролике·00:08:19в главе·Где:Машина выдающего ЦС, сеанс технологического пользователя
$export MCLIENT_CONF=/opt/itc/minica/conf/mclient.yml Параметры
| export | Переменная окружения текущего сеанса |
| MCLIENT_CONF | Путь конфигурации mclient |
| /opt/itc/minica/conf/mclient.yml | Файл мастера на выдающей машине |
Что увидеть: следующий mclient использует конфигурацию выдающего ЦС; отдельного вывода обычно нет.
Строка пути совпадает с корневой машиной, но указывает на локальные файлы другой машины.
Время:00:32:19в полном ролике·00:08:33в главе·Где:Машина выдающего ЦС; настроен MCLIENT_CONF
$/opt/itc/minica/mclient ping Параметры
| /opt/itc/minica/mclient | Установленная клиентская утилита |
| ping | Запрос доступности службы выдающего ЦС по выбранной конфигурации |
Что увидеть: Ping successful / «пинг успешен» и errno: 0.
Время:00:32:37в полном ролике·00:08:51в главе·Где:Машина выдающего ЦС, текущий каталог /opt/itc/minica
$openssl verify -CAfile ca/root-ca.crt ca/ca.crt Параметры
| openssl verify | Проверка цепочки сертификата |
| -CAfile ca/root-ca.crt | Доверенный корневой сертификат |
| ca/ca.crt | Проверяемый сертификат выдающего центра |
Что увидеть: ca/ca.crt: OK.
Относительные пути ca/... рассчитаны на текущий каталог /opt/itc/minica. В ролике этот каталог уже подготовлен перед проверкой.
Зачем
Подготовить службу аутентификации для Контрольной панели. Устанавливаем базу и провайдер OpenID, готовим TLS и указываем адрес возврата в панель после входа.
Результат
Провайдер OpenID установлен, его параметры подключения доступны для панели. Длительность главы — 08:35.
| В полном ролике | В главе | Что происходит |
|---|---|---|
| 00:33:25 | 00:00:00 | Задача провайдера OpenID |
| 00:34:36 | 00:01:10 | Подготовка базы аутентификации |
| 00:35:58 | 00:02:33 | Создание запроса на TLS-сертификат |
| 00:36:49 | 00:03:23 | Подпись запроса на выдающем центре |
| 00:37:33 | 00:04:08 | Установка провайдера и подключение базы |
| 00:38:08 | 00:04:43 | Встроенная учётная запись и клиентское приложение |
| 00:38:41 | 00:05:16 | Redirect URI: адрес возврата в Контрольную панель |
| 00:39:05 | 00:05:40 | Issuer и сроки действия токенов |
| 00:39:41 | 00:06:15 | Проверки и установка службы |
| 00:40:06 | 00:06:40 | Открытие документа конфигурации провайдера |
| 00:40:37 | 00:07:12 | Сверка issuer и адресов взаимодействия |
| 00:41:17 | 00:07:52 | Публичный набор ключей и границы этой проверки |
Зачем
Подключить OpenID к уже подготовленному учебному каталогу пользователей. Разбираем параметры подключения к LDAP, поиск пользователей и групп, сопоставление групп ролям.
Результат
OpenID настроен на работу с каталогом; проверка входа через панель выполняется в главе 7. Длительность главы — 05:15.
| В полном ролике | В главе | Что происходит |
|---|---|---|
| 00:42:00 | 00:00:00 | Зачем подключаем каталог пользователей |
| 00:43:13 | 00:01:12 | Пункт 5: интеграция OpenID с LDAP |
| 00:43:25 | 00:01:24 | Выбор машины и каталога установленного OpenID |
| 00:43:45 | 00:01:44 | Адрес каталога и служебная учётная запись |
| 00:44:24 | 00:02:24 | База и фильтр поиска пользователей |
| 00:45:01 | 00:03:00 | Атрибуты входа, идентификатора и профиля |
| 00:46:02 | 00:04:01 | Поиск групп и сопоставление ролям |
| 00:46:49 | 00:04:49 | Проверки интеграции |
| 00:47:02 | 00:05:01 | Применение конфигурации через установщик |
Зачем
Получить рабочий интерфейс управления выдающим центром и проверить доступ пользователей. Устанавливаем Контрольную панель с TLS, подключаем OpenID и регистрируем выдающий ЦС.
