Требования приведены для промышленной эксплуатации ESIA Adapter. Адаптер размещается на физическом сервере под управлением Astra Linux Special Edition без виртуализации.
Аппаратное обеспечение
| Параметр | Требование |
|---|---|
| Платформа | физический сервер x86-64; виртуализация не рассматривается |
| Доверенная загрузка | сертифицированный ФСБ модуль доверенной загрузки (МДЗ) с контролем до загрузки ОС |
| Носитель ключей | пассивный носитель HDIMAGE; облачное хранение ключей запрещено, активные носители (SESPAKE) требуют дополнительных исследований |
| Размещение | серверная комната с ограниченным доступом, источник бесперебойного питания с корректным завершением работы |
| Операционные системы | одна ОС на сервере |
Расположение серверов, взаимодействующих с ЕСИА, допустимо только на территории Российской Федерации.
Программное обеспечение
| Компонент | Требование |
|---|---|
| Операционная система | Astra Linux Special Edition РУСБ.10015-17 с включённой замкнутой программной средой (ЗПС) |
| Криптография | КриптоПро CSP 5.0 R3 КС3 (исполнение 3-Base), минимальная установка |
| Пакеты КриптоПро | lsb-cprocsp-base, lsb-cprocsp-rdr, lsb-cprocsp-kc2, lsb-cprocsp-capilite, lsb-cprocsp-ca-certs, lsb-cprocsp-pkcs11, cprocsp-cptools-gtk, cprocsp-curl, cprocsp-pki-cades, cprocsp-rdr-gui-gtk, cprocsp-pki-plugin |
| Утилиты КриптоПро | cryptcp, csptest, certmgr, cpverify; каталог задаётся переменной CPROCSP_BIN_DIR (по умолчанию /opt/cprocsp/bin/amd64) |
| Состав адаптера | исполняемый файл esia-adapter_linux_amd64, утилита genguids, extidp.json, clients.json, ключ подписи токенов RSA (PEM), открытый ключ public_key.gpg |
| Менеджер служб | systemd |
| Терминация TLS | балансировщик или обратный прокси перед адаптером: адаптер принимает HTTP |
| СУБД (необязательно) | PostgreSQL, подключается параметром DB_URL |
| Синхронизация времени | расхождение системного времени сервера с ЕСИА более одной минуты вызывает ошибки |
Другое программное обеспечение для работы адаптера не требуется. Средства защиты информации (ЗПС, МДЗ, контроль целостности) описаны в разделе «Безопасность и контроль целостности».
Сетевые требования
| Направление | Назначение |
|---|---|
| Приложения → адаптер | эндпоинты /oauth2/*; порт службы по умолчанию — 4010 (PORT); HTTPS обеспечивает балансировщик или обратный прокси |
| Адаптер → ЕСИА | запросы авторизации, обмен кода на токен, REST API ЕСИА: промышленный контур — esia.gosuslugi.ru, тестовый — esia-portal1.test.gosuslugi.ru |
| Сервер (КриптоПро CSP) → точки распространения CRL | КриптоПро CSP проверяет списки отозванных сертификатов; адрес CRL указан в сертификате и должен быть доступен с сервера по сети |
| Адаптер → PostgreSQL | при использовании DB_URL |
| Адаптер → Цифровой профиль | запросы к REST API Цифрового профиля направляются через защищённый канал СМЭВ |
Хранение состояния
Серверные сессии, запросы к ЕСИА и данные пользователя адаптер хранит в памяти процесса; коды и токены — в памяти или, при заданном DB_URL, в PostgreSQL. Идентификатор узла NODE_ID возвращается в JWT и используется балансировщиком для направления запросов на узел, который начал вход. Настройка двух узлов и балансировщика HAProxy описана в разделе «Резервирование и балансировка».