Wydrukuj tę dokumentację Pokaż jako slajdy

openXpki

openXpki to oprogramowanie pozwalające na wygodny i łatwy (przeglądarka internetowa) zarządzanie certyfikatami SSL/TLS. Całość oprogramowania jest napisana w PERLu, zaś jako "backend" służy baza danych (domyślnie mySQL).

Instalacja

Za pomocą własnego repozytorium pakietów należy zainstalować oprogramowanie openXpki:

pkg install -Uy security/p5-openxpki

Ustawienia zależności

Należy pamiętać, aby dla pakietu devel/p5-Log-Dispatch nie wybrać opcji APACHE: w przeciwnym przypadku będzie instalowany apache24 - zupełnie zbędne przy korzystaniu z nginx-a.

Przed pierwszym uruchomieniem

Zgodnie z wiadomością z pakietu instalacyjnego przy pierwszej instalacji (nie upgrade) należy wykonać następujące polecenia:

install -m 660 -o openxpki -g openxpki /dev/null /var/log/openxpki/openxpki.log
install -m 660 -o www -g www /dev/null /var/log/openxpki/webui.log
install -m 660 -o www -g www /dev/null /var/log/openxpki/scep.log
install -m 660 -o www -g www /dev/null /var/log/openxpki/soap.log

Nie można zapominać o właściwych uprawnieniach dla użytkownika www:

setfacl -m u:www:rwx::allow /var/log/openxpki/ /var/log/openxpki/webui.log

Konfiguracja bazy danych

openXpki opiera się o bazę danych. Preferowana to mySQL, ale na liście schematów do instalacji jest również PostgreSQL korzystać z bazy, należy doinstalować odpowiedni pakiet:

# w przypadku bazy danych PostgreSQL
pkg install -Uy databases/p5-DBD-Pg

# w przypadku bazy danych mySQL
pkg install -Uy databases/p5-DBD-mysql

# w przypadku SQLite
pkg install -Uy databases/p5-DBD-SQLite

mySQL

Na podstawie dokumentacji dla mysql-a należy utworzyć dedykowaną bazę danych oraz wgrać stosowny schemat umieszczony w katalogu /usr/local/share/examples/openxpki/config/sql/:

CREATE DATABASE openxpkidb;
CREATE USER 'openxpki_user'@'localhost' IDENTIFIED BY 'sekretne_haslo';
GRANT ALL ON openxpkidb.* TO 'openxpki_user'@'localhost';
FLUSH PRIVILEGES;

oraz wgranie schematu do pustej bazy danych:

cat /usr/local/share/examples/openxpki/config/sql/schema-mysql.sql | mysql -u openxpki_user -p openxpkidb

PostgreSQL

Na podstawie dokumentacji dla postgres-a należy utworzyć dedykowaną bazę danych oraz wgrać stosowny schemat umieszczony w katalogu /usr/local/share/examples/openxpki/config/sql/:

createuser -U pgsql -DERSP xpki_user
createdb -U pgsql -E UTF8 -O xpki_user openxpkidb
cat /usr/local/share/examples/openxpki/config/sql/schema-psql.sql | psql -U xpki_user openxpkidb

Instalacja plików konfiguracyjnych

Należy zainstalować pliki konfiguracyjne dla demona openxpkid oraz dla webui:

cp -pr /usr/local/share/examples/openxpki/config/openxpki/config.d /usr/local/etc/openxpki/
cp -pr /usr/local/share/examples/openxpki/config/openxpki/webui /usr/local/etc/openxpki/

Poprawienie uprawnień do plików

Pliki konfiguracyjne nie posiadają dobrych uprawnień dla serwera webowego, dlatego też trzeba poprawić uprawnienia:

find /usr/local/etc/openxpki/ -type d -exec chmod o+x {} \;