Результат
Панель подключена к выдающему ЦС; вход через каталог даёт аудитору права просмотра. Длительность главы — 08:13.
| В полном ролике | В главе | Что происходит |
|---|---|---|
| 00:47:15 | 00:00:00 | Назначение панели и проверяемые сценарии входа |
| 00:48:23 | 00:01:07 | Запрос и выпуск TLS-сертификата панели |
| 00:49:52 | 00:02:37 | Установка веб-приложения |
| 00:50:14 | 00:02:59 | Адрес OpenID, идентификатор и секрет клиента |
| 00:51:29 | 00:04:13 | Выпуск отдельного служебного токена на выдающем центре |
| 00:52:25 | 00:05:09 | Регистрация выдающего ЦС в панели |
| 00:53:32 | 00:06:16 | Открытие адреса панели и перенаправление на вход |
| 00:53:58 | 00:06:43 | Вход встроенной учётной записью |
| 00:54:23 | 00:07:08 | Проверка данных подключённого выдающего центра |
| 00:54:46 | 00:07:30 | Доменный вход аудитора и доступ к сертификату |
Зачем
Сделать сертификаты центров и списки отзыва доступными по адресам публикации. Готовим отдельный адрес и TLS-сертификат службы публикации.
Результат
Настроенная точка публикации отдаёт сертификаты и списки отзыва. Длительность главы — 09:44.
| В полном ролике | В главе | Что происходит |
|---|---|---|
| 00:55:28 | 00:00:00 | Служба публикации и точка выдачи открытых файлов |
| 00:56:39 | 00:01:10 | Отдельный адрес публикации: запрос и выпуск TLS-сертификата |
| 00:59:46 | 00:04:17 | Установка службы публикации |
| 01:00:51 | 00:05:22 | Выпуск отдельного служебного токена |
| 01:01:47 | 00:06:18 | Установка точки распространения сертификатов и списков отзыва |
| 01:02:39 | 00:07:10 | Привязка отдельного домена публикации и сертификата |
| 01:03:15 | 00:07:46 | Конфигурация задания: центр, выходной файл и расписание |
| 01:03:40 | 00:08:11 | Отдельное получение и размещение корневого списка отзыва |
| 01:03:55 | 00:08:26 | Проверка опубликованных списков отзыва |
| 01:04:22 | 00:08:53 | Проверка опубликованных сертификатов центров |
| 01:04:49 | 00:09:20 | Проверка HTTPS-доступа по новому адресу |
Зачем
Настроить перенос подходящих записей из рабочей базы в архивную. Создаём архивную базу и службу, выбираем рабочий источник на выдающем центре и архивное назначение.
Результат
Архиватор настроен и работает. На новом учебном стенде первый проход переносит 0 записей. Длительность главы — 05:14.
| В полном ролике | В главе | Что происходит |
|---|---|---|
| 01:05:12 | 00:00:00 | Назначение архиватора и отличие от резервной копии |
| 01:06:32 | 00:01:19 | Создание отдельной архивной базы |
| 01:07:38 | 00:02:25 | Установка службы архиватора |
| 01:07:53 | 00:02:40 | Рабочая база выдающего центра: источник данных |
| 01:08:24 | 00:03:12 | Локальная архивная база: назначение |
| 01:08:55 | 00:03:43 | Проверки подключений и установка |
| 01:09:08 | 00:03:56 | Расписание и условия отбора записей |
| 01:09:43 | 00:04:30 | Первый проход: журнал и фактический результат |
| 01:09:59 | 00:04:46 | Итог по источнику, назначению и резервному копированию |
Зачем
Разобраться в назначении протоколов и проверить статус сертификата через OCSP. Кратко сопоставляем задачи протоколов работы с сертификатами. Устанавливаем OCSP-ответчик, подписываем его запрос специальным шаблоном и применяем сертификат.
