1. Установка и обновление Avanpost CA

На этой странице приведен обзор доступных вариантов развертывания Avanpost CA и порядок подготовки инфраструктуры.

Выберите подходящий вариант установки и перейдите к соответствующей инструкции.

Навигатор разделу:

Обзор вариантов развертывания

Avanpost CA может быть развернут в физической, виртуальной или контейнерной инфраструктуре.

Какой вариант выбрать

Выберите установку из дистрибутива, если:

• создается производственный экземпляр CA;

• необходимо независимо управлять сервером приложения и СУБД;

• требуется интеграция с корпоративными средствами мониторинга;

• необходимо использовать Vault, криптопровайдер или HSM;

• действуют требования по усилению защиты ОС.

Выберите Docker Compose, если:

• требуется быстро развернуть демонстрационный стенд;

• выполняется тестирование или пилотирование;

• необходимо ознакомиться с интерфейсом и базовыми функциями;

• отказоустойчивость и промышленное резервирование не требуются.

Docker Quick Start не следует использовать как готовый шаблон промышленной инфраструктуры без дополнительной настройки безопасности, резервного копирования, управления секретами и мониторинга.

Перед началом установки

Перед установкой подготовьте инфраструктуру и убедитесь, что выполнены следующие условия.

Инфраструктура

• подготовлен сервер или виртуальная машина с поддерживаемой Linux ОС;

• выделены необходимые CPU, RAM и дисковое пространство;

• подготовлена поддерживаемая PostgreSQL-совместимая СУБД;

• определен способ установки: дистрибутив или Docker;

• определена роль экземпляра: корневой, подчиненный или выпускающий CA;

• определен способ защиты закрытого ключа CA;

• при необходимости подготовлены криптопровайдер, Vault или HSM.

См. страницу «Системные требования и совместимость».

Сеть

• назначено постоянное полное DNS-имя сервера;

• настроено прямое и обратное разрешение DNS;

• обеспечена синхронизация времени;

• подготовлены сетевые маршруты и правила межсетевого экрана;

• определены адреса публикации AIA, CDP, CRL и OCSP;

• подготовлен TLS-сертификат для веб-интерфейса и API (может быть выпущен позднее на разворачиваемом CA);

• обеспечена доступность PostgreSQL, каталогов и внешних интеграций.

Учетные записи и доступ

• подготовлена отдельная системная учетная запись Avanpost CA;

• подготовлена отдельная учетная запись PostgreSQL;

• учетная запись БД не обладает избыточными административными правами;

• определены владельцы каталогов приложения и конфигурации;

• настроено безопасное хранение паролей и секретов;

• административный доступ к серверу ограничен.

Дистрибутив

• получен дистрибутив Avanpost CA требуемой версии;

• проверены имя файла, версия и номер сборки;

• проверена контрольная сумма или электронная подпись дистрибутива;

• получена лицензия.

Последовательность установки

Установка из дистрибутива выполняется в следующем порядке.

Установка из дистрибутива

Нативная установка состоит из нескольких самостоятельных процедур.

Перейдите к странице «Установка Avanpost CA из дистрибутива».

1. Подготовка PostgreSQL

В разделе должны быть описаны:

• установка поддерживаемой версии PostgreSQL;

• создание отдельной базы данных Avanpost CA;

• создание отдельной учетной записи БД;

• минимально необходимые права;

• настройка локального или удаленного подключения;

• использование TLS при удаленном подключении;

• настройка pg_hba.conf;

• проверка подключения;

• настройка резервного копирования и PostgreSQL WAL.

Перейдите к странице «Подготовка PostgreSQL».

Не используйте суперпользователя postgres как постоянную учетную запись приложения. Не публикуйте реальные пароли в документации и конфигурационных примерах.

2. Установка Avanpost CA

В разделе должны быть описаны:

• создание системной учетной записи;

• подготовка каталогов;

• проверка и распаковка дистрибутива;

• назначение владельцев и прав;

• размещение исполняемых файлов;

• создание конфигурации;

• подключение к БД;

• применение миграции;

• установка лицензии.

Перейдите к странице «Установка Avanpost CA».

3. Настройка systemd

Служба должна:

• запускаться от отдельной непривилегированной учетной записи;

• автоматически запускаться после загрузки ОС;

• запускаться после доступности сети;

• корректно завершаться при остановке;

• перезапускаться при аварийном завершении;

• писать журналы в systemd journal или корпоративную систему журналирования;

• использовать защищенный файл переменных окружения.

Перейдите к странице «Настройка systemd».

4. Настройка Nginx и TLS

Nginx используется как reverse proxy для публикации:

• веб-интерфейса;

• REST API;

• SCEP;

• OCSP;

• MS-WSTEP;

• общедоступных сертификатов и CRL;

• других сервисов Avanpost CA.

В производственной среде необходимо:

• использовать HTTPS;

• отключить небезопасные версии TLS;

• настроить корректную цепочку серверного сертификата;

• передавать заголовки реального адреса клиента;

• ограничить административные endpoints;

• настроить лимиты запросов и размеры тел;

• разделить административные и публичные интерфейсы, если этого требует архитектура;

• настроить журналы доступа и ошибок.

Перейдите к странице «Настройка Nginx и TLS».

Не рекомендуется публиковать производственный экземпляр Avanpost CA только по HTTP.

Быстрый старт в Docker

Docker Compose предназначен для быстрого развертывания демонстрационной, тестовой или пилотной среды.

Общий порядок:

1. Установите поддерживаемую версию Docker и Docker Compose.

2. Получите дистрибутив Avanpost CA.

3. Проверьте версию и контрольную сумму.

4. Распакуйте дистрибутив.

