Рисунок ниже иллюстрирует стандартную архитектуру продукта Avanpost PKI:
В состав продукта входят следующие компоненты:
- Серверные компоненты:
- Веб-приложение Avanpost PKI - предоставляет веб-интерфейс администраторам и пользователям системы в части настройки и управления, личный кабинет в части самообслуживания;
- Служба Avanpost PKI Server - реализует бизнес-логику системы, логику обработки запросов и электронных заявок, управления жизненным циклом субъектов и объектов, содержит подсистему адресных книг, коннекторов и плагинов для взаимодействия с УЦ и внешними информационными системами;
- База данных Avanpost PKI - является хранилищем всех данных системы;
- Адресные книги, Коннекторы, Плагины - модули сопряжения Avanpost PKI с различными внешними информационными системами: УЦ, источниками данных о субъектах, потребителями информации о выпускаемых сертификатах;
- Интеграционный шлюз Avanpost PKI - представляет собой веб-приложение, предоставляющее REST API системы для интеграции с различными внешними информационными системами;
- Клиентские компоненты:
- Avanpost PKI Agent - программный компонент, работающий в фоновом режиме на АРМ Пользователя/Администратора и реализующий взаимодействие с ключевыми носителями и криптографическими провайдерами;
Назначение Avanpost PKI
Система Avanpost PKI предназначена для решения следующих основных задач:
- Централизованное управление ключевыми носителями в течение всего жизненного цикла:
- Инициализация;
- Ввод в эксплуатацию/выдача;
- Вывод из эксплуатации;
- Централизованное управление сертификатами в течении всего жизненного цикла:
- Создание и согласование заявлений и запросов на сертификаты;
- Выпуск сертификатов;
- Приостановка и возобновление действия сертификатов;
- Отзыв сертификатов;
- Централизованное управление лицензиями на средства криптографической защиты информации в течении всего жизненного цикла:
- Создание и согласование заявлений на обеспечение лицензиями на средства криптографической защиты информации;
- Ввод в эксплуатацию/выдача;
- Вывод из эксплуатации;
- Предоставление интерфейса самообслуживания пользователей для решения задач управления ключевыми носильными, сертификатами и лицензиями на средства криптографической защиты информации;
- Централизованный учет ключевых носителей;
- Централизованный учет выданных сертификатов;
- Централизованный учет лицензий на средства криптографической защиты информации;
- Централизованный учет автоматизированных рабочих мест, на которых осуществляется эксплуатация средств криптографической защиты информации;
- Автоматический контроль сроков действия сертификатов;
- Автоматический контроль статусов субъектов (пользователей и информационных систем) и закрепленных за ними объектов инфраструктуры открытых ключей (сертификатов, ключевых носителей и лицензий на средства криптографической защиты информации);
- Ведение журналов событий, связанных с эксплуатацией ключевых носителей, сертификатов и лицензий на средства криптографической защиты информации;
- Генерация сопроводительных документов и отчетов по формам, соответствующим требованиям регуляторов.
Основные функции компонентов Avanpost PKI
Веб-приложение Avanpost PKI
Веб-приложение Avanpost PKI предоставляет администраторам и пользователям основной интерфейс для работы в системе. Логически интерфейс разделен на пользовательскую часть - личный кабинет и административную часть.
Основные функции личного кабинета:
- Просмотр перечня собственных сертификатов;
- Просмотр перечня собственных ключевых носителей;
- Печать ПИН-кода Пользователя для собственного ключевого носителя;
- Разблокировка собственного ключевого носителя;
- Создание электронных заявок на себя (на выпуск сертификатов, на перевыпуск сертификатов, на отзыв сертификатов, на регистрацию ключевых носителей и т.д. в зависимости от перечня доступных типов электронных заявок);
- Участие в бизнес-процессах обработки электронных заявок (принятие решений, выполнение заданий и задач в зависимости от настроек бизнес-процессов и их этапов)
Дополнительно для владельцев ИС личный кабинет предоставляет следующие функции:
- Просмотр перечня сертификатов собственных ИС;
- Получение сертификата собственной ИС в формате .cer;
- Получение сертификата и ключа собственной ИС в формате .pfx;
- Просмотр перечня ключевых носителей собственных ИС;
- Печать ПИН-кода Пользователя для ключевого носителя собственной ИС;
- Разблокировка ключевого носителя собственной ИС;
- Создание электронных заявок на собственные ИС (на выпуск сертификата для ИС, на перевыпуск сертификата для ИС и т.д. в зависимости от перечня доступных типов электронных заявок)
Основные функции административного интерфейса:
Функции административного интерфейса могут быть разделены между различными типами привилегированных пользователей или администраторов в зависимости от требований конкретных бизнес-процессов и инсталляций. Ниже приведен общий перечень функций.
