Avanpost CA : 1. Установка Avanpost CA из дистрибутива

Назначение

Раздел содержит инструкции по установке Avanpost CA из дистрибутива в поддерживаемой Linux ОС.

Нативная установка рекомендуется для производственных, тестовых и пилотных контуров, в которых требуется независимо управлять приложением, СУБД, reverse proxy, средствами защиты ключей, мониторингом и резервным копированием.

Состав установки

КомпонентНазначение
PostgreSQL-совместимая СУБДХранение сертификатов, запросов, шаблонов, статусов и конфигурации
Avanpost CAОсновная логика центра сертификации
Служба systemdЗапуск и контроль процесса Avanpost CA
NginxHTTPS, reverse proxy и публикация сервисов CA
Криптопровайдер или HSMКриптографические операции и защита закрытого ключа — при использовании
VaultХранение секретов — опционально для Avanpost CA 1.2

Порядок установки

ШагСтраницаРезультат
1Подготовка PostgreSQLСозданы БД и отдельная учетная запись Avanpost CA
2Установка Avanpost CAДистрибутив проверен и размещен на сервере
3Настройка systemdAvanpost CA работает как системная служба
4Настройка Nginx и TLSИнтерфейс и сервисы CA опубликованы по HTTPS
5Проверка установкиПодтверждена работоспособность всех компонентов

Предварительные требования

Перед началом установки:

  • выберите поддерживаемую Linux ОС;

  • выделите ресурсы в соответствии с профилем нагрузки;

  • подготовьте DNS-записи;

  • настройте синхронизацию времени;

  • подготовьте сетевые правила;

  • получите дистрибутив и лицензию;

  • подготовьте TLS-сертификат для сервера Avanpost CA;

  • определите способ защиты закрытого ключа CA;

  • определите точки публикации AIA, CDP, CRL и OCSP;

  • подготовьте резервное хранилище;

  • определите систему мониторинга и сбора журналов.

Требования безопасности

В производственной среде:

  • не используйте пароли из примеров документации;

  • не запускайте Avanpost CA от пользователя root;

  • не используйте суперпользователя PostgreSQL как учетную запись приложения;

  • не открывайте PostgreSQL для всех сетей;

  • используйте TLS для удаленного подключения к БД;

  • не отключайте SELinux глобально;

  • публикуйте административный интерфейс только по HTTPS;

  • ограничивайте права на конфигурацию и закрытые ключи;

  • выполняйте резервное копирование перед миграциями и обновлениями.

Следующий шаг

Перейдите к странице «1.2.1. Подготовка PostgreSQL».

Обсуждение