Общие сведения
Раздел содержит инструкции по настройке и использованию продукта «Служба управления конфигурациями "Осмакс"».
Модуль координации (SaltStack)
Модуль координации отвечает за управление и непосредственное применение политик на устройствах. Также осуществляет сбор данных с устройств для инвентаризации.
Работа модуля координации основана на взаимодействии с системой управления конфигурацией и автоматизацией SaltStack, построенной на модели «сервер управления (master) — агент (minion)». Согласно этой модели сервер управления (master) отправляет команды агенту (minion), служебному узлу, который эти команды выполняет, и отправляет свои отчеты о выполнении задач обратно на сервер управления (master).
Связь между сервером управления (master) и агентами (minion) осуществляется по транспортному протоколу ZeroMQ. Канал зашифрован парой открытого и закрытого ключей. Пара ключей генерируется агентом, после чего он отправляет свой открытый ключ серверу управления.
В таблице ниже приведены основные понятия, которые используются при работе с модулем координации.
| Компонент | Описание |
|---|---|
API |
Позволяет создавать скрипты и приложения, которые могут взаимодействовать с модулем координации и выполнять различные задачи, такие как управление узлами, настройка конфигураций, запуск команд и многое другое. Также используется для интеграции модуля координации с другими инструментами и системами управления |
0MQ (ZeroMQ) |
Библиотека для обмена сообщениями, которая используется модулем координации для передачи команд и данных между узлами |
S3-совместимое файловое хранилище |
Хранит конфигурационные файлы, скрипты, шаблоны и другие файлы, которые необходимы для настройки определенных компонентов инфраструктуры. Также может использоваться для хранения общих файлов, которые могут быть доступны для всех узлов в инфраструктуре. Использование файлового сервера позволяет упростить процесс настройки и обновления компонентов инфраструктуры, а также обеспечить единообразие настроек между различными узлами |
Агент |
(Minion) Служебный узел, который управляется с помощью модуля координации. Он может являться физической или виртуальной машиной. Агент подключается к серверу управления и получает от него команды для выполнения различных задач, таких как установка программного обеспечения, настройка конфигурации или мониторинг состояния системы. Агенту присваивается свой уникальный идентификатор, который используется для идентификации узла на сервере управления |
Сервер управления |
(Master) Центральный узел в инфраструктуре управления конфигурацией. Управляет всеми устройствами в инфраструктуре — агентами, отправляет команды на выполнение, хранит конфигурационные данные и предоставляет отчеты о выполнении задач. Также обеспечивает безопасную и защищенную связь между устройствами и сервером управления |
Формула |
Набор файлов и директорий, которые описывают, как установить и настроить определенное приложение или сервис. Формулы позволяют упростить процесс управления конфигурацией, обеспечивая повторяемость и стандартизацию развертывания |
Хранилище Pillar |
Хранит конфиденциальную информацию на сервере управления, например, учетные данные, пароли, ключи доступа и другие секреты, которые не должны быть доступны всем агентам. Эта информация может быть использована в составе формул для настройки узлов, но она будет доступна только для тех узлов, которые имеют права доступа к данным Pillar. Хранилище Pillar также может использоваться для хранения других параметров конфигурации, которые могут быть специфичны для каждого узла в инфраструктуре |
Шина событий |
Используется для обмена информацией о событиях, происходящих на узлах. Если на агенте происходит какое-либо событие, например установка ПО или изменении конфигурации, он отправляет сообщение в шину событий. Сервер управления может подписаться на эти сообщения и реагировать на них, выполняя определенные действия. Также шина событий используется для мониторинга состояния системы и быстрого обнаружения проблем |
Работа с формулами
Работа с формулами включает этапы:
Принципы написания формулы
Формула — это обычный каталог, который именуется согласно шаблону: <top_level_dir>-formula.
Каталог обязательно содержит подкаталог <top_level_dir>, имя которого совпадает с именем формулы, и файлы:
-
обязательные:
-
<top_level_dir>/init.sls— главный файл с состояниями формулы; может включать в себя другие файлы с расширением.slsчерез директивуinclude; -
<top_level_dir>/clean.sls— файл отката состояний формулы; -
pillar.example— файл с примером указания параметров формулы; -
FORMULA— описание формулы в формате YAML;
-
-
не обязательные:
-
docs/README.RST— файл с описанием способов применения формулы и входящих в нее состояний; -
<top_level_dir>/any.sls— другие файлы с расширением.sls, содержащие состояния, которые включены вinit.slsилиclean.slsдирективойinclude; -
<top_level_dir>/<any_dir>— другие подкаталоги, содержащие файлы с расширением.sls, которые включены вinit.slsилиclean.slsдирективойinclude; -
<top_level_dir>/map.jinja— файл, который описывает особенности конфигурации под конкретную ОС или другие статические конфигурации.
-
Файл FORMULA включает атрибуты формулы:
-
name— имя формулы; -
os— ОС, поддерживающие формулу; -
os_family— семейства ОС, поддерживающие формулу; -
version— версия пакета с формулой, указанная в формате YYYYMM; если в месяце было несколько выпусков (release), то минорный месячный выпуск проставляется в атрибутеrelease; -
release— выпуск версии; атрибут расширяет версионность формулы, если в месяце было несколько выпусков; -
summary— краткое описание формулы; -
description— подробное описание формулы; -
top_level_dir— имя подкаталога, где расположены файлы с расширением.sls.
SLS-файлы формулы составлены в синтаксисе YAML и содержат описания состояний, которые достигает система при применении формулы.
Имена SLS-файлов, а также имена каталогов, не могут содержать точки, кроме точки между именем и расширением .sls.
Могут включать строчные прописные латинские символы, цифры от 0 до 9, символ - (минус) и символ _ (подчеркивание)
и соотвтетствовать маске [a-zA-z0-9-_]+.
Каждому состоянию присваивается уникальный идентификатор в рамках продукта.
Добавление формулы в S3-совместимое хранилище, на использование которого настроен сервер управления (master)
Чтобы загрузить формулу на файловый сервер SALT.FILESERVER.S3FS, используйте путь s3://<bucket name>/base/<formula-name>.
Для более подробной информации см. официальную документацию:
Также формулу можно загрузить при помощи API-метода importFormulas. Метод описан в разделе «Метод importFormulas» документа «Описание API».
Создание и импорт конфигурации
Конфигурация описывается в файле формата JSON.
Пример описания конфигурации для формулы по установке Яндекс Браузера:
{
"displayName": "Яндекс Браузер",
"description": "Яндекс Браузер — безопасный и быстрый браузер с голосовым помощником.",
"fullDescription": "Яндекс Браузер — безопасный и быстрый браузер с голосовым помощником.",
"isApplication": true,
"categories": [
"network"
],
"icon": {
"resourcePath": "specifications/icons/yandex-browser-logo.svg",
"contentType": "image/svg+xml"
},
"images": [
{
"resourcePath": "specifications/images/yandex-browser-screen1.webp",
"contentType": "image/webp"
}
]
}Где:
-
displayName— (обязательное поле) имя, которое отображается в пользовательском интерфейсе; -
description— описание конфигурации или ПО; -
fullDescription— полное описание конфигурации или ПО; для ПО данное описание отображается в качестве подробной информации о нем в магазине приложений; -
isApplication— (обязательное поле) флаг, который устанавливается для ПО; если это конфигурация, флаг выключен; -
categories— список категорий; -
icon— иконка ПО, которая отображается в магазине приложений; -
images— изображения, которые отображаются на странице с подробным описанием ПО.
После того как вы подготовите JSON-файл с конфигурацией, импортируйте его в кабинете администратора,
используя метод createConfiguration. Метод описан в документе «Описание API» в разделе «Метод createSpecification».
| Чтобы конфигурация стала доступной для применения к коллекциям устройств через пользовательский интерфейс, добавьте версию конфигурации. |
Добавление версии конфигурации
Версия конфигурации описывается в файле формата JSON.
Пример описания версии конфигурации для формулы по установке Яндекс Браузера:
{
"displayName": "23.9.1.1023",
"formulaName": "yandex-browser",
"releaseDate": "2023-11-14",
"softwareRequirements": "example",
"pillarProperty": {
"lookup": {
"pkg": {
"version": "23.9.1.1023-1"
}
}
}
}Где:
-
displayName— (обязательное поле) имя, которое отображается в пользовательском интерфейсе; -
formulaName— (обязательное поле) имя формулы, используемой для установки данной версии; -
releaseDate— (обязательное поле) дата выпуска версии; -
softwareRequirements— (обязательное поле) требования к установке данной версии; -
pillarProperty— параметры для переопределения; если поле останется незаполненным, формула версии будет устанавливаться с параметрами по умолчанию.В зависимости от назначения формулы можно переопределить некоторые параметры. Параметры, доступные для переопределения, описаны в файле формулы формата YAML pillar.example.Пример файла
pillar.exampleдля формулы по установке Яндекс Браузера:yandex-browser: # Переопределите значение map.jinja lookup: # Укажите параметры пакета pkg: # Укажите имя пакета для конкретной ОС name: yandex-browser-stable # Set the specific version of a package. If value is an empty string then used latest version version: '23.5.4.685-1' # Укажите репозиторий, из которого будет производиться установка. Когда репозиторий будет добавлен (по repo.name), # он будет назначен заданному релизу (suite). # Значение может быть пустой строкой fromrepo: 'stable' # Укажите параметры репозитория repo: # Укажите имя репозитория, которое будет импортировано в систему. Значение должно быть указано в формате # one-line-style (https://manpages.debian.org/unstable/apt/sources.list.5.en.html#THE_DEB_AND_DEB-SRC_TYPES:_GENERAL_FORMAT) # без опций. Чтобы задать опции, используйте дополнительные параметры репозитория. # Если значение представляет собой пустую строку, то репозиторий не будет импортирован name: 'deb http://repo.yandex.ru/yandex-browser/deb stable' # Выполните настройку репозитория, чтобы он стал недоступным для поиска и установки пакетов. # Значения: True или False disabled: False # Укажите тип пакетов (компонентов), которые будут установлены из репозитория (например, main, nonfree, ...). # Значения параметра comps должны быть заданы в виде списка через запятую comps: 'main,contrib,non-free' # Укажите имена файлов .list и .gpg. Не могут быть пустой строкой conf_name: 'yandex-browser' # Укажите key-файл (.gpg) для загрузки на агент. Этот файл может храниться как на сервере управления, # так и на серверах HTTP(S) или FTP. # Этот файл используется в опции репозитория signed-by. Значение может быть пустой строкой. key_file: 'https://repo.yandex.ru/yandex-browser/YANDEX-BROWSER-KEY.GPG' # Установите значение True, чтобы декодировать данные key-файла из формата base64 в бинарный key_file_dearmor: True # Установите полный путь к каталогу ключей на агенте key_keyrings_dir: '/etc/apt/keyrings/' # Укажите имена для установки пакетов, необходимых для импорта репозитория. Значения должны быть представлены в виде списка через запятую required_packages: [ 'gpg' ]
После того как вы подготовите JSON-файл с версией конфигурации, импортируйте его, используя метод createConfigurationVersion.
Метод описан в документе «Описание API» в разделе «Метод createSpecificationVersion».
Готовые формулы
Готовые формулы — это формулы, загруженные на сервер управления (master) и готовые к использованию с настройками по умолчанию без какой-либо
дополнительной конфигурации. При этом при необходимости можно переопределить в
конфигурации параметры, описанные в файле pillar.example (см. описание конкретной формулы).
Такими формулами являются:
Формула agent-update-formula
Формула для переустановки агента (minion).
Доступное состояние
Состояние agent-update
Мета-состояние (состояние, которое включает в себя другие состояния).
Устанавливает пакет salt-minion из целевого репозитория.
Имеет зависимость от agent-update.package через список include.
Пример файла pillar.example
agent-update:
# Переопределите значение map.jinja
lookup:
# Задайте параметры пакета
pkg:
# Задайте имя пакета для ОС
name: "salt-minion"
# Задайте версию пакета. Если значение — пустая строка, то используется последняя версия
version: "3006.5"
# Укажите репозиторий
fromrepo: ""Формула ark-formula
Формула для установки пакета Ark (инструмент для сжатия/распаковки графических файлов).
Доступные состояния
Состояние ark
Мета-состояние (состояние, которое включает в себя другие состояния).
Устанавливает пакет Ark из целевого репозитория.
Имеет зависимость от ark.repository, ark.package через список include.
Состояние ark.repository
Имеет зависимость от ark.repository.install через список include.
Состояние ark.repository.install
Импортирует репозиторий, если значение repo.name указано в хранилище Pillars (или не пустое по умолчанию)
и имеет зависимость от:
-
ark.repository.package.installчерез списокinclude; -
ark.repository.key.installчерез списокincludeи реквизитrequire.
Состояние ark.repository.package.install
Устанавливает пакеты repo.required_packages(по умолчанию — gpg).
Состояние ark.repository.key.install
Загружает repo.key_file на агент (minion) и декодирует данные файла из формата base64 в бинарный.
Состояние ark.package
Устанавливает пакет Ark.
Состояние ark.clean
Мета-состояние (состояние, которое включает в себя другие состояния).
Отменяет все действия, выполненные в мета-состоянии ark, в обратном порядке, то есть
удаляет пакет и удаляет целевой репозиторий (если он был импортирован).
Имеет зависимость от ark.package.clean и ark.repository.clean через список include.
Состояние ark.package.clean
Удаляет пакет Ark.
Состояние ark.repository.clean
Удаляет файл конфигурации репозитория.
Имеет зависимость от ark.repository.key.clean через список include.
Состояние ark.repository.key.clean
Удаляет Key-файл репозитория.
Пример файла pillar.example
ark:
# Переопределите значение map.jinja
lookup:
# Укажите параметры пакета
pkg:
# Укажите имя пакета для конкретной ОС
name: my-ark
# Укажите конкретную версию пакета. Если значение представляет собой пустую строку, используется последняя версия
version: '1.0.0.685-1'
# Укажите репозиторий, из которого будет производиться установка. Когда репозиторий будет добавлен (по repo.name),
# он будет назначен заданному релизу (suite).
# Значение может быть пустой строкой
fromrepo: 'stable'
# Укажите параметры репозитория
repo:
# Укажите имя репозитория, которое будет импортировано в систему. Значение должно быть указано в формате
# one-line-style (https://manpages.debian.org/unstable/apt/sources.list.5.en.html#THE_DEB_AND_DEB-SRC_TYPES:_GENERAL_FORMAT)
# без опций. Чтобы задать опции, используйте дополнительные параметры репозитория.
# Если значение представляет собой пустую строку, то репозиторий не будет импортирован
name: 'deb https://dl.astralinux.ru/astra/stable/1.7_x86-64/repository-main/ 1.7_x86-64'
# Выполните настройку репозитория, чтобы он стал недоступным для поиска и установки пакетов.
# Значения: True или False
disabled: False
# Укажите тип пакетов (компонентов), которые будут установлены из репозитория (например, main, nonfree, ...).
# Значения параметра comps должны быть заданы в виде списка через запятую
comps: 'main,contrib,non-free'
# Укажите имена файлов .list и .gpg. Не могут быть пустой строкой
conf_name: 'ark'
# Укажите key-файл (.gpg) для загрузки на агент. Этот файл может храниться как на сервере управления,
# так и на серверах HTTP(S) или FTP.
# Этот файл используется в опции репозитория signed-by. Значение может быть пустой строкой.
key_file: 'salt://files/keys/MY-ARK-KEY.GPG'
# Установите значение True, чтобы декодировать данные key-файла из формата base64 в бинарный
key_file_dearmor: True
# Установите полный путь к каталогу ключей на агенте
key_keyrings_dir: '/etc/apt/keyrings/'
# Укажите имена для установки пакетов, необходимых для импорта репозитория. Значения должны быть представлены в виде списка через запятую
required_packages: [ 'gpg' ]Формула google-chrome-formula
Формула для установки веб-браузера Google Chrome.
Доступные состояния
Состояние google-chrome
Мета-состояние (состояние, которое включает в себя другие состояния).
Устанавливает пакет google-chrome из целевого репозитория.
Имеет зависимость от google-chrome.repository и google-chrome.package через список include.
Состояние google-chrome.repository
Имеет зависимость от google-chrome.repository.install через список include.
Состояние google-chrome.repository.install
Импортирует репозиторий, если значение repo.name указано в хранилище Pillars (или не пустое по умолчанию).
Имеет зависимость от:
-
google-chrome.repository.package.installчерез списокinclude; -
google-chrome.repository.key.installчерез списокincludeи реквизитrequire.
Состояние google-chrome.repository.package.install
Устанавливает пакеты repo.required_packages (по умолчанию — gpg).
Состояние google-chrome.repository.key.install
Загружает repo.key_file на агент (minion) и декодирует данные файла из формата base64 в бинарный.
Состояние google-chrome.package
Устанавливает пакет google-chrome.
Состояние google-chrome.clean
Мета-состояние (состояние, которое включает в себя другие состояния).
Отменяет все действия, выполненные в мета-состоянии google-chrome, в обратном порядке, т.е.
удаляет пакет и удаляет целевой репозиторий (если он был импортирован).
Имеет зависимость от google-chrome.package.clean и google-chrome.repository.clean через список include.
Состояние google-chrome.package.clean
Удаляет пакет google-chrome.
Состояние google-chrome.repository.clean
Удаляет файл конфигурации репозитория.
Имеет зависимость от google-chrome.repository.key.clean через список include.
Состояние google-chrome.repository.key.clean
Удаляет Key-файл репозитория.
Пример файла pillar.example
google-chrome:
# Переопределите значение map.jinja
lookup:
# Укажите параметры пакета
pkg:
# Укажите имя пакета для конкретной ОС
name: google-chrome-stable
# Укажите конкретную версию пакета. Если значение не задано, указывается последняя версия
version: ''
# Укажите репозиторий, из которого будет производиться установка. При добавлении репозитория (по repo.name),
# он назначается заданному релизу (suite)
# Значение может быть пустой строкой
fromrepo: ''
# Укажите параметры репозитория
repo:
# Укажите имя репозитория, которое будет импортировано в систему. Значение должно быть указано в формате
# one-line-style (https://manpages.debian.org/unstable/apt/sources.list.5.en.html#THE_DEB_AND_DEB-SRC_TYPES:_GENERAL_FORMAT)
# без опций. Чтобы задать опции, используйте дополнительные параметры репозитория.
# Если значение представляет собой пустую строку, то репозиторий не будет импортирован
name: 'deb http://dl.google.com/linux/chrome/deb/ stable main'
# Выполните настройку репозитория, чтобы он стал недоступным для поиска и установки пакетов.
# Значения: True или False
disabled: False
# Укажите тип пакетов (компонентов), которые будут установлены из репозитория (например, main, nonfree, ...).
# Значения параметра comps должны быть заданы в виде списка через запятую
comps: ''
# Укажите имена файлов .list и .gpg. Не могут быть пустой строкой
conf_name: 'google-chrome'
# Укажите key-файл (.gpg) для загрузки на агент. Этот файл может храниться как на сервере управления,
# так и на серверах HTTP(S) или FTP.
# Этот файл используется в опции репозитория signed-by. Значение может быть пустой строкой.
key_file: 'https://dl.google.com/linux/linux_signing_key.pub'
# Установите значение True, чтобы декодировать данные key-файла из формата base64 в бинарный
key_file_dearmor: True
# Установите полный путь к каталогу ключей на агенте
key_keyrings_dir: '/etc/apt/keyrings/'
# Укажите имена для установки пакетов, необходимых для импорта репозитория. Значения должны быть представлены в виде списка через запятую
required_packages: [ 'gpg' ]Формула google-chrome-reboot-formula
Формула для установки веб-браузера Google Chrome с опцией перезагрузки ПО.
Доступные состояния
Состояние google-chrome-reboot
Мета-состояние (состояние, которое включает в себя другие состояния).
Устанавливает пакет google-chrome из целевого репозитория.
Имеет зависимость от google-chrome-reboot.repository и google-chrome-reboot.package через список include.
Состояние google-chrome-reboot.repository
Имеет зависимость от google-chrome-reboot.repository.install через список include.
Состояние google-chrome-reboot.repository.install
Импортирует репозиторий, если значение repo.name указано в хранилище Pillars (или не пустое по умолчанию).
Имеет зависимость от:
-
google-chrome-reboot.repository.package.installчерез списокinclude; -
google-chrome-reboot.repository.key.installчерез списокincludeи реквизитrequire.
Состояние google-chrome-reboot.repository.package.install
Устанавливает пакеты repo.required_packages (по умолчанию — gpg).
Состояние google-chrome-reboot.repository.key.install
Загружает repo.key_file на агент (minion) и декодирует данные файла из формата base64 в бинарный.
Состояние google-chrome-reboot.package
Устанавливает пакет google-chrome.
Состояние google-chrome-reboot.clean
Мета-состояние (состояние, которое включает в себя другие состояния).
Отменяет все действия, выполненные в мета-состоянии google-chrome-reboot, в обратном порядке, т.е.
удаляет пакет и удаляет целевой репозиторий (если он был импортирован).
Имеет зависимость от google-chrome-reboot.package.clean и google-chrome-reboot.repository.clean через список include.
Состояние google-chrome-reboot.package.clean
Удаляет пакет google-chrome.
Состояние google-chrome-reboot.repository.clean
Удаляет файл конфигурации репозитория.
Имеет зависимость от google-chrome-reboot.repository.key.clean через список include.
Состояние google-chrome-reboot.repository.key.clean
Удаляет Key-файл репозитория.
Пример файла pillar.example
google-chrome-reboot:
# Переопределите значение map.jinja
lookup:
# Укажите параметры пакета
pkg:
# Укажите имя пакета для конкретной ОС
name: google-chrome-stable
# Укажите конкретную версию пакета. Если значение не задано, указывается последняя версия
version: ''
# Укажите репозиторий, из которого будет производиться установка. При добавлении репозитория (по repo.name),
# он назначается заданному релизу (suite)
# Значение может быть пустой строкой
fromrepo: ''
# Укажите параметры репозитория
repo:
# Укажите имя репозитория, которое будет импортировано в систему. Значение должно быть указано в формате
# one-line-style (https://manpages.debian.org/unstable/apt/sources.list.5.en.html#THE_DEB_AND_DEB-SRC_TYPES:_GENERAL_FORMAT)
# без опций. Чтобы задать опции, используйте дополнительные параметры репозитория.
# Если значение представляет собой пустую строку, то репозиторий не будет импортирован
name: 'deb http://dl.google.com/linux/chrome/deb/ stable main'
# Выполните настройку репозитория, чтобы он стал недоступным для поиска и установки пакетов.
# Значения: True или False
disabled: False
# Укажите тип пакетов (компонентов), которые будут установлены из репозитория (например, main, nonfree, ...).
# Значения параметра comps должны быть заданы в виде списка через запятую
comps: ''
# Укажите имена файлов .list и .gpg. Не могут быть пустой строкой
conf_name: 'google-chrome'
# Укажите key-файл (.gpg) для загрузки на агент. Этот файл может храниться как на сервере управления,
# так и на серверах HTTP(S) или FTP.
# Этот файл используется в опции репозитория signed-by. Значение может быть пустой строкой
key_file: 'https://dl.google.com/linux/linux_signing_key.pub'
# Установите значение True, чтобы декодировать данные key-файла из формата base64 в бинарный
key_file_dearmor: True
# Установите полный путь к каталогу ключей на агенте
key_keyrings_dir: '/etc/apt/keyrings/'
# Укажите имена для установки пакетов, необходимых для импорта репозитория. Значения должны быть представлены в виде списка через запятую
required_packages: [ 'gpg' ]
# Укажите, требуется ли выполнять опцию перезагрузки. Возможные значения: True or False
reboot: True
# Задайте отложенное время до перезагрузки, либо точное время перезагрузки.
# Если параметр не задан, выполняется мгновенная перезагрузка
time: ''
# Укажите сообщение уведомления.
# Если параметр не задан, отправляется сообщение по-умолчанию с предупреждением о запланированной перезагрузке
message: ''Формула okular-formula
Формула для установки ПО Okular (для просмотра документов в различных форматах).
Доступные состояния
Состояние okular
Мета-состояние (состояние, которое включает в себя другие состояния).
Устанавливает пакет okular из целевого репозитория.
Имеет зависимость от okular.repository и okular.package через список include.
Состояние okular.repository
Имеет зависимость от okular.repository.install через список include.
Состояние okular.repository.install
Импортирует репозиторий, если значение repo.name указано в хранилище Pillars (или не пустое по умолчанию).
Имеет зависимость от:
-
okular.repository.package.installчерез списокinclude; -
okular.repository.key.install`через списокincludeи реквизитrequire.
Состояние okular.repository.package.install
Устанавливает пакеты repo.required_packages (по умолчанию — gpg).
Состояние okular.repository.key.install
Загружает repo.key_file на агент (minion) и декодирует данные файла из формата base64 в бинарный.
Состояние okular.package
Устанавливает пакет okular.
Состояние okular.clean
Мета-состояние (состояние, которое включает в себя другие состояния).
Отменяет все действия, выполненные в мета-состоянии okular, в обратном порядке, т.е.
удаляет пакет и удаляет целевой репозиторий (если он был импортирован).
Имеет зависимость от okular.package.clean и okular.repository.clean через список include.
Состояние okular.package.clean
Удаляет пакет okular.
Состояние okular.repository.clean
Удаляет файл конфигурации репозитория.
Имеет зависимость от okular.repository.key.clean через список include.
Состояние okular.repository.key.clean
Удаляет Key-файл репозитория.
Пример файла pillar.example
okular:
# Переопределите значение map.jinja
lookup:
# Укажите параметры пакета
pkg:
# Укажите имя пакета для конкретной ОС
name: okular
# Set the specific version of a package. If value is an empty string then used latest version
version: ''
# Укажите репозиторий, из которого будет производиться установка. Когда репозиторий будет добавлен (по repo.name),
# он будет назначен заданному релизу (suite).
# Значение может быть пустой строкой
fromrepo: ''
# Укажите параметры репозитория
repo:
# Укажите имя репозитория, которое будет импортировано в систему. Значение должно быть указано в формате
# one-line-style (https://manpages.debian.org/unstable/apt/sources.list.5.en.html#THE_DEB_AND_DEB-SRC_TYPES:_GENERAL_FORMAT)
# без опций. Чтобы задать опции, используйте дополнительные параметры репозитория.
# Если значение представляет собой пустую строку, то репозиторий не будет импортирован
name: ''
# Выполните настройку репозитория, чтобы он стал недоступным для поиска и установки пакетов.
# Значения: True или False
disabled: False
# Укажите тип пакетов (компонентов), которые будут установлены из репозитория (например, main, nonfree, ...).
# Значения параметра comps должны быть заданы в виде списка через запятую
comps: ''
# Укажите имена файлов .list и .gpg. Не могут быть пустой строкой
conf_name: 'okular'
# Укажите key-файл (.gpg) для загрузки на агент. Этот файл может храниться как на сервере управления,
# так и на серверах HTTP(S) или FTP.
# Этот файл используется в опции репозитория signed-by. Значение может быть пустой строкой.
key_file: ''
# Установите значение True, чтобы декодировать данные key-файла из формата base64 в бинарный
key_file_dearmor: True
# Установите полный путь к каталогу ключей на агенте
key_keyrings_dir: '/etc/apt/trusted.gpg.d/'
# Укажите имена для установки пакетов, необходимых для импорта репозитория. Значения должны быть представлены в виде списка через запятую
required_packages: [ 'gpg' ]Формула yandex-browser-formula
Формула для установки веб-браузера Yandex.
Доступные состояния
Состояние yandex-browser
Мета-состояние (состояние, которое включает в себя другие состояния).
Устанавливает пакет yandex-browser из целевого репозитория.
Имеет зависимость от yandex-browser.repository и yandex-browser.package через список include.
Состояние yandex-browser.repository
Имеет зависимость от yandex-browser.repository.install через список include.
Состояние yandex-browser.repository.install
Импортирует репозиторий, если значение repo.name указано в хранилище Pillars (или не пустое по умолчанию).
Имеет зависимость от:
-
yandex-browser.repository.package.installчерез списокinclude; -
yandex-browser.repository.key.installчерез списокincludeи реквизитrequire.
Состояние yandex-browser.repository.package.install
Устанавливает пакеты repo.required_packages (по умолчанию — gpg).
Состояние yandex-browser.repository.key.install
Загружает repo.key_file на агент (minion) и декодирует данные файла из формата base64 в бинарный.
Состояние yandex-browser.package
Устанавливает пакет yandex-browser.
Состояние yandex-browser.clean
Мета-состояние (состояние, которое включает в себя другие состояния).
Отменяет все действия, выполненные в мета-состоянии yandex-browser, в обратном порядке, т.е.
удаляет пакет и удаляет целевой репозиторий (если он был импортирован).
Имеет зависимость от yandex-browser.package.clean и yandex-browser.repository.clean через список include.
Состояние yandex-browser.package.clean
Удаляет пакет yandex-browser.
Состояние yandex-browser.repository.clean
Удаляет файл конфигурации репозитория.
Имеет зависимость от yandex-browser.repository.key.clean через список include.
Состояние yandex-browser.repository.key.clean
Удаляет Key-файл репозитория.
Пример файла pillar.example
yandex-browser:
# Переопределите значение map.jinja
lookup:
# Укажите параметры пакета
pkg:
# Укажите имя пакета для конкретной ОС
name: yandex-browser-stable
# Set the specific version of a package. If value is an empty string then used latest version
version: '23.5.4.685-1'
# Укажите репозиторий, из которого будет производиться установка. Когда репозиторий будет добавлен (по repo.name),
# он будет назначен заданному релизу (suite).
# Значение может быть пустой строкой
fromrepo: 'stable'
# Укажите параметры репозитория
repo:
# Укажите имя репозитория, которое будет импортировано в систему. Значение должно быть указано в формате
# one-line-style (https://manpages.debian.org/unstable/apt/sources.list.5.en.html#THE_DEB_AND_DEB-SRC_TYPES:_GENERAL_FORMAT)
# без опций. Чтобы задать опции, используйте дополнительные параметры репозитория.
# Если значение представляет собой пустую строку, то репозиторий не будет импортирован
name: 'deb http://repo.yandex.ru/yandex-browser/deb stable'
# Выполните настройку репозитория, чтобы он стал недоступным для поиска и установки пакетов.
# Значения: True или False
disabled: False
# Укажите тип пакетов (компонентов), которые будут установлены из репозитория (например, main, nonfree, ...).
# Значения параметра comps должны быть заданы в виде списка через запятую
comps: 'main,contrib,non-free'
# Укажите имена файлов .list и .gpg. Не могут быть пустой строкой
conf_name: 'yandex-browser'
# Укажите key-файл (.gpg) для загрузки на агент. Этот файл может храниться как на сервере управления,
# так и на серверах HTTP(S) или FTP.
# Этот файл используется в опции репозитория signed-by. Значение может быть пустой строкой.
key_file: 'https://repo.yandex.ru/yandex-browser/YANDEX-BROWSER-KEY.GPG'
# Установите значение True, чтобы декодировать данные key-файла из формата base64 в бинарный
key_file_dearmor: True
# Установите полный путь к каталогу ключей на агенте
key_keyrings_dir: '/etc/apt/keyrings/'
# Укажите имена для установки пакетов, необходимых для импорта репозитория. Значения должны быть представлены в виде списка через запятую
required_packages: [ 'gpg' ]Формула tigervnc-formula
Формула для установки TigerVNC (сервер виртуальных сетевых вычислений).
Доступные состояния
Состояние tigervnc
Мета-состояние (состояние, которое включает в себя другие состояния).
Устанавливает пакет TigerVNC из целевого репозитория.
Имеет зависимость от tigervnc.package через список include.
Состояние tigervnc.package
Устанавливает только пакет TigerVNC.
Состояние tigervnc.clean
Мета-состояние (состояние, которое включает в себя другие состояния).
Отменяет все действия, выполненные в метасостоянии tigervnc, в обратном порядке, т.е.
удаляет пакет и удаляет целевой репозиторий (если он был импортирован).
Имеет зависимость от tigervnc.package.clean через список include.
Состояние tigervnc.package.clean
Удаляет пакет TigerVNC.
Пример файла pillar.example
tigervnc:
# Переопределите значение map.jinja
lookup:
# Укажите параметры пакета
pkg:
# Укажите имя пакета для конкретной ОС
name: osmax-ira-tigervnc
# Укажите конкретную версию пакета. Если значение представляет собой пустую строку, используется последняя версия
version: '1.0.0'
# Задайте параметры x0vncserver
x0vncserver_options:
QueryConnect: 1
QueryConnectTimeout: 15
ShowRemoteConnect: 1
# Задайте ip-адреса для доступа к tigervnc
tigervnc_access_ips: []
# Задайте группы доступа к tigervnc
tigervnc_access_groups: []Параметры конфигурации:
-
QueryConnect— вызывает модальное окно у удаленного пользователя, в котором предлагается принять или отклонить входящее соединение.Возможные значения:
-
0— подключение будет произведено без запроса к удаленному пользователю; -
1— вызывает модальное окно для подтверждения удаленного подключения.
-
-
QueryConnectTimeout— таймер на предоставление удаленного доступа, по истечении которого запрос автоматически отклоняется, в секундах. -
ShowRemoteConnect— отображение модального окна, которое информирует об удаленном доступе.На дисплее отображается модальное окно с именем, адресом, откуда выполняется подключение, и кнопка Disconnect.
Возможные значения:
-
0— модальное окно скрыто; -
1— отображается модальное окно с информацией.
-
-
tigervnc_access_ips— директивы для указания IP-шлюза, с которого разрешается подключение.До адреса необходимо указать символ:
-
+— доступ разрешён; -
-— доступ запрещён; -
?— отправка запроса на разрешение для доступа.
