Namestitev podatkovnega prehoda

Namestitveni program podatkovni prehod nastavi kot storitev Windows. Vpraša za način delovanja, račun storitve, mape, potrdilo, postkvantno zaščito in dostop, preveri vnose in vse nastavi. Oseb, ključev in virov podatkov ne ustvari; te nastavite pozneje.

Obstajata dve datoteki iste različice:

Obe nastavita isto: program pod %ProgramFiles%\Wkl\Data Gateway, storitev Windows Wkl.Data.Gateway (samodejni zagon), podatkovno mapo %ProgramData%\Wkl.Data.Gateway s skrbniško shrambo in naključno ustvarjenim glavnim ključem (berljivim le za skrbnike in račun storitve), konfiguracijsko datoteko, potrdilo, pravilo požarnega zidu in dva vnosa v meniju Start („Ustvari prvega skrbnika“, „Pridobi potrdilo Let's Encrypt“; v nemščini in angleščini z imeni v tem jeziku).

Predpogoji: 64-bitni Windows 10 ali 11 oziroma Windows Server 2016 ali novejši in pravice skrbnika (program zanje vpraša prek nadzora uporabniškega računa). Izvajalnega okolja .NET ni treba namestiti; paket ga vsebuje.

1. Zaženite Wkl.Data.Gateway-Setup-<različica>.exe. V oknu Izbira jezika izberite nemščino, angleščino ali slovenščino in potrdite z V redu; seznam je vnaprej nastavljen na jezik prikaza sistema Windows. Strani in njihova sporočila so nato v tem jeziku. Slike na tej strani prikazujejo nemške strani.

   

2. Licenca: licenčni pogoji družbe EMSR DATA v nemščini, angleščini ali slovenščini. Pravno zavezujoča je angleška različica. Nadaljevati je mogoče šele, ko izberete Strinjam se z licenčnimi pogoji. Ista besedila so po namestitvi v mapi programa (LICENSE.md, LICENSE.de.md, LICENSE.sl.md).

3. Predpogoji: program preveri Windows, pravice, vrata 8433 in 8434, IIS in potrdila v shrambi računalnika. Nadaljevati je mogoče, ko nobena postavka ni označena rdeče.

   

4. Način delovanja: zgoraj je Ime namestitve, predlagano kot „Podatkovni prehod (ime računalnika)“ (v nemščini „Datendienst (…)“, v angleščini „Data service (…)“). Pod tem imenom aplikacija Authenticator prikaže vnos za 2FA (dvostopenjsko preverjanje identitete) vsake osebe, na primer „Datendienst (Produktion): Erika Muster“. Izberite ga tako, da sta preizkusno in produkcijsko okolje ali dve stranki razločljivi (največ 64 znakov, brez dvopičja in narekovajev). Pozneje ga je mogoče spremeniti pod Spremeni ali v aplikaciji za upravljanje (glejte „Nastavitev ali ponastavitev 2FA“ (dokumentacija aplikacije za upravljanje)). Novo ime velja le za na novo nastavljene vnose v aplikaciji Authenticator; obstoječi vnosi obdržijo svoje ime.
   • Samostojna storitev Windows (privzeto): prehod HTTPS sprejema sam, na vratih HTTPS (privzeto 8433, po zgledu 1433 SQL Serverja). Vrata HTTP (privzeto 8434) odgovarjajo le na tem računalniku; namenjena so orodjem in preverjanju delovanja.

   • Za IIS (obratni posrednik): IIS sprejema na vratih 443 in posreduje prehodu na 127.0.0.1. Glejte Napotki.

     Nešifrirani HTTP le za razvoj in preizkuse. Vrata 8434 sprejemajo zahteve brez šifriranja, zato bi se ključi in gesla tam prenašali nešifrirano. Iz tega razloga odgovarjajo le na tem računalniku. Delovne postaje (gonilnik, Excel, Power BI, aplikacija za upravljanje) se vedno povezujejo prek HTTPS (8433 oziroma 443 za IIS); na samem strežniku so vrata 8434 namenjena le preizkusom, preverjanju delovanja in nujnim primerom.

     Če so vrata zasedena, jih program označi rdeče in dovoli nadaljevanje šele, ko vnesete prosta vrata:

     

     S prostimi vrati:

     

5. Račun storitve: navidezni račun NT SERVICE\Wkl.Data.Gateway (privzeto) ali skupinsko upravljan račun storitve (DOMENA\ime$). Račun z geslom ni ponujen. Viri podatkov z integrirano varnostjo se pod tem računom prijavijo v SQL Server, zato račun tam potrebuje prijavo. Če SQL Server teče na drugem računalniku, navidezni račun vidi kot račun računalnika strežnika (DOMENA\RAČUNALNIK$); prijavo potrebuje v tem primeru ta račun.

   

6. SQL Server: viri podatkov z integrirano varnostjo potrebujejo za račun storitve prijavo v SQL Server in uporabnika v vsaki podatkovni zbirki; do takrat se končajo z napako 18456 oziroma 4060.
   • Ne ustvari: oboje nastavijo skrbniki podatkovnih zbirk sami (glejte Napotki).
   • Pripravi skript (privzeto): program zapiše dienstkonto-anmeldung.sql v podatkovno mapo. Skrbniki podatkovnih zbirk ga zaženejo, na primer z sqlcmd -S <strežnik> -E -i dienstkonto-anmeldung.sql.