Результат
OCSP-ответчик возвращает проверяемый ответ о статусе сертификата. Длительность главы — 05:56.
| В полном ролике | В главе | Что происходит |
|---|---|---|
| 01:10:26 | 00:00:00 | Задачи протоколов работы с сертификатами |
| 01:11:35 | 00:01:09 | Обзор OCSP, SCEP и MS-WSTEP |
| 01:12:16 | 00:01:49 | Установка OCSP-ответчика |
| 01:12:32 | 00:02:06 | Сертификат издателя и рабочая база выдающего центра |
| 01:13:28 | 00:03:01 | Сохранение запроса ответчика |
| 01:13:40 | 00:03:13 | Подпись запроса с шаблоном OCSP |
| 01:14:36 | 00:04:09 | Загрузка сертификата ответчика и запуск |
| 01:15:20 | 00:04:53 | Один проверочный запрос: команда и параметры |
| 01:16:10 | 00:05:43 | Подпись ответа, статус good и время обновления |
Время:01:15:20в полном ролике·00:04:53в главе·Где:Astra Linux; рабочая папка с тремя открытыми сертификатами: issuing-ca.crt, nginx-tls.crt и root-ca.crt
$openssl ocsp \
-issuer issuing-ca.crt -cert nginx-tls.crt \
-url http://services.clearway.test:8888/ocsp \
-CAfile root-ca.crt -verify_other issuing-ca.crt Параметры
| -issuer issuing-ca.crt | Сертификат ЦС, выдавшего проверяемый сертификат |
| -cert nginx-tls.crt | Проверяемый TLS-сертификат панели services.clearway.test |
| -url http://services.clearway.test:8888/ocsp | Адрес OCSP-ответчика учебного стенда |
| -CAfile root-ca.crt | Доверенный корневой сертификат для проверки подписи ответа |
| -verify_other issuing-ca.crt | Дополнительный сертификат выдающего ЦС для проверки ответа |
| \ в конце строки | Продолжение той же команды на следующей строке |
Что увидеть: Response verify OK и nginx-tls.crt: good. Сверить имя проверяемого файла и сроки This Update / Next Update в ответе.
Зачем
Установить SCEP на машину вспомогательных сервисов и получить сертификат с помощью Certmonger. Проходим все пять пунктов мастера, разбираем команды Certmonger и проверяем реквизиты полученного сертификата.
Результат
SCEP работает на машине сервисов; Certmonger получил сертификат от выдающего центра. Длительность главы — 11:53.
| В полном ролике | В главе | Что происходит |
|---|---|---|
| 01:16:23 | 00:00:00 | Задача главы: SCEP на машине сервисов и проверка Certmonger |
| 01:17:22 | 00:00:58 | Открытие SCEP в установщике |
| 01:17:42 | 00:01:19 | Параметры создания запросов на Services |
| 01:19:00 | 00:02:36 | Подписание TLS- и SCEP-сертификатов выдающим ЦС |
| 01:20:04 | 00:03:41 | Установка адаптера SCEP на Services |
| 01:21:58 | 00:05:35 | Выпуск служебных данных доступа |
| 01:23:16 | 00:06:53 | Настройка адаптера на машине сервисов |
| 01:24:14 | 00:07:51 | Подключение scep-ca и адрес выдающего ЦС |
| 01:24:49 | 00:08:26 | Завершение настройки адаптера |
| 01:25:11 | 00:08:48 | Стандартный клиент Certmonger и установленная версия |
| 01:25:27 | 00:09:04 | Адрес адаптера и имя клиентского подключения |
| 01:25:52 | 00:09:29 | Сертификаты доверия и регистрация подключения |
| 01:26:20 | 00:09:57 | Приватный файл одноразового challenge |
| 01:26:34 | 00:10:11 | Задача выдачи: ключ и выходные файлы |
| 01:26:56 | 00:10:33 | CN, SAN, права файлов и отключение продления |
| 01:27:26 | 00:11:03 | Единственная отправка и реальный MONITORING |
| 01:27:45 | 00:11:22 | Проверка полей полученного сертификата |
Время:01:25:11в полном ролике·00:08:48в главе·Где:Astra Linux, оператор installer-recording (192.168.56.16), каталог /home/astra/scep-certmonger-demo
$dpkg-query -W certmonger Параметры
| -W | Показать сведения об установленном пакете; здесь имя и версия |
Что увидеть: в записи: certmonger 0.79.17-2.
