Установка SOWA#

Порядок установки#

Перед установкой СПО SOWA необходимо выполнить действия, описанные в разделе [Подготовительные действия на сервере](#подготовительные действия на сервере).

Процесс развертывания дистрибутива подробно рассмотрен в разделе Процесс развертывания дистрибутива.

Установка SOWA с помощью утилиты Install Manager рассмотрена в разделе SOWA Install manager (im-sowa).

Для работы с ГОСТ шифрованием следует установить необходимые компоненты в соответствии с разделом [Установка компонентов для работы с ГОСТ шифрованием](#Установка компонентов для работы с ГОСТ шифрованием).

Подготовительные действия на сервере#

Для развертывания СПО SOWA необходимо выполнить следующие шаги:

Обновить пакетный менеджер и репозиторий.
1. Сервер должен иметь активную подписку на RPM-репозитории rhel7 в случае использования ОС RHEL.
2. Конфигурационный файл должен быть расположен в /etc/yum.repos.d/. Для просмотра списка подключенных RPM-репозиториев можно воспользоваться командой:
```
yum repolist all
```
3. Рекомендуется удалить неиспользуемые пакеты (например: gdm, firefox):
```
sudo yum remove gdm firefox -y
```
4. Включить репозиторий EPEL7/EPEL8, если он не включен:
```
sudo yum-config-manager --enable EPEL7
```
```
sudo yum-config-manager --enable EPEL8
```
5. Обновить пакетный менеджер:
```
sudo yum update -y
```
Настроить области функционирования для СПО SOWA:

Внимание! Все нижеперечисленные шаги повлияют на возникновение новых записей в списке блочных устройств.

Если необходимо подключить дополнительные диски или создать логический том из нестандартных групп или новых дисков, то можно использовать инструкцию по ссылке: https://kifarunix.com/how-to-create-an-lvm-logical-volume/.
1. Проверить список, выполнив следующую команду:
```
lsblk
```
2. Создать логические тома в группе rootvg:
  
  Rootvg - это дефолтная группа для новых виртуальных машин, в которую включены диски, указанные при создании виртуальной машины.
```
sudo lvcreate -L 10G -n lvsowa rootvg
sudo lvcreate -L 10G -n lvsowarun rootvg
sudo lvcreate -L 50G -n lvsowalogs rootvg
sudo lvcreate -L 2G -n lvusrlocalsowa rootvg
```
  В примере указаны тестовые размеры логических томов, и они должны меняться в зависимости от объема памяти внутренних дисков.
3. Создать файловые системы для новых блочных устройств:
```
sudo mkfs.ext4 /dev/mapper/rootvg-lvsowa
sudo mkfs.ext4 /dev/mapper/rootvg-lvsowarun
sudo mkfs.ext4 /dev/mapper/rootvg-lvsowalogs
sudo mkfs.ext4 /dev/mapper/rootvg-lvusrlocalsowa
```
4. Создать основные разделы (для логов, артефактов, кэша) в корне системы:
```
sudo mkdir /sowa
sudo mkdir /sowarun
sudo mkdir /sowalogs
sudo mkdir /usr/local/sowa
```
5. Смонтировать файловые системы в созданные разделы:
```
sudo mount /dev/mapper/rootvg-lvsowa /sowa
sudo mount /dev/mapper/rootvg-lvsowarun /sowarun/
sudo mount /dev/mapper/rootvg-lvsowalogs /sowalogs/
sudo mount /dev/mapper/rootvg-lvusrlocalsowa /usr/local/sowa/
```
6. Добавить автомонтирование:
```
sudo sh -c "echo '/dev/mapper/rootvg-lvsowa /sowa ext4 defaults 1 2' >> /etc/fstab"
sudo sh -c "echo '/dev/mapper/rootvg-lvsowarun /sowarun ext4 defaults 1 2' >> /etc/fstab"
sudo sh -c "echo '/dev/mapper/rootvg-lvsowalogs /sowalogs ext4 defaults 1 2' >> /etc/fstab"
sudo sh -c "echo '/dev/mapper/rootvg-lvusrlocalsowa /usr/local/sowa ext4 defaults 1 2' >> /etc/fstab"
```
Настроить группы и пользователей для работы с СПО и ППО SOWA:
1. Добавить группу sowaspo:
```
sudo groupadd sowaspo 
```
2. Добавить пользователя sowaspo:
```
sudo useradd -g sowaspo -s /bin/bash sowaspo
```
  Назначение всех пользователей описано в разделе «Ролевая модель».

