Installazione di ONLYOFFICE Docs per Docker su KylinOS

Requisiti di sistema

• CPU: dual-core 2 GHz o superiore
• RAM: 4 GB o più
• HDD: almeno 40 GB di spazio libero
• SWAP: almeno 4 GB, ma dipende dal sistema operativo host. Più è meglio
• OS: distribuzione Linux amd64 con versione del kernel 3.10 o successiva
• Docker: qualsiasi versione supportata da KylinOS

Disabilitare SELinux

È necessario disabilitare SELinux nel file di configurazione /etc/selinux/config.

Apri il file /etc/selinux/config utilizzando un qualsiasi editor di testo, sostituisci la stringa SELINUX=enforcing o SELINUX=permissive con SELINUX=disabled e salva le modifiche.

Riavvia il tuo server affinché le modifiche abbiano effetto. Assicurati che SELinux sia disabilitato:

[root@test ~]# sestatus
SELinux status:                 disabled

Installare ONLYOFFICE Docs

Esegui il seguente comando per installare ONLYOFFICE Docs:

sudo docker run -i -t -d -p 80:80 --security-opt seccomp=unconfined --restart=always -e JWT_SECRET=my_jwt_secret onlyoffice/documentserver

La chiave --security-opt seccomp=unconfined è necessaria per disabilitare i profili di sicurezza per il container. Maggiori dettagli possono essere trovati qui.

Puoi anche utilizzare il nostro profilo di sicurezza personalizzato: kylin-seccomp7.json.

sudo docker run -i -t -d -p <PORT_NUMBER>:80 --security-opt seccomp=unconfined --restart=always -e JWT_SECRET=my_jwt_secret onlyoffice/documentserver

Questo installerà ONLYOFFICE Docs e tutte le dipendenze necessarie (l'elenco di ciò che viene fatto dallo script può essere trovato qui).

Aggiungere un'eccezione al firewall

È necessario aggiungere un'eccezione al servizio firewalld.service:

sudo firewall-cmd --zone=public --add-port=80/tcp --permanent
sudo firewall-cmd --reload

Una volta completata la configurazione, puoi inserire http://localhost nella barra degli indirizzi del tuo browser per aprire la pagina di benvenuto di ONLYOFFICE Docs, dove troverai ulteriori istruzioni su come abilitare esempi di documenti o integrare editor online nella tua applicazione web utilizzando l'API fornita.

Passare ONLYOFFICE Docs a HTTPS utilizzando certbot

Il modo più semplice per passare ONLYOFFICE Docs a HTTPS è ottenere automaticamente Let's EncryptSSL Certificates utilizzando certbot.

Esegui il container Docker di ONLYOFFICE Docs, specificando le porte 80 e 443 e impostando i tuoi valori per le variabili:

sudo docker run -i -t -d -p 80:80 -p 443:443 --security-opt seccomp=unconfined --restart=always \
    -e LETS_ENCRYPT_DOMAIN=tuodominio.com -e LETS_ENCRYPT_MAIL=email@example.com -e JWT_SECRET=my_jwt_secret onlyoffice/documentserver

Dove:

• LETS_ENCRYPT_DOMAIN - un nome di dominio da utilizzare per il certificato.
• LETS_ENCRYPT_MAIL - un'email utilizzata per la registrazione e il contatto di recupero.

Il certificato firmato dalla CA di letsencrypt.org verrà generato e installato automaticamente sul tuo server. Ora, il tuo ONLYOFFICE Docs dovrebbe essere disponibile all'indirizzo https://tuodominio.com.

Generazione di certificati autofirmati

La generazione di certificati SSL autofirmati prevede una semplice procedura in 3 passaggi:

PASSAGGIO 1: Crea la chiave privata del server

openssl genrsa -out onlyoffice.key 2048

PASSAGGIO 2: Crea la richiesta di firma del certificato (CSR)

openssl req -new -key onlyoffice.key -out onlyoffice.csr

PASSAGGIO 3: Firma il certificato utilizzando la chiave privata e il CSR

openssl x509 -req -days 365 -in onlyoffice.csr -signkey onlyoffice.key -out onlyoffice.crt

Hai ora generato un certificato SSL valido per 365 giorni.

Rafforzamento della sicurezza del server

Questa sezione ti fornisce istruzioni per rafforzare la sicurezza del tuo server.

Per raggiungere questo obiettivo, è necessario generare parametri DHE più forti.

openssl dhparam -out dhparam.pem 2048

Installazione dei certificati SSL

Dei quattro file generati sopra, è necessario installare i file onlyoffice.key, onlyoffice.crt e dhparam.pem sul server onlyoffice. Il file CSR non è necessario, ma assicurati di eseguire un backup sicuro del file (nel caso in cui ne avessi bisogno in futuro).

Il percorso predefinito in cui l'applicazione onlyoffice è configurata per cercare i certificati SSL è /var/www/onlyoffice/Data/certs, tuttavia, questo può essere modificato utilizzando le opzioni di configurazione SSL_KEY_PATH, SSL_CERTIFICATE_PATH e SSL_DHPARAM_PATH.

