Výpočetní služba – zapnutí HTTPS

Výpočetní služba přepočítává docházku. Pokud běží na jiném stroji než aplikační server, posílá si s ním data po síti – a tehdy je vhodné spojení zašifrovat pomocí HTTPS. Tento návod popisuje ruční nastavení pro verzi 5.3.

Tip pro správce: Instalátor HTTPS sám nenastavuje, ale ručně provedené nastavení při aktualizaci zachová.

Kdy HTTPS potřebujete

Aplikační server posílá službě s každým požadavkem sdílený klíč v hlavičce X-Calculation-Key. Bez HTTPS putuje klíč i obsah požadavků po síti nešifrovaně.

Ve verzi 5.3 volá výpočetní službu pouze aplikační server (serverové API eNextu chodí přes něj). Nastavení se proto mění jen na dvou místech: ve službě a v konfiguraci aplikačního serveru.

Než začnete

Postup v kostce

1. Stroj se službou: najděte jméno certifikátu.

2. Stroj se službou: vytvořte soubor appsettings.Production.json s nastavením HTTPS.

3. Stroj se službou: firewall – nic není potřeba, volitelně pravidlo zúžíte.

4. Stroj s aplikačním serverem: změňte adresu služby na https://….

5. Oba stroje: restartujte služby a ověřte spojení.

Krok 1 – certifikát (stroj se službou)

V PowerShellu vypište certifikáty v úložišti počítače. Budete potřebovat jméno z pole Subject:

Get-ChildItem Cert:\LocalMachine\My | Format-List Subject, NotAfter, Thumbprint, HasPrivateKey

Zkontrolujte, že certifikát není prošlý (NotAfter) a má soukromý klíč (HasPrivateKey = True). Služba běží pod účtem LocalSystem, takže ke klíči v úložišti počítače má přístup bez dalšího nastavování.

Krok 2 – nastavení služby (stroj se službou)

Ve složce služby {instalace}\CalculationService vytvořte soubor appsettings.Production.json s tímto obsahem (jméno certifikátu a porty upravte podle sebe):

{
  "Kestrel": {
    "Endpoints": {
      "Http": { "Url": "http://localhost:2223" },
      "Https": {
        "Url": "https://*:2224",
        "Certificate": {
          "Subject": "vypocet.firma.local",
          "Store": "My",
          "Location": "LocalMachine"
        }
      }
    }
  }
}

Co jednotlivé části znamenají:

• Http – přesune nešifrovaný přístup jen na tento stroj (localhost). Řádek nevynechávejte: bez něj by původní adresa http://*:<port> z instalace zůstala otevřená do sítě vedle HTTPS. Port ponechte stejný jako při instalaci.

• Https.Url – hvězdička znamená všechna síťová rozhraní. Má-li stroj více síťových karet, je lepší uvést konkrétní IP adresu.

• Certificate.Subject – jméno z certifikátu z kroku 1. Certifikát jde načíst i ze souboru (Path + Password), heslo by ale bylo čitelně v souboru – proto doporučujeme úložiště.

• Ověřování volajícího se nemění – párování klíčem, které nastavil instalátor, zůstává.

Tip pro správce: Proč právě tento soubor? appsettings.json instalátor při každé instalaci skládá znovu. Soubor appsettings.Production.json nechává být a jeho hodnoty mají přednost – nastavení HTTPS tak přežije aktualizaci.

Krok 3 – firewall (stroj se službou)

Nic nového nastavovat nemusíte. Instalátor samostatné službě přidal pravidlo AktionNEXT.CalculationService pro program služby, platí tedy pro všechny její porty. U vícenásobné instalace má pravidlo za názvem jméno instance v závorce.

