Установка решения в открытом контуре корпоративной сети

Развернуть всё | Свернуть всё

Следуя этому сценарию, вы можете установить решение в открытом контуре корпоративной сети.

1. Проверка целостности данных

   Перед установкой решения вы можете проверить целостность данных в подготовленном пакете Helm Chart, выполнив следующие действия:

   1. Скачайте архив с подготовленным пакетом Helm Chart и файл хеша и перейдите в эту директорию.
   2. Выполните команду:

      sha256sum -c kcs-2.5.0.tgz.sha

      Целостность данных подтверждается, если отображается следующее сообщение:

      kcs-2.5.0.tgz: OK

2. Подготовка файла с параметрами установки

   Вы можете подготовить файл с параметрами установки решения, выполнив следующие действия:

   1. Распакуйте архив с подготовленным пакетом Helm Chart в папке установки kcs, выполнив следующую команду:

      tar -xzf kcs-2.5.0.tgz

   2. Сохраните копию файла с параметрами установки values.yaml, который входит в комплект поставки решения, под другим названием (например, values-config.yaml) в папке установки kcs, где хранится распакованный пакет Helm Chart.

      Исходный файл values.yaml также должен находиться в папке установки kcs.

   3. Укажите значения параметров в файле values-config.yaml в соответствии с комментариями в нем.

   Обязательные параметры для заполнения при установке в открытом контуре сети

   В таблице ниже представлены параметры для установки решения в открытом контуре сети, которые требуется указать в файле values-config.yaml.

   Обязательные параметры для установки решения

   Параметр	Определение	Пример значения
   default.domain	Доменное имя Kaspersky Container Security для входящих соединений.	kcs.example.domain.ru
   default.networkPolicies.ingressControllerNamespaces	Список пространств имен, в которых размещены Ingress-контроллеры. Этот список используется для настройки правил доступа, которые разрешают трафик от Ingress-контроллера. При включенных сетевых политиках необходимо указать хотя бы одно пространство имен Ingress-контроллера. По умолчанию сетевые политики включены.	ingress-nginx
   pullSecret.kcs-pullsecret.registry	URL-адрес реестра, где хранятся образы Kaspersky Container Security для установки. Если вы планируете развертывание решения с использованием реестра "Лаборатории Касперского", необходимо указать учетные данные, переданные вам при покупке Kaspersky Container Security. Если вы планируете использовать частный реестр или прокси-реестр, требуется указать учетные данные вашего реестра. По умолчанию установлено значение repo.kcs.kaspersky.com.	repo.example.domain.ru
   pullSecret.kcs-pullsecret.username	Имя пользователя для аутентификации в реестре, где хранятся образы Kaspersky Container Security для установки.	user
   pullSecret.kcs-pullsecret.password	Пароль пользователя для аутентификации в реестре, где хранятся образы Kaspersky Container Security для установки.	password
   ingressController.kcs.ingressClass	Ресурс для Ingress-контроллера, определяющий обработчик трафика.	nginx
   secret.infracreds.envs.CLICKHOUSE_ADMIN_PASSWORD	Пароль администратора для компонента решения СУБД ClickHouse.	password
   secret.infracreds.envs.S3_ROOT_USER	Имя пользователя для компонента решения Файловое хранилище s3.	kcsuser
   secret.infracreds.envs.S3_ROOT_PASSWORD	Пароль пользователя для компонента решения Файловое хранилище s3.	password
   secret.infracreds.envs.POSTGRES_PASSWORD	Пароль пользователя для компонента решения СУБД PostgreSQL.	password
   secret.infracreds.envs.MCHD_USER	Имя пользователя для компонента решения Многопоточное кеш-хранилище ключей и значений на основе событий (англ. Memcached).	kcsuser
   secret.infracreds.envs.MCHD_PASS	Пароль пользователя для компонента решения Многопоточное кеш-хранилище ключей и значений на основе событий (англ. Memcached).	password
   secret.infracreds.envs.APP_SECRET	Криптографический секрет для шифрования конфиденциальных данных, которые сохраняются в базе данных. Потеря или изменение значения APP_SECRET сделает зашифрованные данные недоступными для расшифровки.	password

   Для обеспечения безопасности компонентам решения требуется использовать учетные данные, сгенерированные администратором безопасности самостоятельно в соответствии с корпоративными политиками безопасности. При развертывании целевого компонента в составе решения, указанные пользователь и пароль создаются автоматически. При использовании стороннего сервиса необходимо указать учетные данные пользователя и пароль, созданные администратором в этом стороннем сервисе.

   Мы рекомендуем не менять состав основных параметров установки.

   Пример заполненных обязательных параметров для установки решения в открытом контуре сети

   default:

   domain: kcs.example.domain.ru

   networkPolicies:

   ingressControllerNamespaces:

   - ingress-nginx

   ingressController:

   kcs:

   ingressClass: nginx

   secret:

   infracreds:

   envs:

   CLICKHOUSE_ADMIN_PASSWORD: password

   S3_ROOT_USER: kcsuser

   S3_ROOT_PASSWORD: password

   POSTGRES_PASSWORD: password

   MCHD_USER: kcsuser

   MCHD_PASS: password

   APP_SECRET: password

   pullSecret:

   kcs-pullsecret:

   registry: repo.example.domain.ru

   username: kcsuser

   password: password

   Для правильного функционирования решения вам также может потребоваться настройка дополнительных параметров.

   Дополнительные параметры для заполнения при установке решения

   В таблице ниже представлены дополнительные параметры, которые вам могут потребоваться для правильной установки и функционирования решения.

