Развертывание на нескольких узлах: параметры установки

desc

Да

Имя узла.

Значение должно соответствовать следующим правилам:

• Длина имени узла должна быть от 1 до 63 символов.
• Имя узла может содержать следующие символы:
  • символы ASCII верхнего регистра (A–Z);
  • символы ASCII нижнего регистра (a-z);
  • числа (0–9);
  • дефис (-).

Все узлы кластера должны иметь уникальные имена. Это требование является одним из обязательных для установки Kaspersky EDR Expert и проверяется с помощью KDT.

type

Да

Тип узла.

Возможные значения параметра:

• primary
• worker
• loadbalancer

   

host

Да

IP-адрес узла.

Все узлы должны быть включены в ту же подсеть, что и шлюз кластера Kubernetes.

Для узлов требуется IPv4-адресация. Если в вашей среде требуется подключение по протоколу IPv6, настройте операционные системы на узлах и шлюзе кластера Kubernetes для маршрутизации трафика IPv6 через шлюз IPv6 (NAT64) или туннель IPv6. Эта конфигурация поддерживает работу кластера на IPv4, обеспечивая взаимодействие с сетями IPv6.

При наличии нескольких управляющих узлов вам потребуется балансировщик нагрузки для распределения поступающих запросов по управляющим узлам и обеспечения равномерной рабочей нагрузки. Если вы хотите использовать внешний балансировщик нагрузки, выделите отдельное устройство вне кластера и укажите его параметры в файле конфигурации. Если вы не хотите использовать внешний балансировщик нагрузки, его роль будут выполнять рабочие узлы.

kuma_role

Нет

Служба KUMA, которую вы можете указать для установки на рабочем узле. Можете задать установку одного или нескольких служб KUMA, либо не указывать их установку.

Параметр kuma_roles учитывается при установке службы KUMA в кластере Kubernetes с помощью Консоли OSMP. Если узел, на котором вы планируете установить службу KUMA, перегружен, кластер выберет другой, менее загруженный узел для установки службы.

Для параметра inventory установите значение /dev/null.

Хранилища, созданные из одного ресурса KUMA, не разрешается размещать на одном рабочем узле. Данное правило добавлено для обеспечения необходимого уровня отказоустойчивости.

Возможные значения параметра:

• core – ядро KUMA
• metrics – просмотр метрик KUMA
• collector – коллектор
• eventrouter – маршрутизатор событий
• correlator – коррелятор
• storage – хранилище

Значение параметра указывается в виде списка строк, включающих в себя роли KUMA. Например:

kuma_roles: ["core","metrics","collector"]

user

Да

Имя пользователя учетной записи, созданной на целевом устройстве и используемой для подключения к узлу с помощью KDT.

Значение должно соответствовать следующим правилам:

• Длина имени пользователя должна быть от 1 до 31 символов.
• Имя пользователя может содержать следующие символы:
  • нижний регистр (a-z);
  • числа (0–9);
  • нижнее подчеркивание (_), дефис (-).

   

password

Нет

Пароль для подключения к узлу. Может использоваться вместо SSH-ключа, указанного в параметре ssh_pk.

psql_dsn

Да

Строка подключения для доступа к СУБД, которая установлена и настроена вне кластера Kubernetes. 

Укажите этот параметр следующим образом:

psql_dsn=postgres://<dbms_username>:<password>@<fqdn>:<port>

где:

• dbms_username – имя пользователя привилегированной внутренней учетной записи СУБД. Этой учетной записи предоставлены права на создание баз данных и других учетных записей СУБД. С использованием этой привилегированной учетной записи СУБД во время развертывания будут созданы базы данных и другие учетные записи СУБД, необходимые для работы компонентов Kaspersky EDR Expert. 
• password – пароль привилегированной внутренней учетной записи СУБД.
• fqdn:port – полное имя домена и порт подключения целевого устройства, на котором установлена СУБД.