Время:01:25:27в полном ролике·00:09:04в главе·Где:Astra Linux, оператор installer-recording (192.168.56.16), каталог /home/astra/scep-certmonger-demo
$sudo getcert add-scep-ca -c Clearway-SCEP \
-u https://services.clearway.test/api/scep/v1/Scep \
-R "$PWD/certs/root-ca.crt" \
-N "$PWD/certs/issuing-ca.crt" \
-r "$PWD/certs/scep.crt" \
-I "$PWD/certs/chain.pem" Параметры
| -c | Локальное имя подключения Clearway-SCEP |
| -u | Полный HTTPS endpoint адаптера на Services |
| -R | Корневой сертификат для проверки HTTPS в предусмотренных этой версией вызовах; см. системное доверие ниже |
| -N | Сертификат выдающего центра |
| -r | Публичный сертификат RA адаптера, выпущенный штатным мастером |
| -I | Остальные публичные сертификаты цепочки |
Что увидеть: штатный getcert сообщает, что CA Clearway-SCEP добавлена.
Команда вводится при объяснении адреса, а Enter нажимается в сцене certmonger-client-03 после разбора сертификатов доверия.
Время:01:26:17в полном ролике·00:09:54в главе·Где:Astra Linux, оператор installer-recording (192.168.56.16), каталог /home/astra/scep-certmonger-demo
$sudo getcert list-cas -c Clearway-SCEP Параметры
| -c | Ограничить вывод подключением Clearway-SCEP |
Что увидеть: показана настоящая запись CA, её helper и URL Services.
Время:01:26:34в полном ролике·00:10:11в главе·Где:Astra Linux, оператор installer-recording (192.168.56.16), каталог /home/astra/scep-certmonger-demo
$sudo getcert request -c Clearway-SCEP -I scep-demo \
-G RSA -g 2048 \
-k "$PWD/private/device.key" -f "$PWD/device.crt" \
-N CN=certmonger-device.clearway.test \
-D certmonger-device.clearway.test \
-l "$PWD/private/challenge.txt" \
-o astra -m 600 -O astra -M 644 \
-R -w --wait-timeout 90 Параметры
| -c | Использовать подключение Clearway-SCEP |
| -I | Имя задачи scep-demo; другой смысл флага, чем у add-scep-ca |
| -G / -g | Ключ RSA длиной 2048 бит |
| -k / -f | Локальные файлы закрытого ключа и полученного сертификата |
| -N / -D | Subject CN и доменное имя SAN учебного устройства |
| -l | Прочитать одноразовый challenge из закрытого файла |
| -o / -m | Владелец astra и режим 0600 файла ключа |
| -O / -M | Владелец astra и режим 0644 публичного файла сертификата |
| -R | Отключить автоматическое продление этой учебной задачи |
| -w / --wait-timeout | Дождаться результата; ограничить ожидание команды 90 секундами |
Что увидеть: одна задача получает и сохраняет сертификат certmonger-device.clearway.test; результат подтверждается следующей командой list.
Команда набирается в сцене05; в сцене06 параметры подробно объясняются. Единственный Enter для отправки нажат в сцене07. Истечение --wait-timeout не отменяет задачу демона. При ошибке сначала изучите getcert list и фактический результат; не повторяйте request вслепую.
