После установки нового инстанса Avanpost CA необходимо выполнить инициализацию CA.

Для этого в окне входа в интерфейс администратора Avanpost CA ввести учетные данные (логин "admin" - пароль "admin").

При первом входе появится сообщение о необходимости смены пароля в целях безопасности.

Рисунок — Окно смены пароля для входа в CA

Ввести новый пароль, подтвердить введенный пароль и нажать кнопку "Изменить пароль".

При входе в интерфейс администратора Avanpost CA автоматически запустится Мастер инициализации CA.

Рисунок — Мастер инициализации CA

На главной странице Мастера инициализации CA отображаются компоненты управления СA, которые необходимо настроить:

Шаг 1 (обязательный). Настройка хранилища приватного ключа CA

1. Нажать на раздел "Криптопровайдер".
   
   Рисунок — Мастер инициализации CA. Шаг 1. Раздел "Криптопровайдер"
   
   
2. В открывшемся окне "Криптопровайдер" настроить хранилище приватного ключа CA, выбрав требуемый тип хранилища и задав необходимые параметры:
   • FS
     
     
     Рисунок — Настройка хранилища приватного ключа CA типа "FS"
     
     
   • Vault KV
     
     
     Рисунок — Настройка хранилища приватного ключа CA типа "Vault KV"
     
     
   • Vault Transit
     
     
     Рисунок — Настройка хранилища приватного ключа CA типа "Vault Transit"
     
     
   • CSP
     
     
     Рисунок — Настройка хранилища приватного ключа CA типа "CSP"
     
     
3. Нажать кнопку "Сохранить криптопровайдер".

Хранилище приватного ключа CA успешно настроено, в разделе "Криптопровайдер" отображается статус "Готово".

Шаг 2 (обязательный). Настройка приватного ключа

Avanpost CA поддерживает три режима создания собственного приватного ключа:

• создание нового ключа;
• использование существующего ключа CA;
• импорт ключа и сертификата из PKCS#12-контейнера (от старого CA).

1. Нажать на раздел "Приватный ключ".
   
   Рисунок — Мастер инициализации CA. Шаг 2. Раздел "Приватный ключ"
   
   
2. В открывшемся окне "Приватный ключ" выбрать создание нового ключа, существующий ключ CA или импорт из PKCS#12-контейнера, установив соответствующий переключатель, и задать необходимые параметры:
   
   
   Рисунок — Создание нового приватного ключа CA
   
   
   Рисунок — Выбор существующего приватного ключа CA
   
   
   Рисунок — Импорт приватного ключа из PKCS#12-контейнера
   

   В случае, если выбран режим импорта ключа из контейнера PKCS#12, то шаг 3 "Запрос сертификата СA" пропускается, т.к. контейнер содержит и ключ, и сертификат УЦ, который в результате импорта будет установлен.

   
   
3. Нажать кнопку "Настроить ключ".

Приватный ключ CA успешно настроен, в разделе "Приватный ключ" отображается статус "Готово".

Шаг 3 (обязательный). Запрос сертификата CA

Avanpost СА поддерживает два сценария создания собственного сертификата:

• корневой CA — CA создает запрос на корневой сертификат и выпускает корневой сертификат;
• подчиненный CA — CA создает запрос на сертификат, далее запрос одобряется/выпускается на корневом CA.

1. Нажать на раздел "Запрос сертификата УЦ".
   
   
   Рисунок — Мастер инициализации CA. Шаг 3. Раздел "Запрос сертификата УЦ"
   
   
2. В открывшемся окне "Запрос сертификата УЦ" выбрать сценарий создания сертификата CA, установив соответствующий переключатель, и задать необходимые параметры:
   
   
   Рисунок — Сценарий создания сертификата CA "Корневой УЦ"
   
   
   Рисунок — Сценарий создания сертификата CA "Подчиненный УЦ (CSR)"
   
   
3. Нажать кнопку "Оформить заявку"/"Создать CSR".

Заявка/запрос на выпуск сертификата CA успешно создана, в разделе "Запрос сертификата УЦ" отображается статус "В работе". Необходимо подтвердить выпуск сертификата в разделе "Сертификат УЦ".

