Добавление адреса Сервера администрирования в конфигурацию сервера IAM

После изменения общего сертификата Сервера администрирования ("C") во время обновления, перемещения или переноса данных, вам нужно указать адрес Сервера администрирования в конфигурационном файле сервера IAM, чтобы обеспечить правильную проверку сертификата между сервером IAM и Сервером администрирования.

Чтобы добавить адрес Сервера администрирования в конфигурацию сервера IAM:

1. Получите значение альтернативного имени субъекта (SAN) из общего сертификата Сервера администрирования ("C"), выполнив следующую команду:

   sudo openssl x509 -in /var/opt/kaspersky/klnagent_srv/1093/cert/klserver.cer -noout -ext subjectAltName

2. В зависимости от выходных данных команды выполните одно из следующих действий:
   • Если в выходных данных указано, что значение отсутствует, проверьте требования к пользовательскому сертификату.

     Если вы используете пользовательский сертификат вместо самоподписанного, перед обновлением Kaspersky Security Center Linux до более поздней версии вам нужно убедиться, что сертификат содержит альтернативное имя субъекта (Subject Alternative Name, SAN). Если нет, важно заменить сертификат перед обновлением Kaspersky Security Center Linux. Иначе вы не сможете войти в Web Console после обновления.

     Чтобы убедиться, что сертификат включает SAN:

     1. На устройстве, на котором установлен Сервер администрирования, выполните команду:
        • Для устройств с операционной системой Linux:

          sudo openssl x509 -in /var/opt/kaspersky/klnagent_srv/1093/cert/klserver.cer -noout -ext subjectAltName

        • Для устройств с операционной системой Windows:

          certutil -dump %ProgramData%\KasperskyLab\adminkit\1093\cert\klserver.cer

     2. Убедитесь, что альтернативное имя субъекта (SAN) присутствует в выходных данных команды и содержит адрес устройства Сервера администрирования.
     3. Если альтернативное имя субъекта отсутствует, используйте утилиту klsetsrvcert для замены пользовательского сертификата на сертификат, который соответствует требованиям.

     Если сертификат не соответствует требованиям, замените общий сертификат Сервера администрирования на предыдущем Сервере администрирования с помощью утилиты klsetsrvcert. После этого повторите процедуру обновления с предыдущей версии, перемещения или переноса данных.

   • Если значение содержит DNS-имена или адреса обратной связи (127.0.0.1 и/или 0:0:0:0:0:0:0:1), используйте один из них в конфигурационном файле. Рекомендуется использовать 127.0.0.1.
3. Добавьте одно из значений SAN-адреса из общего сертификата Сервера администрирования в блоке server_iam конфигурационного файла сервера IAM в следующем формате: ksc_address: "<SAN_address>".

   Вы можете использовать текстовый редактор для изменения конфигурационного файла сервера IAM, например, vi. Следующая команда открывает файл в текстовом редакторе vi:

   vi /var/opt/kaspersky/klnagent_srv/iam/iam_config.yaml

   Пример блока server_iam в конфигурационном файле сервера IAM: server_iam: iam_address: "ksc.example.com" server_display_name: "ksc.example.com" ksc_address: "oldksc.example.internal" ksc_ca: "/var/opt/kaspersky/klnagent_srv/1093/cert/klserver.cer"

   Убедитесь, что вы используете тот же интервал, что и в примере.

4. Убедитесь, что сетевое имя в параметре ksc_address разрешается в адрес обратной связи (127.0.0.1 и/или 0:0:0:0:0:0:0:1) Сервера администрирования. Для этого вы можете использовать утилиту Ping на Сервере администрирования.

   Если разрешенный адрес отличается или адрес не удается разрешить, добавьте запись в файл hosts на Сервере администрирования.

5. Чтобы применить изменения конфигурации, перезапустите службу сервера IAM, выполнив следующую команду:

   sudo systemctl restart kliam_srv.service

Адрес Сервера администрирования добавлен в конфигурационный файл сервера IAM из общего сертификата Сервера администрирования.

Устранение неисправностей

Наличие в сети нескольких Серверов администрирования с одинаковыми сетевыми именами и проблемы конфигурации на сервере IAM могут приводить к ошибкам при входе в Web Console. В таблице ниже описаны возможные ошибки и способы их устранения.