Liityntäpalvelimen liittäminen FI ympäristöön

Transkriptio

1 CSC Liityntäpalvelimen liittäminen FI ympäristöön Liityntäpalvelimen versio Pmuhonen 2/17/2016

2 Date Version Description Initial version Korjauksia Sertifikaattiohje uusittu PIN-koodin vaatimukset lisätty Tehty tuotantoon liittyvät muutokset Sisällys 1. Palvelimen liittäminen palveluväylään Palvelimen perusasetusten määrittely Avainten allekirjoituspyyntöjen luominen Allekirjoitettujen sertifikaattien importointi... 15

3 1. Palvelimen liittäminen palveluväylään Palveluväyläohjelmistojen asennuksen jälkeen liityntäpalvelin on vielä liitettävä palveluväyläinstanssin jäseneksi, testiympäristössä instanssi on FI. Tämä ohje käy läpi liittämisen eri vaiheet. 1.1 Palvelimen perusasetusten määrittely Ota selaimella yhteyttä hallintakäyttöliittymään, joka tässä tapauksessa on siis Hyväksy palvelimen sertifikaatti Antamalla linkin voit tarkastaa, että nginx toimii ja se vain odottelee taustapalveluiden (jetty) käynnistymistä. Mikäli näin käy, odottele vielä tovi

4 Palveluiden käynnistyttyä kirjaudu sisään antamillasi tunnuksella ja salasanalla Importoi Palveluväyläylläpidolta saamasi ns. konfiguraatioankkuri hakemalla se käyttöliittymään ja valitsemalla Import

5 Hyväksy ankkurin tuominen järjestelmään, valitse Confirm Täytä tiedot alla olevan mukaisesti ja valitse Submit: - Member Code: oman organisaatiosi Y-tunnus - Member Name: oman organisaatiosi nimi (järjestelmän pitäisi täydentää se automaattisesti) - jos automaattinen täydennys ei toimi, tarkasta että palvelimesi pystyy ottamaan yhteyttä keskuspalvelimille portissa TCP/80, yleensä syynä virheeseen on se, että palvelimeltasi ei ole sallittu ulospäin tehtävää yhteydenottoa keskuspalvelimelle - Security Server Code: palvelimen host-nimi - PIN: käyttäjän päättämä koodi, jonka pituus on vähintään 10. PIN-koodissa pitää olla merkkejä vähintään kolmesta luokasta: pienet kirjaimet, isot kirjaimet, numerot, erikoismerkit. PIN koodi täytyy säilyttää turvallisessa paikassa

6 Lopputilanne, mikäli asiat sujuivat oletetusti, valitse OK Onnistuneen asennuksen jälkeinen käyttöliittymänäkymä Huom! Kuvat on kaapattu FI-sandbox instanssissa tapahtuneesta asennuksesta, FI instanssissa (tuotantojärjestelmä) instanssinimi on FI

7 Valitse System Parameters, valitse Timestamping Services, valitse ADD Valitse ehdotettu, valitse OK

8 Tilanne onnistuneen TSA-asetusmuutoksen jälkeen. Tässä asennusesimerkissä on käytetty kehitysjärjestelmän aikaleimapalvelua, FI-ympäristössä aikaleimapalvelun tuottaa VRK Avainten allekirjoituspyyntöjen luominen Valitse Keys and Certificates, valitse ENTER PIN

9 Kirjoita rekisteröinnin yhteydessä aikana antamasi palvelimen PIN ja valitse OK Valitse GENERATE KEY

10 Jos Key-rivi ei ole aktiivinen, valitse se aktiiviseksi ja jatka valitsemalla GENERATE CERTIFICATE REQUEST

11 Ensimmäisenä luodaan allekirjoitusvarmennepyyntö (Sign certfificate request) Allekirjoitusvarmennepyynnössä tarvittavat kentät C=<country> (aina = FI) O=<organization> (= organisaation nimi tai ilman ääkkösiä) CN=<memberCode> (= organisaation Y-tunnus) serialnumber=<instanceidentifier/servercode/memberclass/> Täytä tiedot seuraavasti - Usage: Sign (alasvetovalikko) - Client: oletusarvo on oikein - Distinguished Name (tässä tapauksessa): - Valitse OK C=FI, O=Vaestorekisterikeskus, CN= , serialnumber=fi/rhel7pvtest/gov/ Huom! Alla olevassa kuvassa Distinguished Name on muodostettu FI-sandbox ympäristössä, lisäksi se on muodostettu vanhan sertifikaattiformaatin mukaisesti. Näistäkin huolimatta täytä Distinguished Name kenttä ylläolevan esimerkin mukaisilla tiedoilla muuttaen niitä vastaamaan oman organisaatiosi tietoja.

12 Tallenna sertifikaattipyyntö, se lähetetään palveluväylän ylläpidon välityksellä osoitteella CA:lle allekirjoittamista varten Valitse Token: softtoken-0, jatka valitsemalla GENERATE KEY

13 Valitse luomasi?-merkkiin päättyä uusi avainrivi ja jatka valitsemalla GENERATE CERTIFICATE REQUEST

14 Seuraavaksi luodaan autentikointivarmennepyyntö (Auth certificate request) Autentikointivarmennepyynnössä tarvittavat kentät C=<country> (aina = FI) O=<organization> (= organisaation nimi ilman ääkkösiä) CN=<commonName> (= palvelimen FQDN) serialnumber=<instanceidentifier/servercode/memberclass/> Täytä tiedot seuraavasti - Usage: Auth - Distinguished Name (tässä tapauksessa): C=FI, O=Vaestorekisterikeskus, CN=rhel7pvtest.csc.fi, serialnumber=fi/rhel7pvtest/gov/ Huom! Alla olevassa kuvassa Distinguished Name on muodostettu FI-sandbox ympäristössä, lisäksi se on muodostettu vanhan sertifikaattiformaatin mukaisesti. Näistäkin huolimetta täytä Distinguished Name kenttä ylläolevan esimerkin mukaisilla tiedoilla muuttaen niitä vastaamaan oman organisaatiosi tietoja. Tallenna sertifikaattipyyntö, se lähetetään palveluväylän ylläpidon välityksellä osoitteella palveluvayla@palveluvayla.fi) CA:lle allekirjoittamista varten

15 Lähetä sertifikaattipyynnöt Palveluväylän ylläpidolle, joka allekirjoituttaa ne CA:lla ja palauttaa allekirjoitetut avaimet importointia varten Allekirjoitettujen sertifikaattien importointi Allekirjoitetut sertifikaatit importoidaan palvelimelle seuraavasti. Valitse Keys and Certificates, valitse Request auth-päätteisen Key:n alta, jatka valitsemalla IMPORT CERTIFICATE

16 Hae saamasi *auth*.pem -tiedosto (tiedoston nimi ei siis ole alla olevan kaltainen), valitse OK Tilanne importoinnin jälkeen Valitse sign request ja klikkaa IMPORT CERTIFICATE

17 Hae *sign*.pem-tiedosto (tiedoston nimi ei siis ole alla olevan kaltainen), valitse OK

18 Importoinnin jälkeinen tilanne Valitse auth-keyn alla oleva sertifikaatti ja valitse ACTIVATE

19 Valitse REGISTER Anna palvelimen FQDN-nimi, valitse OK

20 Tässä vaiheessa näkymän pitäisi näyttää alla olevan kaltaiselta Kun Palveluväylän ylläpito on rekisteröinyt palvelimesi, muuttuu näkymä seuraavaksi: Liityntäpalvelimen liittäminen palveluväylään on nyt suoritettu