Чтобы использовать кластер высокой доступности, укажите этот параметр следующим образом:

psql_dsn=postgres://<dbms_username>:<password>@<fqdn1>:<port>,<fqdn2>:<port>,<fqdn3>:<port>

Чтобы использовать Corosync/Pacemaker, укажите этот параметр с виртуальным IP-адресом следующим образом:

psql_dsn=postgres://postgres:pass!@<virtual ip>:<port>

Значение параметра psql_dsn должно соответствовать URI-формату. Если URI-подключение включает специальные символы в любой из его частей, символы должны быть экранированы с помощью процентной кодировки.

Символы, которые требуется заменить в значении параметра psql_dsn:

• Пробел → %20
• ! → %21
• # → %23
• % → %25
• & → %26
• / → %2F
• : → %3A
• = → %3D
• ? → %3F
• @ → %40
• [ → %5B
• ] → %5D

Дополнительную информацию см. в статье Строка подключения PostgreSQL.

nwc-language

Да

Язык интерфейса OSMP Console, указанный по умолчанию. После установки вы можете изменить язык OSMP Console.

Возможные значения параметра:

• enUS (значение по умолчанию)
• ruRu

Если вы не укажете этот параметр в конфигурационном файле, будет использоваться значение по умолчанию.

ingress_ip

Да

Зарезервированный статический IPv4-адрес шлюза кластера Kubernetes.

Шлюз Kubernetes предназначен для подключения компонентов Kaspersky EDR Expert, установленных внутри кластера Kubernetes. Шлюз кластера должен быть включен в ту же подсеть, что управляющий и рабочие узлы кластера.

ssh_pk

Да

Путь к закрытой части SSH-ключа, которая находится на устройстве администратора и используется для подключения к управляющему рабочему узлу и к узлам со службами KUMA (коллекторам, корреляторам и хранилищам) с помощью утилиты KDT. Значение параметра должно быть Linux-путем к файлу или содержимым файла в кодировке Base64.

admin_password

Да

Параметр admin_password задает пароль Kaspersky EDR Expert, который будет создан утилитой KDT при установке. Имя пользователя по умолчанию для этой учетной записи – "admin".

Этой учетной записи пользователя назначена роль Главного администратора.

Пароль должен соответствовать следующим правилам:

• Пароль пользователя не может содержать менее 10 или более 256 символов.
• Пароль должен содержать символы как минимум трех групп из списка ниже:
  • верхний регистр (A–Z);
  • нижний регистр (a-z);
  • числа (0–9);
  • специальные символы (@ # $ % ^ & * - _ ! + = [ ] { } | : ' , . ? / \ ` ~ " ( ) ;).
• Пароль не должен содержать пробелов или комбинации ".@".

Когда вы указываете значение параметра admin_password вручную (не с помощью мастера настройки), убедитесь, что это значение соответствует требованиям стандарта YAML для значений в строках:

• Значение параметра, содержащего специальные символы, должно быть заключено в одинарные кавычки.
• Любая одинарная кавычка ' внутри значения параметра должна быть удвоена, чтобы избежать этой одинарной кавычки.

Пример: пароль учетной записи пользователя Any_pass%1234'5678"90 для параметра admin_password должен быть указан как 'Any_pass%1234''5678"90'.

low_resources

Нет

Параметр, указывающий на то, что приложение Kaspersky EDR Expert установлено на целевом устройстве с ограниченными вычислительными ресурсами. В случае развертывания на нескольких узлах установите для параметра low_resources значение false.

Возможные значения параметра:

• true – установка с ограниченными вычислительными ресурсами (для развертывания на одном узле).
• false – стандартная установка (значение по умолчанию).

   

core_disk_request

Да

Параметр, который указывает объем дискового пространства для работы Ядра KUMA.

Если вы не укажете параметр core_disk_request, а для параметра low_resources установлено значение false или ничего не указано, для работы Ядра KUMA будет выделен объем дискового пространства 100 ГБ по умолчанию.

Если вы не укажете параметр core_disk_request, а для параметра low_resources установлено значение true, для работы Ядра KUMA будет выделен объем дискового пространства 4 ГБ по умолчанию.

Вы можете изменить параметр core_disk_request позже, после развертывания приложения.

metrics_disk_request

Да

Параметр, задающий объем дискового пространства для работы службы Метрики.

