Copy of Обучающий курс по Clearway CA

Поможем автоматизировать
вашу IT-инфраструктуру

Оставьте свои контакты и мы отправим вам подробную информацию о наших решениях, ответим на появившиеся вопросы и предложим свою экспертизу

Внедрение

Полностью автоматическое формирование запросов
на выпуск и обновление сертификатов для прикладных систем и инфраструктурных сервисов. OpenShift
и Kubemetes, серверов и АРМ.

ЕСАУС

Единое Хранилище Секретов, централизованное отечественное решение
для управления всеми типами чувствительных данных: учетными записями, паролями доступа, ключами API, сертификатами, веб-токенами
и SSH-сертификатами.

ЕХС

Автоматизация учёта обращения средств СКЗИ для соответствия нормативным требованиям
по обращению со средствами криптозащиты (СКЗИ).

Система для централизованного контроля установленного ПО, управления дистрибутивами
и лицензиями продуктов КриптоПро CSP и КриптоПро Ngate

Центр сертификации на базе OpenSSL для управления жизненным циклом сертификатов

Мониторинг работоспособности Инфраструктуры Открытых Ключей и контроль актуальности срока действия сертификатов

Личный кабинет
для потребителей сертификатов с единым окном для поиска, анализа статистики применения, выпуска и обновления сертификатов

Флагманская система мониторинга и управления, замена линейки продуктов Microsoft System Center

Обучающие курсы по Clearway CA

Два видеокурса общей длительностью чуть более 3 часов: первый поможет развернуть Clearway CA, второй — работать в готовой системе и обслуживать её. Выберите курс под свою задачу.

От установки до ежедневной работы с сертификатами — пошагово

Курс по установке
Для администраторов PKI и ИТ-специалистов, которые разворачивают собственный центр сертификации или переходят с Microsoft AD CS.
12 видео общей длительностью 1 час 30 минут: от установки веб-мастера до выпуска сертификатов через SCEP и MS-WSTEP. Каждое видео — отдельный этап настройки. Рекомендуем смотреть их по порядку, так как каждый следующий этап опирается на компоненты, развёрнутые в предыдущем.
Для прохождения курса потребуется базовое знание командной строки Linux и PowerShell, а также понимание основ PKI.

Курс пользователя
Для администраторов и операторов, которые выпускают сертификаты и обслуживают центр сертификации на Clearway CA.
24 урока общей длительностью 1 час 39 минут: от знакомства с Контрольной панелью и выпуска сертификатов до отзыва, работы с аппаратными токенами, резервного копирования и управления пользователями OpenID. Уроки можно проходить по порядку или сразу перейти к нужной задаче.

Курс по установке

Описания видеороликов Clearway CA

13 роликов. Для каждого приведены описание, таймкоды с назначением действий и команды, показанные в записи. Материалы предназначены для размещения рядом с видео и быстрого поиска нужного фрагмента.

Таймкоды отсчитываются от начала отдельного ролика. Время команды ведёт к соответствующему фрагменту и может предшествовать завершению её ввода. Имена example. test, пути и версии пакетов в примерах относятся к учебному стенду.

Под каждой командой указано, какие значения заменить, что они означают и откуда взять свои данные. Входные файлы получают на предыдущих шагах или из своей системы; имена выходных файлов выбирают при сохранении. Фиксированные ключи команд менять не нужно.
Границы разделов определены по смене экранов и показу действий с точностью примерно до секунды.

О чём ролик

Разбираем два маршрута установки Clearway CA: все основные компоненты на одной машине и корневой и выдающий центры сертификации на отдельных серверах. Показываем порядок просмотра курса, место дополнительных сервисов и работу с результатами и историей развёртывания.

Длительность

03:38

Таймкоды и назначение действий

Время	Действие
00:00	Два варианта установки. Выбрать маршрут в зависимости от размещения компонентов.
00:14	Быстрая установка на одной машине. Понять, какой результат даёт общий сервер с корневым ЦС, OpenID и Контрольной панелью.
00:28	Состав быстрого сценария. Разобраться, какие дополнительные сервисы устанавливаются вместе с ЦС; MS-WSTEP рассматривается отдельно.
00:48	Корневой и выдающий центры. Разделить подпись сертификата выдающего ЦС и выпуск сертификатов конечным владельцам.
01:07	Подключение управления и сервисов. Определить место OpenID, Контрольной панели, публикации, OCSP и других компонентов.
01:28	Порядок просмотра. После подготовки перейти к главе 2 для одной машины либо к главам 3–11 для распределённой схемы.
01:45	Как устроена работа в курсе. Связать задачу, действия в веб-мастере и проверку результата.
02:03	Файлы результата установки. Сохранять загруженные браузером сертификаты, запросы и другие результаты для следующих шагов.
02:28	История развёртываний. Найти ранее выполненные операции, их параметры, статусы и результаты.
02:57	Подробности операции и терминальный вывод. Использовать результаты отдельных шагов и журналы для разбора проблем.
03:17	Границы курса и следующий шаг. Отделить новую установку и первую резервную копию от отдельных тем обновления, миграции и аварийного восстановления.

Команды и назначение

Ручные команды терминала не показаны. Действия и их назначение перечислены в таймкодах.

Примечания

Ролик обзорный. Во вкладке «Терминал» показан журнал автоматического развёртывания; это не набор команд для самостоятельного повторения.

Источники

Видео: 00. Введение — выбираем вариант установки.mp4. Руководство по установке Clearway CA 26.3.0 с помощью инсталлятора, v10 от 07.10.2026.

О чём ролик

Готовим рабочее место оператора и целевые серверы для установки Clearway CA. Проверяем ОС, имена и синхронизацию времени, разбираем ресурсы и сетевые соединения, устанавливаем пакет инсталлятора и открываем веб-мастер.

Длительность

06:14

Таймкоды и назначение действий

Время	Действие
00:00	Что подготовить перед установкой. Получить рабочий веб-мастер и готовые к подключению серверы.
00:20	Рабочее место и целевые серверы. Разделить Linux-машину с браузером и узлы, к которым мастер подключается по SSH.
00:39	Проверка операционной системы. Уточнить дистрибутив и версию перед установкой пакета.
00:54	Ресурсы одной машины. Сопоставить конфигурацию общего сервера с предполагаемой нагрузкой.
01:18	Ресурсы при раздельном размещении. Запланировать CPU, память и диск для ЦС, OpenID и вспомогательных сервисов.
01:45	Имена серверов и время. Проверить полное имя, разрешение сервисного имени и синхронизацию часов.
02:34	Направления соединений. Согласовать доступ по SSH, к мастеру, веб-сервисам, API ЦС, PostgreSQL и OCSP.
03:33	Установка пакета инсталлятора. Найти полученный DEB-пакет и установить приложение.
04:10	Проверка установки и запуск. Убедиться, что пакет зарегистрирован, команда доступна и приложение запущено.
04:48	Открытие мастера в браузере. Перейти к локальному HTTPS-адресу и проверить сертификат интерфейса.
05:40	Быстрый и расширенный режимы. Найти нужный вариант развёртывания.
05:53	Итоговая проверка подготовки. Сверить готовность рабочего места, имён, SSH, sudo и времени.

Команды и назначение

00:39 Показывает название и версию Linux, чтобы выбрать подходящий пакет.

cat /etc/os-release

Где: Терминал Linux на рабочем месте оператора.

Что подставить

Свои значения подставлять не требуется. /etc/os-release — стандартный файл сведений об установленном Linux, а не путь к дистрибутиву Clearway CA.

01:45 Показывает полное доменное имя текущего сервера.

hostname -f

Где: Терминал Linux на рабочем месте оператора.

Что подставить

Свои значения подставлять не требуется; команда используется в показанном виде.

01:45 Проверяет, в какой IP-адрес разрешается имя сервиса на этой машине.

getent hosts ca-video.example.test

Где: Терминал Linux на рабочем месте оператора.

ca-video.example.test — имя учебного стенда; используйте имя своего сервиса.

Что подставить

ca-video.example.test — Полное DNS-имя сервиса, разрешение которого нужно проверить с этой машины. Откуда взять: Из согласованной схемы DNS и поля Alias сервера в параметрах установки. В примере это учебное имя; подставьте имя своего сервиса.

01:45 Показывает время и состояние синхронизации; в примере System clock synchronized: yes и NTP service: active.

timedatectl status

Где: Терминал Linux на рабочем месте оператора.

Что подставить

Свои значения подставлять не требуется; команда используется в показанном виде.

03:33 Находит DEB-пакет инсталлятора в текущем каталоге.

ls clearway-ca-installer_*.deb

Где: Терминал Linux на рабочем месте оператора.

Что подставить

Маска clearway-ca-installer_*.deb ищет пакеты инсталлятора в текущем каталоге; звёздочка обозначает изменяемую часть имени и остаётся в команде. Перейдите в папку с полученным пакетом или укажите путь к этой папке перед маской.

03:33 Устанавливает показанный в видео пакет веб-инсталлятора.

sudo apt-get install -y ./clearway-ca-installer_2026.3.0~rc11-1_amd64.deb

Где: Терминал Linux на рабочем месте оператора.

Имя файла соответствует записи. Для другой поставки подставьте фактическое имя полученного пакета.

Что подставить

./clearway-ca-installer_2026.3.0~rc11-1_amd64.deb — Путь к полученному DEB-пакету, который будет установлен. Версия и архитектура входят в имя файла. Откуда взять: Возьмите фактическое имя из каталога, куда сохранён дистрибутив, например из вывода предыдущей команды ls. Префикс ./ означает текущий каталог; для другого расположения укажите полный путь.

04:10 Проверяет, зарегистрирован ли пакет, и показывает установленную версию.

dpkg-query -W clearway-ca-installer

Где: Терминал Linux на рабочем месте оператора.

Что подставить

Свои значения подставлять не требуется. clearway-ca-installer — имя установленного пакета, а не имя DEB-файла с версией.

04:10 Проверяет доступность команды запуска; в записи получен /usr/bin/itc-installer.

command -v itc-installer

Где: Терминал Linux на рабочем месте оператора.

Что подставить

Свои значения подставлять не требуется. itc-installer — имя команды запуска; оно не заменяется именем сервера или путём к пакету.

04:10 Запускает веб-мастер от обычной учётной записи; терминал остаётся открытым.

itc-installer

Где: Терминал Linux на рабочем месте оператора.

В браузере на том же рабочем месте открывается https://localhost:5224. Показанный вариант itc-installer cli — альтернативный консольный режим, в ролике он не запускается.

Что подставить

Свои значения подставлять не требуется; команда используется в показанном виде.

Примечания

Имена серверов, учётные записи, ресурсы и версия пакета в записи относятся к учебному стенду.

Предупреждение браузера разбирается для локального инсталлятора; сертификат проверяется перед продолжением.

Источники

Видео: 01. Подготовка серверов и запуск веб-мастера.mp4. Руководство по установке Clearway CA 26.3.0 с помощью инсталлятора, v10 от 07.10.2026.

О чём ролик

Проходим быструю установку Clearway CA на одном сервере: задаём параметры центра сертификации, баз данных и администратора, подготавливаем зависимости и разворачиваем сервисы. Затем настраиваем доверие к корневому сертификату, входим в Контрольную панель, выпускаем первый сертификат и проверяем его имя и цепочку доверия.

Длительность

11:18

Таймкоды и назначение действий

Время	Действие
00:00	Результат быстрой установки. Развернуть корневой ЦС и основные сервисы и проверить выпуск сертификата.
00:24	Выбор быстрого сценария. Запустить установку компонентов на общей машине.
00:51	Подключение к серверу. Указать имя узла и SSH-реквизиты для развёртывания.
01:17	Параметры ЦС, баз данных и администратора. Задать Subject, алгоритм ключа, сервисное имя, пароли PostgreSQL и встроенную учётную запись.
04:05	Проверка и настройка зависимостей. Устранить отсутствующие пререквизиты до запуска установки.
04:50	Развёртывание компонентов. Выполнить установку и проконтролировать результаты шагов.
05:23	Доверие на клиентском компьютере. Разобрать, почему браузеру нужно доверять сертификатам ЦС и OpenID.
05:57	Импорт корневого сертификата в Windows. Добавить доверенный корневой сертификат в хранилище текущего пользователя.
07:03	Первый вход. Проверить работу аутентификации и открытие реестра сертификатов.
07:37	Подготовка CSR в конструкторе. Выбрать параметры ключа, Subject и SAN и получить команду OpenSSL.
08:42	Создание и проверка запроса. Создать закрытый ключ и CSR, затем проверить подпись запроса.
08:58	Выпуск сертификата в панели. Загрузить запрос, сверить параметры с шаблоном и выполнить выпуск.
09:32	Просмотр и скачивание результата. Проверить сведения в реестре и сохранить выпущенный сертификат.
09:55	Подготовка файлов для проверки. Скопировать и распаковать архив сертификатов.
10:23	Проверка реквизитов и доверия. Проверить Subject, издателя, SAN, назначение TLS-сервера и цепочку до корневого ЦС.
10:51	Что подтверждает успех. Убедиться, что вход работает, сертификат выпущен и проверка цепочки завершилась OK.