Объединение `party` зависимостей#

Дистрибутив поставляется с вынесенными внешними/вендорскими зависимостями, перед инсталляцией необходимо объединить owned и party части.

Схема поставляемого дистрибутива:

SWA-*version*-internal-full-distrib.zip
├── SWA-*version*-owned-distrib.zip
├── SWA-*version*-party-distrib.zip
├── ...
└── SWA-*version*-solution-merger.zip

Использование `Platform V DevOps Tools`#

В наборе инструментов Platform V DevOps Tools есть джоба DOT Merger, с помощью которой автоматизированы все необходимые действия для подготовки дистрибутива на стороне клиента, в том числе и объединение party зависимостей.

Для настройки данной джобы, обратитесь к документации инструмента Platform V DevOps Tools Merger.

Без использования `Platform V DevOps Tools`#

В случае отсутствия Platform V DevOps Tools в дистрибутие имеется утилита для локального запуска объединения зависимостей: solution-merger.

Локальный запуск слияния зависимостей#

Для локального запуска необходимо:

На компьютере должен быть установлен linux
Установить groovy версии 3.0.7
Производить запуск, находясь в папке с разделенными дистрибутивами

${PATH_TO_GROOVY_BIN}/groovy -cp ./src merge.groovy --report ./Report.json ./party.zip ./owned.zip

Где:

PATH_TO_GROOVY_BIN - путь до папки с бинарниками groovy. Необходимо определить самостоятельно
party.zip - архив со сторонними зависимостями
owned.zip - архив с внутренними зависимостями
Report.json - отчет о разделении дистрибутива, находится внутри архива owned, перед запуском его необходимо извлечь

После объединения у вас должен остаться только owned архив, который будет содержать в себе все что было в party.

Перечень необходимых шагов в виде shell команд:

# Распаковка архива с дистрибутивом
unzip -q SWA-*-internal-full-distrib.zip -d solution-distrib

# Работаем в корне директории
cd solution-distrib

# Распаковываем утилиту solution-merger и файл Report.json
unzip -q SWA-*-solution-merger.zip -d solution-merger
unzip SWA-*-owned-distrib.zip Report.json

# Запускаем утилиту solution-merger
groovy -cp solution-merger/src solution-merger/merge.groovy --report ./Report.json ./SWA-*-party-distrib.zip ./SWA-*-owned-distrib.zip

Процесс развертывания дистрибутива#

Последующие действия необходимо выполнять под УЗ sowaspo.

Разархивировать owned архив:
```
unzip SWA-*-owned-distrib.zip
```
В дистрибутиве может содержаться несколько компонентов (например SOWA и SARM). Каждый компонент состоит из двух частей: bin и cfg

Компонент SOWA должен включать в себя два архива:
- sowa-bin-*version*-distrib.zip - содержит все бинарные файлы СПО SOWA, а так же Dockerfile для сборки Docker образа.
- sowa-cfg-*version*-distrib.zip - содержит конфигурационные файлы для деплоя приложения в облачные сервисы (DropApp/k8s)
Разархивировать архив с бинарной частью компонента SOWA.
```
unzip sowa-bin-*-distrib.zip -d sowa-bin
```
Инсталляционные скрипты будут расположены в каталоге sowa-bin/package/bh/bin.
Выполнить скрипт install.sh из каталога sowa-bin/package/bh/bin/<os-family>/ с помощью утилиты im-sowa, например:
```
cd sowa-bin/package/bh/bin/rhel
sudo im-sowa ./install.sh
```
Выполнить скрипт installPartyLibs.sh из того же каталога, с помощью утилиты im-sowa, например:
```
cd sowa-bin/package/bh/bin/rhel
sudo im-sowa ./installPartyLibs.sh
```
В процессе установки были созданы пользователи sowacfg, sowacfgdpl и sowauser. Необходимо задать пароль для этих пользователей:
```
sudo passwd sowacfg
sudo passwd sowacfgdpl
sudo passwd sowauser
```

Следующие действия необходимо выполнять под УЗ root с root-правами.