Если параметр metrics_disk_request не задан, а для параметра low_resources установлено значение false или не установлено значение, для работы службы Метрики будет выделен объем дискового пространства 80 ГБ по умолчанию.

Если параметр metrics_disk_request не задан, а для параметра low_resources установлено значение true, для работы службы Метрики будет выделен объем дискового пространства 4 ГБ по умолчанию.

Вы можете изменить параметр metrics_disk_request позже, после развертывания приложения.

inventory

Да

Путь к файлу инвентаря KUMA, находящемуся на устройстве администратора. Файл инвентаря содержит параметры установки для развертывания сервисов KUMA, не входящих в кластер Kubernetes. Значение параметра должно быть Linux-путем к файлу или содержимым файла в кодировке Base64. Если все сервисы KUMA будут установлены внутри кластера, для параметра inventory установите значение /dev/null.

host_inventory

Нет

Путь к дополнительному файлу инвентаря KUMA, находящемуся на устройстве администратора. Этот файл содержит параметры установки, используемые для частичного добавления или удаления устройств с сервисами KUMA. Значение параметра должно быть Linux-путем к файлу или содержимым файла в кодировке Base64.

Если вы выполняете первоначальное развертывание Kaspersky EDR Expert или запускаете пользовательское действие, для которого требуется конфигурационный файл, оставьте значение параметра по умолчанию (/dev/null).

license

Нет

Путь к KUMA лицензионному ключу, находящемуся на устройстве администратора.

Значение параметра должно быть Linux-путем к файлу или содержимым файла в кодировке Base64.

Вы можете загрузить лицензионный ключ или указать код активации при входе в OSMP после завершения развертывания.

nwc_host

flow_host

hydra_host

login_host

ksc_host

console_host

api_host

kuma_host

monitoring_host

xdr_edr_ingress_host

Да

Имя устройства, которое используется в FQDN публичных служб Kaspersky EDR Expert. Имя устройства службы и доменное имя (значение параметра smp_domain) являются частью FQDN-службы.

Если пользовательские имена устройств не указаны, используются следующие имена устройств по умолчанию:

• nwc_host – "console"
• flow_host – "console"
• hydra_host – "console"
• login_host – "console"
• ksc_host—"admsrv"
• console_host – "console"
• api_host – "api"
• kuma_host – "kuma"
• monitoring_host – "monitoring"
• xdr_edr_ingress_host—"agentserver"

smp_domain

Да

Имя домена, которое используется в FQDN публичных служб Kaspersky EDR Expert. Значение параметра должно соответствовать требованиям назначения имен доменов до четвертого уровня.

Имя устройства службы и доменное имя являются частью FQDN-службы. Например, если значение переменной console_host равно console, а значение переменной smp_domain равно smp.local, тогда полное имя службы, предоставляющей доступ к Консоли OSMP, принимает значение console.smp.local.

pki_host_list

Да

Список имен устройств публичных служб Kaspersky EDR Expert, для которых требуется сформировать самоподписанный или пользовательский сертификат. Значение параметра должно быть списком имен устройств разделенных пробелами.

intermediate_enabled

Нет

Параметр, который указывает, использовать ли пользовательский промежуточный сертификат вместо самоподписанных сертификатов для публичных служб Kaspersky EDR Expert.

Возможные значения параметра:

• true – использовать пользовательский промежуточный сертификат.
• false – использовать самоподписанные сертификаты (значение по умолчанию).

   

intermediate_bundle

Нет

Путь к пользовательскому промежуточному сертификату, который используется для работы с общедоступными службами Kaspersky EDR Expert. Укажите этот параметр, если для параметра intermediate_enabled указано значение true. Значение параметра должно быть Linux-путем к файлу или содержимым файла в кодировке Base64. Максимальный срок действия пользовательского промежуточного сертификата должен быть 399 дней или больше.

admsrv_bundle

api_bundle

console_bundle

kuma_bundle

monitoring_bundle

Нет

Пути к пользовательским конечным сертификатам, которые используются для работы с соответствующими публичными службами Kaspersky EDR Expert: <admsrv_host>.<smp_domain>, <api_host>.<smp_domain>, <kuma_host>.<smp_domain>, <monitoring_host>.<smp_domain> и <console_host>.<smp_domain>. Значения параметров должны быть Linux-путем к файлу или содержимым файла в кодировке Base64.

