Пример настройки двухфакторной аутентификации в ОС Linux

В приведенном ниже примере используется версия OpenSSL для ОС Linux. В примере продемонстрированы шаги для создания трех сертификатов в формате PEM:

Варианты подключения

В конфигурации с BI-сервером предполагается соединение с сервером безопасности во внутренней сети без использования протокола HTTPS.

Примечание. При необходимости использовать обе конфигурации подключения одновременно, необходимо выпустить два серверных сертификата (для BI-сервера и для сервера безопасности), подписанные одним корневым сертификатом.

1. Предварительные настройки OpenSSL

Для установки OpenSSL в Ubuntu/Debian/Astra Linux выполните команду:

sudo apt-get install openssl

Для установки OpenSSL в Red Hat Enterprise Linux выполните команду:

sudo yum install openssl

При создании сертификата генерируется закрытый ключ, который используется для расшифровки данных, зашифрованных открытой частью сертификата. В целях безопасности ключ должен сохраняться в тайне и не передаваться третьим лицам.

Предварительно потребуется создать файл openssl.cnf, содержащий вспомогательную информацию:

[ req ]

default_md = sha1

distinguished_name = req_distinguished_name

[ req_distinguished_name ]

countryName = Country

countryName_default = RU

countryName_min = 2

countryName_max = 2

localityName = Locality

localityName_default = Russia

organizationName = Organization

organizationName_default = Foresight

commonName = Common Name

commonName_max = 64

[ certauth ]

subjectKeyIdentifier = hash

authorityKeyIdentifier = keyid:always,issuer:always

basicConstraints = CA:true

crlDistributionPoints = @crl

[ server ]

basicConstraints = CA:FALSE

keyUsage = digitalSignature, keyEncipherment, dataEncipherment

extendedKeyUsage = serverAuth

nsCertType = server

crlDistributionPoints = @crl

[ client ]

basicConstraints = CA:FALSE

keyUsage = digitalSignature, keyEncipherment, dataEncipherment

extendedKeyUsage = clientAuth

nsCertType = client

crlDistributionPoints = @crl

[ crl ]

URI=http://testca.local/ca.crl

Сертификаты в формате PEM можно при необходимости конвертировать в формат DER командой:

openssl x509 -outform der -in MyCertificate.pem -out MyCertificate.crt

2. Создание сертификатов безопасности

2.1. Корневой сертификат

Для создания корневого сертификата выполните команду:

openssl req -config ./openssl.cnf -newkey rsa:2048 -nodes -keyform PEM -keyout ca.key -x509 -days 3650 -extensions certauth -outform PEM -out ca.cer

При выполнении команды будут запрошены дополнительные данные: PEM пароль и пользовательские данные о владельце сертификата. При запросе «Common name» укажем название выпускаемого удостоверяющего центра, например «Test CA».

2.2. Серверный сертификат

Сгенерируем ключ для серверного сертификата:

openssl genrsa -out server.key 2048

Создадим запрос на подпись серверного сертификата:

openssl req -config ./openssl.cnf -new -key server.key -out server.req

Выпустим серверный сертификат сроком действия 1 год:

openssl x509 -req -in server.req -CA ca.cer -CAkey ca.key -set_serial 100 -extfile openssl.cnf -extensions server -days 365 -outform PEM -out server.cer

При выполнении команды будет выдан запрос доменного имени сервера, для которого выпускается серверный сертификат. Укажем полное имя компьютера (команда hostname), если компьютер в доменной сети и к нему будут обращаться с указанием домена, то необходимо указать имя, включая домен, например «hostname.domain.ru».

Запрос на создание сертификата содержит закрытый ключ. После выпуска сертификата он более не требуется, в целях безопасности его рекомендуется удалить командой:

2.3. Клиентский сертификат

Сгенерируем ключ для клиентского сертификата:

openssl genrsa -out client.key 2048

При выполнении команды будет получен запрос PEM пароля и уточняющие вопросы. При запросе «Common name» укажем реальное имя пользователя, которому будет выдан сертификат.

Создадим запрос на выпуск клиентского сертификата:

openssl req -config ./openssl.cnf -new -key client.key -out client.req

openssl x509 -req -in client.req -CA ca.cer -CAkey ca.key -set_serial 101 -extfile openssl.cnf -extensions client -days 365 -outform PEM -out client.cer

Экспортируем сертификат и закрытый ключ в сертификат в формате PKCS#12 (PFX), который будет содержать одновременно сертификат и зашифрованный ключ.

openssl pkcs12 -export -inkey client.key -in client.cer -out client.pfx

При экспорте укажем пароль для закрытого ключа, он потребуется при импорте сертификата в хранилище.