Проверить актуальную выбранную версию java, при необходимости переключить на версию 17.

Проверить сконфигурированную версию java можно с помощью команды:
```
java -version
```
Выбрать нужную версию java можно, например, с помощью команды:
```
sudo alternatives --config java
```
Проверить актуальную версию компилятора javac.

Проверить сконфигурированную версию javac можно с помощью команды:
```
javac -version
```
Выбрать нужную версию javac можно, например, с помощью команды:
```
sudo alternatives --config javac
```

В результате выполнения скриптов install.sh и installPartyLibs.sh RPM-пакеты SOWA и зависимости будут установлены в системные директории.

Логи установки будут расположены в директории sowa-bin/package/bh/bin/rhel/logs. Следует убедиться, что в логах отсутствуют ошибки.

В случае использования маршрутов usock_mq и mq_usock в сервисе service_sowa_ipa необходима установка вендорской библиотеки com.ibm.mq.allclient и всех необходимых ее зависимостей (данная библиотека входит в состав блока библиотек rpm MQSeriesJava).

В случае использования сервиса service_http_mq_proxy необходимо установить библиотеку MQSeriesJava.

SOWA Install manager (im-sowa)#

Утилита Install manager расположена в дистрибутиве в каталоге sowa-bin/package/bh/im/(altlinux|rhel|deb|astra18)/.

Требуется предоставить обычному пользователю sudo права на инсталляционные скрипты, выполняющие привилегированные действия. При этом необходимо избежать модификации этих скриптов с целью повышения привилегий. Для решения этой проблемы можно использовать следующие подходы:

Сделать скрипт нередактируемым для пользователя (chown root. или chattr +i);
Проверка контрольной суммы с помощью sudo;
Скрипт-обертка с проверкой контрольной суммы.

Однако, первый подход малореалистичен ввиду того, что пользователь должен иметь возможность самостоятельно и с некоторой периодичностью выкачивать свежий дистрибутив, содержащий актуальные версии инсталляционных скриптов. Оставшиеся два подхода предполагают модификацию прав в sudoers с пересчетом контрольных сумм для каждой новой версии дистрибутива, что тоже затрудняет процесс обновления.

В качестве решения поставленной задачи и избежания описанных выше проблем был реализован подход, базирующийся на внедрении ЭЦП для скриптов, которые необходимо защитить от модификации и при этом сохранить возможность выполнять заданные в них привилегированные действия.

Для этого была разработана утилита im-sowa, выступающая в качестве обертки при запуске инсталляционных скриптов, но при этом она не обладает вышеописанными недостатками, так как не содержит в себе контрольных сумм. Для ее использования достаточно выполнить инсталляцию rpm-пакета и однократно прописать в sudoers путь к исполняемому бинарнику с указанием его хеш-суммы. Например, для текущей версии утилиты D-01.001.0201 наполнение sudoers для условного пользователя sowaspo будет выглядеть следующим образом:

Cmnd_Alias SOWASPO_ALLOW_CMD_001 = sha256:2a2e471de9e393809c844ad24238d5c8497f5ceb99d2d8ac66d4be876a03e607 /usr/bin/im-sowa *
sowaspo ALL=(root) NOPASSWD : SOWASPO_ALLOW_CMD_001

Для того чтобы запустить скрипт с помощью этой утилиты, необходимо, чтобы рядом с ним был расположен файл подписи с тем же именем, что и сам скрипт и дополнительным расширением .sig

Например:

install.sh
install.sh.sig

Пример запуска скрипта install.sh:

sudo im-sowa /path/to/install.sh

Утилита im-sowa доступна в составе дистрибутива СПО SOWA и расположена в дистрибутиве в папке /IM.

Хеш-сумма, необходимая для заполнения sudoers, содержится в дистрибутиве в файле im-sowa.sha256.

