Требования к сертификатам

Для работы компонентов системы требуются сертификаты, оформленные на внешнее имя сервисов (FQDN или wildcard) и выпущенные публичным доверенным центром сертификации.
Сертификаты должны удовлетворять следующим требованиям:

стандарт X.509 версии 3
длина ключа шифрования не менее 2048 бит
алгоритм подписи SHA 256
незашифрованный закрытый ключ
представление в формате PEM
файл сертификата должен содержать сертификат сервера, сертификаты промежуточного и корневого центров сертификации

Использование сертификатов, выпущенных недоверенными центрами сертификации

Для взаимодействия между компонентами системы используются защищенные соединения на основе сертификатов.

Для внутрисистемного взаимодействия компонентов IVA One используются защищенные соединения на основе сертификатов, созданных автоматически при развертывании системы (сертификат CA, сертификаты узлов, сервисов).

Для внешнесистемного взаимодействия (доступ пользователей, взаимодействие с вынесенными сервисами) рекомендуется использовать сертификаты, выпущенные доверенными центрами сертификации.

В условиях реальной эксплуатации системы не рекомендуется использовать самоподписанные сертификаты

Для проведения пилотных демонстраций, тестирования возможно использование сертификатов, выпущенных недоверенными центрами

Для этого необходимо:

сертификат корневого недоверенного центра поместить в хранилище доверенных сертификатов IVA One
создать секреты для IVA One и IVA ID
добавить сертификат корневого недоверенного центра в хранилище доверенных сертификатов на клиентских местах

Пример создания корневого сертификата

Для создания корневого сертификата войти в консоль управления и выполнить команду:

openssl genrsa -aes256 -out rootCA.key 2048
openssl req -x509 -new -nodes -key rootCA.key -sha256 -days 1024 -out rootCA.crt -subj /C=RU/ST=Moscow/L=Moscow/O=iva.local/OU=RootCA/CN=MyRootCA"

где:

rootCA.crt — сертификат СА
rootCA.key — ключ

Пример создания сертификата для доступа к системе

Для создания сертификата для доступа к системе войти в консоль управления и выполнить команду:

openssl genrsa -out tls.key 2048
openssl req -new -key tls.key -out tls.csr -subj "/C=RU/ST=Moscow/L=Moscow/O=iva.local/OU=Server/CN=*.iva.local"
openssl x509 -req -in tls.csr -CA rootCA.crt -CAkey rootCA.key -CAcreateserial -out tls.crt -days 500 -sha256 -extfile <(printf "subjectAltName=DNS:*.iva.local")

где:

tls.key — наименование файла ключа
tls.crt — наименование файла сертификата
*.iva.local — сетевое имя домена