Часть 1. Подготовка к работе

Развернуть все | Свернуть все

Требуется выполнить следующие шаги перед установкой.

При подготовке среды убедитесь, что у всех пользователей есть разрешение read на чтение всех файлов, которые будут подключены к контейнеру, например: файлов конфигурации; файлов, связанных с лицензированием; закрытых ключей и сертификатов. Это необходимо, поскольку Kaspersky Scan Engine не имеет прав root при работе внутри контейнера.

Уведомление для пользователей в США

Чтобы подготовить среду к установке Kaspersky Scan Engine:

1. Подготовьте два архива:
   • Kaspersky_ScanEngine-Linux-x86_64-<version>-Release.tar.gz для Kaspersky Scan Engine.
   • KAV_SDK8_L3-Linux-x86_64_gcc730-glibc211_<version>-Release-Lic.tar.gz для KAV SDK.
2. Создайте каталог на локальном хосте и поместите в него архивы Kaspersky Scan Engine и KAV SDK:

   mkdir ~/scanengine_deploy/

   mv Kaspersky_ScanEngine-Linux-x86_64-<version>-Release.tar.gz KAV_SDK8_L3-Linux-x86_64_gcc730-glibc211_<version>-Release-Lic.tar.gz ~/scanengine_deploy/

3. Создать базу данных для объектов Kaspersky Scan Engine:

   sudo mkdir -p /opt/kaspersky/ScanEngine/

   Если Kaspersky Scan Engine уже установлен на том же хосте вне Docker, вместо ScanEngine укажите любое другое значение – например, ScanEngine-Docker. Это значение нужно будет использовать в последующих командах вместо ScanEngine.

4. Распакуйте Kaspersky Scan Engine:

   sudo tar -xf ~/scanengine_deploy/Kaspersky_ScanEngine-Linux-x86_64-<version>-Release.tar.gz --directory=/opt/kaspersky/ScanEngine/ --no-same-owner --strip-components=1 Kaspersky_ScanEngine-Linux-x86_64-<version>-Release/

5. Если планируется использовать сканирование файлов LLM-моделей, включите эту функцию.
6. Запустите скрипт make.sh, указав путь к каталогу с архивами Kaspersky Scan Engine и KAV SDK:

   sudo bash /opt/kaspersky/ScanEngine/samples/docker/make.sh ~/scanengine_deploy/

   Скрипт создает две директории в /opt/kaspersky/ScanEngine/samples/docker/.

   • tmp: каталог с временными файлами;
   • out: каталог с Docker-образом и другими файлами для развертывания Kaspersky Scan Engine в Docker-контейнере.
7. Убедитесь, что образ доступен в Docker:

   docker images

   В соответствующей таблице в столбце REPOSITORY должен быть указан образ Kaspersky Scan Engine (значение kaspersky/scanengine), а в столбце TAG должна отображаться версия Kaspersky Scan Engine.

8. Если вы хотите получать данные из Kaspersky Scan Engine GUI, выполните следующие действия:
   1. Установите и настройте PostgreSQL.

      Убедитесь, что pg_hba.conf настроен таким образом, что kavebase (база данных Kaspersky Scan Engine) доступна из ваших контейнеров Kaspersky Scan Engine.

   2. Включите Kaspersky Scan Engine GUI. Это типичная конфигурация, но для Docker некоторые файлы могут находиться в разных директориях комплекта поставки.

      В Docker можно просматривать информацию только через Kaspersky Scan Engine GUI, но при этом вы не можете изменять параметры Kaspersky Scan Engine. Чтобы изменить параметры, укажите их в файлах конфигурации, указанных на шаге 17.

      Обязательно зашифруйте имя и пароль пользователя, который будет взаимодействовать с базой Kaspersky Scan Engine. Использование незашифрованных учетных данных представляет серьезную угрозу безопасности.

