Общее руководство по миграции на новый сервер Kaspersky Security Center Linux

1. Создайте новый сертификат с отложенной датой начала использования на устройствах, выполнив команду:
   • Для Kaspersky Security Center Windows:

     "%ProgramFiles(x86)%\Kaspersky Lab\Kaspersky Security Center\klsetsrvcert.exe" -t CR -g "<oldksc.example.internal>" -o "RsaKeyLen:2048"

   • Для Kaspersky Security Center Linux:

     /opt/kaspersky/ksc64/sbin/klsetsrvcert -t CR -g "<oldksc.example.internal>" -o "RsaKeyLen:2048"

   где "<oldksc.example.internal>" – FQDN-адрес подключения к Серверу администрирования.

   Не используйте IP-адрес для этого значения.

2. Назначьте дату начала использования нового сертификата на всех устройствах, выполнив команду:
   • Для Kaspersky Security Center Windows:

     "%ProgramFiles(x86)%\Kaspersky Lab\Kaspersky Security Center\klsetsrvcert.exe" -f "DD-MM-YYYY hh:mm"

   • Для Kaspersky Security Center Linux:

     /opt/kaspersky/ksc64/sbin/klsetsrvcert -f "DD-MM-YYYY hh:mm"

   где дата "DD-MM-YYYY hh:mm" минимум на 30 дней больше текущей. По умолчанию период распространения нового сертификата (CR) составляет 90 дней.

   После наступления назначенного времени потребуется переустановить Web Console чтобы восстановить к ней доступ и актуализировать сертификат в ее составе.

3. Если необходимо, после миграции на новый Сервер администрирования запустите утилиту klmover, чтобы восстановить соединение устройств с Сервером администрирования. Запуск утилиты может понадобиться, если устройство было выключено весь период распространения сертификата или не подключалось к Серверу администрирования.

1. Из меню Пуск → Kaspersky Security Center → Kaspersky Backup Utility запустите утилиту klbackup.exe, расположенную в папке установки Kaspersky Security Center Linux.

   Запустится мастер установки. На ОС Microsoft Windows в режиме Server Core используйте консольную версию утилиты klbackup.

2. На первом шаге выберите Выполнить резервное копирование данных Сервера администрирования.
3. На шаге Параметры резервного копирования выполните следующие действия:
   1. Нажмите на кнопку Обзор и создайте новую папку для сохранения резервной копии отдельно от директории по умолчанию, например C:\kscbackups.
   2. Если вы используете Microsoft SQL Server, выберите опцию Перенос базы данных → Перенос в формат Postgres для использования со скриптом быстрой установки. При обычном способе развертывания Kaspersky Security Center Linux, также возможен перенос данных в базу данных MySQL/MariaDB.
   3. Задайте пароль к резервной копии для защиты от несанкционированного доступа к данным.
4. Дождитесь создания резервной копии и завершите работу утилиты.

В директории создана новая директория с отметкой времени создания резервной копии.

1. На устройстве с Сервером администрирования в командной строке введите следующую команду:

   sudo /opt/kaspersky/ksc64/sbin/klbackup -path /root/kscbackups -use_ts

2. Дождитесь завершения создания резервной копии.

В директории, указанной после параметра -path, будет создана новая директория с отметкой времени создания резервной копии.

1. Скопируйте полученную резервную копию для переноса данных на устройство администратора.
2. Завершите работу операционной системы Сервера администрирования.
3. Отключите сетевой адаптер от корпоративной сети.
4. Освободите IP-адрес устройства, если планируете использовать его для новой установки Kaspersky Security Center Linux.
5. Убедитесь, что устройство полностью отключено.

Нахождение в сети прежнего Сервера администрирования может вызывать сбои управления устройствами и нарушение входа в Web Console нового Сервера администрирования, а также запуск задачи установки Агента администрирования с подключением к старому серверу.

Перенесите резервную копию предыдущего Сервера администрирования на новое устройство с Сервером администрирования с помощью съемного носителя или по сети.

Чтобы перенести резервную копию на Сервер администрирования по сети:

Возможность использования утилиты scp для копирования зависит от наличия установленного запущенного сервиса SSH на стороне операционной системы устройства с Сервером администрирования и параметров безопасности вашей организации.

