Развертывание на одном узле: параметры установки

desc

Да

Имя узла.

Значение должно соответствовать следующим правилам:

• Длина имени узла должна быть от 1 до 63 символов.
• Имя узла может содержать следующие символы:
  • символы ASCII верхнего регистра (A–Z);
  • символы ASCII нижнего регистра (a-z);
  • числа (0–9);
  • дефис (-).

Все узлы кластера должны иметь уникальные имена. Это требование является одним из обязательных для установки Kaspersky EDR Expert и проверяется с помощью KDT.

type

Да

Тип узла.

Для целевого устройства для параметра type задайте значение primary-worker, чтобы включить развертывание на одном узле. В этом случае целевое устройство будет действовать как первичный и рабочий узлы.

host

Да

IP-адрес узла.

Управляющий рабочий узел должен быть включен в ту же подсеть, что и шлюз кластера Kubernetes.

Для узла требуется IPv4-адресация. Если в вашей среде требуется подключение по протоколу IPv6, настройте операционные системы на узле и шлюзе кластера Kubernetes для маршрутизации трафика IPv6 через шлюз IPv6 (NAT64) или туннель IPv6. Эта конфигурация поддерживает работу кластера на IPv4, обеспечивая взаимодействие с сетями IPv6.

kuma_role

Нет

Сервис KUMA, который вы можете указать для установки на рабочем узле.

Для развертывания на одном узле оставьте этот параметр пустым, так как все сервисы будут установлены на одном узле.

Для параметра inventory установите значение /dev/null.

user

Да

Имя пользователя учетной записи, созданной на целевом устройстве и используемой для подключения к узлу с помощью KDT.

Значение должно соответствовать следующим правилам:

• Длина имени пользователя должна быть от 1 до 31 символов.
• Имя пользователя может содержать следующие символы:
  • нижний регистр (a-z);
  • числа (0–9);
  • нижнее подчеркивание (_), дефис (-).

   

password

Нет

Пароль для подключения к узлу. Может использоваться вместо SSH-ключа, указанного в параметре ssh_pk.

psql_dsn

Да

Строка подключения для доступа к СУБД, которая установлена и настроена вне кластера Kubernetes. 

Укажите этот параметр следующим образом:

psql_dsn=postgres://<dbms_username>:<password>@<fqdn>:<port>

где:

• dbms_username – имя пользователя привилегированной внутренней учетной записи СУБД. Этой учетной записи предоставлены права на создание баз данных и других учетных записей СУБД. С использованием этой привилегированной учетной записи СУБД во время развертывания будут созданы базы данных и другие учетные записи СУБД, необходимые для работы компонентов Kaspersky EDR Expert. 
• password – пароль привилегированной внутренней учетной записи СУБД.
• fqdn:port – полное имя домена и порт подключения целевого устройства, на котором установлена СУБД.

  Если ваша СУБД установлена на том же узле, что и узел кластера Kubernetes, не используйте localhost или 127.0.0.1 в качестве адреса сервера СУБД в параметре psql_dsn. Используйте IP-адрес устройства, доступный по сети кластера (не loopback-адрес).

Чтобы использовать кластер высокой доступности, укажите этот параметр следующим образом:

psql_dsn=postgres://<dbms_username>:<password>@<fqdn1>:<port>,<fqdn2>:<port>,<fqdn3>:<port>

Чтобы использовать Corosync/Pacemaker, укажите этот параметр с виртуальным IP-адресом следующим образом:

psql_dsn=postgres://postgres:pass!@<virtual ip>:<port>

Значение параметра psql_dsn должно соответствовать URI-формату. Если URI-подключение включает специальные символы в любой из его частей, символы должны быть экранированы с помощью процентной кодировки.

Символы, которые требуется заменить в значении параметра psql_dsn:

• Пробел → %20
• ! → %21
• # → %23
• % → %25
• & → %26
• / → %2F
• : → %3A
• = → %3D
• ? → %3F
• @ → %40
• [ → %5B
• ] → %5D

Дополнительную информацию см. в статье Строка подключения PostgreSQL.

nwc-language

Да

Язык интерфейса OSMP Console, указанный по умолчанию. После установки вы можете изменить язык OSMP Console.

Возможные значения параметра:

• enUS (значение по умолчанию)
• ruRu

Если вы не укажете этот параметр в конфигурационном файле, будет использоваться значение по умолчанию.

ingress_ip

Да

Зарезервированный статический IPv4-адрес шлюза кластера Kubernetes.

Шлюз Kubernetes предназначен для подключения компонентов Kaspersky EDR Expert, установленных внутри кластера Kubernetes. Шлюз кластера должен быть включен в ту же подсеть, что и первичный рабочий узел кластера.

