Процесс установки основного экземпляра системы

В данном разделе описаны действия по выполнению новой установки основного экземпляра системы.

Данный раздел описывает установку с помощью интерактивного установщика. Чтобы установить систему в неинтерактивном режиме, используя утилиту evoctl и файл с переменными окружения, обратитесь к разделу Установка основного экземпляра системы в неинтерактивном режиме.

Установка состоит из следующих этапов:

Запуск установщика
Выбор файла с переменными окружения
Выбор режима работы установщика
Начало установки
Выбор пакетов экспертизы для импорта
Выбор пространства имен Kubernetes
Настройка метода загрузки Docker-образов
Настройка Ansible
Выбор варианта настройки объекта StorageClass
Выбор устанавливаемых компонентов модуля evo.infra
Настройка доменного имени
Настройка режима развертывания Ingress-ресурсов
Настройка пула адресов балансировщика
Настройка PostgreSQL
Настройка ClickHouse
Настройка Prometheus
Настройка Loki
Настройка MinIO
Настройка Dkron
Настройка NATS
Настройка сбора метрик и логов с помощью Vector
Настройка СУБД для работы с событиями ИБ
Завершение установки
Удаление файлов установщика
Настройка исключений для антивируса
Авторизация в системе

Запуск установщика

Чтобы запустить установщик основного экземпляра системы, после скачивания run-файла перейдите в директорию его хранения и запустите его с помощью bash:

bash ./evo.platform_<version>.run

Требуемая версия bash: 4.0 или выше.

Или сделайте его исполняемым и запустите непосредственно:

chmod +x ./evo.platform_<version>.run
./evo.platform_<version>.run

По умолчанию установка выполняется в каталог /opt. При необходимости вы можете изменить каталог установки с помощью переменной SETUP_ROOT_DIR:
```
SETUP_ROOT_DIR=<setup_dir> bash ./evo.platform_<version>.run
```
Здесь:
- <setup_dir> — директория установки.
Если в каталоге с установщиком есть файлы переменных окружения, но вам нужно настроить параметры установки вручную, запустите установщик с переменной SKIP_ENV_FILE:
```
SKIP_ENV_FILE=true bash ./evo.platform_<version>.run
```
Переменные SETUP_ROOT_DIR и SKIP_ENV_FILE можно использовать совместно. Порядок их указания не важен.

Установщик выведет следующие сведения:

версия системы и дата ее выпуска;
путь к файлу хранения логов установки;
результаты проверок:
- удовлетворения системным требованиям;
- наличия необходимых утилит;
- целостности дистрибутива.

Выбор файла с переменными окружения

Если в каталоге с установщиком находятся один или несколько файлов с переменными окружения и при его запуске не была указана переменная SKIP_ENV_FILE, установщик загрузит файл в соответствии со следующей логикой:

Если файл в каталоге только один, установщик будет использовать переменные из этого файла.
Если файлов в каталоге больше одного, отобразится окно с их списком, в котором потребуется выбрать нужный файл.

Этапы установщика, на которых требуется ввести переменные, указанные в файле конфигурации, будут пропущены. Например, если в файле указаны переменные ANSIBLE_USER и ANSIBLE_PASSWORD или ANSIBLE_BECOME_PASSWORD, этап ввода учетных данных Ansible будет пропущен.

Выбор режима работы установщика

Выберите режим работы установщика и следуйте инструкциям на экране.