1. В командной строке на устройстве с помощью утилиты cd перейдите в директорию, в которой расположена директория с файлами резервной копии предыдущего Сервера администрирования, например:

   Windows

   cd C:\kscbackups

   Linux

   cd /root/kscbackups

2. Выполните копирование директории с файлами резервной копии с помощью утилиты scp:

   scp -r <klbackup202x-xx-xx> <administrator>@<ksclinux.example.com>:

   где:

   <klbackup202x-xx-xx> – директория с непосредственно файлами резервной копии;

   <administrator> – привилегированный пользователь на новом Сервере администрирования с правами подключения по протоколу SSH;

   <ksclinux.example.com> – FQDN-адрес нового Сервера администрирования.

Директория с резервной копией будет скопирована в корень директории профиля указанного пользователя.

1. На новом устройстве с Сервером администрирования откройте командную строку.
2. На время восстановления данных из резервной копии предоставьте права суперпользователя PostgreSQL для стандартных учетных записей klserver и kliam, которые Сервер администрирования использует для подключения к СУБД:

   sudo -i -u postgres psql -c "ALTER ROLE klserver WITH SUPERUSER;"

   sudo -i -u postgres psql -c "ALTER ROLE kliam WITH SUPERUSER;"

3. С помощью утилиты klbackup запустите восстановление данных из резервной копии предыдущего Сервера администрирования:

   sudo /opt/kaspersky/ksc64/sbin/klbackup -path </home/administrator/klbackup202x-xx-xx> -restore

   где </home/administrator/klbackup202x-xx-xx> – полный путь к директории с непосредственно файлами резервной копии.

4. Если пароль на резервную копию не был задан, в запросе пароля от резервной копии нажмите клавишу Enter без ввода пароля.
5. Дождитесь окончания работы утилиты.

   В крупных инсталляциях может требоваться значительное время.

6. Восстановите исходные права у учетных записей PostgreSQL, которые Сервер администрирования использует для подключения к СУБД.

   sudo -i -u postgres psql -c "ALTER ROLE klserver WITH NOSUPERUSER;"

   sudo -i -u postgres psql -c "ALTER ROLE kliam WITH NOSUPERUSER;"

1. Получите значение адреса прежнего сервера из конфигурационного файла Сервера IAM:

   sudo grep "ksc_address:" /var/opt/kaspersky/klnagent_srv/iam/iam_config.yaml

   Пример

   ksc_address: "oldksc.example.internal"

2. Проверьте правильность преобразования FQDN-адреса прежнего Сервера администрирования в петлевой (loopback) IP-адрес нового Сервера администрирования. Для этого:
   1. Выполните команду ping с адресом прежнего Сервера администрирования.

      Пример успешного получения петлевого IP-адреса

      administrator@ksclinux:~$ ping oldksc.example.internal

      ping oldksc.example.internal

      PING ksclinux (127.0.1.1) 56(84) bytes of data.

      64 bytes from ksclinux (127.0.1.1): icmp_seq=1 ttl=64 time=0.037 ms

   2. Добавьте адрес прежнего Сервера администрирования в файл /etc/hosts ОС нового Сервера администрирования, если адрес не был получен или получен внешний IP адрес. Для этого:
      • Откройте /etc/hosts на редактирование:

        sudo nano /etc/hosts

      • Введите имя прежнего сервера в качестве дополнительного псевдонима адреса устройства Сервера администрирования.

        Пример

        127.0.0.1 localhost

        127.0.1.1 ksclinux.example.com ksclinux oldksc.example.internal

        <...>

3. Переустановите Web Console:
   1. Удалите локальный Сервер Web Console:

      В зависимости от вашего дистрибутива Kaspersky Security Center Linux выполните одну из следующих команд:

      • Hа устройстве с операционной системой на базе Debian:

        sudo apt remove ksc-web-console -y

      • Hа устройстве с операционной системой на базе Red Hat Enterprise Linux:

        sudo dnf remove ksc-web-console -y

   2. Запустите установку пакета Web Console из директории с дистрибутивами:
      • На устройстве с операционной системой на базе Debian:

        sudo apt install ~/kscdistr/ksc-web-console-16.3.12907.x86_64.deb -y

      • Hа устройстве с операционной системой на базе Red Hat Enterprise Linux:

        sudo dnf install ~/kscdistr/ksc-web-console-16.3.12907.x86_64.rpm -y

База пользователей была перезаписана, повторите создание пользователя kscadmin и настройку двухфакторной аутентификации.

