Keycyte PAM 3.2 · Kurulum Kılavuzu

Sertifikalar

Keycyte PAM, web arayüzlerini yalnızca HTTPS üzerinden sunar ve LDAP dizinlerine TLS üzerinden bağlanır. Kurulum betiğini çalıştırmadan önce aşağıdaki dosyaları hazırlayın ve kurulum paketi klasörüne yerleştirin.

Kurulum betiği dosyaları, PAM sunucusuna /app olarak bağlanan ~/keycyte dizinine kopyalar. Kopyalamadan sonra localhost.p12 ya da cacerts.pem eksikse uyarı verir.

HTTPS Sertifikası

PAM sunucusu, başlangıçta HTTPS sertifikasını aşağıdaki sırayla yükler:

1. Bir MASTER yöneticisinin Yönetici Paneli’nde Ayarlar > Web TLS Sertifikası sayfasında uyguladığı sertifika. Bu sertifika veritabanında saklanır.
2. KEYCYTE_SERVER_TLS_KEYSTORE değişkenindeki PKCS#12 anahtar deposu (kurulum paketinde: /app/localhost.p12); KEYCYTE_SERVER_TLS_PASSWORD değişkenindeki parolayla açılır.
3. PAM sunucusunun her başlangıçta ürettiği geçici, kendinden imzalı bir sertifika. Tarayıcılar bu sertifika için güven uyarısı gösterir.

Üçüncü düzey, yapılandırılan sertifika eksik, süresi dolmuş ya da bozuk olsa bile PAM sunucusunun HTTPS üzerinden dinlemeye başlamasını sağlar. Bu durumda oturum açıp tarayıcı uyarısını kabul ederek geçerli bir sertifika yükleyebilirsiniz.

localhost.p12 anahtar deposu, yalnızca Yönetici Paneli’nde bir sertifika uygulanana kadar kullanılır. Kurulumdan sonra HTTPS sertifikasını Ayarlar > Web TLS Sertifikası sayfasında yönetin. Bkz. Web TLS Sertifikasını Yapılandırma.

HTTPS Sertifikası Gereksinimleri

Sertifikayı aşağıdaki koşulları sağlayacak şekilde planlayın:

• kullanıcıların tarayıcıya yazdığı DNS adı (örneğin pam.example.com) için düzenlenmiş olmalıdır;
• en az 2048 bit RSA anahtarı ya da P-256 veya P-384 eğrisinde ECDSA anahtarı kullanmalıdır;
• kullanıcı iş istasyonlarının güvendiği bir CA tarafından, varsa ara sertifikalarla birlikte düzenlenmiş olmalıdır.

Tarayıcılar Ed25519, DSA ve ECDSA P-521 anahtarlarıyla TLS el sıkışmasını tamamlayamadığı için Keycyte PAM bu anahtarları kabul etmez.

LDAP CA Dosyası

cacerts.pem, LDAPS ya da StartTLS üzerinden LDAP sunucularını doğrulamak için kullanılan CA sertifikalarını içerir. Dosyanın yolu, kurulum paketinin .env dosyasındaki LDAP_CA_CERT değişkeninde tanımlıdır (/app/cacerts.pem). PAM sunucusu bu sertifikaları sistem CA deposuna ekler.

LDAP sunucu sertifikalarını daha sonra, bir dizin bağlantısını yapılandırırken Yönetici Paneli’nden de ekleyebilirsiniz. Bkz. Yönetici Kılavuzu, Ayarlar > Doğrulama bölümü.