cecemaut/docs/UTILS_EXAMPLES.md

Сводка утилит для создания сертификатов и управление ими в инфраструктуре центра сертификации

В данной статье представлены краткое описание и примеры использования нескольких полезных утилит, которые помогают автоматизировать процесс создания сертификатов и управления ими в инфраструктуре центра сертификации.

## Утилита `prepare.sh`
### Описание:
Скрипт автоматизирует процесс создания инфраструктуры центра сертификации (ЦС), включая создание директорий, генерацию ключей и сертификатов, а также настройку конфигурационных файлов для корневого и промежуточного ЦА.

### Примеры использования:
1. Запуск скрипта с правами суперпользователя:
    ```sh
    sudo bash prepare.sh
    ```

## Утилита `make_server_cert.sh`
### Описание:
Генерирует серверные сертификаты для указанных доменов или IP-адресов. Скрипт создает приватный ключ, запрос на подпись сертификата (CSR) и сам сертификат.

### Примеры использования:
1. Генерация серверного сертификата для домена `example1.com` и IP-адреса `192.168.3.145`:
    ```sh
    bash make_server_cert.sh -t 395 example1.com 192.168.3.145
    ```

## Утилита `make_client_cert.sh`
### Описание:
Скрипт для создания клиентских сертификатов для указанного сервера и клиента. Генерирует приватный ключ, запрос на сертификат (CSR), подписывает его и выводит информацию о сгенерированном сертификате.

### Примеры использования:
1. Генерация клиентского сертификата для домена `example1.com` и имени пользователя `user1@test.com`, действующего 365 дней:
    ```sh
    bash make_client_cert.sh -s example1.com -c user1@test.com -d 365
    ```

## Утилита `make_server_revoke.sh`
### Описание:
Позволяет отозвать серверный сертификат для указанного домена или IP-адреса.

### Примеры использования:
1. Отозвать серверный сертификат для домена `brepo.ru`:
    ```sh
    bash make_server_revoke.sh -n 1 -s brepo.ru
    ```

## Утилита `make_client_revoke.sh`
### Описание:
Позволяет отозвать клиентский сертификат для указанного сервера и клиента.

### Примеры использования:
1. Отозвать клиентский сертификат для домена `example1.com` и имени пользователя `user2@test.com`:
    ```sh
    bash make_client_revoke.sh -n 1 -s example1.com -c user2@test.com
    ```

## Утилита `make_app_keys.sh`
### Описание:
Скрипт генерирует беспарольный приватный и публичный ключ с помощью `openssl` и сохраняет их в указанной директории. Это удобно для создания ключей, которые будут использоваться приложениями без необходимости вводить пароль при каждом использовании.

### Примеры использования:
1. Генерация ключей в директории `/etc/ssl/app_keys`:
    ```sh
    bash make_app_keys.sh /etc/ssl/app_keys
    ```
    После выполнения ключи будут доступны как:
    - `/etc/ssl/app_keys/caapp.private.key.pem`
    - `/etc/ssl/app_keys/caapp.public.key.pem`

## Еще примеры
1. Подготовка инфраструктуры ЦС и генерация серверного и клиентского сертификатов:
    ```sh
    bash prepare.sh
    bash make_server_cert.sh example1.com 192.168.5.145
    bash make_client_cert.sh -s example1.com -c user1@test.com -d 365
    ```

2. Отозвать серверный и клиентский сертификаты (все версии):
    ```sh
    bash make_server_revoke.sh brepo.ru
    bash make_client_revoke.sh -s example1.com -c user2@test.com
    ```

Эти утилиты и примеры помогут вам автоматизировать процесс создания сертификатов и управления ими в инфраструктуре центра сертификации.

## Примеры настройки nginx

Как обеспечить доступ к сайту с помощью сертификатов:


Примкр настройки домена, например с репозиторием пакетов `/etc/nginx/conf.d/example1.com.conf`:

```
server {
    listen 8081 ssl;
    server_name example1.com www.example1.com;

    root /var/www/example1.com/html;
    index index.html;

    location / {
        try_files $uri $uri/ =404;
    }

    access_log /var/log/nginx/example1.com.access.log;
    error_log /var/log/nginx/example1.com.error.log debug;

    ssl_certificate         /database/ca/intermediate/certs/example1.com.cert.pem;
    ssl_certificate_key     /database/ca/intermediate/private/example1.com.key.pem;
    ssl_client_certificate  /database/ca/intermediate/certs/ca-chain.cert.pem;
    ssl_crl /database/ca/intermediate/crl/ca-full.crl.pem;
    ssl_verify_client       on;

    keepalive_timeout 70;
    fastcgi_param SSL_VERIFIED $ssl_client_verify;
    fastcgi_param SSL_CLIENT_SERIAL $ssl_client_serial;
    fastcgi_param SSL_CLIENT_CERT $ssl_client_cert;
    fastcgi_param SSL_DN $ssl_client_s_dn;
}
```


Вызов на строне клиента:

```
curl -k --cert /database/ca/client_certs/example1.com/user2@test.com.cert.pem --key /database/ca/client_certs/example1.com/private/user2@test.com_private.key.pem https://example1.com:8081
```


Или настройка DNF репозитория для доступа к закрытому репозиторию:

```[test]
name = test
enabled = 1
sslverify = 0
gpgcheck = 1
baseurl = https://example1.com:8081
sslclientkey=/database/ca/client_certs/example1.com/private/user2@test.com_private.key.pem
sslclientcert=/database/ca/client_certs/example1.com/user2@test.com.cert.pem
sslcacert=/database/ca/intermediate/certs/ca-chain.cert.pem
```