PayControl PKI - История изменений

D.bizyukov: /* Указание пути к файлу конфигурации PKI коннектора */

2026-04-06T11:48:34Z

Указание пути к файлу конфигурации PKI коннектора

← Предыдущая версия		Версия от 11:48, 6 апреля 2026
Строка 17:		Строка 17:

	Путь к файлу конфигурации устанавливается в настройках сервера PCS в параметре <code>PKI_SETTINGS_PATH</code>. Значением по умолчанию является <code>/opt/pc/pki/pki-settings.properties</code>. Способ установки описан в [https://repo.paycontrol.org/server/doc/latest/pc-reference-guide/ru/#установка-параметров\|справочном руководстве].		Путь к файлу конфигурации устанавливается в настройках сервера PCS в параметре <code>PKI_SETTINGS_PATH</code>. Значением по умолчанию является <code>/opt/pc/pki/pki-settings.properties</code>. Способ установки описан в [https://repo.paycontrol.org/server/doc/latest/pc-reference-guide/ru/#установка-параметров\|справочном руководстве].

			При изменении <code>pki-settings.properties</code> требуется перезапуск PC Server.

	=== Состав файла конфигурации ===		=== Состав файла конфигурации ===

A.bursakov в 13:28, 19 февраля 2026

2026-02-19T13:28:34Z

← Предыдущая версия		Версия от 13:28, 19 февраля 2026
Строка 1:		Строка 1:
			PC базово в своём составе имеет коннекторы к двум УЦ:

			* КриптоПро УЦ
			* УЦ на базе OpenSSL

	= КриптоПро УЦ =		= КриптоПро УЦ =

A.bursakov в 15:50, 16 февраля 2026

2026-02-16T15:50:20Z

← Предыдущая версия		Версия от 15:50, 16 февраля 2026
Строка 78:		Строка 78:
	* <code>OperatorKeyAlias</code> должен быть указан алиас оператора (для приведённого примера файла конфигурации это будет <code>Operator-1</code> и путь будет следующий <code>/var/opt/cprocsp/keys/user/Operator-1</code>).		* <code>OperatorKeyAlias</code> должен быть указан алиас оператора (для приведённого примера файла конфигурации это будет <code>Operator-1</code> и путь будет следующий <code>/var/opt/cprocsp/keys/user/Operator-1</code>).

	Владельцем директорий <code>ProcessUsername/OperatorKeyAlias</code> и файлов ключей должен быть пользователь, под которым запущен процесс PCS. Если эти директории принадлежат другому пользователю, необходимо скорректировать принадлежность, например, с помощью `chown`.		Владельцем директорий <code>ProcessUsername/OperatorKeyAlias</code> и файлов ключей должен быть пользователь, под которым запущен процесс PCS. Если эти директории принадлежат другому пользователю, необходимо скорректировать принадлежность, например, с помощью <code>chown</code>.

	= OpenSSL =		= OpenSSL =

A.bursakov: /* Размещение ключей */

2026-02-16T15:49:31Z

Размещение ключей

← Предыдущая версия		Версия от 15:49, 16 февраля 2026
Строка 78:		Строка 78:
	* <code>OperatorKeyAlias</code> должен быть указан алиас оператора (для приведённого примера файла конфигурации это будет <code>Operator-1</code> и путь будет следующий <code>/var/opt/cprocsp/keys/user/Operator-1</code>).		* <code>OperatorKeyAlias</code> должен быть указан алиас оператора (для приведённого примера файла конфигурации это будет <code>Operator-1</code> и путь будет следующий <code>/var/opt/cprocsp/keys/user/Operator-1</code>).

	Владельцем директорий <code>ProcessUsername/OperatorKeyAlias</code> и файлов ключей должен быть пользователь, под которым запущен процесс PCS.		Владельцем директорий <code>ProcessUsername/OperatorKeyAlias</code> и файлов ключей должен быть пользователь, под которым запущен процесс PCS. Если эти директории принадлежат другому пользователю, необходимо скорректировать принадлежность, например, с помощью `chown`.

