Обновление сервера Kaspersky Password Manager для бизнеса

Запустите установочный файл сервера Kaspersky Password Manager для бизнеса и следуйте инструкциям мастера установки:

1. Ознакомление с Лицензионным соглашением и Политикой конфиденциальности, если их условия изменились

   На этом этапе мастера установки вам необходимо ознакомиться с обновленным Лицензионным соглашением, которое будет заключено между вами и "Лабораторией Касперского", а также с Политикой конфиденциальности.

   Если вы согласны с условиями Лицензионного соглашения и Политики конфиденциальности, подтвердите свое решение, установив соответствующие флажки. Обновление приложения на вашем устройстве продолжится после того, как вы выберете оба флажка.

2. Указание аккаунта пользователя для запуска служб приложения

   Для запуска служб сервера Kaspersky Password Manager для бизнеса в Windows рекомендуется использовать управляемую учетную запись службы (Managed Service Account, MSA/gMSA). Для учетных записей такого типа не нужно задавать пароль.

   В качестве альтернативы можно использовать доменную учетную запись с необходимыми правами для запуска служб сервера Kaspersky Password Manager для бизнеса. Если пароль доменной учетной записи изменен, необходимо обновить пароль учетной записи, используемой для запуска служб сервера Kaspersky Password Manager для бизнеса:

   1. Нажмите Win+R, введите services.msc, и нажмите Enter для открытия консоли Services.
   2. Откройте свойства соответствующей службы Kaspersky Password Manager для бизнеса Server:
      • Сервер Kaspersky Password Manager для бизнеса Job Agent
      • Сервер Kaspersky Password Manager для бизнеса Web API
      • Сервер Kaspersky Password Manager для бизнеса Licensing (если установлен)
   3. На вкладке Вход в систему введите текущий пароль учетной записи.
   4. Перезапустите службу.

   Изменение пароля учетной записи службы с помощью команды kpmctl modify не поддерживается.

   Требования к аккаунту:

   • Аккаунт должен иметь необходимые права для создания баз данных.
   • Аккаунт должен иметь право Вход в систему как служба на устройстве. Вы можете предоставить это право с помощью инструмента Локальная политика безопасности (Local Security Policy).
   • Для служебного аккаунта необходимо настроить Service Principal Name (SPN).

     Пример команды:

     setspn -A <http or DNS name of the Kaspersky Password Manager для бизнеса server> <service account name>

   • Вы можете использовать только аккаунты типа "Пользователь". Аккаунты служб Windows по умолчанию, такие как "Служба сети", не разрешены и не могут быть использованы. Если при установке сервера Kaspersky Password Manager для бизнеса вы укажете имя аккаунта, отличное от используемого по умолчанию, файлы журналов будут доступны только после перезагрузки системы.
3. Указание параметров LDAP-сервера

   Для базовой аутентификации, если установлен флажок Включить синхронизацию с LDAP для единого входа (SSO) и базовой аутентификации:

   Этот шаг пропускается, если установщику удается получить пароль пользователя, используемый на LDAP-сервере. В противном случае отображается шаг мастера установки, на котором пользователь может ввести пароль. Все остальные параметры предварительно заполнены и заблокированы.

4. Указание параметров SMTP-сервера

   Если установщику удается получить данные учетной записи, используемой SMTP-сервером, этот шаг пропускается. В противном случае отображается шаг мастера установки, на котором пользователю необходимо ввести имя учетной записи и пароль. Все остальные параметры предварительно заполнены и заблокированы.

5. Указание параметров подключения к серверу Kaspersky Password Manager для бизнеса

   Если установщику удается получить пароль закрытого ключа для контейнера PFX, этот шаг пропускается. В противном случае отображается шаг мастера установки, на котором пользователь может ввести пароль. Все остальные параметры предварительно заполнены и заблокированы.

6. Завершите работу мастера установки

   Нажмите Установить и дождитесь завершения обновления.

Чтобы обновить сервер Kaspersky Password Manager для бизнеса на Linux, установите новый пакет поверх существующей установки.

Для обновления сервера Kaspersky Password Manager для бизнеса необходимо выполнить команды, приведенные в инструкциях ниже, под учетной записью пользователя с правами root.

Подготовка к обновлению

Создайте резервную копию базы данных (например, с помощью pg_dump для PostgreSQL).

Откат миграций схемы базы данных не поддерживается. Если необходимо вернуться к предыдущей версии, восстановите базу данных из резервной копии.

Обновление сервера Kaspersky Password Manager для бизнеса на системе на базе Linux:

1. Установите новую версию сервера Kaspersky Password Manager для бизнеса.

   Для файлов .rpm:

   rpm -U kpmserver_<version number>-<build_version>.x86_64.rpm

   Для файлов .deb:

   apt install ./kpmserver_<version number>-<build_version>_amd64.deb

2. Выполните миграцию.

   /opt/kaspersky/kpmserver/kpmctl/kpmctl update

3. Остановите все службы сервера Kaspersky Password Manager для бизнеса.

   systemctl restart kpm-licensing kpm-worker kpm-api systemctl status kpm-api kpm-worker

Сервер Kaspersky Password Manager для бизнеса обновлен.