install select action

New installation in an existing K8s cluster — новая установка в существующий кластер K8s.
Updating previous version — обновление предыдущей версии.
Removing installed version — удаление установленного экземпляра системы.
Unpacking archives — распаковка имеющихся архивов без их установки.
Downloading additional packages — скачивание дополнительных пакетов:
- kubespray-installer-redos.tar.gz — автономный установщик Kubernetes для РЕД ОС;
- kubespray-installer-centos.tar.gz — автономный установщик Kubernetes для CentOS;
- kubespray-installer-debian.tar.gz — автономный установщик Kubernetes для Debian;
- kubespray-installer-rocky.tar.gz — автономный установщик Kubernetes для Rocky Linux;
- kubespray-installer-sberlinux.tar.gz — автономный установщик Kubernetes для Platform V SberLinux OS;
- kubespray-installer-ubuntu.tar.gz — автономный установщик Kubernetes для Ubuntu;
- k0s-installer.run — автономный установщик K0s для развертывания кластера сателлита;
- clickhouse-cluster.tar.gz — архив с Ansible-плейбуком для офлайн-развертывания кластера ClickHouse;
- sys-prep-clickhouse-redos.tar.gz — архив пакетов для развертывания кластера ClickHouse в окружении РЕД ОС;
- sys-prep-clickhouse-debian.tar.gz — архив пакетов для развертывания кластера ClickHouse в окружении Debian;
- sys-prep-clickhouse-rocky.tar.gz — архив пакетов для развертывания кластера ClickHouse в окружении Rocky Linux;
- sys-prep-clickhouse-ubuntu.tar.gz — архив пакетов для развертывания кластера ClickHouse в окружении Ubuntu.

Начало установки

Чтобы начать новую установку системы, запустите установщик и выберите режим работы New installation in an existing K8s cluster.

install select action

При выборе установки выполняется распаковка пакетов в каталог продукта и управление передается скрипту установщика.

Если установка была прервана пользователем или из-за ошибки, можно перезапустить установщик без повторной распаковки дистрибутива, выполнив следующую команду:

$SETUP_ROOT_DIR/r-vision/common/bin/evoctl instance install

Выбор пакетов экспертизы для импорта

Если вы добавили в каталог установщика пакеты экспертизы с расширением .roc, установщик предложит выбрать пакеты, которые будут импортированы в систему по завершении установки.

install expertise packs

Перемещение по списку опций осуществляется с помощью клавиш со стрелками вверх и вниз. Чтобы выбрать опцию или отменить ее выбор, нажмите на клавишу SPACE.

Выбор пространства имен Kubernetes

Выберите пространство имен (namespace) Kubernetes, в которое будет установлен основной экземпляр системы, на этапе Kubernetes cluster namespace to install.

install namespace selection

Если требуется создать новое пространство имен, выберите опцию create new и введите название пространства.

Название пространства имен должно удовлетворять следующим требованиям:

Допустимые символы: a—z, 0—9, -.
Название не должно начинаться и заканчиваться дефисом.

Если требуется установить основной экземпляр системы в пространство имен, уже существующее в кластере Kubernetes, выберите его в списке.

Пространство имен по умолчанию default создается автоматически при развертывании кластера Kubernetes и может быть использовано для установки компонентов системы.

В списке доступны все существующие в кластере пространства имен, кроме зарезервированных для системных сервисов:

ingress-nginx;
kube-node-lease;
kube-prometheus-stack;
kube-public;
kube-system;
local-path-provisioner;
metallb-system;
piraeus-datastore.

Настройка метода загрузки Docker-образов

На этапе Images upload выберите метод загрузки Docker-образов компонентов системы:

Direct upload to cluster nodes by Ansible (need SSH-access) — загрузка образов непосредственно на узлы кластера с помощью Ansible.

Чтобы загрузка образов непосредственно на узлы кластера прошла успешно, удостоверьтесь, что перед установкой системы был настроен SSH-доступ к worker-узлам кластера.

Upload to existing images registry — загрузка образов во внешний Docker registry (реестр Docker-образов).
Skip images uploading — пропуск загрузки образов, если они уже были ранее загружены на узлы кластера.

images upload method

Если выбрана опция Upload to existing images registry, потребуется указать следующие данные для подключения к Docker registry:

Адрес Docker registry, в который будут загружены образы компонентов системы, в следующем формате:
<registry_host>:<port>/<subpath>
Здесь:
- <registry_host> — доменное имя или IP-адрес Docker registry.
- <port> (опционально) — порт для отправки запросов к Docker registry.
- <subpath> (опционально) — путь к подкаталогу Docker registry.
Требуется ли использовать TLS-шифрование при загрузке образов установщиком.
Логин пользователя, от имени которого осуществляется доступ к Docker registry. Если аутентификация в Docker registry не требуется, поле следует оставить пустым.
Если аутентификация в Docker registry требуется — пароль пользователя, от имени которого осуществляется доступ к Docker registry.

