Подключение к внешним ресурсам для хранения данных

Развернуть всё | Свернуть всё

Кроме компонентов Kaspersky Container Security, которые входят в комплект поставки, решение может также работать со следующими внешними ресурсами для хранения данных:

• База данных PostgreSQL.
• СУБД ClickHouse.
• s3-совместимое файловое хранилище.

Настройка параметров подключения к внешним ресурсам для хранения данных осуществляется с помощью конфигурационного файла values.yaml.

Использование внешней базы данных PostgreSQL

При работе с Kaspersky Container Security вы можете использовать базы данных PostgreSQL в составе решения или собственные базы данных PostgreSQL. Для установки внешней базы данных PostgreSQL, которая не работает со схемой Kaspersky Container Security, требуется создать отдельного пользователя. Вы можете сделать это с помощью установки пакета Helm Chart с заданными параметрами схемы для внешней базы данных PostgreSQL.

Чтобы использовать внешнюю СУБД PostgreSQL:

1. В конфигурационном файле values.yaml укажите следующее:

   --set default.postgresql.external="true"

   --set configmap.infraconfig.envs.postgres_host="<IP-адрес или FQDN СУБД PostgreSQL>"

   --set configmap.infraconfig.envs.postgres_port="<порт для подключения к СУБД PostgreSQL, по умолчанию используется порт 5432>"

   --set configmap.infraconfig.envs.postgres_db_name="<имя созданной администратором СУБД PostgreSQL базы данных, по умолчанию используется api>"

2. Уточните у администратора СУБД PostgreSQL требования к проверке сертификатов сервера СУБД. Kaspersky Container Security поддерживает следующие режимы проверки:
   • --set configmap.infraconfig.envs.postgres_verify_level= "disable” – сертификат сервера не проверяется.
   • --set configmap.infraconfig.envs.postgres_verify_level= "verify-ca” – сертификат требуется, решение проверяет, что сертификат выпущен доверенным удостоверяющим центром (англ. Certificate authority).
   • --set configmap.infraconfig.envs.postgres_verify_level= "verify-full” – сертификат требуется, решение проверяет, что сертификат выпущен доверенным удостоверяющим центром и содержит верный IP-адрес или FQDN.
3. Если требуется проверять сертификат внешней СУБД PostgreSQL, выполните следующие действия:
   1. Загрузите открытую часть CA-сертификата в папку, в которой находится пакет Helm Chart, по маске certs/pgsql-ca.crt.
   2. Укажите следующий параметр проверки: --set configmap.infraconfig.envs.postgres_root_ca_path="/etc/ssl/certs/pgsql-ca.crt".
   3. Раскомментируйте блок secret.cert-pgsql-ca в конфигурационном файле values.yaml для создания секрета.

Чтобы создать пользователя с индивидуальной схемой для внешней базы данных PostgreSQL:

1. Выполните следующую команду для создания отдельного пространства имен для внешней базы данных PostgreSQL:

   kubectl create ns kcspg

   где kcspg – пространство имен для внешней базы данных PostgreSQL.

2. Выполните следующие действия для развертывания внешней базы данных PostgreSQL:
   1. Укажите параметры для развертывания внешней базы данных PostgreSQL в конфигурационном файле pg.yaml.

      Параметры для развертывания внешней базы данных PostgreSQL

      apiVersion: apps/v1

      kind: Deployment

      metadata:

      annotations:

      deployment.kubernetes.io/revision: "1"

      labels:

      app: postgres

      component: postgres

      name: postgres

      namespace: kcspg

      spec:

      replicas: 1

      selector:

      matchLabels:

      app: postgres

      component: postgres

      strategy:

      type: Recreate

      template:

      metadata:

      creationTimestamp: null

      labels:

      app: postgres

      component: postgres

      spec:

      containers:

      - name: postgres

      image: postgres:13-alpine

      ports:

      - containerPort: 5432

      env:

      - name: POSTGRES_DB

      value: api

      - name: POSTGRES_USER

      value: postgres

      - name: POSTGRES_PASSWORD

      value: postgres

      volumeMounts:

      - mountPath: "/var/lib/postgresql/data"

      name: "pgdata"

      imagePullSecrets:

      - name: ci-creds

      volumes:

      - hostPath:

      path: "/home/docker/pgdata"

      name: pgdata

      В параметрах задается пароль к базе данных. Этот пароль затем требуется указать в разделе infraconfig конфигурационного файла values.yaml, который входит в состав пакета Helm Chart в комплекте поставки решения.

   2. Выполните следующую команду:

      kubectl apply -f pg.yaml -n kcspg

   Название этой внешней базы данных формируется следующим образом:

   <имя_пода>.<название пространства имен>.<сервис>.cluster.local

   Например, postgres.kcspg.svc.cluster.local

3. Выполните следующие действия для развертывания объекта Service в кластере:
   1. Укажите параметры для развертывания объекта Service в конфигурационном файле svc.yaml.

      Параметры для развертывания объекта Service в кластере

      apiVersion: v1

      kind: Service

      metadata:

      name: postgres

      spec:

      type: ClusterIP

      selector:

      component: postgres

      ports:

      - port: 5432

      targetPort: 5432

   2. Выполните следующую команду:

      kubectl apply -f svc.yaml -n kcspg

4. Выполните следующие действия для создания пользователя, применяемой схемы и связи пользователя и схемы:
   1. С помощью развернутого на шаге 2b элемента postgres зайдите в под.
   2. Запустите интерактивный терминал psql с помощью следующей команды:

      psql -h localhost -U postgres -d api

   3. Выполните следующие команды:

      CREATE ROLE kks LOGIN PASSWORD 'kks' NOINHERIT CREATEDB;

      CREATE SCHEMA kks AUTHORIZATION kks;

      GRANT USAGE ON SCHEMA kks TO PUBLIC;

5. В конфигурационном файле values.yaml укажите параметры для использования внешней базы PostgreSQL.

   Параметры в файле values.yaml

   default:

   postgresql:

   external: true

   configmap:

   infraconfig:

   type: fromEnvs

   envs:

   POSTGRES_HOST: postgres.kcspg.svc.cluster.local

   POSTGRES_PORT: 5432

   POSTGRES_DB_NAME: api

   secret:

   infracreds:

   type: fromEnvs

   envs:

   POSTGRES_USER: kks

   POSTGRES_PASSWORD: kks

   Значения параметров, указанных в values.yaml, должны совпадать со значениями сходных параметров в конфигурационных файлах pg.yaml и svc.yaml.

6. Запустите обновление решения.

   Пример выполнения команд для создания пользователя с внешней базой данных PostgreSQL

   export KUBECONFIG=/root/.kube/config

   export CHART_URL=repo.kcs.kaspersky.com

   export CHART_USERNAME=<CHART_USERNAME>

   export CHART_PASSWORD=<CHART_PASSWORD>

   export VERSION=2.5.0

   export KCS_HOSTNAME=kcs.apps.aws.ext.company.com

   export IMAGE_URL=company.gitlab.examplecloud.com:5050

   export IMAGE_USERNAME=<repo_user>

   export IMAGE_PASSWORD=<repo_pass>

   cd /tmp

   helm registry login --username $IMAGE_USERNAME --password $IMAGE_PASSWORD company.gitlab.examplecloud.com:5050/company/kcs/chart

   helm pull oci://company.gitlab.examplecloud.com:5050/company/kcs/chart/kcs --version $VERSION

   tar -xf kcs*.tgz -C /tmp

   cp -rf /tmp/values.yaml /tmp/kcs

   cd /tmp/kcs

   helm upgrade --install kcs-release --create-namespace --namespace kcs --values values.yaml --version $VERSION --timeout 30m --wait --debug .

Для шифрования конфиденциальной информации в базе данных PostgreSQL в Kaspersky Container Security используется переменная APP_SECRET. Значение этой переменной можно указать следующим образом:

• задать непосредственно в конфигурационном файле (values.yaml, блок System secrets);
• сохранить в хранилище секретов HashiCorp Vault и указать путь до него в пакете Helm Chart, например:

  APP_SECRET: kv/secret/kcs/appsecret@APP_SECRET

Значение переменной APP_SECRET указывается в виде открытого незашифрованного текста. Минимальная длина секрета – 32 знака.

Необходимо обеспечить сохранность, не изменять и не удалять значение переменной APP_SECRET, а также не удалять пространство имен, в котором была создана эта переменная. Если значение переменной APP_SECRET будет изменено или удалено, базу данных PostgreSQL нужно будет создать заново.

Использование внешней СУБД ClickHouse

Кроме СУБД ClickHouse, которая является компонентом Kaspersky Container Security и входит в комплект поставки, решение может также работать с ресурсами внешней СУБД ClickHouse. Для этого необходимо выполнить следующее:

• Создать базу данных для Kaspersky Container Security, добавить и настроить пользователей, а также определить политику работы с дисками, если разные диски используются для долгосрочного и краткосрочного хранения данных.

  Создание базы данных для решения

  Чтобы создать базу данных для Kaspersky Container Security,

  в ClickHouse на рабочей станции выполните команду:

  CREATE DATABASE IF NOT EXISTS kcs

  где kcs – имя базы данных для Kaspersky Container Security.

  Чтобы настроить параметры созданной базы данных для Kaspersky Container Security:

  1. Добавьте пользователей и определите способ их авторизации. Для этого выполните следующие шаги:
     1. Добавьте следующих пользователей:
        • пользователя с правами на чтение данных, полученных ядром Kaspersky Container Security (англ. reader).

          <roles>

          <kcs_reader_role>

          <grants>

          <query>GRANT SELECT ON kcs.*</query>

          <query>GRANT SELECT ON system.*</query>

          </grants>

          </kcs_reader_role>

        • пользователя с правами на запись данных из запросов от внешних агентов (англ. writer).

          <kcs_writer_role>

          <grants>

          <query>GRANT CREATE TABLE, ALTER TABLE, DROP TABLE, SELECT, INSERT, ALTER, UPDATE, DELETE, OPTIMIZE ON kcs.*</query>

          <query>GRANT SELECT ON system.*</query>

          </grants>

          </kcs_writer_role>

     2. Определите способ авторизации пользователей: с помощью пароля или сертификата.

        Пример настройки пользователей с авторизацией с помощью пароля

        <clickhouse>

        ...

        <kcsuser-write>

        <password>*********</password>

        <networks>

        <ip>::/0</ip>

        </networks>

        ...

        <grants>

        <query>GRANT kcs_writer_role</query>

        </grants>

        </kcsuser-write>

        <kcsuser-read>

        <password>*********</password>

        <networks>

        <ip>::/0</ip>

        </networks>

        ...

        <grants>

        <query>GRANT kcs_reader_role</query>

        </grants>

        </kcsuser-read>

        ...

        <roles>

        <kcs_reader_role>

        <grants>

        <query>GRANT SELECT ON kcs.*</query>

        <query>GRANT SELECT ON system.*</query>

        </grants>

        </kcs_reader_role>

        <kcs_writer_role>

        <grants>

        <query>GRANT CREATE TABLE, ALTER TABLE, DROP TABLE, SELECT, INSERT, ALTER, UPDATE, DELETE, OPTIMIZE ON kcs.*</query>

        <query>GRANT SELECT ON system.*</query>

        </grants>

        </kcs_writer_role>

        ...

        </roles>

        ...

        </clickhouse>

        Пример настройки пользователей с авторизацией с помощью сертификата

        <clickhouse>

        ...

        <kcsuser-write>

        <ssl_certificates>

        <common_name>kcsuser-write</common_name>

        </ssl_certificates>

        <networks>

        <ip>::/0</ip>

        </networks>

        ...

        <grants>

        <query>GRANT kcs_writer_role</query>

        </grants>

        </kcsuser-write>

        <kcsuser-read>

        <ssl_certificates>

        <common_name>kcsuser-read</common_name>

        </ssl_certificates>

        <networks>

        <ip>::/0</ip>

        </networks>

        ...

        <grants>

        <query>GRANT kcs_reader_role</query>

        </grants>

        </kcsuser-read>

        ...

        <roles>

        <kcs_reader_role>

        <grants>

        <query>GRANT SELECT ON kcs.*</query>

        <query>GRANT SELECT ON system.*</query>

        </grants>

        </kcs_reader_role>

        <kcs_writer_role>

        <grants>

        <query>GRANT CREATE TABLE, ALTER TABLE, DROP TABLE, SELECT, INSERT, ALTER, UPDATE, DELETE, OPTIMIZE ON kcs.*</query>

        </grants>

        </kcs_writer_role>

        ...

        </roles>

        ...

