PapaTramp/security-alert-center
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

docs: права /etc/ssl/sac — root:ssl-cert, www-data в группе

Browse Source
This commit is contained in:
PTah
2026-05-26 21:37:56 +10:00
parent a9bea3d276
commit d8a8329397
2 changed files with 42 additions and 7 deletions
Download Patch File Download Diff File Expand all files Collapse all files
docs/ssl-certificate.md
+22 -5
View File
@@ -40,9 +40,15 @@ nginx **не** понимает напрямую: `.pfx`, `.p12`, `.der` без
```bash
sudo mkdir -p /etc/ssl/sac
sudo chown root:ssl-cert /etc/ssl/sac
sudo chmod 750 /etc/ssl/sac
sudo groupadd -f ssl-cert
sudo usermod -aG ssl-cert www-data
```
Каталог **`root:ssl-cert` `750`**, не `root:root`: иначе у `www-data` нет права `x` (зайти в каталог), даже если ключ `640` и `root:ssl-cert`.
После копирования файлов:
```bash
@@ -50,15 +56,21 @@ sudo chmod 644 /etc/ssl/sac/fullchain.pem
sudo chmod 640 /etc/ssl/sac/privkey.pem
sudo chown root:root /etc/ssl/sac/fullchain.pem
sudo chown root:ssl-cert /etc/ssl/sac/privkey.pem
sudo chown root:ssl-cert /etc/ssl/sac
sudo chmod 750 /etc/ssl/sac
sudo systemctl restart nginx
```
Группа `ssl-cert` на Ubuntu нужна, чтобы **nginx** (пользователь `www-data`) мог читать ключ.
Группа `ssl-cert` нужна, чтобы **nginx** (`www-data`) читал ключ и обходил каталог. На Ubuntu в `ssl-cert` по умолчанию может быть только `postgres` — добавьте `www-data` (`usermod` выше).
Проверка, что nginx видит файлы:
Проверка:
```bash
sudo -u www-data test -r /etc/ssl/sac/fullchain.pem && echo "fullchain OK"
sudo -u www-data test -r /etc/ssl/sac/privkey.pem && echo "key OK"
id www-data # в groups должна быть ssl-cert
sudo -u www-data test -x /etc/ssl/sac && echo "dir OK" || echo "dir FAIL"
sudo -u www-data test -r /etc/ssl/sac/fullchain.pem && echo "fullchain OK" || echo "fullchain FAIL"
sudo -u www-data test -r /etc/ssl/sac/privkey.pem && echo "key OK" || echo "key FAIL"
```
---
@@ -84,6 +96,8 @@ sudo chmod 644 /etc/ssl/sac/fullchain.pem
sudo chmod 640 /etc/ssl/sac/privkey.pem
sudo chown root:root /etc/ssl/sac/fullchain.pem
sudo chown root:ssl-cert /etc/ssl/sac/privkey.pem
sudo chown root:ssl-cert /etc/ssl/sac
sudo chmod 750 /etc/ssl/sac
sudo rm -f /tmp/fullchain.pem /tmp/privkey.pem
```
@@ -164,6 +178,8 @@ sudo chmod 644 /etc/ssl/sac/fullchain.pem
sudo chmod 640 /etc/ssl/sac/privkey.pem
sudo chown root:root /etc/ssl/sac/fullchain.pem
sudo chown root:ssl-cert /etc/ssl/sac/privkey.pem
sudo chown root:ssl-cert /etc/ssl/sac
sudo chmod 750 /etc/ssl/sac
# очистка временных файлов
sudo shred -u server.crt ca-chain.crt privkey.pem 2>/dev/null
@@ -291,6 +307,7 @@ SAC_PUBLIC_URL=https://sac.kalinamall.ru
| `mac verify failure` | Неверный пароль PFX |
| `nginx: PEM_read_bio_X509_AUX() failed` | Неверный PEM, проверьте `fullchain.pem` текстом, нет ли `.der` без конвертации |
| `key values mismatch` | Ключ не от этой пары сертификатов |
| `permission denied` на key | `chown root:ssl-cert`, `chmod 640`; `sudo -u www-data test -r ...` |
| `test -r privkey.pem` без вывода / key FAIL | Каталог `chown root:ssl-cert`, `750`; `usermod -aG ssl-cert www-data`; `systemctl restart nginx` |
| `permission denied` на key | То же + `chmod 640` на ключ; `test -x /etc/ssl/sac` |
| Браузер/агент не доверяет | Неполная цепочка — добавьте intermediate в fullchain |
| `certificate has expired` | Продлить у УЦ, заменить файлы |