Политика 2.2+ Установка Сертификатов

Костюков Владимир · 17 Май 2024

Код:

{% if user is not defined %}
  {% set user = salt['pillar.get']("user") %}
{% endif %}
{% if salt['pillar.get']('aldpro-users:'+ user) is defined %}
  {% set homedir = salt['user.info'](user).home %}
  {% set gpo_name = 'rbta_ldap_custom_gp_user_new_root_cert' %}
  {% set gpo = salt['pillar.get']('aldpro-users:'+ user +':'+ gpo_name) %}
  {% if gpo %}
check_libnss3-tools:
  pkg.installed:
    - name: libnss3-tools
    {% if not salt['file.directory_exists'](homedir +'/.pki/nssdb') %}
prepare_dbdir:
  cmd.run:
    - names:
      - mkdir -p {{ homedir }}/.pki/nssdb
      - certutil -d {{ homedir }}/.pki/nssdb -T
    - runas: {{ user }}
    {% endif %}
    {% for args in gpo %}
      {% set src_patch = args.get('cert_name') %}
      {% set filename = salt['file.basename'](src_patch) %}
      {% set certpath = '/usr/local/share/ca-certificates/'+ filename %}
{{ certpath }}:
  file.managed:
    - source: {{ src_patch }}
    - skip_verify: True
      {% set installed = salt['cmd.shell']('[[ $(certutil -d ' + homedir + '/.pki/nssdb -L -n Company-' + filename + ' 2>/dev/null) ]] && echo True || echo False') %}
      {% if installed == 'False' %}
add_cert_{{ filename }}:
  cmd.run:
    - name: certutil -d {{ homedir }}/.pki/nssdb -A -t "TC,," -n "Company-{{ filename }}" -i {{ certpath }}
    - runas: {{ user }}
    - watch:
      - file: {{ certpath }}
      {% endif %}
    {% endfor %}
update_ca_cerificates:
  cmd.run:
    - name: update-ca-certificates
  {% endif %}
{% endif %}

Марченко Михаил · 22 Окт 2024

Отличный скрипт.
Однако, на текущий момент, озадачен вопросом установки неведомого количества корневых сертификатов на компьютер.
Не могу придумать, как считать содержимое некоего каталога на http, ну или считать некий файл index.txt с http, потом построчно считать из него весь список имён файлов, лежащих тут же рядом, ну и затем уже каждый файл скачать и разместить в нужном каталоге на minion

Владимир, вы как профессионал, не подскажете ли механизм. Считать по пути http весь список файлов там расположенных или как считать один файл и распарсить его построчно?

Костюков Владимир · 22 Окт 2024

Марченко Михаил, нажать + и добавить новый

Марченко Михаил · 22 Окт 2024

оно конечно понятно, + и так 10-20-30 раз ... только вот вопрос я задавал несколько иной

Костюков Владимир · 22 Окт 2024

Марченко Михаил, по-другому никак. Штатная команда не понимает массовую установку сертов. Пример certutil -d sql:$HOME/.pki/nssdb -A -t "C,," -n "MyUTM" -i /path/to/UTM.crt

Марченко Михаил · 23 Окт 2024

Костюков Владимир,
{% for filename in <список файлов> %}
<команда установки одного сертификата>
{% endfor %}
эта конструкция работает, проблема в составлении списка файлов, про который я и спрашивал изначально:

michael_schummi написал(а):
Владимир, вы как профессионал, не подскажете ли механизм. Считать по пути http весь список файлов там расположенных или как считать один файл и распарсить его построчно?

вы в своём скрипте делаете почти тоже самое, только считываете список параметров и потом в цикле каждый сертификат обрабатываете.

Администрировать список параметров, выяснять есть ли там уже нужный сертификат или нет, лично мне неудобно, их ведь может быть не 2 и не 3. Поэтому родилась идея - вести некий файлик со списком имен сертификатов, что удобнее для сверки проверки и т.д., и этот файл передавать в политику, чтобы там из него считывались все строки, содержащие, например, полные пути ко всем сертификатам, и в цикле их установить

MblTbKA · 24 Дек 2024

Подскажите при сохранении кода выскакивает ошибка. Что может быть?

Костюков Владимир · 24 Дек 2024

MblTbKA, просто нажать сохранить

MblTbKA · 24 Дек 2024

Костюков Владимир написал(а):
MblTbKA, просто нажать сохранить

Это понятно. хотелось бы понимать на что ругается и может быть подправить то что ему не нравится.