9. На локальном хосте откройте klScanEngineUI.xml, чтобы настроить следующие параметры Kaspersky Scan Engine:
   1. Принимаете ли вы условия Пользовательского соглашения (EULA) и Положения о Kaspersky Security Network (Положения о KSN).
      1. Прочитайте Пользовательское соглашение Kaspersky Scan Engine. Пользовательское соглашение расположено в doc/license.txt.

         Чтобы развернуть и использовать Kaspersky Scan Engine, вам необходимо принять условия Пользовательского соглашения (EULA). Если вы согласны с условиями Пользовательского соглашения, переходите к следующему шагу. Если вы отклоняете условия Пользовательского соглашения, отмените установку.

      2. Измените <Common>rejected</Common> на <Common>accepted</Common>.
      3. Если вы хотите использовать Kaspersky Security Network (KSN), ознакомьтесь с Положение о KSN и Политикой конфиденциальности. Положение о KSN находится в doc/ksn_license.txt и содержит ссылку на Политику конфиденциальности.
      4. Если вы согласны с условиями Положения о KSN и Политикой конфиденциальности, переходите к следующему шагу. Если вы отклоняете условия Положения о KSN или Политику конфиденциальности, перейдите к шагу 9b.
      5. Измените <KSN>rejected</KSN> на <KSN>accepted</KSN>.
   2. В элементе <Mode> укажите режим работы Kaspersky Scan Engine:

      Режим HTTP

      <Mode>httpd</Mode>

      Режим ICAP

      <Mode>icap</Mode>

      В Docker мультирежим недоступен.

   3. В элементе <EnableUI> укажите, хотите ли вы использовать Kaspersky Scan Engine GUI:
      • Если вы хотите использовать Kaspersky Scan Engine GUI, укажите 1 в элементе <EnableUI>:

      <EnableUI>1</EnableUI>

      • Если вы не хотите использовать Kaspersky Scan Engine GUI, укажите 0 в элементе <EnableUI>:

      <EnableUI>0</EnableUI>

   4. Если вы включили Kaspersky Scan Engine GUI, выполните следующие действия:
      1. Укажите адрес базы данных kavebase в элементе DatabaseSettings > ConnectionString в формате %IP%:%port%.
      2. При необходимости измените порт, на котором будет доступен Kaspersky Scan Engine GUI, в элементе ServerSettings > ConnectionString. В этом случае вам также нужно будет изменить соответствующий порт в элементах container > ports > containerPort и ports > targetPort файла конфигурации YAML:
         • Для режима HTTP измените файл kaspersky_httpd_kubernetes.yaml.
         • Для режима ICAP измените файл kaspersky_icapd_kubernetes.yaml.
   5. Сохраните и закройте klScanEngineUI.xml.
10. Если вы хотите использовать TLS для подключения к Kaspersky Scan Engine в режиме HTTP, выполните следующие действия:
    1. Откройте kavhttpd.xml для редактирования.
    2. Добавьте https:// к значению в элементе <ConnectionString>:

       <ConnectionString>https://127.0.0.1:9998</ConnectionString>

       Не меняйте IP-адрес.

    3. Раскомментируйте элементы <TlsCertificateKeyFile> и <TlsCertificateFile>.
    4. Сохраните и закройте kavhttpd.xml.
    5. Сгенерируйте сертификат и закрытый ключ.
    6. Поместите kavhttpd.key и kavhttpd.cert в директорию, не содержащую файлов конфигурации Kaspersky Scan Engine (далее %KEY_FILE_DIRECTORY%).

       Если вы хотите развернуть Kaspersky Scan Engine в Kubernetes, вам потребуется указать полный путь к файлам в %KEY_FILE_DIRECTORY% при создании Kubernetes Secret, как описано в разделе Часть 4. Настройка Kubernetes (шаг 6).

       Также вам понадобится настроить TLS для авторизации токенов API. См. инструкции, изложенные в следующем шаге.