Volitelně můžete pravidlo zúžit jen na adresu aplikačního serveru:

Set-NetFirewallRule -DisplayName 'AktionNEXT.CalculationService' -RemoteAddress 10.0.0.15

Krok 4 – adresa služby (stroj s aplikačním serverem)

V souboru {instalace}\AppServer\AppServer.exe.config změňte adresu služby na HTTPS:

<add key="DochazkaVypocetSluzbaUrl" value="https://vypocet.firma.local:2224" />

• Jméno v adrese musí odpovídat certifikátu. IP adresa projde jen tehdy, když ji certifikát obsahuje.

• Klíče DochazkaVypocetSluzbaKlic a DochazkaVypocetVlastnik neměňte.

• Adresu jde zadat i v průvodci instalátoru – pole s adresou služby na jiném počítači přijme i https://.

• Verzi protokolu TLS určuje nastavení Windows. Na straně aplikačního serveru se nic dalšího nenastavuje.

Krok 5 – restart obou služeb

Restart-Service 'AktionNEXT.CalculationService'   # stroj se službou
Restart-Service 'AktionNext.AppServer'            # stroj s aplikačním serverem

U vícenásobné instalace mají obě služby v názvu příponu $INSTANCE.

Ověření

Kontroly spouštějte ze stroje s aplikačním serverem – ověříte tím i cestu přes síť a důvěru v certifikát.

[Net.ServicePointManager]::SecurityProtocol = 'Tls12'   # jen ve Windows PowerShell 5.1

# 1) dostupnost a platný certifikát: 200 + hlavička X-Calculation-Owner: Service
Invoke-WebRequest https://vypocet.firma.local:2224/health -UseBasicParsing |
    Select-Object StatusCode, Headers

# 2) nešifrovaný port už ze sítě dostupný není: TcpTestSucceeded = False
Test-NetConnection vypocet.firma.local -Port 2223

Spojení je v pořádku, když:

1. První dotaz vrátí 200 a hlavičku X-Calculation-Owner. Případná chyba certifikátu se projeví právě tady.

2. Druhý test skončí neúspěchem – port 2223 už poslouchá jen lokálně.

3. V logu aplikačního serveru ({instalace}\AppServer\AppServer.log) je po startu řádek „Vypocetni sluzba https://vypocet.firma.local:2224/ je pripravena.“ Tím je ověřené šifrované spojení i klíč.

4. V logu služby (CalculationService\logs\calculation-<datum>.log) je řádek „Autentizace: schéma ApiKey, povolení volající: …“ s volajícím AppServer (calc-admin).

5. Ruční přepočet jedné osoby z klienta proběhne bez chyby – projde celou cestou včetně ověření.

Co se stane při aktualizaci

Tip pro správce: Po každé aktualizaci zopakujte kontroly z kapitoly Ověření.

Časté potíže

Omezení

• Varování o nešifrovaném přístupu se u instalace z instalátoru nevypíše. Kontrola při startu služby adresu s hvězdičkou (http://*:<port>) nepozná. Na log se proto nespoléhejte – rozhoduje test portu z kapitoly Ověření.

• Aplikační server nemusí certifikát ověřovat. Synchronizace kalendářů s Exchange nebo Kerio a DataPro vypínají kontrolu certifikátů pro celý aplikační server. Spojení je pak šifrované, protistrana ale ověřená není a chybný certifikát se neohlásí.

• Ověřování účtem Windows (Negotiate) aktualizaci nepřežije. Instalátor aplikačního serveru se službou na jiném stroji zapíše klíč při každé instalaci a s vyplněným klíčem se server účtem nehlásí. Pro službu na jiném stroji proto používejte klíč + HTTPS.

• Klíč je uložený čitelně – v konfiguraci obou stran i v databázi. Ruční zašifrování (dpapi:) instalátor při další instalaci přepíše. Počet pokusů o přihlášení klíčem služba neomezuje.

• Od verze 5.4 bude službu volat přímo i serverové API eNextu. Pokud poběží na jiném stroji než služba, platí pro něj stejný požadavek na HTTPS a přibude mezi povolené volající v appsettings.Production.json.