Команды и назначение

08:42 Ограничивает права на новые файлы перед созданием закрытого ключа.

umask 077

Где: Терминал Linux на рабочем месте оператора.

Выполняется в том же shell перед openssl req.

Что подставить

Свои значения подставлять не требуется. 077 — маска доступа для новых файлов: права группы и остальных пользователей отключены. Это не пароль и не идентификатор учётной записи.

08:42 Создаёт RSA-ключ и CSR с именем, SAN и назначениями, выбранными в конструкторе.

openssl req -new -newkey rsa:2048 -keyout private.key -out request.csr -nodes -sha256 -subj "/CN=demo-client.example.test" -addext "subjectAltName=DNS:demo-client.example.test" -addext "keyUsage=critical,digitalSignature,keyEncipherment" -addext "extendedKeyUsage=serverAuth,clientAuth" -addext "basicConstraints=CA:FALSE"

Где: Терминал Linux на рабочем месте оператора.

private.key — закрытый ключ, request.csr — запрос для передачи в ЦС. -nodes оставляет ключ без парольного шифрования; его права ограничиваются umask. Замените имя учебного сервиса своим.

Что подставить

rsa:2048 — Алгоритм нового закрытого ключа и размер в битах. В показанном сценарии используется RSA 2048. Откуда взять: Сверьте разрешённый алгоритм и длину ключа в выбранном шаблоне сертификата и требованиях целевого сервиса. Если они совпадают с видео, оставьте rsa:2048.
private.key — Имя выходного файла нового закрытого ключа, заданное после -keyout. Откуда взять: Выберите имя и каталог на машине владельца ключа. Сохраните этот файл для дальнейшей установки сертификата на сервис; в ЦС передаётся CSR, а не ключ.
request.csr — Имя выходного файла запроса на сертификат, заданное после -out. Откуда взять: Выберите имя файла в рабочем каталоге. Этот же путь далее используется при проверке CSR и при загрузке запроса в Контрольную панель.
demo-client.example.test — DNS-имя сервиса: оно входит в CN в -subj и в DNS-значение расширения subjectAltName. Замените оба вхождения согласованно. Откуда взять: Возьмите имя, по которому клиенты должны обращаться к сервису, из его конфигурации и согласованной DNS-схемы. Оно должно соответствовать требованиям выбранного шаблона.

08:42 Показывает Subject и проверяет собственную подпись CSR; в записи получено Certificate request self-signature verify OK.

openssl req -in request.csr -noout -subject -verify

Где: Терминал Linux на рабочем месте оператора.

Что подставить

request.csr — Путь к проверяемому запросу на сертификат. Откуда взять: Используйте файл, созданный предыдущей командой openssl req в параметре -out. Если выбрали другое имя или каталог, укажите их здесь.

09:55 Копирует скачанный архив в текущий рабочий каталог.

cp ~/Загрузки/certificates.zip .

Где: Терминал Linux на рабочем месте оператора.

Имя каталога загрузок зависит от языка и настроек рабочего места.

Что подставить

~/Загрузки/certificates.zip — Путь к ZIP-архиву сертификатов, скачанному из Контрольной панели. Откуда взять: Проверьте фактическую папку загрузок браузера и имя скачанного архива. ~ обозначает домашний каталог текущего пользователя; название папки может отличаться.

. — Каталог назначения копирования; точка означает текущую рабочую папку. Откуда взять: Запустите команду из папки, где будете распаковывать и проверять сертификат, либо замените точку путём к выбранной папке.

09:55 Распаковывает архив в каталог issued.

python3 -m zipfile -e certificates.zip issued

Где: Терминал Linux на рабочем месте оператора.

Что подставить

certificates.zip — Входной ZIP-архив для распаковки. Откуда взять: Укажите файл, скопированный на предыдущем шаге; при другом имени или расположении используйте фактический путь.
issued — Папка, в которую будут извлечены файлы архива. Откуда взять: Выберите каталог результата. Затем используйте его имя как начало пути к сертификату в следующих командах.

10:23 Показывает владельца, издателя, серийный номер и SAN выпущенного сертификата.

openssl x509 -in issued/demo-client.example.test.cer -noout -subject -issuer -serial -ext subjectAltName

Где: Терминал Linux на рабочем месте оператора.

Что подставить

issued/demo-client.example.test.cer — Путь к выпущенному конечному сертификату, сведения которого нужно прочитать. Откуда взять: Возьмите имя нужного файла из распакованного архива в каталоге issued. Имя сертификата в вашей загрузке может отличаться от показанного.

10:28 Проверяет цепочку до заданного корня, назначение сертификата и соответствие имени; успешный результат — OK.

openssl verify -CAfile ../ca.crt -purpose sslserver -verify_hostname demo-client.example.test issued/demo-client.example.test.cer

Где: Терминал Linux на рабочем месте оператора.

../ca.crt — заранее полученный доверенный корневой сертификат. Используйте свой путь и DNS-имя.

Что подставить

../ca.crt — Доверенный корневой сертификат для построения и проверки цепочки. ../ указывает на каталог выше текущего. Откуда взять: Получите открытый корневой сертификат из доверенного источника: результатов установки своего корневого ЦС или от администратора PKI. Укажите фактический путь к сохранённому файлу.
demo-client.example.test — Ожидаемое DNS-имя сервиса, которое OpenSSL сопоставляет с сертификатом в параметре -verify_hostname. Откуда взять: Используйте то имя, по которому клиенты подключаются к сервису. В этом сценарии оно совпадает с DNS-именем в CSR.
issued/demo-client.example.test.cer — Проверяемый конечный сертификат. Откуда взять: Укажите путь к файлу из распакованного архива на предыдущем шаге. Не подставляйте сюда CSR, закрытый ключ или корневой сертификат.

Примечания

Имена и пути приведены по учебному стенду. Закрытый ключ остаётся у владельца; в Контрольную панель передаётся CSR.

Остальные сервисы проверяются в отдельных главах курса.

Источники

Видео: 02. Clearway CA на одной машине.mp4. Руководство по установке Clearway CA 26.3.0 с помощью инсталлятора, v10 от 07.10.2026. Руководство пользователя Clearway CA 26.3.0, v8 от 06.10.2026.

О чём ролик

Разворачиваем двухуровневую иерархию Clearway CA на двух серверах. Создаём корневой центр, получаем запрос выдающего центра, подписываем его на корневом ЦС, завершаем настройку выдающего и проверяем доступность обоих сервисов и цепочку доверия.

Длительность

09:18

Таймкоды и назначение действий

Время	Действие
00:00	Роли двух центров. Разделить задачи корневого и выдающего центров сертификации.
00:23	Имена серверов и сервисов. Сопоставить узлы video-root и video-issuing с сервисными именами root-ca и issuing-ca.
00:57	Расширенный сценарий установки ЦС. Начать развёртывание корневого центра.
01:21	Сервер и параметры корневого ЦС. Указать SSH-реквизиты, тип центра, Subject и алгоритм ключа.
02:34	Точка распространения. Определить размещение файлов сертификатов и списков отзыва.
02:58	База данных корневого ЦС. Настроить подключение к PostgreSQL.
03:20	Пререквизиты и развёртывание корня. Подготовить зависимости и проверить успешную установку.
03:52	Сохранение корневого сертификата. Передать в следующий этап открытый сертификат root-ca.crt; закрытый ключ остаётся на сервере.
04:07	Развёртывание выдающего ЦС. Указать второй сервер и тип «Выдающий ЦС», заполнить параметры и получить CSR.
05:32	Подпись запроса на корневом ЦС. Загрузить CSR выдающего центра в компонент «Выпуск сертификата» и получить подписанный сертификат.
06:29	Настройка выдающего ЦС. Загрузить корневой и выданный сертификаты, задать точку распространения и применить настройку.
07:52	Проверка API обоих центров. Выполнить mclient ping на корневом и выдающем серверах.
08:29	Проверка цепочки доверия. Получить сертификат выдающего ЦС и проверить его до доверенного корня.
08:57	Иерархия готова. Сохранить параметры и открытые сертификаты для подключения аутентификации и Контрольной панели.

Команды и назначение

07:52 Проверяет доступность API корневого ЦС от технологической учётной записи; в записи — «пинг успешен errno=0».

sudo -iu itc-svc sh -c 'cd /opt/itc/minica && ./mclient ping'

Где: Терминал корневого сервера.

Что подставить

itc-svc — Технологическая учётная запись Linux, от имени которой установлены и запускаются компоненты ЦС. Откуда взять: Возьмите имя учётной записи из параметров развёртывания именно проверяемого центра. Если оно отличается, замените itc-svc в аргументе sudo -iu.

/opt/itc/minica — Каталог установленного ЦС, в котором находится утилита mclient и её окружение. Откуда взять: Посмотрите путь установки в параметрах или истории развёртывания проверяемого сервера. Подставьте фактический каталог; относительный запуск ./mclient выполняется уже из него.

07:52 По SSH выполняет ту же проверку на выдающем центре.

ssh issuing-ca.example.test "sudo -iu itc-svc sh -c 'cd /opt/itc/minica && ./mclient ping'"

Где: Терминал корневого сервера.

Сервисное имя, технологическая учётная запись и каталог должны соответствовать вашей установке.

Что подставить

issuing-ca.example.test — Адрес сервера выдающего центра, к которому выполняется SSH-подключение. Откуда взять: Возьмите доступное имя или IP-адрес выдающего сервера из схемы размещения. В записи SSH-пользователь не указан: он определяется SSH-конфигурацией или текущим локальным именем. Если нужен другой, передайте пользователь@хост. Для подключения нужна учётная запись с sudo; она отличается от технологической itc-svc.
itc-svc — Технологическая учётная запись Linux, от имени которой установлены и запускаются компоненты ЦС. Откуда взять: Возьмите имя учётной записи из параметров развёртывания именно проверяемого центра. Если оно отличается, замените itc-svc в аргументе sudo -iu.
/opt/itc/minica — Каталог установленного ЦС, в котором находится утилита mclient и её окружение. Откуда взять: Посмотрите путь установки в параметрах или истории развёртывания проверяемого сервера. Подставьте фактический каталог; относительный запуск ./mclient выполняется уже из него.

08:34 Сохраняет опубликованный сертификат выдающего ЦС для проверки цепочки.

curl -fsS http://issuing-ca.example.test/aia/Clearway_Training_Issuing_CA.crt -o issuing-ca.crt

Где: Терминал с доступом к точке AIA.

Что подставить

http://issuing-ca.example.test/aia/Clearway_Training_Issuing_CA.crt — Полный адрес опубликованного сертификата выдающего центра: схема, сервер, каталог AIA и имя файла. Откуда взять: Возьмите адрес CA Issuers из AIA конечного сертификата, выпущенного проверяемым выдающим центром, либо из настроек публикации сертификата этого центра. AIA самого выдающего сертификата может указывать на корневой. Меняться могут домен, путь и имя файла.

issuing-ca.crt — Имя локального файла, в который curl сохранит скачанный сертификат. Откуда взять: Выберите имя и папку результата. Этот файл затем передаётся в openssl verify как проверяемый сертификат.

08:47 Проверяет подпись и цепочку сертификата выдающего центра с заданным доверенным корнем; в записи issuing-ca.crt: OK.

openssl verify -CAfile root-ca.crt issuing-ca.crt

Где: Каталог с root-ca.crt и issuing-ca.crt.

Что подставить

root-ca.crt — Открытый доверенный корневой сертификат, которым проверяется цепочка выдающего ЦС. Откуда взять: Используйте файл, сохранённый после установки корневого центра и полученный из доверенного источника. При другом имени или расположении укажите полный путь.

issuing-ca.crt — Сертификат выдающего центра, для которого проверяется цепочка. Откуда взять: Укажите файл, полученный предыдущей командой curl в параметре -o, либо тот же сертификат из результатов установки.

Примечания

Порядок для выдающего ЦС: развёртывание → выпуск его сертификата на корневом центре → настройка выдающего центра.