Время:01:27:34в полном ролике·00:11:11в главе·Где:Astra Linux, оператор installer-recording (192.168.56.16), каталог /home/astra/scep-certmonger-demo
$sudo getcert list -i scep-demo Параметры
| -i | Выбрать задачу scep-demo |
Что увидеть: на реальном экране: status: MONITORING, stuck: no, auto-renew: no.
Время:01:27:46в полном ролике·00:11:23в главе·Где:Astra Linux, оператор installer-recording (192.168.56.16), каталог /home/astra/scep-certmonger-demo
$openssl x509 -in device.crt -noout \
-subject -issuer -serial -dates -ext subjectAltName Параметры
| -in | Сохранённый публичный сертификат device.crt |
| -noout | Не выводить закодированный PEM сертификата |
| -subject / -issuer | Имя владельца и выдающий центр |
| -serial / -dates | Серийный номер и срок действия |
| -ext subjectAltName | Доменное имя в расширении SAN |
Что увидеть: Subject CN и DNS SAN совпадают с запросом; issuer соответствует выдающему ЦС. Подтверждённый serial: 100000000000000000000E.
tls уже задан на стороне адаптера; в показанном запросе клиента шаблон дополнительно не передаётся. Одноразовый challenge получают с настоящим access_token через вход в КП и сохраняют в private/challenge.txt с правами 0600. Срок challenge — 60 минут. Флаг -R у request отключает автоматическое продление и имеет смысл, отличный от -R у add-scep-ca.
Зачем
Подготовить службы политики и регистрации сертификатов для Windows. Устанавливаем MS-WSTEP с уже подготовленным учебным доменом, подключаем выдающий ЦС и получаем файлы регистрации.
Результат
Службы MS-WSTEP готовы; файлы для регистрации политики передаются на сторону Windows. Длительность главы — 10:07.
| В полном ролике | В главе | Что происходит |
|---|---|---|
| 01:28:16 | 00:00:00 | Службы политик и регистрации для Windows |
| 01:29:26 | 00:01:09 | Отдельный сертификат для внутреннего подключения |
| 01:32:29 | 00:04:13 | Установка MS-WSTEP |
| 01:33:02 | 00:04:45 | Учебный домен, база поиска и учётные записи |
| 01:34:07 | 00:05:51 | Проверки доменной интеграции и установка |
| 01:34:56 | 00:06:40 | Отдельный служебный токен на выдающем ЦС |
| 01:35:58 | 00:07:41 | Подключение службы к выдающему центру |
| 01:37:23 | 00:09:07 | Файлы регистрации для Windows |
| 01:37:43 | 00:09:26 | Дополнительное внутреннее защищённое соединение |
| 01:38:09 | 00:09:53 | Проверка служб и сертификата |
Зачем
Получить сертификат на Windows через подготовленные службы и связать результат со всей схемой стенда, включая SCEP. Импортируем описания шаблона и службы в каталог, подключаем политику и выполняем запрос.
Результат
Сертификат получен через MS-WSTEP; показаны установленные компоненты и роли машин. Длительность главы — 10:19.
