Przeniesienie certyfikatu głównego do zewnętrznego magazynu Thales HSM

W celu zwiększenia bezpieczeństwa, certyfikat główny Syteca (EkranMasterCertificate) może zostać przeniesiony do zewnętrznego magazynu sprzętowego HSM firmy Thales z wykorzystaniem SafeNet KeySecure oraz SafeNet ProtectApp.

Spis treści

1. Wymagania wstępne
2. Integracja Serwera Aplikacji z Thales HSM
   
3. Przenoszenie certyfikatu głównego do Thales HSM
4. Zmiana parametrów połączenia
5. Rotacja klucza
6. Duże wdrożenia z wieloma instancjami Serwera Aplikacji Syteca

 

1. Wymagania wstępne

Przed rozpoczęciem operacji muszą być zainstalowane i skonfigurowane następujące komponenty:

• Aplikacja SafeNet KeySecure musi być zainstalowana na dowolnej maszynie, a konto użytkownika musi zostać utworzone w jej konsoli zarządzania (keystore). Szczegóły w dokumentacji technicznej SafeNet KeySecure.

• Na maszynie, na której zainstalowany jest Serwer Aplikacji Syteca, musi być zainstalowane i skonfigurowane SDK SafeNet ProtectApp dla .NET, zgodnie z poniższymi instrukcjami i dokumentacją techniczną SafeNet.

2. Integracja Serwera Aplikacji z Thales HSM

Przed przeniesieniem certyfikatu głównego należy skonfigurować integrację między Serwerem Aplikacji Syteca a HSM Thales za pomocą SDK SafeNet ProtectApp dla .NET, definiując parametry połączenia z serwerem NAE-XML systemu KeySecure.

Kroki:

• Otwórz plik SafeNetProtectAppForDotNet.properties w SDK.

• Znajdź linię NAE_IP= i po znaku równości wpisz adres IP maszyny, na której zainstalowano KeySecure.

• Jeśli wymagane jest uwierzytelnianie SSL: zmień Protocol=tcp na Protocol=ssl.

• Jeśli dane logowania mają być szyfrowane: zmień Credentials_Encrypted=no na Credentials_Encrypted=yes.

• Uruchom ponownie Serwer Aplikacji Syteca (usługę EkranServer) — klikając prawym przyciskiem ikonę Syteca w zasobniku systemowym i wybierając opcję zatrzymania, a następnie ponownego uruchomienia.

3. Przenoszenie certyfikatu głównego do Thales HSM

Po poprawnym skonfigurowaniu integracji możesz teraz przenieść certyfikat główny do magazynu HSM.

Kroki:

• Jako lokalny użytkownik kliknij prawym przyciskiem ikonę Syteca w zasobniku systemowym i wybierz Parametry bazy danych, aby uruchomić aplikację DbSetupToolUI.

• Przejdź do zakładki Zaawansowane i kliknij przycisk Przełącz certyfikat główny na SafeNet KeySecure.

• W oknie Wymagane dane logowania wprowadź dane użytkownika Syteca z uprawnieniami do Zarządzania tenantami i Konfiguracji systemu, a następnie kliknij Dalej.

• W oknie Opcje SafeNet KeySecure uzupełnij:

  • Lokalizacja pliku właściwości (SafeNet properties file location): ścieżka do pliku .properties.

   

  • Lokalizacja pliku PassPhraseSecure.exe: wymagane tylko, jeśli w pliku .properties określono Credentials_Encrypted=yes.

  
   

  • Nazwa użytkownika: login użytkownika z konsoli zarządzania KeySecure.

  • Hasło: hasło tego użytkownika.

  • Nazwa klucza: pozostaw puste, aby wygenerować nowy klucz lub podaj nazwę istniejącego klucza prywatnego i wybierz opcję Pierwszy węzeł (First node deployment). Kliknij Dalej.

• W kolejnym oknie kliknij Tak, aby uruchomić ponownie Serwer Aplikacji i zakończyć integrację.

4. Zmiana parametrów połączenia

Jeśli zmieniono plik .properties lub dane użytkownika w KeySecure, należy zaktualizować parametry.

Kroki:

• Skopiuj nazwę istniejącego klucza z pola Nazwa klucza na zakładce Zaawansowane w DbSetupToolUI.

• Kliknij przycisk Przełącz certyfikat główny na SafeNet KeySecure.

• W oknie Opcje SafeNet KeySecure zaktualizuj odpowiednie wartości.

• Wklej wcześniej skopiowaną nazwę klucza do pola Nazwa klucza, wybierz Pierwszy węzeł, kliknij Dalej, a następnie Tak, aby ponownie uruchomić Serwer Aplikacji.

5. Rotacja klucza

Aby wygenerować nowy klucz:

• Kliknij Przełącz certyfikat główny na SafeNet KeySecure.

• Pozostaw pole Nazwa klucza puste.

• Kliknij Dalej i uruchom ponownie Serwer Aplikacji.

Jeśli chcesz użyć istniejącego klucza — wpisz jego nazwę i wybierz Pierwszy węzeł.

6. Duże wdrożenia z wieloma instancjami Serwera Aplikacji Syteca

W przypadku klastra z wieloma Serwerami Aplikacji:

• Na pierwszym węźle przeprowadź standardową konfigurację (z wygenerowaniem lub podaniem klucza).

• Na każdej kolejnej instancji:

  1. Skopiuj nazwę klucza z pierwszego węzła.

  2. Wklej ją do pola Nazwa klucza.

  3. Wybierz Kolejny węzeł (Subsequent node deployment).

  4. Po konfiguracji zamknij i uruchom ponownie DbSetupToolUI, a następnie ponownie podaj parametry bazy danych, jeśli nie są wyświetlone.