Развертывание сервера Kaspersky Password Manager для бизнеса

1. Откройте https://www.kaspersky.ru/small-to-medium-business-security/downloads/password-manager.
2. В разделе Kaspersky Password Manager для бизнеса нажмите Показать версии для загрузки.
3. Выберите необходимую версию и нажмите Скачать рядом с сервером Kaspersky Password Manager для бизнеса.

Установочный .zip файл сервера Kaspersky Password Manager для бизнеса будет загружен на ваш компьютер.

Запустите установочный файл сервера Kaspersky Password Manager для бизнеса и следуйте инструкциям мастера установки:

1. Просмотр Лицензионного соглашения и Политики конфиденциальности

   На этом этапе мастера установки вам необходимо ознакомиться с Лицензионным соглашением, которое будет заключено между вами и "Лабораторией Касперского", а также с Политикой конфиденциальности.

   Если вы согласны с условиями Лицензионного соглашения и Политики конфиденциальности, подтвердите свое решение, установив соответствующие флажки. Установка приложения на ваше устройство продолжится после того, как вы выберете оба флажка.

2. Восстановление настроек приложения из ранее сохраненной резервной копии

   Вы можете восстановить настройки приложения из ранее сохраненного файла резервной копии, если таковой существует. Для этого установите флажок Включить восстановление из резервной копии, укажите файл резервной копии и введите пароль, если файл защищен паролем.

3. Настройка службы лицензирования

   Служба Сервер Kaspersky Password Manager для бизнеса Server Licensing обновляет информацию о лицензии и передает ее клиентским приложениям. Подробнее см. в разделе Лицензирование.

   Если вы хотите настроить это устройство для работы в качестве службы лицензирования, выберите параметр Установить службу лицензирования на данное устройство.

   Чтобы предотвратить чрезмерное использование слотов лицензий в пределах одного кластера, необходимо установить только одну службу лицензирования. Подробную информацию об установке нескольких экземпляров сервера Kaspersky Password Manager для бизнеса см. в этой статье.

4. Указание аккаунта пользователя для запуска служб приложения

   Для запуска служб сервера Kaspersky Password Manager для бизнеса в Windows рекомендуется использовать управляемую учетную запись службы (Managed Service Account, MSA/gMSA). Для учетных записей такого типа не нужно задавать пароль.

   В качестве альтернативы можно использовать доменную учетную запись с необходимыми правами для запуска служб сервера Kaspersky Password Manager для бизнеса. Если пароль доменной учетной записи изменен, необходимо обновить пароль учетной записи, используемой для запуска служб сервера Kaspersky Password Manager для бизнеса:

   1. Нажмите Win+R, введите services.msc, и нажмите Enter для открытия консоли Services.
   2. Откройте свойства соответствующей службы Kaspersky Password Manager для бизнеса Server:
      • Kaspersky Password Manager for Business Server Job Agent
      • Kaspersky Password Manager for Business Server Web API
      • Kaspersky Password Manager for Business Server Licensing (если установлен)
   3. На вкладке Вход в систему введите текущий пароль учетной записи.
   4. Перезапустите службу.

   Изменение пароля учетной записи службы с помощью команды kpmctl modify не поддерживается.

   Требования к аккаунту:

   • Аккаунт должен иметь необходимые права для создания баз данных.
   • Аккаунт должен иметь право Вход в систему как служба на устройстве. Вы можете предоставить это право с помощью инструмента Локальная политика безопасности (Local Security Policy).
   • Для служебного аккаунта необходимо настроить Service Principal Name (SPN).

     Пример команды:

     setspn -A <http or DNS name of the Kaspersky Password Manager for Business server> <service account name>

   • Вы можете использовать только аккаунты типа "Пользователь". Аккаунты служб Windows по умолчанию, такие как "Служба сети", не разрешены и не могут быть использованы. Если при установке сервера Kaspersky Password Manager для бизнеса вы укажете имя аккаунта, отличное от используемого по умолчанию, файлы журналов будут доступны только после перезагрузки системы.
5. Настройка способов аутентификации

   Выберите схемы аутентификации, которые клиенты Kaspersky Password Manager для бизнеса будут использовать для аутентификации на сервере Kaspersky Password Manager для бизнеса. Необходимо выбрать хотя бы одну схему аутентификации:

   • Доменная аутентификация – Аутентификация пользователей осуществляется с использованием учетных данных домена через службу аутентификации домена операционной системы.
   • Технология единого входа (SSO) – Аутентификация пользователей осуществляется через поставщика удостоверений OAuth 2.0, поддерживая технологию единого входа (SSO).
   • Аккаунт Kaspersky Password Manager для бизнеса – Аутентификация пользователей осуществляется с помощью имени пользователя и пароля, которые верифицируются непосредственно сервером Kaspersky Password Manager для бизнеса.

