| İki faktörlü oturum açma |
Herhangi bir kimlik doğrulayıcı uygulamasından TOTP kodları ve 10 adet tek kullanımlık kurtarma kodu. admin.require_2fa bunu her konsol kullanıcısı için zorunlu kılar ve yönetici kaybedilen ikinci faktörü sıfırlayabilir. |
Evet |
| OpenID Connect ile oturum açma |
Microsoft Entra ID, Okta, Keycloak, Google veya herhangi bir standart sağlayıcı üzerinden PKCE ile konsol oturumu. Kullanıcılar harici bir kimliği hesaplarına bağlar ve hesap talepleri isteğe bağlı olarak bir yöneticinin onayını bekleyebilir. |
Evet |
| Konsol güçlendirme |
Her yanıtta güvenlik üstbilgileri ve katı bir Content Security Policy, yapılandırılabilir parola ilkesi, ilk oturum açmada değiştirilen geçici parolalar ve arkasındaki rol veya yetkiler değiştiğinde sona eren oturumlar. |
Evet |
| Diskte şifrelenmiş gizli bilgiler |
Sağlayıcı parolaları, PIN'ler, bulut kimlik bilgileri ve webhook gizli anahtarları, makineye bağlı bir ana anahtar altında AES-256-GCM ile saklanır. --protect-secrets mevcut bir yapılandırmayı yerinde şifreler. |
Evet |
| Zorunlu onaylar |
Sağlayıcı veya proje başına zorunlu onay; sunucu tarafından, signtool /dlib için ham özet imzalama dahil her imza yolunda denetlenir. Her onay yalnızca bir kez imzalar. |
Hayır |
| API anahtarı yaşam döngüsü |
7 güne kadar çakışma süresiyle yeniden oluşturma, düzenlenebilir son kullanma tarihi, anahtar sahipleri, anahtar başına izin verilen sağlayıcı listesi ve api_keys.self_service ile operatörler için self-servis anahtarlar. Bir anahtarın geçerliliği ilk kullanımda da başlayabilir: ilk kimliği doğrulanmış çağrısından itibaren N gün geçerlidir ve zorunlu bir “şu tarihten önce etkinleştir” tarihi bulunur, böylece hiç kullanılmayan bir anahtar sonsuza dek geçerli kalmaz. Alt anahtarlar yalnızca üst anahtarları etkinleştirildikten sonra çalışır, etkinleştirme denetim günlüğüne apikey.activate olarak kaydedilir ve Community sürümü her iki değeri de 30 günle sınırlar. |
Bir etkin anahtar, 30 güne kadar son kullanma |
| PKCS#11 PIN deneme koruması |
max_pin_attempts kadar hatalı PIN sonrasında token'a oturum açmayı durdurur ve allow_final_pin_try ayarlanmadıkça son denemeyi asla kullanmaz; böylece yanlış bir PIN donanım token'ını asla kilitlemez. |
Hayır (PKCS#11 sağlayıcısı yok) |
| Varsayılan zaman damgası sunucuları |
Otomatik yedekleme ile sırayla denenen, sunucu genelinde RFC 3161 zaman damgası sunucuları listesi, sağlayıcı başına tsa_urls ve tek bir istekte zaman damgasını atlamak için no_timestamp. |
Evet |
sgcsign timestamp |
Zaten Authenticode ile imzalanmış bir dosyaya RFC 3161 zaman damgası ekler ve her --tsa sunucusunu sırayla dener. |
Evet |
--page-hashes |
Authenticode: görüntünün her 4 KB'lık sayfası için bir karma ekler, signtool sign /ph karşılığıdır ve Bellek bütünlüğü (HVCI) olan çekirdek modu sürücülerinde kullanılır. |
Evet |
| Şifreli zamanlanmış yedeklemeler |
Yapılandırmayı, veritabanını, ana anahtarı ve anahtar ile sertifika dosyalarını içeren tek bir AES-256-GCM arşivi; zamanlamayla veya konsoldan yazılır. --archive restore arşivi geri yükler veya sunucuyu yeni bir makineye taşır. |
Evet |
| Sertifika son kullanma izleme |
İmzalama ve TLS sertifikalarının günlük denetimi; 30, 14, 7 ve 1 gün kala uyarılar panoda, cert.expiring webhook'unda, e-postada ve bir Prometheus metriğinde yer alır. |
Yalnızca pano ve e-posta |
| E-posta bildirimleri |
Hesap kilitlenmeleri, iki faktör ve parola değişiklikleri, başarısız yedeklemeler ve süresi dolan sertifikalar için STARTTLS veya örtük TLS ile SMTP üzerinden e-posta. Windows'ta OpenSSL kitaplıkları gerekmez. |
Evet |
| Windows yükleyicisi |
sgcSignServer_Setup.exe Windows hizmetini kurar, ilk yöneticiyi oluşturur, güvenlik duvarı bağlantı noktasını açar ve TLS'i otomatik imzalı bir sertifika veya mevcut bir PFX dosyasıyla yapılandırır. |
Hayır, Community zip dosyasından start.bat ile çalışır (düz HTTP) |
| CLI kayıtlı profiller |
sgcsign config ayarları adlandırılmış profillerde tutar ve sgcsign auth set-key API anahtarını saklar; Delphi CLI ve .NET aracı esegece.sgcsign.cli için geçerlidir. |
Evet |