Стоит отметить, что в общем случае обновление утилиты не требуется, чем обусловлено удобство ее применения. Единственный случай, когда это может потребоваться - это компрометация ключа, которым были сформированы ЭЦП инсталляционных скриптов.

Установка компонентов для работы с ГОСТ шифрованием#

В Platform V SOWA существует два варианта использования ГОСТ шифрования:

ГОСТ шифрование с поддержкой на уровне ядра (GOST SSPI) и применением библиотеки КриптоПро CSP;
ГОСТ шифрование с использованием плагина GOST Proxy в совокупности с библиотеками (на выбор) КриптоПро JCP или КриптоПро JCSP + CSP.

Подробное описание процесса установки для обоих вариантов приведено в разделах Установка и настройка компонентов для использования GOST SSPI и Установка плагина GOST Proxy и компонентов КриптоПро.

Установка и настройка компонентов для использования GOST SSPI#

Для использования GOST SSPI необходимо выполнить следующие подготовительные действия (требуются root права):

Установка КриптоПро CSP#

Получить/скачать дистрибутив КриптоПро CSP 5.0 R2 (как правило, это архив linux-amd64.tgz).

Важно

Для ОС SBEL 9.0 и выше необходим дистрибутив КриптоПро CSP 5.0 R3.

Установить CSP 5.0 R2, выполнив следующую команду:

tar xvf linux-amd64.tgz
cd linux-amd64
sudo yum install -y lsb-core-noarch
sudo ./install.sh

При наличии лицензии, ее необходимо активировать:
```
sudo /opt/cprocsp/sbin/amd64/cpconfig -license -set "Номер"
```
В ином случае будет доступна триальная лицензия с периодом действия 3 месяца.
Проверить лицензию можно с помощью команды:
```
sudo /opt/cprocsp/sbin/amd64/cpconfig -license -view
```

Важно

При удалении дистрибутива КриптоПро CSP для корректной работы СПО SOWA требуется преустановка дистрибутива СПО.

Установка ключевого контейнера#

Далее необходимо разместить ключевой контейнер в директорию /var/opt/cprocsp/keys/sowactl/ и выдать на него права для пользователя sowactl:
```
sudo mkdir -p /var/opt/cprocsp/keys/sowactl/
sudo chown -R sowactl:sowactl /var/opt/cprocsp/keys/sowactl/
sudo cp -r <контейнер>.000 /var/opt/cprocsp/keys/sowactl/
sudo chmod 600 /var/opt/cprocsp/keys/sowactl/<контейнер>.000/*
sudo chmod 700 /var/opt/cprocsp/keys/sowactl/<контейнер>.000
sudo chown -R sowactl:sowactl /var/opt/cprocsp/keys/sowactl/<контейнер>.000/
```
Далее для установки в хранилище всех сертификатов из всех доступных контейнеров необходимо выполнить следующую команду:
```
sudo -u sowactl /opt/cprocsp/bin/amd64/csptest -absorb -certs -autoprov
```
Для тестовых целей можно сгенерировать тестовый ключевой контейнер, выполнив следующую команду (для выполнения требуется доступ в интернет до сервера УЦ КриптоПро):
```
sudo -u sowactl /opt/cprocsp/bin/amd64/cryptcp -creatcert -provtype 80 -rdn "O=SOWA,E=test@sowa.ru,CN=sowa.ru" -cont '\\.\HDIMAGE\sowa' -certusage 1.3.6.1.5.5.7.3.1,1.3.6.1.5.5.7.3.2 -ku -du -both -exprt -ca http://testgost2012.cryptopro.ru/certsrv/
```
В данном случае будет выпущен и подписан тестовым УЦ КриптоПро клиент-серверный сертификат (1.3.6.1.5.5.7.3.1 - проверка подлинности сервера, 1.3.6.1.5.5.7.3.2 - проверка подлинности клиента), который будет размещен в контейнере /var/opt/cprocsp/keys/sowactl/sowa.000.

Для вызова справки по использованию команды следует выполнить:
```
sudo -u sowactl /opt/cprocsp/bin/amd64/cryptcp -createcert -help
```
Для получения серийного номера сертификата (для указания в конфигурационном YAML файле SOWA) следует выполнить следующую команду:
```
sudo -u sowactl /opt/cprocsp/bin/amd64/certmgr -list
```
Далее приведены примеры указания серийного номера сертификата в профиле.

