Восстановление Ядра KUMA для установки в распределенной конфигурации

Восстановить Ядро KUMA из резервной копии можно только в рамках одной версии KUMA. Если вы создадите резервную копию в одной версии KUMA, а восстановление из резервной копии будете выполнять в другой версии, вернется ошибка конфликта версий.

Восстановление Ядра KUMA без смены хоста для core-1

Чтобы восстановить Ядро KUMA из резервной копии, воспользуйтесь одним из следующих способов:

• С помощью REST API:

  curl -k --request POST '<FQDN>:7223/api/v3/system/restore' --header 'Authorization: Bearer <token>' --data-binary '@/backup/backup.tar.gz'

  где:

  • <FQDN> — полное доменное имя сервера Ядра KUMA.
  • <token> — токен для API-запросов.
• Через веб-интерфейс:
  1. В веб-интерфейсе откройте раздел Ресурсы → Активные сервисы и в меню () выберите Резервное копирование → Восстановить.
  2. В открывшемся окне выберите файл резервной копии, которую нужно восстановить.

     Если в вашем браузере настроены уведомления, в правом верхнем углу отобразится сообщение Восстановление Ядра KUMA выполнено.

Ядро KUMA будет восстановлено из резервной копии, и откроется страница входа в веб-интерфейс.

После завершения восстановления Ядро KUMA продолжит работу с существующими сервисами. Дополнительная настройка сервисов не требуется.

Восстановление Ядра KUMA со сменой хоста для core-1

В этой инструкции описано восстановление Ядра KUMA из резервной копии на новом хосте. Остальные сервисы KUMA остаются на прежних хостах.

После восстановления необходимо перевыпустить сертификаты сервисов и переподключить их к Ядру KUMA на новом хосте.

Чтобы восстановить Ядро KUMA из резервной копии:

1. Подготовьте новый экземпляр KUMA, выполнив установку KUMA на одном сервере на новом хосте с помощью установщика install.sh и файла инвентаря single.inventory.yml, указав значение параметра:

   deploy_example_services: false

   На указанном в файле инвентаря хосте будет установлено только Ядро KUMA.

   Новый экземпляр Ядра KUMA не содержит данных прежней инфраструктуры. В этом экземпляре будет восстановлена резервная копия.

2. Восстановите Ядро KUMA из резервной копии одним из следующих способов:
   • С помощью REST API:

     curl -k --request POST '<FQDN>:7223/api/v3/system/restore' --header 'Authorization: Bearer <token>' --data-binary '@/backup/backup.tar.gz'

     где:

     • <FQDN> — полное доменное имя сервера Ядра KUMA.
     • <token> — токен для API-запросов.
   • Через веб-интерфейс:
     1. В веб-интерфейсе откройте раздел Ресурсы → Активные сервисы и в меню () выберите Резервное копирование → Восстановить.
     2. В открывшемся окне выберите файл резервной копии, которую нужно восстановить.

     После завершения восстановления откроется страница входа в веб-интерфейс KUMA.

     Если в вашем браузере настроены уведомления, в правом верхнем углу отобразится сообщение Восстановление Ядра KUMA выполнено.

   После восстановления Ядра KUMA из резервной копии выполните следующие действия, чтобы сервисы могли подключиться к Ядру KUMA на новом хосте.

3. Перевыпустите сертификаты сервисов. Для этого сбросьте сертификаты всех сервисов, кроме Ядра KUMA:
   1. В разделе Ресурсы → Активные сервисы установите флажок Выбрать все и снимите флажок с сервиса Ядра KUMA.
   2. В панели инструментов или в меню () выберите Сбросить сертификат.

      Сертификаты будут сброшены и автоматически перевыпущены для всех сервисов, кроме Ядра KUMA. Перевыпуск сертификатов для Ядра KUMA не требуется, поскольку после восстановления из резервной копии Ядро KUMA уже содержит необходимые данные, включая информацию о сертификатах и доверенных сервисах, которые были восстановлены вместе с резервной копией.

4. На хосте, на котором установлен сервис Метрики, удалите директорию /opt/kaspersky/kuma/metrics/00000000-0000-0000-0000-000000000000/certificates. Это необходимо, чтобы при следующем запуске сервис Метрики не использовал локальные данные прежнего сертификата. Перезапускать сервис Метрики отдельно не требуется. На следующем шаге скрипт change_url.sh переподключит сервис Метрики с новому Ядру KUMA и перезапустит сервис Метрики.
5. Переподключите все сервисы к новому Ядру KUMA и перезагрузите все сервисы одним из следующих способов:
   • Автоматически с помощью скрипта change_url.sh, который входит в поставку.

     Скрипт массово переподключает сервисы, установленные на хостах, указанных в файле distributed.inventory.yml, и перезапускает их. Скрипт обрабатывает сервисы, которые находятся в рабочем состоянии (имеют зеленый статус) на момент выполнения скрипта.

     1. Обновите файл инвентаря distributed.inventory.yml, указав в секции kuma_core FQDN хоста, на который вы перенесли Ядро KUMA и запустите скрипт change_url.sh с помощью следующей команды:

        ./change_url.sh distributed.inventory.yml

        Скрипт переподключит все сервисы, установленные на хостах, указанных в файле инвентаря distributed.inventory.yml, к новому Ядру KUMA, а также выполнит перезагрузку всех сервисов.

        Сервисы, которые находились в нерабочем состоянии (имели красный статус) во время выполнения скрипта, не будут переподключены автоматически, даже если после этого их статус изменится на зеленый. Для таких сервисов используйте переподключение вручную.

   • Вручную с помощью команды. Используйте этот способ, если необходимо переподключить отдельный сервис, например сервис, который не был переподключен скриптом.

     sudo /opt/kaspersky/kuma/kuma collector/correlator/storage/eventRouter/metrics --core https://<FQDN>:<port> --pair.fingerprint <CA_cert_ID> --id <service_ID> --api.port <API_port> --install

     где:

     • <FQDN> — полное доменное имя сервера Ядра KUMA.
     • <port> — номер порта Ядра KUMA для внутренних коммуникаций (по умолчанию используется порт 7210).
     • <CA_cert_ID> — идентификатор отпечатка CA-сертификата, используемый для проверки подлинности при подключении сервиса.

       Параметр --pair.fingerprint является необязательным. При создании сервиса KUMA автоматически добавляет этот параметр в команду установки и указывает идентификатор отпечатка.
       Вы можете выполнить установку сервиса без указания параметра --pair.fingerprint. В этом случае KUMA использует значение insecure по умолчанию, что не обеспечивает проверку подлинности CA-сертификата Ядра KUMA при установлении соединения. Если используется значение insecure, обновление отпечатка после перевыпуска CA-сертификата не требуется.
       
       Для обеспечения проверки подлинности CA-сертификата Ядра KUMA рекомендуется не удалять параметр --pair.fingerprint с идентификатором отпечатка при установке сервиса. При перевыпуске CA-сертификата необходимо скопировать новый отпечаток сертификата в веб-интерфейсе и перезапустить сервис с обновленным значением параметра.

     • <service_ID> — идентификатор сервиса, скопированный из веб-интерфейса KUMA.
     • <API_port> — порт, используемый для связи с устанавливаемым компонентом.

После выполнения процедуры все сервисы KUMA будут подключены к восстановленному Ядру KUMA на новом хосте.