Instalando ONLYOFFICE Docs para Docker em um servidor local

Geração de certificados autoassinados

A geração de certificados SSL autoassinados envolve um procedimento simples de 3 etapas

ETAPA 1: Crie a chave privada do servidor

openssl genrsa -out onlyoffice.key 2048

ETAPA 2: Crie a solicitação de assinatura de certificado (CSR)

openssl req -new -key onlyoffice.key -out onlyoffice.csr

ETAPA 3: Assine o certificado usando a chave privada e o CSR

openssl x509 -req -days 365 -in onlyoffice.csr -signkey onlyoffice.key -out onlyoffice.crt

Agora você gerou um certificado SSL válido por 365 dias.

Reforçando a segurança do servidor

Esta seção fornece instruções para reforçar a segurança do seu servidor.

Para conseguir isso, você precisa gerar parâmetros DHE mais fortes.

openssl dhparam -out dhparam.pem 2048

Instalação dos certificados SSL

Dos quatro arquivos gerados acima, você precisa instalar os arquivos onlyoffice.key, onlyoffice.crt e dhparam.pem no servidor onlyoffice. O arquivo CSR não é necessário, mas certifique-se de fazer um backup seguro do arquivo (caso precise dele novamente).

O caminho padrão que o aplicativo onlyoffice está configurado para procurar os certificados SSL é /var/www/onlyoffice/Data/certs, no entanto, isso pode ser alterado usando as opções de configuração SSL_KEY_PATH, SSL_CERTIFICATE_PATH e SSL_DHPARAM_PATH.

O caminho /var/www/onlyoffice/Data/ é o caminho do armazenamento de dados, o que significa que você deve criar uma pasta chamada certs dentro de /app/onlyoffice/DocumentServer/data/ e copiar os arquivos para lá e, como medida de segurança, você atualizará a permissão no arquivo onlyoffice.key para que seja legível apenas pelo proprietário.

mkdir -p /app/onlyoffice/DocumentServer/data/certs
cp onlyoffice.key /app/onlyoffice/DocumentServer/data/certs/
cp onlyoffice.crt /app/onlyoffice/DocumentServer/
  
data/certs/
cp dhparam.pem /app/onlyoffice/DocumentServer/data/certs/
chmod 400 /app/onlyoffice/DocumentServer/data/certs/onlyoffice.key

E reinicie o contêiner Docker:

sudo docker restart {{DOCUMENT_SERVER_ID}}

Agora você está a apenas um passo de ter nossa aplicação segura.

Parâmetros de configuração disponíveis

Abaixo está a lista completa de parâmetros que podem ser configurados usando variáveis de ambiente.

• ONLYOFFICE_HTTPS_HSTS_ENABLED: Opção de configuração avançada para desativar a configuração HSTS. Aplicável apenas quando SSL está em uso. O padrão é true.
• ONLYOFFICE_HTTPS_HSTS_MAXAGE: Opção de configuração avançada para definir o HSTS max-age na configuração vHost do onlyoffice NGINX. Aplicável apenas quando SSL está em uso. O padrão é 31536000.
• SSL_CERTIFICATE_PATH: O caminho para o certificado SSL a ser usado. O padrão é /var/www/onlyoffice/Data/certs/tls.crt.
• SSL_KEY_PATH: O caminho para a chave privada do certificado SSL. O padrão é /var/www/onlyoffice/Data/certs/tls.key.
• SSL_DHPARAM_PATH: O caminho para o parâmetro Diffie-Hellman. O padrão é /var/www/onlyoffice/Data/certs/dhparam.pem.
• SSL_VERIFY_CLIENT: Habilitar a verificação de certificados de cliente usando o CA_CERTIFICATES_PATH file. O padrão é false.
• DB_TYPE: O tipo de banco de dados. Os valores suportados são postgres, mariadb ou mysql. O padrão é postgres.
• DB_HOST: O endereço IP ou o nome do host onde o servidor de banco de dados está em execução.
• DB_PORT: O número da porta do servidor de banco de dados.
• DB_NAME: O nome de um banco de dados a ser criado na inicialização da imagem.
• DB_USER: O novo nome de usuário com permissões de superusuário para a conta do banco de dados.
• DB_PWD: A senha definida para a conta do banco de dados.
• AMQP_URI: O AMQP URI para conectar-se ao servidor de broker de mensagens.
• AMQP_TYPE: O tipo de broker de mensagens. Os valores suportados são rabbitmq ou activemq. O padrão é rabbitmq.
• REDIS_SERVER_HOST: O endereço IP ou o nome do host onde o servidor Redis está em execução.
• REDIS_SERVER_PORT: O número da porta do servidor Redis.
• REDIS_SERVER_PASS: A senha do servidor Redis. A senha não é definida por padrão.
• NGINX_WORKER_PROCESSES: Define o número de processos de trabalho do NGINX.
• NGINX_WORKER_CONNECTIONS: Define o número máximo de conexões simultâneas que podem ser abertas por um processo de trabalho do NGINX.
• SECURE_LINK_SECRET: Define o segredo para a diretiva de configuração do nginx secure_link_md5. O padrão é random string.
• JWT_ENABLED: Especifica a habilitação da validação do JSON web token pelo ONLYOFFICE Docs. O padrão é true.
• JWT_SECRET: Define a chave secreta para validar o JSON web token na solicitação para o ONLYOFFICE Docs. O padrão é um valor aleatório.
• JWT_HEADER: Define o cabeçalho HTTP que será usado para enviar o JSON web token. O padrão é Authorization.
• JWT_IN_BODY: Especifica a habilitação da validação do token no corpo da solicitação para o ONLYOFFICE Docs. O padrão é false.
• ALLOW_META_IP_ADDRESS: Define se é permitido conectar o endereço IP meta ou não. O padrão é false.
• ALLOW_PRIVATE_IP_ADDRESS: Define se é permitido conectar o endereço IP privado ou não. O padrão é false.
• WOPI_ENABLED: Especifica a habilitação dos manipuladores wopi. O padrão é false.
• USE_UNAUTHORIZED_STORAGE: Defina como true se estiver usando certificados autoassinados para o seu servidor de armazenamento, por exemplo, Nextcloud. O padrão é false.
• GENERATE_FONTS: Quando true, regenera a lista de fontes e as miniaturas de fontes etc. a cada inicialização. O padrão é true.
• METRICS_ENABLED: Especifica a habilitação do StatsD para o ONLYOFFICE Docs. O padrão é false.
• METRICS_HOST: Define o host de escuta do StatsD. O padrão é localhost.
• METRICS_PORT: Define a porta de escuta do StatsD. O padrão é 8125.
• METRICS_PREFIX: Define o prefixo de métricas do StatsD para serviços de backend. O padrão é ds..
• LETS_ENCRYPT_DOMAIN: Define o domínio para o certificado Let's Encrypt.
• LETS_ENCRYPT_MAIL: Define o endereço de e-mail do administrador do domínio para o certificado Let's Encrypt.