Настройка Ansible

Задайте параметры Ansible на этапе Ansible creds:

Задайте имя пользователя.
Выберите метод аутентификации: по паролю или через ключ.
Если выбрана аутентификация по паролю, задайте и подтвердите пароль пользователя.
Если выбрана аутентификация через ключ, выберите вариант повышения привилегий указанного пользователя через sudo:
1. Use sudo without password — выберите этот вариант, если для пользователя настроено повышение привилегий через sudo без пароля.
2. Need password for sudo — выберите этот вариант, если для повышения привилегий пользователя через sudo необходимо ввести пароль. В таком случае введите этот пароль на следующем шаге:

Выбор варианта настройки объекта StorageClass

Класс хранилища (объект StorageClass) обеспечивает механизм предоставления томов постоянного хранения данных для приложений в кластере Kubernetes.

Данный этап установки доступен, если настроено более одного объекта StorageClass.

Выберите вариант настройки StorageClass.

install storage class setup

Доступные варианты:

one selected SC to all charts — позволяет выбрать один общий StorageClass для всех хранилищ. Выберите один из доступных StorageClass в открывшемся окне.

Объекты StorageClass создаются на этапе подготовки к установке системы.
individual selection SC per charts — позволяет выбрать StorageClass для каждого компонента. Выбор StorageClass будет доступен на этапе настройки соответствующего компонента.

Выбор устанавливаемых компонентов модуля evo.infra

Выберите, какие компоненты модуля evo.infra необходимо установить:

мониторинг: kube-prometheus-stack;
контроллер: ingress-nginx;
логирование: Loki;
балансировщик нагрузки: MetalLB;
сервер метрик: metrics-server;
утилиты для резервного копирования внутренних баз данных: Backup tools.

Также может быть доступна опция установки провайдера хранилища local-path-provisioner. Логика ее отображения зависит от настроек кластера, в который устанавливается основной экземпляр системы:

При отсутствии объектов StorageClass в кластере опция в меню не отображается, установка local-path-provisioner будет произведена с настройками по умолчанию.
Если в кластере уже установлен local-path-provisioner, опция в меню не отображается, повторная установка провайдера хранилища произведена не будет.
Если в кластере уже есть объекты StorageClass, отличные от предоставляемых провайдером local-path-provisioner, в меню отобразится опция local-path-provisioner, но по умолчанию она выбрана не будет.
Если при установке не удается получить список StorageClass в кластере, опция local-path-provisioner будет отображаться в меню и будет выбрана по умолчанию.

infra components

Настройка доменного имени

Введите доменное имя для внешних запросов на этапе Web access.

Если система будет установлена в кластер из одного узла, следует указать полное доменное имя (FQDN) виртуальной машины, на которой функционирует кластер.

Если система будет установлена в кластер из нескольких узлов, в качестве доменного имени нельзя использовать FQDN master-узла кластера. Используйте доменное имя, не занятое ни одним другим сервисом.

install web access

Доменное имя должно удовлетворять следующим требованиям:

Допустимые символы: a—z, 0—9, -, ..
Имя не должно начинаться и заканчиваться дефисом или точкой.

Пример допустимого доменного имени: evo.company.local.

Настройка режима развертывания Ingress-ресурсов

На этапе Ingress deployment mode настройте режим развертывания Ingress-ресурсов для предоставления сетевого доступа к системе:

Per-service Ingress resources — будут развернуты отдельные Ingress-ресурсы для каждого сервиса, к которому требуется внешний сетевой доступ. Этот режим рекомендуется для большинства инсталляций.

Single central reverse-proxy — отдельные Ingress-ресурсы для сервисов не создаются. Вместо этого развертывается обратный прокси-сервер (reverse proxy) с одним Ingress-ресурсом, который маршрутизирует все запросы к соответствующим сервисам.