По умолчанию все подключения заблокированы — пустой файл правил блокирует все подключения. Эти директивы могу задаваться как сами по себе (что вызовет применение для всех адресов), либо с добавлением маски или конкретного IP-адреса, например: +199.35.209.1/32.
Также можно задать несколько директив. В этом случае при подключении правила будут проверяться все адреса по очереди до первого подходящего, например:
+199.35.209.1 ?
Данный набор директив будет отправлять явный запрос на подключение для всех адресов кроме 199.35.209.1.
-
-
tigervnc_access_groups— группы пользователей, которым разрешено выполнять подключение.Доменные группы пользователей рекомендуется указывать в формате, поддерживаемом Samba:
DOMAIN\username. Например, для группы пользователейLocal Usersв доменеlocaldomainуказание группы должно выглядеть следующим образом:LOCALDOMAIN\Local Users.Также если параметры конфигурации задаются в файле со специальным форматированием, необходимо экранировать спецсимволы. Например, для формата JSON экранируется символ
\:LOCALDOMAIN\\Local Users.
Формула xrdp-formula
Формула для установки xRDP (X Remote Desktop Protocol) — открытой реализация протокола RDP (Remote Desktop Protocol), который позволяет удаленным пользователям подключаться к рабочему столу удаленной машины через сеть.
Доступные состояния
Состояние xrdp
Мета-состояние (состояние, которое включает в себя другие состояния).
Устанавливает пакет xrdp из целевого репозитория.
Имеет зависимость от xrdp.package через список include.
Состояние xrdp.package
Устанавливает только пакет xrdp.
Состояние xrdp.clean
Мета-состояние (состояние, которое включает в себя другие состояния).
Отменяет все действия, выполненные в метасостоянии xrdp, в обратном порядке, т.е.
удаляет пакет и удаляет целевой репозиторий (если он был импортирован).
Имеет зависимость от xrdp.package.clean через список include.
Состояние xrdp.package.clean
Удаляет пакет xrdp.
Пример файла pillar.example
xrdp:
# Переопределите значение map.jinja
lookup:
# Укажите параметры пакета
pkg:
# Укажите имя пакета для конкретной ОС
name: osmax-ira-xrdp
# Укажите конкретную версию пакета. Если значение представляет собой пустую строку, используется последняя версия
version: '0.9.24-1-543141.6e94b8a0'
# Задайте параметры xrdp
xrdp_ini:
# Порт, на котором XRDP будет слушать входящие подключения
port: 3389
# Уровень безопасности для соединения
security_layer: negotiate
# Путь к лог-файлам XRDP
LogFile: /dev/null
# Задайте параметры sesman
sesman_ini:
# Завершение сеанса пользователя после его отключения
KillDisconnected: false
# время в минутах, через которое сеанс пользователя будет завершен после отключения (если для параметра
# KillDisconnected установлено значение true)
DisconnectedTimeLimit: 0
# время в минутах, в течение которого пользователь не совершал никаких действий; по истечении этого времени сеанс будет завершен
IdleTimeLimit: 0
# Путь к исполняемому файлу X-сервера, который будет использоваться для запуска графической сессии
param: /usr/lib/xorg/Xorg
# Задайте ip-адреса для доступа к xrdp
xrdp_access_ips: []
# Задайте группы доступа к xrdp
xrdp_access_groups: []Параметры конфигурации:
-
xrdp_access_ips— директивы для указания IP-шлюза, с которого разрешается подключение;До адреса необходимо указать символ:
-
+— доступ разрешён; -
-— доступ запрещён.По умолчанию все подключения заблокированы — пустой файл правил блокирует все подключения. Эти директивы могу задаваться как сами по себе (что вызовет применение для всех адресов), либо с добавлением маски или конкретного IP-адреса, например: +199.35.209.1/32.
Также можно задать несколько директив. В этом случае при подключении правила будут проверяться все адреса по очереди до первого подходящего, например:
+199.35.209.1 !
Данный набор директив будет запрещать доступ для всех адресов, кроме 199.35.209.1.
-
-
xrdp_access_groups— группы пользователей, которым разрешено выполнять подключение.Доменные группы пользователей рекомендуется указывать в формате, поддерживаемом Samba:
DOMAIN\username. Например, для группы пользователейLocal Usersв доменеlocaldomainуказание группы должно выглядеть следующим образом:LOCALDOMAIN\Local Users.Также если параметры конфигурации задаются в файле со специальным форматированием, необходимо экранировать спецсимволы. Например, для формата JSON экранируется символ
\:LOCALDOMAIN\\Local Users.
Формула openssh-formula
Формула для установки openssh (Open Secure Shell) — набора утилит и библиотек для обеспечения защищенной сетевой связи и аутентификации между компьютерами.
Доступные состояния
Состояние openssh
Мета-состояние (состояние, которое включает в себя другие состояния).
Устанавливает пакет openssh из целевого репозитория.
Имеет зависимость от openssh.package через список include.
Состояние openssh.package
Устанавливает только пакет openssh.
Состояние openssh.clean
Мета-состояние (состояние, которое включает в себя другие состояния).
Отменяет все действия, выполненные в метасостоянии openssh, в обратном порядке, т.е.
удаляет пакет и удаляет целевой репозиторий (если он был импортирован).
Имеет зависимость от openssh.package.clean через список include.
Состояние openssh.package.clean
Удаляет пакет openssh.
Пример файла pillar.example
openssh:
# Переопределите значение map.jinja
lookup:
# Укажите параметры пакета
pkg:
# Укажите имя пакета для конкретной ОС
name: osmax-ira-openssh
# Укажите конкретную версию пакета. Если значение представляет собой пустую строку, используется последняя версия
version: '1.1.0'
# Задайте параметры openssh
# Игнорировать/не игнорировать группы доступа при аутентификации. Значение true указывает на то, что группы
# доступа не будут учитываться при определении прав доступа
access_groups_ignore: false
# Дополнительные настройки, связанные с пользовательской настройкой SSH
config_customize: ''
# IP-адреса или диапазоны IP-адресов, для которых будет использоваться аутентификация Kerberos при подключении по SSH
kerberosauthentication_ips: ['*']
# IP-адреса, для которых разрешена аутентификация по паролю при подключении по SSH
passwordauthentication_ips: ['*']
# IP-адреса, для которых будет использоваться аутентификация GSSAPI при подключении по SSH
gssapiauthentication_ips: ['*']
# IP-адреса, для которых разрешена аутентификация с использованием открытых ключей при подключении по SSH
pubkeyauthentication_ips: ['*']
# IP-адреса, для которых разрешена интерактивная аутентификация при подключении по SSH
kbdinteractiveauthentication_ips: ['*']
# задайте группы доступа к openssh
openssh_access_groups: []|
По умолчанию все подключения заблокированы — пустой файл правил блокирует все подключения. Для каждого из правил аутентификации по IP-адресу можно задать следующие директивы:
Также можно задать несколько директив, но в таком случае при подключении правила будут проверяться по очереди до первого подходящего, например: !199.35.209.1 * Данный набор директив разрешит определённый вид аутентификации для всех адресов кроме 199.35.209.1 |
|
В параметре Также если параметры конфигурации задаются в файле со специальным форматированием, необходимо экранировать
спецсимволы. Например, для формата JSON экранируется символ |
Формула get-hostname-formula
Формула для выполнения скриптов.
Доступные состояния
Состояние get-hostname
Мета-состояние (состояние, которое включает в себя другие состояния).
Имеет зависимость от get-hostname.install через список include.
Состояние get-hostname.install
Устанавливает systemd, выполняет Python-скрипт и запускает веб-сервер на хосте (localhost).
Состояние get-hostname.clean
Удаляет файлы get-hostname.service и get-hostname.py из файловой системы агента (minion), отключает сервис
get-hostname service.
Пример файла pillar.example
get-hostname:
# Переопределите значение map.jinja
lookup:
# Задайте путь к интерпретатору Python на агенте (minion)
python_path: '/opt/saltstack/salt/bin/python3'
# Задайте путь к python-скрипту
script_path: '/opt/saltstack/salt/include/get-hostname.py'
# Задайте путь к службе systemd
service_path: '/etc/systemd/system/get-hostname.service'
# Задайте имя владельца
owner_name: 'root'
# Задайте группу владельца
owner_group: 'root'Формула notify-and-reboot-formula
Формула для удаленной перезагрузки устройств.
Доступные состояния
Состояние notify-and-reboot
Мета-состояние (состояние, которое включает в себя другие состояния).
Запускает скрипт notify-and-reboot из директории в S3-совместимом хранилище.
Имеет зависимость от notify-and-reboot.run через список include.
Состояние notify-and-reboot.run
Запускает скрипт notify-and-reboot из директории в S3-совместимом хранилище.
Состояние notify-and-reboot.clean
Удаляет файл notify-and-reboot.sh из файловой системы агента (minion).
Пример файла pillar.example
notify-and-reboot:
# Переопределите значение map.jinja
lookup:
# Задайте имя скрипта
file_name: "notify-and-reboot.sh"
# Установите оболочку для использования скрипта
shell: "/bin/sh"
# Задайте отложенное время до перезагрузки, либо точное время перезагрузки.
# Если параметр не задан, выполняется мгновенная перезагрузка
time: ""
# Укажите сообщение уведомления.
# Если параметр не задан, отправляется сообщение по умолчанию с предупреждением о запланированной перезагрузке
message: ""Формула os-bootstrap-formula
Формула для выполнения скрипта переустановки ОС.
Доступные состояния
Состояние os-bootstrap
Мета-состояние (состояние, которое включает в себя другие состояния).
Запускает скрипт os-bootstrap-formula.
Имеет зависимость от os-bootstrap.run через список include.
Состояние os-bootstrap.run
Запускает скрипты astra-os-bootstrap.sh и erase-bootloader-ipxe.sh.
Пример файла pillar.example
os-bootstrap:
# Переопределите значение map.jinja
lookup:
# Установите оболочку для использования скрипта
shell: '/bin/sh'
# Задайте имя пункта меню GRUB
menuEntryName: '"astra_reinstall"'
# Задайте идентификатор способа развертывания ОС
installationRecipeId: ''
# Задайте URL-адреса загрузчика
bootloaderUrls: [
{
'bios': '',
'uefi': '',
'bootLoader': ''
}
]
# Задайте URL-адрес конфигурации загрузчика
bootConfigUrl: ''
# Задайте путь к контрольному файлу
installationLabelPath: ''Пользовательские формулы
Пользовательские формулы — это готовые формулы, для которых необходимо переопределить в
конфигурации параметры,
описанные в файле pillar.example (см. описание конкретной формулы).
Такими формулами являются:
Формула ca-cert-formula
Формула для установки CA-сертификатов.
| Для корректного использования формулы необходимо создать пользовательскую конфигурацию и переопределить параметры по умолчанию, описанные в файле pillar.example. |
Доступные состояния
Состояние ca-cert
Мета-состояние (состояние, которое включает в себя другие состояния).
Устанавливает сертификаты в системном хранилище и хранилище профилей пользователей (NSSDB).
Имеет зависимость от ca-cert.sys, ca-cert.user через список include.
Состояние ca-cert.sys
Имеет зависимость от ca-cert.sys.install через список include.
Состояние ca-cert.sys.install
Запускает команду sys.certs_update_cmd для обновления системных сертификатов
и имеет зависимость от ca-cert.sys.certs.files через список include и реквизит onchanges.
Состояние ca-cert.sys.certs.files
Сохраняет на диске (в директории certs.dest_dir) файлы сертификата из списка certs.files.
Состояние ca-cert.user
Имеет зависимость от ca-cert.user.install через список include.
Состояние ca-cert.user.install
Имеет зависимость от ca-cert.user.nssdb через список include.
Состояние ca-cert.user.nssdb
Имеет зависимость от ca-cert.user.nssdb.update через список include.
Состояние ca-cert.user.nssdb.update
Добавляет сертификаты в хранилище профилей пользователей (NSSDB) и имеет зависимость от:
-
ca-cert.user.nssdb.createчерез списокincludeи реквизитrequire; -
ca-cert.user.certs.filesчерез списокincludeи реквизитonchanges.
Если в хранилище Pillar нет пользователей в user.usernames, пользователи будут настраиваться по имени
каталога в /home.
Состояние ca-cert.user.nssdb.create
Создает хранилище сертификатов пользователя (NSSDB) в домашней директории пользователя и
имеет зависимость от ca-cert.user.package.instal через список include и реквизит require.
Если в хранилище Pillar в поле user.usernames не указано ни одного пользователя, пользователи будут настраиваться
по имени каталога в /home.
Состояние ca-cert.user.package.install
Устанавливает пакет cacert.user.pkg.name (по умолчанию — libnss3-tools).
Состояние ca-cert.user.certs.files
Сохраняет на диске (в директории certs.dest_dir_user) файлы сертификата из списка certs.files.
Состояние ca-cert.clean
Мета-состояние (состояние, которое включает в себя другие состояния).
Удаляет сертификаты их системного хранилища и хранилища профилей пользователей (NSSDB).
Имеет зависимость от ca-cert.sys.clean, ca-cert.user.clean через список include.
Состояние ca-cert.sys.clean
Запускает команду sys.certs_update_cmd для обновления системных сертификатов и имеет
зависимость от ca-cert.sys.certs.clean через список include и реквизит onchanges.
Состояние ca-cert.sys.certs.clean
Удаляет с диска (директория certs.dest_dir) файлы сертификата из списка certs.files.
Состояние ca-cert.user.clean
Имеет зависимость от ca-cert.user.nssdb.clean, ca-cert.user.package.clean через
список включения.
Состояние ca-cert.user.nssdb.clean
Удаляет сертификаты из хранилища профилей пользователей (NSSDB) и имеет зависимость
от ca-cert.user.certs.clean через список include и реквизит require.
Состояние ca-cert.user.certs.clean
Удаляет с диска (директория certs.dest_dir_user) файлы сертификата из списка certs.files.
Состояние ca-cert.user.package.clean
Удаляет пакет cacert.user.pkg.name (по умолчанию — libnss3-tools).
Пример файла pillar.example
ca-cert:
# Переопределите значение map.jinja
lookup:
# Укажите параметры сертификатов
certs:
# Укажите список имен файлов сертификатов. Значения не могут быть пустыми
# Значения должны быть указаны в виде списка через запятую
files: [
"my_ca_1.crt",
"my_ca_2.crt",
]
# Укажите полный путь к каталогу, в котором хранятся файлы сертификатов,
# на файловом сервере
source_dir: "salt://files/cacerts/"
# Укажите полный путь к каталогу для системных сертификатов на агенте
dest_dir: "/usr/local/share/ca-certificates/"
# Укажите полный путь к каталогу для общих сертификатов пользователей на агенте
dest_dir_user: "/usr/local/share/ca-certificates-nssdb/"
# Укажите некоторые параметры системы
sys:
# Укажите команду, которая будет выполняться для обновления системных сертификатов
certs_update_cmd: "update-ca-certificates --fresh"
# Укажите некоторые параметры пользователей
user:
# Укажите список имен пользователей для обновления сертификатов. Если пользователи
# не заданы, пользователи будут выбраны по имени каталога в /home
usernames: [
"username_1",
"username_1",
]Изменение значений параметров по умолчанию
-
Извлеките формулу
ca-cert-formulaиз архива.$ tar -xvf ~/Downloads/osmax-salt-formulas-X.Y.Z.tar.gz \ --strip-components 3 \ -C ~/ \ ./formulas/ca-cert-formula/ca-cert $ cd ~/ca-cert -
Создайте директорию
filesи скопируйте в нее необходимые сертификаты.В качестве примера используются сертификаты ЦС НУЦ Минцифры:
$ ls ./files/ russian_trusted_root_ca_pem.crt russian_trusted_sub_ca_pem.crt -
Измените файл
map.jinja(словарь со значениями по умолчанию):-
Измените значение
default.certs.source_dir, указав директориюfiles, созданную в формуле. -
Измените значение
default.certs.files, указав в списке имена файлов в директорииfiles. -
Оставьте пустым списком значение
default.user.usernames— это будет означать, что сертификаты будут установлены для всех пользователей, для которых создана папка в каталоге/home/). -
Удалите все значения, относящиеся к ОС
Debian.{% set mapdata = salt['grains.filter_by']({ 'default': { 'certs': { 'files': [ 'russian_trusted_root_ca_pem.crt', 'russian_trusted_sub_ca_pem.crt', ], 'source_dir': 'salt://ca-cert/files/', 'dest_dir': '/usr/local/share/ca-certificates/', 'dest_dir_user': '/usr/local/share/ca-certificates-nssdb/', }, 'sys': { 'certs_update_cmd': 'update-ca-certificates --fresh', }, 'user': { 'usernames': [ ], 'pkg': { 'name': 'libnss3-tools', }, }, }, }, merge=salt['pillar.get']('ca-cert:lookup'), base='default') %}
-
После переопределения значений по умолчанию, следуйте инструкциям по работе с формулой в разделе «Работа формулами».
Формула deb-repo-formula
Формула для добавления пользовательского репозитория с Deb-пакетами.
Доступные состояния
Состояние deb-repo
Мета-состояние (состояние, которое включает в себя другие состояния).
Добавляет и настраивает Deb-репозиторий.
Имеет зависимость от deb-repo.install через список include.
Состояние deb-repo.install
Импортирует репозиторий, если значение name указано в хранилище Pillars (или не пустое по умолчанию).
Состояние deb-repo.key.install
Загружает deb-repo.key_file на агент (minion) и декодирует данные файла из формата base64 в бинарный.
Состояние deb-repo.clean
Удаляет файл конфигурации репозитория.
Имеет зависимость от deb-repo.key.clean через список include.
Состояние deb-repo.key.clean
Удаляет Key-файл репозитория.
Пример файла pillar.example
deb-repo:
# Переопределите значение map.jinja
lookup:
# Укажите имя репозитория, которое будет импортировано в систему. Значение должно быть указано в формате
# one-line-style (https://manpages.debian.org/unstable/apt/sources.list.5.en.html#THE_DEB_AND_DEB-SRC_TYPES:_GENERAL_FORMAT)
# с опциями в квадратных скобках ([]). Опции используются для установки дополнительных параметров репозитория,
# например, `signed-by`, `trusted`, `allow-insecure`.
# Опция настройки архитектуры ('arch') будет добавлена автоматически из параметра grain на агенте
name: 'deb [signed-by=/etc/apt/keyrings/repo-key.gpg trusted=yes] https://dl.astralinux.ru/astra/stable/1.7_x86-64/repository-main/ 1.7_x86-64'
# Выполните настройку репозитория, чтобы он стал недоступным для поиска и установки пакетов.
# Значения: True или False
disabled: False
# Укажите тип пакетов (компонентов), которые будут установлены из репозитория (например, main, nonfree, ...).
# Значения параметра comps должны быть заданы в виде списка через запятую
comps: 'main,contrib,non-free'
# Укажите имена файлов .list и .gpg. Не могут быть пустой строкой
conf_name: 'repository-main'
# Укажите key-файл (.gpg) для загрузки на агент. Этот файл может храниться как на сервере управления,
# так и на серверах HTTP(S) или FTP.
# Этот файл используется в опции репозитория signed-by. Значение может быть пустой строкой.
# Отсутствие значения означает, что key-файл не будет импортирован и не будет использоваться.
# Если используется key-файл, необходимо добавить опцию в формате 'signed-by={{ key_keyrings_dir }}{{ conf_name }}.gpg', example 'signed-by=/etc/apt/keyrings/repository-main.gpg'
key_file: ''
# Установите значение True, чтобы декодировать данные key-файла из формата base64 в бинарный
key_file_dearmor: False
# Установите полный путь к каталогу ключей на агенте
key_keyrings_dir: '/etc/apt/keyrings/'
# Укажите имена для установки пакетов, необходимых для импорта репозитория. Значения должны быть представлены в виде списка через запятую
required_packages: [ 'gpg' ]Формула web-mail-formula
Формула для установки Web Mail.
Доступные состояния
Состояние web-mail
Мета-состояние (состояние, которое включает в себя другие состояния).
Устанавливает ссылку на Web Mail.
Имеет зависимость от web-mail.install через список include.
Состояние web-mail.install
Создает ссылку (файл web-mail.desktop) на Web Mail на рабочем столе пользователя (папка ~/Desktop).
Если в хранилище Pillar в поле user.usernames не указано ни одного пользователя, пользователи будут настраиваться
по имени каталога в /home.
Если в полях link.name и link.url значения не заданы, формула не будет выполнена, и отобразится соответствующее
уведомление.
Состояние web-mail.clean
Удаляет ссылку (файл web-mail.desktop) c рабочего стола пользователя (папка ~/Desktop).
Если в хранилище Pillar в поле user.usernames не указано ни одного пользователя, пользователи будут настраиваться
по имени каталога в /home.
Если в полях link.name и link.url значения не заданы, формула не будет выполнена, и отобразится соответствующее
уведомление.
Пример файла pillar.example
web-mail:
# Переопределите значение map.jinja
lookup:
# Укажите параметры ссылки
link:
# Укажите название ссылки на рабочем столе
name: "Link to My Corp Mail"
# Укажите URL доступа
url: "https://mail.yandex.ru/"
# Задайте имя (или путь к файловой системе агента) иконки, которая будет использоваться для отображения
# на рабочем столе Значение по умолчанию: "mail"
icon: "/path/to/icon"
# Задайте параметры пользователей
user:
# Укажите список имен пользователей для обновления сертификатов. Если пользователи
# не заданы, пользователи будут выбраны по имени каталога в /home
usernames: [
"username_1",
"username_2",
]Формулы-шаблоны
Формулы-шаблоны используются в качестве примера для создания собственных формул подобного типа. Такими формулами являются:
Формула tpl-shortcut-formula
Формула-шаблон для добавления ярлыка приложения, url-адреса и символической ссылки (symlink) на рабочий стол пользователя.
Доступные состояния
Состояние tpl-shortcut
Мета-состояние (состояние, которое включает в себя другие состояния).
Устанавливает ссылку на Web Mail.
Имеет зависимость от tpl-shortcut.install через список include.
Состояние tpl-shortcut.install
Создает символическую ссылку или файл Desktop Entry (приложение, ссылку) на рабочем столе пользователя (папка ~/Desktop).
Если в хранилище Pillar в поле user.usernames не указано ни одного пользователя, пользователи будут настраиваться
по имени каталога в /home.
Если в полях link.name и link.url значения не заданы, формула не будет выполнена, и отобразится соответствующее
уведомление.
Состояние tpl-shortcut.clean
Удаляет символическую ссылку или файл Desktop Entry (приложение, ссылку) c рабочего стола пользователя (папка ~/Desktop).
Если в хранилище Pillar в поле user.usernames не указано ни одного пользователя, пользователи будут настраиваться
по имени каталога в /home.
Если в полях link.name и link.url значения не заданы, формула не будет выполнена, и отобразится соответствующее
уведомление.
Пример файла pillar.example
tpl-shortcut:
# Переопределите значение map.jinja
lookup:
# Переопределите параметры ссылки на приложение
application:
# Задайте имя файла ссылки на рабочий стол
name: "bash_application"
# Задайте параметры ссылки
link:
# Задайте имя файла ссылки на рабочий стол
name: "ya-ru_link"
# Задайте параметры ссылки
symlink:
# Задайте имя файла символической ссылки на рабочий стол
name: "distro-info_debian_symlink"
# Задайте полный путь к целевому файлу в файловой системе агента
target: "/usr/share/distro-info/debian.csv"
# Задайте параметры пользователей
user:
# Укажите список имен пользователей для обновления сертификатов. Если пользователи
# не заданы, пользователи будут выбраны по имени каталога в /home
usernames: [
"username_1",
"username_2",
]Написание формулы типа tpl-shortcut-formula
-
Скопируйте формулу-шаблон (
tpl-shortcut) в новую директорию с новым названием (my-shortcut):$ tar -xvf ~/Downloads/osmax-salt-formulas-0.9.0.tar.gz \ --strip-components 3 \ -C ~/ \ ./formulas/tpl-shortcut-formula/tpl-shortcut $ cp -R ~/tpl-shortcut/ ~/my-shortcut && cd ~/my-shortcut -
Измените файл состояний
install.sls(создание ярлыков):-
Рекомендуется для соблюдения уникальности придерживаться именования вида: formula-name-state-name-other-state-name-module-function-some-id. Например, ID состояния для создания symlink будет выглядеть как:my-shortcut-install-file-symlink-{{ username }}-symlink. -
Измените значение аргумента
contentsдля функции из состояния:my-shortcut-install-file-managed-{{ username }}-application(ярлык для приложения). Например, имя (Name), запускаемую программу (Exec) и иконку ярлыка (Icon). -
Измените значение аргумента
contentsдля функции из состоянияmy-shortcut-install-file-managed-{{ username }}-link(ярлык для url). Например, имя (Name) и url-адрес (URL).# -*- coding: utf-8 -*- # vim: ft=sls {#- Get the `tplroot` from `tpldir` #} {%- set tplroot = tpldir.split('/')[0] %} {%- from tplroot ~ "/map.jinja" import mapdata as tplshortcut with context %} {%- from tplroot ~ "/_usernames_lib.sls" import usernames with context %} {#- Create application link #} {%- if tplshortcut.application.name %} {%- for username in usernames %} my-shortcut-install-file-managed-{{ username }}-application: file.managed: - name: /home/{{ username }}/Desktop/{{ tplshortcut.application.name }}.desktop - user: {{ username }} - group: {{ username }} - makedirs: True - contents: | [Desktop Entry] Type=Application Name=Run bash manpage Exec=man bash Terminal=true Icon=dictionary {%- endfor %} {%- endif %} {#- Create url link #} {%- if tplshortcut.link.name %} {%- for username in usernames %} my-shortcut-install-file-managed-{{ username }}-link: file.managed: - name: /home/{{ username }}/Desktop/{{ tplshortcut.link.name }}.desktop - user: {{ username }} - group: {{ username }} - makedirs: True - contents: | [Desktop Entry] Type=Link Name=Love DuckDuckGo! URL=https://duckduckgo.com {%- endfor %} {%- endif %} {#- Create symlink #} {%- if tplshortcut.symlink.name %} {%- for username in usernames %} my-shortcut-install-file-symlink-{{ username }}-symlink: file.symlink: - name: /home/{{ username }}/Desktop/{{ tplshortcut.symlink.name }} - target: {{ tplshortcut.symlink.target }} - user: {{ username }} - group: {{ username }} - makedirs: True {%- endfor %} {%- endif %}
-
-
В файле состояний
clean.sls(удаление ярлыков) измените ID состояний:# -*- coding: utf-8 -*- # vim: ft=sls {#- Get the `tplroot` from `tpldir` #} {%- set tplroot = tpldir.split('/')[0] %} {%- from tplroot ~ "/map.jinja" import mapdata as tplshortcut with context %} {%- from tplroot ~ "/_usernames_lib.sls" import usernames with context %} {#- Delete application link #} {%- if tplshortcut.application.name %} {%- for username in usernames %} my-shortcut-install-file-managed-{{ username }}-application: file.absent: - name: /home/{{ username }}/Desktop/{{ tplshortcut.application.name }}.desktop {%- endfor %} {%- endif %} {#- Delete url link #} {%- if tplshortcut.link.name %} {%- for username in usernames %} my-shortcut-install-file-managed-{{ username }}-link: file.absent: - name: /home/{{ username }}/Desktop/{{ tplshortcut.link.name }}.desktop {%- endfor %} {%- endif %} {#- Delete symlink #} {%- if tplshortcut.symlink.name %} {%- for username in usernames %} my-shortcut-install-file-symlink-{{ username }}-symlink: file.absent: - name: /home/{{ username }}/Desktop/{{ tplshortcut.symlink.name }} {%- endfor %} {%- endif %} -
Измените файл
map.jinja(словарь со значениями по умолчанию):-
Измените имя ключа для словаря в хранилище Pillar, используемого для динамического переопределения значений по умолчанию.
Рекомендуется для соблюдения уникальности придерживаться именования вида: formula-name:lookup. Например,my-shortcut:lookup. -
Измените значение
application.name. -
Измените значение
link.name. -
Измените значения
symlink.nameиsymlink.target.{% set mapdata = salt['grains.filter_by']({ 'default': { 'application': { 'name': 'man_application', }, 'link': { 'name': 'duckduckgo_link', }, 'symlink': { 'name': 'distro-info_ubuntu_symlink', 'target': '/usr/share/distro-info/ubuntu.csv' }, 'user': { 'usernames': [ ], }, }, }, merge=salt['pillar.get']('my-shortcut:lookup'), base='default') %}
-
| После того как формула будет написана, следуйте инструкциям по работе с формулой в разделе «Работа с формулами». |
Формула tpl-script-formula
Формула-шаблон для выполнения скриптов.
Доступные состояния
Состояние tpl-script
Мета-состояние (состояние, которое включает в себя другие состояния).
Выполняет скрипт. Имеет зависимость от tpl-script.run через список include.
Состояние tpl-script.run
Выполняет скрипт test_script.sh, если файл /tmp/test_script-unless отсутствует в файловой системе агента (minion).
The running script creates /tmp/test_script-unless file with TEST_ENV shell variable content.
Состояние tpl-script.clean
Удаляет файл /tmp/test_script-unless на агенте (minion).
Пример файла pillar.example
tpl-script:
# Переопределите значение map.jinja
lookup:
# Задайте имя для файла скрипта, который хранится в {{ tpldir }}/files/
file_name: "test_script.sh"
# Задайте оболочку, которая будет использоваться для выполнения скрипта
shell: "/bin/sh"
# Задайте переменные env
env:
test_env: "HELLO WORLD!"Написание формулы типа tpl-script-formula
-
Скопируйте формулу-шаблон (
tpl-script) в новую директорию с новым названием (my-script).$ tar -xvf ~/Downloads/osmax-salt-formulas-0.10.0.tar.gz \ --strip-components 3 \ -C ~/ \ ./formulas/tpl-script-formula/tpl-shortcut $ cp -R ~/tpl-script/ ~/my-script && cd ~/my-script -
Переименуйте файл
./files/test_script.shв./files/my-new-script.shи затем измените его содержимое. Файл будет выглядеть следующим образом:#!/bin/bash # echo "Working hard..." echo "True" > /var/local/my-script.run.id # writing the state line echo # an empty line here so the next line will be the last. echo "changed=yes comment='Created /var/local/my-script.run.id file' whatever=123" -
Измените файл состояний
run.sls(запуск скрипта):-
Измените ID состояний.
-
Удалите аргумент
envи его значения. -
Измените значение аргумента
unless, указав в проверке файл, создаваемый в скрипте, таким образом, исключив повторный запуск скрипта при очередном применении формулы.# -*- coding: utf-8 -*- # vim: ft=sls {#- Get the `tplroot` from `tpldir` #} {%- set tplroot = tpldir.split('/')[0] %} {%- from tplroot ~ "/map.jinja" import mapdata as tplscript with context %} {#- Run custom script #} {%- if tplscript.file_name %} my-script-run-cmd-script: cmd.script: - source: salt://{{ tpldir }}/files/{{ tplscript.file_name }} - cwd: / - shell: {{ tplscript.shell }} - unless: "test -f /var/local/my-script.run.id" {%- endif %}
-
-
Измените файл состояний
clean.sls(удаление проверочного файла):-
Измените ID состояний.
-
Измените значение аргумента
name.# -*- coding: utf-8 -*- # vim: ft=sls {#- Get the `tplroot` from `tpldir` #} {%- set tplroot = tpldir.split('/')[0] %} {%- from tplroot ~ "/map.jinja" import mapdata as tplscript with context %} {#- Delete symlink #} {%- if tplscript.file_name %} my-script-clean-file-absent: file.absent: - name: /var/local/my-script.run.id {%- endif %}
-
-
Измените файл
map.jinja(словарь со значениями по умолчанию):-
Измените имя ключа для словаря в хранилище Pillar, используемого для динамического переопределения значений по умолчанию.
-
Измените значение
file_name, указав имя созданного скрипта. -
Удалите
env.{% set mapdata = salt['grains.filter_by']({ 'default': { 'file_name': 'my-new-script.sh', 'shell': '/bin/sh', }, }, merge=salt['pillar.get']('my-script:lookup'), base='default') %}
-
| После того как формула будет написана, следуйте инструкциям по работе с формулой в разделе «Работа с формулами». |
Формула tpl-yb-settings-formula
Формула-шаблон для управления настройками веб-браузера Yandex.
Доступные состояния
Состояние tpl-yb-settings
Мета-состояние (состояние, которое включает в себя другие состояния).
Устанавливает политики Яндекс-браузера.
Имеет зависимость от tpl-yb-settings.install через список include.
Состояние tpl-yb-settings.install
Загружает управляемые и рекомендуемые файлы политик в файловую системы агента (minion).
Состояние tpl-yb-settings.clean
Удаляет управляемые и рекомендуемые файлы политик из файловой системы агента (minion).