11. Если вы хотите использовать токен API, сделайте следующее:
    1. Добавьте внутренний токен API для Kaspersky Scan Engine:

       sudo ln -s /opt/kaspersky/ScanEngine/etc/kavhttpd.xml /etc/kavhttpd.xml

    2. Добавьте свой токен API:

       sudo /opt/kaspersky/ScanEngine/tools/kl_access_util -t <your_API_token> -n <API_token_name>

    3. Откройте kavhttpd.xml для редактирования.
    4. Укажите 1 в элементе <UseAccessToken>:

       <UseAccessToken>1</UseAccessToken>

    5. Сохраните и закройте kavhttpd.xml.
12. Если вы хотите использовать TLS для подключения к Kaspersky Scan Engine в режиме ICAP, выполните следующие действия на локальном хосте:
    1. Сгенерируйте сертификат и закрытый ключ, как описано в разделе Защищенные соединения ICAP.
    2. Поместите сертификат и закрытый ключ в %KEY_FILE_DIRECTORY%.
    3. Откройте kavicapd.xml для редактирования.
    4. Укажите 11344 в элементе <Port>. Это рекомендуемое значение.

       <port>11344</port>

       При запуске контейнера вам потребуется указать порт 11344 вместо 1344.

    5. В элементе <SecureConnectionSettings> выполните следующие действия:
       1. Укажите 1 в элементе <Enabled>:

          <Enabled>1</Enabled>

       2. В элементе <TlsCertificateFile> укажите значение /opt/kaspersky/ScanEngine/httpsrv/kavicapd.key.
       3. В элементе <TlsCertificateKeyFile> укажите значение /opt/kaspersky/ScanEngine/httpsrv/kavicapd.cert,

          где /opt/kaspersky/ScanEngine/httpsrv/ – путь внутри контейнера.

    6. Сохраните и закройте kavicapd.xml.

       Если вы хотите развернуть Kaspersky Scan Engine в Kubernetes, вам потребуется указать полный путь к файлам в %KEY_FILE_DIRECTORY% при создании Kubernetes Secret, как описано в разделе Часть 4. Настройка Kubernetes (шаг 6).

13. Если вы включили Kaspersky Scan Engine GUI, выполните следующие действия на локальном хосте:
    1. Создайте символьную ссылку на klScanEngineUI.xml из директории /etc/, например:

       sudo ln -s /opt/kaspersky/ScanEngine/etc/klScanEngineUI.xml /etc/klScanEngineUI.xml

    2. Зашифруйте имя и пароль пользователя, которые вы будете использовать для подключения к базе данных kavebase.

       Чтобы зашифровать учетные данные, используйте утилиту kav_encrypt. Эта утилита также автоматически записывает зашифрованные имя пользователя и пароль в файл klScanEngineUI.xml.

       Запустите утилиту kav_encrypt со следующими параметрами:

       -d %username%:%password%

14. На локальном хосте создайте директорию, в которой будут храниться файлы конфигурации (далее %CONFIGURATION_FILES_DIRECTORY%).

    Если вы хотите использовать Kaspersky Scan Engine в Kubernetes или Docker Swarm, эта директория должна находиться в локальной сети, в которой вы будете создавать среды Kubernetes.

    В Kubernetes вам также потребуется указать полный путь к %CONFIGURATION_FILES_DIRECTORY% при создании объекта ConfigMaps в Kubernetes, как описано в разделе Часть 4. Настройка Kubernetes (шаг 3).

15. Скопируйте файл конфигурации klScanEngineUI.xml в %CONFIGURATION_FILES_DIRECTORY%.
16. Скопируйте файл конфигурации Kaspersky Scan Engine в %CONFIGURATION_FILES_DIRECTORY%:
    • Для режима HTTP скопируйте файл kavhttpd.xml.

      При необходимости измените порт, на котором будет доступна HTTP-служба, в элементе ServerSettings > ConnectionString. Если вы хотите использовать Kaspersky Scan Engine в Kubernetes, вам также необходимо изменить соответствующий порт в элементах containers > ports > containerPort и ports > targetPort файла конфигурации kaspersky_httpd_kubernetes.yaml.

    • Для режима ICAP скопируйте файл kavicapd.xml.