Для шлюза кластера Kubernetes требуется IPv4-адресация. Если в вашей среде требуется подключение по протоколу IPv6, настройте операционные системы на узле и шлюзе кластера Kubernetes для маршрутизации трафика IPv6 через шлюз IPv6 (NAT64) или туннель IPv6. Эта конфигурация поддерживает работу кластера на IPv4, обеспечивая взаимодействие с сетями IPv6.

В качестве значения этого параметра нельзя указывать IP-адрес того же устройства, на котором выполняется развертывание.

ssh_pk

Да

Путь к закрытой части SSH-ключа, которая находится на устройстве администратора и используется для подключения к управляющему рабочему узлу и к узлам со службами KUMA (коллекторам, корреляторам и хранилищам) с помощью утилиты KDT. Значение параметра должно быть Linux-путем к файлу или содержимым файла в кодировке Base64.

admin_password

Да

Параметр admin_password задает пароль Kaspersky EDR Expert, который будет создан утилитой KDT при установке. Имя пользователя по умолчанию для этой учетной записи – "admin".

Этой учетной записи пользователя назначена роль Главного администратора.

Пароль должен соответствовать следующим правилам:

• Пароль пользователя не может содержать менее 10 или более 256 символов.
• Пароль должен содержать символы как минимум трех групп из списка ниже:
  • верхний регистр (A–Z);
  • нижний регистр (a-z);
  • числа (0–9);
  • специальные символы (@ # $ % ^ & * - _ ! + = [ ] { } | : ' , . ? / \ ` ~ " ( ) ;).
• Пароль не должен содержать пробелов или комбинации ".@".

Когда вы указываете значение параметра admin_password вручную (не с помощью мастера настройки), убедитесь, что это значение соответствует требованиям стандарта YAML для значений в строках:

• Значение параметра, содержащего специальные символы, должно быть заключено в одинарные кавычки.
• Любая одинарная кавычка ' внутри значения параметра должна быть удвоена, чтобы избежать этой одинарной кавычки.

Пример: пароль учетной записи пользователя Any_pass%1234'5678"90 для параметра admin_password должен быть указан как 'Any_pass%1234''5678"90'.

low_resources

Да

Параметр, указывающий, что Kaspersky EDR Expert установлен на целевом устройстве с ограниченными вычислительными ресурсами.

Возможные значения параметра:

• true – установка с ограниченными вычислительными ресурсами (для развертывания на одном узле).
• false – стандартная установка.

Для развертывания на одном узле установите для параметра low_resources значение true, чтобы компоненты Kaspersky EDR Expert требовали меньше ресурсов памяти и процессора. Если вы включите этот параметр, для установки Ядра KUMA на целевом устройстве будет выделено 4 ГБ свободного дискового пространства.

openbao_ha_mode

Да

Параметр, который указывает, следует ли запускать хранилище секретов в режиме High Availability (HA).

Возможные значения параметра:

• true
• false

Для развертывания на одном узле установите для параметра openbao_ha_mode значение false.

openbao_standalone

Да

Параметр, который указывает, следует ли запускать хранилище секретов в автономном режиме.

Возможные значения параметра:

• true
• false

Для развертывания на одном узле установите для параметра openbao_standalone значение true.

default_class_replica_count

Да

Количество дисковых томов, на которых хранятся служебные данные компонентов Kaspersky EDR Expert и KDT.

По умолчанию указано значение 3.

Для развертывания на одном узле установите для параметра default_class_replica_count значение 1.

core_disk_request

Да

Параметр, который указывает объем дискового пространства для работы Ядра KUMA.

Если вы не укажете параметр core_disk_request, а для параметра low_resources установлено значение false или ничего не указано, для работы Ядра KUMA будет выделен объем дискового пространства 100 ГБ по умолчанию.

Если вы не укажете параметр core_disk_request, а для параметра low_resources установлено значение true, для работы Ядра KUMA будет выделен объем дискового пространства 4 ГБ по умолчанию.

Вы можете изменить параметр core_disk_request позже, после развертывания приложения.

inventory

Да

Путь к файлу инвентаря KUMA, находящемуся на устройстве администратора. Файл инвентаря содержит параметры установки для развертывания сервисов KUMA, не входящих в кластер Kubernetes. Значение параметра должно быть Linux-путем к файлу или содержимым файла в кодировке Base64. Если все сервисы KUMA будут установлены внутри кластера, для параметра inventory установите значение /dev/null.

host_inventory

Нет

Путь к дополнительному файлу инвентаря KUMA, находящемуся на устройстве администратора. Этот файл содержит параметры установки, используемые для частичного добавления или удаления устройств с сервисами KUMA. Значение параметра должно быть Linux-путем к файлу или содержимым файла в кодировке Base64.