| В полном ролике | В главе | Что происходит |
|---|---|---|
| 01:38:23 | 00:00:00 | Полный сценарий получения сертификата Windows |
| 01:39:32 | 00:01:09 | Импорт описаний шаблона и службы в доменный каталог |
| 01:41:20 | 00:02:57 | Адрес службы политик |
| 01:41:50 | 00:03:27 | Однократная регистрация политики компьютера |
| 01:42:44 | 00:04:20 | Чтение и проверка сохранённой политики |
| 01:43:02 | 00:04:39 | Запрос сертификата по шаблону |
| 01:44:16 | 00:05:52 | Просмотр полученного сертификата в машинном хранилище |
| 01:45:01 | 00:06:38 | Экспорт открытого сертификата |
| 01:45:24 | 00:07:00 | Сверка сертификата с записью в панели |
| 01:45:39 | 00:07:15 | Проверка сертификата средствами Windows |
| 01:46:22 | 00:07:58 | Итоговая схема шести машин и иерархия доверия |
| 01:48:03 | 00:09:40 | SCEP в общей схеме получения сертификата |
| 01:48:21 | 00:09:57 | Что установлено и проверено |
Время:01:39:34в полном ролике·00:01:10в главе
PS>ldifde -i -h -f .\template_tls_export.ldf -s ad-dc.clearway.test -j .\template-log; $importExit=$LASTEXITCODE Параметры
| -i | Импорт записей в каталог |
| -h | Шифрование LDAP-соединения средствами SASL |
| -f .\template_tls_export.ldf | Описание шаблона из результата установщика |
| -s ad-dc.clearway.test | Контроллер подготовленного учебного домена |
| -j .\template-log | Отдельная заранее подготовленная папка журнала импорта |
| $importExit=$LASTEXITCODE | Сохраняет код завершения ldifde до выполнения других внешних команд |
Что увидеть: сообщение об одной успешно обработанной записи; сохранённый код проверяется следующей строкой.
Время:01:40:24в полном ролике·00:02:00в главе
PS>$importExit Параметры
| $importExit | Сохранённый код завершения именно предыдущего импорта |
Что увидеть: 0 — импорт завершился успешно.
Время:01:40:47в полном ролике·00:02:23в главе
PS>ldifde -i -h -f .\enrollment_services.ldf -s ad-dc.clearway.test -j .\enrollment-log; $importExit=$LASTEXITCODE Параметры
| -i | Режим импорта |
| -h | Шифрование LDAP-соединения средствами SASL |
| -f .\enrollment_services.ldf | Описание службы регистрации из результата установщика |
| -s ad-dc.clearway.test | Контроллер того же учебного домена |
| -j .\enrollment-log | Другая заранее подготовленная папка журнала |
| $importExit=$LASTEXITCODE | Сохраняет код нового импорта |
Что увидеть: одна запись успешно обработана; сохранённый код затем равен 0.
Время:01:41:08в полном ролике·00:02:45в главе
PS>$importExit Параметры
| $importExit | Код импорта enrollment_services.ldf |
Что увидеть: 0 — импорт завершился успешно.
Время:01:41:21в полном ролике·00:02:58в главе
PS>$cepUrl = 'https://services.clearway.test/CEP_Kerberos/service.svc/CEP' Параметры
| $cepUrl | Переменная с полным адресом для следующих команд |
| https://services.clearway.test | Защищённый адрес машины сервисов учебного стенда |
| /CEP_Kerberos/service.svc/CEP | Путь службы политик с доменной аутентификацией Kerberos |
Что увидеть: адрес сохранён в переменной текущего сеанса PowerShell; присваивание не выводит отдельного результата.
Время:01:41:52в полном ролике·00:03:28в главе
PS>Add-CertificateEnrollmentPolicyServer -Url $cepUrl -Context Machine -RequireStrongValidation -NoClobber; $policyOk=$? Параметры
| -Url $cepUrl | Адрес ранее подготовленной службы политик |
| -Context Machine | Регистрация для компьютера |
| -RequireStrongValidation | Требование проверки политики при добавлении |
| -NoClobber | Не перезаписывать существующую запись политики |
| $policyOk=$? | Сохранить логический статус команды PowerShell |
Что увидеть: политика добавлена. Следующий вывод $policyOk показывает True; затем отдельной командой проверяется сохранённая запись.
Время:01:42:37в полном ролике·00:04:14в главе
PS>$policyOk Параметры
| $policyOk | Логический статус сохранённого вызова Add-CertificateEnrollmentPolicyServer |
Что увидеть: True — команда добавления выполнена успешно. Получение сертификата проверяется позднее.
