Установка в отказоустойчивой конфигурации в кластере Raft

Эта инструкция является частью сценария развертывания и первоначальной настройки.

Установка производится с контрольной машины, при этом все компоненты решения устанавливаются на целевых машинах.

Перед началом установки убедитесь, что вы выполнили действия по подготовке к установке. Также убедитесь, что у вас есть действующий лицензионный ключ для активации решения.

Чтобы установить Kaspersky SIEM в распределенной конфигурации с Ядром KUMA в кластере Raft, перейдите на контрольную машину и выполните следующие действия:

Поместите архив с установщиком на контрольную машину

В личном кабинете на портале Kaspersky CompanyAccount скачайте архив с установщиком, а затем скопируйте архив с установщиком kuma-ansible-installer-<номер версии KUMA>.tar.gz на контрольную машину и распакуйте его с помощью следующей команды (потребуется около 2 ГБ дискового пространства):

tar -xpf kuma-ansible-installer-<номер версии KUMA>.tar.gz

Войдите в директорию с установщиком и предоставьте пользователю ОС, от имени которого запускается установщик KUMA, доступ к файлам в директории

Для этого последовательно выполните следующие команды:

cd kuma-ansible-installer

chown -R <user_name>:<group> kuma-ansible-installer

где:

<user_name> — пользователь ОС, от имени которого запускается установщик KUMA и которому следует выдать права на директорию с установщиком. Также у пользователя должны быть права на запись в директорию, в которую этот архив будет распаковываться.
<group> — основная группа пользователя.

Активируйте решение

В зависимости от способа активации, выполните следующие действия:

Файл ключа.
Поместите файл ключа license.key в директорию <директория установщика>/roles/kuma/files/:

cp <файл ключа>.key <директория установщика>/roles/kuma/files/license.key
Код активации.
Действия не требуются, переходите к следующему пункту инструкции.

Активация приложения с помощью кода активации доступна только для KUMA 3.4 и более поздних версий. Для более ранних версий KUMA используется активация приложения файлом ключа.

Подготовьте файл инвентаря

Скопируйте шаблон distributed.inventory.yml.template и создайте файл инвентаря с именем distributed.inventory.yml:
cp distributed.inventory.yml.template distributed.inventory.yml

Шаблон содержит базовый набор параметров, но его недопустимо использовать при установке без изменений.
Измените параметры файла инвентаря distributed.inventory.yml:
1. В шаблоне файла инвентаря distributed.inventory.yml приведены примеры имен хостов для разных групп сервисов KUMA. Перед установкой замените эти примеры на действительные FQDN в формате <имя хоста>.<домен> и при необходимости укажите IPv4-адрес или IPv6-адрес серверов вашей инфраструктуры, на которые будут устанавливаться соответствующие сервисы.
2. Если вы используете нестандартную директорию для хранения SSH-ключей, укажите полный путь к SSH-ключу в параметре ansible_ssh_private_key_file в файле инвентаря в секции kuma: vars:, чтобы обеспечить доступ установщика к целевым машинам.
3. Если вы хотите использовать нестандартный порт для подключения по протоколу SSH в ходе установки, выберите один из следующих вариантов:
  - Если порт одинаковый для группы хостов, укажите порт в параметре ansible_port в файле инвентаря в секции vars.
  - Если для подключения к каждому хосту используется отдельный нестандартный порт, укажите порт в параметре ansible_port для каждого хоста в файле инвентаря.
4. Если вы хотите, чтобы при установке были созданы предустановленные сервисы (коллектор, коррелятор, хранилище), присвойте параметру deploy_example_services значение true.
  Предустановленные сервисы будут созданы и автоматически запущены на указанных в файле инвентаря хостах. Созданные сервисы будут доступны в веб-интерфейсе Kaspersky SIEM. Дополнительно устанавливать или запускать их не требуется. При необходимости вы можете удалить предустановленные сервисы.
Ниже приведен пример заполнения файла инвентаря distributed.inventory.yml с указанием полного пути к SSH-ключу, без развертывания предустановленных сервисов, с указанием общего нестандартного порта для подключения по протоколу SSH для дополнительных хостов с Ядром KUMA, с указанием отдельного нестандартного порта для подключения по протоколу SSH для коллектора и коррелятора и общего нестандартного порта для группы хостов хранилища.