	= OpenSSL =		= OpenSSL =

A.bursakov: /* Размещение ключей */

2026-02-16T15:43:44Z

Размещение ключей

← Предыдущая версия		Версия от 15:43, 16 февраля 2026
Строка 73:		Строка 73:
	== Размещение ключей ==		== Размещение ключей ==

	Файлы ключа и сертификата оператора в формате КриптоПро CSP HDImage необходимо разместить по по пути <code>/var/opt/cprocsp/keys/~~user~~/OperatorKeyAlias</code>, где вместо значений:		Файлы ключа и сертификата оператора в формате КриптоПро CSP HDImage необходимо разместить по по пути <code>/var/opt/cprocsp/keys/ProcessUsername/OperatorKeyAlias</code>, где вместо значений:

	* <code>ProcessUsername</code> должено быть указано имя пользователя, под которым запущен процесс PCS;		* <code>ProcessUsername</code> должено быть указано имя пользователя, под которым запущен процесс PCS;

A.bursakov в 23:03, 28 января 2026

2026-01-28T23:03:02Z

← Предыдущая версия		Версия от 23:03, 28 января 2026
Строка 1:		Строка 1:
	= КриптоПро УЦ =		= КриптоПро УЦ =

	PC может быть ~~подключен~~ к УЦ ~~КриптоПро~~ для выпуска сертификатов пользователям PC.		С версии 6.9.0, PC может быть подключён к КриптоПро УЦ 2.0 (исполнение 15 и 16) для выпуска сертификатов пользователям PC.

	Коннектор к УЦ КриптоПро является модулем компонента PCS. Взаимодействие с УЦ КриптоПро ведётся через его компонент — центр регистрации.		Коннектор к УЦ КриптоПро является модулем компонента PCS. Взаимодействие с УЦ КриптоПро ведётся через его компонент — центр регистрации.
Строка 256:		Строка 256:
	[[Категория:PKI]]		[[Категория:PKI]]
	[[Категория:Сертификаты]]		[[Категория:Сертификаты]]
			[[Категория:КриптоПро УЦ]]

A.bursakov в 22:54, 28 января 2026

2026-01-28T22:54:43Z

← Предыдущая версия		Версия от 22:54, 28 января 2026
Строка 1:		Строка 1:
			= КриптоПро УЦ =

			PC может быть подключен к УЦ КриптоПро для выпуска сертификатов пользователям PC.

			Коннектор к УЦ КриптоПро является модулем компонента PCS. Взаимодействие с УЦ КриптоПро ведётся через его компонент — центр регистрации.

			Для работы с УЦ КриптоПро необходимо включить коннектор, настроить его, добавить ключ для аутентификации запросов в центр регистрации (или два раздельных ключа, один для mTLS, второй для подписания запросов к ЦР), добавить корневой сертификат УЦ для проверки аутентичности сервера при подключении.

			== Конфигурирование PKI коннектора ==

			=== Указание пути к файлу конфигурации PKI коннектора ===

			Путь к файлу конфигурации устанавливается в настройках сервера PCS в параметре <code>PKI_SETTINGS_PATH</code>. Значением по умолчанию является <code>/opt/pc/pki/pki-settings.properties</code>. Способ установки описан в [https://repo.paycontrol.org/server/doc/latest/pc-reference-guide/ru/#установка-параметров\|справочном руководстве].

			=== Состав файла конфигурации ===

			<syntaxhighlight lang="shell"># Connector type selection (MUST not be changed to use this connector)
			# Указание типа коннектора (не подлежит изменению при использовании этого коннектора)
			caType=CPCA20

			# Alias of the Operator's private key and certificate stored in HDImage
			# Алиас закрытого ключа и сертификата оператора в HDImage хранилище (используется для установки mTLS и подписи запросов к УЦ)
			cpca20OperatorKeyAlias=Operator-1

			# Password to the Operator's private key container
			# Пароль закрытого ключа оператора
			cpca20OperatorKeyPassword=

			# Trusted certificates in PEM for establishing TLS connection with CA
			# Путь к файлу с доверенными сертификатами
			cpca20TrustedCertificatesPath=/opt/pc/cp_ca/etc/904C46A177CC4BAA6B683AD47E4BF625FADD166B.pem

			# URL for the CA 2.0 instance
			# Адрес центра регистрации УЦ КриптоПро для взаимодействия
			cpca20InteractionUrl=https://cpca.loc

			# URL for the CA 2.0 distribution point
			# Адрес распространения списков отзывов сертификатов
			cpca20CrlDp=http://cpca.loc/cdp/904C46A177CC4BAA6B683AD47E4BF625FADD166B.crl

			# OID for the custom component in subject's DN (UnstructuredName)
			# OID для поля UnstructuredName
			cacp20UserNameOID=1.2.840.113549.1.9.2

