¶ Inštalácia certifikátov na Windows
QASIDA.API potrebuje na komunikáciu s QCLOUD.HUB cez RabbitMQ (posielanie faktúr a ďalších údajov) mať v systéme nainštalované certifikáty, ktorými sa táto komunikácia zabezpečuje a overuje. Bez správne nainštalovaných certifikátov a ich fingerprintov v konfigurácii komunikácia nebude fungovať.
¶ 0. Rozbalenie zaheslovaného ZIP súboru s certifikátmi
Certifikáty zvyknú prísť v ZIP súbore (napr. certifikat.zip) chránenom heslom. Vstavaný Windows Explorer (10 aj 11) heslom chránené ZIP archívy nepodporuje — archív sa síce dá otvoriť/prezerať, ale pri pokuse o extrakciu vypíše neočakávanú chybu.
Na rozbalenie použi program s podporou heslovaných ZIP archívov, napr. 7-Zip alebo WinRAR:
- Pravý klik na
certifikat.zip→ 7-Zip → Extract Here (alebo príslušná možnosť vo WinRAR). - Program vyzve na zadanie hesla → zadaj heslo → OK.
¶ 1. Inštalácia certifikátov
¶ 1a. CA certifikát (ca.pem) do Trusted Root Certification Authorities
- Do Start napíš
certlm.msca spusti (alebo vyhľadaj "Manage computer certificates"). Vyžaduje admin práva (UAC). Všetky ďalšie kroky (import aj zistenie thumbprintu) sa robia v tomto jednom okne.
- V
certlm.mscrozklikni Trusted Root Certification Authorities.
- Pravý klik na Certificates → All Tasks → Import… → Next.
- V okne na výber súboru prepni filter vpravo dole z "X.509 Certificate" na All Files (*.*), aby sa zobrazil aj
ca.pem→ vyber ho → Next.
Ak by import
.pemsúboru nefungoval, premenuj ho naca.cera skús znova:
- a) Cez Windows Explorer: pravý klik na súbor → Premenovať → zmeň príponu na
.cer.- b) Cez OpenSSL:
openssl x509 -in ca.pem -out ca.cer -outform PEM
- Cieľové úložisko nechaj Trusted Root Certification Authorities → Next → Finish.
Alternatíva cez PowerShell (ako Administrator):
Import-Certificate -FilePath "C:\cesta\ca.pem" -CertStoreLocation "Cert:\LocalMachine\Root"
¶ 1b. Klientsky certifikát (.pfx) do Personal
⚠️ Na rozdiel od CA certifikátu tu musí ísť o
.pfxsúbor, nie samotný.pem/.cer. PFX (PKCS#12) obsahuje certifikát aj privátny kľúč chránený heslom — preto sa pri importe pýta heslo. Klientska autentifikácia (mTLS) potrebuje privátny kľúč, inak certifikát nejde použiť. Po správnom importe má certifikát v zozname malú ikonku kľúčika (indikuje, že je k nemu priradený privátny kľúč) — ak kľúčik chýba, import je nesprávny (napr. bol naimportovaný len.pembez kľúča) a treba ho odstrániť a zopakovať s.pfx.
- V
certlm.mscrozklikni Personal.
- Pravý klik na Certificates → All Tasks → Import… → Next.
- V okne na výber súboru prepni filter vpravo dole na Personal Information Exchange (*.pfx;*.p12) (prípadne All Files), ak sa
.pfxsúbor nezobrazuje → vyber súbor (názov sa líši podľa zákazníka) → Next.
- Zadaj heslo k pfx súboru. Zaškrtni Mark this key as exportable (ak bude treba certifikát neskôr exportovať) → Next.
- Cieľové úložisko nechaj Personal → Next → Finish.
Alternatíva cez PowerShell (ako Administrator):
$pwd = ConvertTo-SecureString -String "HESLO" -Force -AsPlainText Import-PfxCertificate -FilePath "C:\cesta\klient.pfx" -CertStoreLocation "Cert:\LocalMachine\My" -Password $pwd
¶ 2. Zistenie fingerprintu (thumbprint) certifikátov
¶ 2a. CA certifikát (Trusted Root Certification Authorities)
- V okne certlm.msc, v úložisku Trusted Root Certification Authorities → Certificates dvojklik na CA certifikát.
- Záložka Details → nájdi pole Thumbprint.
- Skopíruj hodnotu a odstráň medzery (v certlm.msc je thumbprint už malými písmenami).
Alternatíva cez PowerShell:
Get-ChildItem -Path Cert:\LocalMachine\Root | Where-Object { $_.Subject -like "*NAZOV_CA*" } | Select-Object Subject, ThumbprintPowerShell zobrazuje thumbprint veľkými písmenami — do appsettings ho preveď na malé písmená.
¶ 2b. Klientsky certifikát (Personal)
- V okne certlm.msc, v úložisku Personal → Certificates dvojklik na klientsky certifikát.
- Záložka Details → nájdi pole Thumbprint.
- Skopíruj hodnotu a odstráň medzery (v certlm.msc je thumbprint už malými písmenami).
Alternatíva cez PowerShell:
Get-ChildItem -Path Cert:\LocalMachine\My | Where-Object { $_.Subject -like "*NAZOV_KLIENTA*" } | Select-Object Subject, ThumbprintPowerShell zobrazuje thumbprint veľkými písmenami — do appsettings ho preveď na malé písmená.
¶ 3. Doplnenie fingerprintov do QASIDA.API appsettings
V appsettings.json (alebo appsettings.{Environment}.json) — štandardná cesta C:\QASIDA\QasidaAPI\Api\appsettings.json — nastav:
"AsolLicServerUpdateLicenseBackgroundService": {
"RabbitMqClientCertificateThumbprint": "<thumbprint_klientskeho_certifikatu>",
"RabbitMqCaCertificateThumbprint": "<thumbprint_CA_certifikatu>"
}
RabbitMqClientCertificateThumbprint= thumbprint klientskeho.pfxcertifikátu (Personal).RabbitMqCaCertificateThumbprint= thumbprint CA certifikátu (Trusted Root).
¶ 4. Overenie
- Reštartuj službu QASIDA.API.
- Skontroluj logy (štandardná cesta
C:\QASIDA\QasidaAPI\Logs) zMessagingService, či sa certifikáty načítali v poriadku. Typické chybové hlášky pri probléme s certifikátom:Certificate with thumbprint {thumbprint} not found in LocalMachine\{store} or CurrentUser\{store} store.— thumbprint v appsettings nesedí so žiadnym nainštalovaným certifikátom (preklep, zlé úložisko, alebo certifikát nebol nainštalovaný pre účet, pod ktorým beží služba).Certificate {subject} from {store} does not have a private key. mTLS handshake will fail.— klientsky certifikát bol naimportovaný bez privátneho kľúča (napr. z.pemnamiesto.pfx), pozri poznámku v bode 1b.Private key for certificate {subject} from {store} is not accessible (RSA/ECDsa null)./Failed to access private key for certificate {subject} from {store}. Check key container permissions.— privátny kľúč existuje, ale účet, pod ktorým beží služba, k nemu nemá prístupové práva (treba nastaviť ACL na kľúč cez "Manage Private Keys").Certificate {subject} from {store} is outside its validity period— certifikát expiroval alebo ešte nie je platný.- Ak sa načítanie podarilo, v logu je
Loaded certificate {subject} from {store} store.