Если вы хотите указать конечные пользовательские сертификаты, установите для параметра intermediate_enabled значение false и не указывайте параметры intermediate_bundle и pki_host_list.

ksc_state_size

Да

Объем свободного места на диске, выделенный для хранения данных Сервера администрирования (обновлений, инсталляционных пакетов и других внутренних служебных данных). Измеряется в гигабайтах, указывается как "<объем>Gi". Требуемый объем свободного места на диске зависит от количества управляемых устройств и других параметров и может быть рассчитан.

Значение по умолчанию – 30 ГБ. Если вы не укажете этот параметр в конфигурационном файле, будет использоваться это значение.

prometheus_size

Да

Объем свободного дискового пространства, выделенного для хранения метрик. Измеряется в гигабайтах, указывается как "<объем>GB".

Минимальное рекомендуемое значение и значение по умолчанию – 5 ГБ. Если вы не укажете этот параметр в конфигурационном файле, будет использоваться значение по умолчанию.

grafana_admin_user

Нет

Имя учетной записи пользователя, используемой для просмотра метрик OSMP с помощью инструмента Grafana.

Значение должно соответствовать следующим правилам:

• Длина имени пользователя должна быть от 1 до 30 символов.
• Имя пользователя может содержать следующие символы:
  • нижний регистр (a-z);
  • числа (0–9);
  • специальные символы (_ - .)
• Имя пользователя должно начинаться с буквы.
• Имя пользователя не должно содержать пробелов или символа "@".

   

grafana_admin_password

Нет

Пароль от учетной записи, используемой для просмотра метрик OSMP с помощью инструмента Grafana.

Пароль должен соответствовать следующим правилам:

• Пароль пользователя не может содержать менее 8 или более 256 символов.
• Пароль должен содержать символы из указанных ниже групп:
  • верхний регистр (A–Z);
  • нижний регистр (a-z);
  • числа (0–9);
  • специальные символы (@ # $ % ^ & * - _ ! + = [ ] { } | : ' , . ? / \ ` ~ " ( ) ;).

   

loki_size

Да

Объем свободного дискового пространства, выделенного для хранения журналов событий OSMP. Измеряется в гигабайтах, указывается как "<объем>Gi".

Минимальное рекомендуемое значение и значение по умолчанию – 40 ГБ. Если вы не укажете этот параметр в конфигурационном файле, будет использоваться значение по умолчанию.

loki_retention_period

Да

Период хранения журналов событий OSMP, по истечении которого журналы событий автоматически удаляются. По умолчанию указано значение 72 часа (в конфигурационном файле установите значение параметра – "<time in hours>h". Например, "72h"). Если вы не укажете этот параметр в конфигурационном файле, будет использоваться значение по умолчанию.

file_storage_cp

Нет

Количество свободного дискового пространства, выделенного для хранения данных компонента для работы с действиями по реагированию. Измеряется в гигабайтах, указывается как "<объем>Gi". Минимальное рекомендуемое значение – 20 ГБ.

psql_tls_off

Нет

Параметр, указывающий, следует ли шифровать трафик между компонентами Kaspersky EDR Expert и СУБД по протоколу TLS. Если СУБД установлена за пределами кластера, шифрование TLS выключено по умолчанию (значение по умолчанию true).

Возможные значения параметра:

• true – трафик не шифруется (значение по умолчанию).
• false – трафик шифруется.

   

psql_trusted_cas

Нет

Путь к PEM-файлу, который может содержать TLS-сертификат сервера СУБД или корневой сертификат, из которого может быть выдан сертификат TLS-сервера. Значение параметра должно быть Linux-путем к файлу или содержимым файла в кодировке Base64.