        </clickhouse>

  2. Определите диски для краткосрочного и долгосрочного хранения данных. При работе с ClickHouse Kaspersky Container Security может сохранять большой объем данных с разными сроками хранения. По умолчанию основной объем событий хранится максимум 30 минут, а информация об инцидентах сохраняется до 90 дней. Поскольку для записи событий требуется много ресурсов, обеспечивающих высокую скорость записи и выделение места хранения, рекомендуется использовать разные диски для размещения данных на краткосрочное и долгосрочное хранение.

     Пример настройки параметров хранения данных

     <clickhouse>

     ...

     <storage_configuration>

     <disks>

     <kcs_disk_hot>

     <path>/etc/clickhouse/hot/</path>

     </kcs_disk_hot>

     <kcs_disk_cold>

     <path>/etc/clickhouse/cold/</path>

     </kcs_disk_cold>

     </disks>

     <policies>

     <kcs_default>

     <volumes>

     <default>

     <disk>kcs_disk_hot</disk>

     </default>

     <cold>

     <disk>kcs_disk_cold</disk>

     </cold>

     </volumes>

     </kcs_default>

     </policies>

     </storage_configuration>

     ...

     </clickhouse>

  Настройка параметров внешней базы данных ClickHouse

  Чтобы настроить параметры Kaspersky Container Security для использования внешней СУБД ClickHouse:

  1. В конфигурационном файле values.yaml укажите, что решение использует внешнюю СУБД ClickHouse:

     default:

     kcs-clickhouse:

     external: true

  2. Укажите значения переменных для использования внешней СУБД ClickHouse:

     configmap:

     infraconfig:

     type: fromEnvs

     envs:

     ...<переменные для использования внешней СУБД ClickHouse>

     В этом разделе необходимо указать следующие переменные:

     • EXT_CLICKHOUSE_PROTOCOL – протокол подключения к внешней СУБД ClickHouse.
     • EXT_CLICKHOUSE_HOST – хост подключения к внешней СУБД ClickHouse.
     • EXT_CLICKHOUSE_PORT – порт для подключения к внешней СУБД ClickHouse.
     • EXT_CLICKHOUSE_DB_NAME – имя базы данных, подготовленной для использования с Kaspersky Container Security.
     • EXT_CLICKHOUSE_COLD_STORAGE_NAME – имя диска, на котором ClickHouse будет долгосрочно хранить данные об инцидентах.

       Если используется один диск для краткосрочного и долгосрочного хранения данных, значение параметра EXT_CLICKHOUSE_COLD_STORAGE_NAME не указывается.

     • EXT_CLICKHOUSE_STORAGE_POLICY_NAME – название политики хранения данных, согласно которой ClickHouse будет переносить данные об инцидентах на диск для долгосрочного хранения.
     • EXT_CLICKHOUSE_SSL_AUTH – переменная для авторизации пользователей ClickHouse с использованием ssl. Если указано значение true, авторизация осуществляется с использованием клиентских сертификатов и без паролей.

       Если переменная TLS_INTERNAL имеет значение false, значение EXT_CLICKHOUSE_SSL_AUTH также должно быть false.

     • EXT_CLICKHOUSE_ROOT_CA_PATH – путь до CA-сертификата, который указывается в случае использования протокола https (EXT_CLICKHOUSE_PROTOCOL: https) для подключения к ClickHouse. Вы можете указать путь одним из следующих способов:
       • Разместить CA-сертификат ClickHouse по указанному пути. В этом случае нужно раскомментировать блок secret.cert-kcs-clickhouse-ca.
       • Использовать Vault для хранения данных сертификата. В этом случае нужно раскомментировать блок cert-kcs-clickhouse-ca в разделе vault.certificate.
  3. Укажите значения секретов для использования внешней СУБД ClickHouse:

     configmap:

     secret:

     infracreds:

     type: fromEnvs

     envs:

     ...<секреты для использования внешней СУБД ClickHouse>

     В этом разделе необходимо указать следующее:

     • EXT_CLICKHOUSE_WRITE_USER – имя пользователя с правами на запись, подготовленного для использования с Kaspersky Container Security.
     • CLICKHOUSE_WRITE_PASSWORD – пароль пользователя с правами на запись, подготовленного для использования с Kaspersky Container Security.
     • EXT_CLICKHOUSE_READ_USER – имя пользователя с правами на чтение, подготовленного для использования с Kaspersky Container Security.
     • CLICKHOUSE_READ_PASSWORD – пароль пользователя с правами на чтение, подготовленного для использования с Kaspersky Container Security.

