Добавление адреса Сервера администрирования в конфигурацию сервера IAM

После изменения общего сертификата Сервера администрирования ("C") во время обновления, перемещения или переноса данных, вам нужно указать адрес Сервера администрирования в конфигурационном файле сервера IAM, чтобы обеспечить правильную проверку сертификата между сервером IAM и Сервером администрирования.

Чтобы добавить адрес Сервера администрирования в конфигурацию сервера IAM:

1. Получите значение альтернативного имени субъекта (SAN) из общего сертификата Сервера администрирования ("C"), выполнив следующую команду:

   sudo openssl x509 -in /var/opt/kaspersky/klnagent_srv/1093/cert/klserver.cer -noout -ext subjectAltName

2. В зависимости от выходных данных команды выполните одно из следующих действий:
   • Если в выходных данных указано, что значение отсутствует, проверьте требования к пользовательскому сертификату.

     Если вы используете пользовательский сертификат вместо самоподписанного, перед обновлением Kaspersky Security Center Linux до более поздней версии вам нужно убедиться, что сертификат содержит альтернативное имя субъекта (Subject Alternative Name, SAN). Если нет, важно заменить сертификат перед обновлением Kaspersky Security Center Linux. Иначе вы не сможете войти в Web Console после обновления.

     Чтобы убедиться, что сертификат включает SAN:

     1. На устройстве, на котором установлен Сервер администрирования, выполните команду:
        • Для устройств с операционной системой Linux:

          sudo openssl x509 -in /var/opt/kaspersky/klnagent_srv/1093/cert/klserver.cer -noout -ext subjectAltName

        • Для устройств с операционной системой Windows:

          certutil -dump %ProgramData%\KasperskyLab\adminkit\1093\cert\klserver.cer

     2. Убедитесь, что альтернативное имя субъекта (SAN) присутствует в выходных данных команды и содержит адрес устройства Сервера администрирования.
     3. Если альтернативное имя субъекта отсутствует, используйте утилиту klsetsrvcert для замены пользовательского сертификата на сертификат, который соответствует требованиям.

     Если сертификат не соответствует требованиям, замените общий сертификат Сервера администрирования на предыдущем Сервере администрирования с помощью утилиты klsetsrvcert. После этого повторите процедуру обновления с предыдущей версии, перемещения или переноса данных.

   • Если значение совпадает со значением, указанным при установке Kaspersky Security Center Linux (на шаге Ввод DNS-имени сервера IAM мастера установки или для тихой установки в параметре KLSRV_UNATT_IAM_ADDRESS), никаких дополнительных действий не требуется. Сервер IAM и Сервер администрирования будут правильно взаимодействовать.
   • Если значение содержит DNS-имена или адреса обратной связи (127.0.0.1 и/или 0:0:0:0:0:0:0:1), используйте один из них в конфигурационном файле. Рекомендуется использовать 127.0.0.1.
3. Добавьте одно из значений SAN-адреса из общего сертификата Сервера администрирования в блоке server_iam конфигурационного файла сервера IAM в следующем формате: ksc_address: "<SAN_address>".

   Вы можете использовать текстовый редактор для изменения конфигурационного файла сервера IAM, например, vi. Следующая команда открывает файл в текстовом редакторе vi:

   vi /var/opt/kaspersky/klnagent_srv/iam/iam_config.yaml

   Пример блока server_iam в конфигурационном файле сервера IAM: server_iam: iam_address: "ksc.example.com" server_display_name: "ksc.example.com" ksc_address: "oldksc.example.internal" ksc_ca: "/var/opt/kaspersky/klnagent_srv/1093/cert/klserver.cer"

   Убедитесь, что вы используете тот же интервал, что и в примере.

4. Убедитесь, что сетевое имя в параметре ksc_address разрешается в адрес обратной связи (127.0.0.1 и/или 0:0:0:0:0:0:0:1) Сервера администрирования. Для этого вы можете использовать утилиту Ping на Сервере администрирования.

   Если разрешенный адрес отличается или адрес не удается разрешить, добавьте запись в файл hosts на Сервере администрирования.

5. Чтобы применить изменения конфигурации, перезапустите службу сервера IAM, выполнив следующую команду:

   sudo systemctl restart kliam_srv.service

Адрес Сервера администрирования добавлен в конфигурационный файл сервера IAM из общего сертификата Сервера администрирования.

После обновления самоподписанный общий сертификат Сервера администрирования включает значение Subject Alternative Name (SAN), указанное при установке Kaspersky Security Center Linux (на шаге Ввести DNS-имя сервера IAM или при автоматической установке в параметре KLSRV_UNATT_IAM_ADDRESS). После импорта сертификата вам нужно обновить параметр ksc_address, соответствующий значению SAN. Для этого повторите шаги, описанные выше. Для последующих обновлений значение SAN самоподписанного общего сертификата не изменяется.

Устранение неисправностей

Наличие в сети нескольких Серверов администрирования с одинаковыми сетевыми именами и проблемы с конфигурацией сервера IAM могут приводить к ошибкам при входе в Web Console. В таблице ниже описаны возможные ошибки и способы их устранения.