Портал документации Рутокен

Page tree

Настройте подключение к КриптоПро DSS и создайте шаблоны сертификатов, которые будут выпускаться в этом УЦ.

Предварительные настройки

Чтобы разрешить доступ к разделу КриптоПро DSS:

  1. Запустите Мастер настройки.
  2. Перейдите в раздел Удостоверяющие центры.
  3. Включите интеграцию с КриптоПро DSS.

Добавление УЦ

Чтобы установить подключение к серверу КриптоПро DSS:

  1. Перейдите в раздел КриптоПро DSS→Серверы.
  2. Нажмите Добавить сервер.
  3. Укажите параметры подключения:
    1. Имя – произвольное имя сервера.
    2. URL-адрес веб-службы СЭП —  адрес службы электронной подписи DSS.
  4. Укажите данные для получения токена доступа в сервисе авторизации:
    1. URL-адрес веб-службы ЦИ — адрес центра идентификации DSS.
    2. URL-адрес прокси-сервера. Если для соединения с сервером DSS используется прокси сервер, укажите имя сервера и порт. Например, https://proxy.company.com:8080.
    3. Идентификатор клиента OAuth – идентификатор клиента (client_id) для взаимодействия через API.
    4. Адрес возврата – укажите адрес возврата (redirect_uri), если он отличается от значения по умолчанию.
    5. Клиентский сертификат – выберите сертификат оператора DSS.
  5. Чтобы установить связь между пользователями КриптоПро DSS и пользователями каталога Rutoken KeyBox, включите опцию Устанавливать привязку между пользователем DSS и пользователем каталога.

    Установите связь между пользователями каталога и пользователями УЦ, если каталог пользователей Rutoken KeyBox не является каталогом пользователей УЦ. Такая ситуация может быть в следующих сценариях использования:

    • Rutoken KeyBox работает с пользователями домена Windows, запрашивая для них сертификаты КриптоПро УЦ, который имеет свой каталог пользователей, не связанный с Active Directory;
    • Rutoken KeyBox работает с пользователями КриптоПро УЦ, но таким пользователям необходимо кроме сертификатов собственного УЦ выдавать сертификаты одного или нескольких других УЦ.

    Если включить опцию Устанавливать привязку между пользователем УЦ и пользователем каталога, Rutoken KeyBox позволяет определить следующие параметры работы с УЦ

    • Устанавливать привязку автоматически
      Если в каталоге УЦ есть пользователь, для которого выпускается устройство, связь устанавливается автоматически.
    • Создавать пользователя УЦ, если он не существует
      Если в каталоге УЦ нет пользователя, для которого выпускается устройство с сертификатом, пользователь создается автоматически. По умолчанию пользователи создаются в корневом каталоге Центра Регистрации. Чтобы создавать пользователей во вложенной папке, укажите имя папки.
    • Обновлять учетные данные пользователя УЦ
      Если в профиле пользователя в каталоге изменились данные, они обновятся автоматически в каталоге УЦ.
      Чтобы данные обновились, пользователь каталога должен быть связан с пользователем Центра Регистрации. Если привязка не установлена, в каталоге ЦР создается новый пользователь.
  6. Нажмите Добавить.

Создание шаблонов сертификатов

  1. Перейдите в раздел Шаблоны.
  2. Нажмите Создать шаблон сертификата.
  3. Заполните параметры и нажмите Создать.
ПараметрОписание
ИмяУкажите имя шаблона сертификата
СерверУкажите имя сервера DSS
УЦУкажите имя удостоверяющего центра
Шаблон сертификата КриптоПро DSSВыберите шаблон сертификата. Шаблоны загружаются автоматически из УЦ
Импортировать сертификат, если существуетRutoken KeyBox использует сертификат с устройства вместо выпуска нового сертификата (для указанного пользователя, УЦ и шаблона). Если устройство инициализируется перед выпуском, сертификат удаляется
Отзывать сертификат при отзыве или выключении устройстваСертификаты пользователя отзываются при выключении или отзыве устройства
Публиковать сертификат в каталоге пользователейВыпущенный сертификат опубликуется в профиле пользователя в Active Directory на вкладке Опубликованные сертификаты (Published Certificates). Сертификат удалится из профиля при включении опции Удалять опубликованный сертификат при отзыве устройства.

Необходимо наличие прав на Запись: userCertificate (Write userCertificate) для сервисной учетной записи для работы с каталогом пользователей Active Directory
Автоматически одобрять запрос на сертификатЗапрос на сертификат одобряется автоматически.

Если опция выключена, то для завершения выпуска потребуется дождаться одобрения запроса на УЦ или отменить выпуск, если запрос отклонен
Требовать подписанный документ сертификата перед продолжением выпуска/обновления устройстваСертификат запишется на устройство только после того, как пользователь предоставит на проверку администратору подписанную форму сертификата.

После одобрения запроса в УЦ форма сертификата будет доступна пользователю в Сервисе самообслуживания. Пользователь может скачать и подписать форму сертификата и предоставить ее на проверку
Период обновления (дней)Период времени, в течение которого сертификат и закрытый ключ можно обновить. Значение по умолчанию – 30 дней
Необязательный сертификатПри выпуске и обновлении устройства появится возможность записать на устройство сертификаты из списка необязательных.

Если опция выключена, сертификат записывается на устройство по умолчанию
  • No labels