Обновление в Kubernetes

Чтобы обновить Docker-образ Kaspersky Scan Engine в Kubernetes:

1. Распакуйте следующие объекты из комплекта поставки, содержащего новую версию Kaspersky Scan Engine:
   • Поместите обновленный Docker-образ Kaspersky Scan Engine kaspersky_scanengine.tar в /opt/kaspersky/ScanEngine/images/.
   • Сделайте резервную копию файлов конфигурации YAML.
   • Поместите обновленные файлы YAML в /opt/kaspersky/ScanEngine/images/conf/k8s/.
   • Скопируйте свои параметры (реплики, порты и т. д.) из резервных файлов конфигурации YAML в обновленный файл конфигурации YAML /opt/kaspersky/ScanEngine/images/conf/k8s/kaspersky_%mode%_kubernetes.yaml. Здесь значение %mode% зависит от режима работы Kaspersky Scan Engine: httpd для режима HTTP и icapd – для режима ICAP.
   • Только для обновления с версии 2.0. Если Kaspersky Scan Engine подключается к Kaspersky Security Network (KSN) и антивирусным базам через прокси-сервер, поместите утилиту kav_encrypt в /opt/kaspersky/ScanEngine/tools.
   • Если вы используете Kaspersky Scan Engine GUI, поместите migrate.sql в /opt/kaspersky/ScanEngine/conf.

     Предоставьте права на чтение migrate.sql и /opt/kaspersky/ScanEngine/conf пользователю, выполняющему запросы к базе данных.

     Только для обновления с версии 2.0. Для обновления с версии 2.0 до версии 2.2 вам понадобятся два файла migrate.sql. Сделайте следующее:

     • Скопируйте файл migrate.sql из дистрибутива Kaspersky Scan Engine 2.1 в /opt/kaspersky/ScanEngine/conf, а затем переименуйте скопированный файл в migrate_2.1.sql.
     • Скопируйте файл migrate.sql из дистрибутива Kaspersky Scan Engine 2.2 в /opt/kaspersky/ScanEngine/conf, а затем переименуйте скопированный файл в migrate_2.2.sql.
     • Дайте права на чтение файлов migrate_2.1.sql и migrate_2.2.sql, а также /opt/kaspersky/ScanEngine/conf.
2. Добавьте новые элементы в файлы конфигурации Kaspersky Scan Engine, если они вам нужны.
   • Если вы использовали Kaspersky Scan Engine GUI:
     • Откройте файл klScanEngineUI.xml и проверьте, указаны ли в нем следующие элементы:

     <SSLCertificatePath>/opt/kaspersky/ScanEngine/httpsrv/kl_scanengine_cert.pem</SSLCertificatePath>

     <SSLPrivateKeyPath>/opt/kaspersky/ScanEngine/httpsrv/kl_scanengine_private.pem</SSLPrivateKeyPath>

     • Скопируйте kl_scanengine_db.key, kl_scanengine_cert.pem и kl_scanengine_private.pem в %KEY_FILE_DIRECTORY%.
   • Если ваша копия Kaspersky Scan Engine в режиме HTTP подключена через TLS:
     • Откройте файл kavhttpd.xml и проверьте, указаны ли в нем следующие элементы:

     <TlsCertificateKeyFile>/opt/kaspersky/ScanEngine/httpsrv/kavhttpd.key</TlsCertificateKeyFile>

     <TlsCertificateFile>/opt/kaspersky/ScanEngine/httpsrv/kavhttpd.cert</TlsCertificateFile>

     • Скопируйте kavhttpd.key и kavhttpd.cert в %KEY_FILE_DIRECTORY%.
   • Создайте Kubernetes ConfigMaps для Secrets:

     kubectl create secret generic kl-secret-file -n kaspersky --from-file=%KEY_FILE_DIRECTORY%

3. Импортируйте новый Docker-образ для Kubernetes в локальный реестр Docker.

   docker load -i /opt/kaspersky/ScanEngine/images/kaspersky_scanengine.tar

4. Удалите устаревший Docker-образ:

   Режим ICAP

   docker rmi kaspersky/scanengine_icapd:%PREV_VERSION%

   Режим HTTP

   docker rmi kaspersky/scanengine_httpd:%PREV_VERSION%

   Здесь %PREV_VERSION% – это предыдущая версия Kaspersky Scan Engine.