   При необходимости включите синхронизацию LDAP для выбранных методов аутентификации.

6. Если выбрана схема аутентификации Технология единого входа (SSO)

   Если на предыдущем шаге была выбрана схема Технология единого входа (SSO), вам будет предложено указать ее параметры:

   • URL центра авторизации (Authority) – URL сервера авторизации AD FS (например, https://<adfs_server>/adfs).
   • Идентификатор клиента (Audience) – идентификатор клиентского приложения, зарегистрированного в AD FS для сервера Kaspersky Password Manager для бизнеса.

   Пример:

   URL центра авторизации: https://adfs.example.com/adfs

   Идентификатор клиента: urn:kpm-web-api

   Во время установки сервер Kaspersky Password Manager для бизнеса проверяет доступность сервера AD FS, отправляя запрос по адресу URL центра авторизации. Если сервер недоступен или соединение не устанавливается, установка завершается с ошибкой.

   Для успешной проверки подключения:

   • Корневой сертификат выбранного сервера AD FS необходимо добавить в хранилище Trusted Root Certification Authorities на вашем устройстве.
   • Администратор должен убедиться, что значение параметра Идентификатор клиента соответствует настройкам приложения, заданным в AD FS.
7. Если выбрана схема аутентификации Domain

   Если на предыдущем шаге была выбрана схема аутентификации Domain, вам будет предложено указать Настройки LDAP сервера, такие как имя домена, порт LDAP-сервера, использование SSL/TLS, тип аутентификации и учетные данные, которые сервер Kaspersky Password Manager для бизнеса будет использовать для аутентификации на LDAP-сервере.

   Имя аккаунта необходимо указывать без доменной части. Поддерживаемый формат: username. Не поддерживаются: username@domain, domain\username, и Distinguished Name (DN). Неверный формат приведет к ошибке "Не удалось подключиться к серверу LDAP".

   Информацию о требованиях к учетным записям для работы с сервером LDAP см. в разделе Подготовка к установке.

   Вы можете выбрать один из следующих типов аутентификации:

   • Negotiate - учетная запись пользователя, указанная на шаге 4.

     Эта учетная запись должна обладать правами доступа к домену.

   • Basic - Необходимо ввести учетные данные для пользователя, авторизованного в домене; эти учетные данные могут отличаться от аккаунта службы, используемой сервером.
   • Anonymous - Учетные данные не требуются.

   При аутентификации на LDAP-сервере с помощью схемы Negotiate, работоспособность подключения к LDAP зависит от служебного аккаунта (SERVICE_ACCOUNT_NAME). В некоторых конфигурациях (например, при использовании автоматически созданного аккаунта или MSA) проверка подключения во время установки может быть недоступна, а авторизация через механизм Negotiate после установки может не работать. Если во время установки сервера Kaspersky Password Manager для бизнеса появляется предупреждение о невозможности подключения к LDAP, рекомендуется проверить права доступа служебного аккаунта или использовать другую схему аутентификации.

8. Выбор системы управления базами данных (СУБД)

   Выберите систему управления базами данных, которую вы хотите использовать:

   • Microsoft SQL Server или SQL Server Express. Выберите этот параметр, если вы используете Microsoft SQL Server в качестве базы данных.
   • PostgreSQL или Postgres Pro. Выберите этот параметр, если вы используете PostgreSQL, Postgres Pro, Pangolin или Jatoba в качестве базы данных.
   • MySQL или MariaDB. Выберите этот параметр, если вы используете MySQL или MariaDB в качестве базы данных.

   Примите во внимание следующее:

   • Сервер управления базами данных может быть установлен как на том же устройстве, что и сервер Kaspersky Password Manager для бизнеса, так и на другом.
   • Если система управления базами данных и сервер Kaspersky Password Manager для бизнеса установлены на одном устройстве, после перезагрузки системы сервер Kaspersky Password Manager для бизнеса может запуститься раньше, чем сервер баз данных. В результате при попытке запуска сервера Kaspersky Password Manager для бизнеса сервер баз данных может оставаться недоступным, что приведет к сбоям при запуске и выключению служб Kaspersky Password Manager для бизнеса. Чтобы предотвратить эту проблему, администратор должен настроить зависимость службы сервера Kaspersky Password Manager для бизнеса от служб сервера баз данных, используемых в среде клиента. Для этого можно использовать следующую команду:

     sc config "<Kaspersky Password Manager for Business server service>" depend= "<database server service>"

   • Имейте в виду, что если включено логирование MySQL, данные журналов могут занимать все доступное дисковое пространство.
   • Для корректной работы сервера Kaspersky Password Manager для бизнеса рекомендуется использовать PostgreSQL версии не ниже 14.

