Passa al contenuto principale

Installazione di ONLYOFFICE Docs per Docker su KylinOS

Introduzione​

Community Edition ti permette di installare ONLYOFFICE Docs sul tuo server locale e integrare gli editor online con la piattaforma di collaborazione ONLYOFFICE o altri sistemi popolari (consulta l'elenco dettagliato delle funzionalità). A partire dalla versione 7.2, le immagini Docker di ONLYOFFICE Docs sono state rielaborate per funzionare su Kylin Linux Advanced Server OS release V10; questa guida ti mostrerà come installare la versione Docker di ONLYOFFICE Docs Community Edition su KylinOS.

Requisiti di sistema​

  • CPU: dual-core 2 GHz o superiore
  • RAM: 4 GB o più
  • HDD: almeno 40 GB di spazio libero
  • SWAP: almeno 4 GB, ma dipende dal sistema operativo host. Più è meglio
  • OS: distribuzione Linux amd64 con versione del kernel 3.10 o successiva
  • Docker: qualsiasi versione supportata da KylinOS

Installazione di ONLYOFFICE Docs​

note

Docker specifica i server DNS di Google per impostazione predefinita. Se il tuo ONLYOFFICE Docs non avrà accesso a Internet, ti consigliamo di cambiare l'indirizzo DNS predefinito di Docker con l'indirizzo del tuo server DNS locale. Per farlo, vai al file /etc/default/docker e cambia l'indirizzo IP nella seguente riga con l'indirizzo IP di un server DNS nella tua rete locale:

docker_OPTS="--dns 8.8.8.8"

Per i sistemi operativi basati su RPM come CentOS:

  1. Crea il file di configurazione /etc/docker/daemon.json con il seguente contenuto:

    { "dns" : [ "8.8.8.8" ] }

  2. Riavvia il servizio Docker:

    sudo systemctl restart docker.service

Disabilitare SELinux​

È necessario disabilitare SELinux nel file di configurazione /etc/selinux/config.

Apri il file /etc/selinux/config utilizzando un qualsiasi editor di testo, sostituisci la stringa SELINUX=enforcing o SELINUX=permissive con SELINUX=disabled e salva le modifiche.

Riavvia il tuo server affinché le modifiche abbiano effetto. Assicurati che SELinux sia disabilitato:

[root@test ~]# sestatus
SELinux status:                 disabled

Installare ONLYOFFICE Docs​

Esegui il seguente comando per installare ONLYOFFICE Docs:

sudo docker run -i -t -d -p 80:80 --security-opt seccomp=unconfined --restart=always -e JWT_SECRET=my_jwt_secret onlyoffice/documentserver
Importante

A partire dalla versione 7.2, abbiamo aggiunto una generazione casuale del segreto JWT. Se il segreto JWT non è specificato con la variabile d'ambiente, ciò porta alla sua rigenerazione ad ogni riavvio delle VM o del server fisico, quindi potrebbero esserci problemi nelle integrazioni. Per evitare questo problema, specifica il tuo valore in -e JWT_SECRET=my_jwt_secret.

Se non intendi utilizzare JWT nella tua installazione, usa -e JWT_ENABLED=false.

La chiave --security-opt seccomp=unconfined è necessaria per disabilitare i profili di sicurezza per il container. Maggiori dettagli possono essere trovati qui.

Puoi anche utilizzare il nostro profilo di sicurezza personalizzato: kylin-seccomp7.json.

note

Per impostazione predefinita, ONLYOFFICE Docs ascolta le connessioni in arrivo utilizzando la porta 80. A partire dalla versione 4.3, puoi cambiare la porta per ONLYOFFICE Docs se prevedi di usarla al posto di quella predefinita. Questo può essere facilmente fatto cambiando la porta di mapping durante l'installazione:

sudo docker run -i -t -d -p <PORT_NUMBER>:80 --security-opt seccomp=unconfined --restart=always -e JWT_SECRET=my_jwt_secret onlyoffice/documentserver

Dove <PORT_NUMBER> è il numero di porta che vuoi che ONLYOFFICE Docs utilizzi.

Questo installerà ONLYOFFICE Docs e tutte le dipendenze necessarie (l'elenco di ciò che viene fatto dallo script può essere trovato qui).

Aggiungere un'eccezione al firewall​

È necessario aggiungere anche un'eccezione al servizio firewalld.service:

sudo firewall-cmd --zone=public --add-port=80/tcp --permanent
sudo firewall-cmd --reload

Una volta completata la configurazione, puoi inserire http://localhost nella barra degli indirizzi del tuo browser per aprire la pagina di benvenuto di ONLYOFFICE Docs, dove troverai ulteriori istruzioni su come abilitare esempi di documenti o integrare editor online nella tua applicazione web utilizzando l'API fornita.

Archiviazione dei dati al di fuori dei container​

Tutti i dati sono archiviati in directory appositamente designate, volumi di dati, nella seguente posizione:

  • /var/log/onlyoffice per i log di ONLYOFFICE Docs
  • /var/www/onlyoffice/Data per i certificati
  • /var/lib/onlyoffice per la cache dei file
Consigliamo

Raccomandiamo vivamente di archiviare i dati al di fuori dei container Docker sulla macchina host poiché ti consente di aggiornare facilmente ONLYOFFICE Docs una volta rilasciata la nuova versione senza perdere i tuoi dati.

