Сценарий: развертывание отказоустойчивого кластера Kaspersky Security Center Linux

Отказоустойчивый кластер Kaspersky Security Center Linux обеспечивает высокую доступность Kaspersky Security Center Linux и минимизирует простои Сервера администрирования в случае сбоя. Отказоустойчивый кластер основан на двух идентичных экземплярах Kaspersky Security Center Linux, установленных на двух компьютерах. Один из экземпляров работает как активный узел, а другой – как пассивный. Активный узел управляет защитой клиентских устройств, в то время как пассивный готов взять на себя все функции активного узла в случае отказа активного узла. Когда происходит сбой, пассивный узел становится активным, а активный узел становится пассивным.

Развертывание приложений "Лаборатории Касперского" состоит из следующих этапов:

Рекомендуется соблюдать последовательность этапов, которая описана в этом сценарии.

1. Проверка аппаратных требований

   Убедитесь, что у вас есть оборудование, соответствующее требованиям для отказоустойчивого кластера.

2. Выбор схемы развертывания

   Выберите схему развертывания. Это влияет на следующие этапы развертывания.

3. Подготовка учетных записей пользователей для служб Kaspersky Security Center Linux

   Выполните следующие шаги на активном узле, пассивном узле и файловом сервере:

   1. Создайте группу kladmins. Выполните следующие команды:

      sudo groupadd kladmins

      sudo groupmod -g <новый_GID> kladmins

      Убедитесь, что у этой группы одинаковый GID на всех трех устройствах. Выполните следующую команду:

      getent group kladmins

      Если идентификаторы GID не совпадают, вы можете использовать следующую команду, чтобы указать GID:

      sudo groupmod -g <новый_GID> kladmins

   2. Создайте учетную запись ksc. Назначьте учетные записи пользователей группе kladmins. Выполните следующие команды:

      sudo adduser ksc

      sudo usermod -u <новый_UID> ksc

      sudo gpasswd -a ksc kladmins

      sudo usermod -g kladmins ksc

      Убедитесь, что у этой учетной записи пользователя одинаковый UID на всех трех устройствах. Выполните следующую команду:

      getent passwd ksc

      Если идентификаторы UID не совпадают, вы можете использовать следующую команду, чтобы указать UID:

      sudo usermod -u <новый_UID> ksc

   3. Создайте учетную запись пользователя rightless. Назначьте учетные записи пользователей группе kladmins. Выполните следующие команды:

      sudo adduser rightless

      sudo usermod -u <новый_UID> rightless

      sudo gpasswd -a rightless kladmins

      sudo usermod -g kladmins rightless

      Убедитесь, что у этой учетной записи пользователя одинаковый UID на всех трех устройствах. Выполните следующую команду:

      getent passwd rightless

      Если идентификаторы UID не совпадают, вы можете использовать следующую команду, чтобы указать UID:

      sudo usermod -u <новый_UID> rightless

   4. Создайте учетную запись пользователя ksciam. Назначьте учетные записи пользователей группе kladmins. Выполните следующие команды:

      sudo adduser ksciam

      sudo usermod -u <новый_UID> ksciam

      sudo gpasswd -a ksciam kladmins

      sudo usermod -g kladmins ksciam

      Убедитесь, что у этой учетной записи пользователя одинаковый UID на всех трех устройствах. Выполните следующую команду:

      getent passwd ksciam

      Если идентификаторы UID не совпадают, вы можете использовать следующую команду, чтобы указать UID:

      sudo usermod -u <новый_UID> ksciam

   5. При необходимости увеличьте установленное по умолчанию максимальное количество файлов, которые можно открывать (файловые дескрипторы) для учетных записей, используемых для работы служб Kaspersky Security Center Linux. Для этого откройте файл /etc/security/limits.conf и укажите мягкие и жесткие ограничения файловых дескрипторов следующим образом:

      ksc soft nofile <максимальное_количество_открытых_файлов>

      ksc hard nofile <максимальное_количество_открытых_файлов>

      По умолчанию ограничения дескрипторов файлов указываются во время установки. Мягкие ограничения файлов составляют 32 768 файлов, жесткие ограничения файлов составляют 131 072 файла.

