Развертывание на нескольких узлах: подготовка устройства администратора и целевых устройств

Подготовка к развертыванию на нескольких узлах включает настройку устройства администратора и целевых устройств. После подготовки устройств и указания конфигурационного файла вы сможете развернуть Kaspersky EDR Expert на целевых устройствах с использованием KDT.

Подготовка устройства администратора

Предварительно вам нужно подготовить устройство, которое будет выполнять роль устройства администратора, с которого будет запускаться KDT. Это устройство может быть включено или не включено в кластер Kubernetes, созданный с помощью KDT во время развертывания. Если устройство администратора не включено в кластер, оно будет использоваться только для развертывания и управления кластером Kubernetes и Kaspersky EDR Expert. Если устройство администратора включено в кластер, оно также будет действовать как целевое устройство, которое используется для работы компонентов Kaspersky EDR Expert.

Все виртуальные процессоры, назначенные устройству администратора, должны находиться на одном узле NUMA. При настройке виртуальной машины для устройства администратора на гипервизоре убедитесь, что ресурсы процессора и памяти выделяются из одного узла NUMA. Это предотвращает доступ к памяти между узлами, что может вызвать сбои при распределении памяти во время установки.

Чтобы подготовить устройство администратора:

Убедитесь, что оборудование и программное обеспечение на устройстве администратора соответствуют требованиям.
Если устройство администратора не входит в кластер Kubernetes, обратитесь к требованиям KDT.

Если устройство администратора входит в кластер, обратитесь к требованиям к оборудованию для развертывания на нескольких узлах и к программным требованиям OSMP.
Выделите не менее 15 ГБ свободного места в директории временных файлов (/tmp) для KDT.
Чтобы выяснить, сколько места доступно в директории /tmp, выполните следующую команду:

df -h /tmp

Если у вас недостаточно свободного места в этой директории, выполните следующую команду, чтобы указать путь к другой директории:

export TMPDIR=<new_directory>/tmp
Установите пакет для Docker версии 23 или выше. Не устанавливайте неофициальные версии пакета Docker из хранилищ операционных систем.
На разделе диска для хранения данных Docker (по умолчанию /var/lib/docker) должно быть не менее 60 ГБ свободного места.
Выполните действия после установки, чтобы настроить устройство администратора для правильной работы с Docker:
sudo groupadd docker

sudo usermod -aG docker $USER

newgrp docker

sudo systemctl enable docker.service

sudo systemctl enable containerd.service

sudo systemctl status docker.service

Убедитесь, что сервис Docker находится в состоянии Active.

Если ключ невозможно скачать автоматически, скачайте его вручную:
1. Откройте ссылку https://download.docker.com/linux/ubuntu/gpg в браузере и сохраните ключ как docker.asc.
2. Выполните следующую команду:
  sudo mv docker.asc /etc/apt/keyrings/docker.asc
Для устройства администратора, которое будет включено в кластер, выполните дополнительные подготовительные шаги:
1. Поскольку устройство будет действовать как устройство администратора и целевое устройство, убедитесь, что оно соответствует требованиям для развертывания на нескольких узлах.
2. Убедитесь, что на устройстве администратора поддерживается технология cgroup v2.
  1. Since the device will act as the administrator and target host, make sure that it meets the requirements for the single-node deployment (because the demonstration and single-node deployment have a similar deployment scheme).
  2. Make sure that the cgroup v2 technology is supported on the administrator host.
    The cgroup v2 technology is supported for the Linux kernel version 2.6.24 or later.
  3. Install the uidmap package on the administrator host.
    Check that the /etc/subgid and /etc/subuid files contain the user account under which KDT will be launched. To do this, you can run the following command:
    
    getsubids USER
    
    If this command does not return a result, you must add the user account to the /etc/subgid and /etc/subuid files manually in the following format:
    
    <username>:<min_subid>:<range_length>
    
    where
    - <username>—Username of the account under which KDT will be launched.
    - <min_subid>—Minimum subuid value.
    - <range_length>—Number of subuids allocated for the user <username>.

Подготовка целевых устройств

Целевые устройства – это физические или виртуальные машины, которые используются для развертывания Kaspersky EDR Expert и которые включены в кластер Kubernetes. На этих устройствах работают компоненты Kaspersky EDR Expert.

Одно из целевых устройств может быть использовано в качестве устройства администратора. В этом случае вам необходимо подготовить это устройство в качестве устройства администратора, как описано в предыдущей процедуре, а затем подготовить целевое устройство.

Минимальная конфигурация кластера для развертывания на нескольких узлах включает четыре узла:

Один управляющий узел.
Управляющий узел предназначен для управления кластером, хранения метаданных и распределения рабочей нагрузки.
Три рабочих узла.
Рабочие узлы предназначены для выполнения рабочей нагрузки компонентов Kaspersky EDR Expert.