Имена example.test, учётная запись itc-svc и пути показаны для учебной установки; подставляйте согласованные значения своего окружения.

Источники

Видео: 03. Корневой и выдающий ЦС на отдельных серверах.mp4. Руководство по установке Clearway CA 26.3.0 с помощью инсталлятора, v10 от 07.10.2026.

О чём ролик

Разворачиваем Clearway OpenID и Контрольную панель, подключаем их к выдающему центру сертификации и задаём параметры аутентификации. Добавляем корневой сертификат в доверенные, проверяем адреса сервисов и выполняем первый вход со встроенной учётной записью.

Длительность

09:00

Действия в интерфейсе

00:50 Аутентификация (OpenID) → Развёртывание. Выбрать компонент в расширенном режиме.

01:01 SSH к video-auth.example.test. Подключиться учётной записью cwadmin.

01:13 Имя auth.example.test; itc-svc; /opt/itc. Задать сетевое имя сервиса и владельца его файлов.

01:45 Внешний центр сертификации: video-issuing.example.test. Указать SSH-доступ cwadmin, технологическую учётную запись itc-svc и каталог /opt/itc/minica.

02:10 Локальная БД cw-openid. Задать имя базы и пользователя cw-openid, ввести пароль.

02:34 Статическая учётная запись admin@example.test. Указать отображаемое имя admin и пароль для первого входа.

02:50 Настройка issuer и сроков действия. Итоговый issuer — https://auth.example.test/openid; id-токен — 5m, лимит сессий — 5, отклонение новой сессии при превышении лимита, refresh-токен — 24h, бездействие — 30m.

03:30 Интеграция с LDAP выключена. Сначала проверить работу встроенной учётной записи.

03:43 Проверки → настройка пререквизитов → развёртывание. Подготовить зависимости и установить Clearway OpenID.

04:08 Контрольная панель → Развёртывание. Установить панель на video-panel.example.test с SSH-пользователем cwadmin, именем panel.example.test, учётной записью itc-svc и каталогом /opt/itc.

05:02 Внешний центр и issuing-ca.crt. Указать video-issuing.example.test, загрузить сертификат выдающего центра и задать имя training-issuing.

05:17 Clearway Open ID; внешний OpenID. Указать video-auth.example.test, SSH-доступ и issuer https://auth.example.test/openid.

05:41 Проверки и развёртывание панели. Устранить недостающие пререквизиты и завершить установку.

07:35 Вход admin@example.test. Открыть панель, пройти аутентификацию и нажать «Предоставить доступ» на странице согласия.

08:11 Сертификаты → Статистика ЦС. Проверить сертификаты auth.example.test и panel.example.test и состояние выбранного центра сертификации.

Таймкоды и назначение действий

Время	Действие
00:00	Назначение OpenID и Контрольной панели. Разделить аутентификацию пользователей и работу с центром сертификации.
00:22	Серверы, DNS-имена и подготовка. Сопоставить имена серверов video-auth и video-panel с адресами сервисов auth.example.test и panel.example.test.
00:50	Выбор компонента OpenID. Начать развёртывание сервиса аутентификации в расширенном режиме инсталлятора.
01:01	Сервер и параметры OpenID. Задать SSH-подключение, имя сервиса, технологическую учётную запись и каталог установки.
01:45	Подключение OpenID к центру сертификации. Указать существующий выдающий центр для выпуска служебного сертификата.
02:10	База данных OpenID. Настроить локальную базу cw-openid и её учётную запись.
02:34	Встроенная учётная запись. Подготовить вход admin@example.test до подключения внешнего каталога.
02:50	Издатель, токены и сессии. Задать канонический issuer и ограничения пользовательских сессий.
03:30	LDAP и проверка пререквизитов. Оставить LDAP выключенным, выполнить проверки и настройку недостающих компонентов.
04:02	Результат установки OpenID. Убедиться в успешном развёртывании сервиса аутентификации.
04:08	Развёртывание Контрольной панели. Выбрать компонент, сервер video-panel и имя сервиса panel.example.test.
05:02	Подключение панели к центру сертификации. Указать выдающий центр, его сертификат и отображаемое имя training-issuing.
05:17	Подключение панели к Clearway OpenID. Настроить внешний OpenID и тот же адрес издателя, что задан на сервере аутентификации.
05:41	Проверки и установка панели. Выполнить настройку пререквизитов и дождаться успешного развёртывания.
06:03	Доверие к корневому сертификату. Подготовить Windows к проверке HTTPS-сертификатов сервисов учебной инфраструктуры.
06:22	Импорт корневого сертификата в Windows. Добавить root-ca.crt в доверенные корневые сертификаты текущего пользователя.
06:42	Проверка OpenID и HTTPS панели. Проверить discovery-документ, issuer и доступность веб-интерфейса с проверкой цепочки сертификатов.
07:35	Первый вход и согласие на доступ. Войти со встроенной учётной записью и разрешить передачу данных Контрольной панели.
08:11	Реестр сертификатов и состояние центра. Проверить служебные сертификаты, выбранный центр сертификации и статус UP.
08:39	Итоги первого входа. Зафиксировать готовность панели и сервиса аутентификации к дальнейшей настройке.
00:50	Аутентификация (OpenID) → Развёртывание. Выбрать компонент в расширенном режиме.
01:01	SSH к video-auth.example.test. Подключиться учётной записью cwadmin.
01:13	Имя auth.example.test; itc-svc; /opt/itc. Задать сетевое имя сервиса и владельца его файлов.
01:45	Внешний центр сертификации: video-issuing.example.test. Указать SSH-доступ cwadmin, технологическую учётную запись itc-svc и каталог /opt/itc/minica.
02:10	Локальная БД cw-openid. Задать имя базы и пользователя cw-openid, ввести пароль.
02:34	Статическая учётная запись admin@example.test. Указать отображаемое имя admin и пароль для первого входа.
02:50	Настройка issuer и сроков действия. Итоговый issuer — https://auth.example.test/openid; id-токен — 5m, лимит сессий — 5, отклонение новой сессии при превышении лимита, refresh-токен — 24h, бездействие — 30m.
03:30	Интеграция с LDAP выключена. Сначала проверить работу встроенной учётной записи.
03:43	Проверки → настройка пререквизитов → развёртывание. Подготовить зависимости и установить Clearway OpenID.
04:08	Контрольная панель → Развёртывание. Установить панель на video-panel.example.test с SSH-пользователем cwadmin, именем panel.example.test, учётной записью itc-svc и каталогом /opt/itc.
05:02	Внешний центр и issuing-ca.crt. Указать video-issuing.example.test, загрузить сертификат выдающего центра и задать имя training-issuing.
05:17	Clearway Open ID; внешний OpenID. Указать video-auth.example.test, SSH-доступ и issuer https://auth.example.test/openid.
05:41	Проверки и развёртывание панели. Устранить недостающие пререквизиты и завершить установку.
07:35	Вход admin@example.test. Открыть панель, пройти аутентификацию и нажать «Предоставить доступ» на странице согласия.
08:11	Сертификаты → Статистика ЦС. Проверить сертификаты auth.example.test и panel.example.test и состояние выбранного центра сертификации.

Команды и назначение

06:22 Добавить корневой сертификат в хранилище доверенных корневых сертификатов текущего пользователя Windows.

certutil -user -addstore Root root-ca.crt

Где: Windows PowerShell, каталог C:\Clearway-Guide.

Ключ -user выбирает хранилище текущего пользователя. Файл root-ca.crt должен быть получен из доверенного источника.

Что подставить

root-ca.crt — Путь к файлу доверенного корневого сертификата, который будет добавлен в хранилище Windows. Откуда взять: Возьмите корневой сертификат своего центра сертификации, подготовленный в предыдущих шагах курса и полученный из доверенного источника; подтвердите его отпечаток у администратора и укажите фактический путь к файлу на Windows.

06:42 Получить discovery-документ OpenID по HTTPS и вывести адрес издателя, endpoint аутентификации и адрес ключей проверки подписи.

curl --cacert ~/clearway-demo/root-ca.crt -fsS https://auth.example.test/openid/.well-known/openid-configuration | jq '{issuer, authorization_endpoint, jwks_uri}'

Где: Linux, video-auth, пользователь cwadmin, каталог ~/clearway-demo.

--cacert задаёт доверенный корневой сертификат для проверки HTTPS; jq выбирает три поля из JSON.

Что подставить

~/clearway-demo/root-ca.crt — Путь к корневому сертификату, используемому curl для проверки HTTPS-сертификата сервиса. Откуда взять: Укажите путь к проверенному корневому сертификату учебной цепочки или вашей инфраструктуры на Linux. В ролике файл заранее помещён в clearway-demo в домашнем каталоге; его не получают из проверяемого HTTPS-ответа.

https://auth.example.test/openid/.well-known/openid-configuration — URL discovery-документа Clearway OpenID; auth.example.test — имя сервиса, /openid — путь издателя, /.well-known/openid-configuration — стандартный путь метаданных. Откуда взять: Возьмите канонический issuer, заданный в мастере OpenID, и добавьте /.well-known/openid-configuration. Подставьте свой адрес сервиса; схема и при необходимости порт должны соответствовать его настройке.

07:22 Проверить HTTPS-доступность Контрольной панели и вывести первые четыре строки заголовков ответа.

curl --cacert ~/clearway-demo/root-ca.crt -fsSI https://panel.example.test | head -n 4

Где: Linux, video-auth, пользователь cwadmin, каталог ~/clearway-demo.

-I запрашивает заголовки. В ролике получен HTTP/1.1 200 OK.

Что подставить

https://panel.example.test — HTTPS-адрес развёрнутой Контрольной панели. Откуда взять: Используйте имя сервиса панели, заданное в мастере установки и DNS; при нестандартном порте включите его в URL.

Примечания

Адреса, имена учётных записей и каталоги относятся к учебному стенду. Пароли в описание не переносятся.

Итоговое значение issuer должно совпадать у OpenID и его клиента — Контрольной панели. При показе настройки поле сначала содержит другое значение, затем исправляется на https://auth.example.test/openid.

Для команд curl требуется подготовленный root-ca.crt; для отбора полей discovery-документа используется jq.

Источники

Видео: 04. Аутентификация, Контрольная панель и первый вход.mp4. Руководство по установке Clearway CA 26.3.0 с помощью инсталлятора, v10 от 07.10.2026. Руководство администратора Clearway CA 26.3.0, v6 от 06.10.2026.

О чём ролик

Подключаем Active Directory к Clearway OpenID через веб-мастер: задаём поиск пользователей и групп, атрибуты входа и стандартные группы ролей. Проверяем результат в Контрольной панели — администратор выпускает сертификат, а аудитор просматривает его карточку и связанные события.

Длительность

07:12

Действия в интерфейсе

00:25 Учётные записи в OU ClearwayGuide. svc.clearway используется для поиска в каталоге; ca.admin, ca.auditor и ca.user состоят в соответствующих группах CWCA_Administrator, CWCA_Auditor и CWCA_User.

01:18 Интеграция с LDAP. Задать dc01.example.test:389, DN CN=svc.clearway,OU=ClearwayGuide,DC=example,DC=test и пароль подключения.

01:53 Пользователи LDAP. Указать Base DN OU=ClearwayGuide,DC=example,DC=test и фильтр (objectClass=person); использовать sAMAccountName для логина, идентификатора и предпочитаемого имени, userPrincipalName для почты и displayName для отображаемого имени.

02:46 Группы LDAP. Включить импорт групп по запросу, указать тот же Base DN, фильтр (objectClass=group) и атрибут имени cn.

02:54 Членство в группах через member. Проверить, что группа содержит полный DN пользователя в атрибуте member.

03:09 CWCA_Administrator и CWCA_Auditor. Использовать стандартное сопоставление групп ролям для проверки разных наборов прав.

03:36 Далее → проверки → развёртывание. Применить настройки интеграции и проверить доступность LDAP.

03:58 Вход LDAP: ca.admin. Пройти аутентификацию и подтвердить предоставление доступа Контрольной панели.

04:45 Запрос сертификата. Загрузить request.csr, выбрать шаблон tls и проверить сведения запроса: CN и SAN ldap-admin.example.test, RSA 2048 и срок 365 дней.

05:20 Результат выпуска: RequestId 18. Проверить статус «Выпущен» у сертификата, запрошенного ca.admin.

05:37 Выход → вход LDAP: ca.auditor. Создать новый сеанс для проверки роли аудитора.

06:04 Просмотр реестра и карточки RequestId 18. Убедиться, что аудитор видит сертификат и его инициатора, но не получает действий выпуска и отзыва.