Пример файла pillar.example
tpl-yb-settings:
# Override map.jinja
lookup:
# Переопределите значение map.jinja
policies:
# Задайте параметры управляемых политик
managed:
# Задайте имя файла с управляемыми политиками (.json), который будет помещен в файловую систему агента
name: "managed_policies"
# Задайте имя файла с управляемыми политиками (.json) для загрузки на агент, этот файл может быть помещен как на
# сервере управления, так и на сервере HTTP(S) или FTP server. Значение может быть пустой строкой
source: "salt://tpl-yb-settings/files/managed_policies.json"
# Задайте параметры рекомендуемых политик
recommended:
# SЗадайте имя файла с рекомендуемыми политиками (.json), который будет помещен в файловую систему агента
name: "recommended_policies"
# Задайте имя файла с рекомендуемыми политиками (.json) для загрузки на агент, этот файл может быть помещен как на
# сервере управления, так и на сервере HTTP(S) или FTP server. Значение может быть пустой строкой
source: "salt://tpl-yb-settings/files/recommended_policies.json"Написание формулы типа tpl-yb-settings
-
Скопируйте формулу-шаблон (
tpl-yb-settings) в новую директорию с новым названием (my-yb-settings):$ tar -xvf ~/Downloads/osmax-salt-formulas-0.11.0.tar.gz \ --strip-components 3 \ -C ~/ \ ./formulas/tpl-yb-settings-formula/tpl-yb-settings $ cp -R ~/tpl-yb-settings/ ~/my-yb-settings && cd ~/my-yb-settings -
Измените файл
./files/managed_policies.json, добавив в него политики, которые нужно принудительно применить на устройствах пользователей.В качестве примера рассмотрим добавление нескольких разрешающих и запрещающую по умолчанию все доступы URL политик:
{ "URLBlocklist": ["*"], "URLAllowlist": [ "browser://policy", "duckduckgo.com", "https://yandex.ru/pogoda", "file://*" ] } -
Измените файл
./files/recommended_policies.json, добавив в него политики:{ "HomepageLocation": "https://duckduckgo.com" } -
В файле состояний
install.sls(установка политик) измените ID состояний:# -*- coding: utf-8 -*- # vim: ft=sls {#- Get the `tplroot` from `tpldir` #} {%- set tplroot = tpldir.split('/')[0] %} {%- from tplroot ~ "/map.jinja" import mapdata as tplybsettings with context %} {%- if tplybsettings.policies.managed.source %} my-yb-settings-install-file-managed-policies-managed: file.managed: - name: "/etc/opt/yandex/browser/policies/managed/{{ tplybsettings.policies.managed.name }}.json" - source: {{ tplybsettings.policies.managed.source }} - skip_verify: True - makedirs: True {%- endif %} {%- if tplybsettings.policies.recommended.source %} my-yb-settings-install-file-managed-policies-recommended: file.managed: - name: "/etc/opt/yandex/browser/policies/recommended/{{ tplybsettings.policies.recommended.name }}.json" - source: {{ tplybsettings.policies.recommended.source }} - skip_verify: True - makedirs: True {%- endif %} -
В файле состояний
clean.sls(удаление политик) измените ID состояний:# -*- coding: utf-8 -*- # vim: ft=sls {#- Get the `tplroot` from `tpldir` #} {%- set tplroot = tpldir.split('/')[0] %} {%- from tplroot ~ "/map.jinja" import mapdata as tplybsettings with context %} {%- if tplybsettings.policies.managed.source %} my-yb-settings-clean-file-absent-policies-managed: file.absent: - name: "/etc/opt/yandex/browser/policies/managed/{{ tplybsettings.policies.managed.name }}.json" {%- endif %} {%- if tplybsettings.policies.recommended.source %} my-yb-settings-clean-file-absent-policies-recommended: file.absent: - name: "/etc/opt/yandex/browser/policies/recommended/{{ tplybsettings.policies.recommended.name }}.json" {%- endif %} -
Измените файл
map.jinja(словарь со значениями по умолчанию):-
Измените имя ключа для словаря в хранилище Pillar, используемого для динамического переопределения значений по умолчанию.
-
Измените значения
policies.managed.sourceиpolicies.recommended.sourceи расположение файлов политикfile_name.{% set mapdata = salt['grains.filter_by']({ 'default': { 'policies': { 'managed': { 'name': 'managed_policies', 'source': 'salt://my-yb-settings/files/managed_policies.json', }, 'recommended': { 'name': 'recommended_policies', 'source': 'salt://my-yb-settings/files/recommended_policies.json', }, }, }, }, merge=salt['pillar.get']('my-yb-settings:lookup'), base='default') %}
-
| После того как формула будет написана, следуйте инструкциям по работе с формулой в разделе «Работа с формулами». |
Формула tpl-yb-settings-formula
Формула-шаблон для управления настройками веб-браузера Yandex.
Доступные состояния
Состояние tpl-yb-settings
Мета-состояние (состояние, которое включает в себя другие состояния).
Устанавливает политики Яндекс-браузера.
Имеет зависимость от tpl-yb-settings.install через список include.
Состояние tpl-yb-settings.install
Загружает управляемые и рекомендуемые файлы политик в файловую системы агента (minion).
Состояние tpl-yb-settings.clean
Удаляет управляемые и рекомендуемые файлы политик из файловой системы агента (minion).
Пример файла pillar.example
tpl-yb-settings:
# Override map.jinja
lookup:
# Переопределите значение map.jinja
policies:
# Задайте параметры управляемых политик
managed:
# Задайте имя файла с управляемыми политиками (.json), который будет помещен в файловую систему агента
name: "managed_policies"
# Задайте имя файла с управляемыми политиками (.json) для загрузки на агент, этот файл может быть помещен как на
# сервере управления, так и на сервере HTTP(S) или FTP server. Значение может быть пустой строкой
source: "salt://tpl-yb-settings/files/managed_policies.json"
# Задайте параметры рекомендуемых политик
recommended:
# SЗадайте имя файла с рекомендуемыми политиками (.json), который будет помещен в файловую систему агента
name: "recommended_policies"
# Задайте имя файла с рекомендуемыми политиками (.json) для загрузки на агент, этот файл может быть помещен как на
# сервере управления, так и на сервере HTTP(S) или FTP server. Значение может быть пустой строкой
source: "salt://tpl-yb-settings/files/recommended_policies.json"Написание формулы типа tpl-yb-settings
-
Скопируйте формулу-шаблон (
tpl-yb-settings) в новую директорию с новым названием (my-yb-settings):$ tar -xvf ~/Downloads/osmax-salt-formulas-0.11.0.tar.gz \ --strip-components 3 \ -C ~/ \ ./formulas/tpl-yb-settings-formula/tpl-yb-settings $ cp -R ~/tpl-yb-settings/ ~/my-yb-settings && cd ~/my-yb-settings -
Измените файл
./files/managed_policies.json, добавив в него политики, которые нужно принудительно применить на устройствах пользователей.В качестве примера рассмотрим добавление нескольких разрешающих и запрещающую по умолчанию все доступы URL политик:
{ "URLBlocklist": ["*"], "URLAllowlist": [ "browser://policy", "duckduckgo.com", "https://yandex.ru/pogoda", "file://*" ] } -
Измените файл
./files/recommended_policies.json, добавив в него политики:{ "HomepageLocation": "https://duckduckgo.com" } -
В файле состояний
install.sls(установка политик) измените ID состояний:# -*- coding: utf-8 -*- # vim: ft=sls {#- Get the `tplroot` from `tpldir` #} {%- set tplroot = tpldir.split('/')[0] %} {%- from tplroot ~ "/map.jinja" import mapdata as tplybsettings with context %} {%- if tplybsettings.policies.managed.source %} my-yb-settings-install-file-managed-policies-managed: file.managed: - name: "/etc/opt/yandex/browser/policies/managed/{{ tplybsettings.policies.managed.name }}.json" - source: {{ tplybsettings.policies.managed.source }} - skip_verify: True - makedirs: True {%- endif %} {%- if tplybsettings.policies.recommended.source %} my-yb-settings-install-file-managed-policies-recommended: file.managed: - name: "/etc/opt/yandex/browser/policies/recommended/{{ tplybsettings.policies.recommended.name }}.json" - source: {{ tplybsettings.policies.recommended.source }} - skip_verify: True - makedirs: True {%- endif %} -
В файле состояний
clean.sls(удаление политик) измените ID состояний:# -*- coding: utf-8 -*- # vim: ft=sls {#- Get the `tplroot` from `tpldir` #} {%- set tplroot = tpldir.split('/')[0] %} {%- from tplroot ~ "/map.jinja" import mapdata as tplybsettings with context %} {%- if tplybsettings.policies.managed.source %} my-yb-settings-clean-file-absent-policies-managed: file.absent: - name: "/etc/opt/yandex/browser/policies/managed/{{ tplybsettings.policies.managed.name }}.json" {%- endif %} {%- if tplybsettings.policies.recommended.source %} my-yb-settings-clean-file-absent-policies-recommended: file.absent: - name: "/etc/opt/yandex/browser/policies/recommended/{{ tplybsettings.policies.recommended.name }}.json" {%- endif %} -
Измените файл
map.jinja(словарь со значениями по умолчанию):-
Измените имя ключа для словаря в хранилище Pillar, используемого для динамического переопределения значений по умолчанию.
-
Измените значения
policies.managed.sourceиpolicies.recommended.sourceи расположение файлов политикfile_name.{% set mapdata = salt['grains.filter_by']({ 'default': { 'policies': { 'managed': { 'name': 'managed_policies', 'source': 'salt://my-yb-settings/files/managed_policies.json', }, 'recommended': { 'name': 'recommended_policies', 'source': 'salt://my-yb-settings/files/recommended_policies.json', }, }, }, }, merge=salt['pillar.get']('my-yb-settings:lookup'), base='default') %}
-
| После того как формула будет написана, следуйте инструкциям по работе с формулой в разделе «Работа с формулами». |
Формула tpl-group-members-formula
Формула-шаблон для управления членством в локальных группах.
Доступные состояния
Состояние tpl-group-members
Мета-состояние (состояние, которое включает в себя другие состояния).
Создает и управляет локальными настройками групп.
Имеет зависимость от tpl-group-members.install через список include.
Состояние tpl-group-members.install
Создает group_name (если эта группа отсутствует на агенте (minion)) и изменяет настройки группы.
-
если для параметра
changeустановлено значениеadd, список пользователей будет добавлен в качестве новых членов группы; -
если для параметра
changeустановлено значениеdel, пользователи будут исключены из состава группы; -
если для параметра
changeустановлено значение"", заменяет существующих членов группы списком новых участников.
Состояние tpl-group-members.clean
Удаляет группу group_name на агенте (minion).
Пример файла pillar.example
tpl-group-members:
# Переопределите значение map.jinja
lookup:
# Задайте имя группы
group_name: "sudo"
# Задайте id для группы;
# Если оставить поле пустым, группе автоматически будет присвоен следующий свободный идентификатор.
gid: ""
# Укажите, является ли группа системной группой.
# Это опция '-r' в команде 'groupadd`
system: false
# Задайте действие для списка пользователей: добавить (`add`), удалить(`del`) или заменить ("").
change: ""
# Задайте список пользователей
users: [
"user1",
"user2",
]Написание формулы типа tpl-group-members-formula
-
Скопируйте формулу-шаблон (
tpl-group-members) в новую директорию с новым названием (my-group-members).$ tar -xvf ~/Downloads/osmax-salt-formulas-X.Y.Z.tar.gz \ --strip-components 3 \ -C ~/ \ ./formulas/tpl-yb-settings-formula/tpl-group-members $ cp -R ~/tpl-group-members/ ~/my-group-members && cd ~/my-group-members -
В файле состояний
install.sls(создание и настройка группы) измените ID состояний:# -*- coding: utf-8 -*- # vim: ft=sls {#- Get the `tplroot` from `tpldir` #} {%- set tplroot = tpldir.split('/')[0] %} {%- from tplroot ~ "/map.jinja" import mapdata as tplgroupmembers with context %} {%- if tplgroupmembers.group_name %} my-group-members-group-present: group.present: - name: {{ tplgroupmembers.group_name }} {%- if tplgroupmembers.gid %} - gid: {{ tplgroupmembers.gid }} {%- endif %} {%- if tplgroupmembers.system %} - system: {{ tplgroupmembers.system }} {%- endif %} {%- if tplgroupmembers.change == 'add' %} - addusers: {{ tplgroupmembers.users }} {%- elif tplgroupmembers.change == 'del' %} - delusers: {{ tplgroupmembers.users }} {%- else %} - members: {{ tplgroupmembers.users }} {%- endif %} {%- endif %} -
В файле состояний
clean.sls(удаление группы) измените ID состояний:# -*- coding: utf-8 -*- # vim: ft=sls {#- Get the `tplroot` from `tpldir` #} {%- set tplroot = tpldir.split('/')[0] %} {%- from tplroot ~ "/map.jinja" import mapdata as tplgroupmembers with context %} {%- if tplgroupmembers.group_name %} my-group-members-group-absent: group.absent: - name: {{ tplgroupmembers.group_name }} {%- endif %} -
Измените файл
map.jinja(словарь со значениями по умолчанию). Например, добавьте в группуsudoнекоторых пользователей, для этого:-
Измените имя ключа для словаря в хранилище Pillar, используемого для динамического переопределения значений по умолчанию.
-
Измените значение
group_nameнаsudo. -
Измените значение
changeнаadd(добавить в группу). -
Измените значение
users, указав список пользователей.{% set mapdata = salt['grains.filter_by']({ 'default': { 'group_name': 'sudo', 'gid': '', 'system': false, 'change': '', 'users': [ 'user1', 'user2', ], }, }, merge=salt['pillar.get']('my-group-members:lookup'), base='default') %}
-
| После того как формула будет написана, следуйте инструкциям по работе с формулой в разделе «Работа с формулами». |
Настройка режима мульти-мастер с автоматическим переключением (failover)
Режим мульти-мастер с автоматическим переключением (failover) используется для бесперебойного обслуживания большого количества устройств в инфраструктуре.
При стандартном подключении агент (minion) получает открытый ключ проверки от сервера управления (master) и, в случае сбоя сети или оборудования, выдает ошибку и завершает работу. В режиме мульти-мастер с автоматическим переключением (failover) при неисправности одного сервера управления (master) агент (minion) переключается на следующий и продолжает работу.
Чтобы настроить режим мульти-мастер с автоматическим переключением (failover), необходимо:
| Подробную информацию о режиме мульти-мастер с автоматическим переключением (failover) см. в официальной документации. |
Настройка подписи открытого ключа на серверах управления (masters)
-
Cоздайте файл конфигурации сервера управления (master)
/etc/salt/master.d/master_sign_pubkey.conf. -
В конфигурационном файле сервера управления (master) включите настройку подписи всех открытых ключей, установив значение параметра:
master_sign_pubkey: True -
Перезапустите службу
salt-master. После перезапуска сервер управления (master) автоматически создаст новую пару ключей:master_sign.pem master_sign.pub
-
(Опционально) задайте имя для пары ключей подписи, установив значение параметра:
master_sign_key_name: <name_without_suffix>
Сервер управления (master) создаст эту пару ключей при перезапуске и будет использовать ее для создания подписи открытых ключей, прикрепленной к ответу аутентификации.
Вычисления выполняются для каждого запроса аутентификации агента (minion). Если большое количество агентов (minions) часто
аутентифицируются, рекомендуется использовать настройки conf_master:master_pubkey_signature и
conf_master:master_use_pubkey_signature, описанные ниже.
Если используются несколько серверов управления (masters), и они должны подписывать свои ответы аутентификации,
пара ключей master_sign.* должна быть скопирована на каждый сервер управления (master). В противном случае агент (minion)
не сможет проверить открытые ключи сервера управления (master) при подключении к другому серверу управления (master), так
как подпись открытых ключей была создана с другой парой ключей.
Настройка параметров оптимизации производительности работы сервера управления (master)
При описанной выше настройке сервер управления (master) вычисляет подпись для каждого запроса аутентификации, что требует большого количества ресурсов процессора.
Чтобы избежать высокой нагрузки, сервер управления (master) может использовать созданную заранее подпись публичного ключа. Такая подпись сохраняется в виде строки в кодировке Base64, которую сервер управления (master) читает один раз при запуске и прикрепляет только эту строку к ответам аутентификации.
Включение этого параметра также дает пользователям возможность иметь пару ключей подписи в системе, отличной от текущего сервера управления (master), и создавать там подпись с открытыми ключами. Вероятно, в системе с более строгими правилами брандмауэра, без доступа в Интернет и с меньшим количеством пользователей.
Чтобы создать такую подпись, выполните команду:
salt-key --gen-signature
В директории сервера управления (master) pki будет создан файл с подписью по умолчанию:
/etc/salt/pki/master/master_pubkey_signature
Это простой текстовый файл с двоичной подписью, преобразованной в base64. Если пара подписи еще не существует, пара подписи и файл подписи будут автоматически созданы за один вызов:
salt-key --gen-signature --auto-create
Чтобы сервер управления (master) использовал пересозданную подпись, установите значение параметра:
master_use_pubkey_signature: True
Для этого в каталоге сервера управления (master) pki должен присутствовать файл master_pubkey_signature с
правильной подписью.
Если у файла будет другое имя, задайте его, указав значение параметра:
master_pubkey_signature: <filename>
При наличии большого количества серверов управления (masters) и открытых ключей (по умолчанию и для подписи)
рекомендуется использовать имя хоста salt-masters для имен файлов подписи. Подписи легко перепутать,
поскольку они не несут никакой информации о ключе, из которого была создана подпись.
Настройка проверки подписи открытых ключей на агентах (minions)
-
Скопируйте открытый ключ (по умолчанию
master_sign.pub) с сервера управления (master) в каталог агента (minion)pki:/etc/salt/pki/minion/master_sign.pub
Для проверки подписи агент (minion) должен иметь доступ только к открытому ключу. Нельзя копировать файл master_sign.pem. Он должен храниться только на сервере управления (master). -
Включите проверку подписи открытого ключа на агенте (minions) — в конфигурационном файле агента (minion) задайте значение параметра:
verify_master_pubkey_sign: True
-
Перезапустите агента (minion).
При необходимости вы можете запускать проверку для каждой попытки аутентификации, которые могут выполняться довольно часто. Например, только запуск агента (minion) инициирует 6 проверок подписи: для аутентификации, майнинга, highstate и т. д. Для этого включите настройку:
always_verify_signature: True
Включение режима мульти-мастер с автоматическим переключением (failover) на агенте (minion)
-
Задайте список адресов серверов управления (masters):
master: - 172.16.0.10 - 172.16.0.11 - 172.16.0.12В случае сбоев агент (minion) будет выполнять подключение к серверам управления (masters) по очереди в указанном порядке.
-
(Опционально) чтобы подключение выполнялось в случайном порядке, а не в порядке, указанном в параметре
master, установите значение параметра:random_master: True
-
Задайте тип сервера управления (masters):
master_type: failover
Первый сервер управления (master), принявший агента (minion), будет использоваться агентом (minion).
-
(Опционально) укажите временной интервал в секундах, через который будет выполняться проверка подключения агента (minion) к серверу управления (master), установив значение параметра:
master_alive_interval: <seconds>
Если будет установлена потеря связи, агент (minion) временно удалит сервер управления (master) из списка и попробует подключиться к другому серверу управления (master), выбрав следующий в порядке очереди или случайным образом, в зависимости от заданных настроек.
Настройка опции удаленной установки агентов (minions)
Чтобы настроить возможность удаленной установки агента (minion), выполните действия:
Установка пакета salt-ssh
При установке модуля координации (SaltStack), после того как вы скачаете и распакуете архив, установите пакет salt-ssh
любым удобным способом, например:
sudo apt install salt-ssh=3006.4
или
sudo apt install ./inno-salt/salt-ssh_3006.4_amd64.deb
Конфигурация сервера управления (master)
-
Cоздайте файл конфигурации сервера управления (master)
/etc/salt/master.d/roster.conf:roster_defaults: sudo: True ssh_options: - "StrictHostKeyChecking=no" - "UserKnownHostsFile=/dev/null"Где:
-
roster_defaults— блок параметров, которые используются при управлении удаленными серверами:-
sudo— параметр, указывающий на то, что при подключении к удаленному серверу через SSH команды выполняются от имени суперпользователя; -
ssh_options— список опций SSH, которые применяются при подключении к удаленным серверам:-
StrictHostKeyChecking— опция включения/выключения проверки хост-ключей (host key checking); возможные значения:-
yes— SSH-клиент строго проверяет ключи хостов при подключении к новым серверам: если ключ хоста не найден в файлеknown_hosts, SSH-клиент выдает предупреждение и запрашивает разрешение на добавление этого ключа в файлknown_hosts; -
no— отключение проверки ключей хостов;
-
-
UserKnownHostsFile— опция, указывающая путь к файлу, в котором хранятся известные ключи хостов (known hosts); по умолчанию, SSH клиент сохраняет ключи хостов в файле~/.ssh/known_hosts.
-
-
-
-
Создайте файл конфигурации
/etc/salt/roster(в формате, указанном в примере ниже) и укажите в нем список устройств, к которым должны применяться настройки ростера, заданные в файле/etc/salt/master.d/roster.conf.Пример файла:
dev-osmax-vm0104.osmax.terra.inno.tech: {} dev-osmax-vm0105.osmax.terra.inno.tech: {} ... dev-osmax-vm0109.osmax.terra.inno.tech: {}
Настройка обмена SSH-ключами между сервером управления (master) и агентами (minions)
Настройки сервера управления (master)
Настройки, приведенные ниже, выполняются на хосте, на котором установлен сервера управления (master).
-
Создайте директорию для хранения ключей, используемых
salt-ssh, выполнив команду:sudo mkdir -p /etc/salt/pki/master/ssh/
-
Создайте SSH-ключ, который позволит подключиться к хосту для последующей удаленной установки агента, выполнив команду:
sudo ssh-keygen -b 3072 -t rsa -q -N '' -f /etc/salt/pki/master/ssh/salt-ssh.rsa -C "salt-ssh"
-
Измените права доступа к файлу, выполнив команду:
sudo chmod 600 /etc/salt/pki/master/ssh/salt-ssh.rsa
Если сервер управления (master) запускается не под root-пользователем, может потребоваться смена владельца файла. Например, если сервер управления (master) запускается под пользователем с именем salt, выполните команду:sudo chown salt: /etc/salt/pki/master/ssh/salt-ssh.rsa
-
Проверьте публичную часть созданного ключа и сохраните ее в буфер обмена для дальнейшего использования на удаленном хосте, выполнив команду:
sudo cat /etc/salt/pki/master/ssh/salt-ssh.rsa.pub
Пример результата:
ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABgQCdAzMz56BL2XLxsayXA4LyEuFcBVKgU2MHOJltcR6AAMio4Sb8y2cvRhe3io9jhpl/8zsYjzpIRFpXJMK5W1INeVGs5x+MzpucrrcrvNzBdPWYXsEvyYgdzmpjB89X/66hr1qQZ6G/UXkFpdvpRfhE8yefYjZnIhj+dAiUF0ZhRm7oX7QYX2hOLLwGAZ3M9aOmqT+T9XmqF0yrf+KotREEvSlWtR0SJ3c67vqLxPXcn4hlrjAHrl6agvlGyHMVA1S9/cyDwh/3Q+WDS/M3TfHBiJWqXJQPC9rDtUOfJl9HT0RbkBif8wYOSkUO995iMarSj+hPL9pZ8a6u2+9EiSlNwIrAwj19OUvJl/ydek+49VhOvTqXO+UqeD+Yqlb0nEp4tip5XcSihUG2xl9c6GPVvNk8B4WWh2XHzxrEQpL2OXqcY1kbkguisaBUtFOmN3OaqGkoqdVAaIFiq1FJaF4b0yD4gmF5Ni5EaYPkApdHQO1Bu6jItnsXApVIywNpCGE= salt-ssh
Настройки удаленного хоста (без агента)
Настройки, приведенные ниже, выполняются на удаленном хосте, на котором еще не установлен агент (minion).
-
Убедитесь, что служба
sshdзапущена и работает, выполнив команду:sudo systemctl status sshd
Ответ должен содержать значение
Active: active (running). -
Убедитесь, что создан пользователь, под которым будет производиться удаленная установка агента и под этим пользователем можно подключиться по SSH. Пользователь должен быть наделен root-правами или правами необходимыми для выполнения административных действий.
Далее в качестве примера используется пользователь с именем
salt-ssh. -
Откройте или создайте файл
/home/salt-ssh/.ssh/authorized_keysдля редактирования, где/home/salt-ssh— это домашний каталог пользователя, под которым будет производиться удаленная установка:sudo vi /home/salt-ssh/.ssh/authorized_keys
-
Вставьте в файл публичный ключ, скопированный ранее в буфер обмена, например:
ssh-rsa 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 salt-ssh
-
Убедитесь, что файл имеет правильные права доступа и владельца, выполнив команду:
sudo chmod 600 /home/salt-ssh/.ssh/authorized_keys
При необходимости отредактируйте данные, выполнив команду:
sudo chown salt-ssh: /home/salt-ssh/.ssh/authorized_keys
-
Выполните проверку доступов на хосте сервера управления (master), выполнив шаги, описанные в разделе ниже.
Проверка подключения на хосте сервера управления (master)
Чтобы выполнить проверку подключения к удаленному серверу с хоста сервера управления (master), выполните команду:
sudo ssh -i /etc/salt/pki/master/ssh/salt-ssh.rsa -oStrictHostKeyChecking=no -oUserKnownHostsFile=/dev/null "<имя_пользователя>@<имя_удаленного_хоста>" id
Где:
имя_удаленного_хоста — имя хоста, настройки которого были выполнены выше, и на который будет производиться
установка агента (minion);
имя_пользователя — имя пользователя, под которым будет производиться подключение и запуск скриптов установки
агента (minion) через Осмакс.
В случае успешного подключения на удаленном хосте отображается идентификатор пользователя, например:
uid=1000(admin) gid=1000(admin) группы=1000(admin),27(sudo)
Модуль установки ОС
Модуль установки операционных систем (ОС) предназначен для автоматической установки ОС на устройства, поддерживающие BIOS (Basic Input/Output System) или UEFI (Unified Extensible Firmware Interface). Установка выполняется с использованием технологии PXE (Preboot eXecution Environment), которая позволяет загружать ОС через сеть.
При установке только по сети начальная программа-загрузчик iPXE хранится на HTTP(S)-сервере и/или TFTP-сервере, в зависимости от используемой прошивки оборудования (UEFI, включая UEFI CSM для загрузки в режиме BIOS, или BIOS).
В качестве альтернативного варианта программа-загрузчик iPXE может загружаться на устройство с флеш-накопителя (через USB) или с диска (через СD-ROM).
Продукт поддерживает установку по протоколам HTTP или HTTPS.
Доменная модель
Дистрибутив ОС
Сущность, предоставляющая установочный дистрибутив ОС, которая определяет, что будет установлено.
Включает:
-
ссылку на установочное ядро ОС во внешнем хранилище;
-
ссылку на файл временной файловой системы (initrd) во внешнем хранилище.
Профиль установки
Сущность, предоставляющая профиль установки, которая содержит информацию о том, как и с какими параметрами необходимо устанавливать ОС на устройство. Профиль установки может быть переиспользован — для одного установочного дистрибутива может существовать несколько профилей установки, определяющих способ и параметры установки OC из указанного дистрибутива.
Включает:
-
список опций, с которыми запускается установочное ядро ОС;
-
шаблон файла автоответов;
-
шаблон скрипта пост-установки.
План развертывания
Связывает устройство с профилем установки и позволяет указать специфичные для устройства опции установки, а также переопределить часть опций профиля установки.
Включает:
-
данные для создания root-пользователя ОС;
-
данные для создания локального пользователя ОС;
-
доменное имя устройства по умолчанию.
Шаблоны конфигурационных файлов
Сущность, представляющая шаблоны различных категорий для формирования конфигурационных файлов, файлов ответов, скриптов пост-установки.
В общем случае шаблоны не являются универсальными (например, шаблон файла ответов существенно различается для семейства Debian и RedHat).
Поддерживается шаблонизация в формате jinja в части подстановки переменных и реализации логики формирования целевых файлов на основе шаблонов.
Поддерживаемые категории шаблонов:
-
файл автоответов;
-
скрипт пост-установки;
-
конфигурационный файл программы-загрузчика.
Поддерживаемые переменные подстановки:
-
переменные подстановки, которые задаются через конфигурационный файл — при указании значений таких переменных в конфигурационном файле к их именам необходимо добавить префикс
lcm.provisioner.template-engine.template-placeholders;Пример:
-
в файле конфигурации модуля
osmax-provisioner:lcm.provisioner.template-engine.template-placeholders.unattended_install_file_url=/v1/unattended_install_files
-
в шаблоне:
{{unattended_install_file_url}}
-
-
обязательные переменные установки, необходимые для корректной работы модуля установки ОС:
-
osmax.provisioner.template-engine.template-placeholders.osmax_provisioner_base_url=http://<osmax-provisioner-host>:<port>; -
osmax.provisioner.template-engine.template-placeholders.unattended_install_file_url=/v1/unattended_install_files; -
osmax.provisioner.template-engine.template-placeholders.repository_cert_url=</path/to/certificate>.
-
-
переменные подстановки, вычисляемые для связки устройства со способом развертывания:
| Наименование | Описание | Способ вычисления |
|---|---|---|
|
Наименование устройства |
Соответствует значению атрибута |
|
Имя домена |
Вычисляется по правилу: если сетевому интерфейсу устройства назначено доменное имя, то значение должно ему соответствовать; если значение не найдено, то возвращается значение доменного имени, указанное для связанного с устройством способа развертывания |
|
МAC-адрес |
Вычисляется на основании MAC-адреса, указанного на сетевом интерфейсе устройства |
|
Архитектура процессора |
Вычисляется на основании архитектуры процессора устройства |
|
Путь и имя файла, содержащего образ временной корневой системы |
Вычисляется как |
|
Путь и имя файла, в котором содержится ядро ОС |
Вычисляется как атрибут |
|
URL-адрес репозитория, где размещается установочный дистрибутив |
Вычисляется как атрибут |
|
Дополнительные опции ядра, с которыми выполняется установка |
Вычисляется как атрибут |
|
Признак необходимости создания локального пользователя |
Заполняется значением атрибута |
|
Используемый hash-алгоритм для задания паролей, доступные значения: MD5 и SHA512 |
Заполняется значением атрибута |
|
Hash пароля root (MD5/SHA512) |
Заполняется значением атрибута |
|
Полное имя пользователя, который будет создан |
Заполняется значением атрибута |
|
Имя пользователя, логин |
Заполняется значением атрибута |
|
Hash пароля пользователя |
Заполняется значением атрибута |
|
Внутренний идентификатор устройства |
Заполняется значением атрибута |
|
Метка развертывания |
Вычисляется как |
Загрузочный образ
Загрузочный образ, с помощью которого можно выполнить установку OC.
API-методы, предоставляемые модулем установки ОС позволяют варьировать только имя формируемого ISO-образа и имя сущности, а формируемые загрузочные образы имеют одинаковое поведение.
Устройство
Описание конечного устройства, на которое устанавливается ОС. Устройство должно обладать как минимум одним сетевым интерфейсом.
Включает:
-
hostname;
-
сетевой интерфейс (определяет MAC-адрес и доменное имя устройства);
-
ссылка на способ развертывания.
В ходе установки ОС устройство идентифицируется по его MAC-адресу.
Общее описание процесса установки ОС
Процесс установки можно условно разделить на следующие этапы:
Подготовительный этап
На этапе подготовки администратор выполняет шаги:
-
Настройка BIOS(UEFI) на устройстве, на которое будет выполняться установка ОС.
-
Загрузка установщика iPXE. В зависимости от способа установки:
-
по сети: необходимо подготовить инфраструктуру для хранения и получения начального загрузчика iPXE — задать конфигурации DHCP-сервера (или DHCP-Proxy);
или
-
через USB\CD-ROM: необходимо подготовить носитель USB\CD-ROM с загрузчиком iPXE.
-
Этап установки
На этапе установки загрузчик iPXE загружает ядро ОС и необходимые модули, после чего передает управление системе:
-
Загрузочный образ содержит универсальный iPXE-скрипт, который инициализирует сетевой интерфейс устройства и обращается к модулю установки ОС за iPXE-скриптом для конкретного устройства, указывая его MAC-адрес. Для этого используется API-метод
/v1/boot_loaders/{bootloaderId}/config. -
Модуль установки OC по MAC-адресу выполняет поиск устройства и связанный с ним способ развертывания, на основе этой информации рендерит шаблон iPXE-скрипта для конкретного устройства и отдает сформированный скрипт.
-
Устройство загружает установочное ядро целевой ОС и начинает ее установку.
-
После инициализации сетевого интерфейса установочное ядро запрашивает у модуля установки ОС файл автоответов, используя API-метод
/v1/unattended_install_files. -
Модуль установки ОС выполняет поиск устройства и связанный с ней способ развертывания по MAC-адресу, на основе этой информации рендерит шаблон файла автоответов для конкретного устройства и отдает сформированный скрипт.
-
Установка ОС выполняется согласно внутренней логике ОС с использованием предоставленного файла автоответов. Если в конце файла автоответов есть вызов пост-установочного скрипта, то установочное ядро целевой ОС запрашивает у модуля установки ОС скрипт пост-установки, используя API-метод
/v1/provisioning_scripts. -
Модуль установки OC выполняет поиск устройства и связанный с ней способ установки по
machineId, на основе этой информации рендерит шаблон пост-установочного скрипта и отдает сформированный скрипт. -
Установочное ядро целевой ОС (или установленное ядро целевой ОС, в зависимости от команды вызова скрипта) выполняет скрипт, после чего установка завершается.
| После завершения установки, если установка выполнялась с USB-накопителя на машине с BIOS, необходимо извлечь USB-накопитель или изменить в BIOS порядок загрузки, отдав приоритет жесткому диску компьютера. |
Настройка модуля установки ОС
| В комплект поставки модуля установки ОС входит предустановленный пример конфигурации, позволяющий выполнять установку ОС Astra SE 1.7.5.9 с использованием медианосителя. Наименование способа развертывания примера — «Установка Astra Linux 1.7.5.9 c загрузочного образа». |
Чтобы настроить модуль установки ОС, выполните шаги:
-
Создайте дистрибутив ОС, используя группу API-методов
xref:/v1/installation_distros.Внешний источник файлов установочного ядра ОС и временной файловой системы ( initrd) должен быть доступен по протоколу HTTP для устройств, на которые будет осуществляться установка ОС. -
Создайте шаблоны конфигурационных файлов, используя группу API-методов
/v1/templates:-
Шаблон, содержащий iPXE-скрипт, который инициализирует сетевой интерфейс устройства и обращается к модулю установки ОС за iPXE-скриптом для конкретного устройства, указывая его MAC-адрес.