4. Подготовка файлового сервера

   Подготовьте файловый сервер к работе в составе отказоустойчивого кластера Kaspersky Security Center Linux. Убедитесь, что файловый сервер соответствует аппаратным и программным требованиям, создайте две общие папки для данных Kaspersky Security Center Linux и настройте права доступа к общим папкам.

   Инструкции: Подготовка файлового сервера для отказоустойчивого кластера Kaspersky Security Center Linux.

5. Установка СУБД

   Установите СУБД для Kaspersky Security Center Linux. Вы можете выбрать одну из поддерживаемых СУБД. Подробнее о том как установить выбранную СУБД, см. в документации к этой СУБД.

   Если дистрибутив вашей операционной системы на базе Linux не содержит поддерживаемую СУБД, вы можете установить СУБД из стороннего хранилища пакетов.

   После установки СУБД выполните соответствующую инструкцию:

   • Настройка сервера PostgreSQL или Postgres Pro для работы с Kaspersky Security Center Linux
   • Настройка сервера MariaDB x64 для работы с Kaspersky Security Center Linux

   Создайте вручную базу данных для IAM. Сервер администрирования не удаляет базу данных IAM автоматически при деинсталляции или переносе Сервера на другое устройство, требуется удалить базу данных вручную.

   • Для PostgreSQL выполните команду:

     sudo -i -u postgres psql -U postgres -c "CREATE DATABASE <iam_db_name>;"

   • Для MariaDB выполните команду:

     sudo mysql -u root -p -e "CREATE DATABASE <iam_db_name>;"

   На устройстве с установленной СУБД настройте подключение к устройствам, которые будут работать как активные и пассивные узлы.

6. Подготовка активного и пассивного узлов

   Подготовьте два устройства с одинаковым аппаратным и программным обеспечением для работы в качестве активного и пассивного узлов.

   Инструкции: Подготовка узлов для отказоустойчивого кластера Kaspersky Security Center Linux.

7. Установка Kaspersky Security Center Linux

   Установите Kaspersky Security Center Linux в режиме отказоустойчивого кластера на оба узла.

   Сначала необходимо установить Kaspersky Security Center Linux на устройство, которое вы хотите использовать в качестве активного узла, а затем установить его на пассивный узел.

   Инструкции: Установка Kaspersky Security Center Linux на узлы отказоустойчивого кластера Kaspersky Security Center Linux.

8. Установка Kaspersky Security Center Web Console

   Установите Kaspersky Security Center Web Console на отдельном устройстве, не являющемся узлом кластера.

   Укажите отказоустойчивый кластер в качестве адреса Сервера администрирования в файле ответов.

   Сертификат Сервера администрирования находится по следующему пути: /mnt/KlFocDataShare_klfoc/1093/cert/klserver.cer.

   Скопируйте файл сертификата на устройство, на котором будет установлен Kaspersky Security Center Web Console. Укажите локальный путь к сертификату в файле ответов.

9. Тестирование отказоустойчивого кластера

   Убедитесь, что вы правильно настроили отказоустойчивый кластер и правильно ли он работает. Например, вы можете выполнить следующую команду, чтобы инициировать переключение на пассивный узел:

   /opt/kaspersky/ksc64/sbin/klfoc -failover --stp klfoc

   Используйте следующую команду, чтобы убедиться, что служба управления отказоустойчивым кластером находится в состоянии Active: active (running) на обоих узлах:

   systemctl status klfocsvc_klfoc

   Используйте следующие команды, чтобы убедиться, что другие службы отказоустойчивого кластера находятся в состоянии Active: active (running) на активном узле. На пассивном узле эти службы отказоустойчивого кластера должны быть в состоянии Active: inactive (dead) или Active: failed (Result: signal).

   • systemctl status klnagent_klfoc
   • systemctl status kladminserver_klfoc
   • systemctl status klactprx_klfoc
   • systemctl status klwebsrv_klfoc

Отказоустойчивый кластер Kaspersky Security Center Linux развернут.