Installationspaket (Referenz)
Dateien, Eigenschaften und Verhalten des Installationspakets für Windows. Die Bedienung des Installationsprogramms beschreibt das Handbuch (Den Datendienst installieren); die Installation ohne Fenster die Anleitung Unbeaufsichtigt installieren.
Syntax
msiexec /i Wkl.Data.Gateway-<Version>.msi [EIGENSCHAFT=Wert]… /qn Wkl.Data.Gateway-Setup-<Version>.exe [EIGENSCHAFT=Wert]… /quiet
Parameter
Unter Windows richtet ein Installationspaket den Dienst ein; die Bedienung beschreibt das Handbuch (Den Datendienst installieren). Eine Lieferung enthält zwei Dateien derselben Version:
| Datei | Inhalt |
|---|---|
Wkl.Data.Gateway-<Version>.msi | Das Windows-Installer-Paket: Programm (eigenständig veröffentlicht, ohne .NET-Laufzeit auf dem Server), Windows-Dienst, Startmenü, win-acme. Eigene einfache Dialoge für den direkten Aufruf; ohne Fenster über die Eigenschaften unten |
Wkl.Data.Gateway-Setup-<Version>.exe | Das Installationsprogramm um dasselbe Paket mit eigener Oberfläche; es braucht .NET Framework 4.6.2, das Windows seit Windows 10 Version 1607 und Windows Server 2016 mitbringt, siehe Microsoft: .NET Framework versions and dependencies). Es bietet: Prüfung des Rechners, Zertifikatsauswahl aus dem Speicher, Let's Encrypt, Zusammenfassung mit der gleichwertigen Befehlszeile, Gesundheitsprobe am Ende. Ändern, Reparieren, Aktualisieren, Entfernen |
Sprachen. Das Installationsprogramm fragt zuerst nach der Sprache (Deutsch, Englisch,
Slowenisch; vorgewählt ist die Anzeigesprache von Windows) und zeigt danach alle Seiten und
Meldungen in dieser Sprache. Das Paket enthält dieselben drei Sprachen: Seine Dialoge erscheinen auf
Deutsch, mit TRANSFORMS=:1033 auf Englisch und mit TRANSFORMS=:1060 auf Slowenisch (eingebettete
Sprachtransformationen). Die Sprache bestimmt nur die Texte, nicht die Einstellungen: Eigenschaften,
Befehlszeile und Ergebnis sind in allen drei Sprachen gleich. Nur der vorgeschlagene Name der
Installation folgt der Sprache (Datendienst (…), Data service (…), Podatkovni prehod (…)).
Anmeldeverfahren nach der Installation. appsettings.Production.json setzt AuthMode auf
PersonalKey, Windows: persönliche Schlüssel und Windows-Konto; mit GW_MODE=iis nur PersonalKey
(siehe So betreiben Sie den Dienst hinter IIS oder einem Proxy). Dienstschlüssel (ApiKey) und die
SQL-Anmeldung (SqlLogin) schalten Sie in appsettings.Local.json im Programmordner zu, nicht in
appsettings.Production.json, die das Installationsprogramm beim „Ändern“ neu schreibt. Nennen Sie
dort die vollständige Liste, etwa "Gateway": { "Security": { "AuthMode": "PersonalKey, Windows, SqlLogin" } };
der Wert ersetzt den der Installation, er ergänzt ihn nicht.
Aufgabenteilung. Das Paket sammelt nur die Wahl und ruft das Programm selbst auf: setup-host
richtet Datenordner und Berechtigungen (Administratoren, System, Dienstkonto), den Hauptschlüssel (32
zufällige Byte, als Datei, nie ausgegeben), die Konfigurationsdatei appsettings.Production.json
(ohne Geheimnis, nur Verweise), das Zertifikat samt Leseberechtigung des Dienstkontos für seinen Schlüssel,
die Firewall-Regel, den Post-Quanten-Schlüsselaustausch und die Ereignisquelle ein; setup-remove
nimmt Firewall-Regel und Konfiguration wieder weg, mit --remove-data auch den Datenordner. So
bleibt die Logik im C#-Code des Dienstes statt in Skripten des Pakets, und kein Geheimnis läuft durch eine Eigenschaft des Pakets,
die im Installationsprotokoll stünde. Personen, Schlüssel und Kennwörter legt die Installation nie
an; den ersten Administrator legt init-admin außerhalb der Installation an (Startmenü
„Ersten Administrator anlegen“, Abschlussseite des Installationsprogramms).