Для создания укажите уникальное системное имя шаблона в url-ссылке метода (
/v1/boot_loaders/ipxe/config?templateSlug={templateSlug}).URL-cсылка на скрипт start.ipxeуказывается в конфигурации опций DHCP-сервера или DHCP-proxy. Дальнейший переход между iPXE-инструкциями происходит внутри iPXE-инструкций.Пример скрипта начального конфигурационного файла программы-загрузчика
start-ipxeс доверенной установкой:#!ipxe isset ${ipxe-osmax-provisioner} || set ipxe-osmax-provisioner {{ osmax_provisioner_base_url }} :start # Механизм получения IP-адреса. В случае ошибки -- предлагает нажать "s" для запуска командной строки. # Иначе -- начать снова. dhcp && goto next || prompt --key s --timeout 1500 Press "s" for the iPXE command line... && shell || goto start :next # В случае успеха загрузить установочный скрипт с HTTPS-сервера. # Формируется ссылка вида https://provisioning.wd2.local/v1/boot_loaders/ipxe/config?mac=xx:xx:xx:xx:xx:xx chain --replace ${ipxe-osmax-provisioner}/v1/boot_loaders/ipxe/config?mac=${net0/mac:hex} -
Шаблон, содержащий скрипт с инструкциями для конкретного устройства.
Пример шаблона скрипта конфигурационного файла программы-загрузчика
boot.ipxe:#!ipxe {% set autoinstallScript = osmax_provisioner_base_url + unattended_install_file_url + '?mac=' %} :startboot echo Booting Astra-linux kernel {{ repository_url }}{{ kernel }} initrd=initrd.gz initrd=preseed.cfg auto-install/enable=true netcfg/choose_interface=auto {{ kernel_options }} initrd {{ repository_url }}{{ initrd }} initrd {{ autoinstallScript }}${netX/mac:hex} preseed.cfg bootГде:
-
${os_distro}— дистрибутив устанавливаемой ОС согласно заданию на установку; -
${repository_url}— url репозитория, в котором размещается установочный дистрибутив, согласно заданию на установку.Пример шаблона скрипта конфигурационного файла программы-загрузчика
boot.ipxeс доверенной установкой:# cat /osmax_provisioner_base_url/https/astra-linux/boot.ipxe #!ipxe {% set autoinstallScript = osmax_provisioner_base_url + unattended_install_file_url + '?mac=' %} :startboot echo Booting Astra-linux - kernel {{ repository_url }}{{ kernel }} initrd=initrd.gz initrd=preseed.cfg auto-install/enable=true netcfg/choose_interface=auto + kernel {{ repository_url }}{{ kernel }} initrd=initrd.gz initrd=preseed.cfg initrd=rootCA.crt initrd=c16a7ee9.0 initrd=debian-archive-keyring.gpg auto-install/enable=true netcfg/choose_interface=auto initrd {{ repository_url }}{{ initrd }} initrd {{ autoinstallScript }}${netX/mac:hex} preseed.cfg + initrd {{ repository_cert_url }}/certs/rootCA.crt /etc/ssl/certs/rootCA.crt + initrd {{ repository_cert_url }}/certs/c16a7ee9.0 /etc/ssl/certs/c16a7ee9.0 + initrd {{ repository_url }}/astra-linux/debian-archive-keyring.gpg /usr/share/keyrings/debian-archive-keyring.gpg bootГде дополнительно указываются пути до файлов с сертификатами и ключами.
-
-
Создайте шаблон скрипта пост-установки.
Использование скрипта пост-установки является опциональным. Если вы предполагаете его использовать, загрузите соответствующий ему шаблон и пропишите вызов скрипта пост-установки в шаблоне файла автоответов. -
Создайте шаблон файла автоответов, используя API-метод
POST /v1/templates.Если вы предполагаете использовать скрипт пост-установки, пропишите его вызов в скрипте автоответов. Пример:
# вызов скрипта пост-установки in-target wget {{osmax_provisioner_base_url}}/v1/provisioning_scripts?machineId={{machine_id}} -O /tmp/post_install.sh; \ in-target chmod +x /tmp/post_install.sh; \ in-target /tmp/post_install.sh; \
-
-
Обеспечьте доступность по HTTP-протоколу зеркал репозитория пакетов, планируемых к установке ОС для устройств, на которые планируется осуществлять установку.
Используйте следующие команды скрипта автоустановки: d-i mirror/http/hostname d-i mirror/http/directory
-
Обеспечьте наличие в шаблоне файла автоответов вызовов, обслуживающих регистрацию статуса установки ОС на стороне модуля установки ОС:
# Регистрация старта установки (внутреннее использование) d-i preseed/early_command string wget --method=put --body-data='{"status":"READY_TO_INSTALL"}' --header="content-type: application/json" -O- {{osmax_provisioner_base_url}}/v1/unprovisioned_machines/{{machine_id}}/status # Финальные действия при установке, для расширения шаблона можно добавлять любые кастомные действия перед командам "вызов скрипта пост-инсталляции" и "Регистрация установки" d-i preseed/late_command string \ # Здесь размещается вызов скрипта постинсталляции если он используется # .. возможный вызов скрипта постинсталляции .. # Регистрация завершения установки (внутреннее использование) wget --method=put --body-data='{"status":"OS_INSTALLED"}' --header="content-type: application/json" -O- {{osmax_provisioner_base_url}}/v1/unprovisioned_machines/{{machine_id}}/status -
Создайте профиль установки, используя группу API-методов
/v1/installation_profiles. -
Создайте план развертывания, используя группу API-методов v1/installation_recipes`.
-
Создайте загрузочный образ, используя группу API-методов /v1/bootable_images`.
Достаточно сформировать один загрузочный образ. Он является универсальным и подходит для всех способов развертывания. -
Создайте устройства, используя группу API-методов
/v1/unprovisioned_machinesили через пользовательский интерфейс «Кабинет Администратора» (см. документ «Руководство администратора» раздел «Создание и настройка новых устройств»).
| Описание перечисленных выше API-методов см. в документе «Описание API» в разделе «API модуля установки ОС». |
Сборка универсального загрузочного образа и файла iPXE-загрузчика
Чтобы собрать универсальный загрузочный образ и файл iPXE-загрузчика, выполните шаги:
-
Установите необходимые пакеты и зависимости, выполнив команду:
apt install gcc binutils make perl syslinux git
-
Скопируйте исходный код для сборки iPXE-загрузчика, выполнив команду:
mkdir ipxe git clone https://github.com/ipxe/ipxe.git
-
Добавьте поддержку params and param, выполнив команду:
sed -i 's,//#define PARAM_CMD,#define PARAM_CMD,' ipxe/src/config/general.h cd ipxe/src
-
Соберите файл iPXE-загрузчика для UEFI, выполнив команду:
make bin-x86_64-efi/ipxe.efi
-
Соберите файл iPXE-загрузчика для BIOS Legacy, выполнив команду:
make bin/undionly.kpxe
-
Соберите файл iPXE-загрузчика для BIOS, выполнив команду:
make bin/ipxe.lkrn
Чтобы собрать универсальный загрузочный образ и файл iPXE-загрузчика для доверенной установки (см. раздел «Дополнительные настройки при работе по HTTPS (доверенная установка ОС)»), выполните шаги:
-
Установите необходимые пакеты и зависимости, выполнив команду:
apt install gcc binutils make perl mtools genisoimage syslinux openssl nginx sbsigntool git uuid-runtime efitools liblzma-dev
-
Скопируйте исходный код для сборки iPXE-загрузчика, выполнив команду:
mkdir ipxe git clone https://github.com/ipxe/ipxe.git
-
Добавьте поддержку HTTPS, выполнив команду:
sed -i 's/#undef\tDOWNLOAD_PROTO_HTTPS/#define\tDOWNLOAD_PROTO_HTTPS/' ipxe/src/config/general.h
-
Добавьте поддержку params and param, выполнив команду:
sed -i 's,//#define PARAM_CMD,#define PARAM_CMD,' ipxe/src/config/general.h cd ipxe/src
-
Соберите файл iPXE-загрузчика с корневым сертификатом сертификат (открытый ключ) УЦ, выполнив команду:
make bin-x86_64-efi/ipxe.efi CERT=${path}/rootCA.crt TRUST=${path}/rootCA.crt -
Соберите файл iPXE-загрузчика для BIOS Legacy с корневым сертификатом (открытый ключ) УЦ, выполнив команду:
make bin/undionly.kpxe CERT=${path}/rootCA.crt TRUST=${path}/rootCA.crt -
Соберите файл iPXE-загрузчика для BIOS с корневым сертификатом (открытый ключ) УЦ, выполнив команду:
make bin/ipxe.lkrn CERT=${path}/rootCA.crt TRUST=${path}/rootCA.crtГде переменная
${path}— путь к корневому сертификату УЦ; значение переменной определяется администратором при выполнении соответствующей команды.
После создания файлов iPXE-загрузчика разместите их:
-
make bin-x86_64-efi/ipxe.efi— на HTTP(S)-сервере и TFTP-сервере; -
make bin/undionly.kpxe— на TFTP-сервере; -
make bin/ipxe.lkrn— на HTTP(S)-сервере.
Также в конфигурационном файле application.properties модуля osmax-provisioner
(см. документ «Руководство по установке» раздел «Конфигурация модуля osmax-provisioner») укажите абсолютные пути до
файлов make bin-x86_64-efi/ipxe.efi и make bin/ipxe.lkrn.
Дополнительные настройки при работе по HTTPS (доверенная установка ОС)
При необходимости использования доверенной установки ОС выберите режим работы продукта по HTTPS и выполните дополнительные настройки:
-
Подготовьте SSL-сертификаты, которые будут использоваться для шифрования соединений.
-
Разместите корневой сертификат УЦ и hash-имя в HTTPS-репозитории.
-
Укажите сертификат УЦ и закрытый ключ в конфигурационном файле веб-сервера.
-
Разместите сертификат УЦ и закрытый ключ в HTTPS-репозитории.
-
Сохраните корневой сертификат в конфигурации UEFI, предварительно сконвертировав его в формат
.der.
Выпуск сертификатов
Чтобы выпустить сертификаты с закрытыми ключами, выполните шаги:
-
Создайте сертификаты для HTTPS-сервера, выполнив команду:
mkdir -p https_key/src && cd https_key/src
-
Создайте корневой закрытый ключ, выполнив команду:
openssl genpkey -algorithm RSA -out rootCA.key -aes-128-cbc
-
Создайте корневой сертификат (открытый ключ), выполнив команду:
openssl req -x509 -new -key rootCA.key -sha256 -days 3650 -out rootCA.crt # Country Name (2 letter code) [AU]:RU # State or Province Name (full name) [Some-State]:Moscow # Locality Name (eg, city) []:Moscow # Organization Name (eg, company) [Internet Widgits Pty Ltd]:wd2 # Organizational Unit Name (eg, section) []:. # Common Name (e.g. server FQDN or YOUR name) []:wd2
-
Создайте файл
.srlпорядковых номеров для выпуска сертификатов и приведите его к виду:# cat rootCA.srl 00
-
Создайте конфигурационный файл
.cnfдля домена и приведите его к виду:cat provisioning.cnf [ req ] default_bits = 2048 distinguished_name = req_distinguished_name req_extensions = req_ext [ req_distinguished_name ] countryName = Country Name (2 letter code) countryName_default = RU stateOrProvinceName = State or Province Name (full name) stateOrProvinceName_default = Moscow localityName = Locality Name (eg, city) localityName_default = Moscow organizationName = Organization Name (eg, company) organizationName_default = wd2 commonName = Common Name (eg, YOUR name or FQDN) commonName_max = 64 commonName_default = provisioning.wd2.local [ req_ext ] basicConstraints = CA:FALSE keyUsage = nonRepudiation, digitalSignature, keyEncipherment subjectAltName = DNS:provisioning.wd2.local
-
Создайте закрытый ключ для домена, выполнив команду:
openssl genpkey -algorithm RSA -out provisioning.key
-
Создайте файл запроса для домена, выполнив команду:
openssl req -new -key provisioning.key -config provisioning.cnf -reqexts req_ext -out provisioning.csr
-
Создайте сертификат для домена provisioner, выполнив команду:
openssl x509 -req -days 730 -CA rootCA.crt -CAkey rootCA.key -extfile provisioning.cnf -extensions req_ext -in provisioning.csr -out provisioning.crt
-
Создайте сертификат для нового домена (новая конечная точка (endpoint) HTTPS-репозиторий) по аналогии или используйте один wildcard-сертификат для всех, заменив на предыдущем шаге provisioning.wd2.local на *.wd2.local.
-
Создайте хеш-имя сертификата, выполнив команду:
cp /path/to/rootCA.crt /path/to/$(openssl x509 -noout -hash -in rootCA.crt).0
Дополнительная конфигурация веб-сервера (на примере Nginx)
Для того чтобы веб-сервер мог обрабатывать безопасные HTTPS-запросы с использованием заданного сертификата и ключа, в его конфигурационном файле задайте настройки:
# Дополнить конфигурацию для работы по HTTPS.
# На примере Nginx
#cat /etc/nginx/sites-enabled/default
server {
listen 443 ssl;
server_name provisioning.wd2.local;
ssl_certificate /etc/nginx/ssl/provisioning.wd2.local.crt;
ssl_certificate_key /etc/nginx/ssl/provisioning.wd2.local.key;
ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers HIGH:!aNULL:!MD5;
Где:
-
listen— настраивает прослушивание портов на сервере; -
server_name provisioning.wd2.local— имя хоста (домен), для которого будет работать данный виртуальный сервер; -
ssl_certificate— путь к файлу сертификата SSL, который будет использоваться для шифрования соединений; -
ssl_certificate_key— путь к файлу закрытого ключа, который соответствует сертификату SSL; -
ssl_protocols— поддерживаемые версии протокола TLS; -
ssl_ciphers— набор шифров, которые могут использоваться для шифрования соединений.
Конфигурация модуля osmax-provisioner
В конфигурационном файле application.properties модуля osmax-provisioner (см. документ «Руководство по установке»
раздел «Конфигурация модуля osmax-provisioner») задайте параметры:
## Параметры для настройки SSL соединения ## Для включения режима работы по HTTPS, необходимо раскомментировать следующие параметры: ## Настройка для отклонения http-запросов #quarkus.http.insecure-requests=disabled #quarkus.http.ssl-port=8081 ## Путь до хранилища сертификатов в формате JKS: #quarkus.http.ssl.certificate.key-store-file=/opt/osmax-core/keystore.jks ## Пароль от хранилища сертификатов: #quarkus.http.ssl.certificate.key-store-password=keystore@12345
Настройка BIOS(UEFI)
Настройка BIOS(UEFI) на устройстве различается в зависимости от способа установки.
При установке по сети включите PXE и определите приоритеты загрузки следующим образом:
-
Системный диск.
-
PXE.
Такой порядок позволяет выполнять поиск установщика ОС на системном диске и, при его отсутствии, запускать поиск загрузчика через PXE.
При установке с флеш-накопителя определите приоритеты загрузки следующим образом:
-
Системный диск.
-
USB.
Установка по сети
При установке по сети используются следующие компоненты PXE:
-
DHCP-сервер.
PXE-клиент запрашивает IP-адрес через DHCP. DHCP-сервер также предоставляет информацию о TFTP-сервере, с которого загружается образ ОС.
-
TFTP-сервер.
После получения IP-адреса и информации о TFTP-сервере, PXE-клиент подключается к TFTP-серверу для загрузки начального загрузчика iPXE.
-
Загрузчик iPXE.
Загрузчик загружает ядро ОС и необходимые модули, после чего передает управление системе.
Чтобы выполнить установку, необходимо подготовить инфраструктуру для хранения и получения начального загрузчика iPXE. Для этого на сервере, на котором установлен бэкенд продукта, выполните настройку:
-
DHCP-сервера — отвечает за распределение и управление доступными IP-адресами и другими сетевыми параметрами, а также предоставляет пользовательскую конфигурацию сети.
-
(Альтернативный шаг) DHCP-Proxy — отвечает за передачу запросов к серверу.
DHCP-Proxy используется, если на стороне заказчика, по какой-либо причине невозможно внесение изменений в настройки DHCP-сервера. В этом случае необходимо развернуть DHCP-proxy (при его отсутствии) и вносить изменения в его конфигурацию.
Ниже приведены примеры конфигурации DHCP-сервера и DHCP-Proxy. В конфигурации предусмотрены условия для архитектур BIOS и UEFI. Для каждой архитектуры указываются свои файлы загрузчиков, которые будут загружаться через TFTP-сервер или HTTP-репозиторий. При этом в инфраструктуре заказчика должны быть развернуты TFTP-сервер и/или HTTP-репозиторий, в зависимости от используемой архитектуры (BIOS или UEFI).
Также в примере используются переменные:
-
${osmax_provisioner_base_url} — актуальная конечная точка (endpoint) модуля
osmax-provisionerдля получения стартового скрипта начального загрузчика;Для получения стартового скрипта загрузчика iPXE указан путь к методу
v1/boot_loaders/ipxe/config?templateSlug={templateSlug}, где в качестве значения атрибутаtemplateSlug, используется уникальное системное имя шаблона конфигурационного файла. -
${fqdn_tftp_server} —
fqdnподнятого TFTP-сервера, на котором хранится файл начального загрузчика iPXE; -
${fqdn_http_repo}-
fqdnHTTP-репозитория, на котором хранится файл начального загрузчика iPXE.Конфигурация DHCP-сервера:
# cat /etc/dhcp/dhcpd.conf # базовые DHCP-опции option domain-name "wd2.local"; option domain-name-servers 192.168.11.10; default-lease-time 7776000; max-lease-time 7776000; option ntp-servers 192.168.0.2; option routers 192.168.11.10; option ntp-servers 192.168.0.2; ddns-updates on; ddns-update-style interim; ignore client-updates; key dhcp-server.wd2.local. { algorithm hmac-md5; secret "R2xOu1NWXSPkvNqfP8Rm6Q=="; } # Определение формата опции 93 # При работе без DHCP-proxy раскомментировать #option client-architecture code 93 = unsigned integer 16; # Настройка сегмента сети subnet 192.168.11.0 netmask 255.255.255.0 { range 192.168.11.100 192.168.11.200; # При работе без DHCP-proxy раскомментировать блок ## Определение архитектуры клиента: ## Определение архитектуры DHCP-клиента как iPXE # if exists user-class and option user-class = "iPXE" { ## Путь до iPXE-инструкции для iPXE-загрузчика # filename "${osmax_provisioner_base_url}/v1/boot_loaders/ipxe/config?templateSlug={templateSlug}"; ## Определение архитектуры DHCP-клиента как UEFI HTTP # } elsif option client-architecture = encode-int ( 16, 16 ) { ## Путь до ipxe-загрузчика для UEFI # filename "${fqdn_http_repo}/ipxe.efi"; # option vendor-class-identifier "HTTPClient"; ## Определение архитектуры DHCP-клиента как BIOS # } elsif option client-architecture = 00:00 { ## Имя файла iPXE-загрузчика для BIOS на TFTP-сервере # filename "undionly.kpxe"; ## Адрес TFTP-сервера # next-server ${fqdn_tftp_server}; ## Определение архитектуры DHCP-клиента как UEFI # } elsif option client-architecture = 00:09 { ## Имя файла iPXE-загрузчика для UEFI на TFTP-сервере # filename "ipxe.efi"; ## Адрес TFTP-сервера # next-server ${fqdn_tftp_server}; ## Определение архитектуры DHCP-клиента как UEFI # } elsif option client-architecture = 00:07 { ## Имя файла iPXE-загрузчика для UEFI на TFTP-сервере # filename "ipxe.efi"; ## Адрес TFTP-сервера # next-server ${fqdn_tftp_server}; ## Если архитектура не определена, отдавать iPXE-загрузчик для UEFI # } else { ## Имя файла iPXE-загрузчика для UEFI на TFTP-сервере # filename "ipxe.efi"; ## Адрес TFTP-сервера # next-server ${fqdn_tftp_server}; # } # базовые DHCP-опции ddns-domainname "wd2.local"; ddns-rev-domainname "in-addr.arpa"; zone 11.168.192.in-addr.arpa. { primary 127.0.0.1; key dhcp-server.wd2.local.; } }Конфигурация DHCP-сервера c доверенной установкой:
# cat /etc/dhcp/dhcpd.conf # базовые DHCP-опции option domain-name "wd2.local"; option domain-name-servers 192.168.11.10; default-lease-time 7776000; max-lease-time 7776000; option ntp-servers 192.168.0.2; option routers 192.168.11.10; option ntp-servers 192.168.0.2; ddns-updates on; ddns-update-style interim; ignore client-updates; key dhcp-server.wd2.local. { algorithm hmac-md5; secret "R2xOu1NWXSPkvNqfP8Rm6Q=="; } # Определение формата опции 93 # При работе без DHCP-Proxy раскомментировать #option client-architecture code 93 = unsigned integer 16; # настройка сегмента сети subnet 192.168.11.0 netmask 255.255.255.0 { range 192.168.11.100 192.168.11.200; # При работе без DHCP-Proxy раскомментировать блок ## Определение архитектуры клиента: ## Определение архитектуры DHCP-клиента как iPXE # if exists user-class and option user-class = "iPXE" { - ## Путь до iPXE-инструкции для iPXE-загрузчика (по протоколу http) + ## Путь до iPXE-инструкции для iPXE-загрузчика (по протоколу https) # filename "${osmax_provisioner_base_url}/v1/boot_loaders/ipxe/config?templateSlug={templateSlug}"; ## Определение архитектуры DHCP-клиента как UEFI HTTP # } elsif option client-architecture = encode-int ( 16, 16 ) { ## Путь до ipxe-загрузчика для UEFI # filename "${fqdn_http_repo}/ipxe.efi"; # option vendor-class-identifier "HTTPClient"; ## Определение архитектуры DHCP-клиента как BIOS # } elsif option client-architecture = 00:00 { ## Имя файла iPXE-загрузчика для BIOS на TFTP-сервере # filename "undionly.kpxe"; ## Адрес TFTP-сервера # next-server ${fqdn_tftp_server}; ## Определение архитектуры dhcp-клиента как UEFI # } elsif option client-architecture = 00:09 { ## Имя файла iPXE-загрузчика для UEFI на TFTP-сервере # filename "ipxe.efi"; ## Адрес TFTP-сервера # next-server ${fqdn_tftp_server}; ## Определение архитектуры DHCP-клиента как UEFI # } elsif option client-architecture = 00:07 { ## Имя файла iPXE-загрузчика для UEFI на TFTP-сервере # filename "ipxe.efi"; ## Адрес TFTP-сервера # next-server ${fqdn_tftp_server}; ## Если архитектура не определена отдавать iPXE-загрузчик для UEFI # } else { ## Имя файла iPXE-загрузчика для UEFI на TFTP-сервере # filename "ipxe.efi"; ## Адрес TFTP-сервера # next-server ${fqdn_tftp_server}; # } # базовые DHCP-опции ddns-domainname "wd2.local"; ddns-rev-domainname "in-addr.arpa"; zone 11.168.192.in-addr.arpa. { primary 127.0.0.1; key dhcp-server.wd2.local.; } }Конфигурации DHCP-Proxy:
cat /etc/dnsmasq.d/dhcp.conf # Основные настройки dnsmasq dhcp-no-override pxe-prompt="Press any key for boot menu", 2 # Отключает DNS-службу, оставляя только DHCP-функциональность. port=0 # Включает логирование DHCP-сообщений. log-dhcp # Создание меток для сопоставления архитектур dhcp-match=set:x86PC, option:client-arch, 0 dhcp-match=set:BC_EFI, option:client-arch, 7 dhcp-match=set:EFI _x86-64, option:client-arch, 9 dhcp-match=set:HTTPClient,option:client-arch,16 dhcp-match=set:iPXE,175 # Загрузочные опции для iPXE-клиентов на основе меток dhcp-boot=tag:iPXE,${osmax_provisioner_base_url}/v1/boot_loaders/ipxe/config?templateSlug={templateSlug} dhcp-boot=tag:iPXE,tag:x86PC,${osmax_provisioner_base_url}/v1/boot_loaders/ipxe/config?templateSlug={templateSlug},,0.0.0.1 dhcp-boot=tag:HTTPClient,${fqdn_http_repo}/ipxe.efi dhcp-boot=tag:!iPXE,tag:x86PC,undionly.kpxe,${fqdn_tftp_server} dhcp-boot=tag:!iPXE,tag:BC_EFI,ipxe.efi,${fqdn_tftp_server} dhcp-boot=tag:!iPXE,tag:EFI_ x86-64,ipxe.efi,${fqdn_tftp_server} # Диапазон DHCP, используемый в режиме проксирования (без выдачи IP-адресов). dhcp-range=192.168.11.100,proxy # DHCP option 93 | Client architecture # 0 Standard PC BIOS # 6 32-bit x86 EFI # 7 64-bit x86 EFI # 9 64-bit x86 EFI (obsolete) # 10 32-bit ARM EFI # 11 64-bit ARM EFI # 16 64-bit x86 UEFIhttpClientКонфигурации DHCP-Proxy с доверенной установкой:
cat /etc/dnsmasq.d/dhcp.conf # Основные настройки dnsmasq dhcp-no-override pxe-prompt="Press any key for boot menu", 2 # Отключает DNS-службу, оставляя только DHCP-функциональность. port=0 # Включает логирование DHCP-сообщений. log-dhcp # Создание меток для сопоставления архитектур dhcp-match=set:x86PC, option:client-arch, 0 dhcp-match=set:BC_EFI, option:client-arch, 7 dhcp-match=set:EFI _x86-64, option:client-arch, 9 dhcp-match=set:HTTPClient,option:client-arch,16 dhcp-match=set:iPXE,175 # Загрузочные опции для iPXE-клиентов на основе меток - # Путь до iPXE-инструкции для iPXE-загрузчика (по протоколу HTTP) + ## Путь до iPXE-инструкции для iPXE-загрузчика (по протоколу HTTPS) dhcp-boot=tag:iPXE,${osmax_provisioner_base_url}/v1/boot_loaders/ipxe/config?templateSlug={templateSlug} - # Путь до iPXE-инструкции для iPXE-загрузчика (по протоколу HTTP) + ## Путь до iPXE-инструкции для iPXE-загрузчика (по протоколу HTTPS) dhcp-boot=tag:iPXE,tag:x86PC,${osmax_provisioner_base_url}/v1/boot_loaders/ipxe/config?templateSlug={templateSlug},,0.0.0.1 dhcp-boot=tag:HTTPClient,${fqdn_http_repo}/ipxe.efi dhcp-boot=tag:!iPXE,tag:x86PC,undionly.kpxe,${fqdn_tftp_server} dhcp-boot=tag:!iPXE,tag:BC_EFI,ipxe.efi,${fqdn_tftp_server} dhcp-boot=tag:!iPXE,tag:EFI_ x86-64,ipxe.efi,${fqdn_tftp_server} # Диапазон DHCP, используемый в режиме проксирования (без выдачи IP-адресов). dhcp-range=192.168.11.100,proxy # DHCP option 93 | Client architecture # 0 Standard PC BIOS # 6 32-bit x86 EFI # 7 64-bit x86 EFI # 9 64-bit x86 EFI (obsolete) # 10 32-bit ARM EFI # 11 64-bit ARM EFI # 16 64-bit x86 UEFIhttpClient
-
Установка через USB\CD-ROM
-
Подготовьте носитель USB\CD-ROM с универсальным загрузочным образом. Для подготовки образа используется группа API-методов:
/v1/bootable_images. -
С подготовленного носителя загрузите на устройство универсальный загрузочный образ.
| После завершения установки не забудьте извлечь USB-накопитель или изменить в BIOS порядок загрузки, отдав приоритет жесткому диску компьютера. |
Интеграции
Раздел содержит описание:
Интеграция с брокером сообщений Kafka
На Рис. 1 представлена схема интеграции бэкенда продукта с брокером сообщений Kafka.
В рамках интеграции с брокером сообщений Kafka бэкенд продукта обеспечивает:
-
передачу данных со всех серверов управления (masters) в модуль бэкенда
osmax-core;В брокере сообщений Kafka создается топик
salt-topic— логическая единица организации данных, представляющая собой некоторое количество записей, которые называются сообщениями. Производитель, Kafka returner — модуль сервера управления (master), отправляет результаты выполнения команд и состояний, полученные от агентов (minions), в топик для дальнейшей обработки, а потребитель, модуль бэкенда продуктаosmax-core, читает сообщения из него. -
распределение запросов на установку ПО между серверами управления (masters);
При запросе на установку ПО на агенте (minion) модуль бэкенда
osmax-coreотправляет HTTP-запрос, содержащий идентификатор агента (minion), на соответствующий сервер управления (master). Чтобы корректно определить сервер управления (master), модуль бэкендаosmax-coreанализирует следующие сообщения о событиях SaltStack, полученные через брокер сообщений Kafka:-
minion_ping— указывает на то, что агент (minion) только что отправил ping-запрос на сервер управления (master); -
minion_start— указывает на то, что агент (minion) только что запустился; -
/minion/refresh/<minion-id>— указывает на то, что была выполнена операция обновления данных на агенте (minion) с указанным идентификатором, который определяет Kafka returner при обработке сообщений.
-
-
регистрацию новых устройств в БД продукта;
Модуль бэкенда
osmax-provisionerполучает информацию об успешной установке (устройство в статусеOS_INSTALLED— установлено), публикует информацию о нем в топике Apache Kafkaprovisioner-topicи переводит устройство в статусCOMPLETED — выполнено.Модуль бэкенда
osmax-coreполучает информацию о новом устройстве из топикаprovisioner-topic. Если такого устройства нет в БД, то создается новая запись о нем.Если при обработке сообщения возникает ошибка, то выполняются попытки обработать его повторно средствами конфигурируемого механизма retry. Если попытки повторной обработки не приводят к успеху, устройство не регистрируется в БД, а обрабатываемое сообщение перемещается в топик
provisioner-dlq-topic(Dead Letter Queue) для последующей обработки администраторами системы в ручном режиме. -
регистрацию устройств в БД продукта, на которых переустановлена ОС.
Модуль бэкенда
osmax-coreпередает информацию в топикosmax.core.os.reinstallation.machinesоб устройствах, а модуль бэкендаosmax-provisionerполучает информацию об этих устройствах.Получив данные,
osmax-provisionerрегистрирует их и передает в топикosmax-provisioner.os.reinstallation.machines.registration.statusesстатусы:COMPLETED— выполнено; илиCOMPLETED_WITH_ERROR— выполнено с ошибкой. Модульosmax-coreзабирает эти данные и запускает применение формулыos-bootstrap-formula, которая выполняет подготовку к переустановке и перезапуск устройства. После этого инициируется процесс переустановки ОС.После переустановки ОС (или ошибки переустановки ОС) модуль
osmax-provisionerпередает данные отдельно по каждому устройству в топикprovisioner-topic. Модульosmax-coreзабирает эту информацию и актуализирует статус применения конфигурации «Переустановка ОС» к устройству.
Перед тем как настроить интеграцию необходимо:
-
Установить Apache Kafka, следуя инструкциям в официальной документации.
-
Создать топики, перечисленные ниже, следуя инструкции в официальной документации.
-
Для передачи данных с серверов управления (masters) в модуль
osmax-core(например,salt-topic). -
Для передачи информации о новых устройствах из модуля osmax-provisioner в модуль
osmax-core(например, provisioner-topic). -
Dead Letter Queue (DLQ) для приема сообщений, которые не были успешно обработаны модулем
osmax-coreв рамках регистрации информации о новых устройствах (например,provisioner-dlq-topic). Такие сообщения в дальнейшем будут обрабатываться администраторами системы. -
Для передачи данных из модуля
osmax-coreв модульosmax-provisionerоб устройствах, на которые назначена переустановка (например,osmax-core.os.reinstallation.machines). -
Для передачи статуса переустановки из модуля
osmax-provisionerв модульosmax-core(например,osmax-provisioner.os.reinstallation.machines.registration.statuses).Для топиков рекомендуется задать параметры:
-
retention— время, в течение которого сообщения будут храниться в топике до момента удаления; -
partitions— способ физического разделения данных в топике на несколько частей. Эти параметры могут быть настроены в зависимости от требований к производительности и надежности системы.
-
-
Настройка интеграции выполняется в несколько шагов при установке продукта отдельно для каждого сервера управления (master) и агента (minion). Подробное описание каждого шага содержится в руководстве по установке.
Последовательность шагов:
-
При конфигурировании сервера управления (master) выполните настройку отправки событий в топик Apache Kafka (см. раздел «Настройка конфигурации отправки событий в Apache Kafka» документа «Руководство по установке»).
-
После того как будут заданы настройки сервера управления (master), выполните настройку Kafka returner (см. раздел «Настройка Kafka returner» документа «Руководство по установке»).
-
При конфигурировании агента (minion) задайте интервал времени (
ping_interval) между отправкой ping-запросов от агента (minion) на сервер управления (master) (см. раздел «Настройка конфигурации агента (minion)» документа «Руководство по установке»). -
При конфигурировании модуля бэкенда
osmax-coreв конфигурационном в файлеapplication.propertiesзадайте:-
параметры подключения к топикам Kafka (см. раздел «Конфигурация модуля
osmax-core. Интеграция с Apache Kafka» документа «Руководство по установке»); -
одинаковые порт, на котором будет запущен API-интерфейс, логин и пароль для подключения к серверу управления (master) (см. раздел см. «Конфигурация модуля
osmax-core. Параметры настройки интеграции с S3-совместимым хранилищем» документа «Руководство по установке»).