В секции listen для взаимодействия с клиентскими подключениями:
```
listen:
 - port: 443
   ssl:
     sspi: true
     certificate: 0x7C000B0CA4FFD62BF829264E620004000B0CA4
```
В секции proxy_ssl для взаимодействия с upstream:
```
optional:
  proxy_ssl:
    ssl_use: true
    sspi: true
    ssl_certificate: 0x7C0009F9B2A1D88AE3D9C2030400030009F9B2
```
Если необходимо удалить сертификат из хранилища сертификатов, необходимо выполнить следующую команду и в интерактивном режиме выбрать номер нужного сертификата:
```
sudo -u sowactl /opt/cprocsp/bin/amd64/certmgr -delete
```

Работа с хранилищами доверенных сертификатов#

Для корректной инициализации ключей в профиле SOWA необходимо установить в хранилище с именем Root корневой сертификат издателя для сертификата:
```
sudo -u sowactl /opt/cprocsp/bin/amd64/certmgr -inst -store uRoot -file /path/to/root.cer
```
В случае использования тестового сертификата, рутовый тестовый сертификат можно скачать на сайте КриптоПро. На текущий момент:
```
https://testgost2012.cryptopro.ru/certsrv/certcarc.asp (нажать "Загрузка сертификата ЦС").
```
Промежуточные сертификаты необходимо установить в хранилище с именем Ca:
```
sudo -u sowactl /opt/cprocsp/bin/amd64/certmgr -inst -store uCa -file /path/to/intermediate.cer
```

Для просмотра сертификатов в хранилищах Root и Ca выполните следующие команды:

sudo -u sowactl /opt/cprocsp/bin/amd64/certmgr -list -store uRoot
sudo -u sowactl /opt/cprocsp/bin/amd64/certmgr -list -store uCa

Настройка mTLS#

Если имеется необходимость настроить аутентификацию клиента или upstream (так называемый mTLS), то нужно добавить сертификат издателя клиента/upstream в кастомное хранилище и указать его в соответствующих директивах профиля.

Например, создадим хранилище с именем Truststore и поместим в него доверенный сертификат издателя:

sudo -u sowactl /opt/cprocsp/bin/amd64/certmgr -inst -store uTruststore -file /path/to/trust.cer

Для аутентификации клиента необходимо указать в профиле следующие директивы:

listen:
 - port: 443
   ssl:
     sspi: true
     verify_client: on
     client_verify_local_crl_only: on
     client_certificate: Truststore

Для аутентификации upstream необходимо указать:

optional:
  proxy_ssl:
   ssl_use: true
   sspi: true
   ssl_verify: on
   ssl_verify_local_crl_only: on
   ssl_trusted_certificate: Truststore

Описание параметров, используемых для работы GOST SSPI, приведено в разделах Параметр listen и Параметр upstream_ssl в Руководстве прикладного разработчика.

Описание используемых переменных модуля КриптоПро SSPI приведено в разделе Внутренние переменные в Руководстве прикладного разработчика.

Проверка подключения к профилю с настроенным ГОСТ шифрованием#

Для проверки подключения к профилю с настроенным ГОСТ шифрованием можно использовать утилиту csptest из комплекта поставки КриптоПро CSP.

Для вызова справки по утилите выполните команду:

/opt/cprocsp/bin/amd64/csptest -tlsc -help

Пример выполнения команды:

/opt/cprocsp/bin/amd64/csptest -tlsc -server <server> -port <port> -proto 6 -ciphers ff85:c100:c101:c102 -nosave -nocheck -v

Если в профиле настроена строгая проверка имени хоста и включена директива reject handshake, обращение к профилю необходимо выполнять по имени CN из сертификата.

Примеры профилей с использованием GOST SSPI#

Примеры профилей приведены в разделах Пример профиля для взаимодействия GOST->RSA и Пример профиля для взаимодействия RSA->GOST.

