Перенос данных телеметрии в случае режима мультитенантности

Если на этапе подключения телеметрии агенты Endpoint Agent были подключены к разным тенантам, импорт данных телеметрии должен выполняться в те же тенанты, которые настроены для получения телеметрии.

Чтобы перенести данные телеметрии в OSMP, развернутую в режиме мультитенантности:

1. Разместите дампы Elasticsearch на сервере, на котором будет установлен коллектор KUMA.

   Дампы должны располагаться по пути, соответствующему обязательным критериям. Для каждого KEDR 7.1 необходимо создать отдельные подпапки, например: /mnt/elasticsearch/pcn, /mnt/elasticsearch/scn1, /mnt/elasticsearch/scn2.

2. Измените владельца дампов:

   sudo chown kuma:kuma <путь к дампу>

3. Чтобы импортировать данные телеметрии в тенанты, создайте и настройте отдельный коллектор в каждом тенанте, аналогично встроенному коллектору [OOTB] Kaspersky EDR events migration file. Хранилище для данных телеметрии уже должно быть создано в каждом тенанте на этапе подключения агентов Endpoint Agent к дочерним тенантам.
   1. Перейдите в раздел Мониторинг → Ресурсы и службы → Конфигурация служб и нажмите Коллекторы.
   2. Нажмите на кнопку и выберите Экспортировать ресурсы.
   3. В раскрывающемся списке Тенант выберите Корневой тенант.
   4. В поле Пароль файла введите пароль, который необходимо использовать для защиты экспортируемых данных.
   5. В дереве ресурсов установите флажок Все ресурсы → Коллекторы → KEDR → [OOTB] Kaspersky EDR events migration file.
   6. Нажмите на кнопку Экспорт.
   7. Нажмите на кнопку и выберите Импортировать ресурсы.
   8. В раскрывающемся списке Тенант выберите требуемый тенант.
   9. В раскрывающемся списке Источник импорта выберите значение Файл.
   10. В поле Пароль файла введите пароль, который вы указали для экспортированного файла.
   11. Нажмите на кнопку Выбрать файл и выберите экспортированный файл.
   12. Нажмите на кнопку Импорт.

   Копия выбранного коллектора появится в тенанте.

4. Запустите созданный коллектор.

   Разверните коллектор KUMA вне кластера Kubernetes на отдельном Сервере в качестве дополнительного сервиса KUMA.

   1. Перейдите в раздел Мониторинг → Ресурсы и службы → Конфигурация служб и нажмите Коллекторы.
   2. В списке коллекторов найдите созданный коллектор.

      Откроется мастер Изменение коллектора.

   3. Убедитесь, что в поле Тип на вкладке Транспорт установлено значение файл.
   4. В поле Путь к файлу укажите путь с маской к файлам дампа, например /mnt/elasticsearch/scn1/dump*
   5. На вкладке Маршрутизация удалите встроенное хранилище [OOTB] OSMP Storage.
   6. Нажмите на кнопку Добавить и выберите Создать в поле Назначение.
   7. Выберите вариант хранилище в поле Тип.
   8. В поле URL выберите хранилище, созданное для текущего тенанта. Должна быть отметка шлюз Kubernetes.

      Введите URL в следующем формате: https://api.d7fts6gikztq1geahwb7w12ha.kuma_host.smp_domain:443

      smp_domain – имя домена, которое используется в FQDN публичных служб Kaspersky EDR Expert. Значение параметра должно соответствовать требованиям назначения имен доменов до четвертого уровня.

      Имя устройства службы и доменное имя являются частью FQDN-службы. Например, если значение переменной console_host равно console, а значение переменной smp_domain равно smp.local, тогда полное имя службы, предоставляющей доступ к Консоли OSMP, принимает значение console.smp.local.

      kuma_host – имя устройства, которое используется в FQDN публичных служб Kaspersky EDR Expert. Имя устройства службы и доменное имя (значение параметра smp_domain) являются частью FQDN-службы.

      Значение по умолчанию параметра kuma_host: kuma.

      Убедитесь, что запись *.kuma_host.smp_domain существует и правильно настроена на вашем DNS-сервере.

   9. Нажмите на кнопку Сохранить.
   10. На этапе проверки параметров нажмите Создать и сохранить сервис.

       Будет отображена рекомендуемая команда.

   11. Скопируйте рекомендуемую команду и нажмите Сохранить.
   12. Выполните рекомендуемую команду через sudo на сервере, на котором установлены службы KUMA, например:

       sudo /opt/kaspersky/kuma/kuma collector --core https://<FQDN сервера Ядра KUMA>:<порт, используемый Ядром KUMA для внутренних коммуникаций (по умолчанию используется порт 7210)> --id <идентификатор службы коллектора, скопированный из веб-интерфейса> --api.port <порт, используемый для связи с устанавливаемым компонентом> --install

После создания коллектора убедитесь, что он работает правильно.

Через некоторое время исторические данные телеметрии будут импортированы. Это можно проверить путем поиска событий из созданной службы.