-
-
При конфигурировании модуля бэкенда
osmax-procisionerв конфигурационном файлеapplication.propertiesзадайте параметры подключения к топику Kafka (см. раздел «Конфигурация модуляosmax-provisioner. Интеграция с Apache Kafka» документа «Руководство по установке»).
Интеграция с S3-совместимым хранилищем
На Рис. 1 представлена схема интеграции с S3-совместимым хранилищем.
Интеграция с S3-совместимым хранилищем обеспечивает:
-
хранение файлов формул и файлов Pillar модуля координации (SaltStack);
-
хранение мультимедиа-контента, который используется для отображения в пользовательском интерфейсе «Магазин приложений».
Перед тем как настроить интеграцию необходимо:
-
Cоздать техническую учетную запись для подключения к хранилищу.
-
Создать бакеты:
-
salt-bucket— для хранения формул модуля координации (SaltStack); -
pillar-bucket— для хранения данных хранилища Pillar модуля координации (SaltStack); -
icons-bucket— для хранения иконок; -
images-bucket— для хранения изображений и скриншотов; -
others-bucket— для хранения прочего мультимедиа-контента; -
script-bucket— для исполняемых файлов (скриптов), предназначенных для установки агентов (minions) на устройства.
-
Настройка интеграции выполняется в несколько шагов при установке продукта отдельно для каждого сервера управления (master). Подробное описание каждого шага содержится в руководстве по установке.
Последовательность шагов для настройки хранения файлов формул и файлов Pillar модуля координации (SaltStack):
-
При конфигурировании сервера управления (master) выполните настройку подключения сервера управления (master) к бакетам salt-bucket и pillar-bucket (см. раздел «Настройка подключения к S3-совместимому хранилищу» документа «Руководство по установке»).
серверу управления (master), используя API-метод importFormulas.
+
NOTE: Описание API-метода importFormulas а также подробную информацию о создании и использовании формул см. в разделе
«Работа с формулами».
Для загрузки мультимедиа-контента в бакеты icons-bucket, images-bucket и others-bucket используются соответствующие
API-методы (см. раздел «Управление мультимедиа-контентом» документа «Описание API»).
Интеграция с LDAP-сервером
Интеграция бэкенда продукта с LDAP-сервером позволяет организовать централизованное управление учетными данными пользователей и ресурсами.
Чтобы включить интеграцию, выполните шаги:
Настройка подключения к LDAP-серверу
При установке или последующей настройке продукта в конфигурационном файле application.properties каталога /opt/osmax-core задайте
настройки подключения к LDAP-серверу (см. документ «Руководство по установке» раздел «Предварительная конфигурация бэкенда» подразделы
«Интеграция с источниками данных LDAP» и «Интеграция с источниками данных LDAP по протоколу SSL».
Настройка импорта учетных данных пользователей c сервера LDAP в БД продукта
Параметры импорта пользователей с сервера LDAP в БД продукта задаются посредством графического интерфейса администратора. Администратор настраивает отдельно для каждого LDAP-сервера (источника):
-
включение/выключение импорта;
-
расписание синхронизации;
-
набор папок внутри LDAP-структуры;
-
фильтры для извлечения пользователей.
| Подробную информацию см. в разделе «Инвентаризация пользователей» в документе «Руководство администратора»). |
Импортируемые данные пользователей
После того как будут выполнены настройки подключения и расписания, в БД продукта в таблицы users и user_groups по заданному расписанию
будут импортироваться следующие данные о пользователях домена и их группах:
| Параметр на LDAP-сервере | Параметр в БД | Описание |
|---|---|---|
|
|
Уникальный идентификатор пользователя |
|
|
Имя пользователя для входа в систему (Логин) |
|
|
Указывает, что учетная запись пользователя выключена |
|
|
Полное доменное имя пользователя (например, |
|
|
Имя домена в короткой форме записи (например, |
|
|
Адрес электронной почты |
|
|
Общее имя пользователя |
|
|
Короткое имя пользователя |
|
|
Имя пользователя |
|
|
Фамилия пользователя |
|
|
Отображаемое имя пользователя |
|
|
Должность пользователя |
|
|
Отдел, в котором работает пользователь |
|
|
Подразделение, в котором работает пользователь |
|
|
Группы пользователя, связь один к многим |
Настройка импорта данных устройств c сервера LDAP в БД продукта
Параметры импорта данных устройств с сервера LDAP в БД продукта задаются посредством графического интерфейса администратора. Администратор настраивает отдельно для каждого LDAP-сервера (источника):
-
включение/выключение импорта;
-
расписание синхронизации.
| Подробную информацию см. в разделе «Инвентаризация устройств» в документе «Руководство администратора»). |
Импортируемые данные устройств
После настройки подключения и расписания в БД продукта в таблицу machines по заданному
расписанию будут импортироваться следующие данные устройств:
| Параметр на LDAP-сервере | Параметр в БД | Описание |
|---|---|---|
|
|
Уникальное имя (DN) устройства |
|
|
Общее имя устройства |
|
|
Операционная система |
|
|
Идентификатор безопасности |
| Если вы используете Microsoft Active Directory, см инструкции по настройке LDAP over SSL в одноименном разделе. |
Частичный импорт данных из LDAP
Частичный импорт данных, в отличие от полного, не требует сканирования всего LDAP-сервера. При первом импорте все данные загружаются в БД, а при последующих синхронизациях сохраняются COOKIE, позволяющие отслеживать изменения и импортировать только обновленные данные.
Такой подход позволяет снизить нагрузку на LDAP-сервер и сетевой трафик.
Частичный импорт данных реализован на базе технологии DirSync от Microsoft для доменов Active Directory и совместимых с ними. Для LDAP-серверов, которые не поддерживают эту технологию, такой вид импорта данных недоступен.
Расписание частичной синхронизации хранится в БД продукта в таблице app_config. Для просмотра или изменения
расписания используются соответствующие API-методы (см документ «Описание API» раздел «Управление изменениями
параметров продукта»).
| По умолчанию возможность частичной синхронизации отключена. Также продукт не поддерживает принудительное выполнение частичной синхронизации. |
Настройки фильтров и директорий LDAP для импорта данных универсальны и не требуют отдельной конфигурации для полного и частичного импорта.
| При использовании технологии DirSync поддерживаются не все возможности фильтрации атрибутов из LDAP (подробную информацию см. в официальной документации Microsoft). |
Включение опции частичного импорта
-
Выдайте разрешения пользователю, от имени которого устанавливается подключение к LDAP-серверу, на получение запросов для режима DirSync:
-
Зайдите на контроллер домена Windows Server под пользователем с правами администратора домена.
-
Перейдите в Control Panel > System and Security > Administrative Tools > Active Directory Users and Computers.
-
На открывшейся форме включите опцию View > Advanced Features:
-
Через контекстное меню в корне домена перейдите на вкладку Properties:
-
На открывшейся форме перейдите на вкладку Security.
-
Нажмите на кнопку Add и добавьте в верхнее окно нужного пользователя (в качестве примера используется TestUser).
-
В верхнем списке выберите нужного пользователя (TestUser) и в нижнем окне проставьте чек-бокс Allow, выдав пользователю следующие разрешения:
-
Replicating Directory Changes — разрешение на получение уведомлений о любых изменениях в Active Directory;
-
Replicating Directory Changes All — расширенная версия разрешения Replicating Directory Changes, предоставляющая разрешение на получение уведомлений обо всех изменениях в Active Directory, включая изменения, которые могут быть скрыты от обычных пользователей;
-
Replicating Directory Changes In Filtered Set — разрешение на получение уведомлений об изменениях в определенном наборе объектов в Active Directory;
-
Replicating Synchronization — разрешение на запуск процесса репликации между контроллерами домена.
-
-
-
При конфигурировании модуля бэкенда
osmax-core(см. документ «Руководство по установке» раздел «Конфигурация модуля osmax-core») задайте логин и пароль пользователя домена (LDAP-сервера), которому выданы соответствующие права, указав значение параметров:-
lcm.inventory.ldap.datasource[1].username=i.ivanov@inno.local; -
lcm.inventory.ldap.datasource[1].password=12345.
-
Интеграция с Microsoft Active Directory
Раздел содержит инструкции по настройке интеграции модулей бэкенда osmax-core и osmax-provisioner с Microsoft Active
Directory.
Настройка модуля osmax-core для интеграции с Microsoft Active Directory
Интеграция модуля osmax-core с Microsoft Active Directory выполняется в два этапа:
Настройка Kerberos-аутентификации
Предварительное условие:
На контроллере домена должна быть создана и настроена сервисная учетная запись (см. раздел «Создание Service Principal Name (SPN) и keytab-файла для сервисной учетной записи под управлением Active Directory»).
Выполните следующие шаги:
-
Установите пакет с Kerberos-клиентом. Для Debian-like ОС используйте команды:
sudo apt update sudo apt install krb5-user
-
Создайте или отредактируйте файл
/etc/krb5.confи укажите в нем следующие параметры:[libdefaults] dns_lookup_realm = false dns_lookup_kdc = false ticket_lifetime = 24h renew_lifetime = 7d forwardable = true rdns = false default_realm = <AD_DOMAIN_NAME> udp_preference_limit = 1 [realms] <AD_DOMAIN_NAME> = { kdc = <AD_DOMAIN_CONTROLLER_ADDRESS> admin_server = <AD_DOMAIN_CONTROLLER_ADDRESS> }Пример:
[libdefaults] dns_lookup_realm = false dns_lookup_kdc = false ticket_lifetime = 24h renew_lifetime = 7d forwardable = true rdns = false default_realm = DEMO.OSMAKS.INNO.TECH udp_preference_limit = 1 [realms] DEMO.OSMAKS.INNO.TECH = { kdc = 192.168.0.1 admin_server = 192.168.0.1 }
Интеграцию можно настроить одним из перечисленных способов:
Настройка с использованием прямого указания сервисной учетной записи
В файле конфигурации модуля osmax-core application.properties
задайте следующие параметры конфигурации:
quarkus.kerberos.service-principal-name=<service-account-name>
quarkus.kerberos.service-principal-realm=<domain-name>
quarkus.kerberos.service-principal-password=<service-account-password>Пример:
quarkus.kerberos.service-principal-name=osmax_core_svc
quarkus.kerberos.service-principal-realm=OSMAKS-CORE.INNO.TECH
quarkus.kerberos.service-principal-password=Qwerty123Настройка с использованием keytab-файла
В файле конфигурации модуля osmax-core application.properties задайте следующие параметры конфигурации:
quarkus.kerberos.service-principal-name=<keytab-full-spn-with-domain>
quarkus.kerberos.keytab-path=<path-to-keytab-file>Пример:
quarkus.kerberos.service-principal-name=HTTP/admin-console.osmaks.mycompany.com@DEMO.OSMAKS.INNO.TECH
quarkus.kerberos.keytab-path=/opt/osmaks-core/osmaks_ad.keytabНастройка источника данных LDAP(S) из домена Active Directory
Предварительное условие:
Сервер, используемый для подключения по протоколу LDAP, должен являться одним из контроллеров домена Active Directory.
Интеграцию можно настроить одним из перечисленных способов:
Настройка интеграции по протоколу LDAP
В файле конфигурации модуля osmax-core application.properties задайте следующие параметры конфигурации:
osmax.inventory.ldap.datasource[i].name=<datasource-alias>
osmax.inventory.ldap.datasource[i].host=<ldap-server-address>
osmax.inventory.ldap.datasource[i].port=<ldap-port>
osmax.inventory.ldap.datasource[i].username=<service-account-name>
osmax.inventory.ldap.datasource[i].password=<service-account-password>
osmax.inventory.ldap.datasource[i].ssl=false
osmax.inventory.ldap.datasource[i].base-dn=<base-DN>Пример:
osmax.inventory.ldap.datasource[0].name=DEMO.OSMAKS.INNO.TECH
osmax.inventory.ldap.datasource[0].host=192.168.0.1
osmax.inventory.ldap.datasource[0].port=389
osmax.inventory.ldap.datasource[0].username=administrator@DEMO.OSMAKS.INNO.TECH
osmax.inventory.ldap.datasource[0].password=Qwerty123
osmax.inventory.ldap.datasource[0].ssl=false
osmax.inventory.ldap.datasource[0].base-dn="DC=demo,DC=osmaks,DC=inno,DC=tech"Настройка интеграции по протоколу LDAP over SSL (LDAPS)
Для настройки интеграции по протоколу LDAP over SSL (LDAPS) выполните предварительную настройку контроллера Active Directory согласно инструкции в разделе «Настройка LDAP over SSL (LDAPS) на контроллере домена под управлением Microsoft Active Directory»
-
Перед настройкой интеграции получите сертификата SSL и сохранение его в файл, выполнив команду (для Unix-like ОС):
openssl s_client -connect <ldap-server-address>:<ldap-over-ssl-port>
Пример:
openssl s_client -connect 192.168.0.1:636
Пример ответа:
Connecting to 10.31.0.29 CONNECTED(00000003) Can't use SSL_get_servername depth=0 CN=lcm-dc-winsrv.lcmtest.lan verify error:num=20:unable to get local issuer certificate verify return:1 depth=0 CN=lcm-dc-winsrv.lcmtest.lan verify error:num=21:unable to verify the first certificate verify return:1 depth=0 CN=lcm-dc-winsrv.lcmtest.lan verify return:1 --- Certificate chain 0 s:CN=lcm-dc-winsrv.lcmtest.lan i:DC=lan, DC=lcmtest, CN=lcmtest-LCM-DC-WINSRV-CA a:PKEY: rsaEncryption, 2048 (bit); sigalg: RSA-SHA256 v:NotBefore: May 23 10:49:18 2024 GMT; NotAfter: May 23 10:49:18 2025 GMT --- Server certificate -----BEGIN CERTIFICATE----- MIIGZjCCBU6gAwIBAgITTwAAAAMHAuwjdKO36wAAAAAAAzANBgkqhkiG9w0BAQsF ADBRMRMwEQYKCZImiZPyLGQBGRYDbGFuMRcwFQYKCZImiZPyLGQBGRYHbGNtdGVz dDEhMB8GA1UEAxMYbGNtdGVzdC1MQ00tREMtV0lOU1JWLUNBMB4XDTI0MDUyMzEw NDkxOFoXDTI1MDUyMzEwNDkxOFowJDEiMCAGA1UEAxMZbGNtLWRjLXdpbnNydi5s Y210ZXN0LmxhbjCCASIwDQYJKoZIhvcNAQEBBQADggEPADCCAQoCggEBALkozhSH q+Ze/NhW4VmerUI/i81P5YH1TlnaYZ5LtmePwvBoJ4805s/OlAiNDbs1vdStQ1UG wWF8fjItPrbb9OHGzUglPWq8EB7aBvTWXVJf5gMMKyCaBXB8aFO21OgtZdjGhuxp AvGV/hr3UrsdF2gHSPN9PZ27VQ1W85mOWgqZ9Qjsyu23AAhMxUBrSA8G6TvuHksH GbZ8n/FXhF4XkKbMKxyfh44CMmGk4KKJQrw7ljrN1qEZ8Mkv1qREXWdYBTbaNmvR +sDwyGU+ZRJ/V0UFKA7CIDMjfPq5zdjl+V6usj/8ZIZTE+daX34jcgs+xD7l99nq RXogiXzOKA+pT9kCAwEAAaOCA2IwggNeMC8GCSsGAQQBgjcUAgQiHiAARABvAG0A YQBpAG4AQwBvAG4AdAByAG8AbABsAGUAcjAdBgNVHSUEFjAUBggrBgEFBQcDAgYI KwYBBQUHAwEwDgYDVR0PAQH/BAQDAgWgMHgGCSqGSIb3DQEJDwRrMGkwDgYIKoZI hvcNAwICAgCAMA4GCCqGSIb3DQMEAgIAgDALBglghkgBZQMEASowCwYJYIZIAWUD BAEtMAsGCWCGSAFlAwQBAjALBglghkgBZQMEAQUwBwYFKw4DAgcwCgYIKoZIhvcN AwcwHQYDVR0OBBYEFDxkdF2yDXR+bnfqKAND0TkLO14cMB8GA1UdIwQYMBaAFACG /uVsAvxdtKvqz1B3yIHKd6qWMIHcBgNVHR8EgdQwgdEwgc6ggcuggciGgcVsZGFw Oi8vL0NOPWxjbXRlc3QtTENNLURDLVdJTlNSVi1DQSxDTj1sY20tZGMtd2luc3J2 LENOPUNEUCxDTj1QdWJsaWMlMjBLZXklMjBTZXJ2aWNlcyxDTj1TZXJ2aWNlcyxD Tj1Db25maWd1cmF0aW9uLERDPWxjbXRlc3QsREM9bGFuP2NlcnRpZmljYXRlUmV2 b2NhdGlvbkxpc3Q/YmFzZT9vYmplY3RDbGFzcz1jUkxEaXN0cmlidXRpb25Qb2lu dDCBygYIKwYBBQUHAQEEgb0wgbowgbcGCCsGAQUFBzAChoGqbGRhcDovLy9DTj1s Y210ZXN0LUxDTS1EQy1XSU5TUlYtQ0EsQ049QUlBLENOPVB1YmxpYyUyMEtleSUy MFNlcnZpY2VzLENOPVNlcnZpY2VzLENOPUNvbmZpZ3VyYXRpb24sREM9bGNtdGVz dCxEQz1sYW4/Y0FDZXJ0aWZpY2F0ZT9iYXNlP29iamVjdENsYXNzPWNlcnRpZmlj YXRpb25BdXRob3JpdHkwRQYDVR0RBD4wPKAfBgkrBgEEAYI3GQGgEgQQT/a0Jjho UEuS4nyMtGIpx4IZbGNtLWRjLXdpbnNydi5sY210ZXN0LmxhbjBPBgkrBgEEAYI3 GQIEQjBAoD4GCisGAQQBgjcZAgGgMAQuUy0xLTUtMjEtMTcwMDY2MDMwMS0yODM3 MzkzNDYwLTE1MTc1MjQ2MjktMTAwMTANBgkqhkiG9w0BAQsFAAOCAQEAc5Hd2UM1 Xd7A1SNpI9i9oFGeQrtvz80KbKdKBadMPtlfAMQviZecCxTF9BcWbBa/gMljK2Ol MZ/9RfTYBTESmMJMwjM8nGPp9W0570cFp+pzNJ3V4Wj1U/yi8AMIegg7E8t0+u9g o+RSGTud3+UOiFyVrIdrSYo3Bz2wq9axAkDEwN5JpmWmnxC8OqXqmeeWSG7AzJwu B5bGy+GaTj+ytSR8g6+TgZDOaOeEYm7XAVSMxVPL0HD7xozgNBfSbUuheV5oryY9 x2tN3YE1IbA1U9rqRNAegqVaG60swzWltQbO0PRWuw8rBa8Ir+lpZOn4qlmJ94CS WxTZ8YUs0ioM/w== -----END CERTIFICATE----- subject=CN=lcm-dc-winsrv.lcmtest.lan issuer=DC=lan, DC=lcmtest, CN=lcmtest-LCM-DC-WINSRV-CA --- No client certificate CA names sent Client Certificate Types: RSA sign, DSA sign, ECDSA sign Requested Signature Algorithms: RSA+SHA256:RSA+SHA384:RSA+SHA1:ECDSA+SHA256:ECDSA+SHA384:ECDSA+SHA1:DSA+SHA1:RSA+SHA512:ECDSA+SHA512 Shared Requested Signature Algorithms: RSA+SHA256:RSA+SHA384:ECDSA+SHA256:ECDSA+SHA384:RSA+SHA512:ECDSA+SHA512 Peer signing digest: SHA256 Peer signature type: RSA Server Temp Key: ECDH, secp384r1, 384 bits --- SSL handshake has read 2192 bytes and written 469 bytes Verification error: unable to verify the first certificate --- New, TLSv1.2, Cipher is ECDHE-RSA-AES256-GCM-SHA384 Server public key is 2048 bit Secure Renegotiation IS supported Compression: NONE Expansion: NONE No ALPN negotiated SSL-Session: Protocol : TLSv1.2 Cipher : ECDHE-RSA-AES256-GCM-SHA384 Session-ID: 061B0000E89AB417962FAA9D8EEBCE1538C4E1DC7FBA0C7C0911FC37C85AFD28 Session-ID-ctx: Master-Key: 44B14CA5480206686700EFFBCDE315444F16A9DDF22DFD722AB7F1CC2917D6B38DC2A06E6678041AE50C70952E1E53D3 PSK identity: None PSK identity hint: None SRP username: None Start Time: 1717056217 Timeout : 7200 (sec) Verify return code: 21 (unable to verify the first certificate) Extended master secret: yes ---
-
Поместите содержимое ответа между строками
-----BEGIN CERTIFICATE-----и-----END CERTIFICATE-----включительно в отдельный файл на сервере с бэкендом с расширением *.crt и выдайте права на чтение всем пользователям (chmod 644).Пример содержимого файла с сертификатом SSL:
-----BEGIN CERTIFICATE----- MIIGZjCCBU6gAwIBAgITTwAAAAMHAuwjdKO36wAAAAAAAzANBgkqhkiG9w0BAQsF ADBRMRMwEQYKCZImiZPyLGQBGRYDbGFuMRcwFQYKCZImiZPyLGQBGRYHbGNtdGVz dDEhMB8GA1UEAxMYbGNtdGVzdC1MQ00tREMtV0lOU1JWLUNBMB4XDTI0MDUyMzEw NDkxOFoXDTI1MDUyMzEwNDkxOFowJDEiMCAGA1UEAxMZbGNtLWRjLXdpbnNydi5s Y210ZXN0LmxhbjCCASIwDQYJKoZIhvcNAQEBBQADggEPADCCAQoCggEBALkozhSH q+Ze/NhW4VmerUI/i81P5YH1TlnaYZ5LtmePwvBoJ4805s/OlAiNDbs1vdStQ1UG wWF8fjItPrbb9OHGzUglPWq8EB7aBvTWXVJf5gMMKyCaBXB8aFO21OgtZdjGhuxp AvGV/hr3UrsdF2gHSPN9PZ27VQ1W85mOWgqZ9Qjsyu23AAhMxUBrSA8G6TvuHksH GbZ8n/FXhF4XkKbMKxyfh44CMmGk4KKJQrw7ljrN1qEZ8Mkv1qREXWdYBTbaNmvR +sDwyGU+ZRJ/V0UFKA7CIDMjfPq5zdjl+V6usj/8ZIZTE+daX34jcgs+xD7l99nq RXogiXzOKA+pT9kCAwEAAaOCA2IwggNeMC8GCSsGAQQBgjcUAgQiHiAARABvAG0A YQBpAG4AQwBvAG4AdAByAG8AbABsAGUAcjAdBgNVHSUEFjAUBggrBgEFBQcDAgYI KwYBBQUHAwEwDgYDVR0PAQH/BAQDAgWgMHgGCSqGSIb3DQEJDwRrMGkwDgYIKoZI hvcNAwICAgCAMA4GCCqGSIb3DQMEAgIAgDALBglghkgBZQMEASowCwYJYIZIAWUD BAEtMAsGCWCGSAFlAwQBAjALBglghkgBZQMEAQUwBwYFKw4DAgcwCgYIKoZIhvcN AwcwHQYDVR0OBBYEFDxkdF2yDXR+bnfqKAND0TkLO14cMB8GA1UdIwQYMBaAFACG /uVsAvxdtKvqz1B3yIHKd6qWMIHcBgNVHR8EgdQwgdEwgc6ggcuggciGgcVsZGFw Oi8vL0NOPWxjbXRlc3QtTENNLURDLVdJTlNSVi1DQSxDTj1sY20tZGMtd2luc3J2 LENOPUNEUCxDTj1QdWJsaWMlMjBLZXklMjBTZXJ2aWNlcyxDTj1TZXJ2aWNlcyxD Tj1Db25maWd1cmF0aW9uLERDPWxjbXRlc3QsREM9bGFuP2NlcnRpZmljYXRlUmV2 b2NhdGlvbkxpc3Q/YmFzZT9vYmplY3RDbGFzcz1jUkxEaXN0cmlidXRpb25Qb2lu dDCBygYIKwYBBQUHAQEEgb0wgbowgbcGCCsGAQUFBzAChoGqbGRhcDovLy9DTj1s Y210ZXN0LUxDTS1EQy1XSU5TUlYtQ0EsQ049QUlBLENOPVB1YmxpYyUyMEtleSUy MFNlcnZpY2VzLENOPVNlcnZpY2VzLENOPUNvbmZpZ3VyYXRpb24sREM9bGNtdGVz dCxEQz1sYW4/Y0FDZXJ0aWZpY2F0ZT9iYXNlP29iamVjdENsYXNzPWNlcnRpZmlj YXRpb25BdXRob3JpdHkwRQYDVR0RBD4wPKAfBgkrBgEEAYI3GQGgEgQQT/a0Jjho UEuS4nyMtGIpx4IZbGNtLWRjLXdpbnNydi5sY210ZXN0LmxhbjBPBgkrBgEEAYI3 GQIEQjBAoD4GCisGAQQBgjcZAgGgMAQuUy0xLTUtMjEtMTcwMDY2MDMwMS0yODM3 MzkzNDYwLTE1MTc1MjQ2MjktMTAwMTANBgkqhkiG9w0BAQsFAAOCAQEAc5Hd2UM1 Xd7A1SNpI9i9oFGeQrtvz80KbKdKBadMPtlfAMQviZecCxTF9BcWbBa/gMljK2Ol MZ/9RfTYBTESmMJMwjM8nGPp9W0570cFp+pzNJ3V4Wj1U/yi8AMIegg7E8t0+u9g o+RSGTud3+UOiFyVrIdrSYo3Bz2wq9axAkDEwN5JpmWmnxC8OqXqmeeWSG7AzJwu B5bGy+GaTj+ytSR8g6+TgZDOaOeEYm7XAVSMxVPL0HD7xozgNBfSbUuheV5oryY9 x2tN3YE1IbA1U9rqRNAegqVaG60swzWltQbO0PRWuw8rBa8Ir+lpZOn4qlmJ94CS WxTZ8YUs0ioM/w== -----END CERTIFICATE-----
В файле конфигурации модуля osmax-core application.properties задайте следующие параметры конфигурации:
osmax.inventory.ldap.datasource[i].name=<datasource-alias>
osmax.inventory.ldap.datasource[i].host=<ldap-server-address>
osmax.inventory.ldap.datasource[i].port=<ldap-port>
osmax.inventory.ldap.datasource[i].username=<service-account-name>
osmax.inventory.ldap.datasource[i].password=<service-account-password>
osmax.inventory.ldap.datasource[i].ssl=true
osmax.inventory.ldap.datasource[i].ssl-certificate=<path-to-certificate-file>
osmax.inventory.ldap.datasource[i].base-dn=<base-DN>Пример:
osmax.inventory.ldap.datasource[0].name=osmaxtest.lan
osmax.inventory.ldap.datasource[0].host=10.31.0.29
osmax.inventory.ldap.datasource[0].port=636
osmax.inventory.ldap.datasource[0].username=vlev@osmaxtest
osmax.inventory.ldap.datasource[0].password=Qwerty123
osmax.inventory.ldap.datasource[0].ssl=true
osmax.inventory.ldap.datasource[0].ssl-certificate=/opt/inno-osmaks-core/ad_ldap_cert.crt
osmax.inventory.ldap.datasource[0].base-dn="DC=osmaxtest,DC=lan"Создание Service Principal Name (SPN) и keytab-файла для сервисной учетной записи в домене под управлением Microsoft Active Directory
Service Principal Name (SPN) и keytab-файл используются для аутентификации по протоколу Kerberos.
Service Principal Name (SPN) или имя принципала — это уникальное имя сервиса, которое привязывается к учетной записи сервиса в домене Microsoft Active Directory. SPN используется для идентификации сервиса, к которому пользователи хотят получить доступ.
Keytab-файл содержит пары ключей и имен принципалов, которые используются для аутентификации в системе Kerberos. Этот файл обычно хранится на сервере сервиса. Когда сервис запускается, он использует информацию из keytab-файла для аутентификации в системе Kerberos без необходимости ввода пароля.
Перед началом работы задайте в произвольной форме следующие значения:
-
имена хостов отдельно для каждого из модулей; например:
-
«Кабинет администратора» —
admin-console.osmaks.mycompany.com; -
«Магазин приложений» —
application-shop.osmaks.mycompany.com;
-
-
имя домена; например:
DEMO.OSMAKS.INNO.TECH; -
имя сервисной учетной записи; например:
osmax_backend_svc.
По умолчанию Microsoft Active directory позволяет поместить в keytab-файл только один SPN, однако этого достаточно для работы единого бэкенд-сервиса с разными вложенными сервисами на различных URL. Поэтому для успешной интеграции в keytab-файл достаточно поместить SPN от модуля «Кабинет администратора», на котором будет успешно функционировать также модуль «Магазин приложений» из состава бэкенд-сервиса Осмакс.
Отключение устаревших типов шифрования в оснастке контроле домена Active Directory
-
Перейдите в Control Panel > Administrative tools > Local Security Policy.
-
В открывшемся окне перейдите в раздел Local Policies > Security Options и измените значение параметра
Network security: Configure encryption types allowed for Kerberos. -
В отображаемом списке протоколов шифрования отключите устаревший
RC4_HMAC_MD5и включите остальные.
Создание технической учетной записи пользователя, входящей в группу Domain Users
-
Перейдите в Control Panel > Administrative tools > Active Directory Users and Computers.
-
В требуемой директории домена создайте нового пользователя с определенным именем (например,
osmax_backend_svc).Для созданной учетной записи рекомендуется задать постоянной пароль и отключить истечение его срока действия. -
В свойствах созданной учетной записи на вкладке Account активируйте опции This account supports Kerberos AES 128 bit encryption и This account supports Kerberos AES 256 bit encryption.
Создание Service Principal Name (SPN)
| Все команды выполняются в PowerShell из под учетной записи с правами администратора домена. |
-
Для каждого из URL сервисов («Кабинет администратора» и «Магазин приложений») создайте SPN с полным доменным именем, выполнив команду:
setspn -A HTTP/<host-name>@<domain-name> <service-account>
Пример команды:
setspn -A HTTP/admin-console.osmaks.mycompany.com@DEMO.OSMAKS.INNO.TECH osmax_backend_svc
Пример вывода:
Checking domain DC=demo,DC=osmaks,DC=inno,DC=tech Registering ServicePrincipalNames for CN=osmax_backend_svc,CN=Users,DC=demo,DC=osmaks,DC=inno,DC=tech HTTP/admin-console.osmaks.mycompany.com@DEMO.OSMAKS.INNO.TECH Updated object -
Для каждого из URL сервисов («Кабинет администратора» и «Магазин приложений») создайте SPN с коротким именем, выполнив команду:
setspn -A HTTP/<host-name> <service-account>
Пример команды:
setspn -A HTTP/admin-console.osmaks.mycompany.com osmax_backend_svc
Пример вывода:
Checking domain DC=demo,DC=osmaks,DC=inno,DC=tech Registering ServicePrincipalNames for CN=osmax_backend_svc,CN=Users,DC=demo,DC=osmaks,DC=inno,DC=tech HTTP/admin-console.osmaks.mycompany.com Updated object -
Выполните проверку созданных SPN:
setspn -L <service-account>
Пример команды:
setspn -L osmax_backend_svc
Пример вывода:
Registered ServicePrincipalNames for CN=osmax_backend_svc,CN=Users,DC=demo,DC=osmaks,DC=inno,DC=tech: HTTP/admin-console.osmaks.mycompany.com@DEMO.OSMAKS.INNO.TECH HTTP/admin-console.osmaks.mycompany.com HTTP/application-shop.osmaks.mycompany.com@DEMO.OSMAKS.INNO.TECH HTTP/application-shop.osmaks.mycompany.com
-
Выполните проверку атрибутов сервисной учетной записи:
get-aduser -Identity <service-account> -properties servicePrincipalName
Пример команды:
get-aduser -Identity osmax_backend_svc -properties servicePrincipalName
Пример вывода со значимыми параметрами:
DistinguishedName : CN=osmax_backend_svc,CN=Users,DC=demo,DC=osmaks,DC=inno,DC=tech Enabled : True GivenName : osmax_backend_svc Name : osmax_backend_svc ObjectClass : user ObjectGUID : d903b450-e6c3-4324-9770-0236b00f83f8 SamAccountName : osmax_backend_svc servicePrincipalName : { HTTP/admin-console.osmaks.mycompany.com@DEMO.OSMAKS.INNO.TECH, HTTP/admin-console.osmaks.mycompany.com, HTTP/application-shop.osmaks.mycompany.com@DEMO.OSMAKS.INNO.TECH, HTTP/application-shop.osmaks.mycompany.com} SID : S-1-5-21-1700660301-2837393460-1517524629-1105 Surname : UserPrincipalName : HTTP/admin-console.osmaks.mycompany.com@DEMO.OSMAKS.INNO.TECH
Создание keytab-файла
Для дальнейшей интеграции с бэкендом продукта используйте одну из следующих опций:
-
явно укажите в настройках бэкенда имя созданной сервисной учетной записи, домен (realm/область безопасности) и пароль учетной записи;
-
поместите имя сервисной учетной записи, пароль и SPN в файл формата *.keytab и используйте его.