Il percorso /var/www/onlyoffice/Data/ è il percorso del data store, il che significa che devi creare una cartella chiamata certs all'interno di /app/onlyoffice/DocumentServer/data/ e copiare i file al suo interno e, come misura di sicurezza, aggiornerai i permessi sul file onlyoffice.key per essere leggibile solo dal proprietario.

mkdir -p /app/onlyoffice/DocumentServer/data/certs
cp onlyoffice.key /app/onlyoffice/DocumentServer/data/certs/
cp onlyoffice.crt /app/onlyoffice/DocumentServer/data/certs/
cp dhparam.pem /app/onlyoffice/DocumentServer/data/certs/
chmod 400 /app/onlyoffice/DocumentServer/data/certs/onlyoffice.key

E riavvia il container Docker:

sudo docker restart {{DOCUMENT_SERVER_ID}}

Ora sei a un solo passo dall'avere la nostra applicazione sicura.

Parametri di configurazione disponibili

sudo docker run ... --env-file /path/to/your.env onlyoffice/documentserver

Di seguito è riportato l'elenco completo dei parametri che possono essere impostati utilizzando le variabili d'ambiente.

• ONLYOFFICE_HTTPS_HSTS_ENABLED: Opzione di configurazione avanzata per disattivare la configurazione HSTS. Applicabile solo quando SSL è in uso. Valore predefinito true.
• ONLYOFFICE_HTTPS_HSTS_MAXAGE: Opzione di configurazione avanzata per impostare il max-age HSTS nella configurazione vHost di onlyoffice NGINX. Applicabile solo quando SSL è in uso. Valore predefinito 31536000.
• SSL_CERTIFICATE_PATH: Il percorso del certificato SSL da utilizzare. Valore predefinito /var/www/onlyoffice/Data/certs/tls.crt.
• SSL_KEY_PATH: Il percorso della chiave privata del certificato SSL. Valore predefinito /var/www/onlyoffice/Data/certs/tls.key.
• SSL_DHPARAM_PATH: Il percorso del parametro Diffie-Hellman. Valore predefinito /var/www/onlyoffice/Data/certs/dhparam.pem.
• SSL_VERIFY_CLIENT: Abilita la verifica dei certificati client utilizzando il CA_CERTIFICATES_PATH file. Valore predefinito false.
• DB_TYPE: Il tipo di database. I valori supportati sono postgres, mariadb o mysql. Valore predefinito postgres.
• DB_HOST: L'indirizzo IP o il nome dell'host in cui è in esecuzione il server del database.
• DB_PORT: Il numero di porta del server del database.
• DB_NAME: Il nome di un database da creare all'avvio dell'immagine.
• DB_USER: Il nuovo nome utente con permessi di superutente per l'account del database.
• DB_PWD: La password impostata per l'account del database.
• AMQP_URI: L'URI AMQP per connettersi al server del broker di messaggi.
• AMQP_TYPE: Il tipo di broker di messaggi. I valori supportati sono rabbitmq o activemq. Valore predefinito rabbitmq.
• REDIS_SERVER_HOST: L'indirizzo IP o il nome dell'host in cui è in esecuzione il server Redis.
• REDIS_SERVER_PORT: Il numero di porta del server Redis.
• NGINX_WORKER_PROCESSES: Definisce il numero di processi worker di NGINX.
• NGINX_WORKER_CONNECTIONS: Imposta il numero massimo di connessioni simultanee che possono essere aperte da un processo worker di NGINX.
• SECURE_LINK_SECRET: Definisce il segreto per la direttiva di configurazione nginx secure_link_md5. Valore predefinito random string.
• JWT_ENABLED: Specifica l'abilitazione della validazione del JSON web token da parte di ONLYOFFICE Docs. Valore predefinito true.
• JWT_SECRET: Definisce la chiave segreta per validare il JSON web token nella richiesta a ONLYOFFICE Docs. Valore predefinito valore casuale.
• JWT_HEADER: Definisce l'intestazione HTTP che verrà utilizzata per inviare il JSON web token. Valore predefinito Authorization.
• JWT_IN_BODY: Specifica l'abilitazione della validazione del token nel corpo della richiesta a ONLYOFFICE Docs. Valore predefinito false.
• WOPI_ENABLED: Specifica l'abilitazione dei gestori wopi. Valore predefinito false.
• USE_UNAUTHORIZED_STORAGE: Imposta su true se si utilizzano certificati autofirmati per il server di archiviazione, ad esempio, Nextcloud. Valore predefinito false.
• GENERATE_FONTS: Quando impostato su true, rigenera l'elenco dei font e le miniature dei font ecc. ad ogni avvio. Valore predefinito true.
• METRICS_ENABLED: Specifica se StatsD è abilitato per ONLYOFFICE Docs. Valore predefinito false.
• METRICS_HOST: Definisce l'host di ascolto di StatsD. Valore predefinito localhost.
• METRICS_PORT: Definisce la porta di ascolto di StatsD. Valore predefinito 8125.
• METRICS_PREFIX: Definisce il prefisso delle metriche StatsD per i servizi di backend. Valore predefinito ds..
• LETS_ENCRYPT_DOMAIN: Definisce il dominio per il certificato Let's Encrypt.
• LETS_ENCRYPT_MAIL: Definisce l'indirizzo email dell'amministratore del dominio per il certificato Let's Encrypt.