   • Ustvari zdaj: po namestitvi program sam ustvari prijavo in uporabnike z vašim računom Windows. Vaš račun za to potrebuje dovoljenje v SQL Serverju, na primer kot član vloge sysadmin. Skript se kljub temu zapiše v podatkovno mapo.

     Vnesite SQL Server (kot v nizu povezave, na primer .\SQLEXPRESS), podatkovne zbirke (ločene z vejico) in vloge novega uporabnika: Branje in pisanje (db_datareader, db_datawriter, privzeto), Samo branje ali Brez vloge. Če SQL Server teče na drugem računalniku, je prijava za račun računalnika (DOMENA\RAČUNALNIK$). Kar že obstaja, ostane nespremenjeno, tudi vloge; drugi zagon ne spremeni ničesar. Če dovoljenja ne zadoščajo, stran Končano navede številko napake SQL Serverja, namestitev pa ostane.

     

7. Mape: programska in podatkovna mapa, ločeni.
8. Potrdilo:
   • Obstoječe potrdilo iz shrambe računalnika (seznam z izdajateljem in potekom);
   • Let's Encrypt: javno ime (na primer daten.firma.de) in dokazilo prek DNS (Cloudflare, Azure DNS, Amazon Route 53, Hetzner) ali prek HTTP (vrata 80 dosegljiva iz interneta). Potrdilo se naroči po namestitvi v ločenem oknu;

   • Samopodpisano, le za preizkuse v omrežju podjetja.

     

9. Postkvantna zaščita: izklopljeno (privzeto) ali hibridna izmenjava ključev X25519MLKEM768. Nastavitev velja za ves računalnik. Pogoj je različica sistema Windows, ki to izmenjavo ključev podpira; če je Windows ne pozna, nastavitev ne uspe in namestitev se razveljavi.

10. Dostop: Samo v omrežju podjetja (privzeto; pravilo požarnega zidu dopušča le vpisana omrežja podjetja – brez vpisanih omrežij le lokalno podomrežje strežnika; prehod sam pri tej izbiri ničesar ne omejuje po izvoru) ali Tudi iz interneta z omrežji podjetja in izbiro, ali je skrbništvo od zunaj zaklenjeno ali zahteva 2FA. Stran prikaže pravila prijave, ki se pri tem ustvarijo. Ta pravila veljajo le za novo skrbniško shrambo. Ko spreminjate obstoječo namestitev, pravila v shrambi ostanejo nespremenjena, namestitveni program pa to zapiše v dnevnik. Prilagodite jih v aplikaciji za upravljanje.

    

11. Povzetek: preverite izbire. Pod Ukazna vrstica za distribucijo programske opreme je ista namestitev zapisana kot klic msiexec. Izberite Namesti in potrdite poziv nadzora uporabniškega računa.

    

12. Končano: program preveri, ali prehod odgovarja (/health/live), in po korakih pokaže, kaj je bilo ustvarjeno v SQL Serverju ali je že obstajalo (pri Ustvari zdaj), oziroma kje je skript. Pustite označeno Ustvari prvega skrbnika zdaj: ko izberete Zapri, se odpre konzolno okno z init-admin; nadaljujte z navodilom Ustvarjanje prvega skrbnika. Pri Let's Encrypt se dodatno odpre win-acme za naročilo.

Rezultat: prehod teče in odgovarja. Skrbništvo ostane zaklenjeno, dokler ne ustvarite prvega skrbnika.

V konzoli storitev (services.msc) je prehod naveden kot WKL Database Gateway s stanjem „Se izvaja“, vrsto zagona „Samodejno“ in izbranim računom storitve:

Nameščena storitev v konzoli storitev (nemška različica sistema Windows).

Navidezni račun storitve v lastnostih storitve. Gesla nima.

V ukaznem pozivu (cmd) kot skrbnik:

msiexec /i Wkl.Data.Gateway-<različica>.msi /qn GW_HTTPS_PORT=8433 GW_CERTIFICATE=daten.firma.de ^
  GW_ACCESS=internal GW_NETWORKS="10.0.0.0/8,192.168.0.0/16" /l*v %TEMP%\gw-install.log

Izhodna koda 0 pomeni uspeh, 3010 uspeh s potrebnim ponovnim zagonom; vsaka druga koda pomeni napako, katere razlog je zapisan v dnevniku (poiščite Rückgabewert 3 oz. Return value 3).

Z uporabniškim vmesnikom (msiexec /i brez /qn) paket prikaže pogovorna okna v nemščini; TRANSFORMS=:1033 jih prikaže v angleščini, TRANSFORMS=:1060 v slovenščini.

Iste podatke namestitveni program sprejme z /quiet. Pri namestitvi brez oken se init-admin ne zažene; dnevnik dogodkov (vir Wkl.Data.Gateway) navede naslednji korak. Vse lastnosti so v referenčnem priročniku namestitvenega paketa.

