Liityntäpalvelimen asentaminen kehitysympäristöön liityttäessä (Ubuntu) esuomi.fi esuomi.fi/palveluntarjoajille/palveluvayla/ymparistot/kehitysymparisto/liityntapalvelimen-asentaminen-kehitysymparistoon-liityttaessa Suomi.fi-palveluväylä Liityntäpalvelimen asentaminen kehitysympäristöön liityttäessä (Ubuntu) Sisältö [näytä] 1. Johdanto 1.1 Liityntäpalvelimen asentaminen 1.2 Käsitteet 1.3 Yleistä 2. Ennen ohjelmistojen asennusta 3. Palvelimen asennuksessa käytetyt tiedot 4. Ohjelmistojen asennus 5. Palvelimen liittäminen Palveluun 5.1 Palvelimen perusasetusten muokkaaminen 5.2 Avainten allekirjoituspyyntöjen luominen 5.3 Allekirjoitettujen sertifikaattien tuonti 1. Johdanto 1.1 Liityntäpalvelimen asentaminen Tässä dokumentissa kuvataan liityntäpalvelimen asentaminen Suomi.fi-palveluväylään kehitysympäristöön liityttäessä. Liityntäpalvelimen versio 6.4-0-201505291153. 1.2 Käsitteet Asiakas on Palveluun liittyvä organisaatio Liityntäpalvelin (en = Security Server) on X-Road-ratkaisun keskeinen komponentti, jonka kautta tietolähteiden ja tietojärjestelmien liittäminen palveluväylään tapahtuu. Palvelu on Suomi.fi-palveluväylän kehitysympäristö TSA (Time Stamping Authority) eli Aikaleimapalvelu on X-Road-ratkaisusta erillinen luotetun tahon ylläpitämä komponentti, joka tarjoaa varmennetun aikaleimapalvelun palveluväylän kautta lähetettyjen sanomien aikaleimaamiseen. X-Road on Virossa kehitetty ja käytössä oleva ohjelmisto, joka toimii osana kansallisen palveluväylän teknistä ydintä. 1.3 Yleistä Lisätietoa kehitysjärjestelmästä FI-DEV 1/23
Käytetyn X-Road ympäristön (instance) nimi: FI-DEV Member code: tarkennuksia Käytettävä Y-tunnuksen kirjaamistapa: ilmoitettu Y-tunnus kirjataan Member codeksi ilman FI-etuliitettä, eli muodossa 0920632-0 Yksityishenkilöiden kohdalla käytetään Y-tunnuksen sijaan Member codena juoksevaa numerointia 0000001-0, 0000002-0 jne. Yksityishenkilön liittyessä liityntäilmoituksen Y-tunnuksen voi jättää tyhjäksi, palveluväylän ylläpito ilmoittaa käytetyn Member coden Yksityishenkilön Member name on merkkijono, jossa etunimi ja sukunimi on kirjoitettu yhteen, esim. MattiMeikäläinen Liittyvien jäsenten luokittelu, Member Classes GOV: valtionhallinnon laitokset COM: kaupalliset toimijat PRI: yksityishenkilöt Liityntäpalvelimen DNS-host-nimessä (käytä aina pieniä kirjaimia) täytyy olla mukana organisaation nimi tai virallinen lyhenne, esim. CSC:n ollessa kyseessä csclp01.csc.fi liityntäpalvelimen Server code on siis tässä tapauksessa: csclp01 Ilmoitettujen yhteyshenkilöiden rooli Järjestelmään tehtävät muutospyynnöt, esim. alijärjestelmien lisääminen, palomuurien porttiavaukset ym. on tehtävä liittymispyynnössä ilmoitettujen yhteyshenkilöiden välityksellä. Mikäli muutosten hallinta halutaan siirtää kolmannelle osapuolelle tai jo siirrettyyn muutosten hallintaan halutaan tehdä muutoksia, on vastaavan yhteyshenkilön ilmoitettava muutoksesta Palvelun ylläpidolle osoitteeseen palveluvayla@palveluvayla.fi 2. Ennen ohjelmistojen asennusta Ennen asennusta seuraavien tietojen olisi hyvä olla saatavilla, suluissa olevat ovat tässä asennuksessa käytettyjä arvoja X-Road ympäristö (instance): (FI-DEV) Palvelimen omistajan on oltava liitetty jäseneksi em. X-Road-ympäristöön (instance) seuraavin tiedoin Palvelimen omistajan Member class: (GOV) Palvelimen omistajan Member name (VRK) Palvelimen omistajan (Y-tunnus) Member code: (0245437-2) Palvelimen nimi: (pv6tvrklp01) Käytä liityntäpalvelimen nimen host-osassa omistavan organisaation nimeä tai lyhennettä, esim. vrklp01.csc.fi tai csclp01.csc.fi 2/23
