Перевыпуск внутренних CA-сертификатов

Перевыпускать внутренний CA-сертификат могут только пользователи с ролью Главный администратор.

Чтобы перевыпустить и применить внутренний CA-сертификат:

1. В веб-интерфейсе откройте раздел Параметры → KUMA → Открыть параметры KUMA → Общее.
2. В блоке Параметры Ядра нажмите на кнопку Перевыпустить внутренние CA-сертификаты.
3. В открывшемся окне подтвердите перевыпуск сертификатов.

   CA-сертификаты для сервисов KUMA и CA-сертификат для ClickHouse будут перевыпущены. Перевыпущенные сертификаты требуется применить.

4. Подключитесь к хостам, на которых развернуты сервисы коллектора и коррелятора:
   1. Остановите все сервисы, выполнив команду:

      sudo systemctl stop kuma-<collector/correlator/metrics>-<service_ID>.service

      где:

      <service_ID> — идентификатор сервиса, скопированный из веб-интерфейса OSMP.

   2. Удалите файлы internal.cert и internal.key из директорий /opt/kaspersky/kuma/<тип сервиса>/<ID сервиса>/certificates, выполнив следующие команды:

      sudo rm -f /opt/kaspersky/kuma/<collector/correlator/metrics>/<service_ID>/certificates/internal.cert

      sudo rm -f /opt/kaspersky/kuma/<collector/correlator/metrics>/<service_ID>/certificates/internal.key

5. Подключитесь к хостам, на которых развернуты сервисы хранилища:
   1. Остановите все сервисы хранилища:

      sudo systemctl stop kuma-<storage>-<service_ID>.service

   2. Удалите файлы internal.cert и internal.key из директорий /opt/kaspersky/kuma/storage/<ID сервиса>/certificates, выполнив следующие команды:

      sudo rm -f /opt/kaspersky/kuma/storage/<service_ID>/certificates/internal.cert

      sudo rm -f /opt/kaspersky/kuma/storage/<service_ID>/certificates/internal.key

6. Удалите все сертификаты ClickHouse из директории /opt/kaspersky/kuma/clickhouse/certificates, выполнив следующие команды:

   sudo rm -f /opt/kaspersky/kuma/clickhouse/certificates/internal.cert

   sudo rm -f /opt/kaspersky/kuma/clickhouse/certificates/internal.key

7. Подключитесь к хостам, на которых развернуты сервисы агентов:
   1. Остановите сервисы агентов Windows и агентов Linux.
   2. Удалите файлы internal.cert и internal.key из рабочих директорий агентов.
8. Перезапустите Ядро KUMA, чтобы применить новые CA-сертификаты:
   • Для развертывания на одном сервере и распределенного развертывания выполните команду:

     sudo systemctl restart kuma-core-00000000-0000-0000-0000-000000000000.service

   • Для развертывания в кластере Kubernetes, на любом контроллере выполните следующие команды:

     sudo k0s kubectl exec deployment/metrics -n kuma -- rm -rf /opt/kaspersky/kuma/metrics/certificates

     sudo k0s kubectl rollout restart deployment metrics -n kuma

     sudo k0s kubectl rollout restart deployment/core-deployment -n kuma

     Рекомендуется перезапускать Ядро KUMA с помощью команды, поскольку перезапуск через веб-интерфейс влияет на перезапуск только контейнера Ядра KUMA, а не весь под целиком.

9. Перезапустите все остановленные сервисы:

   sudo systemctl start kuma-<collector/correlator/storage/metrics>-<service_ID>.service --pair.fingerprint <CA_cert_ID>

   где:

   • <service_ID> — идентификатор сервиса, скопированный из веб-интерфейса KUMA.
   • <CA_cert_ID> — идентификатор отпечатка CA-сертификата, используемый для проверки подлинности при подключении сервиса.

     Параметр --pair.fingerprint является необязательным. При создании сервиса KUMA автоматически добавляет этот параметр в команду установки и указывает идентификатор отпечатка.
     Вы можете выполнить установку сервиса без указания параметра --pair.fingerprint. В этом случае KUMA использует значение insecure по умолчанию, что не обеспечивает проверку подлинности CA-сертификата Ядра KUMA при установлении соединения. Если используется значение insecure, обновление отпечатка после перевыпуска CA-сертификата не требуется.
     
     Для обеспечения проверки подлинности CA-сертификата Ядра KUMA рекомендуется не удалять параметр --pair.fingerprint с идентификатором отпечатка при установке сервиса. В этом случае при перевыпуске CA-сертификата необходимо скопировать идентификатор отпечатка в разделе Ресурсы и сервисы → Активные сервисы → меню () → Копировать отпечаток сертификата.

Внутренние CA-сертификаты будут применены.