Чтобы создать keytab-файл, выполните команду:
ktpass -princ HTTP/<host-name>@<domain-name> -mapuser <service-account> -pass <service-account-password> -crypto All -ptype KRB5_NT_PRINCIPAL -out <target-path>\<keytab.filename>
Пример команды:
ktpass -princ HTTP/admin-console.osmaks.mycompany.com@DEMO.OSMAKS.INNO.TECH -mapuser osmax_backend_svc -pass "Qwerty123" -crypto All -ptype KRB5_NT_PRINCIPAL -out C:\temp\osmaks_ad.keytab
Пример вывода:
Targeting domain controller: dc-winsrv.osmaks.inno.tech Using legacy password setting method Successfully mapped HTTP/admin-console.osmaks.mycompany.com to osmaks_backend_svc. Key created. Key created. Key created. Key created. Key created. Output keytab to osmaks_ad.keytab: Keytab version: 0x502 keysize 65 HTTP/admin-console.osmaks.mycompany.com@DEMO.OSMAKS.INNO.TECH ptype 1 (KRB5_NT_PRINCIPAL) vno 4 etype 0x1 (DES-CBC-CRC) keylength 8 (0x894ca425cb159eb0) keysize 65 HTTP/admin-console.osmaks.mycompany.com@DEMO.OSMAKS.INNO.TECH ptype 1 (KRB5_NT_PRINCIPAL) vno 4 etype 0x3 (DES-CBC-MD5) keylength 8 (0x894ca425cb159eb0) keysize 73 HTTP/admin-console.osmaks.mycompany.com@DEMO.OSMAKS.INNO.TECH ptype 1 (KRB5_NT_PRINCIPAL) vno 4 etype 0x17 (RC4-HMAC) keylength 16 (0x59fc0f884922b4ce376051134c71e22c) keysize 89 HTTP/admin-console.osmaks.mycompany.com@DEMO.OSMAKS.INNO.TECH ptype 1 (KRB5_NT_PRINCIPAL) vno 4 etype 0x12 (AES256-SHA1) keylength 32 (0x555027fe7864fdd549ea517ff1cff1077fb2bf83de7e6e28eeeb6ed66db556bc) keysize 73 HTTP/admin-console.osmaks.mycompany.com@DEMO.OSMAKS.INNO.TECH ptype 1 (KRB5_NT_PRINCIPAL) vno 4 etype 0x11 (AES128-SHA1) keylength 16 (0xe8dfe5b65a4fdb3bc0c367637c5a0606)
|
При создании keytab-файла на контролере домена Active Directory в атрибутах сервисной учетной записи записывается актуальный KVNO ключей из состава keytab-файлов. Работа с ключами с устаревшей версией KVNO не поддерживается, поэтому после генерации новых keytab-файлов подключение с использованием сгенерированных ранее невозможно. Версию KVNO из ключей в keytab-файле можно уточнить командой в следующем разделе: 
|
Чтобы просмотреть содержимое созданного файла, выполните команду:
klist -K -e -t -k <keytab.filename>
Пример команды:
klist -K -e -t -k /opt/inno-osmaks-core/osmaks_ad.keytab
Пример вывода:
Keytab name: FILE:/opt/inno-osmaks-core/osmaks_ad.keytab KVNO Timestamp Principal ---- ----------------- -------------------------------------------------------- 23 01/01/70 03:00:00 HTTP/admin-console.osmaks.mycompany.com@DEMO.OSMAKS.INNO.TECH (DEPRECATED:des-cbc-crc) (0x16cdc11ae5f83845) 23 01/01/70 03:00:00 HTTP/admin-console.osmaks.mycompany.com@DEMO.OSMAKS.INNO.TECH (DEPRECATED:des-cbc-md5) (0x16cdc11ae5f83845) 23 01/01/70 03:00:00 HTTP/admin-console.osmaks.mycompany.com@DEMO.OSMAKS.INNO.TECH (DEPRECATED:arcfour-hmac) (0x59fc0f884922b4ce376051134c71e22c) 23 01/01/70 03:00:00 HTTP/admin-console.osmaks.mycompany.com@DEMO.OSMAKS.INNO.TECH (aes256-cts-hmac-sha1-96) (0x57576e3ab78065762d6b450134367b5f40427942827129eb7bcfc679faab1443) 23 01/01/70 03:00:00 HTTP/admin-console.osmaks.mycompany.com@DEMO.OSMAKS.INNO.TECH (aes128-cts-hmac-sha1-96) (0x8330205fcc577afc946ac1dfc2c3e7c
|
Windows не предоставляет встроенных средств для просмотра содержимого keytab-файла.
Однако, если у вас на компьютере установлена версия Java JRE/JDK, используйте утилиту Например: "c:\Program Files\Java\jre1.8.0_181\bin" klist.exe -K -e -t -k C:\temp\osmaks_ad.keytab |
Сохраните файл на сервере, на который будет устанавливаться бэкенд продукта. Путь к файлу
необходимо будет указать на этапе его настройки. Также измените права доступа к файлу, предоставив доступ к
нему только для пользователя, от имени которого будет запускаться systemd-служба osmax.
|
Настройка LDAP over SSL (LDAPS) на контроллере домена под управлением Microsoft Active Directory
Установка центра сертификации, создание и экспорт сертификата
| Ниже приведены инструкции для учетной записи с правами администратора домена. |
-
На компьютере с Windows Server выберите Start > Server Manager > Add Roles and Features:
-
На открывшейся форме Before you begin нажмите на кнопку Next:
-
На открывшейся форме Select destination server выберите радио-кнопку Select a server from the server pool, выберите сервер ldap и нажмите на кнопку Next:
-
На открывшейся форме Select server roles в списке ролей выберите опцию Active Directory Certificate Services и нажмите на кнопку Next:
-
На открывшейся форме Select features нажмите на кнопку Next:
-
На открывшейся форме Active Directory Certificate Services нажмите на кнопку Next:
-
На открывшейся форме Select role services в списке ролей выберите Certification Authority и нажмите на кнопку Next:
-
На открывшейся форме Installation progress выберите пункт Configure Active Directory Certificate Services on the destination server и нажмите на кнопку Close:
-
На открывшейся форме Credentials нажмите на кнопку Next:
Можно использовать текущего вошедшего в систему пользователя для настройки служб ролей, так как он принадлежит к локальной группе администраторов. 
-
На открывшейся форме Role Services в списке ролей выберите Certification Authority и нажмите на кнопку Next:
-
На открывшейся форме Setup Type выберите радио-кнопку Enterprise CA и нажмите на кнопку Next:
-
На открывшейся форме CA Type выберите радио-кнопку Root CA и нажмите на кнопку Next:
-
На открывшейся форме Private Key выберите радио-кнопку Create a new private key и нажмите на кнопку Next:
-
На открывшейся форме Cryptography for CA из выпадающего списка Select the hash algorithm for signing certificates issued by this CA выберите в качестве алгоритма хеширования значение SHA256 и нажмите на кнопку Next:
Рекомендуется выбирать самый последний алгоритм хеширования. 
-
На открывшейся форме CA Name нажмите на кнопку Next:
-
На открывшейся форме Validity Period укажите срок действия сертификата, выбрав значение по умолчанию 5 years, и нажмите на кнопку Next:
-
На открывшейся форме CA Database выберите расположение базы данных по умолчанию и нажмите на кнопку Next:
-
На открывшейся форме Confirmation подтвердите свои действия, нажав кнопку Configure:
-
На открывшейся форме Results убедитесь в успешной настройке и нажмите на кнопку Close:
-
Перейдите в Windows Key+R, запустите команду
certtmpl.mscи выберите шаблон Kerberos Authentication:
-
Щелкните правой кнопкой по Kerberos Authentication и из выпадающего списка выберите значение Duplicate Template:
-
В открывшейся форме Properties of New Template настройте параметры в соответствии с вашими требованиями.
-
Перейдите на вкладку General и включите опцию Publish certificate in Active Directory:
-
Перейдите на вкладку Request Handling и включите опцию Allow private key to be exported:
-
Перейдите на вкладку Subject Name, включите формат имени субъекта как DNS Name и нажмите сначала кнопку Apply, а затем OK:
-
Выберите Start > Certification Authority.
-
Щелкните правой кнопкой мыши по папке Certificate Templates и выберите New > Certificate Template to Issue:
-
На открывшейся форме Enable Certificate Templates выберите созданный шаблон сертификата и нажмите на кнопку ОК:
-
Перейдите в Windows Key+R > mmc > File > Add/Remove snap-in — откроется форма Add or Remove Snap-ins.
-
В поле Available snap-ins выберите Certificates, нажмите на кнопку Add и подтвердите свои действия, нажав кнопку ОК:
-
На открывшейся форме Certificates snap-in выберите радио-кнопку Computer account и нажмите кнопку Next:
-
Щелкните правой кнопкой мыши по папке Certificates, выберите All Tasks > Request for new Certificate:
-
На открывшейся форме Before you begin нажмите на кнопку Next:
-
На открывшейся форме Select Certificate Enrollment Policy нажмите на кнопку Next:
-
На открывшейся форме Request Certificates выберите сертификат и нажмите на кнопку Enroll:
-
Завершите свои действия, нажав кнопку Finish:
-
Щелкните правой кнопкой мыши по созданному сертификату и выберите All tasks > Export:
-
На открывшейся форме приветствия нажмите на кнопку Next:
-
На открывшейся форме Export Private Key выберите опцию Do not export the private key и нажмите на кнопку Next:
-
Выберите формат файла Base-64 encoded X.509 и нажмите Next:
-
Экспортируйте файл с сертификатом .CER в локальный путь и нажмите Next:
-
После того как сертификат будет успешно экспортирован, завершите ваши действия, нажав кнопку Finish:
-
Перейдите в Windows Key+R и выполните команду
ldp.exe:
-
Выберите пункт меню Connection > Connect:
-
На форме Connect:
-
В поле Server укажите значение localhost.
-
В поле Port укажите значение 636.
-
Включите опцию SSL.
-
-
Результатом корректной настройки LDAP over SSL будет успешное подключение и вывод подобный примеру:
Настройка модуля osmax-core для интеграции с Microsoft Active Directory
Интеграция модуля osmax-provisioner с Microsoft Active Directory выполняется в два этапа:
Настройка Kerberos-аутентификации
В инструкции ниже в качестве примера используются следующие данные:
| Имя домена (domain-name) | ОС | Роль | IP-адрес |
|---|---|---|---|
osmax.inno.tech |
Windows Server 2022 |
Domain Controler Active Directory |
10.31.1.64/16 |
-
Установите пакет с Kerberos-клиентом. Для Debian-like ОС используйте команды:
sudo apt update sudo apt install krb5-user
-
Создайте или отредактируйте файл
/etc/krb5.confи укажите в нем следующие параметры:[libdefaults] dns_lookup_realm = false dns_lookup_kdc = false ticket_lifetime = 24h renew_lifetime = 7d forwardable = true rdns = false default_realm = OSMAX.INNO.TECH udp_preference_limit = 1 [realms] osmax.inno.tech = { kdc = 10.31.1.64 admin_server = 10.31.1.64 }Пример:
[libdefaults] dns_lookup_realm = false dns_lookup_kdc = false ticket_lifetime = 24h renew_lifetime = 7d forwardable = true rdns = false default_realm = OSMAX.INNO.TECH udp_preference_limit = 1 [realms] OSMAX.INNO.TECH = { kdc = 10.31.1.64 admin_server = 10.31.1.64 } -
При конфигурировании
-
В файле конфигурации модуля
osmax-provisionerapplication.propertiesукажите параметры сервисной учетной записи:
quarkus.kerberos.service-principal-name=<service-account-name>
quarkus.kerberos.service-principal-realm=<domain-name>
quarkus.kerberos.service-principal-password=<service-account-password>Пример:
quarkus.kerberos.service-principal-name=osmax_provisioner_svc
quarkus.kerberos.service-principal-realm=OSMAX.INNO.TECH
quarkus.kerberos.service-principal-password=Qwerty123Настройка сервера по включению в домен Microsoft Active Directory для модуля osmax-provisioner
В инструкции ниже в качестве примера используются следующие данные:
-
имя домена —
osmax.inno.tech; -
пользователь Microsoft Active Directory c правами администратора —
adminuser.
| Имя хоста | ОС | Роль | IP-адрес |
|---|---|---|---|
osmax-winsrv.osmax.inno.tech |
Windows Server 2022 |
Domain Controler Active Directory |
10.31.1.64/16 |
osmax-astra |
Astra Linux SE Orel |
Workstation |
10.31.1.74/16 |
-
В файле
/etc/hostnameукажите FQDN (Fully Qualified Domain Name) — имя системы:osmax-astra.osmax.inno.tech
-
В файле
/etc/hostsсоздайте запись с полным и коротким доменным именем, ссылающуюся на один из внутренних IP-хостов:127.0.0.1 localhost 10.31.1.74 osmax-astra.osmax.inno.tech osmax-astra
-
В файл
/etc/resolv.confвнесите изменения, указав имя существующего домена AD, скоуп для поиска и серверы DNS (контроллеры домена Active Directory):domain osmax.inno.tech search osmax.inno.tech. nameserver 10.31.1.64
Для корректной работы разница во времени между хостом и контроллером домена не должна превышать 5 минут, иначе получение тикета Kerberos будет невозможно. Настройте синхронизацию времени с контроллером домена.
-
Установите необходимые пакеты:
sudo apt install ntp ntpdate
-
В файле
/etc/ntp.confукажите контроллер домена в качестве точки синхронизации, остальные параметры закомментируйте:# You do need to talk to an NTP server or two (or three). #server ntp2.ntp-servers.net iburst #server ntp.msk-ix.ru iburst server osmax-winsrv.osmax.inno.tech # pool.ntp.org maps to about 1000 low-stratum NTP servers. Your server will # pick a different set every time it starts up. Please consider joining the # pool: <http://www.pool.ntp.org/join.html> #pool 0.ru.pool.ntp.org iburst #pool 1.ru.pool.ntp.org iburst #pool 2.ru.pool.ntp.org iburst #pool 3.ru.pool.ntp.org iburst
-
Выполните единовременную синхронизацию времени с контроллером домена и запустите службу:
sudo systemctl stop ntp sudo ntpdate -bs osmax.inno.tech sudo systemctl start ntp
-
Используйте команду
realmиз пакетаrealmd, чтобы присоединиться к домену и создать конфигурацию sssd. Для этого установите необходимые пакеты:sudo apt install realmd sssd sssd-tools libnss-sss libpam-sss adcli samba-common-bin oddjob oddjob-mkhomedir packagekit -y
-
Проверьте доступность домена для обнаружения через DNS. Команда
realm discoverвозвращает полную конфигурацию домена и список пакетов, которые необходимо установить, чтобы система была зарегистрирована в домене:user@osmax-astra:/home/user# realm discover osmax.inno.tech -v * Resolving: _ldap._tcp.osmax.inno.tech * Performing LDAP DSE lookup on: 10.31.1.64 * Successfully discovered: osmax.inno.tech osmax.inno.tech type: kerberos realm-name: OSMAX.INNO.TECH domain-name: osmax.inno.tech configured: no server-software: active-directory client-software: sssd required-package: sssd-tools required-package: sssd required-package: libnss-sss required-package: libpam-sss required-package: adcli required-package: samba-common-bin
-
Введите хост в домен Active Directory. Для выполнения операции требуется учетная запись AD с правами администратора домена (или пользователь, которому делегированы права на добавление хостов в домен):
realm join -U adminuser osmax.inno.tech Пароль для adminuser:
-
Проверьте, что хост находится в домене Active Directory:
user@osmax-astra:/home/user# realm list osmax.inno.tech type: kerberos realm-name: OSMAX.INNO.TECH domain-name: osmax.inno.tech configured: kerberos-member server-software: active-directory client-software: sssd required-package: sssd-tools required-package: sssd required-package: libnss-sss required-package: libpam-sss required-package: adcli required-package: samba-common-bin login-formats: %U@osmax.inno.tech login-policy: allow-realm-logins
-
Инструмент
realmdпосле ввода хоста в домен создает файл конфигурации sssd/etc/sssd/sssd.conf.Файл /etc/sssd/sssd.confдолжен иметь разрешения 600 иroot:root, иначе демон sssd не будет запускаться:user@osmax-astra:/home/user# cat /etc/sssd/sssd.conf [sssd] domains = shadowutils, osmax.inno.tech config_file_version = 2 services = nss, pam [nss] [pam] [domain/shadowutils] id_provider = files auth_provider = proxy proxy_pam_target = sssd-shadowutils proxy_fast_alias = True [domain/osmax.inno.tech] ad_domain = osmax.inno.tech krb5_realm = OSMAX.INNO.TECH realmd_tags = manages-system joined-with-adcli cache_credentials = True id_provider = ad krb5_store_password_if_offline = True default_shell = /bin/bash ldap_id_mapping = True use_fully_qualified_names = True fallback_homedir = /home/%u@%d access_provider = ad
-
Выполните следующую команду, чтобы для пользователей Active Directory при входе в систему создавался домашний каталог:
pam-auth-update --enable mkhomedir
-
Запросите информацию о пользователе Active Directory (adminuser@osmax.inno.tech):
user@osmax-astra:/home/user# getent passwd adminuser@osmax.inno.tech adminuser@osmax.inno.tech:*:1762401001:1762400513:adminuser:/home/adminuser@osmax.inno.tech:/bin/bash
-
Войдите в систему:
user@osmax-astra:/home/user# login osmax-astra.osmax.inno.tech имя пользователя: adminuser Пароль: Создание каталога /home/adminuser@osmax.inno.tech. adminuser@osmax.inno.tech@osmax-astra:~$
В файле конфигурации модуля osmax-provisioner application.properties
задайте следующие параметры конфигурации:
quarkus.kerberos.service-principal-name=<service-account-name>
quarkus.kerberos.service-principal-realm=<domain-name>
quarkus.kerberos.service-principal-password=<service-account-password>Пример:
quarkus.kerberos.service-principal-name=osmax_provisioner_svc
quarkus.kerberos.service-principal-realm=OSMAX.INNO.TECH
quarkus.kerberos.service-principal-password=Qwerty123Работа с коллекциями устройств
В рамках инвентаризации выполняется сбор и хранение данных о пользователях и устройствах компании, а также работа с коллекциями устройств, которые могут быть сформированы по различным признакам.
Коллекция устройств — это множество устройств, которое формируется в результате фильтрации всех устройств по атрибутам самих устройств и атрибутам пользователей, ассоциированных с ними.
Коллекции могут быть статическими и динамическими. В статических коллекциях набор устройств обновляется вручную администратором, а в динамических — автоматически согласно расписанию, которое устанавливает создатель коллекции при условии, что фильтры в коллекции остаются неизменными.
Основные операции по работе с пользователями, устройствами и коллекциями выполняются в графическом интерфейсе администратора. Подробнее см. раздел «Основные сценарии использования» в документе «Руководство администратора»).
Сбор данных по аппаратной конфигурации устройств
В рамках инвентаризации в БД продукта импортируются следующие технические характеристики устройств из модуля координации:
-
актуальные данные по аппаратной конфигурации устройства;
-
актуальные данные системного ПО устройства;
-
список фактически развернутого прикладного и системного ПО на устройстве.
Данные поступают от агентов (minions) с помощью механизма Grains на сервер управления (master) согласно заданному расписанию.
Сервер управления (master) публикует их в виде события в канале REST endpoint Events, который прослушивается бэкендом продукта.
Каждое из таких событий содержит технические характеристики по одному из агентов (minions), которые актуализируются в БД:
| Параметр устройства из ответа модуля координации | Параметр в БД | Описание |
|---|---|---|
|
|
Идентификатор агента (minion) |
|
|
Короткое имя устройства (NetBIOS name) |
|
|
Полное доменное имя устройства |
|
|
Набор доменных адресов IPv4 |
|
|
Имя домена |
|
|
Количество ядер процессора |
|
|
Модель процессора |
|
|
Архитектура процессора |
|
|
Объем ОЗУ |
|
|
Общий физический размер свопинга |
|
|
Физические адреса сетевого оборудования (MAC) |
|
|
Шлюз Ipv4 |
|
|
Сетевые интерфейсы IPv4 |
|
|
Сетевые интерфейсы IPv6 |
|
|
Диски SSD |
|
|
Диски HDD |
|
|
Серийный номер устройства |
|
|
Ядро ОС |
|
|
Релиз ядра ОС |
|
|
Код дистрибутива ОС |
|
|
Описание версии ОС |
|
|
Код версии ОС |
|
|
Архитектура ОС |
|
|
Полное наименование ОС |
|
|
Мажорная версия релиза ОС |
|
|
Версия релиза ОС |
|
|
Версия модуля координации на агенте (minion) |
|
|
Имя сервера управления (master) |
|
|
Версия Python для модуля координации на агенте (minion) |
|
|
Дата и время актуализации характеристик |
Настройка расписания синхронизации агентов (minions) с сервером управления (master)
Расписание синхронизации агентов (minions) с сервером управления (master) с настройками по умолчанию задается в БД для всей системы при установке продукта.
Настройки определяют:
-
операции, для которых выполняется синхронизация:
-
инвентаризации устройств (
highstate); -
синхронизации параметров Grains (
grains); -
применения назначенных конфигураций на устройствах (
grainsSync); -
синхронизации хранилища Pillar (
refreshPillar);
-
-
интервал в секундах, через который выполняется операция (
seconds); -
интервал в секундах, на который может быть случайная задержка перед выполнением операции (
splay).
Значения по умолчанию:
{
"highstate": {
"seconds": 84400,
"splay": 14400
},
"grains": {
"seconds": 14400,
"splay": 2400
},
"grainsSync": {
"seconds": 84400,
"splay": 14400
},
"refreshPillar": {
"seconds": 14400,
"splay": 2400
}
}Чтобы просмотреть текущие настройки или изменить их, используйте соответствующие API-методы (см. раздел «API логического модуля «Инвентаризация»» документа «Описание API»).
Диагностика работоспособности модуля osmax-core
Диагностика работоспособности модуля osmax-core осуществляется одним из следующих способов:
-
Проверка логов системы. В случае успешного запуска и работы модуля в логах должно присутствовать сообщение, например:
osmax-core <version> on JVM (powered by Quarkus 3.12.3) started in 13.321s.
Где <version> — версия установленного deb/rpm-пакета.
-
Выполнение HTTP-запросов к автоматически созданным конечным точкам на машине с установленным
osmax-coreс помощью библиотеки SmallRye Health для Quarkus, реализующей спецификацию MicroProfile Health. Этот способ позволяет проводить проверку соединения модуля с базой данных и Apache Kafka:-
GET http://localhost:8081/q/health/live— проверяет работоспособность системы; -
GET http://localhost:8081/q/health/ready— проверяет, готова ли система обрабатывать запросы.Для проверки установки соединения с LDAP-сервером, модулем «Удаленный доступ», модулем координации (SaltStack) и S3-совместимым хранилищем см. логи системы. Пример ответа на запрос к конечной точке
http://172.28.15.253:8081/q/health/live:{ "status": "UP", "checks": [ { "name": "SmallRye Reactive Messaging - liveness check", "status": "UP", "data": { "salt-events-kafka": "[OK]", "provisioner-os-installed-events-kafka": "[OK]" } } ] }Пример ответа на запрос к конечной точке
http://172.28.15.253:8081/q/health/ready:{ "status": "UP", "checks": [ { "name": "Database connections health check", "status": "UP", "data": { "lcm-db-readonly": "UP", "lcm-db": "UP" } }, { "name": "Reactive PostgreSQL connections health check", "status": "UP", "data": { "lcm-db-readonly": "UP", "lcm-db": "UP" } }, { "name": "SmallRye Reactive Messaging - readiness check", "status": "UP", "data": { "salt-events-kafka": "[OK]", "provisioner-os-installed-events-kafka": "[OK]" } } ] }
-
Журналирование
Журналирование — это процесс записи хронологии событий, сообщений или действий программного обеспечения или пользователей, происходящих в системе, в специальные лог-файлы заданного формата. События записываются в режиме, при котором каждая новая запись добавляется в конец файла, а сам файл называется оперативным. При достижении/превышении определенного размера файла содержимое файла автоматически копируется в исторический файл.
Для просмотра лог-файлов рекомендуется использовать специальные утилиты по работе с логами, например, Log File Navigator (lnav).
| Для действий, происходящих во внешних системах, например, БД, системы хранения контента, веб-сервера, службы каталогов, события в журнал не регистрируются. |
Параметры лог-файлов
Оперативный и исторические файлы — это файлы формата JSONL, которые создаются автоматически при установке продукта и хранятся на устройствах, на которых они были сгенерированы, в каталогах:
-
/var/log/osmax/core— каталог для хранения файлов модуля бэкендаosmax-core; -
/var/log/osmax/provisioner— каталог для хранения файлов модуляosmax-provisioner; -
/var/log/osmax/salt/master— каталог для хранения файлов сервера управления (master); -
/var/log/osmax/salt/minion— каталог для хранения файлов агентов (minions).
Имена файлов задаются согласно шаблонам:
-
шаблон имени оперативного файла:
log{-applicationAlias}.logГде
applicationAlias— название приложения, например:log-osmax-core.log. -
шаблон имени исторического файла:
log{-applicationAlias}.log.yyyy-MM-dd.{N}Где:
-
N— индекс файла; -
applicationAlias— название приложения; -
yyyy-MM-dd— дата ротации файла.
-
Исторические лог-файлы архивируются и имеют расширение .gz.
| По умолчанию предельный размер оперативного файла составляет 10 МБ. Для лог-файлов бэкенда при необходимости можно задать другое значение. Для лог-файлов сервера управления (master) и агентов (minions) значение параметра не конфигурируется. |
Описание полей лог-файла
| Код поля | Описание | ||
|---|---|---|---|
|
Время фиксации события приложением/сервисом в формате: |
||
|
Уровень логирования; возможные значения:
|
||
|
Логическое наименование модуля, инициировавшего событие; возможные значения:
|
||
|
Наименование устройства, на котором производится запись событий.
|
||
|
Сообщение, описывающее произошедшее событие |
Аудит
Аудит
в продукте выполняется для модулей бэкенда osmax-core и osmax-provisioner.
Для действий, происходящих внутри внешних систем, например, БД, системы хранения контента, веб-сервера, службы каталогов, события аудита не регистрируются.
В ходе аудита модули бэкенда собирают и записывают информацию о важных событиях, таких как аутентификация и авторизация пользователей, доступ к защищенным ресурсам или изменение конфигурации системы, в специальные лог-файлы заданного формата. События регистрируются в режиме, при котором каждая новая запись добавляется в конец оперативного файла. При достижении/превышении определенного размера содержимое оперативного файла автоматически копируется в исторический файл.
Для каждого регистрируемого события указываются:
-
тип;
-
идентификационные данные пользователя, инициировавшего регистрируемое событие;
-
успешность или не успешность осуществляемых действий;
-
дата и время события;
-
другие данные, достаточные для однозначной интерпретации события (см. раздел «Описание полей лог-файла»).
Для отслеживания записей лог-файлов, обогащения, преобразования их в необходимый формат и передачи в Kafka используется система сбора и передачи данных журналов Fluent Bit.
Параметры лог-файлов
Оперативный и исторические файлы — это файлы формата JSONL, которые создаются автоматически при
установке продукта и хранятся в каталоге /var/log/osmax/core.
Имена файлов задаются согласно шаблонам:
-
шаблон имени оперативного файла:
audit{-applicationAlias}.logГде
applicationAlias— название приложения, например:audit-osmax-core.log. -
шаблон имени исторического файла:
audit{-applicationAlias}.log.yyyy-MM-dd.{N}Где:
-
N— индекс файла; -
applicationAlias— название приложения; -
yyyy-MM-dd— дата ротации файла.
-
| По умолчанию предельный размер оперативного файла аудита составляет 10 МБ. При необходимости можно задать иное значение. |
Описание полей лог-файла
| Родительский элемент | Элемент | Описание | Запись в лог-файле | Запись в Fluent Bit | ||
|---|---|---|---|---|---|---|
|
|
Дата и время сообщения. Формат: |
Дата и время генерации события на сервере |
Значение переносится из лог-файла |
||
|
|
Идентификатор события |
Каждый раз генерируется новый UUID |
Значение переносится из лог-файла |
||
|
|
Идентификатор группы событий (например, начало и окончание фоновой процедуры) |
Каждый раз генерируется новый UUID |
Значение переносится из лог-файла |
||
Данные об информационной системе клиента |
||||||
|
|
Код информационной системы |
Не заполняется |
Константа со значением информационной системы |
||
|
|
Идентификатор информационной системы |
Не заполняется |
Константа со значением информационной системы |
||
Данные о типе событий |
||||||
|
|
Версия сообщений (версия схемы) |
Не заполняется |
Константа со значением информационной системы |
||
|
|
Тип события |
Заполняется на русском языке. См. колонку |
Значение переносится из лог-файла |
||
|
|
Код события |
См. колонку |
Значение переносится из лог-файла |
||
|
|
Не заполняется |
Константа со значением |
|||
|
|
Объект с дочерними атрибутами |
Не заполняется |
Значение создается при обработке |
||
Данные об объекте и операции |
||||||
|
|
Идентификатор бизнес-объекта, над которым выполняется действие, например |
См. колонку |
Значение переносится из лог-файла |
||
|
|
Название типа объекта, над которым выполняется действие. Например, "конфигурация" |
Заполняется, только если объект в колонке |
Значение переносится из лог-файла (если присутствует в лог-файле); создается с пустым значением (если отсутствует в лог-файле) |
||
|
|
Название бизнес-операции, например, «создание конфигурации» |
Не заполняется |
Заполняется значением, указанным в поле |
||
Данные о событии, связанные с классом сообщения о событии |
||||||
|
|
Класс сообщения о событии. Возможные значения:
|
См. колонку |
Значение переносится из лог-файла |
||
|
|
Краткое описание сообщения |
Не заполняется |
Заполняется на русском языке значением, указанным в поле |
||
|
|
Подробное описание события
|
См. колонку |
Значение переносится из лог-файла (если в лог-файле нет параметра |
||
|
|
Объект с дочерними атрибутами |
Не заполняется |
Объект создается при обработке |
||
|
|
Имя пользователя, например, iivanov@inno.tech |
Если событие — это вызов конечной точки (end point), то указываются данные из тикета Kerberos
( |
Значение переносится из лог-файла |
||
|
|
IP-адрес пользователя, выполнившего операцию |
|
Значение переносится из лог-файла |
||
Данные о контексте события |
||||||
|
|
Объект с дочерними атрибутами |
Не заполняется |
Объект создается при обработке |
||
|
|
сессия JWT-токена |
Не заполняется |
Значение переносится из лог-файла |
||
|
|
URL-адрес конечной точки, указанный вместе с протоколом и параметрами.
|
||||
|
|
HTTP-метод |
Поле заполняется, только если событие — это вызов конечной точки (end point). В остальных случаях указывается символ "-" |
Значение переносится из лог-файла |
||
|
|
Идентификатор трассировки |
Не заполняется |
Значение переносится из лог-файла |
||
|
|
Идентификатор шага трассировки |
Не заполняется |
Значение переносится из лог-файла |
||
|
|
IP-адрес, на который выполняется вызов от клиента |
Не заполняется |
|||
|
|
IP-адрес получателя |
Не заполняется |
|||
Данные о развертывании информационной системы |
||||||
|
|
Объект с дочерними атрибутами |
Не заполняется |
Создается при обработке |
||
|
|
Пространство имен платформы (OpenShift/Kubernetes), в которой развёрнут сервис, генерирующий логи |
Не заполняется |
|||
|
|
Имя текущей поды (POD) (OpenShift/Kubernetes), в которой развёрнут сервис, генерирующий логи |
Не заполняется |
|||
Дополнительные параметры |
||||||
|
|
Все дополнительные параметры сообщения |
См. колонку |
переносится из лог-файла (если параметр присутствует). Если в лог-файле не указаны параметры`additionalParams.*`, то в Kafka ничего не отгружается. Если присутствует хотя бы один параметр, то формируется объект вида: "additionalParams":
{"configurationVersionName": "1.1",
"configurationId": 8765, "configurationName": "Пакет программ для бухгалтерии"
},
|
||
|
|
Информация об ошибке в произвольном формате, если действие завершилось неудачно ( |
Заполняется, только если в лог-файле была зарегистрирована информация об ошибке |
Если параметр задан в лог-файле, значением этого поля заменяется объект |
||
Данные для интеграции с системой централизованного мониторинга событий безопасности клиента |
||||||
|
|
Возможные значения:
|
В текущей версии продукта используется только значение |
Значение переносится из лог-файла или создается параметр со значением "" |
||
Пример лог-файла:
{
"timestamp": "2024-06-27T15:37:45.943Z",
"sequence": 27003,
"loggerClassName": "io.github.oshai.kotlinlogging.slf4j.internal.LocationAwareKLogger",
"loggerName": "AUDIT",
"level": "INFO",
"message": "Авторизация в приложении",
"threadName": "executor-thread-321",
"threadId": 520,
"initiator.sub": "iivanov@LCM.TERRA.INNO.TECH",
"context.method": "-",
"correlationId": "7422db8a-fd80-4780-8ffe-56d46587eb49",
"class": "SUCCESS",
"code": "AUTH-003",
"type": "Авторизация",
"context.url": "-",
"id": "2780d3db-4377-402f-b784-4a3814273578",
"object.id": "-",
"componentName": "lcm-core",
"ipAddress": "-",
"hostName": "dev-lcm-a50",
"processName": "io.quarkus.runner.GeneratedMain",
"processId": 52785
}События аудита
События аутентификации
| type | code | object.id | message | object.name | class | additionalParams | Описание |
|---|---|---|---|---|---|---|---|
Аутентификация |
AUTH-001 |
- |
Аутентификация в приложении |
|
Возможные значения:
|
|
Проверка валидности Kerberos-тикета при любом запросе от фронтенда, который поступает в модуль
|
Аутентификация |
AUTH-002 |
- |
Аутентификация в приложении |
|
Возможные значения:
|
|
Проверка валидности Kerberos-тикета при любом запросе от фронтенда, который поступает в модуль |
События авторизации
| type | code | object.id | message | object.name | class | additionalParams | Описание |
|---|---|---|---|---|---|---|---|
Авторизация |
AUTH-003 |
- |
Авторизация в сервисном приложении |
|
Возможные значения:
|
|
Получение ролей для пользователя и проверка доступности объектов БД при любом запросе от фронтенда,
который поступает в модуль |
Авторизация |
AUTH-004 |
- |
Авторизация в сервисном приложении |
|
Возможные значения:
|
|
Получение ролей для пользователя и проверка доступности объектов БД при любом запросе от фронтенда,
который поступает в модуль |
События управления ролевым доступом
| type | code | object.id | message | object.name | class | additionalParams | Описание |
|---|---|---|---|---|---|---|---|
|
|
Id роли из ответа |
Создание роли |
|
Возможные значения:
|
|
Создание роли, которая не привязана к пользователю/группе |
|
|
Id роли из запроса |
Изменение роли |
|
Возможные значения:
|
|
Изменение характеристик роли без изменения состава полномочий роли и без изменения привязки к пользователям/группам |
|
|
Id роли из запроса |
Удаление роли |
|
Возможные значения:
|
|
Удаление и отвязка роли от пользователей/групп |
|
|
Id роли из запроса |
Изменение списка доступных действий над объектами в рамках роли |
|
Возможные значения:
|
|
Изменение полномочий роли. Если роль привязана к пользователю/группе, то у пользователя/группы появляются полномочия в системе |
|
|
Id роли из запроса |
Назначение роли пользователю или группе |
|
Возможные значения:
|
|
Роль привязывается к пользователю/группе. У пользователя/группы через роль появляются полномочия в системе |
|
|
Id роли из запроса |
Отзыв роли у пользователя или группы |
|
Возможные значения:
|
|
Роль отвязывается от пользователя/группы. У пользователя/группы из-за отвязки роли пропадают полномочия в системе |
Системные события
| type | code | object.id | message | object.name | class | StartTime и EndTime | additionalParams | Описание |
|---|---|---|---|---|---|---|---|---|
|
|
- |
Автоматическое сопоставление |
|
Возможные значения:
|
По заданному расписанию |
|
Автоматическое сопоставление устройства и пользователей, которое выполняется по заданному расписанию |
|
|
- |
Установка, обновление, удаление ПО, запуск или остановка служб, настройка ОС в фоновом режиме |
|
Возможные значения:
|
Значение, указанное в поле |
|
Установка, обновление, удаление ПО, запуск или остановка служб, настройка ОС в фоновом режиме.