Palvelimen FQDN: (pv6tvrklp01.csc.fi) Server code: (pv6tvrklp01) Server PIN: (8 merkkiä (suositus) pitkä numerosarja) Palvelimen Sign-sertifikaatissa käytettävä Distinguished name (C=FI-DEV, O=GOV, CN=0245437-2), CN on organisaation Y-tunnus Auth-sertifikaatin distinguished name: (C=FI-DEV, CN= pv6tvrklp01), CN on asennettavan palvelimen nimi = server code Mikäli käytössä on NAT Palvelimen yksityinen IP: (10.10.20.29) IP:n on oltava muuttumaton Mikäli käytetään DHCP:tä, on palvelimen saatava aina sama yksityinen IP-osoite Palvelimen julkinen IP: (193.166.24.159) Osoitteen on oltava muuttumaton Mikäli käytössä on vain julkisia IP-osoitteita Palvelimen julkinen IP: (193.166.24.159) Osoitteen on oltava muuttumaton HUOM! Järjestelmä on merkkikokoriippuvainen (case-sensitive), käytä palvelimen nimissä aina pieniä kirjaimia! 3. Palvelimen asennuksessa käytetyt tiedot Palvelinkäyttöjärjestelmän tiedot Palvelinkäyttöjärjestelmä: Ubuntu 14.04 LTS 64-bit, palvelinversio X-Road-ympäristön (instance) tiedot X-Road-ympäristö (instance): FI-DEV Palvelimen omistajan Member class: GOV Organisaatio- ja palvelinkohtaista käytettyä vaihtuvaa tietoa Palvelimen omistajan Member name: VRK Palvelimen omistajan (Y-tunnus) Member code: 0245437-2 Palvelimen nimi: pv6tvrklp01 3/23
Käytä liityntäpalvelimen nimen host-osassa omistavan organisaation nimeä tai lyhennettä, esim. vrklp01.csc.fi tai csclp01.csc.fi Palvelimen FQDN: pv6tvrklp01.csc.fi Server code: pv6tvrklp01 Server PIN: xxxxxxxx Palvelimen Sign-sertifikaatissa käytettävä distinguished name (C=FI-DEV, O=GOV, CN=0245437-2), CN on organisaation Y-tunnus, O -parametrin arvo vaihtelee seuraavasti: julkishallinnolla: GOV kaupallisilla toimijoilla: COM Auth-sertifikaatin distinguished name: (C=FI-DEV, CN=pv6tvrklp01), CN on asennettavan palvelimen nimi, (=server code) Asennusympäristössä käytetään yksityisiä IP-osoitteita sekä osoitteenmuutosta (NAT) Palvelimen yksityinen IP: 10.10.20.29 osoitteen on oltava muuttumaton mikäli käytetään DHCP:tä, on palvelimen saatava aina sama osoite Palvelimen julkinen IP: 193.166.24.159 Palvelimen yksityinen IP on syytä laittaa /etc/hosts -tiedostoon, alla tämän palvelimen hosts-tiedoston kaksi ensimmäistä riviä 127.0.0.1 localhost 10.10.20.29 pv6tvrklp01 pv6tvrklp01.csc.fi Mikäli palvelin keskustelee organisaation tietojärjestelmiin yksityisillä IP-osoitteilla, edellä mainitut osoitteet myös on syytä luetella /etc/hosts -tiedostossa Muuta asennukseen liittyvää Helpoin tapa tehdä asennus ainakin yksittäiselle koneelle on kopioida tämän dokumentin komennot asennettavaan palvelimeen suoraan palvelimelle avatussa ssh-ikkunassa. Toki komennot voi myös kirjoittaa, mutta kirjoitusvirheen mahdollisuus kasvaa huomattavasti. Palvelun ylläpito suosittelee lämpimästi komentojen kopioimista. Otathan kuitenkin huomioon, että jotkin asetukset ovat palvelinkohtaisia; kaikkea ei voi kopioida ilman muutoksia. Ubuntun näppäimistöasetusten muuttaminen tarvittaessa: sudo apt-get install console-common sudo dpkg-reconfigure console-data OpenStack ympäristössä tarvittava static hostname -asetus: 4/23