Если вы выполняете первоначальное развертывание Kaspersky EDR Expert или запускаете пользовательское действие, для которого требуется конфигурационный файл, оставьте значение параметра по умолчанию (/dev/null).

license

Нет

Путь к KUMA лицензионному ключу, находящемуся на устройстве администратора.

Значение параметра должно быть Linux-путем к файлу или содержимым файла в кодировке Base64.

Вы можете загрузить лицензионный ключ или указать код активации при входе в OSMP после завершения развертывания.

nwc_host

flow_host

hydra_host

login_host

ksc_host

console_host

api_host

kuma_host

monitoring_host

xdr_edr_ingress_host

Да

Имя устройства, которое используется в FQDN публичных служб Kaspersky EDR Expert. Имя устройства службы и доменное имя (значение параметра smp_domain) являются частью FQDN-службы.

Если пользовательские имена устройств не указаны, используются следующие имена устройств по умолчанию:

• nwc_host – "console"
• flow_host – "console"
• hydra_host – "console"
• login_host – "console"
• ksc_host—"admsrv"
• console_host – "console"
• api_host – "api"
• kuma_host – "kuma"
• monitoring_host – "monitoring"
• xdr_edr_ingress_host—"agentserver"

smp_domain

Да

Имя домена, которое используется в FQDN публичных служб Kaspersky EDR Expert. Значение параметра должно соответствовать требованиям назначения имен доменов до четвертого уровня.

Имя устройства службы и доменное имя являются частью FQDN-службы. Например, если значение переменной console_host равно console, а значение переменной smp_domain равно smp.local, тогда полное имя службы, предоставляющей доступ к Консоли OSMP, принимает значение console.smp.local.

pki_host_list

Да

Список имен устройств публичных служб Kaspersky EDR Expert, для которых требуется сформировать самоподписанный или пользовательский сертификат. Значение параметра должно быть списком имен устройств разделенных пробелами.

intermediate_enabled

Нет

Параметр, который указывает, использовать ли пользовательский промежуточный сертификат вместо самоподписанных сертификатов для публичных служб Kaspersky EDR Expert.

Возможные значения параметра:

• true – использовать пользовательский промежуточный сертификат.
• false – использовать самоподписанные сертификаты (значение по умолчанию).

   

intermediate_bundle

Нет

Путь к пользовательскому промежуточному сертификату, который используется для работы с общедоступными службами Kaspersky EDR Expert. Укажите этот параметр, если для параметра intermediate_enabled указано значение true. Значение параметра должно быть Linux-путем к файлу или содержимым файла в кодировке Base64. Максимальный срок действия пользовательского промежуточного сертификата должен быть 399 дней или больше.

admsrv_bundle

api_bundle

console_bundle

kuma_bundle

monitoring_bundle

Нет

Пути к пользовательским конечным сертификатам, которые используются для работы с соответствующими публичными службами Kaspersky EDR Expert: <admsrv_host>.<smp_domain>, <api_host>.<smp_domain>, <kuma_host>.<smp_domain>, <monitoring_host>.<smp_domain> и <console_host>.<smp_domain>. Значения параметров должны быть Linux-путем к файлу или содержимым файла в кодировке Base64.

Если вы хотите указать конечные пользовательские сертификаты, установите для параметра intermediate_enabled значение false и не указывайте параметры intermediate_bundle и pki_host_list.

ksc_state_size

Да

Объем свободного места на диске, выделенный для хранения данных Сервера администрирования (обновлений, инсталляционных пакетов и других внутренних служебных данных). Измеряется в гигабайтах, указывается как "<объем>Gi". Требуемый объем свободного места на диске зависит от количества управляемых устройств и других параметров и может быть рассчитан.

Значение по умолчанию – 30 ГБ. Если вы не укажете этот параметр в конфигурационном файле, будет использоваться это значение.

prometheus_size

Да

Объем свободного дискового пространства, выделенного для хранения метрик. Измеряется в гигабайтах, указывается как "<объем>GB".

Минимальное рекомендуемое значение и значение по умолчанию – 5 ГБ. Если вы не укажете этот параметр в конфигурационном файле, будет использоваться значение по умолчанию.

grafana_admin_user

Нет

Имя учетной записи пользователя, используемой для просмотра метрик OSMP с помощью инструмента Grafana.

