Scert/deploy/systemd/Scert服务管理说明.md

Scert 服务管理说明

核心服务职责

Scert 是证书管理核心服务，负责 Web 管理接口、证书任务、数据库访问和后续的申请、续期、部署与校验流程。服务运行用户为 Scert，默认工作目录为 /scert。

安装阶段

Linux 安装器安装二进制文件、目录和两个 systemd unit，并执行一次：

systemctl daemon-reload

安装器不会在初始化配置完成前启动核心服务，也不会启用 Scert-admin。

日常服务控制

核心服务的启停应由初始化和运维流程根据配置状态执行。核心服务固定注册 /reset 路由，但未检测到有效的 Scert-admin 激活租约时统一返回 404。Scert-admin 不监听独立端口，也不能作为核心服务的自动启动依赖。

密码重置地址根据初始化时配置的 Web 管理域名或公网 IP 自动生成，始终使用 https://域名或IP/reset，不在公开地址中暴露主服务监听端口。云安全组和本机防火墙都不需要额外放行密码重置端口。

/reset 页面只有在 Scert-admin 显式启动且租约有效时开放。提交时必须提供一次性校验码、CSRF 校验值和两次一致的新密码；校验码成功消费后立即失效，密码摘要使用 bcrypt 保存。正式生产部署仍需完成核心服务真实 HTTPS 终止、受保护校验码呈现和目标平台实机验收。

默认目录

/scert              安装目录
/scert/web          Web 管理页面静态资源
/scert/conf         配置目录
/scert/data         数据目录
/scert/log          日志目录
/scert/backups      备份目录
/ssl                证书根目录

安全要求

• 核心服务使用 Scert 用户运行。
• 配置目录仅允许服务用户和 root 管理。
• 证书私钥由服务用户生成和使用，Linux 权限应保持为 0600；root 仍可进行系统级管理。
• 安装、升级和卸载不得删除用户证书、数据库和备份。