Создание и установка сертификатов на одном устройстве

Для защищенного взаимодействия между компонентами оркестратора создайте сертификаты для MongoDB, Redis и самого оркестратора.

Чтобы создать центр хранения сертификатов и самоподписанные сертификаты, выполните следующие команды:

1. Перейдите в директорию ~/knbe:

   cd ~/knbe

2. Создайте самоподписанный корневой сертификат. Для этого:
   1. Создайте закрытый ключ:

      openssl genpkey -algorithm RSA -out ssl/ca/certificate.key -pkeyopt rsa_keygen_bits:4096

   2. Создайте корневой сертификат:

      openssl req -x509 -new -key ssl/ca/certificate.key \

      -subj "/C=RU/ST=Moscow/O=Kaspersky/CN=*" \

      -addext "basicConstraints=critical,CA:TRUE" \

      -addext "keyUsage=critical,keyCertSign" \

      -days 3650 -out ssl/ca/certificate.pem

3. Создайте сертификаты компонентов оркестратора:
   • MongoDB
     1. Создайте закрытый ключ:

        openssl genpkey -algorithm RSA -out ssl/mongo/cert.key -pkeyopt rsa_keygen_bits:4096

     2. Создайте сертификат:

        openssl req -x509 -new -key ssl/mongo/cert.key \

        -subj "/C=RU/ST=Moscow/L=Moscow/O=LK/OU=LK/CN=mongo" \

        -addext "subjectAltName=DNS:mongo,IP:127.0.0.1" \

        -CA ssl/ca/certificate.pem -CAkey ssl/ca/certificate.key \

        -out ssl/mongo/cert.pem -days 365

     3. Объедините созданный ключ и сертификат в один файл:

        cat ssl/mongo/cert.key ssl/mongo/cert.pem > ssl/mongo/combined.pem

   • Redis
     1. Создайте закрытый ключ:

        openssl genpkey -algorithm RSA -out ssl/redis/cert.key -pkeyopt rsa_keygen_bits:4096

     2. Создайте сертификат:

        openssl req -x509 -new -key ssl/redis/cert.key \

        -subj "/C=RU/ST=Moscow/L=Moscow/O=LK/OU=LK/CN=redis" \

        -addext "subjectAltName=DNS:redis,IP:127.0.0.1" \

        -CA ssl/ca/certificate.pem -CAkey ssl/ca/certificate.key \

        -out ssl/redis/cert.pem -days 365

        chmod 644 ssl/redis/cert.key

     3. Сконвертируйте ключ:

        openssl pkcs8 -topk8 -in ssl/redis/cert.key -out ssl/redis/key.pem -nocrypt

   • Бэкенд-сервис оркестратора
     1. Создайте закрытый ключ:

        openssl genpkey -algorithm RSA -out ssl/orc/cert.key -pkeyopt rsa_keygen_bits:4096

     2. Сконвертируйте ключ:

        openssl pkcs8 -topk8 -in ssl/orc/cert.key -out ssl/orc/key.pem -nocrypt

     3. Создайте сертификат:

        openssl req -x509 -new -key ssl/orc/cert.key \

        -subj "/C=RU/ST=Moscow/L=Moscow/O=LK/OU=LK/CN=orc" \

        -addext "subjectAltName=DNS:orc,IP:127.0.0.1,IP:${NODE_IP}" \

        -CA ssl/ca/certificate.pem -CAkey ssl/ca/certificate.key \

        -out ssl/orc/cert.pem -days 365

     4. Создайте хранилище ключей (PKCS12 KeyStore):

        openssl pkcs12 -export \

        -in ssl/orc/cert.pem \

        -inkey ssl/orc/cert.key \

        -certfile ssl/ca/certificate.pem \

        -out ssl/orc/keyStore.p12 \

        -name "orc" \

        -passout env:ORC_KEY_PASS

        chmod 644 ssl/orc/keyStore.p12

     5. Добавьте в хранилище CA-сертификат:

        keytool -importcert -alias ca \

        -file ssl/ca/certificate.pem \

        -keystore ssl/orc/keyStore.p12 \

        -storetype PKCS12 -storepass "$ORC_KEY_PASS" \

        -trustcacerts -noprompt

     6. Создайте хранилище доверенных сертификатов (PKCS12 TrustStore):

        openssl pkcs12 -export \

        -name "orc" \

        -inkey ssl/orc/cert.key \

        -in ssl/orc/cert.pem \

        -certfile ssl/ca/certificate.pem \

        -out ssl/orc/trustStore.p12 \

        -passout env:ORC_KEY_PASS

        chmod 644 ssl/orc/trustStore.p12

     7. Добавьте в хранилище CA-сертификат:

        keytool -importcert -alias ca \

        -file ssl/ca/certificate.pem \

        -keystore ssl/orc/trustStore.p12 \

        -storetype PKCS12 -storepass "$ORC_KEY_PASS" \

        -trustcacerts -noprompt

Центр хранения сертификатов будет создан, сертификаты будут добавлены в хранилище ~/knbe/ssl/. При необходимости их можно пересоздать, выполнив пункты инструкции еще раз.

Вы можете проверить созданные сертификаты с помощью команды:

ls -la ssl/orc/

Результат выполнения команды должен содержать следующие файлы: cert.key, cert.pem, key.pem, keyStore.p12, trustStore.p12.