Значение должно соответствовать следующим правилам:

• Длина имени пользователя должна быть от 1 до 30 символов.
• Имя пользователя может содержать следующие символы:
  • нижний регистр (a-z);
  • числа (0–9);
  • специальные символы (_ - .)
• Имя пользователя должно начинаться с буквы.
• Имя пользователя не должно содержать пробелов или символа "@".

   

grafana_admin_password

Нет

Пароль от учетной записи, используемой для просмотра метрик OSMP с помощью инструмента Grafana.

Пароль должен соответствовать следующим правилам:

• Пароль пользователя не может содержать менее 8 или более 256 символов.
• Пароль должен содержать символы из указанных ниже групп:
  • верхний регистр (A–Z);
  • нижний регистр (a-z);
  • числа (0–9);
  • специальные символы (@ # $ % ^ & * - _ ! + = [ ] { } | : ' , . ? / \ ` ~ " ( ) ;).

   

loki_size

Да

Объем свободного дискового пространства, выделенного для хранения журналов событий OSMP. Измеряется в гигабайтах, указывается как "<объем>Gi".

Минимальное рекомендуемое значение и значение по умолчанию – 40 ГБ. Если вы не укажете этот параметр в конфигурационном файле, будет использоваться значение по умолчанию.

loki_retention_period

Да

Период хранения журналов событий OSMP, по истечении которого журналы событий автоматически удаляются. По умолчанию указано значение 72 часа (в конфигурационном файле установите значение параметра – "<time in hours>h". Например, "72h"). Если вы не укажете этот параметр в конфигурационном файле, будет использоваться значение по умолчанию.

file_storage_cp

Нет

Количество свободного дискового пространства, выделенного для хранения данных компонента для работы с действиями по реагированию. Измеряется в гигабайтах, указывается как "<объем>Gi". Минимальное рекомендуемое значение – 20 ГБ.

psql_tls_off

Нет

Параметр, указывающий, следует ли шифровать трафик между компонентами Kaspersky EDR Expert и СУБД по протоколу TLS. Если СУБД установлена за пределами кластера, шифрование TLS выключено по умолчанию (значение по умолчанию true).

Возможные значения параметра:

• true – трафик не шифруется (значение по умолчанию).
• false – трафик шифруется.

   

psql_trusted_cas

Нет

Путь к PEM-файлу, который может содержать TLS-сертификат сервера СУБД или корневой сертификат, из которого может быть выдан сертификат TLS-сервера. Значение параметра должно быть Linux-путем к файлу или содержимым файла в кодировке Base64.

Укажите параметр psql_trusted_cas, если СУБД будет установлена и настроена на отдельном сервере и если включено шифрование трафика (для параметра psql_tls_off указано значение false).

proxy_enabled

Нет

Параметр, указывающий использовать ли прокси-сервер для подключения компонентов Kaspersky EDR Expert к интернету. Если устройство, на котором установлен Kaspersky EDR Expert, имеет доступ в интернет, вы также можете предоставить доступ в интернет для работы компонентов Kaspersky EDR Expert (например, Сервера администрирования) и для определенных интеграций как с решениями "Лаборатории Касперского", так и со сторонними производителями. Для установки прокси-соединения также необходимо указать параметры прокси-сервера в свойствах Сервера администрирования.

Возможные значения параметра:

• true – использовать прокси-сервер.
• false – не использовать прокси-сервер (значение по умолчанию).

   

proxy_addresses

Нет

IP-адрес прокси-сервера. Если прокси-сервер использует несколько IP-адресов, укажите эти адреса через пробел (например, "0.0.0.0 0.0.0.1 0.0.0.2"). Укажите этот параметр, если для параметра proxy_enabled указано значение true.

proxy_port

Нет

Номер порта, через который будет установлено прокси-подключение. Укажите этот параметр, если для параметра proxy_enabled указано значение true.

trace_level

Нет

Уровень детализации файлов трассировки Сервера администрирования. Трассировка записывается во время работы Сервера администрирования.

Значение по умолчанию – 0, трассировка не записывается.

Возможные значения параметра: 0–5.

Чем выше значение параметра, тем более подробная информация о трассировке записывается.

ansible_extra_flags

Нет

Уровень детальности журнала событий развертывания Ядра KUMA и сервисов KUMA, которое выполняется KDT.

Возможные значения параметра:

• -v
• -vv
• -vvv
• -vvvv

По мере увеличения количества букв "v" в флаге, журналы событий становятся более детальными. Если этот параметр не указан в конфигурационном файле, сохраняются стандартные журналы событий установки компонентов.

incident_attachments_max_count_limit

Нет

Количество файлов, которые вы можете прикрепить к инциденту. По умолчанию указано значение 100.

incident_attachments_max_size_limit

Нет

Общий размер файлов, прикрепленных к инциденту. Измеряется в байтах. Единицы измерения не отображаются. По умолчанию указано значение 26214400.

ignore_precheck

Нет

Параметр, указывающий, следует ли проверить аппаратное и программное обеспечение, а также конфигурацию сети узлов кластера Kubernetes на соответствие требованиям, необходимым для установки решения перед развертыванием.