       CLICKHOUSE_READ_PASSWORD и CLICKHOUSE_WRITE_PASSWORD не используются, если для переменной EXT_CLICKHOUSE_SSL_AUTH указано значении true.

     Имена пользователей и пароли к ним также можно указать с помощью хранилища секретов Vault.

     Пример настройки параметров внешней СУБД ClickHouse

     kcs-clickhouse:

     external: true

     persistent: true

     ...

     configmap:

     infraconfig:

     type: fromEnvs

     envs:

     ...

     EXT_CLICKHOUSE_PROTOCOL: https

     EXT_CLICKHOUSE_HOST: clickhouse.ns.svc.cluster.local

     EXT_CLICKHOUSE_PORT: 8443

     EXT_CLICKHOUSE_DB_NAME: kcs

     EXT_CLICKHOUSE_COLD_STORAGE_NAME: cold

     EXT_CLICKHOUSE_STORAGE_POLICY_NAME: kcs_default

     EXT_CLICKHOUSE_SSL_AUTH: false

     EXT_CLICKHOUSE_ROOT_CA_PATH: /etc/ssl/certs/kcs-clickhouse-ca.crt

     ...

     secret:

     ...

     infracreds:

     type: fromEnvs

     envs:

     ...

     EXT_CLICKHOUSE_WRITE_USER: kcsuser-write

     EXT_CLICKHOUSE_READ_USER: kcsuser-read

     CLICKHOUSE_WRITE_PASSWORD: **************

     CLICKHOUSE_READ_PASSWORD: ***********

     ...

     При использовании Vault:

     vault:

     ...

     secret:

     type: managedByVault

     ...

     EXT_CLICKHOUSE_WRITE_USER: kv/secret/kcs/clickhouse@EXT_CLICKHOUSE_WRITE_USER

     EXT_CLICKHOUSE_READ_USER: kv/secret/kcs/clickhouse@EXT_CLICKHOUSE_READ_USER

     CLICKHOUSE_WRITE_PASSWORD: kv/secret/kcs/clickhouse@CLICKHOUSE_WRITE_PASSWORD

     CLICKHOUSE_READ_PASSWORD: kv/secret/kcs/clickhouse@CLICKHOUSE_READ_PASSWORD

     ...

  Ограничение объема данных для получения из ClickHouse

  Для предотвращения сбоев в работе СУБД ClickHouse в связи с превышением объема данных, которые направляются в ответ на запрос информации для исследования и анализа событий безопасности, вы можете ограничить объем данных для получения. Для этого необходимо указать значения следующих параметров модуля основной бизнес-логики решения (kcs-middleware):

  • FORENSIC_MAX_RESULT_ROWS – максимальное количество строк в получаемом ответе после применения условий фильтрации и сортировки. Это ограничение соответствует количеству строк, которые отображает Kaspersky Container Security.

    Если указано значение 0, ограничение отсутствует. По умолчанию установлено значение 1 000 000.

  • FORENSIC_MAX_ROWS_TO_READ – максимальное количество строк базы данных, которые могут быть получены из базы данных при выполнении запроса. Это ограничение применяется до выполнения условий фильтрации и сортировки и соотносится с общим количеством строк в базе данных ClickHouse, а не с отображаемым решением списком событий безопасности.

    По умолчанию установлено значение 10 000 000.

    Значение этого параметра можно менять только в исключительных случаях.

  Использование файловой системы XFS

  Для эффективной работы ClickHouse мы рекомендуем использовать файловую систему XFS, которая поддерживает операции с объемными файлами и директориями, большим количеством файлов, а также с параллельным вводом-выводом данных.

  Для хранения информации о файле или директории файловая система XFS использует динамически распределяемые индексные дескрипторы inode. Каждый inode содержит в себе атрибуты и указания на дисковые блоки, в которых хранятся данные файла. В Kaspersky Container Security на 100Gb данных в холодном хранилище ClickHouse необходимо 12 000 000 inode.

  Чтобы настроить параметры файловой системы XFS:

  1. Установите пакет XFS следующим образом:
     • Для основанных на Linux-дистрибутиве Debian операционных систем (deb-like дистрибутивов) выполните следующую команду:

       sudo apt install xfsprogs.