Шаг 4 (обязательный). Выпуск сертификата CA

1. Нажать на раздел "Сертификат УЦ".
   
   
   
   Рисунок — Мастер инициализации CA. Шаг 4. Раздел "Сертификат УЦ"
   
   
2. В открывшемся окне "Сертификат УЦ" перед выпуском сертификата проверить параметры запроса на сертификат. При необходимости изменения параметров запроса нажать "Изменить заявку".
   
   
   Рисунок — Параметры запроса на сертификат CA
    
   
3. Нажать кнопку "Выпустить сертификат".

Сертификат CA успешно выпущен и настроен. В разделах "Запрос сертификата УЦ" и "Сертификат УЦ" отображается статус "Готово".

Шаг 5 (необязательный). Настройка шаблонов для выдачи сертификатов

Avanpost CA может использовать в качестве шаблонов сертификатов:

• стандартные шаблоны, установленные в CA автоматически после завершения инициализации CA;
• шаблоны, загруженные в CA из MS Active Directory.

Стандартные шаблоны, установленные и настроенные в CA, используются по умолчанию.

Для импорта шаблонов сертификатов из MS Active Directory:

1. Нажать на раздел "Шаблоны сертификатов".
   
   Рисунок — Мастер инициализации CA. Шаг 5. Раздел "Шаблоны сертификатов"
   
   
2. В открывшемся окне "Шаблоны сертификатов" задать параметры подключения к MS Active Directory и нажать "Загрузить шаблоны из AD".
   
   
   Рисунок — Загрузка шаблонов сертификатов из MS Active Directory
   
   
3. Нажать кнопку "Настроить шаблоны".

Шаблоны сертификатов из MS Active Directory успешно загружены в CA. Статус в разделе "Шаблоны сертификатов" изменился на "Готово".

Шаг 6 (необязательный). Настройка интеграции CA c доменами Avanpost DS, MS Active Directory

Avanpost CA может функционировать как в локальном режиме (когда пользователи и группы управляются локально в СА), так и быть интегрирован с доменами Avanpost DS, MS Active Directory.

По умолчанию в разделе "Доменная интеграция" для CA выбран локальный режим.

Рисунок — Локальный режим CA

Для настройки интеграции CA c доменом Avanpost DS:

1. Нажать на раздел "Доменная интеграция".
   
   Рисунок — Мастер инициализации CA. Шаг 6. Раздел "Доменная интеграция"
   
   
2. В открывшемся окне "Доменная интеграция" установить переключатель "Directory Service".
   
   
   Рисунок — Режим интеграции с доменом Avanpost DS
   
   
3. Сервер, на котором установлен CA, ввести в домен Avanpost DS, используя утилиту dscli, согласно инструкции 6.7.2. Введение в домен рабочих станций Unix из архива .tar.
4. Выдать CA доступ к файлу /opt/avanpost/dscli/state.json, выполнив команду:
   

   setfacl -m u:avanpost:rwx /opt/avanpost/dscli/state.json

   
   
5. Для просмотра примененных к файлу state.json прав выполнить команду:
   

   getfacl /opt/avanpost/dscli/state.json

   Проверить, что команда getfacl /opt/avanpost/dscli/state.json выдает корректные значения:
   

   getfacl: Removing leading '/' from absolute path names
   # file: opt/avanpost/dscli/state.json
   # owner: avanpost
   # group: avanpost
   user::rw-
   user:avanpost:rwx
   group::r--
   mask::rwx
   other::r--

6. В окне "Доменная интеграция" нажать "Обновить статус".
   
   
   Рисунок — Обновление статуса интеграции CA с доменом Avanpost DS
   
   Статус изменится с "Не присоединен" на "В домене".
   
   
7. Для сохранения выполненных настроек интеграции нажать кнопку "Настроить интеграцию".

Интеграция CA c доменом Avanpost DS успешно настроена. В разделе "Доменная интеграция" отображается статус "Готово".

Для настройки интеграции CA c доменом MS Active Directory:

1. Нажать на раздел "Доменная интеграция".
2. В открывшемся окне "Доменная интеграция" установить переключатель "Active Directory" и ввести учетные данные для подключения к домену MS Active Directory.
   