06:31 События → фильтр Request Id 18. Просмотреть события выпуска и подтвердить инициатора ca.admin.

Таймкоды и назначение действий

Время	Действие
00:00	Вход через LDAP и проверка ролей. Определить сценарий подключения Active Directory и проверки фактических прав.
00:25	Учётные записи и группы учебного домена. Разобрать служебную учётную запись и группы CWCA_Administrator, CWCA_Auditor и CWCA_User.
00:53	Повторная настройка Clearway OpenID. Открыть компонент аутентификации в инсталляторе для подключения каталога.
01:18	Подключение к серверу LDAP. Включить интеграцию и задать адрес контроллера домена и bind-учётную запись.
01:53	Поиск пользователей и атрибуты входа. Настроить Base DN, фильтр и сопоставление LDAP-атрибутов с данными пользователя.
02:39	Имя входа, почта и отображаемое имя. Различить короткий логин ca.admin, адрес userPrincipalName и имя из displayName.
02:46	Поиск групп и членство. Настроить импорт групп, область поиска, фильтр и атрибут cn.
03:09	Группы и роли Clearway CA. Связать доменные группы с правами администратора и аудитора.
03:36	Применение параметров LDAP. Выполнить проверки и завершить развёртывание обновлённой конфигурации OpenID.
03:58	Вход доменного администратора. Выбрать LDAP и войти как ca.admin.
04:24	Доступ администратора к панели. Проверить реестр и доступность создания запроса сертификата.
04:45	Выпуск сертификата от администратора. Загрузить CSR, выбрать шаблон tls и выпустить сертификат ldap-admin.example.test.
05:20	Проверка выпущенного сертификата. Убедиться в успешном выпуске и запомнить RequestId 18 для проверки прав аудитора.
05:37	Смена пользователя. Завершить сеанс администратора и войти как ca.auditor.
06:04	Права аудитора в реестре и карточке. Проверить доступ к просмотру без элементов создания и отзыва сертификатов.
06:31	Просмотр событий по запросу. Найти события RequestId 18 и увидеть инициатора ca.admin.
06:49	Итоги проверки доменного доступа. Подтвердить различие прав ролей и необходимость нового входа после изменения групп.
00:25	Учётные записи в OU ClearwayGuide. svc.clearway используется для поиска в каталоге; ca.admin, ca.auditor и ca.user состоят в соответствующих группах CWCA_Administrator, CWCA_Auditor и CWCA_User.
01:18	Интеграция с LDAP. Задать dc01.example.test:389, DN CN=svc.clearway,OU=ClearwayGuide,DC=example,DC=test и пароль подключения.
01:53	Пользователи LDAP. Указать Base DN OU=ClearwayGuide,DC=example,DC=test и фильтр (objectClass=person); использовать sAMAccountName для логина, идентификатора и предпочитаемого имени, userPrincipalName для почты и displayName для отображаемого имени.
02:46	Группы LDAP. Включить импорт групп по запросу, указать тот же Base DN, фильтр (objectClass=group) и атрибут имени cn.
02:54	Членство в группах через member. Проверить, что группа содержит полный DN пользователя в атрибуте member.
03:09	CWCA_Administrator и CWCA_Auditor. Использовать стандартное сопоставление групп ролям для проверки разных наборов прав.
03:36	Далее → проверки → развёртывание. Применить настройки интеграции и проверить доступность LDAP.
03:58	Вход LDAP: ca.admin. Пройти аутентификацию и подтвердить предоставление доступа Контрольной панели.
04:45	Запрос сертификата. Загрузить request.csr, выбрать шаблон tls и проверить сведения запроса: CN и SAN ldap-admin.example.test, RSA 2048 и срок 365 дней.
05:20	Результат выпуска: RequestId 18. Проверить статус «Выпущен» у сертификата, запрошенного ca.admin.
05:37	Выход → вход LDAP: ca.auditor. Создать новый сеанс для проверки роли аудитора.
06:04	Просмотр реестра и карточки RequestId 18. Убедиться, что аудитор видит сертификат и его инициатора, но не получает действий выпуска и отзыва.
06:31	События → фильтр Request Id 18. Просмотреть события выпуска и подтвердить инициатора ca.admin.

Команды и назначение

Ручные команды терминала не показаны. Действия и их назначение перечислены в таймкодах.

Примечания

Команды командной строки в этом ролике не используются; настройка выполняется в веб-мастере, проверка прав — в Контрольной панели.

Встроенная статическая учётная запись сохраняется после включения LDAP. Роли вычисляются при входе: после изменения членства в группах нужно завершить сеанс и войти заново.

Параметры домена и DN приведены для учебного стенда. В ролике используется LDAP на порту 389; отдельная настройка LDAPS в этом видео не показана.

Проверка демонстрирует роли администратора и аудитора. Пользователь ca.user приведён в схеме подготовки домена, отдельный вход под ним не показан.

Источники

Видео: 05. Подключение Active Directory и проверка прав.mp4. Руководство по установке Clearway CA 26.3.0 с помощью инсталлятора, v10 от 07.10.2026. Руководство администратора Clearway CA 26.3.0, v6 от 06.10.2026. Руководство пользователя Clearway CA 26.3.0, v8 от 06.10.2026.

О чём ролик

Настраиваем сервис публикации и почасовую передачу полного CRL по SCP, затем проверяем доступность точек CDP и AIA из сертификата. С помощью curl и OpenSSL проверяем подпись и сроки списка отзыва, наличие отозванного сертификата в CRL и цепочку сертификата выдающего центра до доверенного корня.

Длительность

07:22

Действия в интерфейсе

00:44 Карточка publication-check.example.test. Проверить RequestId 5, шаблон tls и Serial Number 1000000000000000000004.

01:04 Сохранение открытого сертификата. Подготовить publication-check.crt; закрытый ключ для показанных проверок не требуется.

01:45 Сервис публикации → Развёртывание. Использовать сервер панели video-panel.example.test, SSH-пользователя cwadmin, технологическую учётную запись itc-svc и каталог /opt/itc.

02:01 Проверка пререквизитов и развёртывание. Проверить учётную запись, каталоги и Nginx, затем установить сервис публикации.

02:17 Задачи → Публикация CRL → Добавить задачу. Создать задачу для текущего центра сертификации training-issuing.

02:26 Параметры issuing-crl-hourly. Указать описание «Полный CRL выдающего центра», оставить Delta CRL выключенным, выбрать DER и расписание 0 * * * * — каждый час.

03:40 SCP. Включить SCP: хост issuing-ca.example.test, порт 22, пользователь cwadmin, пароль и путь /opt/itc/web/cdp/Clearway_Training_Issuing_CA.crl; локальное копирование и LDAP оставить выключенными.

04:16 Карточка задачи. Проверить тип base, центр training-issuing, расписание и параметры SCP.

04:27 Выполнить → Подтвердить. Запустить публикацию сразу, не дожидаясь расписания.

05:30 Отозвать: CessationOfOperation. Отозвать тестовый сертификат; переключатель Delta CRL в диалоге оставлен выключенным.

05:44 Повторное выполнение issuing-crl-hourly. Опубликовать список после отзыва и дождаться уведомления об успешном выполнении задачи.

Таймкоды и назначение действий

Время	Действие
00:00	Зачем нужны сертификат центра и CRL. Разобрать построение цепочки доверия и публикацию сведений об отзыве.
00:21	План проверки публикации. Определить проверки доступности CDP и AIA, подписи, сроков и серийного номера.
00:44	Тестовый сертификат и его серийный номер. Выбрать publication-check.example.test и сохранить данные для проверки отзыва.
01:04	Подготовка файлов сертификатов. Подготовить publication-check.crt и доверенный root-ca.crt без использования закрытого ключа.
01:11	Извлечение CDP и AIA. Прочитать адреса CRL и сертификата выдающего центра из расширений сертификата.
01:45	Установка сервиса публикации. Развернуть компонент на сервере Контрольной панели с наследуемыми параметрами подключения.
02:17	Создание задачи публикации CRL. Открыть задачи публикации в Контрольной панели.
02:26	Полный CRL, формат DER и расписание. Создать issuing-crl-hourly с расписанием 0 * * * *.
03:40	Передача CRL по SCP. Задать сервер назначения, SSH-пользователя и полный путь публикуемого файла.
04:16	Карточка и первый запуск задачи. Проверить параметры и выполнить публикацию вне расписания.
04:41	Загрузка опубликованного CRL. Скачать файл по адресу CDP на клиентскую машину.
04:59	Подпись, издатель и сроки CRL. Проверить DER-список через OpenSSL и прочитать lastUpdate и nextUpdate.
05:18	Отзыв тестового сертификата. Отозвать сертификат с причиной CessationOfOperation.
05:44	Повторный запуск публикации. Запустить задачу после отзыва сертификата.
05:56	Поиск серийного номера в CRL. Найти отозванный сертификат, дату и причину отзыва в тексте списка.
06:18	Загрузка сертификата центра по AIA. Получить опубликованный сертификат выдающего центра.
06:34	Проверка цепочки до корневого центра. Проверить сертификат issuing-ca.crt с доверенным root-ca.crt.
06:56	Итоги проверки публикации. Подтвердить работу расписания и доступность материалов для проверки на клиенте.
00:44	Карточка publication-check.example.test. Проверить RequestId 5, шаблон tls и Serial Number 1000000000000000000004.
01:04	Сохранение открытого сертификата. Подготовить publication-check.crt; закрытый ключ для показанных проверок не требуется.
01:45	Сервис публикации → Развёртывание. Использовать сервер панели video-panel.example.test, SSH-пользователя cwadmin, технологическую учётную запись itc-svc и каталог /opt/itc.
02:01	Проверка пререквизитов и развёртывание. Проверить учётную запись, каталоги и Nginx, затем установить сервис публикации.
02:17	Задачи → Публикация CRL → Добавить задачу. Создать задачу для текущего центра сертификации training-issuing.
02:26	Параметры issuing-crl-hourly. Указать описание «Полный CRL выдающего центра», оставить Delta CRL выключенным, выбрать DER и расписание 0 * * * * — каждый час.
03:40	SCP. Включить SCP: хост issuing-ca.example.test, порт 22, пользователь cwadmin, пароль и путь /opt/itc/web/cdp/Clearway_Training_Issuing_CA.crl; локальное копирование и LDAP оставить выключенными.
04:16	Карточка задачи. Проверить тип base, центр training-issuing, расписание и параметры SCP.
04:27	Выполнить → Подтвердить. Запустить публикацию сразу, не дожидаясь расписания.
05:30	Отозвать: CessationOfOperation. Отозвать тестовый сертификат; переключатель Delta CRL в диалоге оставлен выключенным.
05:44	Повторное выполнение issuing-crl-hourly. Опубликовать список после отзыва и дождаться уведомления об успешном выполнении задачи.

Команды и назначение

01:11 Показать расширения CDP и AIA: адрес списка отзыва и адрес сертификата выдающего центра.

openssl x509 -in publication-check.crt -noout -ext crlDistributionPoints,authorityInfoAccess

Где: Linux, video-root, пользователь cwadmin, каталог ~/clearway-demo/chapter06.

-noout скрывает полный сертификат; -ext выбирает два расширения.

Что подставить

publication-check.crt — Входной файл открытого тестового сертификата, из которого читаются CDP и AIA. Откуда взять: Сохраните сертификат из карточки publication-check.example.test на предыдущем шаге (01:04) и укажите своё имя файла. Закрытый ключ для этой команды не нужен.

04:41 Скачать опубликованный CRL из точки CDP в локальный файл issuing-ca.crl.

curl -fS http://issuing-ca.example.test/cdp/Clearway_Training_Issuing_CA.crl -o issuing-ca.crl

Где: Linux, video-root, пользователь cwadmin, каталог ~/clearway-demo/chapter06.

-f завершает запрос с ошибкой при ошибочном HTTP-статусе; -o задаёт имя выходного файла.

Что подставить

http://issuing-ca.example.test/cdp/Clearway_Training_Issuing_CA.crl — Полный URL файла CRL, опубликованного выдающим центром. Откуда взять: Скопируйте адрес из расширения CRL Distribution Points, выведенного командой на 01:11; домен и имя файла должны соответствовать вашему сертификату и точке публикации.

issuing-ca.crl — Имя выходного файла скачанного списка отзыва. Откуда взять: Выберите имя и каталог локальной копии CRL; укажите тот же путь в обеих следующих командах openssl crl.