Событие генерируется из сообщения топика Kafka |
|
|
- |
Установка, обновление, удаление ПО, запуск или остановка служб, настройка ОС в push-режиме |
|
Возможные значения:
|
Значение, указанное в поле |
|
Установка, обновление, удаление ПО, запуск или остановка служб, настройка ОС в push-режиме.
Событие генерируется из сообщения топика Kafka |
|
|
- |
Установка агента на устройство |
|
Возможные значения:
|
Значение, указанное в поле |
|
Установка агента (minion) на устройство. Событие генерируется из сообщения топика Kafka |
|
|
- |
Автоматический пересчёт коллекции |
|
Возможные значения:
|
По расписанию |
|
Автоматический пересчет коллекции устройств. Событие запускается по расписанию. Изменения сохраняются в БД |
|
|
- |
Cинхронизация данных по пользователям, устройствам, группам c хранилищем |
|
Возможные значения:
|
По расписанию |
|
Cинхронизация данных по пользователям, устройствам, группам c данными на LDAP-сервере. Событие запускается по расписанию. Пользователи, устройства, группы сохраняются в БД |
|
|
- |
Автоматическое снятие пессимистичных блокировок по таймауту |
|
Возможные значения:
|
По расписанию |
|
Удаление записей о блокировках, которые старше заданного значения |
События, связанные с действиями администратора в КА
| type | code | object.id | message | object.name | class | additionalParams | Описание | ||
|---|---|---|---|---|---|---|---|---|---|
Действия администратора, связанные с интеграцией ( |
|||||||||
|
|
- |
Загрузка формул отдельно от конфигурации |
|
Возможные значения:
|
|
Загрузка формул, в которых описана установка ПО, запуск служб, настройка ОС и т.д., в S3-совместимое хранилище |
||
|
|
- |
Загрузка файла в хранилище |
|
Возможные значения:
|
|
Загрузка файла с изображением, которое будет использоваться как обложка для графического интерфейса «Магазин администратора» в S3-совместимое хранилище |
||
|
|
- |
Принудительный запуск синхронизации пользователей, устройств, групп c хранилищем |
|
Возможные значения:
|
|
Принудительный запуск синхронизации пользователей, устройств, групп c данными LDAP-сервера. Группы, устройства, пользователи сохраняются в БД |
||
Действия администратора, связанные с инвентаризацией ( |
|||||||||
|
|
- |
Редактирование настроек загрузки пользователей из хранилища |
|
Возможные значения:
|
|
Изменения настроек загрузки пользователей с сервера LDAP:
|
||
|
|
- |
Изменение расписания синхронизации всех сущностей |
|
Возможные значения:
|
|
Изменение расписания синхронизации всех сущностей с сервера LDAP |
||
|
|
- |
Редактирование настроек загрузки устройств |
|
Возможные значения:
|
|
Изменение настроек загрузки устройств с сервера LDAP:
|
||
|
|
- |
Редактирование настроек загрузки групп |
|
Возможные значения:
|
|
Изменение настроек загрузки групп с сервера LDAP:
|
||
|
|
- |
Включение или отключение автоматического сопоставления пользователей и устройств |
|
Возможные значения:
|
|
Включение или отключение режима автоматического сопоставления пользователей и устройств |
||
|
|
- |
Изменение параметров автоматического сопоставления |
|
Возможные значения:
|
Изменение атрибутов режима автоматического сопоставления пользователей и устройств |
|||
|
|
- |
Принудительный запуск автоматического сопоставления |
|
Возможные значения:
|
|
Ручной запуск автоматического сопоставления пользователей и устройств |
||
|
|
- |
Импорт файла соответствия пользователей и машин |
|
Возможные значения:
|
|
Импорт файла соответствия пользователей и устройств |
||
|
|
- |
Редактирование значений настроек агентов |
|
Возможные значения:
|
|
Изменение настроек расписаний для SaltStack и сохранение их в S3-совместимом хранилище |
||
|
|
- |
Экспорт в файл |
|
Возможные значения:
|
|
Выгрузка данных на устройство пользователя:
|
||
|
|
- |
Редактирование значений настроек (параметров) пользователей при синхронизации с LDAP |
|
Возможные значения:
|
|
Изменение значений настроек (параметров) пользователей при синхронизации с LDAP |
||
|
|
- |
Редактирование значений настроек параметров сбора данных по ПО |
|
Возможные значения:
|
|
Изменение настроек сбора данных по ПО (перечень игнорируемого ПО для сбора) на устройстве:
|
||
Действия администратора, связанные с коллекциями ( |
|||||||||
|
|
Идентификатор коллекции. Для методов DELETE и PUT указывается идентификатор из path-параметра. Для метода POST указывается идентификатор из ответа |
Редактирование коллекций |
|
Возможные значения:
|
|
Операции с коллекциями устройств:
|
||
|
|
- |
Запуск процедуры пересчета коллекции в ручном режиме |
|
Возможные значения:
|
|
Запуск процедуры пересчета коллекции устройств в ручном режиме |
||
|
|
Идентификатор пресета. Для метода DELETE указывается значение из path-параметра. Для метода POST — из ответа |
Редактирование пресета коллекций |
|
Возможные значения:
|
|
Операции с пресетами коллекций:
|
||
Действия администратора, связанные с конфигурациями ( |
|||||||||
|
|
Идентификатор конфигурации. Для методов DELETE и PUT указывается значение из path-параметра. Для метода POST — из ответа |
Редактирование конфигураций |
|
Возможные значения:
|
|
Операции с конфигурациями:
|
||
|
|
Идентификатор версии конфигурации. Для методов DELETE и PUT указывается значение из path-параметра. Для метода POST — из ответа |
Редактирование версий конфигурации |
|
Возможные значения:
|
|
Операции с версиями конфигураций:
|
||
|
|
Идентификатор пакета конфигурации. Для методов DELETE и PUT указывается значение из path-параметра. Для метода POST — из ответа |
Редактирование пакетов конфигурации |
|
Возможные значения:
|
|
Операции с пакетами конфигураций:
|
||
|
|
- |
Экспорт в файл |
|
Возможные значения:
|
|
Экспорт списка конфигураций |
||
|
|
Наименование конфигурации из загружаемого архива |
Импорт из файла |
|
Возможные значения:
|
|
Импорт конфигурации |
||
Действия администратора, связанные со связками коллекция-конфигурация ( |
|||||||||
|
|
Идентификатор применения. Для метода DELETE указывается значение из path-параметра; для метода POST — из ответа |
Редактирование применения конфигурации или пакета конфигурации к коллекции |
|
Возможные значения:
|
|
Операции с сущностью коллекция-конфигурация:
|
||
|
|
Идентификатор применения. Для метода POST указывается значение из ответа |
Запуск/остановка применения конфигурации или пакета конфигурации к коллекции |
|
Возможные значения:
|
|
Операции с сущностью коллекция-конфигурация:
|
||
|
|
- |
Экспорт в файл |
|
Возможные значения:
|
|
Операции с сущностью коллекция-конфигурация:
|
||
|
|
- |
Настройка параметров успешности применения конфигурации или пакета конфигурации к коллекции |
|
Возможные значения:
|
|
Запрос для изменения настроек неуспешности применения конфигураций |
||
Действия администратора, связанные с сессиями ( |
|||||||||
|
|
- |
Принудительный запуск очистки истории сессий пользователей на устройствах |
|
Возможные значения:
|
Удаление истории сессий |
|||
|
|
- |
Получение информации о сессиях |
|
Возможные значения:
|
|
Операции по получению исторических данных о сессиях пользователей на устройствах:
|
||
Действия администратора, связанные с настройкой отчётов ( |
|||||||||
|
|
Идентификатор отчёта в БД. Для методов DELETE и PUT указывается значение из path-параметра. Для метода POST — из ответа |
Регистрация шаблона отчета |
|
Возможные значения:
|
|
Операции с отчетами:
|
||
|
|
Идентификатор отчёта в БД. Указывается значение поля |
Выгрузка отчета |
|
Возможные значения:
|
|
Исполнение отчета |
||
Действия администратора, связанные с установкой ОС ( |
|||||||||
|
|
Идентификатор Дистрибутива ( |
Редактирование Дистрибутива |
|
Возможные значения:
|
|
Операции по работе с установочными дистрибутивами операционных систем, содержащих информацию об операционной системе и путях до репозиториев, в которых хранятся дистрибутивы:
|
||
|
|
Идентификатор Профиля установки ( |
Редактирование Профиля установки |
|
Возможные значения:
|
|
Операции по работе с профилями установки операционных систем, которые содержат информацию об установочном дистрибутиве и набор шаблонов для конфигурации процесса установки:
|
||
|
|
Идентификатор способа развертывания ( |
Редактирование Развертывания |
|
Возможные значения:
|
|
Операции по работе со способами развертывания операционных систем, которые описывают профиль установки, метод развертывания, а также дополнительные атрибуты развертывания, с которыми необходимо производить установку операционных систем на устройства:
|
||
|
|
Идентификатор Загрузочного образа ( |
Редактирование Загрузочного образа |
|
Возможные значения:
|
|
Cоздание загрузочного образа |
||
|
|
Идентификатор Загрузочного образа (значение |
Выгрузка файла Загрузочного образа |
|
Возможные значения:
|
|
Скачивание сформированного ISO-файла загрузочного образа операционной системы. Полученный файл сохраняется на ПК клиента |
||
|
|
Идентификатор Шаблона (Installation_templates). Для методов DELETE и PUT указывается значение из path-параметра. Для метода POST — из ответа |
Редактирование Шаблона конфигурации установки |
|
Возможные значения:
|
|
Операции по работе с файлами шаблонов, необходимых для установки операционных систем, например для формирования конфигурационных файлов, файлов ответов или скриптов пост-установки:
|
||
|
|
Идентификатор Нового устройства ( |
Редактирование Нового устройства для установки ОС |
|
Возможные значения:
|
|
Операции по работе с устройствами, физическими или виртуальными, на которых необходимо произвести установку операционной системы:
|
||
|
|
Идентификатор процесса установки ( |
|
|
Возможные значения:
|
|
Получение истории процесса по уникальному идентификатору устройства |
||
|
|
- |
`Экспорт в файл отчета ` |
|
Возможные значения:
|
|
Изменения сохраняются в БД. Событие создается при выполнении запросов с фронтенда:
|
||
Действия администратора, связанные с модулями grain, state, execution ( |
|||||||||
|
|
Идентификатор файла ( |
Загрузка модулей grain modules, state modules, execution modules |
|
Возможные значения:
|
|
Операции с пользовательскими файлами SaltStack (grains, states, execution modules):
|
||
|
|
- |
Принудительный запуск расчета состояния агентов на машинах |
|
Возможные значения:
|
Получение информации о состоянии агентов (minions) из БД |
|||
Действия администратора, связанные с запросом удаленного доступа ( |
|||||||||
|
|
- |
Запрос для получения удаленного доступа на устройство по выбранному протоколу |
|
Возможные значения:
|
|
Запрос для получения удаленного доступа на устройство по выбранному протоколу |
||
Действия администратора, связанные с удаленными операциями (osmax-core) |
|||||||||
|
|
- |
Создание заявки на выполнение удаленной операции |
|
|
Создание заявок на выполнение удаленной операции |
|||
|
|
Указывается значение из параметра пути |
Редактирование параметров операции |
|
|
Изменение параметров удаленной операции |
|||
Действия администратора, связанные с разблокировкой заблокированных пессимистичной блокировкой сущностей
( |
|||||||||
|
|
Идентификатор разблокировываемой сущности. Указывается значение из тела запроса |
Ручное снятие блокировки с экземпляра сущности.
|
|
Удаление произвольной блокировки по идентификатору. Используется для удаления любой блокировки захваченной любым
пользователем. Для использования требуется специальное разрешение: |
||||
Действия администратора, связанные с удалением данных из БД |
|||||||||
|
|
Идентификатором является имя таблицы из запроса ( |
Редактирование параметров удаления данных из БД |
|
Возможные значения:
|
|
Изменение параметров автоматического удаления неактуальных данных из БД по уникальному внутреннему наименованию сущности |
||
|
|
Идентификатором является имя таблицы, на которой производится удаление данных (поле |
Периодическая очистка данных из БД |
|
Возможные значения:
|
|
Событие запускается после выполнения задания на удаление, если удаление производилось |
||
События, связанные с действиями пользователя в МП
| type | code | object.id | message | object.name | class | StartTime и EndTime | additionalParams |
|---|---|---|---|---|---|---|---|
Описание |
|
|
Идентификатор заказа, указанный в ответе |
Создание заказа на установку или обновление или удаление версии ПО |
|
Возможные значения:
|
|
Мониторинг
Для мониторинга работы модулей продукта используются метрики в формате Prometheus.
Метрики модулей бэкенда: osmax-core и osmax-provisioner
Сбор метрик осуществляется средствами расширения для Quarkus, которое включает в себя автоматическую интеграцию с библиотеками сбора метрик Micrometer и экспорт метрик в формате Prometheus.
Пример метрики:
# HELP http_server_requests_seconds_max
# TYPE http_server_requests_seconds_max gauge
http_server_requests_seconds_max{method="GET",outcome="CLIENT_ERROR",status="404",uri="NOT_FOUND",} 0.0
В приведенном примере:
-
HELP— словесное описание метрики, указывающее на предмет измерений; -
TYPE— тип метрики, возможные значения:-
counter— простой счетчик, значение которого монотонно возрастает; -
gauge— счетчик, значение которого может произвольно изменяться как в большую, так и в меньшую сторону; -
histogram— распределение значений измеряемой величины по настраиваемым группам с указанием количества измерений и общей суммы значений величины по всем измерениям; -
summary— распределение значений измеряемой величины по настраиваемому набору квантилей в рамках определенного интервала времени с указанием количества изменений и общей суммы значений величины по всем измерениям;
-
-
http_server_requests_seconds_max— наименование метрики; -
{method="GET",outcome="CLIENT_ERROR",status="404",uri="NOT_FOUND",}— набор меток или тегов (label в терминологии Prometheus), представляющих собой пары «ключ — значение» и содержащих детализированную информацию в рамках отдельной метрики;В приведенном примере содержится информация о запросе к HTTP-серверу. -
0.0— значение метрики.
Quarkus предоставляет следующие метрики для используемого набора библиотек:
-
system — информация о хосте (дублирует метрики Linux);
-
process — информация о процессе;
-
jvm — информация о виртуальной машине Java;
-
http — информация о http-сервере;
-
worker-pool — информация о пуле рабочих потоков vert.x;
-
netty — информация о сетевом асинхронном фреймворке netty;
-
postgresql — информация о работе клиента БД;
-
kafka — информация о работе клиента kafka.
В таблице ниже описаны метрики, используемые для работы и диагностики модулей бекэнда.
| Метрика | Описание |
|---|---|
|
Процент использования процессора виртуальной машиной |
|
Количество открытых десекрипторов файлов |
|
Максимальный объем памяти для использования (разделяется по типам) |
|
объем используемой памяти |
|
Размер памяти (%), освобожденной после последнего GC heap |
|
Максимальный размер heap-памяти |
|
Паузы на сборку мусора |
|
Максимальное время, потраченное на GC |
|
Процент времени, затрачиваемого на сборку мусора |
|
Количество потоков |
|
Пиковое количество потоков |
|
Число потоков по состоянию |
|
Количество классов, загруженных в данный момент в виртуальную машину Java |
|
Максимальный размер буферной памяти JVM |
|
Размер используемой буферной памяти JVM |
|
Активные запросы |
|
Количество запросов в секунду |
|
Время, затраченное на обработку запросов |
|
Максимальное время обработки запроса |
|
Число используемых в данный момент ресурсов из пула |
|
Количество ресурсов из пула, которые в данный момент не используются |
|
Максимальное время ожидания в очереди на выполнение |
|
Размер очереди ожидания |
|
Время использования ресурсов и пула |
|
Максимальное время использования ресурсов и пула |
|
Размер используемой памяти Netty |
|
Количество ожидающих задач |
|
Время ожидания в очереди на выполнение |
|
Максимальное время ожидания в очереди на выполнение |
|
Число элементов в очереди на выполнение |
|
Количество исполняемых в данный момент запросов |
|
Время исполнения запроса |
|
Максимальное время исполнения запроса |
|
Среднее число потребляемых записей в секунду |
|
Число ответов, полученных в секунду |
|
Максимальная задержка между вызовами poll() |
|
Число запросов, отправленных в секунду |
|
Среднее время на запросы fetch |
|
Среднее число байт, потребляемое в секунду |
|
Среднее число записей в запросах |
|
Количество байтов, прочитанных из всех сокетов в секунду |
|
Средний размер отправленных запросов |
|
Количество запросов, отправляемых в секунду |
|
Количество запросов на выборку в секунду |
|
Среднее количество байтов, полученных за один запрос |
|
Максимальное время, необходимое для запроса на получение |
|
Количество сетевых операций (чтение или запись) для всех подключений в секунду |
Метрики модуля «Шлюз удаленного доступа»
-
system.cpu.load[all, avg5]— загрузка CPU за последние 5 минут для всех процессоров; -
vm.memory.size[pavailable]— процент доступной оперативной памяти (RAM); -
proc.num[guacd] [u|1]— жизнеспособность компонентыGuacamole server; -
net.tcp.service[http,,8080]— жизнеспособность компонентыAppache tomcat; -
net.tcp.service[tcp,,1024]— жизнеспособность компонентыPostgresql; -
proc.num[syslog_ng] [u|1]— жизнеспособность компонентыSyslog-ng.
Метрики модуля координации (SaltStack)
SaltStack не предоставляет метрики своего внутреннего состояния, поэтому для отслеживания работы модуля координации (SaltStack) можно использовать только метрики linux-сервера, на котором он будет запущен.
Метрики Linux
В таблице ниже перечислены метрики мониторинга и анализа работы серверов и компьютеров под управлением Linux,
на которых запускаются модули: osmax-core, osmax-provisioner, salt-master.
Метрика |
Оповещение |
Описание |
|||
|---|---|---|---|---|---|
Warning |
Average |
High |
Disaster |
||
System uptime |
Время работы системы с последней загрузки |
||||
Number of running processes |
Число запущенных процессов |
||||
Number of CPUs |
Количество ядер процессора |
||||
CPU utilization % |
80 |
85 |
90 |
95 |
Утилизация ЦПУ |
CPU system time |
Время, которое процессор потратил на работу ядра и его процессов |
||||
CPU user time |
Время, затраченное процессором на выполнение пользовательских процессов, которые не были оптимизированы |
||||
CPU iowait time |
Время, которое ЦП потратил на ожидание завершения ввода-вывода |
||||
Total memory |
Количество оперативной памяти |
||||
Memory utilization % |
80 |
85 |
90 |
95 |
Утилизация памяти |
Total swap space |
Общий объем тома/файла подкачки в байтах |
||||
Free swap space |
Свободное пространство тома/файла подкачки в % |
||||
Disk size |
Размер диска (раздела на котором работает приложение (логи, аудит, временные файлы и тп)) |
||||
Disk utilization % |
80 |
85 |
90 |
95 |
Утилизация диска |
Disk read rate |
Количество операций чтения в секунду |
||||
Disk write rate |
Количество операций записи в секунду |
||||
Network interface operational status |
Статус сетевой карты |
||||
Interface speed |
Скорость сетевой карты |
||||
Interface utilization |
80 |
85 |
90 |
95 |
Утилизация сетевой карты |
Outbound packets with errors |
Исходящие пакеты с ошибками |
||||
Inbound packets with errors |
Входящие пакеты с ошибками |
||||
Outbound packets discarded |
Отброшенные исходящие пакеты |
||||
Inbound packets discarded |
Отброшенные входящие пакеты |
||||
Дополнительные метрики
Мониторинг и оповещения о критических ситуациях для сервисов PostgreSQL, S3, Kafka, Redis, Nginx настраиваются администраторами этих сервисов.
Ниже перечислены метрики, важные с точки зрения работы продукта, которые рекомендуется выводить на дашборд.
Метрики PostgreSQL
-
Total Connections — общее количество соединений с базой данных;
-
Active Сonnections — общее количество соединений с базой данных;
-
Idle Сonnections — количество неактивных (ожидающих использования) соединений;
-
TPS (Transactions Per Second) — количество транзакций в базе данных за одну секунду;
-
Database Size — размер БД.
Метрики S3
-
Read Bandwidth — пропускная способность для чтения данных из бакета;
-
Write Bandwidth — пропускная способность для записи данных в бакет;
-
Read Operations Per Second — количество операций чтения в бакете за одну секунду;
-
Write Operations Per Second — количество операций записи в бакет за одну секунду;
-
Bucket Size — размер бакета;
-
S3 Storage Object Count — количество объектов в бакете.
Метрики Kafka
-
Max Unread Topic Messages — максимальное количество непрочитанных сообщений в топике;
-
Current Unread Topic Messages — текущее количество непрочитанных сообщений в топике;
-
Topic File Size on Disk — размер файла(ов) топика на диске;
-
Messages In Per Second — скорость записи сообщений в топик;
-
Messages Out Per Second — скорость считывания сообщений из топика;
-
Client Fetch Request Failed Per Second — количество неудачных запросов клиента на получение сообщений за одну секунду;
-
Produce Requests Failed Per Second — количество неудачных запросов на запись сообщений за одну секунду.
Метрики Redis
-
Max Clients — максимальное количество клиентов, которое может быть подключено к Redis;
-
Connected Clients — количество текущих подключенных клиентов;
-
Rejected Connections — количество соединений, которые были отклонены из-за достижения максимального количества клиентов;
-
Keyspace Hit — количество успешных обращений к ключам в кэше;
-
Keyspace Misses — количество неудачных обращений к ключам в кэше;
-
Evicted Keys — количество ключей, вытесненных из-за ограничения памяти;
-
Input Bytes Per Second — скорость входящего сетевого трафика в Redis;
-
Output Bytes Per Second — скорость исходящего сетевого трафика из Redis;
-
Operations Per Second — общее количество операций (например, чтение, запись) в Redis за одну секунду;
-
Total System Memory — общий объем системной памяти, используемой Redis;
-
Used Memory — количество используемой памяти Redis;
-
Used Memory Peak — максимальное количество памяти, которое использовалось Redis с момента последнего сброса;
-
Memory Fragmentation Ratio — отношение фрагментации памяти к общему объему памяти.
Метрики Nginx
-
Service Status — статус сервиса Nginx (например, "запущен" или "остановлен");
-
Active Connections — количество активных соединений с сервером Nginx;
-
Waiting — количество запросов, ожидающих обработки сервером Nginx;
-
Requests Per Second — количество запросов к серверу Nginx за одну секунду;
-
Connections Accepted Per Second — скорость принятых соединений веб-сервером Nginx за одну секунду;
-
Connections Handled Per Second — скорость обработанных соединений веб-сервером Nginx за одну секунду;
-
Connections Dropped Per Second — скорость отброшенных соединений веб-сервером Nginx за одну секунду.
Рекомендации по сбору и предоставлению информации о проблеме/ошибке
В случае возникновения проблемы/ошибки в работе продукта «Служба управления конфигурациями "Осмакс"» сообщите о ней в службу поддержки по электронному адресу osmax_support@inno.tech.
В обращении:
-
Укажите максимально детально, в чем заключается проблема/ошибка и в каких условиях она возникла:
-
какие действия выполнялись перед возникновением проблемы/ошибки;
-
какой результат ожидалось получить;
-
к какому фактическому результату привели выполненные действия;
-
если проблема возникла при использовании пользовательского интерфейса, если есть техническая возможность, сделайте скриншот/видеозапись экрана, на котором видно некорректное поведение приложения.
-
-
Предоставьте логи на момент возникновения проблемы/ошибки, а также за 10 минут до и после ее возникновения без изменения существующего уровня логирования.
Логи для продукта снимаются отдельно:
Сбор логов пользовательского интерфейса
Сбор логов пользовательского интерфейса включает сбор консольных и HAR-логов (логов взаимодействия браузера и сервера во время загрузки веб-страницы) в браузере.
Пример сбора логов для Яндекс Браузера:
-
Нажмите F12 на клавиатуре, чтобы открыть окно инструментов разработчика.
-
Перейдите на вкладку Сеть.
-
Нажмите на кнопку Запись сетевого журнала.
-
Воспроизведите проблему.
-
Нажмите на кнопку Остановить запись сетевого журнала.
-
Нажмите на правую кнопку мыши в сетевой таблице и выберите Сохранить все как HAR с контентом.
-
Выберите папку для сохранения логов и нажмите на кнопку Сохранить.
HAR-логи будут собраны и сохранены в указанной папке.
-
Нажмите F12 на клавиатуре, чтобы открыть окно инструментов разработчика.
-
Перейдите на вкладку Консоль.
-
Нажмите правой кнопкой мыши на любой строке и выберите в контекстном меню Сохранить страницу как.
-
Выберите папку для сохранения логов и нажмите на кнопку Сохранить.
Консольные логи будут собраны и сохранены в указанной папке.
Пример сбора логов для Chrome:
-
Нажмите F12 на клавиатуре, чтобы открыть окно инструментов разработчика.
-
Перейдите на вкладку Network.
-
Нажмите на кнопку
, чтобы очистить сетевой журнал. -
Выберите чек-боксы Preserve log и Disable cache.
-
Воспроизведите проблему.
-
Нажмите
, чтобы сохранить HAR-логи. -
Выберите папку для сохранения логов и нажмите на кнопку Сохранить.
HAR-логи будут собраны и сохранены в указанной папке.
-
Нажмите F12 на клавиатуре, чтобы открыть окно инструментов разработчика.
-
Перейдите на вкладку Console.
-
Нажмите правой кнопкой мыши в любой области окна и выберите в контекстном меню Save as.
-
Выберите папку для сохранения логов и нажмите на кнопку Сохранить.
Консольные логи будут собраны и сохранены в указанной папке.
Пример сбора логов для Firefox:
-
Нажмите F12 на клавиатуре, чтобы открыть окно инструментов разработчика.
-
Перейдите на вкладку Сеть.
-
Воспроизведите проблему.
-
Нажмите на правую кнопку мыши в сетевой таблице после воспроизведения проблемы и выберите Сохранить все как HAR.
-
Выберите папку для сохранения логов и нажмите на кнопку Сохранить.
HAR-логи будут собраны и сохранены в указанной папке.
-
Нажмите F12 на клавиатуре, чтобы открыть окно инструментов разработчика.
-
Перейдите на вкладку Консоль.
-
Нажмите правой кнопкой мыши на любой строке и выберите в контекстном меню Экспортировать видимые сообщения в и выберите Файл.
-
Выберите папку для сохранения логов и нажмите на кнопку Сохранить.
Консольные логи будут собраны и сохранены в указанной папке.
Сбор логов серверной части
Информацию о сборе логов серверной части см. в разделе «Журналирование».