Установка плагина GOST Proxy и компонентов КриптоПро#

Для использования модуля GOST Proxy (service_gost_proxy) необходимо выполнить установку плагина «GOST Proxy» и компонентов КриптоПро в соответствии с приведенным ниже описанием.

Установка компонентов КриптоПро

Предупреждение

Для работы с java 10+ необходимо использовать компоненты КриптоПро версий с постфиксом -А.

Для работы плагина «GOST Proxy» требуется установить внешний компонент - КриптоПро. В зависимости от того, какой провайдер планируется использовать - JCP или JCSP - на стенд устанавливается тот или иной набор ПО КриптоПро (JCP или Java CSP + CSP).

Перед установкой JCP или Java CSP + CSP необходимо создать папку /sowarun/.java/.systemPrefs с помощью следующей команды:
```
mkdir -p /sowarun/.java/.systemPrefs
```
Важно отметить, что папка /sowarun/.java должна быть доступна пользователю sowactl на редактирование.

Далее следует установить компоненты JCP/Java CSP + CSP согласно инструкции КриптоПро.

Предупреждение

Java библиотеки компонентов не требуют особой установки, но папка со скопированными библиотеками должна быть доступна пользователю sowactl на чтение.

Сконфигурировать компоненты JCP/Java CSP + CSP согласно инструкции КриптоПро с помощью скрипта configure.sh из дистрибутива КриптоПро.

После конфигурирования будут созданы папки в /var/opt/cprocsp.

Предупреждение

Папки /var/opt/cprocsp/tmp и /var/opt/cprocsp/keys/sowactl должны быть доступны на запись пользователю sowactl для работы плагина GOST Proxy.

Далее необходимо ввести лицензию согласно инструкции КрипроПро.

Важно отметить, что при вызове классов утилит КриптоПро для корректной работы с плагином необходимо задавать параметры

-Djava.util.prefs.systemRoot=/sowarun/.java и -Djava.util.prefs.userRoot=/sowarun

Например,

Для проверки информации о лицензиях JSCP можно воспользоваться следующей командой:
```
java -cp <path_to_jscp_folder>/*:<path_to_jscp_folder>/dependencies/* -Djava.util.prefs.systemRoot=/sowarun/.java -Djava.util.prefs.userRoot=/sowarun ru.CryptoPro.JCSP.JCSPLicense
```
Другие полезные команды для настройки КриптоПро приведены в конце данного раздела.

Установка «GOST Proxy» плагина.

Для установки плагина «GOST Proxy» необходимо выполнить скрипт установки installPlugin.sh указав параметры пути к установленным библиотекам КриптоПро и тип провайдера(JCP или JCSP). Пример запуска скрипта ниже:

cd sowa-bin/package/bh/bin/<os-family>
sudo im-sowa ./installPlugin.sh -i -f "GOST Proxy"  --GOSTProviderPath /sowa/jcp-2.0.41940-A --GOSTProviderType JCP

Полный список ключей installPlugin.sh (должны быть указаны до названия плагина):

Ключ	Значение ключа
-i	Установка плагина и зависимостей.
-u	Удаление плагина и зависимостей.
-f	Подавляет пользовательский ввод о подтверждении установки.

Полный список ключей плагина GOST Proxy (должны быть указаны после названия плагина):

Ключ	Значение ключа
GOSTProviderPath	Путь к папке с java компонетами КриптоПро.
GOSTProviderType	Тип провайдера. Допустимые значения - JCP/JSCP.

Также необходимо установить внешние библиотеки из party-дистрибутива:

cd party-distrib/bin/<os-family>
sudo im-sowa ./installGostPartyLibs.sh

Полезные команды для настройки плагинов КриптоПро.

Примеры команд приводятся в случае установленного провайдера JCP, для JSCP отличается пакет классов.