   На следующем шаге укажите имя базы данных. Если такой базы данных не существует, она будет создана автоматически. Также вы можете указать существующую базу данных, содержащую предыдущую установку сервера Kaspersky Password Manager для бизнеса.

9. Указание параметров подключения для выбранной СУБД
   • Для Microsoft SQL Server или SQL Server Express, укажите имя SQL Server и имя базы данных.
   • Для PostgreSQL или Postgres Pro укажите имя сервера PostgreSQL или Postgres PRO, имя и порт базы данных.
   • Для MySQL или MariaDB, укажите имя сервера MySQL или MariaDB, имя и порт базы данных.
10. Указание параметров аутентификации для выбранной СУБД

    Укажите параметры аутентификации, которые будут использоваться для подключения к серверу базы данных.

    Информацию о требованиях к учетным записям для работы с сервером СУБД см. в разделе Подготовка к установке.

11. Указание параметров SMTP-сервера

    Укажите Настройки SMTP-сервера, такие как адрес электронной почты отправителя, SMTP-сервер, порт SMTP-сервера, использование SSL/TLS, тип аутентификации и учетные данные, которые сервер Kaspersky Password Manager для бизнеса будет использовать для аутентификации на SMTP-сервере.

    Информацию о требованиях к учетным записям для работы с сервером SMTP см. в разделе Подготовка к установке.

    Вы можете выбрать один из следующих типов аутентификации:

    • Negotiate - учетная запись пользователя, указанная на шаге 4.

      Эта учетная запись должна обладать правами доступа к домену.

    • Basic - Необходимо ввести учетные данные для пользователя, авторизованного в домене; эти учетные данные могут отличаться от аккаунта службы, используемой сервером.
    • Anonymous - Учетные данные не требуются.

    При аутентификации на SMTP-сервере с помощью схемы Negotiate, работоспособность подключения к SMTP зависит от служебного аккаунта (SERVICE_ACCOUNT_NAME). В некоторых конфигурациях (например, при использовании автоматически созданного аккаунта или MSA) проверка подключения во время установки может быть недоступна, а авторизация через механизм Negotiate после установки может не работать. Если во время установки сервера Kaspersky Password Manager для бизнеса появляется предупреждение о невозможности подключения к SMTP-серверу, рекомендуется проверить права доступа служебного аккаунта или использовать другую схему аутентификации.

12. Указание параметров подключения к серверу Kaspersky Password Manager для бизнеса

    Укажите параметры подключения к серверу Kaspersky Password Manager для бизнеса: порт сервера (значение по умолчанию — 3000), Сертификат сервера (контейнер PFX) и пароль закрытой части ключа для контейнера PFX.

    Для установки сервера Kaspersky Password Manager для бизнеса необходимо предоставить TLS сертификат в формате PFX (.pfx или .p12).

    Сертификат должен соответствовать следующим требованиям:

    • контейнер PFX должен содержать закрытый ключ;
    • контейнер PFX должен быть зашифрован.

    Обычно сертификат предоставляется IT-службой организации. Если предварительно выданные сертификаты отсутствуют, вы можете создать их вручную. Подробную информацию о сертификатах, необходимых для установки сервера Kaspersky Password Manager для бизнеса, см. в этой статье.

13. Указание открытого сертификата сервера

    Укажите открытый сертификат сервера, который будут использовать клиенты Kaspersky Password Manager для бизнеса для подключения к серверу Kaspersky Password Manager для бизнеса. Сертификат содержит открытый ключ сервера. Подробную информацию о сертификатах, необходимых для установки сервера Kaspersky Password Manager для бизнеса, см. в этой статье.

14. Просмотр пароля организации

    Мастер установки отобразит сгенерированный пароль организации, соответствующий требованиям генерации мастер-пароля по умолчанию (длиной 32 символов, включая специальные символы, заглавные и строчные буквы, цифры). Этот специальный ключ будет использоваться для сброса мастер-паролей пользователей. Пожалуйста, запомните его.

    В случае утери пароля организации его восстановление будет невозможно.

15. Завершите работу мастера установки

    Нажмите Установить и дождитесь завершения установки.

Перед началом установки сервера Kaspersky Password Manager для бизнеса выполните все необходимые подготовительные действия, описанные в разделе Подготовка к установке.

Предварительные требования

• Операционная система должна быть включена в список поддерживаемых. Подробные требования см. в разделе Аппаратные и программные требования.
• Наличие доступного сервера базы данных с действительными учетными данными.
• Создайте группу безопасности и непривилегированную учетную запись пользователя.