     • Для операционных систем, использующих формат пакетов RPM (rpm-like дистрибутивов) выполните одну из следующих команд:

       sudo yum install xfsprogs xfsdump

       sudo dnf install xfsprogs xfsdump.

     Необходимо убедиться, что диск или раздел, на который вы собираетесь установить XFS, не содержит важных данных. Операция по созданию на диске или разделе файловой системы XFS приведет к удалению оттуда всех данных без возможности их восстановления.

  2. В кластере Kubernetes создайте объект storageClass и укажите для него значение переменной следующим образом: parameters.fstype: xfs.

     Также вы можете указать XFS как установленную по умолчанию файловую систему в параметре csi-provider (если настройки параметров интерфейса хранилища доступны для изменения).

  3. Если storageClass используется как локальное хранилище local-storage, то в PersistentVolume укажите следующее значение:

     spec.csi.fsType: xfs

  4. В конфигурационном файле values.yaml для указания файловой системы XFS выполните одно из следующих действий:
     • Если в кластере не указаны параметры csi-хранилища, создайте на узле директорию для PV, смонитируйте в эту директорию диск с файловой системой XFS и скопируйте в values.yaml комментарии для local-storage. Например, следующим образом:

       persistentVolume:

       pvc-clickhouse-cold:

       size: 40Gi

       storageClass: local-storage

       path: /path/to/clickhouse-cold-folder

       nodename: worker-1.example.nodename

       pvc-clickhouse-hot:

       size: 20Gi

       storageClass: local-storage

       path: /path/to/clickhouse-hot-folder

       nodename: worker-1.example.nodename

     • Если в кластере не указаны параметры csi-хранилища для local-storage (например, local-static-provisioner), укажите файловую систему XFS в параметрах объекта storageClass.
• Указать необходимые значения переменных в конфигурационном файле values.yaml для внешней СУБД ClickHouse.

Kaspersky Container Security работает с СУБД ClickHouse 25.*.

s3-совместимое файловое хранилище

Чтобы настроить параметры Kaspersky Container Security для использования внешнего s3-совместимого файлового хранилища:

1. В конфигурационном файле values.yaml укажите, что решение использует внешнее s3-совместимое файловое хранилище:

   default:

   kcs-s3:

   external: true

2. Укажите значения переменных для использования s3-совместимого файлового хранилища:

   configmap:

   infraconfig:

   type: fromEnvs

   envs:

   ...<переменные для использования внешнего s3-совместимого файлового хранилища>

   В этом разделе необходимо указать следующие переменные:

   • S3_HOST – хост для подключения к s3-совместимому файловому хранилищу.
   • S3_PORT – порт для подключения к s3-совместимому файловому хранилищу.
   • S3_BUCKET_NAME – имя раздела в s3-совместимом файловом хранилище, выделенного для хранения данных Kaspersky Container Security.
   • S3_SSL – переменная для подключения к s3-совместимому файловому хранилищу с использованием ssl (в том числе с помощью протокола https).

     Если переменная TLS_INTERNAL имеет значение false, значение S3_SSL также должно быть false.

   • S3_ROOT_CA_PATH – путь до CA-сертификата, который указывается в случае использования протокола https (S3_SSL: true) для подключения к s3-совместимому файловому хранилищу. Вы можете указать путь одним из следующих способов:
     • Разместить CA-сертификат хранилища по указанному пути. В этом случае нужно раскомментировать блок secret.cert-s3-ca.
     • Использовать Vault для хранения данных сертификата. В этом случае нужно раскомментировать блок cert-s3-ca в разделе vault.certificate.
3. Укажите значения секретов для использования внешнего s3-совместимого файлового хранилища:

   configmap:

   secret:

   infracreds:

   type: fromEnvs

   envs:

   ...<секреты для использования внешнего s3-совместимого файлового хранилища>

   В этом разделе необходимо указать следующее:

   • S3_ROOT_USER - имя пользователя s3-совместимого файлового хранилища, выделенного для Kaspersky Container Security.
   • S3_ROOT_PASSWORD - пароль пользователя s3-совместимого файлового хранилища, выделенного для Kaspersky Container Security.

   Имена пользователей и пароли к ним также можно указать с помощью хранилища секретов Vault.

Пример настройки параметров внешнего s3-совместимого файлового хранилища