      При необходимости измените порт, на котором будет доступна ICAP-служба, в элементе ICAPSettings > Port. Если вы хотите использовать Kaspersky Scan Engine в Kubernetes, вам также необходимо изменить соответствующий порт в элементах containers > ports > containerPort и ports > targetPort файла конфигурации kaspersky_icapd_kubernetes.yaml.

17. Чтобы изменить настройки, укажите их в файлах конфигурации: kavhttpd.xml для режима HTTP и kavicapd.xml для режима ICAP.
18. Если вы хотите использовать KSN, выполните одно из следующих действий.
    • Для режима HTTP добавьте KAV_SHT_ENGINE_KSN в элемент ServerSettings > Flags kavhttpd.xml.
    • Для режима ICAP укажите 1 в элементе KSNSettings > UseKSN файла kavicapd.xml.
19. На локальном хосте создайте директорию, в которой будет храниться файл ключа или код активации (далее %LICENSE_FILE_DIRECTORY%).

    Эта директория должна находиться в локальной сети, в которой вы будете создавать среды Kubernetes или Docker Swarm.

20. Выполните одно из следующих действий:
    • Если вы хотите использовать файл ключа, скопируйте его в %LICENSE_FILE_DIRECTORY%.
    • Если вы хотите использовать код активации, сделайте следующее:
      1. Создайте файл с именем license в любом месте.
      2. Скопируйте в него свой код активации.
      3. Скопируйте файл license в %LICENSE_FILE_DIRECTORY%.
      4. В файле конфигурации (kavhttpd.xml для режима HTTP и kavicapd.xml для режима ICAP) для элемента LicensingMode укажите 2.

    Если вы хотите развернуть Kaspersky Scan Engine в Kubernetes, вам потребуется указать полный путь к файлам в %LICENSE_FILE_DIRECTORY% при создании Kubernetes Secret, как описано в разделе Часть 4. Настройка Kubernetes (шаг 5).

21. Если вы включили Kaspersky Scan Engine GUI, выполните следующие действия:
    1. Поместите kl_scanengine_db.key в %KEY_FILE_DIRECTORY%. Если этого файла не существует, подготовьте его к использованию.

       Ключ шифрования необходим для шифрования данных (имен пользователей и паролей) с помощью утилиты kav_encrypt.

       Чтобы подготовить ключ шифрования к использованию:

       1. Создайте ключ шифрования:

          openssl rand -out %service_dir%/httpsrv/kl_scanengine_db.key 512

       2. Убедитесь, что у всех пользователей есть права на чтение файла kl_scanengine_db.key.
       3. Если вы используете скрипт kse_docker_control.sh для запуска контейнеров, откройте kse_docker_control.sh для редактирования, а затем укажите путь к kl_scanengine_db.key в параметре KEY_FILE_DIRECTORY.

          Пример параметра:

          KEY_FILE_DIRECTORY=/opt/kaspersky/ScanEngine/httpsrv/

          Если вы не используете скрипт kse_docker_control.sh, вам необходимо указывать параметр для монтирования %KEY_FILE_DIRECTOR% внутри контейнера каждый раз при запуске контейнера.

          Пример команды:

          docker run -d -p 8080:8443 -p 8085:9998 -v %CONFIGURATION_FILES_DIRECTORY%:/tmp/scanengine/mounted/configs -v %LICENSE_FILE_DIRECTORY%:/tmp/scanengine/mounted/lic -v %KEY_FILE_DIRECTOR%:/tmp/scanengine/mounted/key --name ScanEngine kaspersky/scanengine:%KSE_VERSION%

    2. Если вы хотите использовать собственный сертификат и закрытый ключ для подключения к Kaspersky Scan Engine GUI, поместите kl_scanengine_cert.pem и kl_scanengine_private.pem в %KEY_FILE_DIRECTORY%.

    Если вы хотите развернуть Kaspersky Scan Engine в Kubernetes, вам потребуется указать полный путь к файлам в %KEY_FILE_DIRECTORY% при создании Kubernetes Secret, как описано в разделе Часть 4. Настройка Kubernetes (шаг 6).