Instalando a versão Docker do ONLYOFFICE Docs Enterprise Edition para a arquitetura ARM de 64 bits

Requisitos de sistema

• CPU: Processadores ARM de 64 bits
• RAM: 4 GB ou mais
• HDD: pelo menos 40 GB de espaço livre
• SWAP: pelo menos 4 GB, mas depende do SO host. Quanto mais, melhor
• SO: Distribuição Linux para arm64
• Requisitos adicionais
  • Docker: qualquer versão suportada pela equipe do Docker

Mudando o ONLYOFFICE Docs para HTTPS usando certbot

A maneira mais fácil de mudar o ONLYOFFICE Docs para HTTPS é obter automaticamente certificados SSL da Let's Encrypt usando o certbot.

Execute o contêiner Docker do ONLYOFFICE Docs, especificando as portas 80 e 443 e definindo seus próprios valores para as variáveis:

sudo docker run -i -t -d -p 80:80 -p 443:443 --restart=always \
    -e LETS_ENCRYPT_DOMAIN=seudominio.com -e LETS_ENCRYPT_MAIL=email@exemplo.com -e JWT_SECRET=meu_segredo_jwt onlyoffice/documentserver-ee:latest

Onde:

• LETS_ENCRYPT_DOMAIN - um nome de domínio para usar no certificado.
• LETS_ENCRYPT_MAIL - um e-mail usado para registro e contato de recuperação.

O certificado assinado pela CA da letsencrypt.org será gerado e instalado automaticamente no seu servidor. Agora, seu ONLYOFFICE Docs deve estar disponível no endereço https://seudominio.com.

Geração de certificados autoassinados

A geração de certificados SSL autoassinados envolve um procedimento simples de 3 etapas

PASSO 1: Crie a chave privada do servidor

openssl genrsa -out onlyoffice.key 2048

PASSO 2: Crie a solicitação de assinatura de certificado (CSR)

openssl req -new -key onlyoffice.key -out onlyoffice.csr

PASSO 3: Assine o certificado usando a chave privada e a CSR

openssl x509 -req -days 365 -in onlyoffice.csr -signkey onlyoffice.key -out onlyoffice.crt

Você gerou agora um certificado SSL que é válido por 365 dias.

Reforçando a segurança do servidor

Esta seção fornece instruções para reforçar a segurança do seu servidor.

Para conseguir isso, você precisa gerar parâmetros DHE mais fortes.

openssl dhparam -out dhparam.pem 2048

Instalação dos certificados SSL

Dos quatro arquivos gerados acima, você precisa instalar os arquivos onlyoffice.key, onlyoffice.crt e dhparam.pem no servidor ONLYOFFICE. O arquivo CSR não é necessário, mas certifique-se de fazer um backup seguro do arquivo (caso precise dele novamente).

O caminho padrão em que a aplicação ONLYOFFICE está configurada para procurar os certificados SSL é /var/www/onlyoffice/Data/certs, mas isso pode ser alterado usando as opções de configuração SSL_KEY_PATH, SSL_CERTIFICATE_PATH e SSL_DHPARAM_PATH.

O caminho /var/www/onlyoffice/Data/ é o caminho do armazenamento de dados, o que significa que você deve criar uma pasta chamada certs dentro de /app/onlyoffice/DocumentServer/data/ e copiar os arquivos para ela e, como medida de segurança, você atualizará a permissão no arquivo onlyoffice.key para ser legível apenas pelo proprietário.

mkdir -p /app/onlyoffice/DocumentServer/data/certs
cp onlyoffice.key /app/onlyoffice/DocumentServer/data/certs/
cp onlyoffice.crt /app/onlyoffice/DocumentServer/data/certs/
cp dhparam.pem /app/onlyoffice/DocumentServer/data/certs/
chmod 400 /app/onlyoffice/DocumentServer/data/certs/onlyoffice.key

E reinicie o contêiner Docker:

sudo docker restart {{DOCUMENT_SERVER_ID}}

Você está agora a apenas um passo de ter nossa aplicação protegida.

Parâmetros de configuração disponíveis

Abaixo está a lista completa de parâmetros que podem ser definidos usando variáveis de ambiente.