  Учетная запись пользователя должна входить в состав группы безопасности. Выполните следующие команды последовательно:

  adduser <user_name>

  groupadd <security group name>

  gpasswd -a <user name> <security group name>

  usermod -g <security group name> <user name>

• Необходимые сертификаты должны быть доступны и настроены в соответствии с требованиями к сертификатам. Подробную информацию о сертификатах, необходимых для установки сервера Kaspersky Password Manager для бизнеса, см. раздел Сертификаты.
• Используйте переменные окружения для безопасной передачи паролей.
• Необходимо установить все необходимые зависимости для .NET Runtime.

  В состав дистрибутива сервера Kaspersky Password Manager для бизнеса входит версия .NET Runtime, необходимая для его работы. Для корректной работы компонентов сервера Kaspersky Password Manager для бизнеса на Linux должны быть установлены системные зависимости, требуемые платформой .NET.

  Перед установкой сервера Kaspersky Password Manager для бизнеса рекомендуется проверить наличие необходимых пакетов в соответствии с официальной документацией Microsoft: Зависимости пакетов Linux для .NET 8.

  Для дистрибутивов семейства RHEL или Oracle Linux особое внимание следует обратить на наличие пакета libicu. При отсутствии необходимых зависимостей выполнение команды postinstall может завершиться ошибкой. Также должны быть установлены дополнительные системные библиотеки, используемые компонентами сервера Kaspersky Password Manager для бизнеса (например, библиотеки OpenLDAP, если они требуются используемой конфигурацией ОС).

• Служебный аккаунт для сервера Kaspersky Password Manager для бизнеса должен иметь права на чтение (Read) файла keytab.

  При использовании доменной аутентификации Kerberos в Linux, служебный аккаунт для сервера Kaspersky Password Manager для бизнеса должен иметь права на чтение (Read) файла keytab, который обычно располагается по пути /etc/krb5.keytab.

  Сервер Kaspersky Password Manager для бизнеса не модифицирует права доступа к файлу keytab автоматически. Администратор должен самостоятельно предоставить доступ для аккаунта, под которым запущены службы сервера Kaspersky Password Manager для бизнеса.

  Пример:

  chgrp kpmadmins /etc/krb5.keytab

  chmod 640 /etc/krb5.keytab

  Если служебный аккаунт не имеет доступа к файлу keytab, доменная аутентификация Kerberos не будет работать.

• Агент администрирования должен быть установлен на том же хосте, что и служба лицензирования.
• Скачайте установочный файл с сайта "Лаборатории Касперского".

  Выберите файл, соответствующий дистрибутиву Linux, установленному на вашем устройстве: kpm_server-<version>_amd64.deb или kpm_server-<version>_x64.rpm.

Для установки сервера Kaspersky Password Manager для бизнеса необходимо выполнить команды, приведенные в инструкциях ниже, под учетной записью пользователя с правами root.

Для установки и нстройки Kaspersky Password Manager для бизнеса на системы под управлением Linux:

1. Установка дистрибутива

   Запустите установку сервера Kaspersky Password Manager для бизнеса. В зависимости от используемого вами дистрибутива Linux выполните одну из следующих команд:

   Для файлов .deb

   dpkg -i /home/<username>/kpmserver_<version number>-<build_version>_amd64.deb

   apt install /home/<username>/kpmserver_<version number>-<build_version>_amd64.deb

   Для файлов .rpm

   rpm -i /home/<username>/kpmserver_<version number>-<build_version>.x86_64.rpm

   yum install /home/<username>/kpmserver_<version number>-<build_version>.x86_64.rpm

   dnf install /home/<username>/kpmserver_<version number>-<build_version>.x86_64.rpm

   Подробности см. в разделе Дистрибутив.

2. Настройка сервера Kaspersky Password Manager для бизнеса

   Команда kpmctl postinstall используется для первоначальной настройки сервера Kaspersky Password Manager для бизнеса после установки дистрибутива или развертывания образа Docker. Утилита KpmCtl входит в состав дистрибутива сервера Kaspersky Password Manager для бизнеса для Linux и предоставляется в виде отдельного контейнера для Docker. Подробную информацию об утилите см. в разделе Утилита KpmCtl для командной строки.

   Успешное выполнение команды kpmctl postinstall должно приводить к следующему результату:

   • создание файлов конфигурации сервера Kaspersky Password Manager для бизнеса;
   • запись параметров в appsettings.json и/или global.override.env;
   • подготовка подключения к базе данных;
   • подготовка конфигурации служб сервера Kaspersky Password Manager для бизнеса;
   • проверка корректности введенных параметров.

   Не рекомендуется повторно запускать процедуру первоначальной настройки. Для обновления файлов конфигурации используйте команду kpmctl modify.

