Instalando ONLYOFFICE Docs para Docker em um servidor local

Requisitos do sistema

• CPU: dual core 2 GHz ou melhor
• RAM: 4 GB ou mais
• HDD: pelo menos 40 GB de espaço livre
• SWAP: pelo menos 4 GB, mas depende do sistema operacional do host. Mais é melhor
• OS: distribuição Linux amd64 com versão do kernel 3.10 ou posterior
• Requisitos adicionais
  • Docker: qualquer versão suportada pela equipe do Docker

Mudando o ONLYOFFICE Docs para HTTPS usando certbot

A maneira mais fácil de mudar o ONLYOFFICE Docs para HTTPS é obter automaticamente certificados SSL do Let's Encrypt usando o certbot.

Execute o contêiner Docker do ONLYOFFICE Docs, especificando as portas 80 e 443 e definindo seus próprios valores para as variáveis:

sudo docker run -i -t -d -p 80:80 -p 443:443 --restart=always \
    -e LETS_ENCRYPT_DOMAIN=yourdomain.com -e LETS_ENCRYPT_MAIL=email@example.com -e JWT_SECRET=my_jwt_secret onlyoffice/documentserver

Onde:

• LETS_ENCRYPT_DOMAIN - um nome de domínio a ser usado para o certificado.
• LETS_ENCRYPT_MAIL - um email usado para registro e contato de recuperação.

O certificado assinado pela CA letsencrypt.org será gerado e instalado automaticamente em seu servidor. Agora, seu ONLYOFFICE Docs deve estar disponível no endereço https://seudominio.com.

Geração de certificados autoassinados

A geração de certificados SSL autoassinados envolve um procedimento simples de 3 etapas:

ETAPA 1: Crie a chave privada do servidor

openssl genrsa -out onlyoffice.key 2048

ETAPA 2: Crie a solicitação de assinatura de certificado (CSR)

openssl req -new -key onlyoffice.key -out onlyoffice.csr

ETAPA 3: Assine o certificado usando a chave privada e o CSR

openssl x509 -req -days 365 -in onlyoffice.csr -signkey onlyoffice.key -out onlyoffice.crt

Agora você gerou um certificado SSL válido por 365 dias.

Fortalecendo a segurança do servidor

Esta seção fornece instruções para fortalecer a segurança do seu servidor.

Para isso, você precisa gerar parâmetros DHE mais fortes.

openssl dhparam -out dhparam.pem 2048

Instalação dos certificados SSL

Dos quatro arquivos gerados acima, você precisa instalar os arquivos onlyoffice.key, onlyoffice.crt e dhparam.pem no servidor onlyoffice. O arquivo CSR não é necessário, mas certifique-se de fazer um backup seguro do arquivo (caso precise dele novamente).

O caminho padrão que a aplicação onlyoffice está configurada para procurar os certificados SSL é /var/www/onlyoffice/Data/certs, no entanto, isso pode ser alterado usando as opções de configuração SSL_KEY_PATH, SSL_CERTIFICATE_PATH e SSL_DHPARAM_PATH.

O caminho /var/www/onlyoffice/Data/ é o caminho do armazenamento de dados, o que significa que você deve criar uma pasta chamada certs dentro de /app/onlyoffice/DocumentServer/data/ e copiar os arquivos para dentro dela e, como medida de segurança, você atualizará a permissão no arquivo onlyoffice.key para que seja lido apenas pelo proprietário.

mkdir -p /app/onlyoffice/DocumentServer/data/certs
cp onlyoffice.key /app/onlyoffice/DocumentServer/data/certs/
cp onlyoffice.crt /app/onlyoffice/DocumentServer/data/certs/
cp dhparam.pem /app/onlyoffice/DocumentServer/data/certs/
chmod 400 /app/onlyoffice/DocumentServer/data/certs/onlyoffice.key

E reinicie o contêiner Docker:

sudo docker restart {{DOCUMENT_SERVER_ID}}

Agora você está a apenas um passo de ter nossa aplicação segura.

Parâmetros de configuração disponíveis

Abaixo está a lista completa de parâmetros que podem ser configurados usando variáveis de ambiente.