Пример файла инвентаря distributed.inventory.yml для установки в отказоустойчивой конфигурации в кластере Raft

all:

vars:

deploy_to_k8s: false

need_transfer: false

generate_etc_hosts: false

deploy_example_services: false

no_firewall_actions: false

kuma:

vars:

ansible_connection: ssh

ansible_user: root

children:

kuma_core:

hosts:

kuma-core-1.example.com:

ip: 0.0.0.0

raft_node_addr: ""

ansible_port: 2222

kuma_core_peers:

vars:

ansible_port: 2222

hosts:

kuma-core-2.example.com:

ip: 0.0.0.0

kuma-core-3.example.com:

ip: 0.0.0.0

kuma_metrics:

hosts:

kuma-metrics.example.com

ansible_port: 2223

ip: 0.0.0.0

kuma_collector:

hosts:

kuma-collector-1.example.com:

ansible_port: 2224

ip: 0.0.0.0

kuma_correlator:

hosts:

kuma-correlator-1.example.com:

ansible_port: 2225

ip: 0.0.0.0

kuma_storage:

vars:

ansible_port: 2226

hosts:

kuma-storage-cluster1-server1.example.com:

ip: 0.0.0.0

shard: 1

replica: 1

keeper: 0

kuma-storage-cluster1-server2.example.com:

ip: 0.0.0.0

shard: 1

replica: 2

keeper: 0

kuma-storage-cluster1-server3.example.com:

ip: 0.0.0.0

shard: 2

replica: 1

keeper: 0

kuma-storage-cluster1-server4.example.com:

ip: 0.0.0.0

shard: 2

replica: 2

keeper: 0

kuma-storage-cluster1-server5.example.com:

ip: 0.0.0.0

shard: 0

replica: 0

keeper: 1

kuma-storage-cluster1-server6.example.com:

ip: 0.0.0.0

shard: 0

replica: 0

keeper: 2

kuma-storage-cluster1-server7.example.com:

ip: 0.0.0.0

shard: 0

replica: 0

keeper: 3

Мы рекомендуем сохранить файл инвентаря, который вы использовали для установки решения. С его помощью вы можете дополнить решение компонентами, обновить или удалить Kaspersky SIEM.

Запустите установщик

Запустите установщик install.sh с подготовленным файлом инвентаря distributed.inventory.yml:

Для пользователя с root-правами

./install.sh distributed.inventory.yml

Для пользователя без root-прав требуется ввести пароль для повышения привилегий

./install.sh distributed.inventory.yml --ask-become-pass

Ознакомьтесь с условиями Лицензионного соглашения

Если вы не примете условия Лицензионного соглашения, решение не будет установлено.

Если вы хотите принять условия Лицензионного соглашения, при отображении запроса в командной строке введите:

yes

Завершение установки

На этом этапе выполните следующие шаги:

Для завершения установки выполните действия в зависимости от способа активации решения:
Файл ключа

Если вы активируете решение с помощью файла ключа и поместили файл ключа в директорию <директория установщика>/roles/kuma/files/, в результате запуска установщика с файлом инвентаря distributed.inventory.yml будут установлены Ядро KUMA на сервере, указанном в секции kuma_core, дополнительные Ядра KUMA на серверах, указанных в секции kuma_core_peers, и сервис Метрики на сервере, указанном в секции kuma_metrics. На указанных в файле инвентаря хостах будут размещены файлы, необходимые для дальнейшей установки и запуска сервисов KUMA, а также будут доступны преднастроенные ресурсы (нормализаторы, правила корреляции, активные листы и другие), отмеченные префиксом [OOTB].

Сведения о ходе установки, успешно выполненных операциях и возникших ошибках выводятся только в журналы Ядра KUMA, которые хранятся в директории /opt/kaspersky/kuma/core/<идентификатор сервиса Ядра KUMA>/log/core.

После завершения работы установщика войдите в веб-интерфейс.

Код активации
Если вы активируете решение с помощью кода активации, будут установлены только Ядро KUMA на сервере, указанном в секции kuma_core, дополнительные Ядра KUMA на серверах, указанных в секции kuma_core_peers, и сервис Метрики.

Чтобы завершить установку:
1. Войдите в веб-интерфейс и укажите код активации.
2. Запустите установщик postinstall.sh с файлом инвентаря distributed.inventory.yml:
  ./postinstall.sh distributed.inventory.yml
На хостах, указанных в файле инвентаря, будут размещены файлы, необходимые для дальнейшей установки и запуска сервисов KUMA. В репозитории будут доступны для импорта преднастроенные ресурсы ресурсы (нормализаторы, правила корреляции, активные листы и другие), отмеченные префиксом [OOTB].