1. Откройте командную строку в операционной системе устройства с Сервером администрирования, выполните команду создания пользователя:

   sudo /opt/kaspersky/ksc64/sbin/kladduser -n kscadmin

   После нажатия Enter задайте пароль, затем повторите его.

2. В браузере откройте адрес для подключения к Web Console:

   https://<FQDN>:8080

   где <FQDN> – это адрес Сервера администрирования из параметров установки скрипта, например, https://ksclinux.example.com:8080.

3. Используйте созданные имя пользователя и пароль для входа в Web Console.
4. Настройте приложение-аутентификатор. Для этого:
   1. Удалите устаревший профиль учетной записи пользователя kscadmin, который был настроен в приложении-аутентификаторе до восстановления резервной копии Сервера администрирования.
   2. Скопируйте в приложение секретный ключ для получения одноразовых кодов подтверждений или отсканируйте QR-код из мастера настройки аутентификации Web Console.
   3. Введите сгенерированный код подтверждения для проверки и входа в Web Console.

1. Проверьте работоспособность интерфейса Web Console под пользователем kscadmin и другими пользователями.
2. Последовательно запустите следующие задачи:
   • Загрузка обновлений в хранилище Сервера администрирования.
   • Обслуживание Сервера администрирования.
   • Резервное копирование данных Сервера администрирования.

   Замените Windows-пути в параметрах задач на Linux-директории нового Сервера администрирования, либо удалите и сконфигурируйте задачи повторно.

3. Проверьте результат выполнения задач и если необходимо, внесите изменения в параметры работы задач, политик управления и настроек Сервера администрирования.

Если вы присвоили новый адрес FQDN новому Серверу администрирования (например, ksclinux.example.com), добавьте один из следующих типов записей DNS:

• Запись CNAME, связывающая старое имя Сервера администрирования с новым именем Сервера администрирования.

  Дополнительную информацию о настройке требуемых записей см. в документации DNS-сервера.

• Запись A и AAAA для прежнего адреса Сервера администрирования, указывающая на новый IP-адрес Сервера администрирования.

  Для службы DNS на базе Windows Server выполняйте команды с использованием значений, применимых к вашей инфраструктуре.

Чтобы добавить DNS-запись А для службы DNS на базе Windows Server выполняйте команды с использованием значений, применимых к вашей инфраструктуре:

1. Подключитесь к DNS-серверу.
2. Откройте PowerShell и получите IP-адрес из существующей записи А, выполнив команду:

   Get-DnsServerResourceRecord -ZoneName "<zone name>" -RRType A -Name "<name of the administration server>"

3. Измените IP-адрес в A-записи, выполнив команды:

   $OldKSC = Get-DnsServerResourceRecord -ZoneName "<zone name>" -RRType A -Name "<name of the administration server>"

   $NewKSC = $OldKSC.Clone()

   $NewKSC.RecordData.IPv4Address = [System.Net.IPAddress]::parse('<IP-address of the administration server>')

   Set-DnsServerResourceRecord -OldInputObject $OldKSC -NewInputObject $NewKSC -ZoneName "<zone name>"

4. Убедитесь, что IP-адрес в записи А обновлен, выполнив команду:

   Get-DnsServerResourceRecord -ZoneName "<zone name>" -RRType A -Name "<name of the administration server>"

   В выводе команды отобразится IP-адрес сервера администрирования Kaspersky Security Center Linux. Управляемые устройства восстановят подключение после обновления локального кеша DNS.

1. В главном окне Web Console выберите Управление активами → Иерархия групп.
2. Установите флажок рядом с группой Управляемые устройства.
3. Нажмите на кнопку Добавить.
4. В открывшемся окне укажите имя новой группы (например, kscserver) и подтвердите ее создание нажатием на кнопку Добавить.