04:59 Проверить подпись списка отзыва сертификатом выдающего центра и показать издателя, время выпуска и следующего обновления.

openssl crl -inform DER -in issuing-ca.crl -CAfile issuing-ca.crt -verify -noout -issuer -lastupdate -nextupdate

Где: Linux, video-root, пользователь cwadmin, каталог ~/clearway-demo/chapter06.

В кадре результат verify OK. Файл issuing-ca.crt уже должен быть доступен локально; его загрузка по AIA показана позднее.

Что подставить

issuing-ca.crl — Локальный файл полного списка отзыва в формате DER. Откуда взять: Для первичной проверки используйте файл, скачанный командой curl на 04:41; после новой публикации скачайте актуальную копию по тому же CDP. Если выбрали другое имя выходного файла, подставьте его.

issuing-ca.crt — Файл сертификата выдающего центра, которым проверяется подпись CRL. Откуда взять: Заранее получите сертификат центра, подписавшего CRL, у администратора или из точки AIA и проверьте его цепочку. В монтаже скачивание этого файла по AIA показано позже — на 06:18.

05:56 Найти серийный номер тестового сертификата в CRL и вывести четыре следующие строки с датой и причиной отзыва.

openssl crl -inform DER -in issuing-ca.crl -noout -text | grep -A 4 1000000000000000000004

Где: Linux, video-root, пользователь cwadmin, каталог ~/clearway-demo/chapter06.

Показана причина Cessation Of Operation. Команда читает локальный файл; после новой публикации его нужно обновить, однако повторное скачивание в монтаже не показано.

Что подставить

1000000000000000000004 — Серийный номер отозванного тестового сертификата, который grep ищет в тексте CRL. Откуда взять: Возьмите Serial Number из карточки своего отозванного сертификата (в ролике RequestId 5) и приведите его к шестнадцатеричному представлению OpenSSL без разделителей. Это серийный номер сертификата, а не RequestId.

06:18 Скачать сертификат выдающего центра по адресу AIA в файл issuing-ca.crt.

curl -fS http://issuing-ca.example.test/aia/Clearway_Training_Issuing_CA.crt -o issuing-ca.crt

Где: Linux, video-root, пользователь cwadmin, каталог ~/clearway-demo/chapter06.

Используется адрес CA Issuers, прочитанный из расширения authorityInfoAccess.

Что подставить

http://issuing-ca.example.test/aia/Clearway_Training_Issuing_CA.crt — Полный URL сертификата выдающего центра в точке AIA CA Issuers. Откуда взять: Скопируйте адрес CA Issuers из расширения authorityInfoAccess, выведенного командой на 01:11; используйте URL именно того центра, который выдал проверяемый сертификат.

issuing-ca.crt — Имя выходного файла сертификата выдающего центра. Откуда взять: Выберите имя локального файла; затем используйте тот же путь в команде openssl verify и при проверке подписи CRL.

06:34 Проверить цепочку сертификата выдающего центра до подготовленного доверенного корневого сертификата.

openssl verify -CAfile ../root-ca.crt issuing-ca.crt

Где: Linux, video-root, пользователь cwadmin, каталог ~/clearway-demo/chapter06.

В кадре результат issuing-ca.crt: OK. Эта команда проверяет сертификат центра, а не статус отзыва тестового конечного сертификата.

Что подставить

../root-ca.crt — Путь к доверенному корневому сертификату, относительно которого проверяется цепочка выдающего центра. Откуда взять: Используйте корневой сертификат, подготовленный на предыдущих шагах курса и проверенный по доверенному источнику. В примере он лежит на каталог выше chapter06; подставьте фактический путь в своей системе.

issuing-ca.crt — Входной файл сертификата выдающего центра, цепочку которого нужно проверить. Откуда взять: Используйте файл, скачанный по AIA предыдущей командой на 06:18; если выбрали другое имя после -o, подставьте его.

Примечания

В списке приведены только шесть вручную введённых команд из ролика. Служебные операции инсталлятора не относятся к командам для самостоятельного выполнения.

При проверке подписи CRL в 04:59 файл issuing-ca.crt уже используется, хотя его загрузка по AIA показана лишь в 06:18. Перед повторением проверки сертификат выдающего центра нужно подготовить заранее.

Между повторной публикацией в 05:44 и поиском серийного номера в 05:56 повторная загрузка issuing-ca.crl не показана. При повторении следует обновить локальную копию CRL, иначе команда проверит прежний файл.

CessationOfOperation — окончательный отзыв. Возможность возобновления действия относится к причине CertificateHold, которая здесь не используется.

Адреса CDP и AIA взяты из тестового сертификата. Доступность HTTP-файла сама по себе не подтверждает его подлинность; в ролике отдельно проверяются подпись CRL и цепочка сертификата центра.

Источники

Видео: 06. Публикация сертификатов и списков отзыва.mp4. Руководство по установке Clearway CA 26.3.0 с помощью инсталлятора, v10 от 07.10.2026. Руководство пользователя Clearway CA 26.3.0, v8 от 06.10.2026. Руководство администратора Clearway CA 26.3.0, v6 от 06.10.2026.

О чём ролик

Разворачиваем OCSP на сервере выдающего центра сертификации и подключаем ответчик к его рабочей базе. Создаём отдельный учебный сертификат, проверяем подписанный ответ GOOD, отзываем сертификат и повторяем запрос до получения REVOKED. В конце проверяем адрес OCSP, записанный в сертификате.

Длительность

08:15

Таймкоды и назначение действий

Время	Действие
00:00	Что проверяем: GOOD → REVOKED. Один учебный сертификат и два подписанных ответа.
00:23	Схема размещения OCSP. Выдающий центр, его рабочая БД и адрес ответчика.
00:54	Установка сервиса в веб-мастере. Выбор OCSP, сервер и основные параметры.
01:47	Подключение к центру сертификации и БД. Параметры выпуска сертификата ответчика и рабочей БД.
02:48	Проверка пререквизитов и развёртывание. Проверки, установка и успешный результат.
03:18	Создание ключа и запроса CSR. Подготовка ocsp-client.example.test через OpenSSL.
04:00	Выпуск учебного сертификата. Отправка CSR и просмотр выпущенного сертификата.
04:34	Проверка реквизитов сертификата. Subject, серийный номер и сроки действия.
04:59	Первый запрос OCSP: GOOD. Проверка подписи и сохранение ответа good.der.
06:03	Отзыв сертификата. Отзыв с причиной CessationOfOperation через Контрольную панель.
06:34	Повторный запрос: REVOKED. Проверка причины и времени отзыва; сохранение revoked.der.
07:07	Проверка адреса OCSP в сертификате. Чтение OCSP URI и итог проверки.

Команды и назначение

03:21 Ограничить права новых файлов с ключом.

umask 077

Где: Linux, терминал cwadmin@video-root, каталог ocsp-demo.

Что подставить

Свои значения подставлять не требуется: 077 — показанная маска, запрещающая доступ группы и остальных пользователей к новым файлам ключа.

03:45 Создать ключ RSA и запрос на учебный сертификат.

openssl req -new -newkey rsa:2048 -nodes -keyout ocsp-client.key -out ocsp-client.csr -subj '/CN=ocsp-client.example.test'

Где: Linux, терминал cwadmin@video-root, каталог ocsp-demo.

-nodes сохраняет ключ без парольного шифрования; это команда учебного ролика.

Что подставить

rsa:2048 — Тип создаваемого ключа RSA и его длина 2048 бит. Откуда взять: Выберите алгоритм и длину, разрешённые шаблоном выпуска и требованиями вашего центра; здесь показан учебный вариант RSA 2048.
ocsp-client.key — Имя выходного файла нового закрытого ключа. Откуда взять: Выберите имя и путь в подготовленном защищённом каталоге клиента; этот файл создаёт команда.
ocsp-client.csr — Имя выходного файла запроса на сертификат. Откуда взять: Выберите имя и путь для CSR, который затем загрузите при выпуске сертификата.
ocsp-client.example.test — Значение Common Name в Subject запроса после /CN=. Откуда взять: Возьмите имя проверяемого клиента или сервиса из его DNS-конфигурации и требований выбранного шаблона сертификата.

04:50 Проверить субъект, серийный номер и срок действия.

openssl x509 -in ocsp-client.crt -noout -subject -serial -dates

Где: Linux, терминал cwadmin@video-root, каталог ocsp-demo.

Что подставить

ocsp-client.crt — Файл сертификата клиента, статус которого проверяется. Откуда взять: Скачайте выпущенный по CSR сертификат из карточки в Контрольной панели и укажите путь к сохранённому файлу.

05:30 Проверить статус до отзыва и сохранить подписанный ответ.

openssl ocsp -issuer issuing-ca.crt -cert ocsp-client.crt -url http://ocsp.example.test:8888/ocsp -CAfile ca-chain.pem -no_nonce -respout good.der

Где: Linux, терминал cwadmin@video-root, каталог ocsp-demo.

В ролике ответ good и Response verify OK.

Что подставить

issuing-ca.crt — Сертификат центра, непосредственно выпустившего проверяемый сертификат; нужен для формирования OCSP-запроса. Откуда взять: Возьмите сертификат выдающего центра из результата его развёртывания или из подготовленной цепочки проверяемого сертификата.
ocsp-client.crt — Файл сертификата клиента, статус которого проверяется. Откуда взять: Скачайте выпущенный по CSR сертификат из карточки в Контрольной панели и укажите путь к сохранённому файлу.
http://ocsp.example.test:8888/ocsp — Полный адрес OCSP: схема HTTP, имя ответчика, порт 8888 и путь /ocsp в учебном стенде. Откуда взять: Возьмите OCSP URI из проверяемого сертификата либо полный согласованный адрес и порт из конфигурации развёрнутого OCSP-сервиса.
ca-chain.pem — PEM-файл доверенной цепочки для проверки подписи OCSP-ответа. Откуда взять: Подготовьте файл из доверенных сертификатов вашей иерархии, полученных при развёртывании центров или от администратора центра.
good.der — Выходной файл DER с OCSP-ответом до отзыва. Откуда взять: Выберите имя и путь для сохранения первого ответа; они не должны совпадать с файлом ответа после отзыва.

07:00 Повторить запрос после отзыва.

openssl ocsp -issuer issuing-ca.crt -cert ocsp-client.crt -url http://ocsp.example.test:8888/ocsp -CAfile ca-chain.pem -no_nonce -respout revoked.der

Где: Linux, терминал cwadmin@video-root, каталог ocsp-demo.

В ролике revoked, Reason: cessationOfOperation и Response verify OK.

Что подставить

issuing-ca.crt — Сертификат центра, непосредственно выпустившего проверяемый сертификат; нужен для формирования OCSP-запроса. Откуда взять: Возьмите сертификат выдающего центра из результата его развёртывания или из подготовленной цепочки проверяемого сертификата.
ocsp-client.crt — Файл сертификата клиента, статус которого проверяется. Откуда взять: Скачайте выпущенный по CSR сертификат из карточки в Контрольной панели и укажите путь к сохранённому файлу.
http://ocsp.example.test:8888/ocsp — Полный адрес OCSP: схема HTTP, имя ответчика, порт 8888 и путь /ocsp в учебном стенде. Откуда взять: Возьмите OCSP URI из проверяемого сертификата либо полный согласованный адрес и порт из конфигурации развёрнутого OCSP-сервиса.
ca-chain.pem — PEM-файл доверенной цепочки для проверки подписи OCSP-ответа. Откуда взять: Подготовьте файл из доверенных сертификатов вашей иерархии, полученных при развёртывании центров или от администратора центра.
revoked.der — Выходной файл DER с OCSP-ответом после отзыва. Откуда взять: Выберите отдельное имя и путь для второго ответа, чтобы сохранить оба результата проверки.

07:30 Вывести адрес OCSP из сертификата.

openssl x509 -in ocsp-client.crt -noout -ocsp_uri

Где: Linux, терминал cwadmin@video-root, каталог ocsp-demo.

Что подставить

Примечания

Адреса example.test, имена файлов и сертификат клиента относятся к учебному стенду.

Подпись ответа проверяется по ca-chain.pem; в ролике показано Response verify OK.

Источники

Видео: 07. OCSP — проверка статуса сертификата.mp4. Руководство по установке Clearway CA 26.3.0 с помощью инсталлятора, v10 от 07.10.2026. Разделы: 13 OCSP.

О чём ролик

Устанавливаем архиватор на сервер выдающего центра и задаём рабочую и архивную базы PostgreSQL. Проверяем условия переноса, временно меняем срок и расписание для учебного запуска, затем сверяем журнал и записи в обеих базах. После проверки возвращаем обычное ежедневное расписание и исходные сроки.