Per accedere ai tuoi dati situati al di fuori del container, devi montare i volumi. Questo può essere fatto specificando l'opzione -v nel comando docker run.

sudo docker run -i -t -d -p 80:80 --security-opt seccomp=unconfined --restart=always \
    -v /app/onlyoffice/DocumentServer/logs:/var/log/onlyoffice  \
    -v /app/onlyoffice/DocumentServer/data:/var/www/onlyoffice/Data  \
    -v /app/onlyoffice/DocumentServer/lib:/var/lib/onlyoffice
note

Si prega di notare che nel caso in cui si stia tentando di montare le cartelle che non sono ancora state create, queste cartelle verranno create ma l'accesso ad esse sarà limitato. Dovrai cambiare manualmente i loro diritti di accesso.

Normalmente, non è necessario archiviare i dati del container perché il funzionamento del container non dipende dal suo stato. Salvare i dati sarà utile:

  • per un facile accesso ai dati del container, come i log;
  • per rimuovere il limite sulla dimensione dei dati all'interno del container.

Esecuzione di ONLYOFFICE Docs utilizzando HTTPS​

sudo docker run -i -t -d -p 443:443 --security-opt seccomp=unconfined --restart=always \
-v /app/onlyoffice/DocumentServer/data:/var/www/onlyoffice/Data -e JWT_SECRET=my_jwt_secret onlyoffice/documentserver

L'accesso all'applicazione ONLYOFFICE può essere protetto utilizzando SSL per prevenire accessi non autorizzati. Mentre un certificato SSL certificato da CA consente la verifica della fiducia tramite la CA, i certificati autofirmati possono anche fornire un livello di verifica della fiducia equivalente purché ogni client esegua alcuni passaggi aggiuntivi per verificare l'identità del tuo sito web. Le istruzioni su come ottenere questo risultato sono fornite di seguito.

Per proteggere l'applicazione tramite SSL, sono essenzialmente necessarie due cose:

  • Chiave privata (.key)
  • Certificato SSL (.crt)

Quindi è necessario creare e installare i seguenti file:

/app/onlyoffice/DocumentServer/data/certs/onlyoffice.key
/app/onlyoffice/DocumentServer/data/certs/onlyoffice.crt

Quando si utilizzano certificati certificati da CA (ad esempio, Let's Encrypt), questi file sono forniti dalla CA. Se si utilizzano certificati autofirmati, è necessario generare questi file da soli.

Passaggio di ONLYOFFICE Docs a HTTPS utilizzando certbot​

Il modo più semplice per passare ONLYOFFICE Docs a HTTPS è ottenere automaticamente i certificati SSL di Let's Encrypt utilizzando certbot.

Esegui il container Docker di ONLYOFFICE Docs, specificando le porte 80 e 443 e impostando i tuoi valori per le variabili:

sudo docker run -i -t -d -p 80:80 -p 443:443 --security-opt seccomp=unconfined --restart=always \
    -e LETS_ENCRYPT_DOMAIN=yourdomain.com -e LETS_ENCRYPT_MAIL=email@example.com -e JWT_SECRET=my_jwt_secret onlyoffice/documentserver

Dove:

  • LETS_ENCRYPT_DOMAIN - un nome di dominio da utilizzare per il certificato.
  • LETS_ENCRYPT_MAIL - un'email utilizzata per la registrazione e il contatto di recupero.

Il certificato firmato dalla CA di letsencrypt.org verrà generato e installato automaticamente sul tuo server. Ora, i tuoi ONLYOFFICE Docs dovrebbero essere disponibili all'indirizzo https://yourdomain.com.

Generazione di certificati autofirmati​

La generazione di certificati SSL autofirmati prevede una semplice procedura in 3 passaggi:

PASSAGGIO 1: Creare la chiave privata del server

openssl genrsa -out onlyoffice.key 2048

PASSAGGIO 2: Creare la richiesta di firma del certificato (CSR)

openssl req -new -key onlyoffice.key -out onlyoffice.csr

PASSAGGIO 3: Firmare il certificato utilizzando la chiave privata e il CSR

openssl x509 -req -days 365 -in onlyoffice.csr -signkey onlyoffice.key -out onlyoffice.crt

Hai ora generato un certificato SSL valido per 365 giorni.

Rafforzamento della sicurezza del server​

Questa sezione fornisce istruzioni per rafforzare la sicurezza del tuo server.

Per ottenere ciò, è necessario generare parametri DHE più robusti.

openssl dhparam -out dhparam.pem 2048

Installazione dei certificati SSL​

Dei quattro file generati sopra, è necessario installare i file onlyoffice.key, onlyoffice.crt e dhparam.pem sul server onlyoffice. Il file CSR non è necessario, ma assicurati di eseguire un backup sicuro del file (nel caso in cui ne avessi bisogno in futuro).

