Все данные хранятся в специально отведенных для этого каталогах, томах данных, которые находятся по следующему адресу:

• /var/log/r7-office для лог-файлов Р7-Офис. Профессиональный. Сервер документов
• /var/www/r7-office/Data для сертификатов
• /var/lib/r7-office для кэша файлов
• /var/lib/postgresql для базы данных

Для получения доступа к данным извне контейнера надо монтировать папку хоста к контейнеру. Это можно сделать, указав значение параметра -v в команде docker run.

sudo docker run -i -t -d -p 80:80 --restart=always \
    -v /app/r7-office/DocumentServer/logs:/var/log/r7-office  \
    -v /app/r7-office/DocumentServer/data:/var/www/r7-office/Data  \
    -v /app/r7-office/DocumentServer/lib:/var/lib/r7-office \
    -v /app/r7-office/DocumentServer/db:/var/lib/postgresql  r7office/documentserver-ee

Обычно нет необходимости хранить данные контейнера, поскольку работа контейнера не зависит от их состояния. Сохранение данных будет полезно:

• для обеспечения быстрого доступа к данным контейнера, таким как лог-файлы;
• для снятия ограничений по объему данных внутри контейнера;
• при использовании сервисов, запускаемых извне контейнера, таких как PostgreSQL, Redis, RabbitMQ.

sudo docker run -i -t -d -p 443:443 --restart=always \
-v /app/r7-office/DocumentServer/data:/var/www/r7-office/Data  r7office/documentserver-ee

Для предотвращения несанкционированного доступа к информации вы можете обезопасить доступ к приложению r7-office, используя протокол SSL. SSL-сертификат, заверенный центром сертификации, предусматривает проверку отношений доверия через центр сертификации, но самоподписанные сертификаты могут обеспечить такой же уровень проверки отношений доверия, поскольку каждый клиент предпринимает ряд дополнительных мер для проверки подлинности вашего сайта. Ниже приведены инструкции о том, как обеспечить безопасный доступ к приложению r7-office.

Для обеспечения безопасного доступа к приложению с помощью SSL в принципе нужны две вещи:

• Закрытый ключ (.key)
• SSL-сертификат (.crt)

Итак, вам надо создать и установить следующие файлы:

/app/r7-office/DocumentServer/data/certs/r7-office.key /app/r7-office/DocumentServer/data/certs/r7-office.crt

При использовании сертификатов, заверенных центром сертификации, эти файлы вам предоставляет центр сертификации (в таком случае пропустите следующий раздел). При использовании самоподписанных сертификатов вам надо сгенерировать эти файлы самостоятельно.

Генерация самоподписанных сертификатов

Генерация самоподписанных SSL-сертификатов включает в себя три простых шага:

ШАГ 1: Создайте закрытый ключ сервера

openssl genrsa -out r7office.key 2048

ШАГ 2: Создайте запрос подписи сертификата (CSR)

openssl req -new -key r7office.key -out r7-office.csr

ШАГ 3: Подпишите сертификат с помощью закрытого ключа и CSR

openssl x509 -req -days 365 -in r7office.csr -signkey r7office.key -out r7office.crt

Вы только что сгенерировали SSL-сертификат со сроком действия 365 дней.

Усиление безопасности сервера

В этом разделе приводятся инструкции по усилению безопасности вашего сервера.

Для этого необходимо сгенерировать параметры Диффи-Хеллмана (DHE), обеспечивающие более высокую стойкость.

openssl dhparam -out dhparam.pem 2048

Установка SSL-сертификатов

Из четырех ранее сгенерированных файлов на сервер r7office необходимо установить файлы r7-office.key, r7-office.crt и dhparam.pem. Файл CSR не требуется, но убедитесь, что вы создали его резервную копию (на случай, если он вам снова понадобится).

По умолчанию приложение r7office настроено для поиска SSL-сертификатов в каталоге /var/www/r7-office/Data/certs. Этот путь можно изменить, используя параметры настройки SSL_KEY_PATH, SSL_CERTIFICATE_PATH и SSL_DHPARAM_PATH.