Этот режим обязателен при установке системы в кластер, в Ingress-контроллере которого отключена поддержка сниппетов (snippets).

ingress deployment mode

В зависимости от архитектуры кластера Kubernetes, в который будет установлена система, установщик может запросить дополнительные параметры развертывания Ingress-ресурсов:

При выборе единого reverse proxy установщик попытается автоматически определить IP-адрес DNS-сервера кластера. При невозможности определить адрес в автоматическом режиме отобразится окно для его ручного ввода.
Независимо от выбранного режима развертывания для Ingress-ресурсов нужно указать, каким контроллером они должны обрабатываться. Связь Ingress-ресурсов с контроллером происходит через объект IngressClass согласно следующей логике:
- Если в кластере есть единственный объект IngressClass, он будет использован автоматически.
- Если в кластере нет Ingress-контроллеров, но контроллер ingress-nginx был выбран для установки в составе модуля evo.infra, то Ingress-ресурсы будут использовать объект IngressClass с именем (ingressClassName) nginx.
- Если в кластере обнаружены два и более объекта IngressClass, отобразится окно для выбора нужного объекта. Все создаваемые Ingress-ресурсы будут использовать выбранный объект.
- Если в процессе установки возникнет ошибка при получении списка доступных объектов IngressClass, то будет выведено окно для ручного ввода имени объекта IngressClass. По умолчанию установлено имя nginx.
- Если в кластере нет объектов IngressClass и контроллер ingress-nginx не был выбран для установки в составе модуля evo.infra, то будет выведено окно для ручного ввода имени внешнего объекта IngressClass. По умолчанию установлено имя nginx.

Настройка пула адресов балансировщика

Настраивать пул адресов балансировщика требуется, только если одновременно выполнены следующие условия:

выполняется распределенная установка в кластере, где есть хотя бы один master-узел и один worker-узел;
на этапе выбора компонентов evo.infra был установлен флажок напротив компонента MetalLB.

Если хотя бы одно условие не выполнено, данный этап будет пропущен.

Введите пул адресов балансировщика на этапе Web access. Этот пул должен быть определен перед установкой системы на этапе настройки доменного имени. При использовании диапазона из одного адреса нужно указать префикс сети /32.

install balancer pool

Настройка PostgreSQL

На данном этапе потребуется учетная запись пользователя PostgreSQL с правами на создание новых баз данных и пользователей. Для этого можно использовать суперпользователя postgres или создать нового.

install postgresql setup

Выберите расположение:

Deploy to k8s cluster — в кластере Kubernetes.
Use external server — внешнее расположение на выделенном сервере или в выделенном кластере.

Настройте параметры PostgreSQL в зависимости от выбранного расположения БД:

При установке в кластер Kubernetes (Deploy to k8s cluster) сделайте следующие действия:
1. Выберите StorageClass для данных PostgreSQL, если не был выбран один общий StorageClass для всех хранилищ.
2. Укажите максимальный размер хранилища в ГБ.

При установке на выделенном сервере или в выделенном кластере (Use external server) укажите следующие параметры для доступа к PostgreSQL:

Имя или IP-адрес хоста PostgreSQL.

Адрес хоста можно указывать как без порта (например, postgresql-evo.company.local), так и с портом через двоеточие (например, postgresql-evo.company.local:5433).
Если порт не указан, по умолчанию для подключения к хосту используется порт 5432.
Указание нескольких адресов (multi-host) в текущей версии системы не поддерживается.

platform postgres hosts

Порт для подключения к PostgreSQL.

Данное окно отобразится, только если на предыдущем шаге было указано имя хоста без порта.
Имя базы данных по умолчанию.
Имя пользователя PostgreSQL.
Пароль пользователя PostgreSQL.

Также вы можете включить шифрование трафика между системой и вынесенной СУБД PostgreSQL (режим SSL/TLS). Для этого:

В окне Enable SSL mode for external PostgreSQL? выберите вариант Enable SSL/TLS.

postgres enable ssl

Если выбрать вариант Allow non-SSL (default), установщик перейдет к следующему этапу и шифрование трафика между системой и PostgreSQL включено не будет.

