Рекомендации по обеспечению информационной безопасности

Необходимо добавить в исключения используемые порты и протоколы.

Пример с использованием UFW

• Открыть порт https на сервере c nginx:

sudo ufw allow https

• Открыть порт 5432 для подключения к базе Postgres:

sudo ufw allow 5432/tcp

• Открыть порт 4616 для подключения к vitro-workflow:

sudo ufw allow 4616/tcp

• Открыть порт 4615 для подключения к vitro-server:

sudo ufw allow 4615/tcp

1. Использование входящих https-соединений для nginx:

в файл /etc/nginx/sites-available/default отредактировать или добавить следующие блоки:

server {
        listen 80 default_server;
        listen [::]:80 default_server;
         
        #permanent redirekt from http to https
        return 301 https://$host$request_uri;
}
server {
        # SSL configuration
        #
        listen 443 ssl default_server;
        listen [::]:443 ssl default_server;
  
        server_name vitro.example.ru;
        }  
}

Более подробно настройка сертификатов и nginx описана в статье по установке.

  2. Настройка защищенного соединения для подключения к базе данных:

• Указать алгоритмы шифрования, которые будут использоваться сервером баз данных, изменив параметр ssl_ciphers в postgresql.conf.
• Поместить сертификаты корневых центров сертификации (CA), которым вы доверяете, в файл в каталоге данных
• Установить параметр ssl_ca_file в postgresql.conf для нового имени файла и добавить опцию аутентификации clientcert=verify-ca или clientcert=verify-full в соответствующие hostssl строки в файле pg_hba.conf.

Более подробно настройка шифрованного соединения для подключения к базе данных описана в официальной документации.

На примере настройки для ОС Ubuntu:

1. Установить необходимые пакеты

   apt install heimdal-clients chrony

2. Задать имя серверу

   hostnamectl set-hostname vitroweb.domain.local

3. Настроить синхронизацию времени

   timedatectl set-timezone Europe/Moscow

4. Добавить в файл chrony.conf строку: 

   chrony.conf

   nano /etc/chrony.conf
   server dc1.domain.local iburst

5. Создание учетной записи в AD

   1. На контроллере домена в оснастке "Пользователи и компьютеры" добавить нового пользователя со стандартными правами. От этой учетной записи будут выполняться запросы к AD DS. В текущем примере создаем пользователя с именем входа vitro_krb5.

6. Создание keytab-файла 

   ktpass /princ HTTP/vitroweb.public.com@DOMAIN.LOCAL /mapuser vitro_krb5@DOMAIN.LOCAL /crypto ALL /ptype KRB5_NT_PRINCIPAL /out C:\temp\krb5.keytab /pass <пароль пользователя>

7. Настройка kerberos на Linux сервере:

   1. Открыть на редактирование файл krb5.conf 

      nano  /etc/krb5.conf

   2. Привести файл к виду: 

      /etc/krb5.conf

      [libdefaults]
      default_realm = DOMAIN.LOCAL
       
      # The following krb5.conf variables are only for MIT Kerberos.
          kdc_timesync = 1
          ccache_type = 4
          forwardable = true
          proxiable = true
       
      # The following libdefaults parameters are only for Heimdal Kerberos.
          fcc-mit-ticketflags = true
       
      [realms]
          DOMAIN.LOCAL = {
              kdc = 10.0.0.1
              kdc = 10.0.0.5
              admin_server = domain.local
              default_domain = domain.local
          }
       
      [domain_realm]
          .domain.local = DOMAIN.LOCAL
          domain.local = DOMAIN.LOCAL

   3. Перейти в каталог с файлом keytab и выполнить команду: 

      kinit -S HTTP/vitroweb.domain.local@DOMAIN.LOCAL vitro_krb5

   4. Выполнить: 

      klist

8. Настройка Веб-приложения Vitro для авторизации в каталоге LDAP/AD при помощи сервис принципала

   1. Отредактировать (а при отсутствии предварительно создать) файл /usr/local/Vitro.Server.Core.Web/Vitro/Server/Conf/auth.json: 

      auth.json

      {
      "DomainName": "dc1.domain.local",
      "Container": "DC=vitro,DC=intra",
      "UserName": "vitro_krb5",
      "Password": "@pwd4krb!",
      "AuthType": "Basic"
      }

Подробности указаны в статьях по настройке для Linux и Windows.