Сведения о ходе установки, успешно выполненных операциях и возникших ошибках выводятся только в журналы Ядра KUMA, которые хранятся в директории /opt/kaspersky/kuma/core/<идентификатор сервиса Ядра KUMA>/log/core.
Определите, будете ли вы использовать балансировщик для кластера Raft и при необходимости настройте балансировщик:
- Если балансировщик не используется, при установке каждого сервиса нужно будет указывать URL узлов Ядра KUMA через запятую. Вы сможете подключаться к серверам Ядра KUMA напрямую. При переходе между узлами потребуется повторная аутентификация. После успешного входа на новом узле сессия на предыдущем узле будет завершена.
- Использование балансировщика позволяет распределять нагрузку между узлами кластера и обеспечивает единую точку входа в веб-интерфейс (Single Sign-On, SSO) через AD FS без повторной аутентификации при переключении между узлами кластера, а также возможность доступа к Kaspersky SIEM, если один или несколько хостов с сервисом Ядра KUMA недоступны или вышли из строя.
  Мы рекомендуем использовать один из следующих балансировщиков:
  
  HAProxy Community Edition
  В статье приведен пример настройки HAProxy Community Edition. При необходимости вы можете изменить параметры с учетом ваших потребностей. Конфигурация протестирована с версией пакета 2.4.24-0ubuntu0.22.04.2.
  
  Чтобы настроить HAProxy Community Edition:
  1. На хосте, где вы устанавливаете балансировщик, запустите консоль командной строки и установите пакет haproxy:
    sudo apt update && sudo apt install haproxy -y
  2. Перейдите в директорию /etc/haproxy и измените конфигурационный файл haproxy.cfg, как указано в примере. Порядок секций и параметров в конфигурационном файле должен соответствовать примеру.
    Пример указания параметров в файле haproxy.cfg без использования TLS-сертификата
    
    global
    
    log /dev/log local0
    
    log /dev/log local1 notice
    
    chroot /var/lib/haproxy
    
    stats socket /run/haproxy/admin.sock mode 660 level admin
    
    stats timeout 30s
    
    user haproxy
    
    group haproxy
    
    defaults
    
    log global
    
    mode tcp
    
    option tcplog
    
    option dontlognull
    
    timeout connect 5000
    
    timeout client 50000
    
    timeout server 50000
    
    errorfile 400 /etc/haproxy/errors/400.http
    
    errorfile 403 /etc/haproxy/errors/403.http
    
    errorfile 408 /etc/haproxy/errors/408.http
    
    errorfile 500 /etc/haproxy/errors/500.http
    
    errorfile 502 /etc/haproxy/errors/502.http
    
    errorfile 503 /etc/haproxy/errors/503.http
    
    errorfile 504 /etc/haproxy/errors/504.http
    
    frontend deploy-raft
    
    mode tcp
    
    bind *:7220
    
    default_backend be_d1
    
    backend be_d1
    
    mode tcp
    
    balance roundrobin
    
    server machine2 kuma-inst-02.avp.ru:7220 check
    
    server machine3 kuma-inst-03.avp.ru:7220 check
    
    server machine4 kuma-inst-04.avp.ru:7220 check
    
    Пример указания параметров в файле haproxy.cfg с использованием TLS-сертификата
    
    global #
    
    log /dev/log local0
    
    log /dev/log local1 notice
    
    chroot /var/lib/haproxy
    
    stats socket /run/haproxy/admin.sock mode 660 level admin
    
    stats timeout 30s
    
    user haproxy
    
    group haproxy
    
    # Default SSL material locations
    
    ca-base /etc/ssl/certs
    
    crt-base /etc/ssl/private
    
    ssl-default-bind-ciphers ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384
    
    ssl-default-bind-ciphersuites TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256
    
    ssl-default-bind-options ssl-min-ver TLSv1.3 no-tls-tickets
    
    defaults #
    
    log global
    
    mode http
    
    option httplog
    
    option dontlognull
    
    timeout connect 5000
    
    timeout client 50000
    
    timeout server 50000
    
    errorfile 400 /etc/haproxy/errors/400.http
    
    errorfile 403 /etc/haproxy/errors/403.http
    
    errorfile 408 /etc/haproxy/errors/408.http
    
    errorfile 500 /etc/haproxy/errors/500.http
    
    errorfile 502 /etc/haproxy/errors/502.http
    
    errorfile 503 /etc/haproxy/errors/503.http
    
    errorfile 504 /etc/haproxy/errors/504.http
    
    frontend http_front
    
    bind 0.0.0.0:443 ssl crt kuma-inst-01.avp.ru
    
    default_backend be_d1 #название группы серверов приложений по умолчанию
    
    backend be_d1 #be_d1 - название группы серверов приложений, используется при адресации секцией frontend
    