Костюков Владимир · 24 Дек 2024

MblTbKA, все норм тут. Это валидатор в алд про косячит

cherant1 · Среда в 18:38

Марченко Михаил написал(а):
Костюков Владимир,
{% for filename in <список файлов> %}
<команда установки одного сертификата>
{% endfor %}
эта конструкция работает, проблема в составлении списка файлов, про который я и спрашивал изначально:

вы в своём скрипте делаете почти тоже самое, только считываете список параметров и потом в цикле каждый сертификат обрабатываете.

Администрировать список параметров, выяснять есть ли там уже нужный сертификат или нет, лично мне неудобно, их ведь может быть не 2 и не 3. Поэтому родилась идея - вести некий файлик со списком имен сертификатов, что удобнее для сверки проверки и т.д., и этот файл передавать в политику, чтобы там из него считывались все строки, содержащие, например, полные пути ко всем сертификатам, и в цикле их установить

Добрый вечер, получилось? поделитесь, пожалуйста

Марченко Михаил · Среда в 20:08

cherant1 написал(а):
Добрый вечер, получилось? поделитесь, пожалуйста

Не претендую на эффективность и эффектность решения. Очень всё кривое и косое, но есть над чем поработать пытливому уму

Обязательное условие - наличие установленного КриптоПро CSP - сертификаты ставлю через его утилиту /opt/cprocsp/bin/amd64/certmgr
Я его к сожалению до внедрения в массовом масштабе так и не довёл, но работает на ALD Pro 2.3.0 однозначно
Сделал как и хотел:
- создал на сервере репозиториев вручную папку (/opt/rbta/aldpro/repo/storage/link_root_folder/crt)
- в этой папке создал структура вида ca (для корневых сертификатов) inter (для промежуточных сертификатов)
- в каждом подкаталоге держу некий индексный файл (index.txt), в котором храню список файлов сертификатов
- рядом с index.txt держу файл index.hash с md5 суммой самого index.txt (нужна для гарантированного обновления этого файла через политики)
- если меняю что-то в соответствующем списке файлов сертификатов, обновляю index.txt и index.hash
для себя создал вот такую простую памятку

! ПРАВИЛА !
1. Имена сертификатов не должны содержать пробелов и русских букв
2. Расширение файлов cer
3. Сертификаты должны быть сохранены в формате base64
! Порядок действий !
1. Выкладываем сертификаты на rep01 в /opt/rbta/aldpro/repo/storage/link_root_folder/crt/
Корневые в ca
Промежуточные в inter
Списки отзыва в crl
2. Удаляем из подкаталогов index.txt и index.hash
3. Формируем index.txt
ls *.cer > index.txt
удаляем перенос строки в последней строке
4. Формируем index.hash
md5sum -b index.txt > index.hash

- создал задание автоматизации, которое обновляет index.txt файлы ... списки отзыва так и не дописал в него

YAML:

{% set global_path_crt = 'http://urr61-rep01.urr61.esk/repos/crt/' %}
{% do salt.log.info("global_path_crt: " + global_path_crt) %}


{% set index_crt_filename = 'index.txt' %}
{% do salt.log.info("index_crt_filename: " + index_crt_filename) %}
{% set index_hash_filename = 'index.hash' %}
{% do salt.log.info("index_hash_filename: " + index_hash_filename) %}


{% set global_path_ca_crt = global_path_crt + 'ca/' %}
{% do salt.log.info("global_path_ca_crt: " + global_path_ca_crt) %}
{% set global_index_ca_crt =  global_path_ca_crt + index_crt_filename %}
{% do salt.log.info("global_index_ca_crt: " + global_index_ca_crt) %}
{% set global_index_ca_hash =  global_path_ca_crt + index_hash_filename %}
{% do salt.log.info("global_index_ca_hash: " + global_index_ca_hash) %}
{% set local_path_ca_crt = '/usr/local/share/ca-certificates/' %}
{% do salt.log.info("local_path_ca_crt: " + local_path_ca_crt) %}
{% set local_index_ca_crt = local_path_ca_crt + index_crt_filename %}
{% do salt.log.info("local_index_ca_crt: " + local_index_ca_crt) %}


{{ local_index_ca_crt }}:
  file.managed:
    - source: {{ global_index_ca_crt }}
    - mode: 644
    - makedirs: true
    - create: True
    - replace: True
    - source_hash: {{ global_index_ca_hash }}