- Настройка системы:
- Настройка политик ПИН-кодов;
- Настройка ролей и доступа;
- Настройка виртуальных носителей;
- Настройка адресных книг;
- Настройка УЦ;
- Настройка токенов;
- Настройка скриптов;
- Настройка приложений;
- Настройка шаблонов сертификатов;
- Настройка шаблонов атрибутов сертификатов;
- Настройка шаблонов объектов;
- Настройка шаблонов email-рассылок и email-рассылок;
- Редактирование справочников;
- Управление структурой и субъектами:
- Создание, просмотр и редактирование Центров регистрации;
- Создание, просмотр и редактирование Компаний;
- Создание, просмотр и редактирование Сотрудников;
- Создание, просмотр и редактирование ИС;
- Управление сертификатами:
- Создание запросов на сертификаты для сотрудников и ИС;
- Импорт сертификатов;
- Рассмотрение запросов на сертификаты (одобрение - выпуск или отклонение);
- Установка выпущенных сертификатов на ключевые носители;
- Восстановление сертификатов и ключей из дубликатов;
- Приостановка и возобновление действия сертификатов;
- Отзыв сертификатов;
- Управление автоматическим восстановлением сертификатов на ключевых носителях;
- Получение сертификата в формате .cer;
- Получение сертификата и ключа в формате .pfx;
- Просмотр истории по сертификату;
- Публикация сертификата во внешнюю систему;
- Просмотр сопроводительных документов;
- Управление ключевыми носителями:
- Учет новых ключевых носителей;
- Форматирвоание;
- Смена ПИН-кодов;
- Разблокировка;
- Закрепление/откреплении за сотрудником или ИС;
- Просмотр журнала истории по ключевому носителю;
- Печать ПИН-кодов;
- запись произвольных объектов на ключевой носитель;
- Установка требования на смену ПИН-кода пользователя;
- Управление статусом ключевого носителя;
- Управление лицензиями:
- Создание новой лицензии;
- Закрепление/откреплении за сотрудником или ИС;
- Удаление лицензии;
- Просмотр журнала истории по лицензии;
- Загрузка дистрибутива лицензии из системы;
- Управление АРМ:
- Создание, просмотр и редактирование АРМ;
- Удаление АРМ;
- Закрепление/открепление владельцев АРМ;
- Закрепление/открепление лицензий за АРМ;
- Удаленная блокировка/разблокировка СКЗИ на АРМ;
- Управление Агентами:
- Просмотр перечня активных Агентов;
- Удаленное отключение Агентов;
- Установка уровня логирования для Агента;
- Загрузка лог-файлов Агента;
- Управление отложенными задачами:
- Просмотр перечня задач;
- Отмена ожидающих выполнения задач;
- Просмотр ошибок выполнения задач;
- Электронные заявки:
- Создание электронных заявок на других сотрудников (на выпуск сертификатов, на перевыпуск сертификатов, на отзыв сертификатов, на регистрацию ключевых носителей и т.д. в зависимости от перечня доступных типов электронных заявок);
- Участие в бизнес-процессах обработки электронных заявок (принятие решений, выполнение заданий и задач в зависимости от настроек бизнес-процессов и их этапов);
- Отчеты:
- Построение отчетов;
Служба Avanpost PKI Server
Служба Avanpost PKI Server является ядром системы и реализует всю бизнес-логику системы. В перечень функций службы Avanpost PKI Server входят:
- Обработка запросов от всех компонентов системы;
- Взаимодействие с базой данных;
- Взаимодействие с Агентами;
- Управление жизненным циклом субъектов и объектов;
- Управление бизнес-процессами обработки электронных заявок;
- Взаимодействие с внешними системами - источниками данных о сотрудниках с использованием адресных книг;
- Взаимодействие с УЦ с использованием коннекторов к УЦ;
- Взаимодействие с внешними системами в части публикации данных о выпущенных сертификатах с использованием плагинов публикации;
- Рассылка почтовых уведомлений
Avanpost PKI Agent
Avanpost PKI Agent предназначен для взаимодействия системы с ключевыми носителями и криптографическими провайдерами непосредственно на рабочих местах (компьютерах) администраторов и пользователей.