sudo nano /etc/cloud/cloud.cfg preserve hostname: true 4. Ohjelmistojen asennus Käyttöjärjestelmän asennuksen jälkeen päivitä järjestelmä. sudo apt-get update sudo apt-get upgrade Lisää /etc/hosts tiedostoon palvelimen privaatti-ip ja nimet sudo nano /etc/hosts 10.10.20.29 pv6tvrklp01 pv6tvrklp01.csc.fi Lisää ympäristömuuttuja tiedostoon /etc/environment sudo nano /etc/environment LC_ALL=en_US.UTF-8 Lisää X-Road-hallintakäyttäjä (valitse palvelimen X-Road pääkäyttäjän nimi) sudo adduser grandmaster (komento pyytää salasanaa, jota ei saisi unohtaa ja jota ei myöskään saisi tallentaa post-it-lapulle näytön kulmaan) Lisää X-Road-asennuksien tarvitsemat ohjelmistopakettien säilytyspaikat (ohjelmistorepot) tiedostoon /etc/apt/sources.list.d/xroad.list: sudo nano /etc/apt/sources.list.d/xroad.list deb http://www.nic.funet.fi/pub/csc/x-road/client/ubuntu-current/packages trusty main deb http://ppa.launchpad.net/nginx/stable/ubuntu trusty main deb http://ppa.launchpad.net/openjdk-r/ppa/ubuntu trusty main Lisää X-Road repon allakirjoitusavaimet trusted keys-listaan (kukin komento annetaan omana rivinään) curl http://www.nic.funet.fi/pub/csc/x-road/client/ubuntu-current/packages/xroad_repo.gpg sudo apt-key add sudo apt-key adv --keyserver keyserver.ubuntu.com --recv-keys 00A6F0A3C300EE8C sudo apt-key adv --keyserver keyserver.ubuntu.com --recv-keys EB9B1D8886F44E2A Alla kuvakaappaus onnistuneista avainten asennuksista 5/23
Asenna X-Road- ohjelmistot sudo apt-get update sudo apt-get install xroad-proxy Asennus jatkuu tekstimuotoisena, seuraavina kuvakaappaukset asennuksen kulusta: Anna pääkäyttäjän tunnus Kirjoita palvelimen FQDN 6/23
Lisää domain-nimi Täydennä FQDN 7/23
Täydennä FQDN X-Road-ohjelmistojen asennuksen lopputilanne ssh-ikkunassa 8/23
Tarkista onko /tmp hakemisto mahdollisesti mountattu noexec -vivulla. HUOM! Tämä tarkistus koskee liityntäpalvelin versioita 6.7.12 ja sitä vanhemmat. Uudemmissa liityntäpalvelinten versioissa tätä ei tarvitse tarkistaa. Jos /tmp hakemisto on mountattu noexec -vivulla niin tällöin admin UI ei käynnisty koska /tmp hakemistoa käytetään sen toiminnoissa. Tarkistus tehdään mount komennon avulla: mount Tarkista saatavasta tulosteesta esiintyykö siinä tunnisteet /tmp ja noexec : /dev/loop0 on /tmp type ext3 (rw,noexec,nosuid,nodev) Jos esiintyy, kuten esimerkkitulosteessa yllä, niin tällöin vaaditaan X-Road konfiguraatiotiedoston muokkausta. Konfiguroi seuraavat muutokset: 1. Avaa tiedosto: /etc/xroad/services/local.conf 2. Lisää sinne seuraava rivi: (oletuksena ko. tiedoston pitäisi olla tyhjä) XROAD_PARAMS= -Djna.tmpdir=/var/lib/xroad $XROAD_PARAMS 3. Tallenna tiedosto 4. Pysäytä ja käynnistä xroad-jetty palvelu uudestaan service xroad-jetty stop service xroad-jetty start 9/23
Tämän jälkeen siirrytään www-pohjaiseen konfiguraatio-osuuteen. 5. Palvelimen liittäminen Palveluun Palvelimen hallinta-url on tässä asennuksessa https://pv6tvrklp01.csc.fi:4000. Käytämme tässä palvelimen suoraa IP-osoitetta, koska palvelin ei ole listattuna julkisessa nimipalvelussa, hallintaurl on siis https://193.166.24.159:4000 Huom! Palvelimen www-käyttöliittymä käynnistyy asennuksen / uudelleenkäynnistyksen jälkeen kohtuullisen hitaasti, joten muutaman minuutin viive on normaalia. 5.1 Palvelimen perusasetusten muokkaaminen Ota selaimella yhteyttä hallinta-urliin, tässä tapauksessa siis https://193.166.24.159:4000 Hyväksy palvelimen sertifikaatti. Jos teet tämän kirjautumisen heti palvelimen asennuksen jälkeen, käynnistysviive voi olla joskus pitkäkin. Antamalla linkin http://193.166.24.159:4000, voi tarkastaa, että nginx on hengissä ja se vain odottelee taustapalveluiden (jetty) käynnistymistä. Mikäli näin tapahtuu, odota vielä hetki. 10/23