Die Befehle setup-host und setup-remove beschreibt die Referenz Befehle.
Eigenschaften des Pakets (alle optional; dieselben Namen nimmt das Installationsprogramm mit
/quiet):
| Eigenschaft | Vorgabe | Bedeutung |
|---|---|---|
INSTALLFOLDER | %ProgramFiles%\Wkl\Data Gateway\ | Programmordner |
DATAFOLDER | %ProgramData%\Wkl.Data.Gateway | Speicher, Hauptschlüssel (geheim\hauptschluessel.key), Sicherungen |
GW_SERVICE_ACCOUNT | NT SERVICE\Wkl.Data.Gateway | Dienstkonto: virtuelles Konto oder gruppenverwaltetes Dienstkonto (DOMÄNE\name$); ein Konto mit Kennwort ist nicht vorgesehen |
GW_MODE | standalone | standalone: der Dienst spricht HTTPS selbst; iis: nur 127.0.0.1, IIS davor (vertrauter Proxy 127.0.0.1/::1, Vorlage iis\web.config) |
GW_PORT | 8434 | Unverschlüsseltes HTTP, nur auf 127.0.0.1: Entwicklung, Test, Gesundheitsprobe, IIS davor. Nie für Arbeitsplätze |
GW_HTTPS_PORT | 8433 | HTTPS auf jeder Adresse (eigenständig mit Zertifikat), angelehnt an 1433 von SQL Server |
GW_CERTIFICATE | – | Name des Zertifikats in LocalMachine\My; leer: nur HTTP auf diesem Rechner |
GW_SELFSIGNED | 0 | 1: selbstsigniertes Zertifikat anlegen, wenn keines da ist (ein Jahr, nur Proben) |
GW_ACCESS | internal | internet: Anmelderegeln für Herkünfte außerhalb von GW_NETWORKS (Verwaltung nach GW_ADMIN_OUTSIDE, Windows- und SQL-Anmeldung mit zweitem Faktor, Dienstschlüssel abgelehnt) |
GW_NETWORKS | 10.0.0.0/8,172.16.0.0/12,192.168.0.0/16 | Firmennetze; bei internal auch die zugelassenen Quellen der Firewall-Regel |
GW_ADMIN_OUTSIDE | deny | totp: Verwaltung von außen mit zweitem Faktor |
GW_FIREWALL | 1 | eingehende Regel Wkl.Data.Gateway HTTPS für den HTTPS-Port (bei iis 443) |
GW_INSTALLATION_NAME | Datendienst (<Rechnername>) | Name, unter dem eine Authenticator-App den zweiten Faktor führt (Gateway:Store:TotpIssuer); höchstens 64 Zeichen, ohne Doppelpunkt und Anführungszeichen. Die Einstellung installation_name der Verwaltung geht vor |
GW_SQL_SERVER | – | SQL Server, an dem das Dienstkonto eine Anmeldung braucht (wie in der Verbindungszeichenfolge, etwa .\SQLEXPRESS): setup-host legt das Skript dienstkonto-anmeldung.sql in den Datenordner. Leer: kein Skript. Nur bei einer Erstinstallation; das Paket merkt es sich nicht |
GW_SQL_DATABASES | – | Datenbanken, durch Komma getrennt, in denen das Skript dem Dienstkonto einen Benutzer anlegt |
GW_SQL_ROLES | readwrite | Rollen eines neuen Benutzers: readwrite (db_datareader, db_datawriter), read (db_datareader) oder none |
GW_PQ | 0 | 1: Enable-TlsEccCurve X25519_MLKEM768 -Position 0 für den ganzen Rechner; wird nie zurückgestellt |
GW_RECONFIGURE | – | 1 an einem installierten Dienst: „Ändern“ – setup-host erneut, Dienst neu starten |
GW_REMOVE_DATA | – | 1 beim Entfernen: auch den Datenordner löschen (nur, wenn er Hauptschlüssel oder Speicher enthält) |
Die Wahl merkt sich das Paket unter HKLM\SOFTWARE\Wkl\Data Gateway\Setup; „Ändern“ und eine
Aktualisierung gehen davon aus, eine Angabe auf der Befehlszeile gewinnt. Eine Aktualisierung
entfernt die alte Version (der Datenordner bleibt), schreibt die Konfiguration neu und sichert den
Speicher vor dem ersten Start der neuen Version mit backup-store --to-folder <DATAFOLDER>\sicherungen – ohne Sicherung keine Aktualisierung. Beim Entfernen bleiben Zertifikate,
die Post-Quanten-Einstellung von Windows und win-acmes Einstellungen stehen; die geplante Aufgabe
von win-acme entfernt setup-remove nur, wenn sie das mitgebrachte win-acme\wacs.exe startet.