			# OID for the certificate template to be included in the extensions of certificate requests
			# OID шаблона сертификата для включения в расширение в запросе сертификата
			cacp20CertTemplateOID=1.2.643.2.999.1.1.1

			# Folder to be used when creating users at RA
			# Папка, в которой создаются сертификаты пользователей в ЦР УЦ КриптоПро
			cacp20RegistrationFolder=Ra

			# Whether to use specified CRL DP for certificate checking (useful when CRL DP is not included into certificate extensions)
			# Флаг разрешающий использование установленного в cpca20CrlDp адреса для получения списка отзыва сертификатов (для случаев, если в сертификате не указана точка распространения списка отзывов)
			cacp20UseCrlDpForCertificateValidation=true

			# Timeout in milliseconds for establishing connection with CA
			# Время ожидания установки TCP соединения с УЦ в мс
			cacp20ConnectionTimeout=2000

			# Timeout in milliseconds for requesting connection from the connection manager
			# Время ожидания готовности сервера принять запрос в мс
			cacp20ConnectionRequestTimeout=2000

			# Timeout in milliseconds for getting response from CA
			# Время ожидания ответа от УЦ в мс
			cacp20ResponseTimeout=2000</syntaxhighlight>

			=== Сертификат УЦ ===

			Сертификат УЦ необходимо разместить в доступном для сервиса месте (например в <code>/opt/pc/cp_ca/etc/</code>), и указать путь к этому файлу в параметре <code>cpca20TrustedCertificatesPath</code> конфигурационного файла.

			== Размещение ключей ==

			Файлы ключа и сертификата оператора в формате КриптоПро CSP HDImage необходимо разместить по по пути <code>/var/opt/cprocsp/keys/user/OperatorKeyAlias</code>, где вместо значений:

			* <code>ProcessUsername</code> должено быть указано имя пользователя, под которым запущен процесс PCS;
			* <code>OperatorKeyAlias</code> должен быть указан алиас оператора (для приведённого примера файла конфигурации это будет <code>Operator-1</code> и путь будет следующий <code>/var/opt/cprocsp/keys/user/Operator-1</code>).

			Владельцем директорий <code>ProcessUsername/OperatorKeyAlias</code> и файлов ключей должен быть пользователь, под которым запущен процесс PCS.

	= OpenSSL =		= OpenSSL =

A.bursakov в 22:34, 25 июня 2025

2025-06-25T22:34:35Z

@@ Строка 1: / Строка 1: @@
-== Путь к конфигурационному файлу коннектора ==
+= OpenSSL =
 Настройку необходимо внести в pc_sys_property БД PCS.
@@ Строка 7: / Строка 11: @@
 Пример для PostgreSQL:<syntaxhighlight lang="sql">insert into pc_sys_property values (nextval('pc_setting_seq'), 'PKI_SETTINGS_PATH', '/opt/pc/pki/pki-settings.properties');</syntaxhighlight>
-== Пример конфигурационного файла ==
+=== Пример конфигурационного файла ===
 <syntaxhighlight lang="shell">
@@ Строка 34: / Строка 38: @@
 == Пример файла выпуска сертификата ==
 <syntaxhighlight lang="shell">
@@ Строка 57: / Строка 63: @@
 </syntaxhighlight>
 == Пример файла отзыва сертификата ==
@@ Строка 75: / Строка 103: @@
 cp -v $INTERMEDIATE_CRL_LOCATION /opt/pc/pki/pub/crl/
 </syntaxhighlight>
 == Пример файла скрипта публикации списка отзыва корневого УЦ ==
@@ Строка 101: / Строка 128: @@
 cp /opt/pc/pki/Intermediate_CA/crl/intermediate.crl /opt/pc/pki/pub/crl/
 </syntaxhighlight>

A.bursakov: Новая страница: «== Путь к конфигурационному файлу коннектора == Настройку необходимо внести в pc_sys_property БД…»

2023-11-16T10:31:07Z

Новая страница: «== Путь к конфигурационному файлу коннектора == Настройку необходимо внести в pc_sys_property БД…»

Новая страница

== Путь к конфигурационному файлу коннектора ==

Настройку необходимо внести в pc_sys_property БД PCS.