Основные функции Avanpost PKI Agent:
- Мониторинг подключенных к компьютеру ключевых носителей;
- Форматирование ключевых носителей;
- Проверка и смена ПИН-кодов ключевых носителей (как по требованию политики ПИН-кодов, так и по желанию пользователя);
- Разблокировка ключевых носителей;
- Генерация ключевой пары и создание запроса на сертификат;
- Установка сертификата на ключевой носитель;
- Установка сертификата и ключа (восстановление) на ключевой носитель;
- Удаление сертификата и ключа с ключевого носителя;
- Запись и обновление произвольных объектов на ключевые носители (профили VDI, профили VPN и т.д.);
Некоторые из перечисленных функций могут быть не доступны для определенных видов ключевых носителей в силу ограничений производителя или неприменимости функций.
Адресная книга
Адресная книга представляет собой подключаемую библиотеку, реализующую программный интерфейс IPersonAddressBook Avanpost PKI и служит для обеспечения взаимодействия Avanpost PKI Server с внешней системой - источником данных о субъектах сертификатов (сотрудниках) с целью информации о субъектах сертификатов в Avanpost PKI.
Основные функции Адресной книги:
- Поиск субъекта;
- Получение всех субъектов;
- Получение субъекта по идентификатору;
- Проверка соединения с внешней системой;
- Получение параметров конфигурации
Коннектор к УЦ
Коннектор к УЦ представляет собой программный модуль, реализующий интерфейс ICA Avanpost PKI и служит для обеспечения взаимодействия Avanpost PKI Server с программными компонентами удостоверяющих центров (УЦ) с целью управления жизненным циклом сертификатов.
Основные функции коннектора к УЦ:
- Выпуск сертификата;
- Отзыв сертификата;
- Приостановка действия сертификата;
- Возобновление действия сертификата;
Некоторые из перечисленных функций могут быть не доступны для определенных видов УЦ в силу ограничений производителя или неприменимости функций.
Плагин публикации
Плагин публикации представляет собой подключаемую библиотеку, реализующую программный интерфейс ICertificatePublisher Avanpost PKI и служит для обеспечения взаимодействия Avanpost PKI Server с внешними информационными системами с целью публикации информации о выпущенных сертификатах.
Основные функции плагина публикации:
- Передача во внешнюю ИС информации о выпущенном сертификате;
- Передача во внешнюю ИС информации о необходимости удаления (деактивации) сертификата;
Интеграционный шлюз Avanpost PKI
Задачей Интеграционного шлюза Avanpost PKI является обеспечение потребностей интеграции с Avanpost PKI со стороны внешних информационных систем. Он предоставляет REST API для использования внешними системами и приложениями.
Интеграционный шлюз Avanpost PKI реализует следующие сервисы и функции:
- Сервис управления субъектами:
- Создание и изменение Компаний;
- Создание и изменение Сотрудников;
- Поиск Центров регистрации, Компаний и Сотрудников;
- Сервис управления запросами на сертификаты и сертификатами:
- Регистрация нового запроса на сертификат (импорт запроса) для Сотрудника;
- Получение выпущенного сертификата;
- Поиск сертификатов Сотрудников;
- Получение списка доступных Шаблонов приложений
Вложения