   
   Рисунок — Режим интеграции с доменом MS Active Directory
   
   
3. Для сохранения выполненных настроек интеграции нажать кнопку "Настроить интеграцию".

Интеграция CA c доменом MS Active Directory успешно настроена. В разделе "Доменная интеграция" отображается статус "Готово".

Шаг 7 (необязательный). Импорт/экспорт сертификатов

На шаге 7 доступен импорт существующих сертификатов из MS Active Directory в CA и экспорт всех сертификатов, выпущенных в CA, в CSV-файл.

Для импорта существующих сертификатов из MS Active Directory в CA:

1. Экспортировать сертификаты из MS CA в CSV-файл c помощью утилиты AD CS Exporter.
2. Нажать на раздел "Импорт/экспорт сертификатов".
   
   Рисунок — Мастер инициализации CA. Шаг 7. Раздел "Импорт/экспорт сертификатов"
   
   
3. В открывшемся окне "Импорт/экспорт сертификатов" в области "Добавьте файл формата CSV" добавить CSV-файл, сформированный утилитой AD CS Exporter, для дальнейшей загрузки в CA.
   
   
   Рисунок — Добавление CSV-файла
   
   
4. После добавления CSV-файла отобразится сам файл. Нажать кнопку "Импорт CSV".
   
   
   Рисунок — Загрузка CSV-файла в CA
   
   В области "Импорт сертификатов CSV" отобразится результат загрузки сертификатов в CA.
   
   
5. Нажать кнопку "Изменить". В разделе "Импорт/экспорт сертификатов" отображается статус "Готово".

Все успешно загруженные в CA сертификаты отобразятся в списке сертификатов на странице раздела "Сертификаты".

Для экспорта всех выпущенных в CA сертификатов в CSV-файл:

1. Нажать на раздел "Импорт/экспорт сертификатов".
   
2. В открывшемся окне "Импорт/экспорт сертификатов" нажать кнопку "Экспортировать сертификаты".
   
   
   Рисунок — Экспорт сертификатов, выпущенных в CA
   

Сертификаты будут выгружены в CSV-файл на устройство. В разделе "Импорт/экспорт сертификатов" отображается статус "Готово".

Шаг 8 (необязательный). Настройка лицензии

На шаге 8 доступна установка лицензии для выпуска сертификатов.

1. Нажать на раздел "Лицензия".
   
   Рисунок — Мастер инициализации CA. Шаг 8. Раздел "Лицензия"
   
   
2. В открывшемся окне "Лицензия" добавить файл с ключом лицензии в формате UTF-8.
   
   
   

   Рисунок — Прикрепление файла лицензии
   
   

3. Нажать кнопку "Установить лицензию". Для пропуска шага установки лицензии нажать кнопку "Пропустить".

В разделе "Лицензия" отображается статус "Готово" и срок действия лицензии, если она была установлена (см. п. 3).

Шаг 9 (необязательный). Настройка автоматической публикации CRL

На шаге 9 доступна настройка расписания публикации полного списка отозванных сертификатов (CRL) и изменений после последнего полного CRL (дельта-CRL).

1. Нажать на раздел "Автопубликация CRL".
   
   Рисунок — Мастер инициализации CA. Шаг 9. Раздел "Автопубликация CRL"
   
   
2. В открывшемся окне "Автопубликация CRL" настроить расписание публикаций полного и дельта-CRL, задав необходимые параметры:
   
   
   Рисунок — Настройка расписания публикаций полного и дельта-CRL
   
   
3. Нажать кнопку "Настроить расписания". Для пропуска шага настройки расписания публикаций CRL нажать кнопку "Пропустить".
   

Автоматическая публикация CRL успешно настроена. В разделе "Автопубликация CRL" отображается статус "Готово".

Шаг 10. Завершение инициации CA

После окончания настройки компонентов CA нажать кнопку "Продолжить" для завершения процесса инициализации CA.

Рисунок — Завершение инициализации CA

Откроется Главная страница CA — раздел "Главная" интерфейса администратора Avanpost CA.

Рисунок — Раздел "Главная"