1. В главном окне Web Console перейдите в раздел Управление активами → Политики.
2. Нажмите на кнопку Добавить.
3. В Мастере создания новой политики выберите приложение Агент администрирования Kaspersky Security Center Linux и нажмите Далее.
4. Отключите опцию Наследовать параметры родительской политики и нажмите Сохранить.

Вы можете установить плагин управления Kaspersky Endpoint Security для Linux следующими способами:

• Установка из списка доступных дистрибутивов в Web Console.
• Установка вручную из файла.

Чтобы установить плагин управления Kaspersky Endpoint Security из списка доступных дистрибутивов в Web Console:

1. В главном окне Web Console выберите Параметры → Веб-плагины.

   Откроется список установленных веб-плагинов.

2. Нажмите на кнопку Добавить.

   Откроется список доступных плагинов управления. Список обновляется автоматически после выпуска новых версий веб-плагинов.

3. В списке доступных плагинов выберите последнюю доступную версию веб-плагина Kaspersky Endpoint Security для Linux.
4. В открывшемся окне с описанием веб-плагина нажмите на кнопку Установить плагин.
5. Дождитесь окончания установки и нажмите на кнопку OK в информационном окне.

Новый плагин отобразится в списке установленных веб-плагинов.

Видео: установка веб-плагина управления с помощью мастера

Чтобы установить плагин управления Kaspersky Endpoint Security вручную из файла:

1. Скачайте архив с веб-плагином на странице загрузки приложений в разделе Kaspersky Endpoint Security для Linux: Плагин контроля приложений → Web console Plug-In.
2. Локально распакуйте скачанный архив.
3. В главном окне Web Console выберите Параметры → Веб-плагины.

   Откроется список установленных веб-плагинов.

4. Нажмите на кнопку Добавить из файла.
5. В открывшемся окне укажите путь к файлу plugin.zip и путь к файлу signature.txt.

   Файлы находятся в папке, куда вы распаковали архив с веб-плагином.

6. Нажмите на кнопку Добавить.
7. Дождитесь окончания установки и нажмите на кнопку OK в информационном окне.

Новый плагин отобразится в списке установленных веб-плагинов (Параметры → Веб-плагины).

Видео: установка веб-плагина управления в изолированных сетях

При совместной работе Kaspersky Endpoint Security для Linux и Kaspersky Security Center Linux вам нужно настроить параметры политики в соответствии с рекомендациями специалистов "Лаборатории Касперского".

1. В главном окне Web Console выберите Управление активами → Политики.
2. Выберите группу администрирования для Сервера администрирования.
3. Нажмите на кнопку Добавить.

   Запустится мастер создания политики.

4. В открывшемся окне в списке выберите название приложения Kaspersky Endpoint Security для Linux.
5. Укажите Стандартный режим или режим Агента Endpoint Detection and Response приложения Kaspersky Endpoint Security для Linux.
6. Примите решение об использовании Kaspersky Security Network.
7. Ознакомьтесь с рекомендациями по оптимизации для управляемых устройств.
8. В названии политики укажите принадлежность политики к Серверу администрирования.
9. Отключите опцию Наследовать параметры родительской политики.
10. Сохраните внесенные изменения.

Видео: создание политики

1. В главном окне Web Console выберите раздел Задачи.
2. Выберите группу администрирования для Сервера администрирования.
3. Нажмите на кнопку Добавить.

   Запустится мастер создания задач.

4. В открывшемся окне в списке выберите название приложения Kaspersky Endpoint Security для Linux.
5. Укажите тип задачи Обновление и пройдите следующие шаги без изменения параметров.

   Запустится окно свойств задачи.

6. В разделе Параметры приложения → Источники обновлений включите источник Kaspersky Security Center и поднимите его приоритет.

В изолированных сетях используйте утилиту Kaspersky Update Utility для формирования хранилища для задач обновления.

Видео: настройка централизованного обновления баз

1. В главном окне Kaspersky Security Center Web Console выберите раздел Лицензии.
2. Нажмите на кнопку Добавить.
3. Укажите опцию Код активации и нажмите Отправить.

   В изолированных сетях используйте файл ключа, который можно запросить с помощью сервиса https://keyfile.kaspersky.com/ru-RU.