5. Только для обновления с версии 2.0.

   Если Kaspersky Scan Engine подключается к Kaspersky Security Network (KSN) и антивирусным базам через прокси-сервер, зашифруйте имя пользователя и пароль для аутентификации прокси следующим образом:

   1. Убедитесь, что на локальном хосте в директории /opt/kaspersky/ScanEngine/httpsrv есть файл kl_scanengine_db.key. Если этого файла не существует, подготовьте его к использованию.

      Ключ шифрования необходим для шифрования данных (имен пользователей и паролей) с помощью утилиты kav_encrypt.

      Чтобы подготовить ключ шифрования к использованию:

      1. Создайте ключ шифрования:

         openssl rand -out %service_dir%/httpsrv/kl_scanengine_db.key 512

      2. Убедитесь, что у всех пользователей есть права на чтение файла kl_scanengine_db.key.
      3. Если вы используете скрипт kse_docker_control.sh для запуска контейнеров, откройте kse_docker_control.sh для редактирования, а затем укажите путь к kl_scanengine_db.key в параметре KEY_FILE_DIRECTORY.

         Пример параметра:

         KEY_FILE_DIRECTORY=/opt/kaspersky/ScanEngine/httpsrv/

         Если вы не используете скрипт kse_docker_control.sh, вам необходимо указывать параметр для монтирования %KEY_FILE_DIRECTOR% внутри контейнера каждый раз при запуске контейнера.

         Пример команды:

         docker run -d -p 8080:8443 -p 8085:9998 -v %CONFIGURATION_FILES_DIRECTORY%:/tmp/scanengine/mounted/configs -v %LICENSE_FILE_DIRECTORY%:/tmp/scanengine/mounted/lic -v %KEY_FILE_DIRECTOR%:/tmp/scanengine/mounted/key --name ScanEngine kaspersky/scanengine:%KSE_VERSION%

   2. Создайте символьную ссылку на kavhttpd.xml или kavicapd.xml из директории /etc/ следующим образом:

      Режим ICAP

      ln -s /opt/kaspersky/ScanEngine/etc/kavicapd.xml /etc/kavicapd.xml

      Режим HTTP

      ln -s /opt/kaspersky/ScanEngine/etc/kavhttpd.xml /etc/kavhttpd.xml

   3. На локальном хосте выполните следующую команду:

      /opt/kaspersky/ScanEngine/tools/kav_encrypt -m %mode% -p %USERNAME%:%PASSWORD%

      Здесь %USERNAME% и %PASSWORD% – это имя пользователя и пароль, используемые для аутентификации прокси.

   4. Предоставьте права на чтение файла конфигурации в зависимости от режима работы, указанного в %mode%:
      • Предоставьте права на чтение kavicapd.xml, если для %mode% установлено значение icap.
      • Предоставьте права на чтение для kavhttpd.xml, если для %mode% установлено значение httpd.

   Импортируйте новый файл конфигурации klScanEngineUI.xml в ConfigMap Kubernetes.

6. Если вы используете Kaspersky Scan Engine GUI, вам необходимо обновить базу данных kavebase.
   • Для обновления с версии 2.1 до версии 2.2 выполните следующую команду:

     psql -d kavebase -a -f /opt/kaspersky/ScanEngine/conf/migrate.sql

   • Для обновления с версии 2.0 до версии 2.2 вам необходимо последовательно обновить базу данных kavebase с версии 2.0 до версии 2.1, а затем с версии 2.1 до версии 2.2.

     Последовательно выполните следующие команды:

     psql -d kavebase -a -f /opt/kaspersky/ScanEngine/conf/migrate_2.1.sql

     psql -d kavebase -a -f /opt/kaspersky/ScanEngine/conf/migrate_2.2.sql

   • Не используйте migrate.sql для обновления базы данных, используемой Kaspersky Scan Engine версии ниже 2.0.
7. Загрузите конфигурацию из обновленного YAML-файла Kubernetes.

   Режим ICAP

   kubectl apply -f /opt/kaspersky/ScanEngine/images/conf/k8s/kaspersky_icapd_kubernetes.yaml

   Режим HTTP

   kubectl apply -f /opt/kaspersky/ScanEngine/images/conf/k8s/kaspersky_httpd_kubernetes.yaml