Длительность

07:05

Таймкоды и назначение действий

Время	Действие
00:00	Установка и контрольная выборка. Что проверяется до и после переноса.
00:25	Рабочая и архивная базы. Источник cwi-ca и назначение cwi-ca-archive.
00:51	Установка через веб-мастер. Сервер, рабочая БД, архивная БД и сроки переноса.
02:08	Пререквизиты и развёртывание. Подготовка PostgreSQL, каталогов и службы архиватора.
02:54	Условия переноса. CertificateDays = 30, EventDays = 50 и связи объектов.
03:09	Учебная выборка событий 11–14. Проверка возраста и отсутствия связей по выбранным полям.
03:26	Проверка конфигурации. Просмотр расписания и сроков через jq.
03:51	Проверка исходных записей в PostgreSQL. Выборка четырёх событий до переноса.
04:28	Временные настройки для демонстрации. Копия конфигурации, EventDays = 1 и частое расписание.
05:00	Проверка JSON и перезапуск службы. Применение настроек и статус active.
05:30	Проверка журнала переноса. Вставка и удаление 22 событий.
05:54	Сверка рабочей и архивной баз. 0 выбранных записей в источнике и 4 в архиве.
06:18	Возврат исходных настроек. @daily, CertificateDays = 30, EventDays = 50.
06:36	Итог проверки. Установка, перенос и возврат параметров подтверждены.

Команды и назначение

03:35 Показать текущий каталог конфигурации.

pwd

Где: Linux, cwadmin@video-issuing; каталог /opt/itc/archiver/itc/config.

Что подставить

Свои значения подставлять не требуется: pwd выводит текущий каталог; сначала перейдите в каталог конфигурации вашей установки архиватора.

03:35 Проверить расписание и сроки архивирования.

sudo jq '.Tasks[] | {Key,Cron,CertificateDays,EventDays}' itc_api_miniCA_archiver_config.json

Где: Linux, cwadmin@video-issuing; каталог /opt/itc/archiver/itc/config.

Что подставить

itc_api_miniCA_archiver_config.json — Файл конфигурации архиватора; относительное имя ищется в текущем каталоге. Откуда взять: Возьмите файл из каталога установленного архиватора. В ролике это /opt/itc/archiver/itc/config; используйте фактический путь вашей установки.

Key, Cron, CertificateDays и EventDays — имена полей JSON, их не заменяют именами своих параметров.

03:54 Открыть рабочую БД без пользовательского psqlrc и pager.

sudo -u postgres psql -X -P pager=off -d cwi-ca

Где: Linux, cwadmin@video-issuing; каталог /opt/itc/archiver/itc/config.

Что подставить

postgres — Учётная запись Linux для запуска локального psql; без отдельного имени роли psql использует соответствующее имя PostgreSQL. Откуда взять: Возьмите служебную учётную запись установленного PostgreSQL с доступом к нужной БД; в показанной стандартной установке это postgres.
cwi-ca — Имя рабочей БД центра, из которой архиватор переносит записи. Откуда взять: Возьмите имя из параметров рабочей БД центра и источника задачи в конфигурации архиватора.
pager=off — фиксированная настройка вывода без постраничного просмотра; пользовательские данные вместо off не нужны.

03:59 Проверить события, возраст и поля связей до переноса.

SELECT id,dtime::timestamp(0) AS event_utc,status, cert_id,csr_id,templ_id,crl_id FROM evt WHERE id BETWEEN 11 AND 14 ORDER BY id;

Где: psql, база cwi-ca.

Что подставить

11 — Нижняя граница включительного диапазона идентификаторов событий для контрольной выборки. Откуда взять: Возьмите первый ID из предварительно выбранных событий вашей рабочей БД; запишите его для одинаковой проверки источника и архива.
14 — Верхняя граница включительного диапазона идентификаторов событий. Откуда взять: Возьмите последний ID той же контрольной выборки в рабочей БД; используйте одинаковые границы во всех последующих SELECT.
evt и имена SQL-колонок относятся к показанной схеме данных; timestamp(0) задаёт вывод времени без долей секунды и не является ID для подстановки.

04:31 Сохранить исходную конфигурацию.

sudo cp -p itc_api_miniCA_archiver_config.json itc_api_miniCA_archiver_config.json.before-video

Где: Linux, cwadmin@video-issuing; каталог /opt/itc/archiver/itc/config.

Что подставить

itc_api_miniCA_archiver_config.json.before-video — Путь к резервной копии конфигурации до редактирования. Откуда взять: Выберите отдельное имя для копии в доступном каталоге, отличное от исходного файла; суффикс before-video — имя из демонстрации.

05:00 Отредактировать EventDays и Cron для учебного запуска.

sudo nano -l itc_api_miniCA_archiver_config.json

Где: Linux, cwadmin@video-issuing; каталог /opt/itc/archiver/itc/config.

В ролике временно EventDays = 1 и Cron = "* * * * *"; затем исходные значения восстановлены.

Что подставить

В открытом JSON пользователь задаёт EventDays (возраст событий и запросов в днях) и Cron (расписание). Источник значений — согласованные сроки хранения и расписание; в учебном запуске временно указаны 1 и * * * * *, затем восстановлены 50 и @daily. Эти значения вводятся в редакторе, а не подставляются в строку nano.

05:00 Проверить синтаксис изменённого JSON.

sudo jq empty itc_api_miniCA_archiver_config.json && echo 'JSON: OK'

Где: Linux, cwadmin@video-issuing; каталог /opt/itc/archiver/itc/config.

Что подставить

empty — программа проверки jq, а JSON: OK — текст сообщения об успешной проверке; свои значения вместо них не требуются.

05:06 Перезапустить пользовательскую службу архиватора.

sudo -u itc-svc env XDG_RUNTIME_DIR=/run/user/1001 systemctl --user restart archiver.service

Где: Linux, cwadmin@video-issuing; каталог /opt/itc/archiver/itc/config.

1001 — UID технологической учётной записи в показанном стенде.

Что подставить

itc-svc — Технологическая учётная запись Linux, от имени которой запущен архиватор. Откуда взять: Возьмите имя из параметров развёртывания архиватора и владельца его пользовательской службы.
/run/user/1001 — Каталог среды выполнения пользовательской службы; 1001 — числовой UID технологической учётной записи. Откуда взять: Определите UID выбранной учётной записи по выводу id на сервере и используйте её фактический каталог /run/user/<UID>. UID 1001 из стенда не переносится автоматически.
archiver.service — стандартное имя пользовательской службы архиватора в этой установке; его сохраняют при такой же установке.

05:18 Проверить состояние active.

sudo -u itc-svc env XDG_RUNTIME_DIR=/run/user/1001 systemctl --user is-active archiver.service

Где: Linux, cwadmin@video-issuing; каталог /opt/itc/archiver/itc/config.

Что подставить

itc-svc — Технологическая учётная запись Linux, от имени которой запущен архиватор. Откуда взять: Возьмите имя из параметров развёртывания архиватора и владельца его пользовательской службы.
/run/user/1001 — Каталог среды выполнения пользовательской службы; 1001 — числовой UID технологической учётной записи. Откуда взять: Определите UID выбранной учётной записи по выводу id на сервере и используйте её фактический каталог /run/user/<UID>. UID 1001 из стенда не переносится автоматически.
archiver.service — стандартное имя той же службы, состояние которой проверяется после перезапуска.

05:30 Вывести события журнала для переноса 22 записей.

jq -r 'select(.context.Count==22) | [.time[0:19],.msg] | @tsv' /opt/itc/archiver/itc/logs/itc_api_miniCA_archiver/itc_api_miniCA_archiver_log-20261011.ndjson

Где: Linux, cwadmin@video-issuing; каталог /opt/itc/archiver/itc/config.

Имя файла и Count==22 относятся к записи демонстрации.

Что подставить

22 — Число записей переноса, по которому фильтруются сообщения журнала; это не количество событий выбранного диапазона 11–14. Откуда взять: Возьмите фактическое значение Count из сообщений нужного запуска архиватора в журнале.
/opt/itc/archiver/itc/logs/itc_api_miniCA_archiver/itc_api_miniCA_archiver_log-20261011.ndjson — Полный путь к журналу нужного запуска; 20261011 — дата файла в формате ГГГГММДД из записи демонстрации. Откуда взять: Возьмите каталог журналов установленного архиватора и файл за дату проверяемого запуска; используйте фактическое имя файла, а не дату учебного стенда.
.time[0:19] задаёт срез строки времени для вывода; это фиксированные индексы форматирования, не идентификаторы событий.

06:06 Убедиться, что выбранных событий больше нет в рабочей БД.

SELECT count(*) FROM evt WHERE id BETWEEN 11 AND 14;

Где: psql, база cwi-ca.

В ролике count = 0.

Что подставить

11 — Нижняя граница включительного диапазона идентификаторов событий для контрольной выборки. Откуда взять: Возьмите первый ID из предварительно выбранных событий вашей рабочей БД; запишите его для одинаковой проверки источника и архива.

14 — Верхняя граница включительного диапазона идентификаторов событий. Откуда взять: Возьмите последний ID той же контрольной выборки в рабочей БД; используйте одинаковые границы во всех последующих SELECT.

06:06 Переключиться на архивную БД.

\c cwi-ca-archive

Где: psql.

Что подставить

cwi-ca-archive — Имя архивной БД, на которую переключается текущий сеанс psql. Откуда взять: Возьмите имя из назначения задачи архиватора и параметров архивной БД, заданных при развёртывании.

06:06 Проверить те же четыре события в архиве.

SELECT id,dtime::timestamp(0) AS event_utc,status FROM evt WHERE id BETWEEN 11 AND 14 ORDER BY id;

Где: psql, база cwi-ca-archive.

В ролике возвращены ID 11–14.

Что подставить

06:30 Вернуть исходные сроки и расписание и применить конфигурацию.

sudo nano -l itc_api_miniCA_archiver_config.json sudo jq empty itc_api_miniCA_archiver_config.json sudo -u itc-svc env XDG_RUNTIME_DIR=/run/user/1001 systemctl --user restart archiver.service

Где: Linux, cwadmin@video-issuing; каталог /opt/itc/archiver/itc/config.

Итоговые значения: @daily, CertificateDays = 30, EventDays = 50.

Что подставить

itc_api_miniCA_archiver_config.json — Файл конфигурации архиватора; относительное имя ищется в текущем каталоге. Откуда взять: Возьмите файл из каталога установленного архиватора. В ролике это /opt/itc/archiver/itc/config; используйте фактический путь вашей установки.
itc-svc — Технологическая учётная запись Linux, от имени которой запущен архиватор. Откуда взять: Возьмите имя из параметров развёртывания архиватора и владельца его пользовательской службы.
/run/user/1001 — Каталог среды выполнения пользовательской службы; 1001 — числовой UID технологической учётной записи. Откуда взять: Определите UID выбранной учётной записи по выводу id на сервере и используйте её фактический каталог /run/user/<UID>. UID 1001 из стенда не переносится автоматически.
В редакторе восстановите Cron, CertificateDays и EventDays из сохранённой исходной конфигурации и принятой политики хранения. В ролике итоговые значения: @daily, 30 и 50. archiver.service — стандартная служба архиватора.

06:30 Подтвердить восстановленные параметры.

sudo jq '.Tasks[] | {Cron,CertificateDays,EventDays}' itc_api_miniCA_archiver_config.json

Где: Linux, cwadmin@video-issuing; каталог /opt/itc/archiver/itc/config.

Что подставить

Cron, CertificateDays и EventDays — фиксированные имена полей JSON. Сравнивайте их значения с исходной копией конфигурации и согласованной политикой хранения.

Примечания

Изменение EventDays до 1 и расписания до * * * * * показано только для ускоренной демонстрации; в конце ролика восстановлены @daily и EventDays = 50.

Номера событий 11–14, число 22 и дата файла журнала — значения учебного стенда.

Архиватор переносит записи из рабочей БД; он не заменяет резервное копирование.

Источники

Видео: 08. Архиватор.mp4. Руководство по установке Clearway CA 26.3.0 с помощью инсталлятора, v10 от 07.10.2026. Разделы: 14 Архиватор.

О чём ролик

Устанавливаем сервис резервного копирования на сервер Контрольной панели. Создаём задание для базы данных и узла выдающего центра, задаём расписание и состав файлов. Запускаем первую копию вручную и проверяем завершение задания и отметку «Пригодна».

