Портал документации Рутокен

Page tree

Рутокен KeyBox может взаимодействовать с центрами сертификации Microsoft, располагающимися за пределами домена, в котором находится сервер Рутокен KeyBox.

Например, конфигурация, когда у одной организации есть несколько независимых доменов с самостоятельными центрами сертификации в каждом, а Рутокен KeyBox развернут только в одном из этих доменов. При выпуске устройства Рутокен KeyBox обращается к MS CA Proxy, а тот, используя сертификат Агента Регистрации, передает запрос на целевой центр сертификации.

При выпуске сертификата Рутокен KeyBox обращается к Рутокен KeyBox MS CA Proxy, а тот, используя сертификат Агента Регистрации, передает запрос на целевой ЦС.

Приложение MS CA Proxy можно установить только на систему под управлением ОС Windows.

Для установки и настройки приложения MS CA Proxy выполните следующие действия:

  1. Создайте во внешнем для Рутокен KeyBox домене сервисную учетную запись для работы с центром сертификации Microsoft (см. Создание сервисной учетной записи для работы с Microsoft CA).

  2. Настройте для сервисной учетной записи из п.1 шаблон Агент регистрации (см. Настройка шаблонов сертификатов) и выпустите для этой учетной записи сертификат по этому шаблону (см. Выпуск сертификата Агент регистрации (Enrollment Agent)).

    Сертификат Агент регистрации должен располагаться в хранилище сертификатов рабочей станции (Local computer), на которой установлен компонент Рутокен KeyBox MS CA Proxy.

  3. Установите компонент RutokenKeyBox.MSCA.Proxy.msi из дистрибутива (располагается в каталоге RutokenKeyBox.Server) на рабочей станции в домене с внешним УЦ.

    Системные требования для установки компонента совпадают с требования для установки серверных компонентов на ОС Windos.
  4. В Мастере установки выберите способ аутентификации в зависимости от ОС, где установлен сервер Рутокен KeyBox, и укажите необходимые настройки в файлах конфигурации:
    1. Выберите способ аутентификации Windows. По завершении установки нажмите Готово и закройте Мастер установки.
    2. Откройте файл appsettings.json (C:\inetpub\wwwroot\cm\mscaproxy) в редакторе Блокнот от имени администратора.
    3. В секции caProxySettings укажите :

      • ca – имя ЦС в формате CAMachineName\CAName, где CAMachineName — DNS-имя сервера с ролью ЦС, CAName – имя ЦС.

      • userName и password — логин и пароль учетной записи, обладающей сертификатом Агент регистрации.

      • enrollmentAgentCertificateThumbprint — Отпечаток (Thumbprint) сертификата Агент регистрации.

        Пример заполненной секции
        "caProxySettings": {
"ca": "servercm.external.com\\EXTERNAL-CA",
"userName": "EXTERNAL\\serviceca",
"password": "p@ssw0rd",
"enrollmentAgentCertificateThumbprint": "dbd1859d27395860843643ebe17e2ee3fc463aba"
}


    4. Сохраните изменения и закройте файл appsettings.json.
    1. Выберите способ аутентификации по сертификату. По завершении установки нажмите Готово и закройте Мастер установки.
    2. Откройте файл appsettings.json (C:\inetpub\wwwroot\cm\mscaproxy) в редакторе Блокнот от имени администратора.
    3. В секции caProxySettings укажите:

      • ca — имя ЦС в формате CAMachineName\CAName, где CAMachineName – DNS-имя сервера с ролью ЦС, CAName – имя ЦС.

      • userName и password — логин и пароль учетной записи, обладающей сертификатом Агент регистрации.

      • enrollmentAgentCertificateThumbprint — Отпечаток (Thumbprint) сертификата Агент регистрации.

        Пример заполненной секции
        "caProxySettings": {
"ca": "servercm.external.com\\EXTERNAL-CA",
"userName": "EXTERNAL\\serviceca",
"password": "p@ssw0rd",
"enrollmentAgentCertificateThumbprint": "dbd1859d27395860843643ebe17e2ee3fc463aba"
}
    4. В секции authSettings в параметре allowedCertificateThumbprints укажите отпечаток сертификата Агент регистрации. Убедитесь, что поле Улучшенный ключ (Enhanced Key Usage) сертификата содержит значение «Проверка подлинности клиента» (Client Authentication), и сертификат установлен в хранилище сертификатов сервера Рутокен KeyBox.
      Пример заполненной секции
      "authSettings": {
"authorizeByCertificate": "true",
"allowedCertificateThumbprints": "aba8b93d73343f2182e3c1c40482b2ae2d75b6ec"
}

    5. Сохраните изменения и закройте файл appsettings.json.

  5. Перезапустите пул приложения Рутокен KeyBox MS CA Proxy, чтобы сохранить изменения:
    1. Откройте Диспетчер служб IIS (Internet Information Services Manager) и в левом меню выберите Пул приложений IIS (Application pools).
    2. Выберите приложение Рутокен KeyBox MS CA Proxy и в правом меню нажмите Перезапуск (Recycle).
  • No labels