Таблицы базы данных
Раздел содержит описание таблиц базы данных (включая описание полей и связей между ними), которые могут быть использованы в SQL-запросах по созданию коллекций устройств, а также при формировании отчетов:
agent_installation
Таблица содержит информацию о статусе установки агента (minion) на устройстве.
| Параметр | Описание | Тип данных | Ограничение Not null | Пример значения |
|---|---|---|---|---|
|
Имя устройства. Первичный ключ |
|
Не может быть пустым |
|
|
Статус установки. Возможные значения:
|
|
Не может быть пустым |
|
|
Дата и время создания записи |
|
Не может быть пустым |
|
|
Дата и время обновления записи |
|
Не может быть пустым |
|
groups
Таблица содержит информацию об LDAP-группах.
| Параметр | Описание | Тип данных | Ограничение Not null | Пример значения |
|---|---|---|---|---|
|
Уникальный идентификатор группы. Первичный ключ |
|
Не может быть пустым |
|
|
Название группы |
|
Не может быть пустым |
|
|
Полное название группы |
|
Не может быть пустым |
|
|
Идентификатора безопасности |
|
Не может быть пустым |
|
|
Описание группы |
|
Может оставаться пустым |
|
|
Область действия:
|
|
Не может быть пустым |
|
|
Тип группы:
|
|
Не может быть пустым |
|
|
Дата и время создания записи |
|
Не может быть пустым |
|
|
Дата и время обновления записи |
|
Не может быть пустым |
|
|
Источник данных |
|
Может оставаться пустым |
|
group_links
Таблица содержит информацию о ссылках LDAP-групп.
| Параметр | Описание | Тип данных | Ограничение Not null | Пример значения |
|---|---|---|---|---|
|
Полное название родительской группы. Соответствует полю |
|
Не может быть пустым |
|
|
Полное название дочерней группы. Соответствует полю |
|
Может быть пустым |
|
|
Дата и время обновления записи |
|
Не может быть пустым |
|
machines
Таблица содержит информацию об устройствах.
| Параметр | Описание | Тип данных | Ограничение Not null | Пример значения |
|---|---|---|---|---|
|
Идентификатор агента (minion). Значение по умолчанию обычно совпадает с полным доменным именем устройства из поля
|
|
Может оставаться пустым |
|
|
Имя устройства |
|
Не может быть пустым |
|
|
Полное доменное имя устройства |
|
Не может быть пустым |
|
|
Имя домена |
|
Может оставаться пустым |
|
|
Набор доменных адресов IPv4 |
|
Может оставаться пустым |
|
|
Шлюз Ipv4 |
|
Может оставаться пустым |
|
|
Модель процессора |
|
Может оставаться пустым |
|
|
Архитектура процессора |
|
Может оставаться пустым |
|
|
Количество ядер процессора |
|
Может оставаться пустым |
|
|
Объем ОЗУ в мегабайтах |
|
Может оставаться пустым |
|
|
Общий физический размер свопинга в мегабайтах |
|
Может оставаться пустым |
|
|
Серийный номер устройства |
|
Может оставаться пустым |
|
|
Ядро ОС |
|
Может оставаться пустым |
|
|
Релиз ядра ОС |
|
Может оставаться пустым |
|
|
Код версии ОС |
|
Может оставаться пустым |
|
|
Полное наименование ОС |
|
Может оставаться пустым |
|
|
Описание версии ОС |
|
Может оставаться пустым |
|
|
Код дистрибутива ОС |
|
Может оставаться пустым |
|
|
Архитектура ОС |
|
Может оставаться пустым |
|
|
Мажорная версия релиза ОС |
|
Может оставаться пустым |
|
|
Версия релиза |
|
Может оставаться пустым |
|
|
Имя сервера управления (master) |
|
Может оставаться пустым |
|
|
Версия SaltStack на агенте (minion) |
|
Может оставаться пустым |
|
|
Версия Python для SaltStack на агенте (minion) |
|
Может оставаться пустым |
|
|
Указывает, включена ли опция UEFI в BIOS |
|
Может оставаться пустым |
|
|
Версия BIOS |
|
Может оставаться пустым |
|
|
Имя производителя BIOS |
|
Может оставаться пустым |
|
|
Идентификатор BIOS |
|
Может оставаться пустым |
|
|
Дата выпуска BIOS |
|
Может оставаться пустым |
|
|
Метка активности агента (minion) |
|
Может оставаться пустым |
|
|
Метка установки агента (minion) |
|
Может оставаться пустым |
|
|
Атрибуты устройства |
|
Может оставаться пустым |
`` |
|
Метка, указывающая, что устройство существует в LDAP |
|
Не может оставаться пустым |
|
|
Дата и время последней синхронизации с LDAP |
|
Может оставаться пустым |
|
|
Идентификатор агента (minion) |
|
Не может быть пустым |
|
|
Идентификатор безопасности. Значение параметра передается из LDAP только при первичном обнаружении устройства и в дальнейшем не синхронизируется |
|
Может оставаться пустым |
|
|
Дата и время создания записи |
|
Не может быть пустым |
|
|
Дата и время обновления записи |
|
Не может быть пустым |
|
machine_attributes
Таблица содержит информацию о дополнительных атрибутах устройств, настраиваемых через ПО «Кабинет администратора».
| Параметр | Описание | Тип данных | Ограничение Not null | Пример значения |
|---|---|---|---|---|
|
Идентификатор атрибута. Первичный ключ |
|
Не может быть пустым |
|
|
Код атрибута |
|
Не может быть пустым |
|
|
Наименование атрибута |
|
Не может быть пустым |
|
|
Путь к элементу в JSON-структуре grains-event. |
|
Не может быть пустым |
|
|
Тип данных. Возможные значения:
|
|
Не может быть пустым |
|
|
Дата и время создания записи |
|
Не может быть пустым |
|
|
Дата и время обновления записи |
|
Не может быть пустым |
|
machine_attributes_sections
Таблица содержит информацию о разделе (способе группировки) настраиваемых атрибутов устройства.
| Параметр | Описание | Тип данных | Ограничение Not null | Пример значения |
|---|---|---|---|---|
|
Уникальный идентификатор раздела атрибутов устройств. Первичный ключ |
|
Не может быть пустым |
|
|
Название раздела, которое отображается в пользовательском интерфейсе |
|
Не может быть пустым |
|
|
Описание раздела атрибута |
|
Может оставаться пустым |
|
|
Признак отображения раздела в короткой информации об устройстве |
|
Не может быть пустым |
|
|
Приоритет порядка отображения в пользовательском интерфейсе |
|
Не может быть пустым |
|
|
Дата и время создания записи |
|
Не может быть пустым |
|
|
Дата и время обновления записи |
|
Не может быть пустым |
|
machine_attribute_section_links
Таблица содержит информацию о связях дополнительных (настраиваемых) атрибутов устройств и разделов.
| Параметр | Описание | Тип данных | Ограничение Not null | Пример значения |
|---|---|---|---|---|
|
Уникальный идентификатор связки атрибут-раздел. Первичный ключ |
|
Не может быть пустым |
|
|
Уникальный идентификатор атрибута устройств |
|
Не может быть пустым |
|
|
Уникальный идентификатор атрибута устройств |
|
Не может быть пустым |
|
|
Приоритет порядка отображения атрибута в пользовательском интерфейсе внутри раздела |
|
Не может быть пустым |
|
|
Дата и время создания записи |
|
Не может быть пустым |
|
|
Дата и время обновления записи |
|
Не может быть пустым |
|
machine_disks
Таблица содержит информацию о дисках.
| Параметр | Описание | Тип данных | Ограничение Not null | Пример значения |
|---|---|---|---|---|
|
Идентификатор агента (minion). Соответствует полю |
|
Не может быть пустым |
|
|
Имя диска |
|
Не может быть пустым |
|
|
Тип диска. Возможные значения: |
|
Может оставаться пустым |
|
|
Общий объем памяти на диске |
|
Может оставаться пустым |
|
|
Используемый объем памяти на диске |
|
Может оставаться пустым |
|
|
Свободное место на диске |
|
Может оставаться пустым |
|
|
Тип файловой системы |
|
Может оставаться пустым |
|
|
Имя устройства |
|
Может оставаться пустым |
|
|
Дата и время обновления записи |
|
Не может быть пустым |
|
machine_groups
Таблица содержит информацию о группах устройств.
| Параметр | Описание | Тип данных | Ограничение Not null | Пример значения |
|---|---|---|---|---|
|
Полное доменное имя устройства. Соответствует полю |
|
Не может быть пустым |
|
|
Полное название родительской группы. Соответствует полю |
|
Не может быть пустым |
|
|
Дата и время обновления записи |
|
Не может быть пустым |
|
machine_collections
Таблица содержит информацию о коллекции устройств, их свойствах, расписаниях и правилах создания.
| Параметр | Описание | Тип данных | Ограничение Not null | Пример значения |
|---|---|---|---|---|
|
Уникальный идентификатор коллекции. Первичный ключ |
|
Не может быть пустым |
|
|
Дата и время создания записи |
|
Не может быть пустым |
|
|
Дата и время обновления записи |
|
Не может быть пустым |
|
|
Дата и время последней синхронизации с агентом (minion). Учитывается только для динамических коллекций, для статических коллекций указанная дата будет совпадать с датой создания коллекции |
|
Может оставаться пустым |
|
|
Количество элементов в коллекции |
|
Может оставаться пустым |
|
|
Название коллекции |
|
Не может быть пустым |
|
|
Статус коллекции. Служебное поле для использования внутри API. Возможные значения:
|
|
Не может быть пустым |
|
|
Описание коллекции |
|
Может оставаться пустым |
|
|
Автор создания коллекции |
|
Остается пустым до тех пор, пока не пройдена проверка Kerberos |
|
|
SQL-запрос |
|
Не может быть пустым |
|
|
Расписание, по которому запускается обновление динамических коллекций. Для статических коллекций поле остается пустым. |
|
Может оставаться пустым |
|
|
Журнал синхронизаций |
|
Может оставаться пустым |
|
|
Правила создания коллекции |
|
Может оставаться пустым |
machine_collection_dependencies
Таблица содержит информацию о зависимости коллекций, заданной в графических правилах создания коллекций.
| Параметр | Описание | Тип данных | Ограничение Not null | Пример значения |
|---|---|---|---|---|
|
Идентификатор родительской коллекции устройств. Часть составного первичного ключа вместе с параметром |
|
Не может быть пустым |
|
|
Идентификатор дочерней коллекции устройств. Часть составного первичного ключа вместе с параметром |
|
Не может быть пустым |
|
|
Дата и время создания записи |
|
Не может быть пустым |
|
machine_collection_minions
Таблица содержит информацию об идентификаторах устройств, составляющих коллекцию. Периодически обновляется, согласно настройкам коллекций.
| Параметр | Описание | Тип данных | Ограничение Not null | Пример значения |
|---|---|---|---|---|
|
Уникальный идентификатор коллекции. Часть составного первичного ключа вместе с параметром |
|
Не может быть пустым |
|
|
Дата и время создания записи |
|
Не может быть пустым |
|
|
Дата и время обновления записи |
|
Не может быть пустым |
|
|
Наименование агента (minion) |
|
Не может быть пустым. Часть составного первичного ключа вместе с параметром |
|
machine_collection_presets
Таблица содержит информацию о пресетах правил создания коллекций, которые используются как заготовки при создании коллекций.
| Параметр | Описание | Тип данных | Ограничение Not null | Пример значения |
|---|---|---|---|---|
|
Уникальный идентификатор пресета. Первичный ключ |
|
Не может быть пустым |
|
|
Название коллекции |
|
Не может быть пустым |
|
|
Тип пресета. Возможные значения:
|
|
Не может быть пустым |
|
|
SQL-текст |
|
Не может быть пустым |
|
|
Набор правил |
|
Может оставаться пустым |
|
|
Дата и время создания записи |
|
Не может быть пустым |
|
machine_networks
Таблица содержит информацию о сетях устройств.
| Параметр | Описание | Тип данных | Ограничение Not null | Пример значения |
|---|---|---|---|---|
|
Идентификатор агента (minion). Соответствует полю |
|
Не может быть пустым |
|
|
Имя сети |
|
Не может быть пустым |
|
|
MAC-адрес |
|
Может оставаться пустым |
|
|
Сетевые интерфейсы IPv4 (может быть указано несколько значений через запятую) |
|
Может оставаться пустым |
|
|
Сетевые интерфейсы IPv6 (может быть указано несколько значений через запятую) |
|
Может оставаться пустым |
|
|
Дата и время обновления записи |
|
Не может быть пустым |
|
minion_health_states
Таблица содержит информацию о сетевом статусе агента (minion).
| Параметр | Описание | Тип данных | Ограничение Not null | Пример значения |
|---|---|---|---|---|
|
Идентификатор агента (minion). Первичный ключ |
|
Не может быть пустым |
|
|
Идентификатор сервера управления (master) |
|
Не может быть пустым |
|
|
Дата и время обновления записи |
|
Не может быть пустым |
|
|
Дата и время, когда агент в последний раз находился в активном статусе |
|
Не может быть пустым |
|
users
Таблица содержит информацию о системных пользователях.
| Параметр | Описание | Тип данных | Ограничение Not null | Пример значения |
|---|---|---|---|---|
|
Уникальный идентификатор пользователя. Первичный ключ |
|
Не может быть пустым |
|
|
Имя пользователя для входа в систему (Логин) |
|
Не может быть пустым |
|
|
Имя домена в короткой форме записи |
|
Не может быть пустым |
|
|
Полное доменное имя пользователя в формате <логин_пользователя@имя_домена> |
|
Не может быть пустым |
|
|
Адрес электронной почты пользователя |
|
Может оставаться пустым |
|
|
Имя пользователя |
|
Может оставаться пустым |
|
|
Фамилия пользователя |
|
Может оставаться пустым |
|
|
Общее имя пользователя |
|
Может оставаться пустым |
|
|
Отображаемое имя пользователя |
|
Может оставаться пустым |
|
|
Должность пользователя |
|
Может оставаться пустым |
|
|
Отдел, в котором работает пользователь |
|
Может оставаться пустым |
|
|
Компания, в которой работает пользователь |
|
Может оставаться пустым |
|
|
Указывает, является ли пользователь активным или нет |
|
Не может быть пустым |
|
|
Дата и время создания записи |
|
Не может быть пустым |
|
|
Дата и время обновления записи |
|
Не может быть пустым |
|
|
Атрибуты пользователя |
|
Может оставаться пустым |
|
|
Идентификатора безопасности |
|
Может оставаться пустым |
|
user_attributes
Таблица содержит информацию о дополнительных (настраиваемых) атрибутах пользователей.
| Параметр | Описание | Тип данных | Ограничение Not null | Пример значения |
|---|---|---|---|---|
|
Уникальный идентификатор атрибута пользователя. Первичный ключ |
|
Не может быть пустым |
|
|
Уникальный код атрибута пользователя |
|
Не может быть пустым |
|
|
Имя атрибута пользователя, которое отображается в пользовательском интерфейсе |
|
Не может быть пустым |
|
|
Тип данных. Возможные значения:
|
|
Не может быть пустым |
|
|
Дата и время создания записи |
|
Не может быть пустым |
|
|
Дата и время обновления записи |
|
Не может быть пустым |
|
user_attributes_sections
Таблица содержит информацию о разделе (способе группировки) настраиваемых атрибутов пользователя.
| Параметр | Описание | Тип данных | Ограничение Not null | Пример значения |
|---|---|---|---|---|
|
Уникальный идентификатор раздела атрибутов пользователя. Первичный ключ |
|
Не может быть пустым |
|
|
Название раздела, которое отображается в пользовательском интерфейсе |
|
Не может быть пустым |
|
|
Описание раздела атрибута |
|
Не может быть пустым |
|
|
Признак отображения раздела в короткой информации о пользователе |
|
Не может быть пустым |
|
|
Приоритет порядка отображения в пользовательском интерфейсе |
|
Не может быть пустым |
|
|
Дата и время создания записи |
|
Не может быть пустым |
|
|
Дата и время обновления записи |
|
Не может быть пустым |
|
user_attributes_section_links
Таблица содержит информацию о связях дополнительных (настраиваемых) атрибутов пользователей и разделов.
| Параметр | Описание | Тип данных | Ограничение Not null | Пример значения |
|---|---|---|---|---|
|
Уникальный идентификатор связки атрибут-раздел. Первичный ключ |
|
Не может быть пустым |
|
|
Уникальный идентификатор атрибута пользователя |
|
Не может быть пустым |
|
|
Уникальный идентификатор раздела атрибутов пользователя |
|
Не может быть пустым |
|
|
Приоритет порядка отображения атрибута в пользовательском интерфейсе внутри раздела |
|
Не может быть пустым |
|
|
Дата и время создания записи |
|
Не может быть пустым |
|
|
Дата и время обновления записи |
|
Не может быть пустым |
|
user_groups
Таблица содержит информацию о группах пользователя.
| Параметр | Описание | Тип данных | Ограничение Not null | Пример значения |
|---|---|---|---|---|
|
Уникальный идентификатор пользователя. Часть составного первичного ключа вместе с параметром |
|
Не может быть пустым |
|
|
Наименование группы пользователя. Часть составного первичного ключа вместе с параметром |
|
Не может быть пустым |
|
|
Дата и время обновления записи |
|
Не может быть пустым |
|
user_machine_mappings
Таблица содержит данные сопоставления пользователей и устройств.
| Параметр | Описание | Тип данных | Ограничение Not null | Пример значения |
|---|---|---|---|---|
|
Полное доменное имя пользователя. Часть составного первичного ключа вместе с параметром |
|
Не может быть пустым |
|
|
Полное доменное имя устройства. Часть составного первичного ключа вместе с параметром |
|
Не может быть пустым |
|
|
Тип сопоставления. Возможные значения:
|
|
Может оставаться пустым |
|
|
Дата и время создания записи |
|
Не может быть пустым |
|
|
Дата и время обновления записи |
|
Не может быть пустым |
|
Обновление и настройка
Версия 1.9.0 включает доработки, связанные с переименованием продукта: LCM → Осмакс. В связи с этим при переходе на версию 1.9.0 с более ранних версий выполните следующие действия:
-
Удалите ранее установленные пакеты:
-
inno-lcm-core; -
inno-lcm-provisioner; -
inno-lcm-webadmin; -
inno-lcm-app-shop.sudo apt remove <имя пакета>
Пример:
sudo apt remove inno-lcm-core sudo apt remove inno-lcm-provisioner sudo apt remove inno-lcm-webadmin sudo apt remove inno-lcm-app-shop
sudo dnf remove <имя пакета>
Пример:
sudo dnf remove inno-lcm-core sudo dnf remove inno-lcm-provisioner sudo dnf remove inno-lcm-webadmin sudo dnf remove inno-lcm-app-shop
-
-
Установите пакеты:
-
osmax-core; -
osmax-provisioner; -
osmax-webadmin; -
osmax-app-shop;
-
| Следуйте инструкциям раздела «Установка бэкенда и фронтенда продукта» документа «Руководство по установке». |
Информационно-справочные материалы
Раздел содержит дополнительную информацию, справочные материалы и инструкции, которые могут быть полезны при работе с продуктом.
Подготовка сертификатов для настройки TLS(SSL)-шифрования
Для включения TLS(SSL)-шифрования в продукте необходимо предварительно сформировать хранилища
доверенных корневых сертификатов УЦ (truststore) и хранилища ключей (keystore), в которых
будут содержаться подписанные корневым сертификатом УЦ ключи в формате пар «сертификат-приватный ключ».
При установке бэкенда продукта автоматически формируется хранилище доверенных корневых сертификатов
УЦ (truststore) по пути: /etc/ssl/certs/java/cacerts.
По умолчанию путь к хранилищу задается в соответствующих конфигурационных параметрах бэкенда в
файле application.properties.
Для добавления нового доверенного корневого сертификата в truststore используйте утилиту keytool,
поставляемую вместе с JRE.
Для создания хранилища ключей (keystore):
-
Обратитесь в УЦ, который предоставил доверенный корневой сертификат, с запросом на формирование подписанной пары «сертификат-приватный ключ».
-
(Опционально), если пара «сертификат-приватный ключ» предоставлена в виде отдельных файлов, запакуйте ее в Java-совместимое хранилище, используя утилиту keytool.
После того как вы создадите хранилища сертификатов и ключей, укажите пути до них и пароли
в соответствующих конфигурационных параметрах бэкенда в файле
application.properties.
|
| Подробнее об установке и конфигурировании бэкенда см. в разделах «Установка бэкенда продукта» и «Конфигурация бэкенда». |
Получение сертификата SSL для синхронизации пользователей по протоколу LDAPS
-
Для извлечения сертификата LDAP-сервера выполните команду в консоли:
openssl s_client -showcerts -connect <active_directory_domain_controller_address>:<ldap_ssl_port>Пример команды:
openssl s_client -showcerts -connect 10.169.20.3:636Пример вывода команды:
Connecting to 172.28.15.144 CONNECTED(00000004) Can't use SSL_get_servername depth=0 O=Samba Administration, OU=Samba - temporary autogenerated HOST certificate, CN=DEV-LCM-VM0106.lcm.terra.inno.tech verify error:num=20:unable to get local issuer certificate verify return:1 depth=0 O=Samba Administration, OU=Samba - temporary autogenerated HOST certificate, CN=DEV-LCM-VM0106.lcm.terra.inno.tech verify error:num=21:unable to verify the first certificate verify return:1 depth=0 O=Samba Administration, OU=Samba - temporary autogenerated HOST certificate, CN=DEV-LCM-VM0106.lcm.terra.inno.tech verify return:1 --- Certificate chain 0 s:O=Samba Administration, OU=Samba - temporary autogenerated HOST certificate, CN=DEV-LCM-VM0106.lcm.terra.inno.tech i:O=Samba Administration, OU=Samba - temporary autogenerated CA certificate, CN=DEV-LCM-VM0106.lcm.terra.inno.tech a:PKEY: rsaEncryption, 4096 (bit); sigalg: RSA-SHA256 v:NotBefore: Oct 19 14:59:09 2023 GMT; NotAfter: Sep 18 14:59:09 2025 GMT -----BEGIN CERTIFICATE----- MIIF0DCCA7igAwIBAgIEPUQxZTANBgkqhkiG9w0BAQsFADCBhTEdMBsGA1UEChMU U2FtYmEgQWRtaW5pc3RyYXRpb24xNzA1BgNVBAsTLlNhbWJhIC0gdGVtcG9yYXJ5 IGF1dG9nZW5lcmF0ZWQgQ0EgY2VydGlmaWNhdGUxKzApBgNVBAMTIkRFVi1MQ00t Vk0wMTA2LmxjbS50ZXJyYS5pbm5vLnRlY2gwHhcNMjMxMDE5MTQ1OTA5WhcNMjUw OTE4MTQ1OTA5WjCBhzEdMBsGA1UEChMUU2FtYmEgQWRtaW5pc3RyYXRpb24xOTA3 BgNVBAsTMFNhbWJhIC0gdGVtcG9yYXJ5IGF1dG9nZW5lcmF0ZWQgSE9TVCBjZXJ0 aWZpY2F0ZTErMCkGA1UEAxMiREVWLUxDTS1WTTAxMDYubGNtLnRlcnJhLmlubm8u dGVjaDCCAiIwDQYJKoZIhvcNAQEBBQADggIPADCCAgoCggIBANnnfyyW1P1I80Cw t/TVWTZTRXIHKNPECGz3flV7XzxECUwMN/TZoft3uucukWs6jsa53REmIsjIgUrQ 3FiQn4lo/fzuC5gbwF9RE7jA3OcankaDjL5exB8FHtVUFy0hjAKulsZ1L1bO2Z49 2SAZpK64B9IOI092rV2DyiBkkVh3xCRHUpm97Buzvt8ERQsDEGWx8lYJl66F/Zi4 2QnIlMn1D7Q1VVp5OggqPaua3il9s3q7uoS6hXuin/AD6i3ddT3tHeBP/L/j3bdr oesfQl5xd15d0xCdUqMteyMpa+aMj1Sln32hpaM4U4Q8sIn4cLOd+8ZjRclyZyFe wRyV4Ox9WKfOlwh+vRNE28zNbhU0ljJM4qIj8mXTAewHCI6xLQEYFjy1GJf7KS6C o2Ub5+FwnZ72tXvB99STgvhyD6JhoSThy0OHjqx5Z9HK6Pjx+QPlkk4JEO/KRl0s zneehA06XdUUQc2G/Cn5wVMdZpfo3OXiePsEKZKg2AA979TvsqqqCWAbNG4RbXyK riCtFyJqqwEiUEOeYr0y65AHV/jD1NlPIYGUzXlFhBnFJlLOoXN04J58p4UbTcdd mBBHPmGk69W6Oxf5oF7HJsfZrxHVe8j4lpNH/Ybh54g9otoqpxP157H26dqcRvZM mxXDJtg4AoWsoGQXM1ej4S7kwJclAgMBAAGjRDBCMAwGA1UdEwEB/wQCMAAwEwYD VR0lBAwwCgYIKwYBBQUHAwEwHQYDVR0OBBYEFOP4eYlKWA77ur5P4ys0xE57aRGj MA0GCSqGSIb3DQEBCwUAA4ICAQCHDPbmgIpfqXoKh0x3FtNt6EecJvdLtRPHrBO+ MHXL9o7SZyqtbXs4mhsoMbP8GGGcJtem02ELZosWLr1/2cg0d9uQuhpB5zLwrTiV E7u7ZVADXJc75gMxulBPHDLaUT8AdP0GEVt6W6dw1xQULT1CGI9728vsZ+q9VetK 3qgtx/lAB16wJKhm0LMxS9FAR2iOfHgnVYHqKMQKkNUecV95imo10G44P6sj4wSt L7lB+Za2EA//7OdGvQYeCQCSbpQQbNPV0g1LHXJ/eO5y1EEIRm4gtsTyipg/52fC VRTmGw5jZUEzUZBCUY/A4XiyoczqfuO+tGT0rLBZVmP7EC7/KJt3EKnu1CQgkv8w gPkgYNX6+2zuOCUirXY8QqciQqD44SSyS2+LNk5qfftoxcNZ5yBiOiJDZ9KayW+F t0OwfgTAvGBoBDQ5Gkop1sAEXFEoEhRO8ktOFLjnG6vxEPc35Wj3qX9K3Tye03ue hbxv5qrzs5STOF1fqbTuckuP+91ysuNbKvivlB1nlXBXgycoqYRF6/uU/sK1Xesb YJ8oYR+7edrYyRpz1WECR9MAS9iH49RfaEVO+8pSxuGwUMtaiKA4BQo02aGLMKDW hFtNhfVEmARoKPkuqdIoxjWL9bltPal6mr1ku2P5TwIyQIWHfI1C+mqnxlh2Z78Z MDjQmQ== -----END CERTIFICATE----- -
Скопируйте сертификат из вывода команды и создайте файл с сертификатом.
-
Сохраните файл с сертификатом на сервере, на который будет устанавливаться бэкенд продукта. Путь к файлу необходимо будет указать на этапе его настройки.
Использование стороннего Java Runtime Environment (JRE)
По умолчанию Java Runtime Environment (JRE) уже включен в устанавливаемый deb-/rpm-пакет osmax-core,
с бэкендом продукта.
При установке и запуске модуля osmax-core автоматически происходит создание службы osmax.service и запуск бэкенда через
встроенный JRE. В данном случае не требуется предпринимать дополнительные действия.
| Версия Java должна быть не ниже 17. |
Для запуска модуля osmax-core через стороний JRE, выполните действия:
Если вы устанавливаете продукт на Astra Linux, используйте инструкцию:
-
Установите на сервер, на котором будет производиться запуск, JRE не ниже версии 17.
Убедитесь, что переменная JAVA_HOMEсодержит путь к актуальной JRE не ниже версии 17. -
Загрузите и распакуйте архив
*.tar.gzс deb-пакетомosmax-core. -
Перенесите deb-пакет в требуемую директорию, например, выполнив команду:
dpkg-deb -R osmax.core-<version>.deb osmax-core /opt/osmax-core
-
Перейдите в директорию с исполняемыми файлами
*.jarмодуляosmax-core:cd /opt/osmax-core/lib/app
-
Запустите исполняемый файл
osmax-app-runner.jarудобным способом, например, выполнив команду:java -Dquarkus.config.locations=/opt/osmax-core/application.properties -jar osmax-app-runner.jar
Если вы устанавливаете продукт на РЕД ОС, используйте инструкцию:
-
Установите на сервер, на котором будет производиться запуск, JRE не ниже версии 17.
Убедитесь, что переменная JAVA_HOMEсодержит путь к актуальной JRE не ниже версии 17. -
Загрузите и распакуйте архив
*.tar.gzс rpm-пакетомosmax-core. -
Перенесите rpm-пакет в требуемую директорию, например, выполнив команду:
cd /opt/osmax-core rpm2cpio osmax-core-<version>.x86_64.rpm | cpio -idmv
-
Перейдите в директорию с исполняемыми файлами
*.jarмодуляosmax-core:cd /opt/osmax-core/lib/app
-
Запустите исполняемый файл
osmax-app-runner.jarудобным способом, например, выполнив команду:java -Dquarkus.config.locations=/opt/osmax-core/application.properties -jar osmax-app-runner.jar
Cron-выражение формата Quartz
Cron-выражение формата Quartz относится к формату временных интервалов, которые используются в системе планирования задач Quartz. Этот формат представляет собой строку, содержащую шесть или семь полей, разделенных пробелами или табуляцией. В каждом поле задано значение времени или даты, когда задача должна быть выполнена. Поля могут содержать любые разрешенные значения, а также различные комбинации разрешенных специальных символов для этого поля.
Описание полей:
| Поле | Обязательность заполнения | Допустимые значения | Допустимые специальные символы |
|---|---|---|---|
Секунды |
Да |
|
|
Минуты |
Да |
|
|
Часы |
Да |
|
|
День месяца |
Да |
|
|
Месяц |
Да |
|
|
День недели |
Да |
|
|
Год |
Нет |
|
|
Описание специальных символов:
| Значение | Расшифровка | Описание | ||
|---|---|---|---|---|
|
Все значения |
Используется для выбора всех значений в поле. Например, если в поле Минуты указано значение |
||
|
Нет специального значения |
Используется, когда не важно, какой это должен быть день месяца или день недели.
Например, если в поле День месяца указано значение |
||
|
Используются для указания диапазона. Например, если в поле Часы указано значение |
|||
|
Используется для поочередного указания значений. Например, если в поле День недели указано значение |
|||
|
Используется для указания приращения. Например, если в поле Секунды указано значение |
|||
|
От англ. — last (последний) |
Используется для указания значений:
Также может использоваться для указания смещения от последнего дня месяца, например,
|
||
|
От англ. — weekday (рабочий день) |
Используется для указания ближайшего рабочего дня недели (понедельник-пятница) к указанному дню. Например, если
в поле День месяца указано значение Можно объединить символ
|
||
|
Используется для указания n-ного дня месяца. Например, если в поле День недели указано значение
|
Примеры выражений:
-
* * * ? * *— задача должна выполняться каждую секунду; -
0 * * ? * *— задача должна выполняться каждую минуту; -
0 */2 * ? * *— задача должна выполняться каждую четную минуту; -
0 0 12 ? * 5#3— задача должна выполняться каждый месяц в третий четверг месяца с 00:00 до 12:00.
Больше примеров вы можете найти, перейдя по ссылке.
Глоссарий
- Active Directory
-
Cлужба каталога, которая используется в среде Windows Server для управления пользователями, компьютерами и другими ресурсами в доменной сети. Она обеспечивает централизованное управление доступом к ресурсам, авторизацию и аутентификацию пользователей, а также хранение информации о пользователях, группах и других объектах в сети. С помощью службы AD можно настраивать политики безопасности, управлять правами доступа к файлам и папкам, а также создавать и удалять пользователей и группы в сети.
- Basic Input/Output System (BIOS)
-
Набор программного обеспечения, который управляет базовыми функциями компьютера, такими как загрузка операционной системы, управление периферийными устройствами и настройка системных параметров.
- Certificate Revocation List (CRL)
-
Список отозванных сертификатов, который используется для проверки действительности сертификата. CRL содержит информацию о сертификатах, которые больше не должны использоваться, например, если они были скомпрометированы или утеряны.
- Deb-пакет (Debian package)
-
Формат упаковки программного обеспечения для операционной системы Debian и ее производных, таких как Ubuntu. Deb-пакет содержит программу или библиотеку, а также информацию о зависимостях и конфигурации. Он может быть установлен с помощью менеджера пакетов, например,
apt-getилиdpkg. Deb-пакеты облегчают установку и обновление программного обеспечения в системе, а также позволяют управлять зависимостями между пакетами.
- Har-логи (HTTP Archive logs)
-
Файлы, которые содержат записи о том, как браузер взаимодействует с сервером во время загрузки веб-страницы. Эти логи могут быть использованы для анализа производительности веб-страницы и выявления проблем, таких как медленная загрузка или ошибки при загрузке. Har-логи могут быть созданы с помощью инструментов разработчика веб-браузера или специальных программ для записи HTTP-трафика.
- Internet Preboot eXecution Environment (iPXE)
-
Реализация PXE с открытым исходным кодом, свободное ПО для создания загрузочных ПЗУ для загрузки Linux и других операционных систем на компьютерах с архитектурой x86 по сети с использованием межсетевых протоколов.
- Java Runtime Environment (JRE)
-
Программное обеспечение, необходимое для запуска Java-приложений на компьютере. Оно содержит в себе виртуальную машину Java (JVM), классы Java API и другие необходимые библиотеки. JRE позволяет пользователям запускать Java-приложения без необходимости установки полного JDK (Java Development Kit).
- Kafka returner
-
Модуль сервера управления (master), который позволяет отправлять результаты выполнения команд и состояний, полученные от агентов (minions), в топик Apache Kafka для дальнейшей обработки или хранения.
- Network Security Services (NSS)
-
Набор библиотек, предназначенных для разработки защищённых кросс-платформенных клиентских и серверных приложений. Приложения, построенные при помощи NSS, могут использовать и поддерживать SSLv3, TLS и многие другие стандарты безопасности.
- Network Security Services Database (NSSDB)
-
База данных, используемая для хранения сертификатов и ключей шифрования в системах, использующих библиотеку Network Security Services (NSS).
- Privacy Enhanced Mail (PEM)
-
Формат кодирования данных, который используется для хранения и передачи сертификатов, закрытых ключей, а также других конфиденциальных данных в виде текста. Формат PEM был разработан для безопасной передачи электронной почты, но сейчас широко используется в SSL/TLS-сертификатах и других системах безопасности.
- Preboot eXecution Environment (PXE)
-
Cпецификация UEFI, поддерживающая загрузки по сети.
- Simple Storage Service (S3)
-
Cервис хранения данных в облаке, предоставляемый Amazon Web Services (AWS). Он позволяет хранить и извлекать любой объем данных из любой части мира. S3 используется для хранения статических файлов, таких как изображения, видео, аудио, документы и т.д. Этот сервис также предоставляет возможность управления доступом к данным и автоматического резервного копирования данных. S3 является одним из самых популярных сервисов AWS и широко используется в различных приложениях и сервисах.
- System Security Services Daemon (SSSD)
-
Клиентский компонент централизованных решений для управления идентификацией, таких как Microsoft Active Directory, Kerberos, OpenLDAP и других серверов каталогов. Обслуживает и кэширует информацию, хранящуюся на удаленном сервере каталогов, и предоставляет услуги идентификации, аутентификации и авторизации хост-машине.
- Realm Discovery (Realmd)
-
xref:[] Сервис D-Bus, позволяющий производить настройку сетевой аутентификации и членства в домене (Active Directory). Информация о домене обнаруживается автоматически. Для аутентификации и проверки учетных записей realmd использует SSSD (через Kerberos и LDAP) или Winbind.
- Unified Extensible Firmware Interface (UEFI)
-
Интерфейс между операционной системой и микропрограммами, управляющими низкоуровневыми функциями оборудования, его основное предназначение: корректно инициализировать оборудование при включении системы и передать управление загрузчику или непосредственно ядру операционной системы. EFI — технология, предназначенная для замены BIOS которая обеспечивает более быструю загрузку компьютера, улучшенную безопасность и более простую настройку системы. Она также позволяет использовать жесткие диски большого объема и поддерживает новые технологии, такие как Secure Boot, которая обеспечивает защиту от вредоносных программ.
- Unified Extensible Firmware Interface Compatibility Support Mode (UEFI CSMC)
-
Модуль совместимости в UEFI, который позволяет запускать операционные системы и приложения, разработанные для BIOS.
- Unified Extensible Firmware Interface Hypertext Transfer Protocol (UEFI HTTP)
-
Протокол прикладного уровня передачи данных, который предоставляет возможность загрузки операционных систем и других ресурсов через HTTP(S) непосредственно из среды UEFI.
- Автоматизированное рабочее место (АРМ)
-
Программно-технический комплекс, предназначенный для автоматизации деятельности сотрудника из состава пользователей автоматизированных систем.
- Операционная система (ОС)
-
Программное обеспечение, управляющее компьютерами (включая микроконтроллеры) и позволяющее запускать на них прикладные программы. Предоставляет программный интерфейс для взаимодействия с компьютером, управляет прикладными программами и занимается распределением предоставляемых ресурсов, в том числе между прикладными программами. В широком смысле под операционной системой понимается совокупность ядра операционной системы и работающих поверх него программ и утилит, предоставляющих интерфейс для взаимодействия пользователя с компьютером.
- Программное обеспечение (ПО)
-
Программа или множество программ, используемых для управления компьютером.
Сокращения
| AD | |
| CRL | |
| BIOS | |
| iPXE | |
| JRE | |
| NSS | |
| NSSDB | |
| PEM | |
| PXE | |
| S3 | |
| SSSD | |
| Realmd | |
| UEFI | |
| UEFI CSMC |
Unified Extensible Firmware Interface Compatibility Support Mode |
| UEFI HTTP |
Unified Extensible Firmware Interface Hypertext Transfer Protocol |
| АРМ | |
| ОС | |
| ПО |