PKI_SETTINGS_PATH | /opt/pc/pki/pki-settings.properties

Пример для PostgreSQL:<syntaxhighlight lang="sql">insert into pc_sys_property values (nextval('pc_setting_seq'), 'PKI_SETTINGS_PATH', '/opt/pc/pki/pki-settings.properties');</syntaxhighlight>

== Пример конфигурационного файла ==

<syntaxhighlight lang="shell">
# check certificate's expiration, cert path and other constrains during each cert use
checkCertificates=true

# check certificate revocation status, to use checkCertificates must be true
checkRevocation=true
useCRL=true
useOCSP=false

# -- OpenSSL Settings
caType=OpenSSL
issueCertificateCmd=/opt/pc/pki/issue_cert.sh
revokeCertificateCmd=/opt/pc/pki/revoke_cert.sh

# files prefixes must contain path where tmp files will be stored
csrTmpFilePrefix=pc-openssl-connector-csr-
certTmpFilePrefix=pc-openssl-connector-cert-

# certificate chain in PEM-format
# the first certificate must be CA (self-signed), second - 1st intermediate, third - 2nd intermediate and so on
# if checkRevocation is true, then each of intermediate certificates must contain OCSP url or CRL Distribution point
caChainFileName=/opt/pc/pki/Intermediate_CA/certs/intermediate.chain.pem
</syntaxhighlight>

== Пример файла выпуска сертификата ==

<syntaxhighlight lang="shell">
#!/bin/sh
CA_DIR=/opt/pc/pki/Intermediate_CA
KEY_PASS=secretpassword

DER_CSR_FILE_NAME=$1
DER_CSR_BASE_FILE_NAME="$(basename -- $DER_CSR_FILE_NAME)"
DER_CSR_BASE_FILE_NAME="${DER_CSR_BASE_FILE_NAME%.*}"
PEM_CSR_FILE_NAME=csr/$DER_CSR_BASE_FILE_NAME.pem
PEM_CERT_FILE_NAME=certs/$DER_CSR_BASE_FILE_NAME.cert.pem
DER_CERT_FILE_NAME=certs/$DER_CSR_BASE_FILE_NAME.cert.der

DEST_CERT_FILE_NAME=$2

cd $CA_DIR
openssl req -inform DER -in $DER_CSR_FILE_NAME -out $PEM_CSR_FILE_NAME
openssl ca -config openssl.cnf -extensions usr_cert -days 375 -notext -md sha256 -in $PEM_CSR_FILE_NAME -out $PEM_CERT_FILE_NAME -passin pass:$KEY_PASS -batch
openssl x509 -outform der -in $PEM_CERT_FILE_NAME -out $DER_CERT_FILE_NAME

cp $DER_CERT_FILE_NAME $DEST_CERT_FILE_NAME
</syntaxhighlight>

== Пример файла отзыва сертификата ==

<syntaxhighlight lang="shell">
#!/bin/sh
CERT_FILE_NAME=$1
KEY_PASS=secretpassword
CA_DIR=/opt/pc/pki/Intermediate_CA
INTERMEDIATE_CRL_LOCATION=crl/intermediate.crl

cd $CA_DIR

#revoke
openssl ca -config openssl.cnf -revoke $CERT_FILE_NAME -passin pass:$KEY_PASS
#publish CRL
openssl ca -config openssl.cnf -gencrl -out $INTERMEDIATE_CRL_LOCATION -passin pass:$KEY_PASS
cp -v $INTERMEDIATE_CRL_LOCATION /opt/pc/pki/pub/crl/
</syntaxhighlight>

== Пример файла скрипта публикации списка отзыва корневого УЦ ==

<syntaxhighlight lang="shell">
#!/bin/bash
openssl ca \
-config /opt/pc/pki/Root_CA/openssl_host.cnf \
-gencrl \
-out /opt/pc/pki/Root_CA/crl/root.crl \
-passin pass:secretpassword
cp /opt/pc/pki/Root_CA/crl/root.crl /opt/pc/pki/pub/crl/
</syntaxhighlight>

== Пример файла скрипта публикации списка отзыва промежуточного УЦ ==

<syntaxhighlight lang="shell">
#!/bin/bash
openssl ca \
-config /opt/pc/pki/Intermediate_CA/openssl_host.cnf \
-gencrl \
-out /opt/pc/pki/Intermediate_CA/crl/intermediate.crl \
-passin pass:secretpassword
cp /opt/pc/pki/Intermediate_CA/crl/intermediate.crl /opt/pc/pki/pub/crl/
</syntaxhighlight>