В следующем окне выберите, сгенерировать ли самоподписанные TLS-сертификаты или использовать созданные заранее.
- Если вы выберете опцию Yes (recommended for simple setups), установщик сгенерирует сертификаты автоматически и перейдет к следующему этапу установки.
- Если вы выберете опцию No (require valid CA), настройте сертификаты и ключ, сгенерированные при развертывании выделенного сервера или кластера PostgreSQL:
  1. Укажите абсолютный путь к TLS-сертификату центра сертификации. Например: /var/lib/postgresql/data/ca.crt.
  2. Выберите, требуется ли использовать клиентский TLS-сертификат.
  3. Если вы выбрали опцию Enter file path, введите абсолютный путь к клиентскому TLS-сертификату. Например: /var/lib/postgresql/data/client.crt.
  4. Выберите, требуется ли использовать приватный ключ клиентского TLS-сертификата.
  5. Если вы выбрали опцию Enter file path, введите абсолютный путь к приватному ключу клиентского TLS-сертификата. Например: /var/lib/postgresql/data/client.key.

Настройка ClickHouse

Задайте параметры ClickHouse на этапе ClickHouse setup.

install clickhouse setup

Выберите расположение:

Deploy ClickHouse to k8s cluster — в кластере Kubernetes.
Use external ClickHouse server — внешнее расположение на выделенном сервере или в выделенном кластере. Для этого выделенный сервер или кластер должен быть предварительно настроен.

Вне зависимости от расположения ClickHouse укажите, требуется ли включить шифрование трафика между системой и кластером ClickHouse:

Use standard connection without encryption — шифрование трафика не требуется.
Use secure connection over TLS — будет включено TLS-шифрование трафика.

install clickhouse tls

Для установки в кластер Kubernetes укажите следующие параметры:

Количество реплик и шардов ClickHouse.

Количество реплик и шардов требуется указывать, только если в кластере установлено более одного worker-узла.

StorageClass для данных ClickHouse, если не был выбран один общий StorageClass для всех хранилищ.

Максимальный размер хранилища ClickHouse в ГБ.

Если в кластере не установлен провайдер хранилища или установлен local-path-provisioner, максимальный размер хранилища указывать не требуется.

Если было включено шифрование трафика, выполните следующие действия:
- Выберите, требуется ли сгенерировать TLS-сертификаты для ClickHouse или необходимо использовать сертификаты, сгенерированные заранее.
- Если выбрана опция Provide your own existing certificates, укажите следующие данные:
  - Абсолютный путь к TLS-сертификату сервера. Например: /etc/clickhouse-server/certs/tls.crt.
  - Абсолютный путь к приватному ключу TLS-сертификата сервера. Например: /etc/clickhouse-server/certs/tls.key.
  - Абсолютный путь к TLS-сертификату центра сертификации. Например: /etc/clickhouse-server/certs/ca.crt.

Для внешнего расположения укажите следующие параметры:

Доменное имя сервера или балансировщика, если он настроен.
Если было включено шифрование трафика, введите следующие данные:
- Абсолютный путь к TLS-сертификату центра сертификации. Например: /etc/clickhouse-server/certs/ca-certificate.crt.
- Порт для взаимодействия системы и ClickHouse по HTTPS, указанный при настройке кластера ClickHouse. По умолчанию: 8443.
Порт для взаимодействия системы и ClickHouse по HTTP, указанный при настройке кластера ClickHouse. По умолчанию: 8123.
Порт для взаимодействия системы и ClickHouse по gRPC, указанный при настройке кластера ClickHouse. По умолчанию: 9100.

Если было включено шифрование трафика, gRPC-порт будет принимать только зашифрованный трафик.

Имя системного пользователя.
Пароль системного пользователя.

В качестве имени и пароля пользователя следует использовать имя и пароль системного пользователя или пользователя writer, созданных при развертывании нового или существующего кластера ClickHouse.

Настройка Prometheus

Данное окно отображается, только если на этапе выбора компонентов evo.infra был установлен флажок напротив компонента kube-prometheus-stack.

Prometheus — это система мониторинга, собирающая различные метрики работы кластера.

Чтобы настроить Prometheus:

Выберите StorageClass для данных Prometheus, если не был выбран один общий StorageClass для всех хранилищ.
Задайте максимальный размер хранилища Prometheus на этапе Prometheus setup, не менее 15 ГБ.

Настройка Loki

Данное окно отображается, только если на этапе выбора компонентов evo.infra был установлен флажок напротив компонента Loki.

