Liityntäpalvelimen asentaminen

Transkriptio

1 CSC Liityntäpalvelimen asentaminen Liityntäpalvelimen versio Pmuhonen 8/27/2015

2 Date Version Description Initial version Korjauksia Korjauksia kirjoitusvirheisiin FIDEV > FI-DEV Lisätty kappale: Yleistä muutettu polut ja versio versioon Muutettu apt-polut käyttämään currentlinkkiä Sisällys 1. Yleistä Ennen ohjelmistojen asennusta Palvelimen asennuksessa käytetyt tiedot Ohjelmistojen asennus Palvelimen liittäminen palveluväylään Palvelimen perusasetusten muokkaaminen Avainten allekirjoituspyyntöjen luominen Allekirjoitettujen sertifikaattien importointi... 22

3 Liityntäpalvelimen asentaminen 1. Yleistä Lisätietoa kehitysjärjestelmästä FI-DEV - käytetyn X-road instanssin nimi: FI-DEV - Member code: tarkennuksia käytettävä Y-tunnuksen kirjaamistapa: ilmoitettu Y-tunnus kirjataan Member codeksi ilman FI-etuliitettä, eli muodossa yksityishenkilöiden kohdalla käytämme Y-tunnuksen sijaan Member codena juoksevaa numerointia , jne. yksityishenkilön liittyessä liityntäilmoituksen Y-tunnuksen voi jättää tyhjäksi, palveluväylän ylläpito ilmoittaa käytetyn Member coden yksityishenkilön Member name on merkkijono, jossa etunimi ja sukunimi on kirjoitettu yhteen, esim. MattiMeikäläinen - liittyvien jäsenten luokittelu, Member Classes GOV: valtionhallinnon laitokset COM: kaupalliset toimijat PRI: yksityishenkilöt - liityntäpalvelimen DNS-hostnimessä (käytä aina pieniä kirjaimia) täytyy olla mukana organisaation nimi tai virallinen lyhenne, esim. CSC:n ollessa kyseessä csclp01.csc.fi liityntäpalvelimen Server code on siis tässä tapauksessa: csclp01 - ilmoitettujen yhteyshenkilöiden rooli järjestelmään tehtävät muutospyynnöt, esim. alijärjestelmien lisääminen, palomuurien porttiavaukset ym. on tehtävä liittymispyynnössä ilmoitettujen yhteyshenkilöiden välityksellä. Mikäli muutosten hallinta halutaan siirtää kolmannelle osapuolelle tai jo siirrettyyn muutosten hallintaan halutaan tehdä muutoksia, on vastaavan yhteyshenkilön ilmoitettava muutoksesta palveluväylän ylläpidolle osoitteeseen palveluvayla@palveluvayla.fi 2. Ennen ohjelmistojen asennusta Ennen asennusta seuraavien tietojen olisi hyvä olla saatavilla, suluissa olevat ovat tässä asennuksessa käytettyjä arvoja - X-road instanssi: (FI-DEV) - Palvelimen omistajan on oltava liitetty jäseneksi em. X-road instanssiin seuraavin tiedoin Palvelimen omistajan Member class: (GOV)

4 Palvelimen omistajan Member name (VRK) Palvelimen omistajan (Y-tunnus) Member code: ( ) - Palvelimen nimi: (pv6tvrklp01) Käytä liityntäpalvelimen nimen host-osassa omistavan organisaation nimeä tai lyhennettä, esim. vrklp01.csc.fi tai csclp01.csc.fi - Palvelimen FQDN: (pv6tvrklp01.csc.fi) - Server code: (pv6tvrklp01) - Server PIN: (8 merkkiä (suositus) pitkä numerosarja) - Palvelimen Sign-sertifikaatissa käytettävä distinguished name - (C=FI-DEV, O=GOV, CN= ) CN on organisaation Y-tunnus - Auth-sertifikaatin distinguished name: - (C=FI-DEV, CN= pv6tvrklp01) CN on asennettavan palvelimen nimi, =server code - Mikäli käytössä on NAT - Palvelimen yksityinen IP: ( ) IP:n on oltava muuttumaton mikäli käytetään DHCP:tä, on palvelimen saatava aina sama yksityinen IP-osoite - Palvelimen julkinen IP: ( ) Osoitteen on oltava muuttumaton - Mikäli käytössä on vain julkisia IP-osoitteita - Palvelimen julkinen IP: ( ) Osoitteen on oltava muuttumaton HUOM! Järjestelmä on Case-sensitive, käytä palvelimen nimissä aina pieniä kirjaimia! 3. Palvelimen asennuksessa käytetyt tiedot Palvelinkäyttöjärjestelmän tiedot - Palvelinkäyttöjärjestelmä: Ubuntu LTS 64-bit, palvelinversio X-road-instanssin tiedot - X-road instanssi: FI-DEV - Palvelimen omistajan Member class: GOV Organisaatio- ja palvelinkohtaista käytettyä vaihtuvaa tietoa - Palvelimen omistajan Member name: VRK - Palvelimen omistajan (Y-tunnus) Member code: Palvelimen nimi: pv6tvrklp01 Käytä liityntäpalvelimen nimen host-osassa omistavan organisaation nimeä tai lyhennettä, esim. vrklp01.csc.fi tai csclp01.csc.fi - Palvelimen FQDN: pv6tvrklp01.csc.fi