Возможные значения параметра:

• true – пропустить предварительные проверки.
• false – выполнить предварительные проверки (значение по умолчанию).

   

airgap_mode

Нет

Параметр, включающий или выключающий предварительную проверку и обновление кеша пакетов пакетным менеджером APT. Таким образом становится возможным развертывание Kaspersky EDR Expert в среде с физической изоляцией.

Возможные значения параметра:

• true – пропустить предварительную проверку и обновление кеша пакетов.
• false – выполнить предварительную проверку и обновление кеша пакетов (значение по умолчанию).

   

grafana_smtp_host

Нет

Адрес SMTP-сервера для Grafana, который используется для отправки уведомлений о событиях, связанных с работоспособностью кластера Kubernetes, по электронной почте. Укажите этот параметр в формате <хост>:<порт> – например, localhost:25.

grafana_smtp_user

Нет

Имя пользователя для аутентификации на SMTP-сервере.

grafana_smtp_password

Нет

Пароль для аутентификации на SMTP-сервере.

grafana_smtp_bundle

Нет

Файл, содержащий цепочку сертификатов X.509, которая используется для проверки TLS-подключения к SMTP-серверу.

grafana_smtp_skip_verify

Нет

Данный параметр указывает, следует ли пропускать проверку TLS-сертификата для SMTP-сервера.

Возможные значения параметра:

• true – пропустить проверку TLS-сертификата.
• false – выполнять проверку TLS-сертификата (значение по умолчанию).

grafana_smtp_from_address

Нет

Электронный адрес отправителя, который будет отображаться в поле "От" при отправке уведомлений по электронной почте.

grafana_smtp_from_name

Нет

Отображаемое имя отправителя в уведомлениях по электронной почте.

grafana_smtp_ehlo_identity

Нет

Идентификатор, используемый в команде EHLO при подключении к SMTP-серверу.

grafana_starttls_policy

Нет

Политика использования STARTTLS при подключении к SMTP-серверу.

Возможные значения параметра:

• OpportunisticStartTLS – использовать STARTTLS, если SMTP-сервер поддерживает его, а в противном случае подключиться к SMPT-серверу без шифрования.
• MandatoryStartTLS – требовать STARTTLS и завершаться с ошибкой, если SMTP-сервер не поддерживает STARTTLS.
• NoStartTLS – не использовать STARTTLS и подключиться к SMPT-серверу без шифрования.
• empty – использовать STARTTLS, если SMTP-сервер поддерживает его, а в противном случае подключиться к SMPT-серверу без шифрования (значение по умолчанию).

grafana_smtp_enable_tracing

Нет

Параметр, который указывает, следует ли включить ли трассировку SMTP-подключения для отладки отправки электронной почты.

Возможные значения параметра:

• true – включить трассировку SMTP-подключения.
• false – отключить трассировку SMTP-подключения (значение по умолчанию).

autodeploy_plan

Нет

Параметр, указывающий, следует ли развертывать сервисы KUMA для Kaspersky EDR или для Kaspersky NGFW.

Возможные значения параметра:

• edr – развернуть службы KUMA для OSMP и Kaspersky EDR в кластере Kubernetes (значение по умолчанию).
• ngfw – развернуть службы KUMA для OSMP и Kaspersky NGFW внутри кластера Kubernetes. Также предустановленный коллектор [OOTB] Kaspersky NGFW будет установлен на первом устройстве из списка устройств, указанного в параметре kuma_collector файла инвентаря KUMA.
• none – не разворачивать службы KUMA для Kaspersky EDR или Kaspersky NGFW. Это значение следует указывать при развертывании Kaspersky EDR Expert без сервисов KUMA для Kaspersky EDR и Kaspersky NGFW или при восстановлении Kaspersky EDR Expert из резервной копии. Если при восстановлении Kaspersky EDR Expert задать значения edr или ngfw, это может привести к конфликту между развернутыми сервисами и сервисами из резервной копии.

feature_gost_status

Нет

Параметр, который указывает использовать ли рабочий процесс, созданный на основании ГОСТ Р 59712-2022, для управления инцидентами. Значение по умолчанию false.

Возможные значения параметра:

• true – рабочий процесс по ГОСТ используется.
• false – рабочий процесс по ГОСТ не используется.