**<path_to_jcp|jscp_folder>/:<path_to_jcp|jscp_folder>/dependencies/ - путь к папке с java библиотеками КриптоПро.

Для проверки информации о лицензиях JCP можно воспользоваться одной из следующих команд:
```
java -cp <path_to_jcp|jscp_folder> -Djava.util.prefs.systemRoot=/sowarun/.java -Djava.util.prefs.userRoot=/sowarun ru.CryptoPro.JCP.tools.License
java -cp <path_to_jcp|jscp_folder> -Djava.util.prefs.systemRoot=/sowarun/.java -Djava.util.prefs.userRoot=/sowarun ru.CryptoPro.JCP.tools.License -first
java -cp <path_to_jcp|jscp_folder> -Djava.util.prefs.systemRoot=/sowarun/.java -Djava.util.prefs.userRoot=/sowarun ru.CryptoPro.JCP.tools.License -required
```
Для серверов без доступа в интернет требуется отключить проверку списков отзыва для сертификатов с помощью следующих команд:
```
sudo java -cp <path_to_jcp|jscp_folder> -Djava.util.prefs.systemRoot=/sowarun/.java -Djava.util.prefs.userRoot=/sowarun ru.CryptoPro.JCP.Util.SetPrefs -user -node ru/CryptoPro/ssl -key Enable_CRL_revocation_offline_default -value false
sudo java -cp <path_to_jcp|jscp_folder> -Djava.util.prefs.systemRoot=/sowarun/.java -Djava.util.prefs.userRoot=/sowarun ru.CryptoPro.JCP.Util.SetPrefs -user -node ru/CryptoPro/ssl -key Enable_revocation_default -value false
```
По умолчанию местоположение хранилища закрытых ключей располагается в каталоге в /var/opt/cprocsp/keys/sowactl/.

Для переопределения местоположения хранилища закрытых ключей используется команда:
```
sudo java -cp <path_to_jcp|jscp_folder> -Djava.util.prefs.systemRoot=/sowarun/.java -Djava.util.prefs.userRoot=/sowarun ru.CryptoPro.JCP.Util.SetPrefs -user -node ru/CryptoPro/JCP/KeyStore/HDImage -key HDImageStore_class_default -value /mnt/profiles
```
В данном случае ключевой контейнер должен располагаться в каталоге /mnt/profiles/ и иметь права 664 на содержимое контейнера. Права 664 представляют собой минимальный набор прав для чтения криптоконтейнера процессом Gost Proxy.

Для предоставления права 664 на /mnt/profiles/<container> необходимо выполнить следующую команду:
```
chmod 664 /mnt/profiles/<container folder>/*
```

Проверка результата#

Для проверки корректности установки СПО SOWA рекомендуется убедиться в корректности выполнения следующих команд:

команда sowa-version;
команда sowa-config под пользователем sowacfg.

Для проверки корректности установки ППО SOWA рекомендуется выполнить следующую команду:

sowa-config —show-profiles

Если профиль сконфигурирован корректно, в результате выполнения команды будет отображено Configured=True в соответствующей строке профиля.

Для проверки корректности Zabbix необходимо:

проверить наличие скриптов в /var/lb/zabbix/scripts;
убедиться в корректности выполнения команды /var/lib/zabbix/scripts/sowa_discovery.sh profile_list под пользователем zabbix.

Для проверки корректности настройки SIEM необходимо убедиться в том, что сообщения успешно приходят в хранилище, указанное при настройке.

Корректность установки Системы управления секретами проверяется отсутствием в файле sowa-config.log записей, приведенных в разделе «Проверка работоспособности».

Установка SOWA#

Порядок установки#

Подготовительные действия на сервере#

Объединение party зависимостей#

Использование Platform V DevOps Tools#

Без использования Platform V DevOps Tools#

Локальный запуск слияния зависимостей#

Процесс развертывания дистрибутива#

SOWA Install manager (im-sowa)#

Установка компонентов для работы с ГОСТ шифрованием#

Установка и настройка компонентов для использования GOST SSPI#

Установка КриптоПро CSP#

Установка ключевого контейнера#

Работа с хранилищами доверенных сертификатов#

Настройка mTLS#

Проверка подключения к профилю с настроенным ГОСТ шифрованием#

Примеры профилей с использованием GOST SSPI#

Установка плагина GOST Proxy и компонентов КриптоПро#

Проверка результата#

Объединение `party` зависимостей#

Использование `Platform V DevOps Tools`#

Без использования `Platform V DevOps Tools`#