Укажите параметр psql_trusted_cas, если СУБД будет установлена и настроена на отдельном сервере и если включено шифрование трафика (для параметра psql_tls_off указано значение false).

proxy_enabled

Нет

Параметр, указывающий использовать ли прокси-сервер для подключения компонентов Kaspersky EDR Expert к интернету. Если устройство, на котором установлен Kaspersky EDR Expert, имеет доступ в интернет, вы также можете предоставить доступ в интернет для работы компонентов Kaspersky EDR Expert (например, Сервера администрирования) и для определенных интеграций как с решениями "Лаборатории Касперского", так и со сторонними производителями. Для установки прокси-соединения также необходимо указать параметры прокси-сервера в свойствах Сервера администрирования.

Возможные значения параметра:

• true – использовать прокси-сервер.
• false – не использовать прокси-сервер (значение по умолчанию).

proxy_addresses

Нет

IP-адрес прокси-сервера. Если прокси-сервер использует несколько IP-адресов, укажите эти адреса через пробел (например, "0.0.0.0 0.0.0.1 0.0.0.2"). Укажите этот параметр, если для параметра proxy_enabled указано значение true.

proxy_port

Нет

Номер порта, через который будет установлено прокси-подключение. Укажите этот параметр, если для параметра proxy_enabled указано значение true.

console_port

Нет

Параметр, который указывает настраиваемый номер порта для подключения к серверу Консоли OSMP. По умолчанию: 443

as_smp_port

Нет

Параметр, указывающий настраиваемый номер порта, используемого Endpoint Agents для подключения к компоненту agentserver. По умолчанию: 443

kuma_gateway_telemetry_listener_port

Нет

Параметр, указывающий пользовательский номер порта, используемого для отправки телеметрии. По умолчанию указано значение 443.

trace_level

Нет

Уровень детализации файлов трассировки Сервера администрирования. Трассировка записывается во время работы Сервера администрирования.

Значение по умолчанию – 0, трассировка не записывается.

Возможные значения параметра: 0–5.

Чем выше значение параметра, тем более подробная информация о трассировке записывается.

ansible_extra_flags

Нет

Уровень детальности журнала событий развертывания Ядра KUMA и сервисов KUMA, которое выполняется KDT.

Возможные значения параметра:

• -v
• -vv
• -vvv
• -vvvv

По мере увеличения количества букв "v" в флаге, журналы событий становятся более детальными. Если этот параметр не указан в конфигурационном файле, сохраняются стандартные журналы событий установки компонентов.

incident_attachments_max_count_limit

Нет

Количество файлов, которые вы можете прикрепить к инциденту. По умолчанию указано значение 100.

incident_attachments_max_size_limit

Нет

Общий размер файлов, прикрепленных к инциденту. Измеряется в байтах. Единицы измерения не отображаются. По умолчанию указано значение 26214400.

ignore_precheck

Нет

Параметр, указывающий, следует ли проверить аппаратное и программное обеспечение, а также конфигурацию сети узлов кластера Kubernetes на соответствие требованиям, необходимым для установки решения перед развертыванием.

Возможные значения параметра:

• true – пропустить предварительные проверки.
• false – выполнить предварительные проверки (значение по умолчанию).

   

airgap_mode

Нет

Параметр, включающий или выключающий предварительную проверку и обновление кеша пакетов пакетным менеджером APT. Таким образом становится возможным развертывание Kaspersky EDR Expert в среде с физической изоляцией.

Возможные значения параметра:

• true – пропустить предварительную проверку и обновление кеша пакетов.
• false – выполнить предварительную проверку и обновление кеша пакетов (значение по умолчанию).

   

grafana_smtp_host

Нет

Адрес SMTP-сервера для Grafana, который используется для отправки уведомлений о событиях, связанных с работоспособностью кластера Kubernetes, по электронной почте. Укажите этот параметр в формате <хост>:<порт> – например, localhost:25.

grafana_smtp_user

Нет

Имя пользователя для аутентификации на SMTP-сервере.

grafana_smtp_password

Нет

Пароль для аутентификации на SMTP-сервере.

grafana_smtp_bundle

Нет

Файл, содержащий цепочку сертификатов X.509, которая используется для проверки TLS-подключения к SMTP-серверу.

grafana_smtp_skip_verify

Нет

Данный параметр указывает, следует ли пропускать проверку TLS-сертификата для SMTP-сервера.

