Установка приложения Госключ в Pyrus Datacenter

Получение обезличенного сертификата

Обезличенный сертификат электронной подписи — электронный аналог печати компании или индивидуального предпринимателя. Он не содержит данных о владельце. Сертификат можно оформить в удостоверяющем центре ФНС России.

Статья 14. Федерального закона «Об электронной подписи»

Обезличенный сертификат понадобится при подключении провайдера Госключ и только если сотрудник, действующий от лица компании, подписывает документ по машиночитаемой доверенности (МЧД).

Как создать запрос на обезличенный сертификат для Pyrus

certutil -dump "ООО ПАЙРУС.cer" > c:\0\test.cer.txt

1. Авторизуйтесь в сервисе КриптоАрм.

2. Откройте вкладку Меню, затем Сертификаты и Отчеты.

3. Нажмите Создать запрос, выберите Шаблон сертификата, а затем Шаблон с расширенным списком полей.

4. Заполните следующие поля:

   • Общее имя:
   • Организация:
   • ОГРН:
   • ИНН юридического лица:
   • Область:
   • Город:
   • Адрес:

5. Откройте параметры ключа и нажмите Пометить ключи как экспортируемые, далее Сохранить, а затем — Показать в папке.

6. После получения сертификата импортируйте его в программу КриптоАРМ. Она свяжет сертификат и приватный ключ.

Получение UID Госуслуг

UID — уникальный номер участника в Единой системе идентификации и аутентификации (ЕСИА) и используется для входа на портал Госуслуги и другие сервисы.

Для получения UID организации выполните следующие действия.

1. Обратитесь в службу поддержки Pyrus по электронной почте support@pyrus.com и передайте ОГРН организации, желающей подключить Госключ. Pyrus как организация-вендор добавит вас во внешнюю систему на Госуслугах.

2. Сотрудник вашей организации, ответственный за формирование идентификационных ключей, должен сформировать идентификационный ключ для сотрудника, чьи учетные данные будут использоваться системой для авторизации в ЕСИА при отправке документов через Госключ.

   • авторизоваться в ЛК Инфраструктуры электронного правительства (ИЭП), выполнив переход по ссылке: https://partners.gosuslugi.ru;
   • чтобы сторонняя система организации-вендора появилась в ЛК ИЭП выдать сотруднику или генеральному директору полномочия:
     • на отправку документов от юридических лиц и индивидуальных предпринимателей на подписание в МП «Госключ» физическому лицу
     • на формирование API Key для доступа к API Госуслуг Госключа ИС GOSKEY_PYRUS;

3. Перейдите во вкладку Мои системы.

   

4. Нажмите на название системы, а затем на кнопку «Добавить сотрудника».

5. Укажите в поисковой строке ФИО сотрудника, которому выдали идентификационный ключ (см. п. 2), и выберите нужного из выпадающего списка и нажмите Добавить.

   

   Добавленные сотрудники и список сформированных ключей отобразятся на странице информационной системы.

   

Развертывание расширения Госключ

Настройка в Docker

• Установите в контейнер серверную версию КриптоПро CSP с Лицензией на право использования СКЗИ "КриптоПро CSP" версии 5.0 на сервере, смонтировав файл /etc/opt/cprocsp/license.ini (нужно подменить ProductID на лицензионный ключ, без тире).

• Выполните команду (предполагается, что в той же директории, в которой запускается команда, лежат публичный ключ cert.cer и контейнер container.zip. Файл контейнера обязательно должен быть в формате zip):

$ docker compose run \
-v ${PWD}/cert.cer:/app/cert.cer -v ${PWD}/container.zip:/app/container.zip \
--rm pyrus-setup --configure-goskey \
	--public-cert-path /app/cert.cer \
	--container-path /app/container.zip \
	--container-password <пароль контейнера>\
	--api-key <uid госуслуг> \
	--private-keys-folder-name <название папки с ключами в контейнере> \
	--container-name <название контейнера> \
	--cert-serial <отпечаток SHA-1>

• Перезапусте контейнеры Pyrus:

docker compose stop
docker compose up -d

Развертывание в Kubernetes (K8s)

• Создайте секрет, выполнив в директории с файлами cert.cer и container.zip следующую команду:

   kubectl -n pyrus create secret generic containers-cert \
     --from-file=cert.cer --from-file=container.zip

• Создайте секрет, выполнив в директории с файлом license.ini следующую команду:

   kubectl -n pyrus create secret generic license-ini \
     --from-file=license.ini

• Создайте манифест для конфигурирования c ПОДСТАНОВКОЙ параметров:

apiVersion: v1
kind: Pod
metadata:
  name: set-pyrus-setup-param
  namespace: pyrus
spec:
  restartPolicy: Never
  containers:
  - name: set-pyrus-setup-param
    envFrom:
    - configMapRef:
        name: common-variables
    image: simplygoodsoftware/pyrus-setup: -- Ваша версия ДЦ
    imagePullPolicy: IfNotPresent
    args:
    - --configure-goskey
    - --public-cert-path /app/cert.cer
    - --container-path /app/container.zip
    - --container-password <пароль контейнера>
    - --api-key <uid госуслуг>
    - --private-keys-folder-name <название папки с ключами в контейнере>
    - --container-name <название контейнера>
    - --cert-serial <серийный номер сертификата>
    volumeMounts:
    - name: containers-cert
      mountPath: "/app/cert.cer"
      subPath: cert.cer
    - name: containers-cert
      mountPath: "/app/container.zip"
      subPath: container.zip
    - name: license.ini
      mountPath: "/etc/opt/cprocsp/license.ini"
      subPath: license.ini
  volumes:
  - name: containers-cert
    secret:
      secretName: containers-cert
      items:
      - key: cert.cer
        path: cert.cer
      - key: container.zip
        path: container.zip
  - name: license-ini
    secret:
      secretName: license-ini
      items:
      - key: license.ini
        path: license.ini
 

Примените манифест:

    kubectl apply -f pyrus-setup-params.yaml

Добавьте в values чарта значения для goskey в следующих разделах:

deployDefaultTemplate:
  pyrus-goskey-service: {}
 
countStrategy:
  pyrus-goskey-service:
    replicas: 1
    maxSurge: 0
    maxUnavailable: 1
    revisionHistoryLimit: 2

Обновите чарт с новыми параметрами.

Тестирование

Чтобы проверить, как работает подписание документов с помощью расширения Госключ, воспользуйтесь следующей инструкцией.