    balance roundrobin #запросы распределяются поровну между доступными серверами приложений
    
    cookie SERVER insert indirect nocache #параметр insert при запросе создает файл cookie, indirect удаляет файл cookie при каждом входящем запросе перед пересылкой серверу приложения, #nocache гарантирует отсутствие кеширования между клиентом и балансировщиком
    
    option httpchk #запуск HTTP-проверки
    
    http-check connect port 7220 #для HTTP-проверки используется порт 7220
    
    http-check send meth GET #при выполнении проверки используется HTTP-метод GET
    
    http-check expect status 200 #успешная HTTP-проверка получает от сервера приложения статус 200 OK
    
    server machine2 kuma-inst-02.avp.ru:7220 inter 4s fall 2 rise 4 ssl verify none #параметр inter задает промежуток http-проверки равный четырем секундам, для исключения машины
    
    server machine3 kuma-inst-03.avp.ru:7220 inter 4s fall 2 rise 4 ssl verify none #из ротации 2 последовательные проверки должны завершиться ошибкой - fall 2, для возвращения - 4 должны
    
    server machine4 kuma-inst-04.avp.ru:7220 inter 4s fall 2 rise 4 ssl verify none #завершиться успешно - rise 4. Подлинность серверного tls-сертификата не проверяется - ssl #verify none
  3. Сохраните конфигурационный файл haproxy.cfg.
  4. Проверьте корректность оформления конфигурационного файла haproxy.cfg с помощью следующей команды:
    haproxy -f /etc/haproxy/haproxy.cfg -c
    
    Если команда проверки вернула ошибку, убедитесь, что содержимое конфигурационного файла haproxy.cfg соответствует примеру и при необходимости внесите изменения.
    
    Если команда проверки не вернула ошибок, переходите к запуску балансировщика.
  5. Запустите балансировщик:
    sudo systemctl start haproxy
    
    Если сервис haproxy требует включения перед запуском, последовательно выполните следующие команды:
    
    sudo systemctl enable haproxy
    
    sudo systemctl start haproxy
  Балансировщик HAProxy Community Edition будет настроен.
  NGINX Open Source
  В этой статье приведен пример настройки NGINX Open Source. При необходимости вы можете изменить параметры с учетом ваших потребностей. Конфигурация протестирована с версией пакета 1.18.0-6ubuntu14.6.
  
  Рекомендуется использовать конфигурацию балансировщика без терминирования TLS на стороне NGINX. В этом режиме NGINX работает как прокси-сервер на транспортном уровне (TCP) и перенаправляет зашифрованный трафик на узлы с сервисом Ядра KUMA.
  
  TLS-соединение завершается на узле Ядра KUMA, поэтому сертификат веб-интерфейса устанавливается в KUMA, а не в NGINX. Такой режим обеспечивает сквозное шифрование трафика между клиентом и сервисом Ядра KUMA.
  
  Можно использовать TLS-сертификат, автоматически созданный KUMA при первом запуске. Для исключения предупреждений браузера рекомендуется использовать сертификат, выпущенный корпоративным или публичным удостоверяющим центром, и указать в поле Subject Alternative Names (SAN) DNS-имя балансировщика, а также DNS-имена всех узлов с сервисом Ядра KUMA. Вместо перечисления отдельных имен допускается использование символа подстановки, например *.example.com.
  
  Чтобы настроить NGINX Open Source:
  1. На хосте, где вы устанавливаете балансировщик, запустите консоль командной строки и установите пакет nginx-common:
    sudo apt update && sudo apt install nginx-common -y
  2. Перейдите в директорию /etc/nginx и измените конфигурационный файл nginx.conf, как показано в примере. Порядок секций и параметров в конфигурационном файле должен соответствовать примеру.
    Пример указания параметров в файле nginx.conf без использования TLS-сертификата
    
    user www-data;
    
    worker_processes auto;
    
    pid /run/nginx.pid;
    
    error_log /var/log/nginx/error.log;
    
    include /etc/nginx/modules-enabled/*.conf;
    
    events {
    
    worker_connections 768;
    
    }
    
    http {
    
    sendfile on;
    
    tcp_nopush on;
    
    types_hash_max_size 2048;
    
    server_tokens off;
    
    server_name_in_redirect off;
    
    include /etc/nginx/mime.types;
    
    default_type application/octet-stream;
    
    access_log /var/log/nginx/access.log;
    
    gzip on;
    
    include /etc/nginx/conf.d/*.conf;
    
    include /etc/nginx/sites-enabled/*;
    