Loki — это система для хранения и просмотра логов.

Задайте параметры Loki на этапе Loki setup:

Выберите StorageClass для данных Loki, если не был выбран один общий StorageClass для всех хранилищ.
Задайте количество реплик хранилища для чтения логов.

Количество реплик требуется указывать, только если в кластере установлено более одного worker-узла.

Задайте максимальный размер хранилища для чтения логов в ГБ.

install loki setup read storage

Задайте количество реплик хранилища для записи логов.

Задайте максимальный размер хранилища для записи логов в ГБ.

install loki setup write storage

Задайте количество реплик MinIO.

Задайте максимальный размер хранилища MinIO в ГБ.

install loki setup minio storage

Настройка MinIO

MinIO — это система объектного хранения данных, которая используется для хранения файлов конфигураций, загруженных в систему файлов, а также логов сервисов и инфраструктуры.

На этапе MinIO setup укажите количество реплик MinIO.

Количество реплик требуется указывать, только если в кластере установлено более одного worker-узла.

install minio setup replicas

Для MinIO назначается StorageClass по умолчанию.

Настройка Dkron

Dkron — это распределенный планировщик задач.

Количество реплик Dkron требуется указывать, только если в кластере установлено более одного worker-узла. В ином случае этап настройки Dkron будет пропущен.

На этапе Dkron setup укажите количество реплик Dkron.

install dkron setup replicas

Для Dkron назначается StorageClass по умолчанию.

Настройка NATS

NATS — это брокер сообщений, который обеспечивает взаимодействие модулей платформы.

На этапе NATS main setup настройте основное хранилище NATS:

Выберите StorageClass основного хранилища NATS, если не был выбран один общий StorageClass для всех хранилищ.

Задайте максимальный размер хранилища NATS, не менее 30 ГБ.

install nats setup

Укажите количество реплик NATS.

Количество реплик требуется указывать, только если в кластере установлено более одного worker-узла.

На этапе NATS space setup настройте хранилище NATS для управления пространствами:

Выберите StorageClass хранилища NATS для управления пространствами, если не был выбран один общий StorageClass для всех хранилищ.

Задайте максимальный размер хранилища NATS, не менее 20 ГБ.

install nats space setup

Укажите идентификатор пространства, которое будет использовать NATS.

Идентификатор основного пространства (main space ID) формируется по шаблону:

space-main-<namespace>

Здесь:

<namespace> — пространство имен, заданное на этапе Kubernetes cluster namespace to install.

В большинстве случаев изменение идентификатора основного пространства не требуется.

Если идентификатор основного пространства требуется изменить, для него существуют следующие требования:

Допустимые символы: a—z, A—Z, 0—9, -.
Идентификатор должен содержать не более 100 символов.

При развертывании нескольких экземпляров системы в одном кластере Kubernetes необходимо обеспечить уникальность идентификаторов основного пространства.

install nats space value

Настройка сбора метрик и логов с помощью Vector

На этапе Space: Vector observability настройте источники метрик для демона Vector и режим сбора логов хоста:

Выберите источник метрик процессора, ОЗУ, диска и сети. Доступные варианты:
- Vector host_metrics — демон Vector получает метрики напрямую с хоста, монтируя его директории /proc и /sys с помощью томов типа hostPath.
- Node Exporter — демон Vector обращается к сервису Prometheus Node Exporter. Тома типа hostPath не монтируются.
Выберите источник метрик процессора и ОЗУ подов сервисов:
- cgroups — метрики контрольных групп (cgroups) собирает sidecar-контейнер, который монтирует директории /proc и /sys с помощью томов типа hostPath.
- cAdvisor — демон Vector обращается к компоненту Kubelet по порту 10250 и адресу /metrics/cadvisor. Тома типа hostPath не монтируются.
Выберите режим сбора логов хоста:
- hostPath — демон Vector получает логи напрямую с хоста, монтируя его директории /var/log и /etc/localtime с помощью томов типа hostPath.
- sidecar — демон Vector не собирает логи. Сервисы отправляют логи в sidecar-контейнер.
Выберите, требуется ли добавить liveness-пробы для контейнера vector-sidecar в подах сервисов:
- false — не добавлять liveness-пробы; сбой контейнера vector-sidecar не приведет к перезапуску всего пода.
- true — добавить liveness-пробы; сбой контейнера vector-sidecar может привести к перезапуску всего пода.

