Развертывание в нескольких ЦОД: подготовка устройства администратора и целевых устройств

Подготовка к развертыванию в нескольких центрах обработки данных (ЦОД) включает настройку устройства администратора и целевых устройств. После подготовки устройств и указания конфигурационного файла вы сможете развернуть Kaspersky EDR Expert на целевых устройствах с использованием KDT.

Подготовка устройства администратора

Предварительно вам нужно подготовить устройство, которое будет выполнять роль устройства администратора, с которого будет запускаться KDT. Это устройство может быть включено или не включено в кластер Kubernetes, созданный с помощью KDT во время развертывания. Если устройство администратора не включено в кластер, оно будет использоваться только для развертывания и управления кластером Kubernetes и Kaspersky EDR Expert. Если устройство администратора включено в кластер, оно также будет действовать как целевое устройство, которое используется для работы компонентов Kaspersky EDR Expert.

Чтобы подготовить устройство администратора:

1. Убедитесь, что оборудование и программное обеспечение на устройстве администратора соответствуют требованиям.

   Если устройство администратора не входит в кластер Kubernetes, обратитесь к требованиям KDT.

   Если устройство администратора входит в кластер, обратитесь к требованиям к оборудованию для развертывания на нескольких узлах и к программным требованиям OSMP.

2. Выделите не менее 15 ГБ свободного места в директории временных файлов (по умолчанию /tmp) для KDT. Если у вас недостаточно свободного места в этой директории, выполните следующую команду, чтобы указать путь к другой директории:

   export TMPDIR=<новая_директория>/tmp

3. Настройте среду выполнения контейнера. Используйте одну из следующих сред выполнения контейнеров:
   • Встроенная среда выполнения контейнера KDT (на основе runc).

     Выполните команду, чтобы установить встроенную среду выполнения контейнера:

     sudo ./kdt init

     Если встроенная среда выполнения контейнера не подходит, вы можете использовать вместо нее среду выполнения контейнера Docker.

   • Среда выполнения контейнера Docker.

     Установите пакет для Docker версии 25 или выше, а затем выполните действия после установки, чтобы настроить устройство администрирования для правильной работы с Docker.

     На разделе диска для хранения данных Docker (по умолчанию /var/lib/docker) должно быть не менее 60 ГБ свободного места.

     Не устанавливайте неофициальные версии пакета Docker из хранилищ операционных систем.

4. Для устройства администратора, которое будет включено в кластер, выполните дополнительные подготовительные шаги:
   1. Поскольку устройство будет действовать как устройство администратора и целевое устройство, убедитесь, что оно соответствует требованиям для развертывания на нескольких узлах.
   2. Убедитесь, что на устройстве администратора поддерживается технология cgroup v2.

Подготовка целевых устройств

Целевые устройства – это физические или виртуальные машины, которые используются для развертывания Kaspersky EDR Expert и которые включены в кластер Kubernetes. Компоненты Kaspersky EDR Expert работают на этих устройствах.

Одно из целевых устройств может быть использовано в качестве устройства администратора. В этом случае вам необходимо подготовить это устройство в качестве устройства администратора, как описано в предыдущей процедуре, а затем подготовить целевое устройство.

Для конфигурации в нескольких ЦОД с тремя центрами обработки данных должно быть не менее 12 узлов кластера:

• 3 управляющих узла (не менее 1 узла на каждый центр обработки данных).

  Управляющий узел предназначен для управления кластером, хранения метаданных и распределения рабочей нагрузки.

• 9 рабочих узлов (не менее 3 узлов на каждый центр обработки данных).

  Рабочие узлы предназначены для выполнения рабочей нагрузки компонентов Kaspersky EDR Expert.

Количество первичных и рабочих узлов в кластере может быть разным. Для оптимального распределения нагрузки между узлами рекомендуется использовать узлы с примерно одинаковой производительностью.

Службы KUMA (коллекторы, корреляторы и хранилища) могут быть установлены внутри кластера на рабочих узлах, на отдельных устройствах вне кластера Kubernetes или частично в кластере Kubernetes и вне его.