• ONLYOFFICE_HTTPS_HSTS_ENABLED: Opção de configuração avançada para desativar a configuração HSTS. Aplicável apenas quando o SSL está em uso. O padrão é true.
• ONLYOFFICE_HTTPS_HSTS_MAXAGE: Opção de configuração avançada para definir o tempo máximo de HSTS na configuração do vHost NGINX do onlyoffice. Aplicável apenas quando o SSL está em uso. O padrão é 31536000.
• SSL_CERTIFICATE_PATH: O caminho para o certificado SSL a ser usado. O padrão é /var/www/onlyoffice/Data/certs/tls.crt.
• SSL_KEY_PATH: O caminho para a chave privada do certificado SSL. O padrão é /var/www/onlyoffice/Data/certs/tls.key.
• SSL_DHPARAM_PATH: O caminho para o parâmetro Diffie-Hellman. O padrão é /var/www/onlyoffice/Data/certs/dhparam.pem.
• SSL_VERIFY_CLIENT: Habilitar verificação de certificados de cliente usando o arquivo CA_CERTIFICATES_PATH. O padrão é false.
• DB_TYPE: O tipo de banco de dados. Valores suportados são postgres, mariadb ou mysql. O padrão é postgres.
• DB_HOST: O endereço IP ou o nome do host onde o servidor de banco de dados está em execução.
• DB_PORT: O número da porta do servidor de banco de dados.
• DB_NAME: O nome de um banco de dados a ser criado na inicialização da imagem.
• DB_USER: O novo nome de usuário com permissões de superusuário para a conta do banco de dados.
• DB_PWD: A senha definida para a conta do banco de dados.
• AMQP_URI: O URI AMQP para conectar ao servidor de broker de mensagens.
• AMQP_TYPE: O tipo de broker de mensagens. Valores suportados são rabbitmq ou activemq. O padrão é rabbitmq.
• REDIS_SERVER_HOST: O endereço IP ou o nome do host onde o servidor Redis está em execução.
• REDIS_SERVER_PORT: O número da porta do servidor Redis.
• NGINX_WORKER_PROCESSES: Define o número de processos de trabalho do NGINX.
• NGINX_WORKER_CONNECTIONS: Define o número máximo de conexões simultâneas que podem ser abertas por um processo de trabalho do NGINX.
• SECURE_LINK_SECRET: Define o segredo para a diretiva de configuração nginx secure_link_md5. O padrão é random string.
• JWT_ENABLED: Especifica a habilitação da validação do token web JSON pelo ONLYOFFICE Docs. O padrão é true.
• JWT_SECRET: Define a chave secreta para validar o token web JSON na solicitação para o ONLYOFFICE Docs. O padrão é valor aleatório.
• JWT_HEADER: Define o cabeçalho HTTP que será usado para enviar o token web JSON. O padrão é Authorization.
• JWT_IN_BODY: Especifica a habilitação da validação do token no corpo da solicitação para o ONLYOFFICE Docs. O padrão é false.
• WOPI_ENABLED: Especifica a habilitação dos manipuladores wopi. O padrão é false.
• USE_UNAUTHORIZED_STORAGE: Defina como true se estiver usando certificados autoassinados para seu servidor de armazenamento, por exemplo, Nextcloud. O padrão é false.
• GENERATE_FONTS: Quando true, regenera a lista de fontes e as miniaturas das fontes, etc., a cada início. O padrão é true.
• METRICS_ENABLED: Especifica se o StatsD está habilitado para o ONLYOFFICE Docs. O padrão é false.
• METRICS_HOST: Define o host de escuta do StatsD. O padrão é localhost.
• METRICS_PORT: Define a porta de escuta do StatsD. O padrão é 8125.
• METRICS_PREFIX: Define o prefixo de métricas do StatsD para serviços de backend. O padrão é ds..
• LETS_ENCRYPT_DOMAIN: Define o domínio para o certificado Let's Encrypt.
• LETS_ENCRYPT_MAIL: Define o endereço de e-mail do administrador do domínio para o certificado Let's Encrypt.