Завдання 4. Оновлення ключів та сертифікатів цифрового підпису

1. Мета завдання

Виконання цього завдання має на меті:

  • Навчити оновлювати ключі та сертифікати цифрового підпису для реєстру.

2. Передумови

  1. Перед оновленням сертифікатів цифрового підпису завантажте необхідні файли:

    При завантаженні тестових файлів, ви отримаєте у назвах значення Test.All.. Наприклад, CACertificates.Test.All.p7b.

    Видаліть значення Test.All. для обох типів сертифікатів. В результаті ви маєте отримати наступні назви:

    • CACertificates.p7b

    • CAs.json

  2. Ознайомтеся з інструкцією Оновлення ключів та сертифікатів цифрового підпису для реєстру.

3. Процес виконання завдання

3.1. Оновлення ключа системного підпису

Для оновлення ключа системного підпису використовуйте інструкцію, наведену нижче інформацію та попередньо завантажені файли.

  1. Заповніть наступні поля відповідними значеннями:

    • Тип носія: Файловий носій;

    • Файловий ключ (розширення .dat): key-6.dat;

    • АЦСК, що видав ключ: Тестовий ЦСК АТ "ІІТ";

    • Пароль до файлового ключа: 123;

    • Перелік дозволених ключів: заповніть, використовуючи дані з файлу allowed-keys.yml.

    Завантажте наведені нижче файли та використовуйте попередньо підготовлений ключ цифрового підпису та дані про цей ключ:

    • файловий ключ для цифрового підпису для тестового користувача key-6.dat;

    • перелік дозволених ключів allowed-keys.yml;

    task 3 01

  2. Додайте декілька дозволених ключів. Для цього натисніть кнопку Додати ключ.

    task 3 03

    У *переліку дозволених ключів * необхідно заповнити дані для усіх попередніх довірених ключів:

    • Емітент ключа: параметр issuer у файлі allowed-keys.yml;

    • Серійний номер ключа: параметр serial у файлі allowed-keys.yml.

    Усі дані беруться з файлу allowed-keys.yml.

    task 3 02
    Проміжним результатом буде заповнення всіх полів та вказані 2 дозволені ключі.

    task 3 04

  3. Підтвердьте зміни, відкрийте Запити на оновлення та схваліть новий запит.

    task 3 05

    Успішним результатом буде завершення пайплайну MASTER-Build-<registry-name> зі статусом SUCCESS, де <registry-name> — назва вашого реєстру.

    task 3 06

  4. Перевірте, що под digital-signature-ops знаходиться у стані Running.

    task 3 11

  5. Впевніться, що дані було оновлено. Перейдіть до Secrets та пошуком знайдіть digital-signature-data та digital-signature-env-vars.

    task 3 12

  6. Перейдіть до секрету digital-signature-data, натисніть Reveal values.

    task 3 13

  7. Порівняйте вміст allowed-keys із файлом allowed-keys.yml.
    Перейдіть до секрету digital-signature-env-vars, натисніть Reveal values, та переконайтеся, що зазначені дані, відповідають тим, які ви вказали при заміні ключа.

    task 3 14

Результатом виконання цього підзавдання буде:

  • успішний білд;

  • перевірка поду;

  • перевірка allowed keys.yml.

3.2. Оновлення даних для перевірки підписів

Особливості завантаження сертифікатів CA та p7b

При розгортанні та роботі з тестовим реєстром, використовуйте сертифікати тестового АЦСК, інакше пайплайн розгортання реєстру не пройде, а ви отримаєте помилку ініціалізації криптосервісу digital-signature-ops. Це станеться через те, що файли сертифікатів для виробничого середовища просто не містять даних про тестові АЦСК.

Для промислового середовища використовуйте відповідні prod-сертифікати.

CACertificates.p7b:
CAs.json:

  • Сертифікати АЦСК тестового середовища: CAs.json.

  • Сертифікати АЦСК промислового середовища: productfiles/CAs.json.

При завантаженні тестових файлів, ви отримаєте у назвах значення Test.All. Наприклад, CACertificates.Test.All.p7b.

Видаліть значення Test.All. для обох типів сертифікатів. В результаті ви маєте отримати наступні назви:

  • CACertificates.p7b

  • CAs.json

Щоб оновити дані для перевірки підписів, виконайте наступні кроки:

  1. Перейдіть на вкладку Дані для перевірки підписів.

  2. Оновіть дані, використовуючи попередньо завантажені файли.

    task 3 07

    • У полі Публічні сертифікати АЦСК (CACertificates.p7b) завантажте сертифікат CACertificates.p7b.

    • У полі Перелік АЦСК (розширення .json) завантажте сертифікат CAs.json.

    Успішним результатом буде підвантаження двох файлів.

    task 3 08

  3. Підтвердьте зміни, відкрийте Запити на оновлення та схваліть новий запит.

    task 3 05

    Успішним результатом буде завершення пайплайну MASTER-Build-<registry-name> зі статусом SUCCESS, де <registry-name> — назва вашого реєстру.

    task 3 09

    task 3 10

  4. Виконайте перевірку вмісту файлу CACertificates.p7b. Для цього перейдіть до секрету digital-signature-data, завантажте файл CACertificates.p7b із публічними сертифікатами АЦСК та порівняйте його з тим, який ви використали при заміні.

    task 3 15

Результатом виконання цього підзавдання буде:

  • підвантаження сертифікатів;

  • успішний білд;

  • перевірка вмісту файлу CACertificates.p7b.