Включение HTTPS
Для кого: администраторы рабочей области на сервере с одной организацией (иначе IT-администратор), с помощью IT-администратора · Время: около 10 минут
Обзор
HTTPS шифрует соединение между браузерами и вашим сервером, поэтому пароли и данные нельзя прочитать в сети. Он также нужен для микрофонов в созвонах, для единого входа через Microsoft 365 и для подключения почтовых ящиков Gmail или Outlook.
Выберите вариант
| Вариант | Когда использовать | Что нужно |
|---|---|---|
| Сертификат вашей компании | Рекомендуется | Файл сертификата (.crt, .cer или .pem) и файл его закрытого ключа (.key или .pem), выпущенные для имени сервера вашим IT-отделом или поставщиком сертификатов. Если у вас есть промежуточные сертификаты, включите их в файл сертификата. |
| Собственный сертификат сервера | Ничего не нужно покупать | IT-администратор устанавливает корневой сертификат сервера на компьютеры компании (например групповой политикой). До этого браузеры показывают предупреждение. |
| Автоматически (Let's Encrypt) | Только для публичного имени | Имя сервера доступно в интернете, и порты 80 и 443 ведут на этот сервер. |
Порядок действий
- Попросите IT-администратора добавить DNS-имя сервера в DNS компании (например workspace.company.uz). С собственным сертификатом сервера подойдёт и IP-адрес.
- Откройте Настройки рабочей области → HTTPS.
- В разделе Как включить HTTPS выберите вариант.
- Введите Имя сервера.
- Для сертификата вашей компании: нажмите Выбрать файл в полях Файл сертификата и Файл закрытого ключа. Закрытый ключ хранится на сервере в зашифрованном виде.
- Нажмите Сохранить. Сервер переключится в течение нескольких секунд.
- Нажмите Проверить HTTPS, чтобы убедиться, что всё работает.
- Откройте новый HTTPS-адрес, войдите снова, вернитесь в Настройки рабочей области › HTTPS и включите Перенаправлять всех на HTTPS. Этот переключатель можно включить только со страницы, открытой по HTTPS, — так никто не останется без доступа. С вариантом Автоматически (Let's Encrypt) переключателя нет: сотрудники перенаправляются на HTTPS автоматически.
- Откройте Настройки рабочей области › Почтовый сервер и проверьте, что Веб-адрес начинается с https://.
Собственный сертификат сервера: корневой сертификат
При этом варианте нажмите Скачать корневой сертификат на вкладке HTTPS и передайте файл IT-администратору. Он устанавливает его на компьютеры компании как доверенный корневой сертификат:
- Windows: Group Policy › Trusted Root Certification Authorities (доверенные корневые центры сертификации)
- Mac: Keychain Access › System › Always Trust
После этого браузеры открывают сервер без предупреждений.
Если что-то пошло не так
Приложение остаётся доступным по адресу http://<IP сервера>:3000, а IT-администратор может выключить HTTPS на сервере командой docker compose exec app dw https off (в папке /opt/digital-workspace).
Совет
В вашей компании уже есть свой обратный прокси (nginx, IIS)? Направьте его на порт 3000 и оставьте HTTPS выключенным в Настройках рабочей области. Затем разрешите доступ к порту 3000 только с этого прокси (см. статью «Чек-лист безопасности и эксплуатации»).
Устранение неполадок
| Симптом | Решение |
|---|---|
| «На этом сервере ещё нет встроенного веб-прокси» | Сначала установите последнее обновление (см. статью «Установка обновлений»). |
| Браузеры показывают предупреждение о сертификате | С собственным сертификатом сервера установите корневой сертификат на компьютеры. С сертификатом вашей компании проверьте, что он выпущен точно для имени сервера и содержит промежуточные сертификаты. |
| У вас файл .pfx | Попросите IT-администратора преобразовать его: openssl pkcs12 -in cert.pfx -out cert.pem -nodes. |
| Перенаправлять всех на HTTPS не включается | Откройте страницу по показанному HTTPS-адресу и попробуйте снова. |
Эти статьи есть и в базе знаний на вашем сервере после обновления.