Niezbędne modyfikacje

Następujące pliki należy zmodyfikować w celu poprawnego działania openxpkid:

system/database.yaml

--- /usr/local/share/examples/openxpki/config/openxpki/config.d/system/database.yaml    2019-11-03 20:12:18.000000000 +0100
+++ /usr/local/etc/openxpki/config.d/system/database.yaml       2019-11-04 15:57:48.777877000 +0100
@@ -1,11 +1,11 @@
 main:
     debug: 0
     type: MySQL
-    name: openxpki
+    name: openxpkidb
     host: localhost
     port: 3306
-    user: openxpki
-    passwd: openxpki
+    user: openxpki_user
+    passwd: ********************

     # extra options passed to the driver as parameter
     #driver:

system/server.yaml

--- /usr/local/share/examples/openxpki/config/openxpki/config.d/system/server.yaml      2019-11-03 20:12:18.000000000 +0100
+++ /usr/local/etc/openxpki/config.d/system/server.yaml 2019-11-04 14:49:06.860446000 +0100
@@ -10,7 +10,7 @@ group:        openxpki
 socket_file:  /var/openxpki/openxpki.socket
 pid_file:     /var/openxpki/openxpkid.pid
 stderr:       /var/log/openxpki/stderr.log
-tmpdir:       /var/tmp
+tmpdir:       /var/tmp

 # This is experimental!
 #type: PreFork
@@ -55,6 +55,6 @@ service:

 # settings for i18n
 i18n:
-    locale_directory: /usr/share/locale
-    default_language: C
+    locale_directory: /usr/local/share/locale
+    default_language: pl_PL

webui/default.conf

--- /usr/local/share/examples/openxpki/config/openxpki/webui/default.conf       2019-11-03 20:12:18.000000000 +0100
+++ /usr/local/etc/openxpki/webui/default.conf  2019-11-04 22:46:29.543115000 +0100
@@ -18,7 +18,7 @@ scripturl = /cgi-bin/webui.fcgi
 # mapping rules must be given in [realm] section below
 #realm_mode = path

-locale_directory: /usr/share/locale
+locale_directory: /usr/local/share/locale
 default_language: en_US

 [session]
@@ -48,10 +48,10 @@ Directory = /tmp
 # otherwise an attacker on the webservice can access your backend tables!
 # CREATE USER 'openxpki_session'@'localhost' IDENTIFIED BY 'mysecret';
 # GRANT SELECT, INSERT, UPDATE, DELETE ON openxpki.frontend_session TO 'openxpki_session'@'localhost';
-#NameSpace = openxpki
-#DataSource = dbi:mysql:dbname=openxpki
-#User = openxpki_session
-#Password = mysecret
+##NameSpace = openxpkidb
+DataSource = dbi:mysql:dbname=openxpkidb
+User = openxpki_user
+Password = ********************
 # Encrypt the session tables
 #EncryptKey = SecretSessionKey
 # Log client IP in session table

Poprawki dla log.conf

Jeżeli nie zostanie poprawione w konfiguracji w/w plików, to należy utworzyć link symboliczny dla log.conf:

ln -s /usr/local/etc/openxpki/webui/log.conf /usr/local/etc/openxpki/log.conf

Instalacja plików witryny

Pliki witryny dzielą się na dwie składowe: pliki statyczne oraz skrypty CGI. Całość należy zainstalować na partycji posiadającej uprawnienia exec (szczególnie przy partycje zfs).

