¶ Instalace
- Instalujte IIS – Internet Information Server
pomocí nástroje přidat / odebrat role - Nainstalujte Microsoft .NET Framework 4.5.
- V nabídce Start vyhledejte a spusťte Microsoft Web Platform Installer (ukončena podpora MS od 10/2023)
- Pomocí této aplikace nebo pomocí “Add Roles and Features Wizard” nainstalujte položky:
- IIS: Basic Authentication
- IIS: ISAPI Filters / Filtry ISAPI
- IIS: ISAPI Extensions / Rozšíření ISAPI
- IIS: Windows authentication
- ASP .NET4.5
- Microsoft Rewrite 2.x / Přepisování adres URL, tento balíček je dodáván samostatně a najdete jej v adresáři CAQsupport instalačního ZIP balíku.
- Restartujte IIS Server, nestačí pouze Site
¶ Instalace na server
- Z instalačního balíku nakopírujte CAQapi a CAQweb do požadovaných adresářů. Vhodné do …/PalstatCAQ/CAQapi respektive CAQapi
- Přejmenujte v cílovém adresáři adresář “UserConfig (TEMPLATE)” na “UserConfig”
- Do adresáře “…/UserConfig/CONFIG” vložte/přepište config.xml z CAQdesktop nebo upravte ručně.
- Nastavte správná přístupová práva na nově založenou složku na disku. Dle verze IIS a systému by zde měl být nastaven uživatel IUSR a skupina IIS_IUSRS s právy Read&Execute.
POZOR: bez správného nastevní práv nebude aplikace funkční.
¶ Nastavení IIS
- Vyhledejte na serveru a spusťte správce Internet Information Services (IIS) Manager
- Na požadované webové stránce přes pravé tlačítko přidejte aplikaci nebo site a směrujte ji do rozbaleného adresáře.
- Novou site pojmenujte CAQapi nebo CAQweb dle toho jaké rozšíření instalujete.
- Pokud instalujete jako Website, nastavte doménové jméno pod jakým bude dostupné.
- V Application Pools vyberte, ten který pro aplikaci používáte a v Advanced Settings nastavte Start Mode na Always, zajistíte si tak rychlejší první spuštění aplikace při delším nepoužívání. Je vhodné nastavit si Application Pool s názvem “Palstat” a ten poté použít jak pro CAQapi tak pro CAQweb.
U vytvořené aplikace CAQapi nebo CAQweb, nastavte v sekci Authentication Anonymous a Forms Authentication na Enabled, pokud se chcete přihlašovat do webového rozhraní pomocí logovacího okna a uživatele tak ověřovat vůči interní databázi Palstatu, nebo nastavte jen Windows Authentication na Enabled, pokud chcete uživatele ověřovat vůči Active Directory.
Toto nastavení musí souhlasit s tím, jak máte nastaveno ověřování uživatelů v samotném Palstatu a také ho pak musíte shodně vyplnit v konfiguračním souboru “Authentication.config“ (viz níže).
Pokud použijete ověřování vůči Active Directory, tak bude zřejmě potřeba IIS server (http://url.example.cz) na stanicích přidat v “Možnostech Internetu“ v “Ovládacích panelech“ do zóny “Důvěryhodné weby“ nebo “Místní intranet“ v závislosti na nastavené úrovni zabezpečení ve Vaší síti, aby mohlo dojít ke kontaktování doménového řadiče a ověření uživatele.
¶ Testování funkčnosti
Nyní by se vám již měla zobrazovat výchozí stránka pro CAQapi a CAQweb na adrese webové stránky, na kterou jste si přidali aplikaci pod IIS. Například:
¶ CAQapi
| Produkční adresa: | https://url.example.cz/CAQapi/ |
| Testovací adresa konfigurace: | https://url.example.cz/CAQapi/status/xml/ |
| Swagger | https://url.example.cz/CAQapi/swagger/ |
¶ CAQweb
| Produkční adresa: | https://url.example.cz/CAQweb/ |
| Testovací adresa konfigurace: | https://url.example.cz/CAQapi/status/ |
¶ Nastavení IIS pro provoz HTTPS protokolu
Nastavení je možné provést například pomocí bezplatné služby, pomocí které je možné podepsat IIS server. Certifikát je v pravidelných intervalech automaticky obnovován. Implementaci je možné aplikovat způsoby viz. https://letsencrypt.org/docs/client-options/
Jedna z možností je win-acme (.NET), který je publikován na GitHub - https://github.com/PKISharp/win-acme/releases
- Stáhnete a rozbalíte ZIP do libovolného umístění na serveru kde chcete IIS aplikovat např. c:/LetsEncrypt
- Na DNS musí být nastaven správný překlad a stroj kde chcete aplikovat musí na uvedenou adresu vidět.
- Spustit letsencrypt.exe
- Následně procházíte průvodcem dle vlastních potřeb. Níže popsán jeden z možných scénářů, ale není fixní.
- Výsledkem je podepsaný IIS stroj nebo site a v schedulleru vytvořená úloha, která bude kontrolovat aktuálnost certifikátu a obnovovat jej při blížící se expiraci.
¶ Možné nasazení SSL pomocí LetsEncrypt
Zakládáme na IIS site s názvem ssl.palstat.cz a na DNS nastavujeme směrování. (uvedená adresa je pouze fiktivní, pro vaše nasazení použijte odpovídající DNS název)
- Založit site jako klasický HTTP a nastavit DNS
- Na stroji ověříme, že DNS je funkční např. Pomocí ping ssl.palstat.cz případně otevřením v browseru
- Spustíme LetsEncrypt.exe a zvolíme „N“
- Zvolíme „Single binding of an IIS site“
- Zvolíme Site, kterou chceme podepsat
- Potvrzení o úspěšném nasazení certifikátu
- Adresa musí fungovat v HTTPS
- Scheduller obsahuje úlohu pro obnovení certifikátu
¶ Aktualizace
Vždy je nutné aktualizovat všechny produkčně používané komponenty.
CAQdesktop, CAQservice, CAQweb, CAQapi
Stažení instalačního / aktualizačního balíčku
- Stáhněte si aktualizační balíček z našeho zákaznického portálu nebo zaslaného odkazu, stažení aktualizace z odkazu je limitováno počtem a četností (upgrade lze stáhnout pouze 3x a 1x během hodiny).
- Zkontrolujte zda stažený soubor není označen jako potencionálně nebezpečný a případně odblokujte, viz obrázek.
- Po kontrole souboru proveïte jeho rozbalení do dočasného adresáře.
¶ Aktualizace CAQweb a CAQapi
Internet Information Services (IIS)
Instalační balíček obsahuje veškeré komponenty, vyberte adresáře CAQweb a CAQapi
- Aktualizaci provádějte až po aktualizaci CAQdesktop a proběhnutí aktualizace při prvním spuštění!
- Vždy provádějte aktualizaci CAQweb a CAQapi ve stejnou dobu. Nenechávejte některý z modulů ve starší verzi.
- Identifikujte server s IIS kde je CAQweb a CAQapi běží. Například v instalaci …/CAQservice/CONFIG/config.xml
- Smažte obsah adresáře CAQapi a CAQweb mimo adresáře UserConfig.
- Nahrajte nový obsah z dočasné složky pro každou z komponent.
- Zkontrolujte v prohlížeči stav zadáním adresy každé z komponent. (Adresy lze najít v …/CAQservice/CONFIG/config.xml