Kaspersky Security для контейнеров

Настройка параметров внешней СУБД ClickHouse

Чтобы настроить параметры Kaspersky Security для контейнеров для использования внешней СУБД ClickHouse:

1. В конфигурационном файле values.yaml укажите, что решение использует внешнюю СУБД ClickHouse:

   default:

   kcs-clickhouse:

   external: true

2. Укажите значения переменных для использования внешней СУБД ClickHouse:

   configmap:

   infraconfig:

   type: fromEnvs

   envs:

   ...<переменные для использования внешней СУБД ClickHouse>

   В этом разделе необходимо указать следующие переменные:

   • EXT_CLICKHOUSE_PROTOCOL – протокол подключения к внешней СУБД ClickHouse.
   • EXT_CLICKHOUSE_HOST – хост подключения к внешней СУБД ClickHouse.
   • EXT_CLICKHOUSE_PORT – порт для подключения к внешней СУБД ClickHouse.
   • EXT_CLICKHOUSE_DB_NAME – имя базы данных, подготовленной для использования с Kaspersky Security для контейнеров.
   • EXT_CLICKHOUSE_COLD_STORAGE_NAME – имя диска, на котором ClickHouse будет долгосрочно хранить данные об инцидентах.
   • EXT_CLICKHOUSE_STORAGE_POLICY_NAME – название политики хранения данных, согласно которой ClickHouse будет переносить данные об инцидентах на диск для долгосрочного хранения.

     Если используется один диск для краткосрочного и долгосрочного хранения данных значения EXT_CLICKHOUSE_COLD_STORAGE_NAME и EXT_CLICKHOUSE_STORAGE_POLICY_NAME не указываются.

   • EXT_CLICKHOUSE_SSL_AUTH – переменная для авторизации пользователей ClickHouse с использованием ssl. Если указано значение true, авторизация осуществляется с использованием клиентских сертификатов и без паролей.

     Если переменная TLS_INTERNAL имеет значение false, значение EXT_CLICKHOUSE_SSL_AUTH также должно быть false.

   • EXT_CLICKHOUSE_ROOT_CA_PATH – путь до CA-сертификата, который указывается в случае использования протокола https (EXT_CLICKHOUSE_PROTOCOL: https) для подключения к ClickHouse. Вы можете указать путь одним из следующих способов:
     • Разместить CA-сертификат ClickHouse по указанному пути. В этом случае нужно раскомментировать блок secret.cert-kcs-clickhouse-ca.
     • Использовать Vault для хранения данных сертификата. В этом случае нужно раскомментировать блок cert-kcs-clickhouse-ca в разделе vault.certificate.
3. Укажите значения секретов для использования внешней СУБД ClickHouse:

   configmap:

   secret:

   infracreds:

   type: fromEnvs

   envs:

   ...<секреты для использования внешней СУБД ClickHouse>

   В этом разделе необходимо указать следующее:

   • EXT_CLICKHOUSE_WRITE_USER – имя пользователя с правами на запись, подготовленного для использования с Kaspersky Security для контейнеров.
   • CLICKHOUSE_WRITE_PASSWORD – пароль пользователя с правами на запись, подготовленного для использования с Kaspersky Security для контейнеров.
   • EXT_CLICKHOUSE_READ_USER – имя пользователя с правами на чтение, подготовленного для использования с Kaspersky Security для контейнеров.
   • CLICKHOUSE_READ_PASSWORD – пароль пользователя с правами на чтение, подготовленного для использования с Kaspersky Security для контейнеров.

     CLICKHOUSE_READ_PASSWORD и CLICKHOUSE_WRITE_PASSWORD не используются, если для переменной EXT_CLICKHOUSE_SSL_AUTH указано значении true.

   Имена пользователей и пароли к ним также можно указать с помощью хранилища секретов Vault.

   Пример настройки параметров внешней СУБД ClickHouse

   kcs-clickhouse:

   external: true

   persistent: true

   ...

   configmap:

   infraconfig:

   type: fromEnvs

   envs:

   ...

   EXT_CLICKHOUSE_PROTOCOL: https

   EXT_CLICKHOUSE_HOST: clickhouse.ns.svc.cluster.local

   EXT_CLICKHOUSE_PORT: 8443

   EXT_CLICKHOUSE_DB_NAME: kcs

   EXT_CLICKHOUSE_COLD_STORAGE_NAME: cold

   EXT_CLICKHOUSE_STORAGE_POLICY_NAME: kcs_default

   EXT_CLICKHOUSE_SSL_AUTH: false

   EXT_CLICKHOUSE_ROOT_CA_PATH: /etc/ssl/certs/kcs-clickhouse-ca.crt

   ...

   secret:

   ...

   infracreds:

   type: fromEnvs

   envs:

   ...

   EXT_CLICKHOUSE_WRITE_USER: kcsuser-write

   EXT_CLICKHOUSE_READ_USER: kcsuser-read

   CLICKHOUSE_WRITE_PASSWORD: **************

   CLICKHOUSE_READ_PASSWORD: ***********

   ...

   При использовании Vault:

   vault:

   ...

   secret:

   type: managedByVault

   ...

   EXT_CLICKHOUSE_WRITE_USER: kv/secret/kcs/clickhouse@EXT_CLICKHOUSE_WRITE_USER

   EXT_CLICKHOUSE_READ_USER: kv/secret/kcs/clickhouse@EXT_CLICKHOUSE_READ_USER

   CLICKHOUSE_WRITE_PASSWORD: kv/secret/kcs/clickhouse@CLICKHOUSE_WRITE_PASSWORD

   CLICKHOUSE_READ_PASSWORD: kv/secret/kcs/clickhouse@CLICKHOUSE_READ_PASSWORD

   ...