   При запуске KpmCtl из командной оболочки Linux значения параметров предварительно обрабатываются используемой оболочкой (например, Bash). Некоторые специальные символы (!, $, `, \ и др.) могут интерпретироваться оболочкой как управляющие конструкции еще до запуска KpmCtl. Если значение параметра содержит такие символы, их необходимо экранировать или заключать аргумент в корректные кавычки согласно правилам используемой оболочки.

   Если команда kpmctl postinstall завершится с ошибкой, конфигурация будет считаться неполной, и запуск служб сервера Kaspersky Password Manager для бизнеса не гарантируется.

   Команду можно запустить вручную в интерактивном режиме или в тихом режиме.

   Помимо проверки параметров, команда kpmctl postinstall проверяет состояние базы данных сервера Kaspersky Password Manager для бизнеса.

Запуск настройки сервера Kaspersky Password Manager для бизнеса в интерактивном режиме

Интерактивный режим запускается при выполнении команды в командной строке без каких-либо параметров:

Для Linux:

sudo /opt/kaspersky/kpmserver/kpmctl/kpmctl postinstall

Для Docker:

docker run --rm -it --name kpmctl -v shared-volumes/:/shared -v ssl:/custom-ca:ro -v kpmserver-secrets:/run/kaspersky/kpmserver/secrets -v /etc/krb5.keytab:/etc/krb5.keytab:ro --network kpmserver kpmctl:<build number>_<locale>

При использовании аутентификации Kerberos:

• При развертывании Kaspersky Password Manager для бизнеса в Docker с включенной аутентификацией Kerberos смонтируйте файл krb5.keytab в контейнер kpm-api.
• Для Linux убедитесь, что Service Principal Name (SPN), используемый для подключения, соответствует SPN хоста, на котором запущен контейнер kpm-api.

Скрипт последовательно запрашивает значения необходимых параметров для настройки сервера Kaspersky Password Manager для бизнеса, проверяет каждый ввод и генерирует итоговый файл appsettings.json.

Когда пользователь не указывает значение параметра:

• Если параметр имеет значение по умолчанию, это значение применяется автоматически. Подробную информацию о параметрах сервера см. в этой статье.
• Если значение по умолчанию не указано, но параметр является обязательным, отображается ошибка, указывающая на то, что значение не может быть пустым.
• Если параметр не является обязательным, принимается пустое значение.

Процесс настройки в интерактивном режиме

Мастер интерактивной настройки проведет вас через следующие этапы конфигурации:

1. Принятие Лицензионного соглашения.
2. Принятие Политики конфиденциальности.
3. Настройка использования параметров из ранее сохраненной резервной копии, если она доступна.
   • Указание пути для сохранения резервной копии.
   • Указание пароля резервной копии.
4. Настройка службы лицензирования.
5. Указание группы безопасности для служб сервера Kaspersky Password Manager для бизнеса.
6. Указание имени аккаунта службы.
7. Выбор способа аутентификации (Domain, Basic, или OAuth).
   • Если выбрана аутентификация c помощью SSO:
     • Указание URL центра авторизации (Authority).
     • Указание идентификатора клиента (Audience).
   • Если выбрана доменная аутентификация:
     • Указание домена LDAP.
     • Указание сервера LDAP.
     • Включение или отключение SSL для соединения с LDAP.
     • Указание порта LDAP-сервера.
     • Указание типа аутентификации LDAP. Для базовой аутентификации укажите имя пользователя и пароль LDAP.
8. Если доменная аутентификация отключена, включите или отключите LDAP User Status Check. Если проверка статуса включена, перейдите к шагу 7.
9. Выбор типа базы данных.
10. Настройка подключения к базе данных:
    • Указание типа базы данных.
    • Указание адреса базы данных.
    • Указание номера порта базы данных.
    • Указание имени базы данных.
    • Указание логина базы данных.
    • Указание пароля базы данных.
11. Указание адреса электронной почты отправителя SMTP.
12. Указание адреса сервера SMTP.
13. Включение или отключение SSL для SMTP-соединения.
14. Указание порта SMTP-сервера.
15. Указание типа аутентификации SMTP.
16. Указание имени пользователя SMTP.
17. Указание пароля пользователя SMTP.
18. Указание порта сервера Kaspersky Password Manager для бизнеса.
19. Указание PFX-контейнера для сервера Kaspersky Password Manager для бизнеса.
20. Указание пароля для PFX-контейнера.
21. Указание сертификата сервера Kaspersky Password Manager для бизнеса.
22. Указание пароля организации.
23. Подтверждение пароля организации.

Запуск настройки сервера Kaspersky Password Manager для бизнеса в тихом режиме

В тихом режиме команда выполняется со всеми необходимыми параметрами. Взаимодействие с пользователем не требуется.