Il percorso predefinito in cui l'applicazione onlyoffice è configurata per cercare i certificati SSL è /var/www/onlyoffice/Data/certs, tuttavia, questo può essere modificato utilizzando le opzioni di configurazione SSL_KEY_PATH, SSL_CERTIFICATE_PATH e SSL_DHPARAM_PATH.

Il percorso /var/www/onlyoffice/Data/ è il percorso dell'archivio dati, il che significa che devi creare una cartella chiamata certs all'interno di /app/onlyoffice/DocumentServer/data/ e copiare i file al suo interno e, come misura di sicurezza, aggiornerai i permessi sul file onlyoffice.key per renderlo leggibile solo dal proprietario.

mkdir -p /app/onlyoffice/DocumentServer/data/certs
cp onlyoffice.key /app/onlyoffice/DocumentServer/data/certs/
cp onlyoffice.crt /app/onlyoffice/DocumentServer/data/certs/
cp dhparam.pem /app/onlyoffice/DocumentServer/data/certs/
chmod 400 /app/onlyoffice/DocumentServer/data/certs/onlyoffice.key

E riavvia il container Docker:

sudo docker restart {{DOCUMENT_SERVER_ID}}

Ora sei a un solo passo dall'avere la nostra applicazione sicura.

Parametri di configurazione disponibili​

note

Per evitare di scrivere un comando docker run potenzialmente lungo, puoi memorizzare tutte le variabili d'ambiente in un file di testo semplice e passarlo utilizzando il flag --env-file:

sudo docker run ... --env-file /path/to/your.env onlyoffice/documentserver

Di seguito è riportato l'elenco completo dei parametri che possono essere impostati utilizzando le variabili d'ambiente.

  • ONLYOFFICE_HTTPS_HSTS_ENABLED: Opzione di configurazione avanzata per disattivare la configurazione HSTS. Applicabile solo quando SSL è in uso. Valore predefinito: true.
  • ONLYOFFICE_HTTPS_HSTS_MAXAGE: Opzione di configurazione avanzata per impostare il max-age HSTS nella configurazione vHost di onlyoffice NGINX. Applicabile solo quando SSL è in uso. Valore predefinito: 31536000.
  • SSL_CERTIFICATE_PATH: Il percorso del certificato SSL da utilizzare. Valore predefinito: /var/www/onlyoffice/Data/certs/tls.crt.
  • SSL_KEY_PATH: Il percorso della chiave privata del certificato SSL. Valore predefinito: /var/www/onlyoffice/Data/certs/tls.key.
  • SSL_DHPARAM_PATH: Il percorso dei parametri Diffie-Hellman. Valore predefinito: /var/www/onlyoffice/Data/certs/dhparam.pem.
  • SSL_VERIFY_CLIENT: Abilita la verifica dei certificati client utilizzando il file CA_CERTIFICATES_PATH. Valore predefinito: false.
  • NGINX_WORKER_PROCESSES: Definisce il numero di processi worker di NGINX.
  • NGINX_WORKER_CONNECTIONS: Imposta il numero massimo di connessioni simultanee che possono essere aperte da un processo worker di NGINX.
  • SECURE_LINK_SECRET: Definisce il segreto per la direttiva di configurazione nginx secure_link_md5. Valore predefinito: random string.
  • JWT_ENABLED: Specifica l'abilitazione della convalida del token web JSON da parte di ONLYOFFICE Docs. Valore predefinito: true.
  • JWT_SECRET: Definisce la chiave segreta per convalidare il token web JSON nella richiesta a ONLYOFFICE Docs. Valore predefinito: valore casuale.
  • JWT_HEADER: Definisce l'intestazione HTTP che verrà utilizzata per inviare il token web JSON. Valore predefinito: Authorization.
  • JWT_IN_BODY: Specifica l'abilitazione della convalida del token nel corpo della richiesta a ONLYOFFICE Docs. Valore predefinito: false.
  • WOPI_ENABLED: Specifica l'abilitazione dei gestori wopi. Valore predefinito: false.
  • USE_UNAUTHORIZED_STORAGE: Imposta su true se si utilizzano certificati autofirmati per il server di archiviazione, ad esempio, Nextcloud. Valore predefinito: false.
  • GENERATE_FONTS: Quando è impostato su true, rigenera l'elenco dei font e le miniature dei font ecc. a ogni avvio. Valore predefinito: true.
  • METRICS_ENABLED: Specifica se StatsD è abilitato per ONLYOFFICE Docs. Valore predefinito: false.
  • METRICS_HOST: Definisce l'host di ascolto di StatsD. Valore predefinito: localhost.
  • METRICS_PORT: Definisce la porta di ascolto di StatsD. Valore predefinito: 8125.
  • METRICS_PREFIX: Definisce il prefisso delle metriche StatsD per i servizi backend. Valore predefinito: ds..
  • LETS_ENCRYPT_DOMAIN: Definisce il dominio per il certificato Let's Encrypt.
  • LETS_ENCRYPT_MAIL: Definisce l'indirizzo email dell'amministratore del dominio per il certificato Let's Encrypt.