Настройка СУБД для работы с событиями ИБ

Для работы с событиями ИБ можно использовать ранее установленные инсталляции ClickHouse и PostgreSQL, общие для всех компонентов платформы, или использовать отдельные выделенные серверы.

Настройка ClickHouse для событий ИБ

На этапе Streams: ClickHouse setup выберите расположение ClickHouse для событий ИБ.

install streams clickhouse

Доступные варианты:

Use platform ClickHouse server — использование общего сервера ClickHouse, настроенного ранее.
Use external ClickHouse server — внешнее расположение на выделенном сервере или в выделенном кластере. Для этого выделенный сервер или кластер должен быть предварительно настроен.

Для работы системы необходимо, чтобы в ClickHouse были настроены три пользователя с разным набором прав:

owner — пользователь с расширенным набором прав. Используется для создания, обновления и удаления таблиц (хранилищ событий), а также получения служебной информации.
writer — пользователь с правами на запись. Используется в коллекторах для записи событий в ClickHouse.
reader — пользователь с правами только на чтение. Используется для выполнения поисковых запросов.

Вне зависимости от варианта размещения ClickHouse для событий ИБ следует указать пароли этих пользователей, заданные при развертывании кластера ClickHouse.

Для внешнего расположения укажите следующие параметры:

Доменное имя сервера или балансировщика, если он настроен.
Требуется ли включить шифрование трафика между системой и кластером ClickHouse:
- Use standard connection without encryption — шифрование трафика не требуется.
- Use secure connection over TLS — будет включено TLS-шифрование трафика.
Если выбрана опция Use secure connection over TLS, потребуется ввести дополнительные данные:
- Абсолютный путь к TLS-сертификату центра сертификации. Например: /etc/clickhouse-server/certs/ca-certificate.crt.
- Порт для взаимодействия системы и ClickHouse по HTTPS, указанный при настройке кластера ClickHouse. По умолчанию: 8443.
Порт для взаимодействия системы и ClickHouse по HTTP, указанный при настройке кластера ClickHouse. По умолчанию: 8123.
Порт для взаимодействия системы и ClickHouse по gRPC, указанный при настройке кластера ClickHouse. По умолчанию: 9100.

Имя системного пользователя.
Пароль системного пользователя.

Настройка PostgreSQL для событий ИБ

На этапе Streams: PostgreSQL setup выберите расположение PostgreSQL для событий ИБ.

install streams postgres

Доступные варианты:

Use platform PostgreSQL server — использование общего сервера PostgreSQL, настроенного ранее.
Use external PostgreSQL server — внешнее расположение на выделенном сервере или в выделенном кластере.

Для внешнего расположения также следует задать:

Имя или IP-адрес хоста PostgreSQL.

Адрес хоста можно указывать как без порта (например, postgresql-streams.company.local), так и с портом через двоеточие (например, postgresql-streams.company.local:5433).
Если порт не указан, по умолчанию для подключения к хосту используется порт 5432.
Указание нескольких адресов (multi-host) в текущей версии системы не поддерживается.

streams postgres hosts

Порт для подключения к PostgreSQL.

Данное окно отобразится, только если на предыдущем шаге было указано имя хоста без порта.
Имя базы данных по умолчанию.
Имя пользователя PostgreSQL.
Пароль пользователя PostgreSQL.

