Управление ключами миньонов
Администратор может настраивать автоматическое удаление ключей агентов (minion) в статусе Отказ (DENIED) на серверах управления (master) по расписанию, а также инициировать удаление вручную по требованию.
Обработка ключей в статусе «Отказ» (DENIED)
Ключ агента — это криптографическая пара (приватный/публичный), обеспечивающая аутентификацию агента на сервере управления. Публичный ключ одобряется администратором и используется сервером управления для проверки подписи сообщений от агента; приватный ключ остается на агенте и никогда не передается. Соединение между агентом и сервером устанавливается только после того, как сервер примет и подтвердит публичный ключ.
Статус Отказ (DENIED) присваивается ключу сервером управления, когда агент имеет неуникальный идентификатор, был восстановлен или сгенерировал новый ключ без удаления предыдущего. В этом состоянии агент не получает команды от сервера управления. Для восстановления связи необходимо удалить ключ со всех известных серверов управления.
Система периодически запрашивает у всех зарегистрированных серверов управления список агентов с ключами в статусе Отказ (DENIED), собирает эти данные и отправляет команды на удаление таких ключей со всех серверов, где они обнаружены.
Результат каждой операции (успешное удаление или ошибка) фиксируется в истории с указанием даты, идентификатора агента, FQDN сервера управления, инициатора (пользователь или автоматический процесс) и причины ошибки, если она возникла.
История доступна для просмотра, фильтрации и экспорта в CSV.
В SaltStack статус Отказ (DENIED) отличается от Отклонен (REJECTED): Отказ возникает при конфликте идентификатора агента (например, после переустановки ОС), тогда как переход в статус Отклонен — это результат отклонения администратором вручную.
|
Расписание автоматического удаления ключей в статусе «Отказ» (DENIED) по умолчанию
Расписание автоматического удаления задается в базе данных в таблице app_config с ключом osmax.inventory.job.salt-denied-keys-cleanup.cron.expr.
По умолчанию параметр имеет значение 0 0 */12 ? * * — операция удаления запускается каждые 12 часов в 00:00 UTC.
Для отключения операции используется значение off.
| Данная информация приводится в справочных целях. Рекомендуется настраивать расписание удаления ключей в пользовательском интерфейсе «Кабинет администратора». |
Требования к конфигурации SaltStack
Для корректной работы автоматического удаления ключей миньонов в статусе «Отказ» (DENIED) рекомендуется настроить SaltStack следующим образом:
-
параметры в конфигурации агентов (salt-minion):
-
/etc/salt/minion.d/extra.conf:
rejected_retry: true -
/etc/salt/minion.d/master.conf:
verify_master_pubkey_sign: True
-
-
параметры в конфигурации сервера управления (salt-master):
-
/etc/salt/master.d/keys.conf:
rotate_aes_key: true -
/etc/salt/master.d/auto_accept.conf:
auto_accept: true
-
Эти параметры не управляются «Осмакс» и должны быть предварительно настроены администратором на уровне SaltStack до включения функциональности автоматического удаления ключей.
Обновлено: