Чек-лист безопасности и эксплуатации

Для кого: IT-администратор и администраторы рабочей области · Время: около 30 минут один раз, затем несколько минут в месяц

Кратко

Приоритет	Задача	Кто	Как часто
Обязательно	Ограничьте порт 3000 самим сервером и компьютерами администраторов	IT-администратор	Один раз
Обязательно	Храните надёжную копию файла настроек (.env)	IT-администратор	Один раз и после каждого изменения
Обязательно	Копируйте резервные копии за пределы сервера	IT-администратор	Ежедневно (автоматически)
Обязательно	Держите не менее двух администраторов рабочей области	Администратор рабочей области	Всегда
Обязательно	Деактивируйте ушедших сотрудников	Администратор рабочей области	Когда кто-то уходит
Желательно	Следите за правильностью часов и часового пояса сервера	IT-администратор	Один раз (автоматическая синхронизация)
Желательно	Следите за местом на диске и проверкой состояния	IT-администратор	Мониторинг
Желательно	Проверяйте все службы после перезапуска сервера	IT-администратор	После каждого перезапуска
Желательно	Обновляйте сертификаты и секреты до истечения срока	IT-администратор	До каждой даты окончания
Необязательно	Настройте SPF и DKIM для домена отправителя	IT-администратор	Один раз

1. Порт 3000

Обязательно

Порт 3000 открывает приложение напрямую по обычному http в обход HTTPS, поэтому отправленные через него пароли можно прочитать в сети. Разрешите его в межсетевом экране только с самого сервера и с компьютеров администраторов.

Оставьте его на экстренный случай: если HTTPS перестанет работать, администраторы смогут войти по адресу http://<IP сервера>:3000 и исправить проблему.

2. Файл настроек

Внимание

Файл /opt/digital-workspace/.env не входит в резервные копии. В нём хранится ключ (AUTH_SECRET), который защищает сохранённые пароли и сертификаты. Без него при восстановлении на новом сервере они будут потеряны.

Храните копию в хранилище паролей компании или в другом надёжном месте вне сервера.
Обновляйте копию после каждого изменения файла (например после добавления ключей Google или Microsoft).
Читать этот файл на сервере должны иметь возможность только администраторы.

3. Резервные копии за пределами сервера

Ночные резервные копии остаются на диске самого сервера, пока IT-отдел не скопирует их в другое место. Команда для копирования и порядок восстановления описаны в статье «Резервные копии и восстановление».

4. Два администратора рабочей области

Обязательно

На сервере с одной организацией администраторы рабочей области управляют также лицензией, обновлениями, резервными копиями и HTTPS. Держите не менее двух администраторов, чтобы компания не осталась без доступа, когда один из них отсутствует или уходит.

Пригласите второго администратора в Настройках рабочей области › Пригласить администратора рабочей области. Если войти не может ни один администратор, IT-администратор может создать на сервере одноразовую ссылку для входа (см. статью «Помощь и команды сервера»).

5. Ушедшие сотрудники

В последний рабочий день сотрудника отключите его в разделе Управление пользователями (переключатель Активен/Выкл). Он сразу теряет доступ, а его место освобождается.
При едином входе отключите также его учётную запись Microsoft — тогда он вообще не сможет войти.
Его записи, документы и история остаются в рабочей области.

6. Часы и часовой пояс сервера

Включите на сервере автоматическую синхронизацию времени (NTP). Если часы переведены назад, вкладка «Лицензия» предупредит вас, потому что сроки лицензии считаются от самого позднего времени, которое видел сервер.
Часовой пояс сервера (TZ в .env, задаётся установщиком) определяет, когда выполняются ночное резервное копирование и автоматические обновления. Он не зависит от часового пояса рабочей области, который видят коллеги.

7. Место на диске и состояние

Загруженные файлы и резервные копии со временем растут. Настройте оповещение при заполнении диска на 80%. При заполненном диске первыми перестают работать резервное копирование и обновления.
Добавьте проверку состояния в мониторинг: https://<your address>/api/health отвечает 200 с версией, когда приложение и база данных работают, и 503, когда база данных не отвечает.

Совет

Кроме приложения, должна работать служба scheduler. Без неё уведомления, напоминания, письма рассылок и правила автоматического завершения созвонов незаметно перестают работать. Её видно в выводе docker compose ps.

8. Перезапуски и обновления сервера

Устанавливайте обновления операционной системы и Docker как обычно. После перезапуска все службы запускаются сами.
После каждого перезапуска выполните docker compose ps в папке /opt/digital-workspace: должны работать app, db, proxy, scheduler и updater (и livekit для созвонов).
Сам Digital Workspace обновляйте только в Настройках рабочей области › Обновления (см. статью «Установка обновлений»).

9. Сертификаты и секреты с ограниченным сроком

Что	Где посмотреть дату	Что сделать до окончания
HTTPS-сертификат вашей компании	Настройки рабочей области › HTTPS (действует до)	Загрузите обновлённый сертификат и ключ. Let's Encrypt и собственный сертификат сервера продлеваются сами.
Секрет клиента Microsoft для единого входа	Настройки рабочей области › Безопасность (Срок действия секрета)	Создайте новый секрет в Entra и вставьте его.
Секрет Microsoft или Google для почтовых ящиков	Entra или Google Cloud console	Создайте новый секрет и обновите .env.
Лицензия	Настройки рабочей области › Лицензия (Действует до)	Свяжитесь с поставщиком (см. статью «Лицензия, места и продление»).

10. Письма попадают в спам

Все письма, включая рассылки на много адресатов, отправляются через почтовый сервер компании.

Попросите почтовую службу опубликовать записи SPF и DKIM для домена адреса отправителя, чтобы получатели доверяли письмам.
Перед крупными рассылками проверьте ограничения почтового сервера на отправку. Некоторые серверы разрешают лишь несколько сотен писем в час.

← 5. Включение HTTPS 7. Безопасность входа для всего сервера →

Эти статьи есть и в базе знаний на вашем сервере после обновления.

Нужна помощь? Пишите на info@digitalworkspace.app.