43 lines
2.0 KiB
Markdown
43 lines
2.0 KiB
Markdown
# Scert 服务管理说明
|
||
|
||
## 核心服务职责
|
||
|
||
`Scert` 是证书管理核心服务，负责 Web 管理接口、证书任务、数据库访问和后续的申请、续期、部署与校验流程。服务运行用户为 `Scert`，默认工作目录为 `/scert`。
|
||
|
||
## 安装阶段
|
||
|
||
Linux 安装器安装二进制文件、目录和两个 systemd unit，并执行一次：
|
||
|
||
```bash
|
||
systemctl daemon-reload
|
||
```
|
||
|
||
安装器不会在初始化配置完成前启动核心服务，也不会启用 `Scert-admin`。
|
||
|
||
## 日常服务控制
|
||
|
||
核心服务的启停应由初始化和运维流程根据配置状态执行。核心服务固定注册 `/reset` 路由，但未检测到有效的 `Scert-admin` 激活租约时统一返回 `404`。`Scert-admin` 不监听独立端口，也不能作为核心服务的自动启动依赖。
|
||
|
||
密码重置地址根据初始化时配置的 Web 管理域名或公网 IP 自动生成，始终使用 `https://域名或IP/reset`，不在公开地址中暴露主服务监听端口。云安全组和本机防火墙都不需要额外放行密码重置端口。
|
||
|
||
`/reset` 页面只有在 `Scert-admin` 显式启动且租约有效时开放。提交时必须提供一次性校验码、CSRF 校验值和两次一致的新密码；校验码成功消费后立即失效，密码摘要使用 bcrypt 保存。正式生产部署仍需完成核心服务真实 HTTPS 终止、受保护校验码呈现和目标平台实机验收。
|
||
|
||
## 默认目录
|
||
|
||
```text
|
||
/scert 安装目录
|
||
/scert/web Web 管理页面静态资源
|
||
/scert/conf 配置目录
|
||
/scert/data 数据目录
|
||
/scert/log 日志目录
|
||
/scert/backups 备份目录
|
||
/ssl 证书根目录
|
||
```
|
||
|
||
## 安全要求
|
||
|
||
- 核心服务使用 `Scert` 用户运行。
|
||
- 配置目录仅允许服务用户和 root 管理。
|
||
- 证书私钥由服务用户生成和使用，Linux 权限应保持为 `0600`；root 仍可进行系统级管理。
|
||
- 安装、升级和卸载不得删除用户证书、数据库和备份。
|