Шифрование внутренних коммуникаций
Все взаимодействия между компонентами системы 5А (бэкенд, оркестратор, база данных, агенты SLB/GSLB, сетевые агенты) защищены с помощью протокола TLS. Это гарантирует конфиденциальность и целостность данных, передаваемых внутри инфраструктуры.
Используемые сертификаты
При установке системы в распакованном дистрибутиве присутствует папка certs, содержащая тестовые самоподписанные сертификаты. Они предназначены для ознакомительных целей и тестирования. Для промышленной эксплуатации необходимо сгенерировать собственные сертификаты и заменить ими файлы в этой папке, сохранив исходные имена.
Состав папки certs
| Файл | Назначение |
|---|---|
ca.crt | Публичный сертификат удостоверяющего центра (CA), подписывающего остальные сертификаты. |
server.crt | TLS-сертификат сервера (бэкенд, оркестратор и другие компоненты, выступающие в роли сервера). |
server.key | Приватный ключ сервера. |
client.crt | Клиентский сертификат для взаимной аутентификации (mTLS). Используется агентами и другими клиентами системы. |
client.key | Приватный ключ клиента. |
Требования к сертификатам
При генерации собственных сертификатов соблюдайте следующие требования:
| Параметр | Требование |
|---|---|
| Алгоритм | RSA с длиной ключа не менее 2048 бит или ECDSA с кривой P-256 (secp256r1) или выше. |
| Версия TLS | не ниже TLS 1.3. |
| Центр сертификации (CA) | Все сертификаты (server.crt, client.crt) должны быть подписаны одним и тем же CA, указанным в ca.crt. Этот CA используется для проверки как серверных, так и клиентских сертификатов. |
| SAN (Subject Alternative Name) | Для server.crt рекомендуется указывать расширение SAN с IP-адресами и доменными именами хостов, на которых работают компоненты системы (например, DNS:backend.example.com, IP:172.27.1.10). Это улучшит совместимость с будущими обновлениями. |
| CN клиента | Для клиентского сертификата (client.crt) обязательно указывать CN = a5client. Остальные поля могут быть произвольными. |
Порядок замены сертификатов
Замену сертификатов можно выполнить до установки системы или на уже работающей системе.
Замена до установки
- Создайте новый корневой CA и подпишите им сертификаты сервера и клиента в соответствии с требованиями.
- Замените файлы в папке
certsвнутри распакованного дистрибутива на новые, сохранив имена файлов. - Выполните установку системы. Инсталлятор автоматически применит новые сертификаты при развёртывании компонентов.
Замена на работающей системе
- Подготовьте новые сертификаты, удовлетворяющие требованиям.
- На каждом сервере, где установлены компоненты системы 5А, замените файлы сертификатов в соответствующих контейнерах или в каталогах размещения (пути зависят от способа развёртывания).
- Перезапустите все компоненты системы (бэкенд, оркестратор, агенты) для применения новых ключей. Это можно сделать с помощью команды
docker restart <контейнер>или через systemctl, если компоненты установлены не в контейнерах.
Важно: замена сертификатов на работающей системе может привести к временной недоступности компонентов. Выполняйте процедуру в окно обслуживания.
Для подключения внешних баз пользователей по защищённому протоколу LDAPS может потребоваться добавление CA-сертификата в доверенные. Инструкция приведена в разделе Настройка входа через LDAP – Добавление сертификатов для LDAPS.