Utworzenie dedykowanej partycji

zfs create -o exec=on tank/www/htdocs/virtuals/openxpki
zfs set exec=on tank/www/htdocs/virtuals/openxpki
mkdir -p /var/www/htdocs/virtuals/openxpki/data/ /var/www/htdocs/virtuals/openxpki/cgi-bin/

Przekopiowanie plików

cp -pr /usr/local/share/examples/openxpki/cgi-bin /var/www/htdocs/virtuals/openxpki/
cp -pr /usr/local/share/examples/openxpki/htdocs/* /var/www/htdocs/virtuals/openxpki/data/

# ustawienie atrybutu exec dla plików (PERLowych)
chmod +x /var/www/htdocs/virtuals/openxpki/cgi-bin/*

shebangfix

W plikach fcgi należy poprawić ścieżkę do interpretera (perl-a), tak aby skrypty mogły być wykonane bezpośrendio z powłoki

find /var/www/htdocs/virtuals/openxpki/cgi-bin/ -type f -exec sed -i '' -e '1s|^\#![[:space:]]*/usr/bin/perl\([[:space:]]\)|\#!/usr/local/bin/perl\1|' {} \;

Uruchomienie usług

Za wszystkie operacje związane z certyfikatami oraz zapisem do bazy danych odpowiedzialny jest openxpkid. Dlatego musi być uruchomiony przez korzystaniem z WebUI. W tym celu należy ustawić zmienną dla skryptów startowych rc:

openxpki_enable="YES"

a następnie uruchomić dmeona

service openxpki start

Modyfikacja dostępu do socketu

Generalnie trzeba poprawić skrypty startowe, ale na wszelki wypadek można ustawić ręcznie:

chmod 0777 /var/openxpki/openxpki.socket

Wygenerowanie CA

Można wykorzystać skrypt /usr/local/share/examples/openxpki/config/sampleconfig.sh w celu wygenerowania CA oraz ustawień przy generowaniu certyfikatów. Jednakże plik należy skopiować gdzieś i odpowiednio go zmodyfikować.

TBA

Konfiguracja nginx

Konfiguracja nginx-a jest wykonana jako "lokacja" dowolnego serwera witualnego¹².

    location /.well-known/est {
        alias /var/www/htdocs/virtuals/openxpki/cgi-bin/est.fcgi;
        gzip off;
        fastcgi_pass  unix:/var/run/fcgiwrap/fcgiwrap.sock;
        fastcgi_index est.fcgi;
        fastcgi_param SCRIPT_FILENAME  $request_filename;
        include fastcgi_params;
        fastcgi_param REMOTE_USER $remote_user;
        fastcgi_intercept_errors off;
        fastcgi_read_timeout 180;
    }
    location /openxpki/ {
        alias /var/www/htdocs/virtuals/openxpki/data/;
        index index.html;
    }

    location ~ ^/(scep|soap|rpc)/$ {
        alias /var/www/htdocs/virtuals/openxpki/cgi-bin/$1.fcgi;
        gzip off;
        fastcgi_pass  unix:/var/run/fcgiwrap/fcgiwrap.sock;
        fastcgi_index $1.fcgi;
        fastcgi_param SCRIPT_FILENAME  $request_filename;
        include fastcgi_params;
        fastcgi_param REMOTE_USER $remote_user;
        fastcgi_intercept_errors off;
        fastcgi_read_timeout 180;
    }

    location ~ ^/cgi-bin/(?<oxp>.*)\.fcgi$ {
        alias /var/www/htdocs/virtuals/openxpki/cgi-bin/$oxp.fcgi;
        gzip off;
        fastcgi_pass  unix:/var/run/fcgiwrap/fcgiwrap.sock;
        fastcgi_index webui.fcgi;
        fastcgi_param SCRIPT_FILENAME  $request_filename;
        include fastcgi_params;
        fastcgi_param REMOTE_USER $remote_user;
        fastcgi_intercept_errors off;
        fastcgi_read_timeout 180;
    }

Źródła w sieci internet

1. openXpki

2. openXpki: szybki start

3. SOAP w openXpki

4. EST

5. Simple Certificate Enrollment Protocol

Odnośniki do dokumentacji

1. poudriere

2. konfiguracja mySQL

3. konfiguracja PostgreSQL

4. page4

 (c) 2004 - 2026 BSD Serwis Krzysztof Stryjek. W przypadku błędów, poprawek proszę kontaktować się z administratorem wiki.