Для успешной настройки необходимо указать как минимум обязательные параметры.

Пример с минимальным набором необходимых параметров:

/opt/kaspersky/kpmserver/kpmctl postinstall --silent \

--accept-eula --accept-pp --service_login=<account name>

--group_name=<security group name>

--organization_pwd=<organization password> \

--conn_url="<database address>" \

--tls_cert=<path to the PFX container> --tls_pwd=<PFX container password>--server_port=3000 \

--auth_schemas="Basic" \

--smtp_auth=Basic \

--smtp_url="<SMTP server address>" \

--smtp_sender_email="<sender's email address>"

--admin_auth_cert=<path to the server certificate PEM/CER/DER>

Примеры для Linux/Docker:

Подробную информацию о параметрах сервера см. в этой статье.

Если процесс постустановки завершится успешно, все параметры будут действительны. Если процесс завершается с ошибками, значит, отсутствует или недействителен хотя бы один обязательный параметр.

Предварительные требования

Для успешного развертывания сервера Kaspersky Password Manager для бизнеса через образы Docker вам необходимо подготовить среду.

Шаг 1. Создание внешнего каталога

1. Создайте каталог shared-volume (внешний каталог, используемый контейнерами для общих данных, например, env) и поместите в него следующие файлы:
   • global.override.env
   • prime_worker.override.env
   • Файлы env изначально пусты и будут заполнены в процессе развертывания.
   • Сертификат сервера (PFX)
   • Открытый сертификат аутентификации администратора (PEM/CER/DER)
   • Подробную информацию о сертификатах, необходимых для установки сервера Kaspersky Password Manager для бизнеса, см. в этой статье.
2. Создайте каталог ssl и добавьте в него все сертификаты, необходимые для установки защищенных соединений с LDAP, SMTP и ADFS.

Данные могут храниться как в томах, так и в локальных каталогах на хост-машине.

Шаг 2. Загрузка образов

Скопируйте, распакуйте и загрузите предоставленные * .tar архивы образов Docker с помощью команды docker load:

docker load -i kpmctl.tar.gz

docker load -i kpm-api.tar.gz

docker load -i kpm-worker.tar.gz

docker load -i kpm-licensing.tar.gz

docker load -i kpm-nagent.tar.gz

Кроме того, вы должны подготовить контейнер для базы данных и загрузить его с помощью аналогичной команды.

Формат * .tar.gz выбран стандартным и поддерживается командой docker load не требуя предварительной распаковки вручную.

Шаг 3. Создание сети

Все контейнеры должны работать в единой Docker сети. Чтобы создать сеть, вам необходимо выполнить следующую команду:

docker network create <network name, for example, kpmserver>

Сервер Kaspersky Password Manager для бизнеса поддерживает развертывание через образы Docker только в тихом режиме.

Создайте следующие тома Docker:

• docker volume create kpm-secrets
• docker volume create kpm-socket
• docker volume create kpm-db-data
• docker volume create kpm-licensing-data

Развертывание сервера Kaspersky Password Manager для бизнеса через образы Docker

Чтобы развернуть сервер Kaspersky Password Manager для бизнеса с помощью образов Docker, выполните следующие действия для Windows / Linux:

1. Разверните и запустите базу данных в соответствии с официальной документацией выбранной системы управления базами данных.

   База данных может быть развернута в контейнерах, локальных серверах, виртуальных машинах, удаленных узлах или в любой другой сетевой среде.

   Примеры:

   • Для PostgreSQL:

     docker run -p 5433:5432 --restart on-failure:5 -d --name kpm-pangolin -e POSTGRES_USER=postgres -e POSTGRES_PASSWORD=postgres -v pangolin_data:/var/lib/postgresql/data --network kpmserver pangolin:7.1-fixed

   • Для MySQL:

     docker run -p 3306:3306 --restart on-failure:5 -d --name kpm-mysql -e MYSQL_ROOT_PASSWORD=kpm -v ./mysql_data:/var/lib/mysql --network kpmserver mysql:<VERSION>

   • Для MariaDB:

     docker run -p 3306:3306 --restart on-failure:5 -d --name kpm-mariadb -e MARIADB_ROOT_PASSWORD=kpm -v ./mariadb_data:/var/lib/mysql --network kpmserver mariadb:<VERSION>

2. Запустите kpmctl и конфигурацию (postinstall).

   docker run --rm -it --name kpmctl -v share/:/shared -v ssl:/custom-ca:ro -v kpmserver-secrets:/run/kaspersky/kpmserver/secrets -v /etc/krb5.keytab:/etc/krb5.keytab:ro --network kpmserver kpmctl:<build number>_<locale> postinstall <parameters for silent installation>

   При использовании аутентификации Kerberos:

   • При развертывании Kaspersky Password Manager для бизнеса в Docker с включенной аутентификацией Kerberos смонтируйте файл krb5.keytab в контейнер kpm-api.
   • Для Linux убедитесь, что Service Principal Name (SPN), используемый для подключения, соответствует SPN хоста, на котором запущен контейнер kpm-api.