Время:01:42:49в полном ролике·00:04:26в главе
PS>Get-CertificateEnrollmentPolicyServer -Url $cepUrl -Context Machine -Scope All Параметры
| -Url $cepUrl | Поиск политики по тому же адресу |
| -Context Machine | Контекст компьютера |
| -Scope All | Чтение всех областей конфигурации политик |
Что увидеть: запись политики с нужным адресом и доменной аутентификацией; сравнить URL с $cepUrl.
Время:01:43:04в полном ролике·00:04:40в главе
PS>certreq -enroll -machine -q -kerberos -policyserver $cepUrl tls; $enrollExit=$LASTEXITCODE Параметры
| -enroll | Получение сертификата по шаблону |
| -machine | Запрос и хранилище компьютера |
| -q | Тихий режим без интерактивных вопросов |
| -kerberos | Доменная аутентификация Kerberos |
| -policyserver $cepUrl | Адрес службы политик, а не конечный адрес CES |
| tls | Имя ранее импортированного шаблона |
| $enrollExit=$LASTEXITCODE | Сохранённый код завершения certreq |
Что увидеть: The requested certificate has been issued. Показаны серийный номер и отпечаток выданного сертификата; последующий код завершения равен 0.
Время:01:44:09в полном ролике·00:05:46в главе
PS>$enrollExit Параметры
| $enrollExit | Сохранённый код завершения certreq |
Что увидеть: 0 — команда запроса выполнена успешно.
Время:01:44:23в полном ролике·00:06:00в главе
PS>$cert = Get-Item Cert:\LocalMachine\My\E4A07E63399F82F619A3C03B7C9927B75C8BDF10 Параметры
| Cert:\LocalMachine\My | Личное хранилище сертификатов компьютера |
| E4A07E63399F82F619A3C03B7C9927B75C8BDF10 | Публичный отпечаток из фактического результата учебного запроса; при повторении нужен отпечаток своего сертификата |
| $cert | Переменная с найденным объектом сертификата |
Что увидеть: объект сертификата сохранён в $cert; его свойства выводятся следующей командой.
Время:01:44:37в полном ролике·00:06:13в главе
PS>$cert | Format-List Subject,Issuer,SerialNumber,Thumbprint,NotBefore,NotAfter,HasPrivateKey Параметры
| | | Передаёт объект следующей команде |
| Format-List | Вывод выбранных свойств списком |
| Subject / Issuer | Владелец и издатель |
| SerialNumber / Thumbprint | Идентификаторы для сравнения с результатом запроса и записью панели |
| NotBefore / NotAfter | Начало и конец срока действия |
| HasPrivateKey | Признак связанного закрытого ключа, без вывода самого ключа |
Что увидеть: свойства выбранного сертификата. Сверить владельца, издателя, сроки, серийный номер и отпечаток; проверить наличие связанного ключа.
Время:01:45:07в полном ролике·00:06:44в главе
PS>Export-Certificate -Cert $cert -FilePath .\windows-wstep-machine-review14.cer Параметры
| -Cert $cert | Объект только что выбранного сертификата |
| -FilePath .\windows-wstep-machine-review14.cer | Имя выходного открытого сертификата в рабочей папке |
Что увидеть: создан файл .cer для проверки. Закрытый ключ остаётся в хранилище Windows.
Время:01:45:40в полном ролике·00:07:16в главе
PS>certutil -verify -urlfetch .\windows-wstep-machine-review14.cer; $chainExit=$LASTEXITCODE Параметры
| -verify | Проверка сертификата и построенной цепочки |
| -urlfetch | Разрешить загрузку данных проверки по адресам из сертификата |
| .\windows-wstep-machine-review14.cer | Открытый сертификат, экспортированный в предыдущей сцене |
| $chainExit=$LASTEXITCODE | Сохранение кода завершения certutil |
Что увидеть: в демонстрации проверка завершена успешно: Windows построила цепочку до доверенного корневого центра и проверила сведения об отзыве. Следующий код равен 0.
Время:01:46:14в полном ролике·00:07:51в главе
PS>$chainExit Параметры
| $chainExit | Сохранённый код завершения certutil |
Что увидеть: 0 — команда проверки выполнена успешно.