{% set global_path_inter_crt = global_path_crt + 'inter/' %}
{% do salt.log.info("global_path_inter_crt: " + global_path_inter_crt) %}
{% set global_index_inter_crt =  global_path_inter_crt + index_crt_filename %}
{% do salt.log.info("global_index_inter_crt: " + global_index_inter_crt) %}
{% set global_index_inter_hash =  global_path_inter_crt + index_hash_filename %}
{% do salt.log.info("global_index_inter_hash: " + global_index_inter_hash) %}
{% set local_path_inter_crt = '/usr/local/share/inter-certificates/' %}
{% do salt.log.info("local_path_inter_crt: " + local_path_inter_crt) %}
{% set local_index_inter_crt = local_path_inter_crt + index_crt_filename %}
{% do salt.log.info("local_index_inter_crt: " + local_index_inter_crt) %}


{{ local_index_inter_crt }}:
  file.managed:
    - source: {{ global_index_inter_crt }}
    - mode: 644
    - makedirs: true
    - create: True
    - replace: True
    - source_hash: {{ global_index_inter_hash }}

- создал задание автоматизации, которое обновляет сертификаты (запускать нужно после того, как были обновлены index.txt предыдущим заданием)

YAML:

{% set global_path_crt = 'http://urr61-rep01.urr61.esk/repos/crt/' %}
{% do salt.log.info("global_path_crt: " + global_path_crt) %}

{% set global_path_ca_crt = global_path_crt + 'ca/' %}
{% do salt.log.info("global_path_ca_crt: " + global_path_ca_crt) %}
{% set local_path_ca_crt = '/usr/local/share/ca-certificates/' %}
{% do salt.log.info("local_path_ca_crt: " + local_path_ca_crt) %}
{% set local_index_ca_crt = local_path_ca_crt + 'index.txt' %}
{% do salt.log.info("local_index_ca_crt: " + local_index_ca_crt) %}
{% set list_crt = salt['file.read'](local_index_ca_crt).split('\n') %}

{% for item_crt in list_crt %}
{% set global_path_item_ca_crt = global_path_ca_crt + item_crt|string %}
{% do salt.log.info("global_path_item_ca_crt: " + global_path_item_ca_crt) %}
{% set local_path_item_ca_crt = local_path_ca_crt + item_crt %}
{% do salt.log.info("local_path_item_ca_crt: " + local_path_item_ca_crt) %}

{{ local_path_item_ca_crt }}:
  file.managed:
    - source: {{ global_path_item_ca_crt }}
    - mode: 644
    - recurse: true
    - makedirs: true
    - create: true
    - replace: true
    - skip_verify: true
  cmd.run:
    - name: "/opt/cprocsp/bin/amd64/certmgr -install -store mRoot -file {{ local_path_item_ca_crt }}"

{% endfor  %}

{% set global_path_inter_crt = global_path_crt + 'inter/' %}
{% do salt.log.info("global_path_inter_crt: " + global_path_inter_crt) %}
{% set local_path_inter_crt = '/usr/local/share/inter-certificates/' %}
{% do salt.log.info("local_path_inter_crt: " + local_path_inter_crt) %}
{% set local_index_inter_crt = local_path_inter_crt + 'index.txt' %}
{% do salt.log.info("local_index_inter_crt: " + local_index_inter_crt) %}
{% set list_crt = salt['file.read'](local_index_inter_crt).split('\n') %}

{% for item_crt in list_crt %}
{% set global_path_item_inter_crt = global_path_inter_crt + item_crt|string %}
{% do salt.log.info("global_path_item_inter_crt: " + global_path_item_inter_crt) %}
{% set local_path_item_inter_crt = local_path_inter_crt + item_crt %}
{% do salt.log.info("local_path_item_inter_crt: " + local_path_item_inter_crt) %}

{{ local_path_item_inter_crt }}:
  file.managed:
    - source: {{ global_path_item_inter_crt }}
    - mode: 644
    - recurse: true
    - makedirs: true
    - create: true
    - replace: true
    - skip_verify: true
  cmd.run:
    - name: "/opt/cprocsp/bin/amd64/certmgr -install -store mCA -file {{ local_path_item_inter_crt }}"

{% endfor  %}

Вот такое вот чудо чудное получилось

PS: это был мой самый первый опыт создания политик и сейчас конечно оба задания я бы объединил в одно с условием, что если было обновление index.txt, то выполнить и обновление сертификатов. Но выкладываю как есть

Политика 2.2+ Установка Сертификатов

Мы ценим вашу конфиденциальность