Длительность

04:17

Таймкоды и назначение действий

Время	Действие
00:00	План: сервис, задание, первая копия. Исходное условие — установленная Контрольная панель.
00:17	Выбор сервиса резервного копирования. Компонент веб-мастера и унаследованные настройки сервера.
00:49	Проверки и развёртывание. Зависимости, каталоги и утилиты PostgreSQL.
01:38	Открытие резервного копирования в панели. Переход к списку заданий.
01:45	Новое задание и параметры БД. Ключ, описание, Cron и подключение к cwi-ca.
02:07	Узел центра сертификации. Исполняемый файл, systemd, пользователь, SSH и файлы конфигурации.
02:49	Сохранение и проверка задания. Просмотр состава созданного задания issuing-training.
03:03	Ручной запуск копирования. Запуск задания и ожидание окончания.
03:34	Проверка результата. Архив создан; интерфейс показывает «Пригодна».
03:57	Дальнейшее хранение и восстановление. Копии вне сервера и проверка восстановления на отдельном стенде.

Команды и назначение

Ручные команды терминала не показаны. Действия и их назначение перечислены в таймкодах.

Примечания

Терминальные команды в этом ролике не показаны: действия выполняются в веб-мастере и Контрольной панели.

Cron учебного задания: 0 2 * * * (ежедневно в 02:00).

Восстановление в ролике не выполняется. Отметка «Пригодна» проверена в интерфейсе; состав архива и восстановление проверяются отдельно.

Источники

Видео: 09. Установка сервиса резервного копирования и первая копия.mp4. Руководство по установке Clearway CA 26.3.0 с помощью инсталлятора, v10 от 07.10.2026. Разделы: 17 Резервное копирование.

О чём ролик

Устанавливаем адаптер SCEP через веб-мастер и проверяем получение сертификата с отдельного Linux-клиента. Подготавливаем доверенные сертификаты и Certmonger, регистрируем SCEP-службу, получаем одноразовый пароль и создаём запрос. Завершаем проверкой статуса MONITORING, отсутствия ошибки stuck и наличия сертификата клиента.

Длительность

07:19

Таймкоды и назначение действий

Время	Действие
00:00	Сценарий установки и запроса. Адаптер на сервере выдающего центра, отдельный Linux-клиент.
00:19	Выбор SCEP и параметры сервера. Подключение к целевому серверу и основные параметры.
01:13	Центр сертификации, БД и аутентификация. Настройка зависимостей адаптера.
02:38	Пререквизиты и развёртывание. Проверки и установка SCEP.
03:04	Подготовка Certmonger. Установка пакета на Linux-клиенте.
03:27	Каталог клиента и доверие корневому сертификату. Права каталога и установка root-ca.pem в системное доверие.
04:05	Открытые сертификаты для клиента. root-ca.pem, issuing-ca.pem и scep-ra.pem.
04:29	Регистрация SCEP-службы в Certmonger. getcert add-scep-ca и list-cas.
04:59	Получение одноразового пароля. Запрос challenge-password с токеном и проверка прав файла.
05:32	Запрос сертификата. Создание ключа и запрос с одноразовым паролем.
06:33	Проверка результата в Certmonger. MONITORING, stuck: no и реквизиты сертификата.
07:03	Итог: сертификат получен. Новый одноразовый пароль нужен для следующего запроса.

Команды и назначение

03:15 Установить Certmonger на клиенте.

apt-get install -y certmonger

Где: Linux-клиент, root@video-auth.

Показанная команда установки пакета.

Что подставить

Свои значения подставлять не требуется: certmonger — имя устанавливаемого пакета в показанном Linux-дистрибутиве, а -y подтверждает его установку.

03:38 Создать закрытый каталог для ключа клиента.

install -d -m 700 /root/scep-ch10/private

Где: Linux-клиент, root@video-auth.

Что подставить

/root/scep-ch10/private — Создаваемый каталог закрытых ключей клиента. Откуда взять: Выберите постоянный каталог на клиенте, доступный владельцу ключа и Certmonger; его путь затем используется при создании файла ключа.
700 — показанные права каталога: доступ только владельцу. Это защитная настройка, её не заменяют именем пользователя или файла.

03:55 Поместить корневой сертификат в каталог клиента.

install -m 644 /home/cwadmin/ch10-client-20261009/root-ca.crt /root/scep-ch10/root-ca.pem

Где: Linux-клиент, root@video-auth.

Исходный путь соответствует учебному стенду.

Что подставить

/home/cwadmin/ch10-client-20261009/root-ca.crt — Исходный файл доверенного корневого сертификата; cwadmin и дата каталога относятся к стенду. Откуда взять: Возьмите фактический путь к файлу корневого сертификата, полученному от администратора или из результата развёртывания вашей иерархии.
/root/scep-ch10/root-ca.pem — Путь назначения для копии корневого сертификата на клиенте. Откуда взять: Выберите имя файла в подготовленном рабочем каталоге клиента и затем используйте этот же путь в командах SCEP.
644 — показанные права открытого сертификата: запись владельцу, чтение остальным. install копирует файл, но не преобразует его формат; исходный файл должен содержать PEM-сертификат.

03:55 Добавить корневой сертификат в каталог системного доверия.

install -m 644 /root/scep-ch10/root-ca.pem /usr/local/share/ca-certificates/clearway-root-ca.crt

Где: Linux-клиент, root@video-auth.

Что подставить

/root/scep-ch10/root-ca.pem — Полный путь к доверенному корневому сертификату PEM на SCEP-клиенте. Откуда взять: Используйте путь к копии корневого сертификата, подготовленной предыдущим шагом из проверенного файла вашей иерархии.
/usr/local/share/ca-certificates/clearway-root-ca.crt — Путь назначения для добавления корневого сертификата в локальное системное доверие. Откуда взять: В показанном дистрибутиве выберите уникальное имя с расширением .crt в /usr/local/share/ca-certificates; используйте проверенный корневой сертификат своей иерархии.
644 — фиксированные права открытого сертификата в этом примере; update-ca-certificates выполняется следующим шагом.

03:58 Обновить системное хранилище доверенных сертификатов.

update-ca-certificates

Где: Linux-клиент, root@video-auth.

Что подставить

Свои значения подставлять не требуется: команда обновляет системное доверие из установленных файлов сертификатов.

04:48 Зарегистрировать SCEP-службу и сертификаты в Certmonger.

getcert add-scep-ca -c Clearway-SCEP -u "https://scep.example.test/api/scep/v1/scep" -R /root/scep-ch10/root-ca.pem -N /root/scep-ch10/issuing-ca.pem -r /root/scep-ch10/scep-ra.pem

Где: Linux-клиент, root@video-auth.

Что подставить

Clearway-SCEP — Локальное имя подключения к SCEP-адаптеру в Certmonger. Откуда взять: При регистрации выберите понятное уникальное имя; затем используйте то же имя в list-cas и request.
https://scep.example.test/api/scep/v1/scep — Полный внешний URL SCEP-адаптера, включая схему HTTPS, DNS-имя и опубликованный путь. Откуда взять: Возьмите адрес из конфигурации опубликованного SCEP-адаптера вашей установки. Скопируйте его целиком: путь вашей версии может отличаться от пути в видео.
/root/scep-ch10/root-ca.pem — Полный путь к доверенному корневому сертификату PEM на SCEP-клиенте. Откуда взять: Используйте путь к копии корневого сертификата, подготовленной предыдущим шагом из проверенного файла вашей иерархии.
/root/scep-ch10/issuing-ca.pem — Полный путь к PEM-сертификату выдающего центра, используемому SCEP-адаптером. Откуда взять: Получите у администратора открытый сертификат того центра, который выпускает сертификаты через ваш SCEP-адаптер, и заранее сохраните его в PEM на клиенте. Набор подготовленных сертификатов показан на 04:05; укажите свой постоянный полный путь к этому файлу.
/root/scep-ch10/scep-ra.pem — Полный путь к PEM-сертификату SCEP-адаптера (RA). Откуда взять: Получите у администратора открытый сертификат RA именно вашего SCEP-адаптера и заранее сохраните его в PEM на клиенте. Набор подготовленных сертификатов показан на 04:05; укажите свой постоянный полный путь. Это не сертификат конечного клиента.

04:56 Проверить зарегистрированную SCEP-службу.

getcert list-cas -c Clearway-SCEP

Где: Linux-клиент, root@video-auth.

Что подставить

Clearway-SCEP — Локальное имя подключения к SCEP-адаптеру в Certmonger. Откуда взять: При регистрации выберите понятное уникальное имя; затем используйте то же имя в list-cas и request.

05:25 Получить одноразовый пароль в защищённый файл.

(umask 077; curl -sSf --cacert root-ca.pem -H "Authorization: Bearer $TOKEN" "https://scep.example.test/api/scep/v1/scep/challenge-password" -o challenge.txt)

Где: Linux-клиент, root@video-auth, каталог /root/scep-ch10.

В $TOKEN должен быть действующий токен; его получения этот фрагмент не показывает.

Что подставить

root-ca.pem — Файл доверенного корневого сертификата для проверки HTTPS; относительное имя ищется в текущем каталоге. Откуда взять: Используйте корневой сертификат, подготовленный ранее в рабочем каталоге /root/scep-ch10, либо укажите фактический путь к нему.
$TOKEN — Переменная оболочки с действующим токеном доступа OpenID для получения одноразового пароля. Откуда взять: Получите токен у провайдера OpenID, подключённого к вашему SCEP-адаптеру, для пользователя с правом выпуска и заранее сохраните его в переменную TOKEN в текущей оболочке. Способ получения токена в этом фрагменте не показан.
https://scep.example.test/api/scep/v1/scep/challenge-password — URL выдачи одноразового пароля; это адрес SCEP-службы с окончанием /challenge-password. Откуда взять: Возьмите полный внешний адрес вашей SCEP-службы из её опубликованной конфигурации и адрес операции challenge-password для этой установки.
challenge.txt — Выходной файл с полученным одноразовым паролем. Откуда взять: Выберите файл в защищённом рабочем каталоге клиента; тот же файл затем передайте Certmonger. Его содержимое возвращает SCEP-адаптер, вручную придумывать пароль не нужно.
umask 077 оставляет новый файл пароля доступным только владельцу. Authorization: Bearer — фиксированный формат заголовка; меняется значение токена в TOKEN.

05:30 Проверить права и владельца файла с одноразовым паролем.

stat -c '%a %U %n' challenge.txt

Где: Linux-клиент, root@video-auth, каталог /root/scep-ch10.

В ролике: 600 root challenge.txt.

Что подставить

challenge.txt — Проверяемый файл одноразового пароля. Откуда взять: Укажите тот же файл, в который предыдущая команда curl сохранила challenge.
%a %U %n — фиксированный формат вывода прав, владельца и имени файла; свои данные вместо этих кодов не нужны.

06:25 Создать ключ и запросить сертификат SCEP.

getcert request -c Clearway-SCEP -I scep-client -G RSA -g 2048 -k /root/scep-ch10/private/scep-client.key -f /root/scep-ch10/scep-client.crt -N CN=scep-client.example.test -D scep-client.example.test -l /root/scep-ch10/challenge.txt -R -w --wait-timeout 90

Где: Linux-клиент, root@video-auth.

Параметр -l — строчная латинская L; он задаёт файл challenge.

Что подставить

Clearway-SCEP — Локальное имя подключения к SCEP-адаптеру в Certmonger. Откуда взять: При регистрации выберите понятное уникальное имя; затем используйте то же имя в list-cas и request.
scep-client — Локальное имя задачи Certmonger после -I; это не серийный номер сертификата. Откуда взять: Выберите уникальное имя задачи на этом клиенте и сохраните его для последующего getcert list -i.
RSA — Алгоритм создаваемого ключа клиента. Откуда взять: Выберите алгоритм, поддерживаемый Certmonger и разрешённый настройками выпуска SCEP вашей установки; в ролике используется RSA.
2048 — Длина создаваемого RSA-ключа в битах. Откуда взять: Возьмите допустимую длину из требований к сертификатам и шаблона, используемого SCEP-адаптером; здесь выбрано 2048.
/root/scep-ch10/private/scep-client.key — Путь выходного файла нового закрытого ключа. Откуда взять: Выберите имя файла в ранее созданном защищённом каталоге ключей; укажите постоянный путь, доступный Certmonger.
/root/scep-ch10/scep-client.crt — Путь, по которому Certmonger сохранит выданный сертификат клиента. Откуда взять: Выберите имя файла сертификата в рабочем каталоге клиента; затем проверяйте результат по этому пути.
CN=scep-client.example.test — Subject запроса: Common Name клиента после -N. Откуда взять: Возьмите имя клиента или сервиса из его DNS-конфигурации и правил используемого шаблона; сохраните синтаксис CN= перед своим именем.
scep-client.example.test — DNS-имя Subject Alternative Name после -D; в видео оно совпадает с Common Name. Откуда взять: Возьмите фактическое DNS-имя, по которому будет использоваться сертификат клиента, и проверьте его соответствие разрешённым именам шаблона.
/root/scep-ch10/challenge.txt — Файл одноразового пароля, передаваемый после строчной -l. Откуда взять: Возьмите полный путь к файлу challenge, сохранённому предыдущей командой curl; для нового запроса нужен действующий неиспользованный пароль.
90 — Максимальное время ожидания результата команды в секундах. Откуда взять: Выберите допустимое время ожидания для своей проверки; в ролике 90 секунд. Истечение ожидания само по себе не отменяет задачу Certmonger.