Количество первичных и рабочих узлов в кластере может быть разным. Для оптимального распределения нагрузки между узлами рекомендуется использовать узлы с примерно одинаковой производительностью.

Службы KUMA (коллекторы, корреляторы и хранилища) могут быть установлены внутри кластера на рабочих узлах, на отдельных устройствах вне кластера Kubernetes или частично в кластере Kubernetes и вне его.

При наличии нескольких управляющих узлов вам потребуется балансировщик нагрузки для распределения поступающих запросов по управляющим узлам и обеспечения равномерной рабочей нагрузки. Если вы хотите использовать внешний балансировщик нагрузки, выделите отдельное устройство вне кластера Kubernetes и укажите его параметры в файле конфигурации. Если вы не хотите использовать внешний балансировщик нагрузки, его роль будет выполнять рабочий узел.

Чтобы подготовить целевые устройства:

Убедитесь, что оборудование и программное обеспечение на целевых устройствах соответствуют требованиям для развертывания на нескольких узлах и целевые устройства расположены в одном широковещательном домене.
Если сервисы KUMA установлены внутри кластера, целевые устройства должны соответствовать требованиям к оборудованию, программному обеспечению и требованиям к установке, необходимым для установки сервисов KUMA.

Для правильной работы Kaspersky EDR Expert версия ядра Linux должна быть 5.15.0.107 или выше на целевых устройствах с операционной системой семейства Ubuntu.

Docker не должен быть установлен на целевых устройствах, кроме целевого устройства, которое будет использоваться в качестве устройства администратора. KDT установит все необходимое программное обеспечение и зависимости во время развертывания.
Убедитесь, что в файловой системе, смонтированной в /var, на каждом целевом устройстве есть не менее 700 ГБ свободного дискового пространства.
Чтобы выяснить, сколько места доступно в директории /var, выполните следующую команду:

df -h /var
Убедитесь, что на каждом целевом хосте установлен пакет sudo:
apt list --installed | grep sudo

В выводе команды должны быть перечислены пакеты с указанным именем пакета, например:

sudo/noble-updates,noble-security,now 1.9.15p5-3ubuntu5.24.04.2 amd64 [installed]

Установите пакет sudo, если этот пакет еще не установлен:

apt install sudo
Для операционных систем семейства Debian установите пакет UFW:
apt install ufw
На каждом целевом устройстве настройте файл /etc/environment. Если инфраструктура вашей организации использует прокси-сервер для доступа в интернет, настройте доступ в интернет, используя прокси-сервер на целевых устройствах.
Если на управляющем рабочем узле используется UFW, разрешите IP-переадресацию. В файле /etc/default/ufw установите для параметра DEFAULT_FORWARD_POLICY значение ACCEPT.
Предоставьте доступ к хранилищу пакетов, в котором хранятся следующие пакеты, необходимые для Kaspersky EDR Expert:
- nfs-common;
- cron;
- tar;
- open-iscsi;
- python3-cffi-backend;
- python3-cryptography;
- systemd;
- cryptsetup-bin;
- cryptsetup;
- netcat-traditional;
- containerd.
KDT попытается установить эти пакеты во время развертывания из хранилища пакетов. Также эти пакеты можно установить вручную.
Убедитесь, что на каждом целевом узле установлены пакеты python3-apt и libnfs:
apt list --installed | grep <название_пакета>

В выводе команды должны быть перечислены пакеты с указанным именем пакета, например:

libnfs14/noble,now 5.0.2-1build1 amd64 [installed,automatic]

libnfsidmap1/noble-updates,now 1:2.6.4-3ubuntu5.1 amd64 [installed,automatic]

Пакеты python3-apt и libnfs не устанавливаются во время развертывания из хранилища пакетов с помощью KDT. Вам нужно установить эти пакеты вручную, если они еще не установлены. Используется пакет libnfs версии 12 и выше.

sudo apt install <название_пакета>
Для управляющих узлов убедитесь, что установлен пакет curl.

Пакет curl не устанавливается во время развертывания из репозитория пакетов с помощью KDT. Этот пакет необходимо установить вручную, если он еще не установлен.
Убедитесь, что конфигурационные файлы не ссылаются на какие-либо недоступные репозитории: команда apt update не должна возвращать ошибок.
Отключите защиту от ARP-спуфинга на гипервизоре или в сетевой инфраструктуре для целевых хостов.
Зарезервируйте статические IP-адреса для целевых устройств и шлюза кластера Kubernetes.
Шлюз Kubernetes предназначен для подключения компонентов Kaspersky EDR Expert, установленных внутри кластера Kubernetes. IP-адрес шлюза является IPv4-адресом (например, 10.80.23.182). IP-адрес шлюза указан в конфигурационном файле (параметр ingress_ip).