Namestitveni program zaženite znova (ali „Aplikacije in funkcije“ > WKL Database Gateway > „Spremeni“):

Novejša različica posodobi nameščeno: prevzame nastavitve in pred tem skrbniško shrambo varnostno kopira v %ProgramData%\Wkl.Data.Gateway\sicherungen. Če varnostna kopija ne uspe, se posodobitev ne izvede.

• Prijava računa storitve v SQL Server. Vir podatkov s prijavo Windows (Integrated Security) se prijavi z računom storitve. Dokler SQL Server zanj nima prijave in v podatkovni zbirki uporabnika, preizkus povezave ne uspe s failure = Login (18456) oz. Database (4060). Katero ime je mišljeno (na istem računalniku račun storitve, z drugega računalnika račun računalnika), vrne `GET /admin/v1/service-account`. Skrbništvo podatkovne zbirke ustvari oboje, na primer za branje in pisanje:

  CREATE LOGIN [NT SERVICE\Wkl.Data.Gateway] FROM WINDOWS;   -- drug računalnik: [FIRMA\SRV-DATEN$]
  USE [Fachdaten];
  CREATE USER [NT SERVICE\Wkl.Data.Gateway] FOR LOGIN [NT SERVICE\Wkl.Data.Gateway];
  ALTER ROLE db_datareader ADD MEMBER [NT SERVICE\Wkl.Data.Gateway];
  ALTER ROLE db_datawriter ADD MEMBER [NT SERVICE\Wkl.Data.Gateway];

  Za vire podatkov samo za branje zadošča db_datareader; procedure potrebujejo EXECUTE. Z Persons = Impersonate račun potrebuje še IMPERSONATE, glejte posredovanje identitete.

  Enako kot skript, ki obstoječega ne spreminja, ustvari ukaz service-login v programski mapi, tudi po namestitvi, na primer za dodatno podatkovno zbirko:

  "%ProgramFiles%\Wkl\Data Gateway\Wkl.Data.Gateway.exe" service-login --server .\SQLEXPRESS --database Fachdaten --script dienstkonto-anmeldung.sql

  Z --apply namesto --script prijavo in uporabnike takoj ustvari, z vašim računom Windows. Vse možnosti so v razdelku Ukazi.

• Varnostno kopirajte glavni ključ. Brez datoteke geheim\hauptschluessel.key v podatkovni mapi je shramba neberljiva. Po namestitvi jo varnostno kopirajte zunaj strežnika, glejte Varnostno kopiranje, obnovitev in selitev skrbniške shrambe.
• Za IIS. Program ne namesti niti IIS niti njegovih modulov URL Rewrite in Application Request Routing. V programsko mapo zapiše predlogo iis\web.config (posredovanje prehodu, preusmeritev s HTTP na HTTPS). V IIS ustvarite spletno mesto z vezavo na vrata 443 in svojim potrdilom, kot vsebino pa uporabite to predlogo; dovolite tudi strežniško spremenljivko HTTP_X_FORWARDED_PROTO. Za to predlogo se uporabniki prijavijo s ključem ali z računom SQL Server, ne z računom Windows: IIS zahteve različnih uporabnikov posreduje prek skupnih povezav, prijava Windows pa velja za povezavo. Glejte Delovanje prehoda za strežnikom IIS ali drugim posredniškim strežnikom.
• Let's Encrypt potrebuje javno ime; za prehod le v omrežju podjetja je primerno dokazilo prek DNS. win-acme sam vpraša za strinjanje s pogoji, e-poštni naslov in dostop do vmesnika DNS, podatke shrani zaščiteno in potrdilo pravočasno obnovi z lastnim načrtovanim opravilom. Prehod novo potrdilo prevzame brez ponovnega zagona. Če računalnik potrdila že obnavlja z drugim win-acme (na primer za spletna mesta v IIS), ta naroči in obnavlja tudi potrdilo podatkovnega prehoda, njegovo opravilo pa ostane nespremenjeno. Potrebna je različica 2.2.9 ali novejša; če je starejša, se naročilo prekine z navedbo najdene različice in ne spremeni ničesar. Kateri win-acme naroča, pokaže okno naročila.
• Kaj ostane po odstranitvi: potrdila v shrambi, postkvantna nastavitev sistema Windows ter nastavitve win-acme (%ProgramData%\win-acme). Načrtovano opravilo win-acme program odstrani le, če zaganja priloženi win-acme; opravilo drugega win-acme ostane.
• Dnevnik. Zadnja stran vsebuje povezavo na dnevnik namestitve; vsak zagon ga zapiše v %TEMP%\Wkl_Datendienst_*.log. Ne vsebuje ne glavnega ključa ne osebnega ključa.

• Ustvarjanje prvega skrbnika
• „Povezava vira podatkov“ (dokumentacija aplikacije za upravljanje)
• Varnostno kopiranje, obnovitev in selitev skrbniške shrambe
• Referenčni priročnik: Namestitveni paket (Windows), Potrdilo brez ponovnega zagona