5. Перейдите в каталог compose.

6. Создайте файл переменных окружения.

7. Задайте уникальные пароли.

8. Укажите DNS-имя Avanpost CA.

9. Запустите контейнеры.

10. Проверьте состояние сервисов.

11. Откройте веб-интерфейс.

12. Выполните первичную настройку.

Перейдите к странице «Быстрый старт Avanpost CA в Docker».

Ограничения Docker Quick Start

Конфигурация быстрого старта по умолчанию не должна рассматриваться как производственная.

Перед промышленной эксплуатацией необходимо дополнительно настроить:

• внешнее хранилище секретов;

• TLS;

• постоянные тома;

• резервное копирование;

• централизованное журналирование;

• мониторинг;

• ограничение сетевого доступа;

• управление образами и их версиями;

• процедуру обновления;

• защиту закрытого ключа CA;

• отказоустойчивость приложения и СУБД.

Производственное развертывание

Для производственной среды рекомендуется разделять следующие функции:

• reverse proxy или балансировщик;

• серверы приложения Avanpost CA;

• сервер СУБД;

• резервный сервер СУБД;

• точки публикации AIA и CDP;

• OCSP;

• Vault;

• криптопровайдер или HSM;

• мониторинг и SIEM;

• репозиторий резервных копий.

Для инфраструктуры до 100 000 активных сертификатов рекомендуется рассмотреть:

• два узла приложения Avanpost CA;

• отдельные primary и standby PostgreSQL;

• внешний reverse proxy или балансировщик;

• централизованный сбор журналов;

• отдельное резервное хранилище;

• мониторинг публикации CRL и доступности OCSP;

• нагрузочное тестирование с реальным криптопровайдером или HSM.

Проверка установки

После установки необходимо проверить все компоненты.

Служба Avanpost CA

• служба запущена;

• служба добавлена в автозагрузку;

• в журнале отсутствуют критические ошибки;

• приложение подключилось к БД;

• миграции БД завершены;

• версия приложения соответствует версии схемы БД.

Веб-интерфейс и API

• веб-интерфейс открывается по HTTPS;

• серверный TLS-сертификат действителен;

• цепочка доверия строится корректно;

• REST API доступен;

• неавторизованный доступ к административным функциям запрещен.

Публичные endpoints

Проверьте доступность используемых сервисов:

Точный состав endpoints зависит от установленной версии и включенных компонентов.

База данных

• используется отдельная учетная запись;

• доступ разрешен только необходимым узлам;

• настроено резервное копирование;

• проверено восстановление;

• контролируется свободное место;

• настроен мониторинг PostgreSQL и WAL.

Время и DNS

• DNS-имя разрешается со всех необходимых сегментов;

• время сервера синхронизировано;

• расхождение времени с каталогами и клиентами отсутствует;

• адреса, которые будут включены в AIA и CDP, являются постоянными.

Критерии успешной установки

Установка считается завершенной, если:

• Avanpost CA запускается автоматически;

• база данных доступна;

• миграции успешно применены;

• веб-интерфейс открывается по HTTPS;

• администратор может войти в систему;

• создан или подключен экземпляр CA;

• возможно выпустить тестовый сертификат;

• тестовый сертификат успешно проверяется;

• CRL публикуется и доступен;

• OCSP возвращает корректный статус;

• настроено резервное копирование;

• выполнено тестовое восстановление;

• журналы передаются в систему мониторинга или SIEM;

• версии и параметры установки зафиксированы в эксплуатационной документации.

Безопасность установки

При подготовке промышленной инструкции запрещается использовать в готовой конфигурации:

• пароли из примеров;

• учетную запись суперпользователя PostgreSQL;

• подключение к удаленной БД без TLS;

• открытый доступ к PostgreSQL из всех сетей;

• HTTP для административного интерфейса;

• глобальное отключение SELinux;

• каталоги и конфигурационные файлы с избыточными правами;

• хранение секретов в общедоступных файлах;

• автоматический запуск непроверенных миграций без резервной копии.

После установки

После проверки установки перейдите к следующим операциям:

1. Инициализация CA.

2. Выбор роли корневого или подчиненного CA.

3. Настройка сертификата и закрытого ключа CA.

4. Настройка AIA.

5. Настройка CDP и CRL.

6. Настройка Delta CRL.

7. Настройка OCSP.

8. Создание шаблонов сертификатов.

9. Настройка ACL и административных ролей.

10. Настройка SCEP.

11. Настройка MS-WSTEP.

12. Интеграция с Avanpost DS или Microsoft AD.

13. Интеграция с Avanpost FAM.

14. Интеграция с Avanpost PKI.

15. Настройка Vault.

16. Настройка мониторинга и аудита.

17. Выпуск и проверка тестового сертификата.

Обновление Avanpost CA

Перед обновлением необходимо:

• проверить поддерживаемый путь обновления;

• изучить Release Notes всех затрагиваемых версий;

• создать резервную копию БД и конфигурации;

• проверить восстановление;

• выполнить обновление на тестовом контуре;

• зафиксировать текущую версию приложения и БД;

• определить допустимое время простоя;

• проверить совместимость ОС, СУБД, Vault, криптопровайдера и HSM;

• подготовить план отката.

Перейдите к странице «Обновление Avanpost CA».

Диагностика

Если установка не завершилась успешно, проверьте:

• состояние службы Avanpost CA;

• журналы systemd;

• доступность PostgreSQL;

• строку подключения к БД;

• состояние миграций;

• владельца и права на файлы;

• конфигурацию Nginx;

• журналы Nginx;

• DNS;

• синхронизацию времени;

• правила межсетевого экрана;

• доступность Vault или криптопровайдера;

• свободное дисковое пространство.