Убедитесь, что целевые устройства, шлюз соединения кластера Kubernetes и устройство с СУБД находятся в одном широковещательном домене.

Для шлюза кластера Kubernetes и целевых устройств требуется IPv4-адресация. Если в вашей среде требуется подключение по протоколу IPv6, настройте операционные системы на целевых устройствах и шлюзе кластера Kubernetes для маршрутизации трафика IPv6 через шлюз IPv6 (NAT64) или туннель IPv6. Эта конфигурация поддерживает работу кластера на IPv4, обеспечивая взаимодействие с сетями IPv6.
На своем DNS-сервере зарегистрируйте FQDN служб для подключения к службам Kaspersky EDR Expert.
По умолчанию службы Kaspersky EDR Expert доступны по следующим адресам:
- <console_host>.<smp_domain> – доступ к интерфейсу Консоли OSMP.
- <ksc_host>.<smp_domain> – взаимодействие с Сервером администрирования.
- <kuma_host>.<smp_domain> – доступ к компоненту SIEM.
- <api_host>.<smp_domain> – доступ к API Kaspersky EDR Expert.
- <monitoring_host>.<smp_domain> – доступ к метрикам OSMP.
  Где <console_host>, <ksc_host>, <kuma_host>, <api_host> и <monitoring_host> являются именами устройств сервисов, <smp_domain> является доменным именем сервиса. Эти параметры являются частями сервисов FQDN, которые вы можете указать в конфигурационном файле. Если вы не указываете пользовательские значения имен служб устройств, используются значения по умолчанию: console_host – "console", ksc_host – "admsrv", kuma_host – "kuma", api_host – "api", monitoring_host – "monitoring".
Перечисленные FQDN служб должны разрешаться в IP-адрес кластера Kubernetes. Например, если адрес кластера Kubernetes – 10.80.23.182, FQDN служб должны разрешаться в IP-адрес следующим образом:
- <console_host>.<smp_domain> – 10.80.23.182
- <ksc_host>.<smp_domain> – 10.80.23.182
- <kuma_host>.<smp_domain> – 10.80.23.182
- <api_host>.<smp_domain> – 10.80.23.182
- <monitoring_host>.<smp_domain> – 10.80.23.182
На каждом целевом устройстве создайте учетные записи, которые будут использоваться для развертывания Kaspersky EDR Expert.
Эти учетные записи используются для SSH-соединения и должны иметь возможность повышать привилегии (sudo) без ввода пароля. Для этого добавьте созданные учетные записи пользователей в файл /etc/sudoers.
1. Выполните следующие команды:
  sudo useradd -m -s /bin/bash sshuser
  
  sudo usermod -aG sudo sshuser
2. Откройте файл /etc/sudoers с помощью команды:
  sudo visudo
3. Добавьте следующую строку в конец файла:
  sshuser ALL=(ALL) NOPASSWD: ALL
  
  Где sshuser – имя созданного пользователя.
4. Выполните следующую команду:
  sudo systemctl restart ssh
Настройте SSH-соединение между устройством администратора и целевыми устройствами:
1. На устройстве администратора выполните следующую команду, чтобы сгенерировать SSH-ключи с помощью утилиты ssh-keygen без парольной фразы.
  ssh-keygen -t rsa
2. Скопируйте открытый ключ на целевое устройство (например, в директорию /home/sshuser/.ssh) с помощью утилиты ssh-copy-id:
  ssh-copy-id sshuser@<IP_целевого_хоста>
  
  Если вы используете целевое устройство в качестве устройства администратора, вам нужно скопировать на него открытый ключ.
  
  Пример создания открытого ключа
  
  Чтобы создать открытый ключ, выполните следующую команду:
  
  ssh-keygen -t rsa
  
  ssh-copy-id sshuser@<IP_целевого_хоста>
Для корректной работы компонентов Kaspersky EDR Expert обеспечьте сетевой доступ между целевыми устройствами и при необходимости откройте требуемые порты на сетевом экране устройства администратора и целевых устройств.
Настройте синхронизацию времени по протоколу Network Time Protocol (NTP) на устройстве администратора и целевых устройствах.
При необходимости подготовьте пользовательские сертификаты для работы с публичными службами Kaspersky EDR Expert.
Вы можете использовать один промежуточный сертификат, выданный на основе корневого сертификата организации, или конечные сертификаты для каждой службы. Подготовленные пользовательские сертификаты будут использоваться вместо самоподписанных сертификатов.

Назад Подготовительные работы и развертывание

Развертывание на одном узле: подготовка устройства администратора и целевых устройств Вперед

Вам помогла эта статья?

Что нам нужно улучшить?

Спасибо за ваш отзыв, вы помогаете нам становиться лучше!