Удалим клиентский сертификат в формате PEM, закрытый ключ и запрос на создание сертификата:

rm client.key client.cer client.req

Сертификаты необходимо разместить следующим образом:

3. Настройка продукта «Форсайт. Аналитическая платформа»

3.1. Настройка веб-приложения

Отредактируем файл PP.xml, находящийся в папке «config» веб-приложения, для настройки подключения к BI-серверу минуя прокси-обработчик. Добавим секцию <AppConfig> и параметр PPServiceUrl:

<?xml version="1.0" encoding="utf-8" ?>

<pp>

</AppConfig>

</pp>

3.2. Настройка репозитория

Для используемого репозитория зададим следующие настройки:

3.3. Настройка BI-сервера

Примечание. Настройки подключения задаются через реестр. Создайте необходимые настройки в настольном приложении и скопируйте их на BI-сервер.

[HKEY_LOCAL_MACHINE\Software\Foresight\Foresight Analytics Platform\9.0\Metabases\STEND_SS]

"Name"="STEND_SS"

"Driver"="WSF"

"Package"="STANDARDSECURITYPACKAGE"

"AuthenticationEx"="1"

"Authentication"="1"

"Crs"=""

"Crsa"=""

"CrLP"="1"

"DebugMode"="0"

"CompileAssemblyOnly"="0"

"MetabaseConnectForAuditModeEx"=dword:00000001

"UseOldComplexPassword"=dword:00000000

"CheckDefaultDB"=dword:00000000

"DL"=dword:00000000

"CusEv"=dword:00000000

"UCL"=dword:00000000

"PingTimeout"=dword:0000ea60

[HKEY_LOCAL_MACHINE\Software\Foresight\Foresight Analytics Platform\9.0\Metabases\STEND_SS\LogonData]

"ENDPOINT"="8:https://hostname-ss.domain.ru/axis2/services/PP.SOM.SomSec"

"METABASE"="8:STEND"

"MONIKER"="8:FGGKKCJNAJMKEOAEBEMNNBNMIDPICHDEEKBFPOKNHGJAJNAF!M!0"

"LOGONDATAONLY"="8:"

[HKEY_LOCAL_MACHINE\Software\Foresight\Foresight Analytics Platform\9.0\Metabases\STEND_SS\LogonData\Unicode]

"Value"="0"

Где:

STEND_SS. Идентификатор репозитория на BI-сервере, который будет указан при подключении из веб-приложения.
STEND. Идентификатор репозитория на сервере безопасности, который настроен на подключение к СУБД.
hostname-ss.domain.ru. Имя сервера, где запущен сервер безопасности.
"Driver"="WSF". Параметр, указывающий на драйвер WEB Service.
"ENDPOINT"="8:https://hostname-ss.domain.ru/axis2/services/PP.SOM.SomSec". Точка подключения к серверу безопасности.

3.4. Настройка сервера безопасности

./PP.Util /save_creds <metabase_id> <login> <password>

После выполнения всех шагов перезагрузим веб-приложение, сервер безопасности и BI-сервер.

4. Настройка ОС Linux

Дальнейшие шаги зависят от используемой ОС:

4.1. Включение модуля mod_ssl для Apache

Для включения модуля mod_ssl выполним команду:

sudo a2enmod ssl

sudo a2ensite default-ssl

Создадим каталог /etc/apache2/ssl для хранения сертификатов и ключей:

sudo mkdir /etc/apache2/ssl

Скопируем созданные файлы сертификатов и ключ сертификата сервера: ca.cer, server.cer, server.key.

Установим права доступа к каталогу:

sudo chmod 0600 /etc/apache2/ssl

sudo chown -R www-data:www-data /etc/apache2/ssl

4.2. Настройка сервера веб-приложения

Необходимые настройки веб-приложения описаны в статье «Настройка Apache для доступа к ресурсам веб-приложения». При использовании ssl некоторые шаги имеют отличия:

В файле /etc/apache2/envvars добавим переменную для протокола HTTPS:

export PATH_TO_PP=/opt/Foresight/<версия продукта «Форсайт. Аналитическая платформа»>/pp

export PP_SOM_HTTPS=https://hostname.domain.ru/axis2/services/PP.SOM.Som

Отредактируем файл /etc/apache2/sites-enabled/default-ssl и добавим в тег <VirtualHost _default_:443> следующие значения (заменив hostname.domain.ru на адрес сервера в сети):