Чтобы подготовить целевые устройства:

1. Убедитесь, что оборудование и программное обеспечение на целевых устройствах соответствуют требованиям для развертывания на нескольких узлах и целевые устройства расположены в одном широковещательном домене.

   Если сервисы KUMA установлены внутри кластера, целевые устройства должны соответствовать требованиям к оборудованию, программному обеспечению и требованиям к установке, необходимым для установки сервисов KUMA.

   Для правильной работы Kaspersky EDR Expert версия ядра Linux должна быть 5.15.0.107 или выше на целевых устройствах с операционной системой семейства Ubuntu.

   Docker не должен быть установлен на целевых устройствах, кроме целевого устройства, которое будет использоваться в качестве устройства администратора. KDT установит все необходимое программное обеспечение и зависимости во время развертывания.

2. Убедитесь, что в файловой системе, смонтированной в /var, на каждом целевом устройстве есть не менее 700 ГБ свободного дискового пространства.
3. На каждом целевом устройстве установите пакет sudo, если этот пакет еще не установлен. Для операционных систем семейства Debian установите пакет UFW на целевые устройства.
4. На каждом целевом устройстве настройте файл /etc/environment. Если инфраструктура вашей организации использует прокси-сервер для доступа в интернет, настройте доступ в интернет, используя прокси-сервер на целевых устройствах.
5. На управляющих узлах с конфигурацией UFW разрешите IP-переадресацию. В файле /etc/default/ufw установите для параметра DEFAULT_FORWARD_POLICY значение ACCEPT.
6. Предоставьте доступ к хранилищу пакетов, в котором хранятся следующие пакеты, необходимые для Kaspersky EDR Expert:
   • nfs-common
   • containerd
   • cron
   • cryptsetup
   • cryptsetup-bin
   • netcat-traditional
   • nfs-common
   • open-iscsi
   • python3-cffi-backend
   • python3-cryptography
   • python3-netaddr
   • python-apt-common
   • systemd
   • tar

   KDT попытается установить эти пакеты во время развертывания из хранилища пакетов. Также эти пакеты можно установить вручную.

7. Убедитесь, что установлены следующие пакеты:
   • На каждом целевом устройстве: python3-apt.
   • На управляющих узлах: curl.

   Эти пакеты не устанавливаются во время развертывания из хранилища пакетов с помощью KDT. Вам нужно установить эти пакеты вручную, если они еще не установлены.

8. Для целевых устройств выключите механизмы защиты от спуфинга ARP/MAC на уровне гипервизора, виртуального коммутатора или сетевой инфраструктуры.

   Для VMware включите Forged Transmits и MAC Address Changes. Для Hyper-V включите MAC Address Spoofing. Для сетевого оборудования выключите Dynamic ARP Inspection (DAI) или настройте порт как доверенный.

   В качестве примера см. Руководство по поиску и устранению неисправностей MetalLB, чтобы проверить, достигают ли ARP-запросы узла.

9. Зарезервируйте статические IP-адреса для целевых устройств и шлюзов кластера Kubernetes.

   Шлюз Kubernetes предназначен для подключения компонентов Kaspersky EDR Expert, установленных внутри кластера Kubernetes. IP-адрес шлюза является IPv4-адресом (например, 10.80.23.182).

   Для конфигурации в нескольких ЦОД каждый центр обработки данных использует собственный шлюз кластера Kubernetes с выделенным IP-адресом. Он указывается в конфигурационном файле для каждого центра обработки данных (параметр ingress_ip в секции zones).

   Целевые устройства и шлюз кластера Kubernetes должны находиться в одной подсети одного центра обработки данных.

   Для шлюза кластера Kubernetes и целевых устройств требуется IPv4-адресация. Если в вашей среде требуется подключение по протоколу IPv6, настройте операционные системы на целевых устройствах и шлюзе кластера Kubernetes для маршрутизации трафика IPv6 через шлюз IPv6 (NAT64) или туннель IPv6. Эта конфигурация поддерживает работу кластера на IPv4, обеспечивая взаимодействие с сетями IPv6.