Возможные значения параметра:

• true – пропустить проверку TLS-сертификата.
• false – выполнять проверку TLS-сертификата (значение по умолчанию).

grafana_smtp_from_address

Нет

Электронный адрес отправителя, который будет отображаться в поле "От" при отправке уведомлений по электронной почте.

grafana_smtp_from_name

Нет

Отображаемое имя отправителя в уведомлениях по электронной почте.

grafana_smtp_ehlo_identity

Нет

Идентификатор, используемый в команде EHLO при подключении к SMTP-серверу.

grafana_starttls_policy

Нет

Политика использования STARTTLS при подключении к SMTP-серверу.

Возможные значения параметра:

• OpportunisticStartTLS – использовать STARTTLS, если SMTP-сервер поддерживает его, а в противном случае подключиться к SMPT-серверу без шифрования.
• MandatoryStartTLS – требовать STARTTLS и завершаться с ошибкой, если SMTP-сервер не поддерживает STARTTLS.
• NoStartTLS – не использовать STARTTLS и подключиться к SMPT-серверу без шифрования.
• empty – использовать STARTTLS, если SMTP-сервер поддерживает его, а в противном случае подключиться к SMPT-серверу без шифрования (значение по умолчанию).

grafana_smtp_enable_tracing

Нет

Параметр, который указывает, следует ли включить ли трассировку SMTP-подключения для отладки отправки электронной почты.

Возможные значения параметра:

• true – включить трассировку SMTP-подключения.
• false – отключить трассировку SMTP-подключения (значение по умолчанию).

autodeploy_plan

Нет

Параметр, указывающий, следует ли развертывать сервисы KUMA для Kaspersky EDR или для Kaspersky NGFW.

Возможные значения параметра:

• edr – развернуть службы KUMA для OSMP и Kaspersky EDR в кластере Kubernetes (значение по умолчанию).
• ngfw – развернуть службы KUMA для OSMP и Kaspersky NGFW внутри кластера Kubernetes. Также предустановленный коллектор [OOTB] Kaspersky NGFW будет установлен на первом устройстве из списка устройств, указанного в параметре kuma_collector файла инвентаря KUMA.
• none – не разворачивать службы KUMA для Kaspersky EDR или Kaspersky NGFW. Это значение следует указывать при развертывании Kaspersky EDR Expert без сервисов KUMA для Kaspersky EDR и Kaspersky NGFW или при восстановлении Kaspersky EDR Expert из резервной копии. Если при восстановлении Kaspersky EDR Expert задать значения edr или ngfw, это может привести к конфликту между развернутыми сервисами и сервисами из резервной копии.

tokenhub_access_token

Нет

Время жизни токена доступа.

В конфигурационном файле установите значение параметра – "<time in hours>h<time in minutes>m<time in seconds>s". Например, "1h10m" или "2h". Минимальное значение – 5m, а максимальное значение – 2h.

Значение по умолчанию – 1h. Если вы не укажете этот параметр в конфигурационном файле, будет использоваться это значение.

Вы можете изменить параметр tokenhub_access_token позже, после развертывания приложения.

tokenhub_refresh_token

Нет

Время жизни токена обновления, используемого для получения нового токена доступа.

В конфигурационном файле установите значение параметра – "<time in hours>h<time in minutes>m<time in seconds>s". Например, "24h" или "1240h30m". Минимальное значение – 12m, а максимальное значение – 4320h.

Значение по умолчанию – 24h. Если вы не укажете этот параметр в конфигурационном файле, будет использоваться это значение.

Вы можете изменить параметр tokenhub_refresh_token позже, после развертывания приложения.

credentials_session_ttl

Нет

Максимальное время простоя сеанса единого входа.

В конфигурационном файле установите значение параметра – "<time in hours>h<time in minutes>m<time in seconds>s". Например, "24h" или "1h30m". Минимальное значение – 5m, а максимальное значение – 96h.

Значение по умолчанию – 1h. Если вы не укажете этот параметр в конфигурационном файле, будет использоваться это значение.

Вы можете изменить параметр credentials_session_ttl позже, после развертывания приложения.