Preparação para instalação em rede privada

Para preparar a instalação da solução em uma rede corporativa privada:

1. Conecte o repositório do Helm do fornecedor que contém o pacote Helm Chart.

   export CHART_URL="xxxxxx"

   export CHART_USERNAME="xxxxxx"export CHART_PASSWORD="xxxxxx"

   export VERSION="xxxxxx"

   Os valores CHART_URL, CHART_USERNAME, CHART_PASSWORD e VERSION são fornecidos pelo fornecedor.

   Exemplo de conexão de um repositório com o Helm Chart:

   helm registry login \

   --username $CHART_USERNAME \

   --password $CHART_PASSWORD

   $CHART_URL

   helm pull oci://$CHART_URL/charts/kcs --version $VERSION

   tar xvf kcs-$VERSION.tgz

2. Preencha o arquivo com as configurações de instalação (values.yaml) incluído no kit de distribuição da solução de acordo com os comentários no arquivo.

   Não recomendamos especificar os dados da conta no arquivo values.yaml a serem usados ao iniciar o pacote Helm Chart.

   Você pode usar um dos seguintes métodos seguros para gerenciar segredos:

   • Usando sistemas CI/CD. Os segredos são especificados usando variáveis de ambiente protegidas ou mecanismos internos de gerenciamento de segredos. Durante a implementação, os dados são inseridos dinamicamente no Helm Chart. Não é necessário especificar abertamente no arquivo de configuração values.yaml.
   • Integração com HashiCorp Vault. O Helm Chart é compatível com a integração com o HashiCorp Vault, onde você pode armazenar segredos e deve especificar somente os caminhos para esses segredos em values.yaml.

     Os valores do pull-secret para o Docker Registry não podem ser totalmente armazenados no HashiCorp Vault. Recomendamos especificar os valores do pull-secret manualmente, na seção com os parâmetros de cluster do Kubernetes, e fazer referência a eles no Helm Chart.

   As seguintes configurações principais de instalação devem ser especificadas no arquivo values.yaml:

   • Nome do namespace.

     helm upgrade --install kcs . \

     --create-namespace \

     --namespace kcs \

     --values values.yaml \

   • Nome de domínio das conexões de entrada do Kaspersky Container Security.

     --set default.domain="kcs.example.domain.ru" \

     Quando as políticas de rede são ativadas, você deve especificar pelo menos um namespace para o controlador de ingresso do cluster.

     --set default.networkPolicies.ingressControllerNamespaces="{ingress-nginx}" \

     Por padrão, as políticas de rede estão ativadas.

   • Segredos dos componentes da solução.

     --set secret.infracreds.envs.POSTGRES_USER="user" \

     --set-string secret.infracreds.envs.POSTGRES_PASSWORD="pass" \

     --set secret.infracreds.envs.MINIO_ROOT_USER="user" \

     --set-string secret.infracreds.envs.MINIO_ROOT_PASSWORD="password" \

     --set-string secret.infracreds.envs.CLICKHOUSE_ADMIN_PASSWORD="pass" \

     --set secret.infracreds.envs.MCHD_USER="user" \

     --set-string secret.infracreds.envs.MCHD_PASS="pass" \

     Para garantir a segurança, os componentes da solução devem usar credenciais geradas pelo administrador do sistema de forma independente, de acordo com as políticas de segurança corporativas. Ao implementar o componente de destino em uma solução, o usuário e a senha especificados são criados automaticamente. Ao usar um serviço de terceiros, você deve fornecer o nome de usuário e a senha criados pelo administrador no referido serviço.

   • Segredos relacionados ao acesso ao repositório de instalação da solução.

     --set pullSecret.kcs-pullsecret.username="user" \

     --set pullSecret.kcs-pullsecret.password="pass"

     Se você planeja implementar o sistema usando um registro da Kaspersky, especifique as credenciais fornecidas quando adquiriu o Kaspersky Container Security. Se você planeja usar um registro privado ou um registro proxy, especifique suas credenciais de registro.

   • Configurações de armazenamento de segredos do HashiCorp Vault:
     • O sinalizador “enabled” ativa a integração com o armazenamento. O valor “vault.enabled = true” indica que a integração com o HashiCorp Vault foi estabelecida; os valores das variáveis de ambiente são obtidos do armazenamento.
     • “mountPath” é o caminho para o diretório com os segredos no armazenamento.
     • “role” é a função a ser usada para autenticação no armazenamento.

   Recomendamos não alterar a composição das configurações básicas de instalação.

3. Se você estiver usando um DBMS PostgresSQL externo, especifique o seguinte:

   --set default.postgresql.external="true"

   --set configmap.infraconfig.envs.postgres_host="<endereço IP ou FQDN do DBMS PostgresSQL>"

   --set configmap.infraconfig.envs.postgres_port="<porta para conexão com o PostgresSQL DBMS; por padrão, a porta 5432 é usada>"

   --set configmap.infraconfig.envs.postgres_db_name="<nome do banco de dados criado pelo administrador do DBMS PostgresSQL; api é usada por padrão>"

   Você também deve solicitar ao administrador do DBMS PostgreSQL que esclareça os requisitos para a verificação dos certificados do servidor do DBMS. O Kaspersky Container Security é compatível com os seguintes modos:

   • --set configmap.infraconfig.envs.postgres_verify_level= "disable": o certificado do servidor não é verificado.
   • --set configmap.infraconfig.envs.postgres_verify_level= "require": o certificado é necessário, a solução confia em qualquer certificado sem qualquer verificação adicional.
   • --set configmap.infraconfig.envs.postgres_verify_level= "verify-ca": o certificado é necessário, a solução verifica se o certificado é emitido por uma CA (autoridade de certificação) confiável.
   • --set configmap.infraconfig.envs.postgres_verify_level= "verify-full": o certificado é necessário, a solução verifica se o certificado é emitido por uma CA confiável e contém o endereço IP ou FQDN correto.

   Se você precisar verificar o certificado de um DBMS PostgresSQL externo, faça o seguinte:

   1. Carregue a parte pública do certificado CA para o diretório com o pacote Helm Chart usando a máscara certs/pgsql-ca.crt.
   2. Especifique o seguinte parâmetro de verificação: --set configmap.infraconfig.envs.postgres_root_ca_path="/etc/ssl/certs/pgsql-ca.crt".
   3. Remova o comentário da seção secret.cert-pgsql-ca no arquivo de configuração values.yaml para criar o segredo.
4. Salve o arquivo com as configurações de instalação e prossiga para instalar a solução.

Topo da página