Перевыпуск внутренних CA-сертификатов

Перевыпускать внутренние CA-сертификаты могут только пользователи с ролью Главный администратор.

Чтобы перевыпустить и применить внутренние CA-сертификаты:

1. В веб-интерфейсе откройте раздел Параметры → Другое → Общие.
2. Нажмите на кнопку Перевыпустить внутренние CA-сертификаты.
3. В открывшемся окне подтвердите перевыпуск сертификатов.

   CA-сертификаты для сервисов KUMA и CA-сертификат для ClickHouse будут перевыпущены. Перевыпущенные сертификаты требуется применить.

4. Подключитесь к хостам, на которых развернуты сервисы коллектора, коррелятора и маршрутизатора событий:
   1. Остановите все сервисы, выполнив команду:

      sudo systemctl stop kuma-<collector/correlator/eventRouter/metrics>-<service_ID>.service

      где:

      <service_ID> — идентификатор сервиса, скопированный из веб-интерфейса KUMA.

   2. Удалите файлы internal.cert и internal.key из директорий /opt/kaspersky/kuma/<тип сервиса>/<ID сервиса>/certificates, выполнив следующие команды:

      sudo rm -f /opt/kaspersky/kuma/<collector/correlator/eventRouter/metrics>/<service_ID>/certificates/internal.cert

      sudo rm -f /opt/kaspersky/kuma/<collector/correlator/eventRouter/metrics>/<service_ID>/certificates/internal.key

5. Подключитесь к хостам, на которых развернуты сервисы хранилища:
   1. Остановите все сервисы хранилища:

      sudo systemctl stop kuma-<storage>-<service_ID>.service

   2. Удалите файлы internal.cert и internal.key из директорий /opt/kaspersky/kuma/storage/<service_ID>/certificates, выполнив следующие команды:

      sudo rm -f /opt/kaspersky/kuma/storage/<service_ID>/certificates/internal.cert

      sudo rm -f /opt/kaspersky/kuma/storage/<service_ID>/certificates/internal.key

6. Удалите все сертификаты ClickHouse из директории /opt/kaspersky/kuma/clickhouse/certificates, выполнив следующие команды:

   sudo rm -f /opt/kaspersky/kuma/clickhouse/certificates/internal.cert

   sudo rm -f /opt/kaspersky/kuma/clickhouse/certificates/internal.key

7. Подключитесь к хостам, на которых развернуты сервисы агентов:
   1. Остановите сервисы агентов Windows и агентов Linux.
   2. Удалите файлы internal.cert и internal.key из рабочих директорий агентов.
8. Перезапустите Ядро KUMA, чтобы применить новые CA-сертификаты:
   • Для развертывания на одном сервере и распределенного развертывания выполните команду:

     sudo systemctl restart kuma-core-00000000-0000-0000-0000-000000000000.service

   • Для развертывания в кластере Kubernetes, на любом контроллере выполните следующие команды:

     sudo k0s kubectl exec deployment/metrics -n kuma -- rm -rf /opt/kaspersky/kuma/metrics/certificates

     sudo k0s kubectl rollout restart deployment metrics -n kuma

     sudo k0s kubectl rollout restart deployment/core-deployment -n kuma

     Рекомендуется перезапускать Ядро KUMA с помощью команды, поскольку перезапуск через веб-интерфейс влияет на перезапуск только контейнера Ядра KUMA, а не весь под целиком.

9. Перейдите в раздел Ресурсы и сервисы → Активные сервисы, установите флажок рядом с сервисом Ядра и в меню () выберите Копировать отпечаток.

   Отпечаток CA-сертификата Ядра скопирован в буфер обмена.

10. На каждом хосте, где установлены сервисы KUMA, вставьте скопированный отпечаток в качестве значения параметра --pair.fingerprint в файле systemd сервиса.
11. Выполните следующую команду, чтобы применить изменения в файле systemd:

    sudo systemctl daemon-reload

12. Перезапустите все остановленные сервисы:

    sudo systemctl start kuma-<collector/correlator/eventRouter/storage/metrics>-<service_ID>.service

    где:

    <service_ID> — идентификатор сервиса, скопированный из веб-интерфейса KUMA.

Новые внутренние CA-сертификаты будут применены.