   Дополнительные параметры для установки решения

   Параметр	Определение	Пример значения
   default.platform	Тип платформы оркестратора, на которой развернуто решение.	openshift
   default.storageClass	Тип StorageClass для всех объектов PersistentVolumeClaim.	azurefile
   default.postgresql.external	Использование внешней СУБД PostgreSQL вместо развертываемой в кластере базы данных. Если указано значение true, необходимо вручную настроить подключение с помощью переменных POSTGRES_HOST, POSTGRES_PORT, POSTGRES_USER, POSTGRES_PASSWORD в секциях конфигурационного файла configmap и secret.	false
   default.kcs-s3.external	Использование внешнего s3-совместимого хранилища (AWS s3, Ceph, SeaweedFS). Если указано значение true, необходимо настроить подключение с помощью переменных S3_HOST, S3_BUCKET_NAME, S3_ROOT_USER, S3_ROOT_PASSWORD.	false
   default.kcs-clickhouse.external	Использование внешнего сервера СУБД ClickHouse вместо развертываемой в кластере СУБД ClickHouse. Если указано значение true, необходимо настроить подключение с помощью переменных EXT_CLICKHOUSE_* в configmap.infraconfig.envs.	false
   default.NO_PROXY	Исключения при использовании переменных HTTP_PROXY и HTTPS_PROXY. Вы можете указать значение переменной NO_PROXY, если вам нужно определить доменные имена, IP-адреса и CIDR серверов и маски инфраструктуры для работы решения, к которым требуется прямой доступ.
   ingressController.kcs.externalTrafficType	Протокол Ingress-контроллера. Если указано значение https, вам нужно указать значение сертификата в секции secret.	https
   ingressController.kcs.secret	Имя создаваемого секрета с TLS-сертификатом для Ingress.	cert-ingress
   secret.cert-ingress.type	Тип секрета Kubernetes для TLS-сертификата для Ingress.	kubernetes.io/tls
   secret.cert-ingress.files.tls.crt	Путь к файлу сертификата в локальной файловой системе. В примере показано значение переменной, когда файл находится в папке certs распакованного пакет Helm Chart.	certs/kcs-ingress.crt
   secret.cert-ingress.files.tls.key	Путь к файлу приватного ключа сертификата. В примере показано значение переменной, когда файл находится в папке certs распакованного пакет Helm Chart.	certs/kcs-ingress.key
   secret.infracreds.envs.HTTP_PROXY	Адрес прокси-сервера для исходящих соединений компонентов решения по протоколу HTTP. Значение этого параметра используется для всех компонентов, взаимодействующих с внешними ресурсами, кроме сканера образов. Адрес указывается в следующем формате: http://<host>:<port>.	http://1.1.1.1:3128
   secret.infracreds.envs.HTTPS_PROXY	Адрес прокси-сервера для защищенных исходящих соединений компонентов решения по протоколу HTTPS. Значение этого параметра используется для подключения к защищенным внешним ресурсам. Адрес указывается в следующем формате: http://<host>:<port>.	http://1.1.1.1:3128
   secret.infracreds.envs.SCANNER_PROXY	Адрес прокси-сервера для сканера образов.	http://1.1.1.1:3128
   secret.infracreds.envs.LICENSE_PROXY	Адрес прокси-сервера для загрузки лицензионных данных с серверов лицензирования "Лаборатории Касперского".	http://1.1.1.1:3128

   Перед началом установки обратите внимание на параметры storageClass и ingressClass в блоках конфигурационного файла default и ingressController.kcs. Эти параметры указываются для кластера и при необходимости их требуется изменить в соответствии с вашей инфраструктурой.

   Вы можете узнать значение ingressController для своей инфраструктуры с помощью следующей команды:

   kubectl get pods --all-namespaces | grep -i ingressController

   Пример указания параметров storageClass и ingressClass

   default:

     storageClass: azurefile

     networkPolicies:

       ingressControllerNamespaces:

         - app-routing-system

   ingressController:

     kcs:

       ingressClass: webapprouting.kubernetes.azure.com

   Если в связи с особенностями вашей инфраструктуры вам нужно указать значения других параметров, вы можете сделать это по комментариям в файле с параметрами установки values.yaml, который входит в комплект поставки решения.

   Мы не рекомендуем указывать данные учетных записей в конфигурационном файле для использования при запуске пакета Helm Chart.

3. Настройка безопасной передачи секретов

   Для управления секретами вы можете воспользоваться одним из следующих безопасных способов:

   • Использование CI/CD-систем. Секреты задаются с помощью защищенных переменных среды или встроенных механизмов управления секретами. При развертывании данные подставляются в Helm Chart динамически, их не требуется открыто указывать в конфигурационном файле values.yaml.
   • Интеграция с HashiCorp Vault. При установке Kaspersky Container Security настраивается возможность безопасной передачи паролей, токенов и секретов. Для этого используется хранилище HashiCorp Vault, значения параметров которого указываются в файле values.yaml и разворачиваются при запуске пакета Helm Chart.

     Значения pull-secret для Docker Registry не могут полностью сохраняться в HashiCorp Vault. Мы рекомендуем указывать pull-secret вручную в разделе с параметрами кластера Kubernetes и ссылаться на него из Helm Chart.

4. Запуск установки Kaspersky Container Security

   После подготовки конфигурационного файла и проверки целостности данных запустите установку решения:

   helm upgrade --install kcs-release --create-namespace --namespace kcs --values values-config.yaml .

   В результате установки будут развернуты компоненты решения.

После выполнения установки в командной оболочке останется запись о выполнении команды по установке решения. Вы можете открыть файл с историей команд и удалить эту запись или перед выполнением установки запретить запись истории команд в командной оболочке.

Панель управления будет доступна по адресу, указанному в подсекции envs раздела переменных окружения для создания объекта ConfigMap для параметра API_URL:

http://${DOMAIN}