Важные примечания

• Не выполняйте команду kpmctl postinstall на уже настроенном сервере. Эта команда предназначена для первоначальной настройки. Используйте команду kpmctl modify для изменения конфигурации, а команду kpmctl update — для выполнения обновления.
• Не пропускайте выполнение команды kpmctl update после обновления пакета, иначе службы будут работать с новыми исполняемыми файлами, но со старой конфигурацией и схемой базы данных.
• Не устанавливайте пакет более старой версии, чем текущая версия базы данных. Команда update отклонит попытку перехода на более старую версию, а службы старой версии не будут работать с более новой схемой базы данных.
• Во время миграции не редактируйте файлы конфигурации служб вручную и не изменяйте вручную владельца или разрешения доступа для /opt/kaspersky/kpmserver.

Чтобы обновить сервер Kaspersky Password Manager для бизнеса в Docker, замените существующие контейнеры сервера Kaspersky Password Manager для бизнеса контейнерами новой версии.

Подготовка к обновлению

Шаг 1. Создание резервной копии базы данных

Создайте резервную копию базы данных (например, с помощью pg_dump для PostgreSQL).

Откат миграций схемы базы данных не поддерживается. Если необходимо вернуться к предыдущей версии, восстановите базу данных из резервной копии.

Шаг 2. Остановка контейнеров приложения

Остановите контейнеры приложения, оставив базу данных работающей:

docker stop kpm-api kpm-worker kpm-worker-prime kpm-nagent kpm-licensing

docker rm kpm-api kpm-worker kpm-worker-prime kpm-nagent kpm-licensing kpmctl

Не останавливайте kpm-db — контейнер необходим для выполнения миграции.

Шаг 3. Загрузка новых образов

Скопируйте, распакуйте и загрузите предоставленные * .tar архивы образов Docker с помощью команды docker load:

docker load -i kpmctl.tar.gz

docker load -i kpm-api.tar.gz

docker load -i kpm-worker.tar.gz

docker load -i kpm-licensing.tar.gz

docker load -i kpm-nagent.tar.gz

Формат * .tar.gz выбран стандартным и поддерживается командой docker load не требуя предварительной распаковки вручную.

Обновление сервера Kaspersky Password Manager для бизнеса в Docker

Чтобы обновить сервер Kaspersky Password Manager для бизнеса с помощью образов Docker, выполните следующие действия для Windows / Linux:

1. Запустите kpmctl and update.

   docker run --rm --name kpmctl \ -v ./env:/shared \ -v kpm-secrets:/run/kaspersky/kpmserver/secrets:rw \ --network kpmserver \ kpmctl:<build number>_<locale> update

2. Запустите службу лицензирования kpm-licensing.

   docker run -d --name kpm-licensing -v shared-volumes:/shared -v shared-socket:/run/kaspersky/kpmserver/licensing -v kpm-licensing-data:/data --env-file global.override.env --restart unless-stopped --network kpmserver kpm-licensing:<build number>

3. Запустите kpm-nagent – сетевой агент, содержащий серверный коннектор для Kaspersky Password Manager для бизнеса.

   docker run -d --name kpm-nagent -v shared-volumes:/shared -v shared-socket:/run/kaspersky/kpmserver/licensing -v kpmnagent-data:/data --network kpmserver --restart unless-stopped kpm-nagent:latest -regserver -server <IP address> -eula_accepted 1 -cert /share/<certificate file name>.cer

4. Запустите kpm-api.

   docker run -d --name kpm-api -v shared-volumes:/shared -v ssl:/custom-ca:ro -v kpmserver-secrets:/run/kaspersky/kpmserver/secrets:ro -v kpmapi-data:/data -p <ports from KpmCtl> --env-file global.override.env --restart unless-stopped --network kpmserver kpm-api:<build number>

5. Запустите экземпляр kpm-worker для взаимодействия со службой лицензирования. kpm-worker — агент для выполнения фоновых задач.

   docker run -d --name kpm-worker -v shared-volumes:/shared -v shared-socket:/run/kaspersky/kpmserver/licensing -v kpmserver-secrets:/run/kaspersky/kpmserver/secrets:ro -v kpmworker-data:/data --env-file global.override.env --env-file prime_worker.override.env --restart unless-stopped --network kpmserver kpm-worker:<build number>

6. Проверьте следующее:
   • Убедитесь, что служба kpm-api отвечает на запросы и в ее журналах отсутствуют ошибки конфигурации или базы данных.
   • Удаляйте старые образы только после того, как убедитесь, что новая установка работает корректно. До этого момента сохраняйте старые образы и резервную копию базы данных.

Сервер Kaspersky Password Manager для бизнеса обновлен.

Важные примечания

• Не выполняйте команду kpmctl postinstall. Она предназначена только для первоначальной настройки. Установка уже настроена, а необходимые секреты хранятся в kpm-secrets.
• Не удаляйте, не очищайте и не создавайте заново тома kpm-db-data, kpm-secrets, и kpm-licensing-data volumes, а также каталог ./env. Они содержат данные и конфигурацию существующей установки.
• Во время миграции не редактируйте файлы .env вручную и не используйте файлы обновления от другой или более новой версии.
• Не устанавливайте образы более старой версии, чем текущая версия базы данных. Команда update отклонит попытку перехода на более старую версию. Службы старой версии несовместимы со схемой базы данных более новой версии.