ServerName hostname.domain.ru

Alias /fp9.2/app/ ${PATH_TO_PP}/app/

Alias /fp9.2/build/ ${PATH_TO_PP}/build/

Alias /fp9.2/dashboard/ ${PATH_TO_PP}/dashboard/

Alias /fp9.2/resources/ ${PATH_TO_PP}/resources/

Alias /fp9.2/index.html ${PATH_TO_PP}/index.html

Alias /fp9.2/libs/ ${PATH_TO_PP}/libs/

Alias /fp9.2/ ${PATH_TO_PP}/

ProxyPass /fp9.2/app/PPService.axd ${PP_SOM_HTTPS} retry=1 acquire=3000 timeout=6000 Keepalive=On

SSLProxyEngine On

SSLProxyCheckPeerCN on

SSLProxyCheckPeerExpire on

ProxyPassReverse /fp9.2/app/PPService.axd ${PP_SOM_HTTPS}

SSLEngine on

SSLCertificateFile /etc/apache2/ssl/server.cer

SSLCertificateKeyFile /etc/apache2/ssl/server.key

SSLVerifyClient require

SSLVerifyDepth 10

SSLCACertificateFile /etc/apache2/ssl/ca.cer

После изменения настроек перезагрузим сервер Apache:

sudo service apache2 restart

Проверим работу веб-приложения.

4.1. Включение модуля mod_ssl для httpd

Для включения модуля mod_ssl выполним команду:

sudo yum -y install mod_ssl

Будет создан файл конфигурации /etc/httpd/conf.d/ssl.conf со строкой подключения модуля:

LoadModule ssl_module modules/mod_ssl.so

Примечание. Для HTTPS-соединений открыт 443 TCP-порт, mod_ssl использует пакет openssl и по умолчанию отключена поддержка протокола SSLv2.

Создадим каталог /etc/httpd/ssl для хранения сертификатов и ключей:

sudo mkdir /etc/httpd/ssl

Скопируем созданные файлы сертификатов и ключ сертификата сервера: ca.cer, server.cer, server.key.

Установим права доступа к каталогу:

sudo chmod 0600 /etc/httpd/ssl

sudo chown -R apache:apache /etc/httpd/ssl

4.2. Настройка сервера веб-приложения

В файле /etc/sysconfig/httpd добавим переменную для протокола HTTPS:

export PATH_TO_PP=/opt/Foresight/<версия продукта «Форсайт. Аналитическая платформа»>/pp

export PP_SOM_HTTPS=https://hostname.domain.ru/axis2/services/PP.SOM.Som

Отредактируем файл /etc/httpd/conf.d/ssl.conf и добавим в тег <VirtualHost _default_:443> следующие значения (заменив hostname.domain.ru на адрес сервера в сети):

ServerName hostname.domain.ru

Alias /fp9.2/app/ ${PATH_TO_PP}/app/

Alias /fp9.2/build/ ${PATH_TO_PP}/build/

Alias /fp9.2/dashboard/ ${PATH_TO_PP}/dashboard/

Alias /fp9.2/resources/ ${PATH_TO_PP}/resources/

Alias /fp9.2/index.html ${PATH_TO_PP}/index.html

Alias /fp9.2/libs/ ${PATH_TO_PP}/libs/

Alias /fp9.2/ ${PATH_TO_PP}/

ProxyPass /fp9.2/app/PPService.axd ${PP_SOM_HTTPS} retry=1 acquire=3000 timeout=6000 Keepalive=On

SSLProxyEngine On

SSLProxyCheckPeerCN on

SSLProxyCheckPeerExpire on

ProxyPassReverse /fp9.2/app/PPService.axd ${PP_SOM_HTTPS}

SSLEngine on

SSLCertificateFile /etc/apache2/ssl/server.cer

SSLCertificateKeyFile /etc/apache2/ssl/server.key

SSLVerifyClient require

SSLVerifyDepth 10

SSLCACertificateFile /etc/apache2/ssl/ca.cer

После изменения настроек перезагрузим сервер httpd:

sudo service httpd restart

Проверим работу веб-приложения.

5. Проверка работы веб-приложения

Для проверки авторизации по HTTP перейдем по адресу: http://hostname.domain.com/fp9.2/app/login.html.

Для проверки двухфакторной авторизации по HTTPS перейдем по адресу: https://hostname.domain.com/fp9.2/app/login.html.

При открытии страницы будет выдан запрос клиентского сертификата. Выберем клиентский сертификат, связанный с используемой учетной записью.