   Проверить версию сборки после загрузки образов Docker можно, выполнив следующую команду:

   docker images

   Для успешного подключения к базе данных значения параметра --conn_url должны совпадать со значениями, указанными при запуске базы данных.

   Если база данных не запущена или недоступна, kpmctl завершит процесс postinstall с ошибкой подключения, и скрипты инициализации выполняться не будут.

   При использовании баз данных, не указанных в списке поддерживаемых, корректная работа и успешное завершение процесса после установки не гарантируются.

   Для получения более подробной информации о списке параметров установки и возможных ошибках обратитесь к соответствующим разделам. Примеры командной строки см. в блоке "Установка сервера Kaspersky Password Manager для бизнеса на компьютер на базе Linux / Docker" на той же странице.

3. Запустите службу лицензирования kpm-licensing.

   docker run -d --name kpm-licensing -v shared-volumes:/shared -v shared-socket:/run/kaspersky/kpmserver/licensing -v kpm-licensing-data:/data --env-file global.override.env --restart unless-stopped --network kpmserver kpm-licensing:<build number>

   При запуске контейнера со службой лицензирования том kpm-socket должен быть пустым. Требуется, чтобы при запуске контейнера с лицензированием, Использование bind mounts не рекомендуется с точки зрения безопасности и совместимости с хостом на NTFS.

4. kpm-nagent – сетевой агент, содержащий серверный коннектор для Kaspersky Password Manager для бизнеса.

   docker run -d --name kpm-nagent -v shared-volumes:/shared -v shared-socket:/run/kaspersky/kpmserver/licensing -v kpmnagent-data:/data --network kpmserver --restart unless-stopped kpm-nagent:latest -regserver -server <IP address> -eula_accepted 1 -cert /share/<certificate file name>.cer

5. Запустите kpm-api.

   Убедитесь, что утилита настройки kpmctl полностью завершила свою работу перед запуском этого и следующих контейнеров.

   docker run -d --name kpm-api -v shared-volumes:/shared -v ssl:/custom-ca:ro -v kpmserver-secrets:/run/kaspersky/kpmserver/secrets:ro -v kpmapi-data:/data -p <ports from KpmCtl> --env-file global.override.env --restart unless-stopped --network kpmserver kpm-api:<build number>

6. Запустите экземпляр kpm-worker для взаимодействия со службой лицензирования. kpm-worker — агент для выполнения фоновых задач.

   docker run -d --name kpm-worker -v shared-volumes:/shared -v shared-socket:/run/kaspersky/kpmserver/licensing -v kpmserver-secrets:/run/kaspersky/kpmserver/secrets:ro -v kpmworker-data:/data --env-file global.override.env --env-file prime_worker.override.env --restart unless-stopped --network kpmserver kpm-worker:<build number>

Сервер Kaspersky Password Manager для бизнеса развернут.

Для получения информации об установке Kaspersky Symphony XDR см. документацию по продукту.

1. Экспорт файла конфигурации

   Экспортируйте файл конфигурации, используя следующую команду:

   kdt export-config -e <path to the configuration file>

2. Настройка необходимых параметров

   Откройте экспортированный конфигурационный файл и укажите необходимые параметры:

   • kpm_accept_pp - Указывает, приняты ли условия Политики конфиденциальности. Значение по умолчанию – False.
   • nagent_accept_eula - Указывает, принято ли Лицензионное соглашение с Агентом администрирования. Значение по умолчанию – False.
   • kpm_accept_eula - Указывает, принято ли Лицензионное соглашение сервера Kaspersky Password Manager для бизнеса. Значение по умолчанию – False.
   • kpm_auth_schemas - Поддерживаемые сервером Kaspersky Password Manager для бизнеса схемы аутентификации пользователей (Basic, Domain, OAuth). Значение по умолчанию – Basic.

     Если значение содержит несколько схем аутентификации, экранируйте запятую, например: 'Basic\,Domain'.