Palveluiden käynnistyttyä kirjaudu sisään antamillasi tunnuksella ja salasanalla. Tuo (import) Palvelun ylläpidolta saamasi ns. konfiguraatioankkuri hakemalla se käyttöliittymään ja painamalla Import. 11/23
Hyväksy ankkurin tuominen järjestelmään, klikkaa Confirm. Täytä tiedot alla olevan mukaisesti ja paina SUBMIT : Member code: oman organisaatiosi Y-tunnus Member Name: oman organisaatiosi nimi (järjestelmän pitäisi täydentää se automaattisesti) Security Server code: palvelimen nimi PIN: käyttäjän palvelimen päättämä koodi, 8 numeroa. PIN-koodi tulee säilyttää turvallisessa paikassa 12/23
Jos asiat menivät kuten piti, voit painaa OK. Onnistuneen asennuksen jälkeinen käyttöliittymänäkymä näyttää seuraavalta: 13/23
Valitse System Parameters, klikkaa Timestamping Services, klikkaa ADD Valitse ehdotettu (tässä vielä Viron TSA) ja klikkaa OK Tilanne onnistuneen TSA-asetusmuutoksen jälkeen: 14/23
5.2 Avainten allekirjoituspyyntöjen luominen Valitse Keys and Certificates, valitse ENTER PIN Kirjoita antamasi palvelimen PIN ja valitse OK 15/23
Valitse GENERATE KEY Jos Key-rivi ei ole aktiivinen, valitse se aktiiviseksi ja jatka valitsemalla GENARATE CERTIFICATE REQUEST. 16/23
Täytä tiedot seuraavasti Usage: Sign (alasvetovalikko) Client: tässä tapauksessa oletusarvo on oikein Distinguished Name: C=FI-DEV,O=GOV,CN=0245437-2 (tähän tulee organisaatiosi Y-tunnus) O -parametrin arvo vaihtelee seuraavasti julkishallinnolla: GOV kaupallisilla toimijoilla: COM Valitse OK Tallenna sertifikaattipyyntö, se lähetetään Palvelun CA:n ylläpidolle allekirjoittamista varten. Valitse Token: softtoken-0, jatka valitsemalla GENERATE KEY 17/23
Valitse luomasi?-merkkiin päättyä avainrivi ja jatka valitsemalla GENARATE CERTIFICATE REQUEST Täytä tiedot seuraavasti: Usage: Auth Distinguished Name: C=FI-DEV, CN= pv6tvrklp01 (tähän tulee palvelimesi nimi) 18/23
Tallenna sertifikaattipyyntö, se lähetetään Palvelun CA:n ylläpidolle allekirjoittamista varten. Lähetä sertifikaattipyynnöt Palvelun ylläpidolle, joka allekirjoituttaa ne CA:lla ja palauttaa allekirjoitetut avaimet (pemtiedostot) tuotaviksi (import). 5.3 Allekirjoitettujen sertifikaattien tuonti Allekirjoitetut sertifikaatit tuodaan palvelimelle seuraavasti: Valitse Keys and Certificates, valitse Request auth-päätteisen Key:n alta, jatka valitsemalla IMPORT CERTIFICATE 19/23
Hae.pem-tiedosto, joka on nimetty palvelimen nimen mukaisesti, valitse OK. Klikkaa auth-keyn alla oleva sertifikaatti aktiiviseksi, valitse ACTIVATE. 20/23
Valitse sign request ja klikkaa IMPORT CERTIFICATE. Hae.pem-tiedosto, joka on nimetty organisaation Y-tunnuksen nimen mukaisesti, valitse OK. Valitse auth-keyn alla oleva sertifikaatti ja klikkaa REGISTER. 21/23
Anna palvelimen julkinen IP-osoite tai FQDN-nimi, klikkaa OK. Tässä vaiheessa näkymän pitäisi näyttää alla olevan kaltaiselta: 22/23
Kun Palvelun ylläpito on rekisteröinyt palvelimesi, muuttuu näkymä seuraavaksi: Nyt palvelin on valmis ja sovellusten liittäminen palvelimeen voi alkaa. Versio Mitä tehty / muutettu Pvm/ henkilö 01-0.6 Dokumentin luominen 27.08.15 / PM 1.0 Dokumentin muokkaaminen julkaistavaksi 11.09.15 / AU, NP 1.1 Dokumenttia päivitetty 08.06.16 / HH Yksilöintitunnus: JPVT21 23/23