06:42 Проверить состояние и реквизиты выданного сертификата.

getcert list -i scep-client

Где: Linux-клиент, root@video-auth.

В ролике status: MONITORING и stuck: no.

Что подставить

scep-client — Имя проверяемой задачи Certmonger после -i. Откуда взять: Возьмите точное имя, заданное после -I при getcert request на этом клиенте.

Примечания

Команды клиента показаны от root. Каталог /root/scep-ch10 и домены example.test относятся к учебному стенду.

В команду curl подставляется ранее подготовленная переменная $TOKEN. Значение токена и одноразового пароля в описании не раскрываются.

Открытые сертификаты выдаются администратором; закрытый ключ создаётся на клиенте.

Источники

Видео: 10. SCEP — от установки до сертификата клиента.mp4. Руководство по установке Clearway CA 26.3.0 с помощью инсталлятора, v10 от 07.10.2026. Разделы: 15 SCEP.

О чём ролик

Устанавливаем адаптер MS-WSTEP с двумя службами CEP/CES и параметрами подключения к центру сертификации и Active Directory. На доменном компьютере Windows добавляем политику регистрации и запрашиваем сертификат по шаблону tls. Проверяем статус Issued, размещение в хранилище компьютера и наличие закрытого ключа.

Длительность

04:52

Таймкоды и назначение действий

Время	Действие
00:00	Исходные условия и результат. Подготовлены домен, доверие, действующий центр и шаблон tls.
00:27	Выбор MS-WSTEP. Начало установки адаптера.
00:34	Назначение CEP и CES. Политика регистрации и приём запросов Windows.
00:47	Сервер и основные параметры. Подключение, alias и путь установки.
01:32	Подключение к центру сертификации. Реквизиты ЦС и его сертификат.
02:03	Параметры Active Directory. LDAP-сервер, домен, базовый DN и учётные записи.
02:53	Пререквизиты и развёртывание. Проверка домена и установка служб.
03:21	Политика регистрации Windows. Добавление CEP с Kerberos для компьютера.
03:53	Запрос сертификата Windows. Шаблон tls и хранилище LocalMachine/My.
04:18	Статус Issued. Проверка успешной выдачи.
04:23	Реквизиты выданного сертификата. Subject, издатель, отпечаток, срок и HasPrivateKey.

Команды и назначение

03:47 Добавить политику регистрации сертификатов компьютера.

Add-CertificateEnrollmentPolicyServer ` -Url 'https://wstep.example.test/CEP_Kerberos/service.svc/CEP' ` -Context Machine -RequireStrongValidation -NoClobber

Где: Windows, PowerShell на доменном компьютере WS01, C:\Clearway-Guide.

В выводе AuthType: Kerberos, Context: Machine.

Что подставить

https://wstep.example.test/CEP_Kerberos/service.svc/CEP — Полный HTTPS-адрес службы политики регистрации CEP с Kerberos. Откуда взять: Возьмите DNS-alias сервиса MS-WSTEP и опубликованный URL CEP из результатов его развёртывания; используйте один и тот же адрес при регистрации политики и запросе сертификата.

Machine — фиксированное значение контекста для показанного запроса сертификата компьютера. Его не заменяют именем компьютера или пользователя; оно должно соответствовать дальнейшему хранилищу Cert:\LocalMachine\My.

04:16 Запросить сертификат по шаблону tls в хранилище компьютера.

$result = Get-Certificate -Template tls ` -Url 'https://wstep.example.test/CEP_Kerberos/service.svc/CEP' ` -CertStoreLocation Cert:\LocalMachine\My

Где: Windows, PowerShell на доменном компьютере WS01, C:\Clearway-Guide.

Что подставить

$result — Переменная PowerShell, в которой сохраняется объект результата запроса сертификата. Откуда взять: Выберите имя переменной в своей сессии PowerShell; то же имя нужно использовать в последующих проверках Status и Certificate.
tls — Имя опубликованного шаблона, по которому запрашивается сертификат. Откуда взять: Возьмите точное имя доступного этому компьютеру шаблона из настройки MS-WSTEP и шаблонов центра сертификации; в видео используется tls.
https://wstep.example.test/CEP_Kerberos/service.svc/CEP — Полный HTTPS-адрес службы политики регистрации CEP с Kerberos. Откуда взять: Возьмите DNS-alias сервиса MS-WSTEP и опубликованный URL CEP из результатов его развёртывания; используйте один и тот же адрес при регистрации политики и запросе сертификата.
Cert:\LocalMachine\My — путь к личному хранилищу сертификатов локального компьютера в PowerShell, а не путь к файлу. В показанном машинном сценарии оставьте его без изменения: он соответствует политике с -Context Machine.

04:21 Проверить статус результата запроса.

$result.Status

Где: Windows, PowerShell на доменном компьютере WS01, C:\Clearway-Guide.

Показанный результат: Issued.

Что подставить

$result — Переменная с результатом запроса сертификата. Откуда взять: Укажите то же имя переменной, в которое предыдущая команда Get-Certificate сохранила результат.
Status — фиксированное свойство результата; его не заменяют ожидаемым значением Issued.

04:50 Проверить выданный сертификат и наличие закрытого ключа.

$result.Certificate | Format-List ` Subject,Issuer,SerialNumber,Thumbprint,NotAfter,HasPrivateKey,DnsNameList

Где: Windows, PowerShell на доменном компьютере WS01, C:\Clearway-Guide.

Что подставить

$result — Переменная с результатом запроса и выданным сертификатом. Откуда взять: Укажите то же имя переменной, использованное при Get-Certificate в этой сессии.
Certificate и перечисленные свойства Subject, Issuer, SerialNumber, Thumbprint, NotAfter, HasPrivateKey, DnsNameList — фиксированные имена свойств; свои реквизиты вместо них не подставляют.

Примечания

Сценарий использует доменный компьютер WS01 и учебный адрес wstep.example.test.

В результате показано HasPrivateKey: True и DnsNameList: WS01.example.test.

Источники

Видео: 11. MS-WSTEP — установка и запрос сертификата Windows.mp4. Руководство по установке Clearway CA 26.3.0 с помощью инсталлятора, v10 от 07.10.2026. Разделы: 10 MS-WSTEP.

О чём ролик

Разбираем ошибку установки по истории развёртываний. На примере временных файлов MS-WSTEP определяем причину Operation not permitted, повторяем очистку с нужными правами и проверяем файлы, службы и результат на клиенте.

Длительность

03:53

Таймкоды и назначение действий

Время	Действие
00:00	Порядок разбора ошибки. История, сообщение шага, исправление и повторная проверка.
00:20	Три уровня проверки. Доступ к серверу, пререквизиты и работа сервиса.
00:55	Поиск запуска в истории. Открытие неуспешного развёртывания MS-WSTEP.
01:07	Параметры и выполненные шаги. Сопоставление результата и ошибки конкретной команды.
01:32	Команда и Operation not permitted. Ошибка удаления /tmp/enrollment_services.ldf.
01:57	Почему удаление не выполнилось. Владелец itc-svc, запуск от cwadmin и права каталога /tmp.
02:17	Проверка результата развёртывания. Сохранённые файлы и параметры операции.
02:25	Исправление и повторная проверка. Адресная очистка, поиск файлов и состояние CEP/CES.
03:21	Возврат к карточке запуска. Сопоставление состояния сервера и истории.
03:33	Итоговый порядок диагностики. Неуспешный шаг, причина, исправление и клиентская проверка.

Команды и назначение

01:35 Команды из истории неуспешного шага очистки.

rm -f /tmp/enrollment_services.ldf rm -f /tmp/template_tls_export.ldf rm -f /tmp/add_enrollment_policy.ps1

Где: Linux, история развёртывания; команда запускалась от cwadmin.

Для enrollment_services.ldf показано Operation not permitted. Это исходный неуспешный шаг.

Что подставить

/tmp/enrollment_services.ldf — Точный путь временного файла сведений о службах регистрации из неуспешного шага. Откуда взять: Возьмите путь из команды и сообщения ошибки в истории своего развёртывания; проверьте, что это именно созданный этим запуском временный файл.
/tmp/template_tls_export.ldf — Точный путь временного файла экспорта шаблона; tls в имени относится к демонстрации. Откуда взять: Возьмите имя из команды очистки в истории соответствующего развёртывания и результатов шага экспорта вашего шаблона.
/tmp/add_enrollment_policy.ps1 — Точный путь временного скрипта добавления политики регистрации. Откуда взять: Возьмите путь из команды очистки и результатов своего запуска в истории развёртывания; сохраняйте список конкретных файлов.
Это исходные команды неуспешного шага из истории; подставляются только проверенные пути временных файлов соответствующего запуска.

02:33 Удалить указанные временные файлы с требуемыми правами.

sudo rm -f /tmp/enrollment_services.ldf /tmp/template_tls_export.ldf /tmp/add_enrollment_policy.ps1

Где: Linux, cwadmin@wstep.

Только перечисленные файлы из показанной ошибки.

Что подставить

/tmp/enrollment_services.ldf — Точный путь временного файла сведений о службах регистрации из неуспешного шага. Откуда взять: Возьмите путь из команды и сообщения ошибки в истории своего развёртывания; проверьте, что это именно созданный этим запуском временный файл.
/tmp/template_tls_export.ldf — Точный путь временного файла экспорта шаблона; tls в имени относится к демонстрации. Откуда взять: Возьмите имя из команды очистки в истории соответствующего развёртывания и результатов шага экспорта вашего шаблона.
/tmp/add_enrollment_policy.ps1 — Точный путь временного скрипта добавления политики регистрации. Откуда взять: Возьмите путь из команды очистки и результатов своего запуска в истории развёртывания; сохраняйте список конкретных файлов.
Подставляйте только конкретные временные файлы из показанного неуспешного шага; не расширяйте список до всего каталога.

03:09 Проверить, что выбранные временные файлы отсутствуют.

find /tmp -maxdepth 1 $ -name enrollment_services.ldf -o -name template_tls_export.ldf -o -name add_enrollment_policy.ps1 $ -print

Где: Linux, itc-svc@wstep.

В ролике команда не выводит найденных файлов.

Что подставить

/tmp — Каталог, где проверяется отсутствие временных файлов. Откуда взять: Возьмите родительский каталог тех файлов, которые проверялись и удалялись на предыдущем шаге.
enrollment_services.ldf — Имя проверяемого файла сведений о службах без пути. Откуда взять: Возьмите имя из полного пути первого временного файла предыдущего шага.
template_tls_export.ldf — Имя проверяемого файла экспорта шаблона без пути. Откуда взять: Возьмите фактическое имя файла экспорта из предыдущего шага; оно может содержать имя вашего шаблона.
add_enrollment_policy.ps1 — Имя проверяемого временного скрипта без пути. Откуда взять: Возьмите имя скрипта из списка временных файлов предыдущего шага.
1 после -maxdepth ограничивает поиск самим указанным каталогом без обхода вложенных каталогов; это фиксированное ограничение показанной проверки.

03:16 Проверить состояние пользовательских служб CEP/CES.

systemctl --user is-active wstepCep.service wstepCesAdapter.service

Где: Linux, itc-svc@wstep.

В ролике обе службы active.

Что подставить

Свои значения подставлять не требуется при такой же установке: wstepCep.service и wstepCesAdapter.service — стандартные имена пользовательских служб CEP/CES. Проверка выполняется в сессии их технологической учётной записи.

Примечания

Состояние active не заменяет проверку получения сертификата на клиенте.

Источники

Видео: 12. Проверки и разбор ошибок установки — отдельный гайд.mp4. Руководство по установке Clearway CA 26.3.0 с помощью инсталлятора, v10 от 07.10.2026. Разделы: 6 Проверка пререквизитов; 20 История развёртываний.