   • kpm_krb5_keytab - Путь к файлу keytab, содержащему имена субъекта-службы (SPN) для сервера Kaspersky Password Manager для бизнеса.
   • kpm_oauth_authorityy - URL-адрес службы федерации Active Directory (AD FS), используемой для аутентификации OAuth.
   • kpm_oauth_audience - URL-адрес клиентского приложения (идентификатор клиента).
   • kpm_ldap_url - Адрес LDAP сервера.
   • kpm_ldap_auth_type - Тип авторизации сервера Kaspersky Password Manager для бизнеса на сервере LDAP. Значение по умолчанию - пустая строка ("").
   • kpm_ldap_enforce_users_status_check - Указывает, включена ли аутентификация LDAP. Значение по умолчанию – False.
   • kpm_connection_url - Адрес сервера базы данных.
   • kpm_tls_cert - Путь к файлу сертификата сервера (PFX).
   • kpm_tls_pwd - Пароль для доступа к контейнеру сертификатов PFX.
   • kpm_organization_pwd - Пароль организации.
   • kpm_smtp_url - Адрес SMTP сервера.
   • kpm_smtp_auth_type - Тип аутентификации SMTP. Значение по умолчанию – Basic.
   • kpm_smtp_sender_email - Адрес электронной почты отправителя.
   • ksc_host - Адрес Сервера администрирования.
   • ksc_cert - Сертификат сервера администрирования.
   • kpm_smtp_ca_cert - Путь к доверенному сертификату для SSL-соединений с сервером SMTP.
   • kpm_ldap_ca_cert - Путь к доверенному сертификату для SSL-соединений с сервером LDAP.
   • kpm_adfs_ca_cert - Путь к доверенному сертификату для SSL-соединений с сервером FS.
3. Установка сервера Kaspersky Password Manager для бизнеса

   Установите сервер Kaspersky Password Manager для бизнеса, используя следующую команду:

   kdt apply -k <path to the server installation package> -i <path to the configuration file> -p

4. Установка веб-плагина Kaspersky Password Manager для бизнеса для Kaspersky Security Center Web Console

   kdt apply -k <path to plugin installationpackage> -p

5. Замена конфиденциальных данных в настройках сервера

   Чтобы предотвратить запись конфиденциальной информации в историю командной оболочки, используйте переменные среды или отключите историю команд перед вводом паролей.

   1. Получите имена pod'ов сервисов kpm-api и kpm-licensing:

      kubectl get pods -n kpm

   2. Замените значения конфиденциальных данных.
      • Подключитесь к контейнеру kpm-api:

        kubectl exec -ti -n kpm <pod name of kpm-api> -c kpm-api -- /bin/bash

      • Замените необходимые пароли:

        echo <new password for the SMTP server> > /run/kaspersky/kpmserver/secrets/smtp_user_password

        echo <new password for the LDAP server> > /run/kaspersky/kpmserver/secrets/ldap_user_password

        echo <new password for the DBMS server> > /run/kaspersky/kpmserver/secrets/database_user_password

        echo <new password for the server certificate PFX container> > /run/kaspersky/kpmserver/secrets/certificate_password

        exit

   3. Обновите значения конфигурационных параметров.
      • Определите, в каких полях global-override-config secret хранятся значения конфигурации:

        kubectl get secret global-override-config -n kpm -o json | jq -r '.data | to_entries[] | "\(.key)=\(.value | @base64d)"'

      • Обновите нужные параметры конфигурации:

        kubectl patch secret global-override-config -n kpm --type merge -p '{"stringData":{"<configuration parameter>":"<new value>"}}'

   4. Замените доверенные сертификаты.
      • Просмотрите содержимое секрета custom-ca:

        kubectl get secret custom-ca -n kpm -o json

      • Загрузите сертификат в переменную окружения:

        NEW_CERTIFICATE=$(cat <path to the certificate file>)

      • Замените сертификат (имя сертификата должно быть одним из следующих: adfs_certificate.crt, smtp_certificate.crt, или ldap_certificate.crt):

        kubectl patch secret custom-ca -n kpm --type=merge \

        -p "$(jq -n --arg cert "$NEW_CERTIFICATE" \

        '{stringData: {"<cerificate name in custom-ca>": $cert}}')"

   5. Замените сертификат сервера Kaspersky Password Manager для бизнеса.
      • Загрузите сертификат сервера Kaspersky Password Manager для бизнеса в переменную окружения:

        NEW_KPM_CERTIFICATE=$(cat <path_to_certificate_file>)

      • Замените сертификат сервера Kaspersky Password Manager для бизнеса:

        kubectl patch secret kpm-tls kpm --type=merge \

        -p "$(jq -n --arg cert "$NEW_KPM_CERTIFICATE" \

        '{stringData: {"server_certificate_file.pfx": $cert}}')"

   6. Перезапустите контейнеры служб:

      kubectl -n kpm delete pod <pod name of kpm-api>

      kubectl -n kpm delete pod <pod name of kpm-licensing>

После завершения развертывания сервера необходимо заменить пароль организации в веб-плагине Kaspersky Password Manager для бизнеса.