Также вы можете включить шифрование трафика между системой и вынесенной СУБД PostgreSQL (режим SSL/TLS). Для этого:

В окне Enable SSL mode for external PostgreSQL? выберите вариант Enable SSL/TLS.

postgres streams enable ssl

В следующем окне выберите, сгенерировать ли самоподписанные TLS-сертификаты или использовать созданные заранее.
- Если вы выберете опцию Yes (recommended for simple setups), установщик сгенерирует сертификаты автоматически и перейдет к следующему этапу установки.
- Если вы выберете опцию No (require valid CA), настройте сертификаты и ключ, сгенерированные при развертывании выделенного сервера или кластера PostgreSQL:
  1. Укажите абсолютный путь к TLS-сертификату центра сертификации. Например: /var/lib/postgresql/data/ca.crt.
  2. Выберите, требуется ли использовать клиентский TLS-сертификат.
  3. Если вы выбрали опцию Enter file path, введите абсолютный путь к клиентскому TLS-сертификату. Например: /var/lib/postgresql/data/client.crt.
  4. Выберите, требуется ли использовать приватный ключ клиентского TLS-сертификата.
  5. Если вы выбрали опцию Enter file path, введите абсолютный путь к приватному ключу клиентского TLS-сертификата. Например: /var/lib/postgresql/data/client.key.

Завершение установки

Если установка прошла успешно, на экране отобразится соответствующее сообщение. Также на экран будут выведены URL-адрес для подключения к системе и учетные данные по умолчанию для входа в систему.

Если вы отключали какие-либо сервисы во время аудита системного окружения, включите их.

После завершения установки основного экземпляра формируется комплект сертификатов, которые потребуются для установки сателлита.

Комплект сертификатов сохраняется в архив $SETUP_ROOT_DIR/r-vision/nats-tls.tar.gz (по умолчанию /opt/r-vision/nats-tls.tar.gz) на машине, с которой выполнялась установка.

Удаление файлов установщика

Вы можете удалить файлы и каталоги, которые необходимы только во время установки и не требуются для работы системы:

run-файл установщика:
```
rm evo.platform_<version>.run
```
Каталог распакованных файлов установки с подкаталогами, в том числе логи процесса установки из каталога <installation_root>/r-vision/common/logs:
```
rm -r <installation_root>/r-vision
```
Здесь:
- <installation_root> — корневой каталог, в который выполнялась установка. По умолчанию: /opt.
Архив дополнительного пакета установщика Kubespray:
```
rm -f <kubespray_archive>
```
Здесь:
- <kubespray_archive> — архив установщика Kubespray, например, kubespray-installer-redos.tar.gz.

Настройка исключений для антивируса

Чтобы проверки антивируса не препятствовали корректному функционированию системы, перед началом работы с системой рекомендуется настроить исключения для него.

Чтобы получить полное доменное имя (FQDN) системы, используйте следующую команду:

kubectl get secret "evo.streams.global" -n <namespace> -o jsonpath="{.data.MODULE_DOMAIN}" | base64 -d

Здесь:

<namespace> — название пространства имен, в котором установлена система.

Вы можете получить название пространства имен, в котором установлена система, с помощью утилиты evoctl.

Чтобы выполнить вход в систему:

В адресной строке браузера введите полное доменное имя (FQDN) системы. На экране отобразится страница авторизации.
Укажите логин и пароль учетной записи пользователя и нажмите на кнопку Войти.

По умолчанию для первого входа в систему используются учетные данные admin/admin.

Установленная система содержит примеры сущностей, таких как база данных событий и элементы экспертизы. Список предустановленных сущностей приведен в разделе Начало работы с системой.

Была ли полезна эта страница?

Обратная связь

Процесс установки основного экземпляра системы

Запуск установщика

Выбор файла с переменными окружения

Выбор режима работы установщика

Начало установки

Выбор пакетов экспертизы для импорта

Выбор пространства имен Kubernetes

Настройка метода загрузки Docker-образов

Настройка Ansible

Выбор варианта настройки объекта StorageClass

Выбор устанавливаемых компонентов модуля evo.infra

Настройка доменного имени

Настройка режима развертывания Ingress-ресурсов

Настройка пула адресов балансировщика

Настройка PostgreSQL

Настройка ClickHouse

Настройка Prometheus

Настройка Loki

Настройка MinIO

Настройка Dkron

Настройка NATS

Настройка сбора метрик и логов с помощью Vector

Настройка СУБД для работы с событиями ИБ

Настройка ClickHouse для событий ИБ

Настройка PostgreSQL для событий ИБ

Завершение установки

Удаление файлов установщика

Настройка исключений для антивируса

Авторизация в системе