5 - Server code: pv6tvrklp01 - Server PIN: xxxxxxxx - Palvelimen Sign-sertifikaatissa käytettävä distinguished name - C=FI-DEV, O=GOV, CN= CN on organisaation Y-tunnus O -parametrin arvo vaihtelee seuraavasti o julkishallinnolla: GOV o kaupallisilla toimijoilla: COM - Auth-sertifikaatin distinguished name: - C=FI-DEV, CN=pv6tvrklp01 CN on asennettavan palvelimen nimi, (=server code) - asennusympäristössä käytetään yksityisiä IP-osoitteita sekä osoitteenmuutosta (NAT) - Palvelimen yksityinen IP: osoitteen on oltava muuttumaton mikäli käytetään DHCP:tä, on palvelimen saatava aina sama osoite - Palvelimen julkinen IP: Palvelimen privaatti-ip on syytä laittaa /etc/hosts -tiedostoon, alla tämän palvelimen hoststiedoston 2 ensimmäistä riviä localhost pv6tvrklp01 pv6tvrklp01.csc.fi - Mikäli palvelin keskustelee organisaation tietojärjestelmiin yksityisillä IP-osoitteilla, em. osoitteet myös on syytä luetella /etc/hosts tiedostossa Muuta asennukseen liittyvää Helpoin tapa tehdä asennus ainakin yksittäiselle koneelle - on kopioida tämän dokumentin komennot asennettavaan palvelimeen suoraan palvelimelle avatussa ssh-ikkunassa. Toki komennot voi myös kirjoittaa, mutta kirjoitusvireen mahdollisuus kasvaa huomattavasti. Palveluväylän ylläpito suosittelee lämpimästi - komentojen kopioimista. Otathan kuitenkin huomioon, että jotkin asetukset ovat palvelinkohtaisia, kaikkea ei voi kopioida ilman muutoksia Ubuntun näppäimistöasetusten muuttaminen tarvittaessa: sudo apt-get install console-common sudo dpkg-reconfigure console-data OpenStack ympäristössä tarvittava static hostname -asetus: sudo nano /etc/cloud/cloud.cfg 4. Ohjelmistojen asennus preserve hostname: true

6 Käyttöjärjestelmän asennuksen jälkeen päivitä järjestelmä sudo apt-get update sudo apt-get upgrade Lisää /etc/hosts tiedostoon palvelimen privaatti-ip ja nimet sudo nano /etc/hosts pv6tvrklp01 pv6tvrklp01.csc.fi Lisää ympäristömuuttuja tiedostoon /etc/environment sudo nano /etc/environment LC_ALL=en_US.UTF-8 Lisää xroad-hallintakäyttäjä (valitse palvelimen X-road pääkäyttäjän nimi) sudo adduser grandmaster - (komento pyytää salasanaa, jota ei saisi unohtaa ja jota ei myöskään saisi tallentaa postit-lapulle näytön kulmaan :) Lisää Xroad-asennuksen tarvitsemat ohjelmistorepot tiedostoon /etc/apt/sources.list.d/xroad.list : sudo nano /etc/apt/sources.list.d/xroad.list deb trusty main deb trusty main deb trusty main Lisää X-Road repon allakirjoitusavaimet trusted keys listaan (kukin komento annetaan omana rivinään) curl sudo apt-key add - sudo apt-key adv --keyserver keyserver.ubuntu.com --recv-keys 00A6F0A3C300EE8C sudo apt-key adv --keyserver keyserver.ubuntu.com --recv-keys EB9B1D8886F44E2A Alla kuvakaappaus onnistuneista avainten asennuksista

7 Asenna X-road- ohjelmistot sudo apt-get update sudo apt-get install xroad-proxy Asennus jatkuu tekstimuotoisena, seuraavina kuvakaappaukset asennuksen kulusta Anna pääkäyttäjän tunnus Kirjoita palvelimen FQDN

8 Lisää domain-nimi

9 Täydennä FQDN Täydennä FQDN

10 X-road-ohjelmistojne asennuksen lopputilanne ssh-ikkunassa Tämän jälkeen siirrytään www-pohjaiseen konfiguraatio-osuuteen

11 5. Palvelimen liittäminen palveluväylään Palvelimen hallintaurl on tässä asennuksessa Käytämme tässä palvelimen suoraa IP-osoitetta, koska palvelin ei ole listattuna julkisessa nimipalvelussa, hallintaurl onsiis Huom! Palvelimen www-käyttöliittymä käynnistyy asennuksen/bootin jälkeen kohtuullisen hitaasti, joten muutaman minuutin viive on normaalia 5.1 Palvelimen perusasetusten muokkaaminen Ota selaimella yhteyttä hallintaurliin, tässä tapuksessa siis Hyväksy palvelimen sertifikaatti, jos teet tämän kirjautumisen heti palvelimen asennuksen jälkeen, käynnistysviive voi olla joskus pitkäkin Antamalla linkin voi tarkastaa, että nginx on hengissä ja se vain odottelee taustapalveluiden (jetty) käynnistymistä. Mikäli näin käy, odottele vielä tovi

12 Palveluiden käynnistyttyä kirjaudu sisään antamillasi tunnuksella ja salasanalla Importoi Palveluväyläylläpidolta saamasi ns. konfiguraatioankkuri hakemalla se käyttöliittymään ja painamalla Import

13 Hyväksy ankkurin tuominen järjestelmään, klikkaa Confirm Täytä tiedot alla olevan mukaisesti ja paina Submit: - Member code: oman organisaatiosi Y-tunnus - Member Name: oman organisaatiosi nimi (järjestelmän pitäisi täydentää se automaattisesti) - Security Server code: palvelimen nimi - PIN: käyttäjän palvelimen päättämä koodi, 8 numeroa. PIN koodi täytyy säilyttää turvallisessa paikassa

14 Jos asiat menivät kuin piti, voit painaa OK Onnistuneen setupin jälkeinen käyttöliittymänäkymä

15 Valitse System Parameters, klikkaa Timestamping Services, klikkaa ADD Valitse ehdotettu (tässä vielä Viron TSA) ja klikkaa OK

16 Tilanne onnistuneen TSA-asetusmuutoksen jälkeen 5.2. Avainten allekirjoituspyyntöjen luominen Valitse Keys and Certificates, valitse ENTER PIN

17 Kirjoita antamasi palvelimen PIN ja valitse OK Valitse GENERATE KEY

18 Jos Key-rivi ei ole aktiivinen, valitse se aktiiviseksi ja jatka valitsemalla GENARATE CERTIFICATE REQUEST Täytä tiedot seuraavasti - Usage: Sign (alasvetovalikko) - Client: tässä tapauksessa oletusarvo on oikein - Distinguished Name: C=FI-DEV,O=GOV,CN= (tähän tulee organisaatiosi Y-tunnus) O -parametrin arvo vaihtelee seuraavasti - Valitse OK julkishallinnolla: GOV kaupallisilla toimijoilla: COM

19 Tallenna sertifikaattipyyntö, se lähetetään palveluväylän CA:n ylläpidolle allekirjoittamista varten Valitse Token: softtoken-0, jatka valitsemalla GENERATE KEY

20 Valitse luomasi?-merkkiin päättyä avainrivi ja jatka valitsemalla GENARATE CERTIFICATE REQUEST Täytä tiedot seuraavasti: - Usage: Auth - Distinguished Name: C=FI-DEV, CN= pv6tvrklp01 (tähän tulee palvelimesi nimi)

21 Tallenna sertifikaattipyyntö, se lähetetään palveluväylän CA:n ylläpidolle allekirjoittamista varten Lähetä sertifikaattipyynnöt Palveluväylän ylläpidolle, joka allekirjoituttaa ne CA:lla ja palauttaa allekirjoitetut avaimet (pem-tiedostot) importoitaviksi.

22 5.3. Allekirjoitettujen sertifikaattien importointi Allekirjoitetut sertifikaatit importoidaan palvelimelle seuraavasti. Valitse Keys and Certificates, valitse Request auth-päätteisen Key:n alta, jatka valitsemalla IMPORT CERTIFICATE Hae.pem-tiedosto, joka on nimetty palvelimen nimen mukaisesti, valitse OK

23 Klikkaa auth-keyn alla oleva sertifikaatti aktiiviseksi, valitse ACTIVATE Valitse sign request ja klikkaa IMPORT CERTIFICATE

24 Hae.pem-tiedosto, joka on nimetty organisaation Y-tunnuksen nimen mukaisesti, valitse OK Valitse auth-keyn alla oleva sertifikaatti ja klikkaa REGISTER

25 Anna palvelimen julkinen IP-osoite tai FQDN-nimi, klikkaa OK Tässä vaiheessa näkymän pitäisi näyttää alla olevan kaltaiselta

26 Kun Palveluväylän ylläpito on rekisteröinyt palvelimesi, muuttuu näkymä seuraavaksi: Nyt palvelin on valmis ja sovellusten liittäminen palvelimeen voi alkaa