10. На своем DNS-сервере зарегистрируйте FQDN служб для подключения к службам Kaspersky EDR Expert.

    По умолчанию службы Kaspersky EDR Expert доступны по следующим адресам:

    • <console_host>.<smp_domain>
    • <ksc_host>.<smp_domain>
    • <kuma_host>.<smp_domain>
    • <api_host>.<smp_domain>
    • <monitoring_host>.<smp_domain>
    • <xdr_edr_ingress_host>.<smp_domain>
    • <updater>.<smp_domain>

      Где <console_host>, <ksc_host>, <kuma_host>, <api_host>, <monitoring_host>, <xdr_edr_ingress_host> и <updater> являются именами устройств сервисов, <smp_domain> является доменным именем сервиса. Эти параметры являются частями служб FQDN, которые вы можете указать в конфигурационном файле. Если вы не указываете пользовательские значения имен служб устройств, используются значения по умолчанию: console_host – "console", ksc_host – "admsrv", kuma_host – "kuma", api_host – "api", monitoring_host – "monitoring", xdr_edr_ingress_host – "agentserver", updater – "updater.

    Перечисленные FQDN служб должны разрешаться в IP-адрес в управляемом заказчиком балансировщике нагрузки.

    Например:

    • <load_balancer_host_ip> – admsrv.<smp_domain>
    • <load_balancer_host_ip> – api.<smp_domain>
    • <load_balancer_host_ip> – console.<smp_domain>
    • <load_balancer_host_ip> – kuma.<smp_domain>
    • <load_balancer_host_ip> – *.kuma.<smp_domain>
    • <load_balancer_host_ip> – monitoring.<smp_domain>
    • <load_balancer_host_ip> – agentserver.<smp_domain>
    • <load_balancer_host_ip> – updater.<smp_domain>
11. На целевых устройствах создайте учетные записи, которые будут использоваться для развертывания Kaspersky EDR Expert.

    Эти учетные записи используются для SSH-соединения и должны иметь возможность повышать привилегии (sudo) без ввода пароля. Для этого добавьте созданные учетные записи пользователей в файл /etc/sudoers.

    Просмотреть информацию

    Чтобы добавить созданные учетные записи пользователей в файл /etc/sudoers:

    1. Выполните следующие команды:

       sudo useradd -m -s /bin/bash <имя_пользователя>

       sudo usermod -aG sudo <имя_пользователя>

    2. Откройте файл /etc/sudoers с помощью команды:

       sudo visudo

    3. Добавьте следующую строку в конец секции # Allow members of group sudo to execute any command:

       <имя_пользователя> ALL=(ALL) NOPASSWD: ALL

       Где <имя_пользователя> – имя созданного пользователя.

    4. Сохраните и закройте файл /etc/sudoers.
12. Настройте SSH-соединение между устройством администратора и целевыми устройствами:
    1. На устройстве администратора сгенерируйте SSH-ключи с помощью утилиты ssh-keygen без парольной фразы.
    2. Скопируйте открытый ключ на каждое целевое устройство и, если используется балансировщик нагрузки, на устройство балансировщика нагрузки (например, в директорию /home/<user_name>/.ssh) с помощью утилиты ssh-copy-id.

       Если вы используете целевое устройство в качестве устройства администратора, вам нужно скопировать на него открытый ключ.

13. Для корректной работы компонентов Kaspersky EDR Expert обеспечьте сетевой доступ между целевыми устройствами и при необходимости откройте требуемые порты на сетевом экране устройства администратора и целевых устройств.
14. Настройте синхронизацию времени по протоколу Network Time Protocol (NTP) на устройстве администратора и целевых устройствах.
15. При необходимости подготовьте пользовательские сертификаты для работы с публичными службами Kaspersky EDR Expert.

    Вы можете использовать один промежуточный сертификат, выданный на основе корневого сертификата организации, или конечные сертификаты для каждой службы. Подготовленные пользовательские сертификаты будут использоваться вместо самоподписанных сертификатов.