    }
    
    stream {
    
    include /etc/nginx/stream-conf.d/*.conf;
    
    upstream backend {
    
    server kuma-inst-02.avp.ru:7220;
    
    server kuma-inst-03.avp.ru:7220;
    
    server kuma-inst-04.avp.ru:7220;
    
    }
    
    server {
    
    listen 7220;
    
    proxy_pass backend;
    
    }
    
    }
    
    Пример указания параметров в файле nginx.conf с использованием TLS-сертификата
    
    user www-data;
    
    worker_processes auto;
    
    pid /run/nginx.pid;
    
    include /etc/nginx/modules-enabled/*.conf;
    
    events {
    
    worker_connections 768;
    
    }
    
    http {
    
    ##
    
    # Basic Settings
    
    ##
    
    sendfile on;
    
    tcp_nopush on;
    
    types_hash_max_size 2048;
    
    server_tokens off;
    
    server_name_in_redirect off;
    
    include /etc/nginx/mime.types;
    
    default_type application/octet-stream;
    
    ##
    
    # Logging Settings
    
    ##
    
    access_log /var/log/nginx/access.log;
    
    error_log /var/log/nginx/error.log;
    
    ##
    
    # Gzip Settings
    
    ##
    
    gzip on; #
    
    include /etc/nginx/conf.d/*.conf;
    
    include /etc/nginx/sites-enabled/*;
    
    server {
    
    listen 443 ssl;
    
    server_name kuma-inst-01.avp.ru;
    
    ssl_certificate kuma-inst-01.avp.ru;
    
    ssl_certificate_key kuma-inst-01.avp.ru.key;
    
    ssl_protocols TLSv1.3;
    
    ssl_ciphers HIGH:!aNULL:!MD5;
    
    location / { #путь, при обращении по которому происходит передача запросов группе серверов из proxy_pass
    
    proxy_pass https://Kuma-UI; #proxy_pass - директива передачи запросов группе серверов Kuma-UI
    
    }
    
    }
    
    ##
    
    #max_fails - количество неудачных попыток проверки доступности сервера решения в пределах интервала.
    
    #fail_timeout - определяет время, по истечении которого машина будет исключена из балансировки.
    
    ##
    
    upstream Kuma-UI {
    
    hash $request_uri consistent;
    
    server kuma-inst-02.avp.ru:7220 max_fails=1 fail_timeout=30s;
    
    server kuma-inst-03.avp.ru:7220 max_fails=1 fail_timeout=30s;
    
    server kuma-inst-04.avp.ru:7220 max_fails=1 fail_timeout=30s;
    
    }
    
    }
  3. Сохраните конфигурационный файл nginx.conf.
  4. Проверьте корректность оформления конфигурационного файла nginx.cfg с помощью следующей команды:
    sudo nginx -f /etc/nginx/nginx.conf -t
    
    Если команда проверки вернула ошибку, убедитесь, что содержимое конфигурационного файла nginx.conf соответствует примеру и при необходимости внесите изменения.
    
    Если команда проверки не вернула ошибок, переходите к запуску балансировщика.
  5. Запустите балансировщик:
    sudo systemctl start nginx
    
    Если сервис nginx требует включения перед запуском, последовательно выполните следующие команды:
    
    sudo systemctl enable nginx
    
    sudo systemctl start nginx
  Балансировщик NGINX Open Source будет настроен.
Если вы настроили использование балансировщика, при необходимости включите доменную аутентификацию через AD FS:
1. В параметрах настройки AD FS укажите FQDN балансировщика.
2. В Kaspersky SIEM настройте доменную аутентификацию через AD FS, указав в параметрах FQDN балансировщика.
Установите одинаковый часовой пояс на всех серверах, на которых развернуты сервисы Ядра KUMA. После завершения установки часовой пояс при необходимости можно изменить, при этом изменения должны быть одновременно применены на всех узлах кластера Raft.

На этом установка считается завершенной. Вы можете вернуться к сценарию развертывания и продолжить работу с этапа Действия после установки.

См. также

Выбор конфигурации развертывания

Назад Установка в отказоустойчивой конфигурации в кластере Kubernetes

Настройка исключений в Kaspersky Endpoint Security для Linux Вперед

Вам помогла эта статья?

Что нам нужно улучшить?

Спасибо за ваш отзыв, вы помогаете нам становиться лучше!