Pakete zum Herunterladen. Eine Lieferung kann weitere Installationspakete mitbringen, etwa das des
ODBC-Treibers. Das Dienstpaket installiert sie in den Ordner downloads im Programmverzeichnis, die Vorgabe
von Gateway:Downloads:Path; der Dienst bietet sie dort unter GET /download/ an (siehe
HTTP-Vertrag). Bringt die Lieferung keine mit, gehört
der Ordner dem Betreiber, der dort eigene Pakete ablegen kann. Weil der Dienst diese Dateien ohne
Anmeldung ausliefert, gehört nur ein signiertes Paket ohne Geheimnisse dorthin – keine Verbindungsdaten,
keine Schlüssel.
Let's Encrypt. Das Paket bringt win-acme v2.2.9.1701 (Apache 2.0) mit den Erweiterungen für Cloudflare,
Azure DNS, Amazon Route 53 und Hetzner mit. Das Projekt veröffentlicht keine Prüfsummen und signiert
wacs.exe nur mit einem eigenen Zertifikat; jede Lieferung enthält deshalb nur die Dateien mit den
SHA-256-Werten des ersten Herunterladens. dbgwsvc-Zertifikat-LetsEncrypt.cmd [http|cloudflare|azure|route53|hetzner]
im Programmordner bestellt für den Namen aus GW_CERTIFICATE, legt das Zertifikat in LocalMachine\My und
gibt dem Dienstkonto Leseberechtigung für den Schlüssel (--acl-read); win-acme erneuert über seine geplante
Aufgabe auf dieselbe Weise. Voraussetzung ist ein öffentlich auflösbarer Name: für http aus dem Internet auf
Port 80 erreichbar, sonst eine Zone bei einem der genannten DNS-Anbieter.
Welches win-acme bestellt, entscheidet vorher dbgwsvc acme-client. Startet die geplante
Aufgabe win-acme renew (…) ein anderes, vorhandenes wacs.exe, bestellt und erneuert dieses; seine
Aufgabe und seine settings.json bleiben unverändert. Es braucht mindestens Version 2.2.9 (Dateiversion
von wacs.exe), sonst endet acme-client mit Rückgabe 1 und nennt die Version, und die Bestellung
startet nicht. Ohne solche Aufgabe, oder wenn ihr Programm fehlt, bestellt das mitgebrachte win-acme
und legt seine Aufgabe an.
Hersteller und rechtliche Hinweise
Hersteller des Datendienstes ist EMSR DATA, D.O.O. (Anschrift und Kontakt im Überblick). Diese Angaben trägt eine Installation:
| Stelle | Angabe |
|---|---|
| “Programme und Features” | Herausgeber EMSR DATA, D.O.O., Kontakt, Website https://wvds.it |
Dateieigenschaften der eigenen Programme und Bibliotheken (Wkl.*) | Firma EMSR DATA, D.O.O., Copyright © EMSR DATA, D.O.O. All rights reserved., Markenhinweis |
| Programmordner | THIRD-PARTY-NOTICES.txt (Fremdkomponenten und ihre Lizenzen), THIRD-PARTY-NOTICES.dotnet.txt und THIRD-PARTY-NOTICES.aspnetcore.txt (Fremdkomponenten der mitgelieferten .NET-Laufzeiten), LICENSE.md (Lizenzbedingungen von EMSR DATA; verbindlich ist die englische Version), SECURITY.md (Schwachstellen melden, unterstützte Versionen) und MANUFACTURER.md (Herstellerangaben, Ende der Unterstützung), alle drei auch auf Deutsch (.de.md) und Slowenisch (.sl.md), sowie sbom.cdx.json (Software-Stückliste, SBOM, im Format CycloneDX 1.6: jede installierte Datei mit Prüfsumme und die enthaltenen Fremdkomponenten mit Version und Lizenz) |
| Signatur | Installationsprogramm, Paket und alle eigenen Programme und Bibliotheken einer Lieferung sind mit dem Zertifikat von EMSR DATA, D.O.O. signiert, mit Zeitstempel. Fremdbibliotheken bleiben, wie ihr Herausgeber sie liefert |
Versionen bis 1.0.7 nennen als Herausgeber “The White Knight Labs”. Eine Aktualisierung erkennt sie trotzdem; der Eintrag in “Programme und Features” nennt danach den neuen Herausgeber.