4. В списке лицензий нажмите на название лицензии.
5. Установите флажок Автоматически распространять лицензионный ключ на управляемые устройства.
6. Сохраните изменения.

Видео: активация приложения с помощью кода активации

Видео: активация приложения с помощью файла ключа

1. В главном окне Web Console выберите Управление программным обеспечением → Инсталляционные пакеты.
2. Нажмите на кнопку Добавить.

   Запустится Мастер создания инсталляционного пакета.

3. Выберите Создать инсталляционный пакет для приложения "Лаборатории Касперского".
4. В списке приложений найдите последнюю версию Kaspersky Endpoint Security для Linux и нажмите на название.
5. В боковой панели инициируйте загрузку кнопкой Скачать и создать инсталляционный пакет.

   Ознакомьтесь и примите лицензионные соглашения для начала использования приложений.

6. Вернитесь в список приложений и загрузите последнюю версию Агента администрирования (Kaspersky Network Agent for Linux).

   Ознакомьтесь и примите лицензионные соглашения для начала использования приложений.

7. В главном окне Web Console в списке загруженных приложений нажмите на названия приложений.

В изолированных сетях скачайте дистрибутивы с сайта "Лаборатории Касперского" и выберите в Мастере создания инсталляционного пакета опцию Создать инсталляционный пакет из файла.

Видео: создание инсталляционного пакета автоматически в Kaspersky Security Center

Видео: создание инсталляционного пакета вручную из файла в Kaspersky Security Center

1. В главном окне Web Console выберите Управление программным обеспечением → Инсталляционные пакеты.
2. Установите флажок напротив пакета Агента администрирования (Kaspersky Network Agent for Linux).
3. Нажмите Развернуть.

   Запустится Мастер развертывания защиты.

4. Выберите вариант С использованием автономного инсталляционного пакета.
5. На шаге Перемещение устройств в папку Управляемые устройства пропустите настройку правил перемещения устройств в группу администрирования. Эта опция не применяется для устройства Сервера администрирования.
6. На шаге Результат формирования автономного инсталляционного пакета выделите и скопируйте полный путь размещения скрипта установки приложения.
7. В операционной системе Сервера администрирования откройте командную строку.
8. Запустите установку автономного пакета:

   sudo bash "</var/opt/.../stand-alone_package_sh>"

   где </var/opt/.../stand-alone_package_sh> – это ранее скопированный полный путь к файлу скрипта автономного инсталляционного пакета приложения.

   В случае успешной установки отобразится соответствующее уведомление.

9. Переместите устройство Сервера администрирования (например, ksclinux) из группы Управляемые устройства в ранее подготовленную группу администрирования (например, kscserver).

1. В главном окне Web Console выберите Управление программным обеспечением → Инсталляционные пакеты.
2. Установите флажок напротив пакета Kaspersky Endpoint Security для Linux.
3. Нажмите Развернуть.

   Запустится Мастер развертывания защиты.

4. Выберите вариант С использованием автономного инсталляционного пакета.
5. На шаге Результат формирования автономного инсталляционного пакета выделите и скопируйте полный путь размещения скрипта установки приложения.
6. В операционной системе Сервера администрирования откройте командную строку.
7. Запустите установку автономного пакета:

   sudo bash "</var/opt/.../stand-alone_package_sh>"

   где </var/opt/.../stand-alone_package_sh> – это ранее скопированный полный путь к файлу скрипта автономного инсталляционного пакета приложения.

   В случае успешной установки отобразится соответствующее уведомление.

8. В главном окне Web Console в разделе Задачи выберите корневой узел в списке групп администрирования с названием Сервера администрирования.
9. Из списка задач Сервера администрирования последовательно запустите следующие задачи:
   • Загрузка обновлений в хранилище Сервера администрирования.
   • Обновление (Kaspersky Endpoint Security для Linux).
10. В главном окне Web Console выберите Управление активами → Управляемые устройства.
11. Нажмите на имя объекта устройства Сервера администрирования.
12. Проверьте значения основных показателей состояния устройства:
    • Последнее обновление антивирусных баз (актуально).
    • Подключено к Серверу администрирования (актуально).
    • Состояние защиты (Выполняется).
    • Событие Ключ успешно добавлен (есть).