Замена IAM-сертификата по умолчанию на пользовательский сертификат

Чтобы назначить пользовательский IAM-сертификат:

1. Создайте пользовательский сертификат и подготовьте его для использования в Kaspersky Security Center Linux. Проверьте, соответствует ли ваш пользовательский сертификат требованиям Kaspersky Security Center Linux.
2. Убедитесь, что группа kladmins имеет доступ к файлам IAM-сертификатов.
3. Откройте конфигурационный файл IAM: /var/opt/kaspersky/klnagent_srv/iam/iam_config.yaml.

   В этом файле добавьте пути к файлам IAM-сертификатов в секции server_iam:

   • certificates.main.cert: Путь к файлу действительного сертификата.
   • certificates.main.key: Путь к закрытому ключу действительного сертификата. Закрытый ключ не должен быть защищен паролем.
4. Перезапустите сервис kliam, выполнив следующую команду:

   sudo service kliam_srv restart

5. Сохраните файл с сертификатом IAM в каталоге:

   /var/opt/kaspersky/ksc-web-console/certificates/external/

   Поддерживаемый формат файла: PEM.
   Учетная запись, от имени которой запущена служба Kaspersky Security Center Web Console, должна иметь право на чтение файлов, сохраненных в каталоге.

6. Присвойте файлу имя: <address>-iam-server.crt

   где <address> – адрес IAM, который вы задали в параметре iamHost файла ответов инсталлятора Web Console.

Пользовательский IAM-сертификат назначен, и Web Console использует его.

При необходимости заменить пользовательский IAM-сертификат, выполните эту же инструкцию.

Если заданный вами IAM-сертификат недействителен и новый действительный сертификат не получен, в Web Console отображается ошибка.

По умолчанию за 14 дней до истечения действующего сертификата отображается предупреждающее уведомление. За 2 дня до истечения действующего сертификата отображается критическое уведомление.

Если после того, как вы вручную указали для Web Console IAM-сертификат (самоподписанный либо пользовательский), IAM переключился на резервный сертификат, Web Console автоматически получит резервный сертификат IAM и продолжит подключаться к Серверу администрирования. При этом указанный вами пользовательский сертификат останется в каталоге /var/opt/kaspersky/ksc-web-console/certificates/external/, но не будет использоваться.

Чтобы изменить резервный IAM-сертификат:

1. Откройте конфигурационный файл IAM: /var/opt/kaspersky/klnagent_srv/iam/iam_config.yaml.

   В этом файле укажите пути к файлам IAM-сертификатов:

   • server_iam.certificates.reserve.cert: Путь к файлу действительного сертификата.
   • server_iam.certificates.reserve.key: Путь к закрытому ключу действительного сертификата. Закрытый ключ не должен быть защищен паролем.
2. Перезапустите сервис kliam, выполнив следующую команду:

   sudo systemctl restart kliam_srv.service

   После истечения срока действия текущего файла сертификата вместо него используется резервный IAM-сертификат.