Путь /var/www/r7-office/Data/ — это путь к хранилищу данных. Вам надо создать папку с именем certs в каталоге /app/r7-office/DocumentServer/data/ и скопировать файлы в нее, а также в качестве меры безопасности необходимо изменить права доступа к файлу r7-office.key, чтобы он был доступен на чтение только владельцу.

mkdir -p /app/r7-office/DocumentServer/data/certs cp r7-office.key /app/r7-office/DocumentServer/data/certs/
cp r7-office.crt /app/r7-office/DocumentServer/data/certs/ cp dhparam.pem /app/r7-office/DocumentServer/data/certs/ chmod 400 /app/r7-office/DocumentServer/data/certs/r7-office.key

И перезапустите Docker-контейнер:

sudo docker restart {{DOCUMENT_SERVER_ID}}

Остался всего один шаг, чтобы обеспечить безопасный доступ к приложению.

Доступные параметры настройки

Ниже приводится полный список параметров, которые можно настроить, используя переменные среды.

• R7OFFICE_HTTPS_HSTS_ENABLED: Дополнительный параметр настройки для отключения HSTS (HTTP Strict Transport Security). Применяется только в тех случаях, когда используется SSL. По умолчанию задано значение true.
• R7OFFICE_HTTPS_HSTS_MAXAGE: Дополнительный параметр настройки для задания параметра max-age HSTS в конфигурации виртуального хоста NGINX для r7office. Применяется только в тех случаях, когда используется SSL. По умолчанию задано значение 31536000.
• SSL_CERTIFICATE_PATH: Путь к используемому SSL-сертификату. По умолчанию задано значение /var/www/r7-office/Data/certs/r7-office.crt.
• SSL_KEY_PATH: Путь к закрытому ключу SSL-сертификата. По умолчанию задано значение /var/www/r7-office/Data/certs/r7-office.key.
• SSL_DHPARAM_PATH: Путь к параметру Диффи-Хеллмана. По умолчанию задано значение /var/www/r7-office/Data/certs/dhparam.pem.
• SSL_VERIFY_CLIENT: Включение проверки сертификатов клиента с помощью файла CA_CERTIFICATES_PATH file. По умолчанию задано значение false.
• POSTGRESQL_SERVER_HOST: IP-адрес или имя хоста, на котором запущен сервер PostgreSQL.
• POSTGRESQL_SERVER_PORT: Номер порта сервера PostgreSQL.
• POSTGRESQL_SERVER_DB_NAME: Имя базы данных PostgreSQL, которая должна создаваться при запуске образа.
• POSTGRESQL_SERVER_USER: Имя нового пользователя с правами суперпользователя для учетной записи PostgreSQL.
• POSTGRESQL_SERVER_PASS: Пароль, заданный для учетной записи PostgreSQL.
• AMQP_SERVER_URL: AMQP URL для подключения к серверу менеджера сообщений.
• AMQP_SERVER_TYPE: Тип менеджера сообщений. Поддерживаются значения rabbitmq или activemq. По умолчанию задано значение rabbitmq.
• REDIS_SERVER_HOST: IP-адрес или имя хоста, на котором запущен Redis.
• REDIS_SERVER_PORT: Номер порта сервера Redis.
• NGINX_WORKER_PROCESSES: Определяет число рабочих процессов NGINX.
• NGINX_WORKER_CONNECTIONS: Задаёт максимальное число соединений, которые одновременно может открыть рабочий процесс NGINX.
• JWT_ENABLED: Управляет включением валидации посредством JSON веб-токена Р7-Офис. Профессиональный. Сервер документов. По умолчанию задано значение false.
• JWT_SECRET: Определяет секретный ключ для валидации JSON веб-токена при запросе к Р7-Офис. Профессиональный. Сервер документов. По умолчанию задано значение secret.
• JWT_HEADER: Определяет HTTP-заголовок, который будет использоваться для отправки JSON веб-токена. По умолчанию задано значение Authorization.