• ONLYOFFICE_HTTPS_HSTS_ENABLED: Opção de configuração avançada para desativar a configuração HSTS. Aplicável apenas quando o SSL está em uso. O padrão é true.
• ONLYOFFICE_HTTPS_HSTS_MAXAGE: Opção de configuração avançada para definir o HSTS max-age na configuração do NGINX vHost do onlyoffice. Aplicável apenas quando o SSL está em uso. O padrão é 31536000.
• SSL_CERTIFICATE_PATH: O caminho para o certificado SSL a ser usado. O padrão é /var/www/onlyoffice/Data/certs/tls.crt.
• SSL_KEY_PATH: O caminho para a chave privada do certificado SSL. O padrão é /var/www/onlyoffice/Data/certs/tls.key.
• SSL_DHPARAM_PATH: O caminho para o parâmetro Diffie-Hellman. O padrão é /var/www/onlyoffice/Data/certs/dhparam.pem.
• SSL_VERIFY_CLIENT: Habilita a verificação de certificados de cliente usando o arquivo CA_CERTIFICATES_PATH. O padrão é false.
• DB_TYPE: O tipo de banco de dados. Os valores suportados são postgres, mariadb ou mysql. O padrão é postgres.
• DB_HOST: O endereço IP ou o nome do host onde o servidor de banco de dados está rodando.
• DB_PORT: O número da porta do servidor de banco de dados.
• DB_NAME: O nome de um banco de dados a ser criado na inicialização da imagem.
• DB_USER: O novo nome de usuário com permissões de superusuário para a conta do banco de dados.
• DB_PWD: A senha definida para a conta do banco de dados.
• AMQP_URI: A URI AMQP para conectar ao servidor corretor de mensagens.
• AMQP_TYPE: O tipo de corretor de mensagens. Os valores suportados são rabbitmq ou activemq. O padrão é rabbitmq.
• REDIS_SERVER_HOST: O endereço IP ou o nome do host onde o servidor Redis está rodando.
• REDIS_SERVER_PORT: O número da porta do servidor Redis.
• REDIS_SERVER_PASS: A senha do servidor Redis. A senha não é definida por padrão.
• NGINX_WORKER_PROCESSES: Define o número de processos worker do NGINX.
• NGINX_WORKER_CONNECTIONS: Define o número máximo de conexões simultâneas que podem ser abertas por um processo worker do NGINX.
• SECURE_LINK_SECRET: Define o segredo para a diretiva de configuração do nginx secure_link_md5. O padrão é uma string aleatória.
• JWT_ENABLED: Especifica a ativação da validação do JSON web token pelo ONLYOFFICE Docs. O padrão é true.
• JWT_SECRET: Define a chave secreta para validar o JSON web token na requisição para o ONLYOFFICE Docs. O padrão é um valor aleatório.
• JWT_HEADER: Define o cabeçalho HTTP que será usado para enviar o JSON web token. O padrão é Authorization.
• JWT_IN_BODY: Especifica a ativação da validação do token no corpo da requisição para o ONLYOFFICE Docs. O padrão é false.
• ALLOW_META_IP_ADDRESS: Define se é permitido conectar ao endereço IP meta ou não. O padrão é false.
• ALLOW_PRIVATE_IP_ADDRESS: Define se é permitido conectar ao endereço IP privado ou não. O padrão é false.
• WOPI_ENABLED: Especifica a ativação dos manipuladores wopi. O padrão é false.
• USE_UNAUTHORIZED_STORAGE: Defina como true se estiver usando certificados autoassinados para seu servidor de armazenamento, ex: Nextcloud. O padrão é false.
• GENERATE_FONTS: Quando true, regenera a lista de fontes e as miniaturas de fontes etc. a cada inicialização. O padrão é true.
• METRICS_ENABLED: Especifica a ativação do StatsD para o ONLYOFFICE Docs. O padrão é false.
• METRICS_HOST: Define o host de escuta do StatsD. O padrão é localhost.
• METRICS_PORT: Define a porta de escuta do StatsD. O padrão é 8125.
• METRICS_PREFIX: Define o prefixo de métricas do StatsD para serviços de backend. O padrão é ds..
• LETS_ENCRYPT_DOMAIN: Define o domínio para o certificado Let's Encrypt.
• LETS_ENCRYPT_MAIL: Define o endereço de e-mail do administrador do domínio para o certificado Let's Encrypt.