Руководство по системному администрированию#

Сценарии администрирования#

При deploy в системе контейнеризации все токены, пароли, сертификаты и иная чувствительная информация хранится в одном из типов хранилищ:

• в секретах системы управления контейнерами;

• в файловой системе pod. Все токены, пароли, сертификаты и иная чувствительная информация получена из внешней системы хранения секретов Secret Management System.

Стратегия снятия резервных копий зависит от критичности данных, подлежащих сохранению, и определяется группой сопровождения.

К сценариям администрирования относятся все действия и настройки, указанные в этом разделе, а также просмотр журналов (logs) и метрик мониторинга.

Сценарий «Управление конфигурацией»#

Настройка способа получения конфигурации выполняется в файле <src/main/resources/bootstrap.yml>.

Если используется Spring Cloud, необходимо его включить и указать адрес сервера конфигурации:

spring.cloud.config.uri: http://localhost:8080
spring.cloud.config.enabled: true

Если используется локальная конфигурация, Spring Cloud необходимо отключить:

spring.cloud.config.enabled: false

В зависимости от текущего профиля данные настройки могут быть переопределены в файлах конфигурации профиля <src/main/resources/application-{profile}.yml>.

Файл application.yml должен содержать следующие конфигурационные блоки:

• блок management — настройка Spring actuator для получения метрик;

• блок logging — настройка требуемого уровня логирования в системе;

• блок spring — настройка конфигурации системы;

• блок token — настройка авторизации пользователя;

• блок сallback — настройка реализации Callback;

• блок api — настройка пользовательского API;

• блок events — настройка отправки событий бизнес-мониторинга.

API в формате OpenApi с расширением json доступно для скачивания.

Настройка аутентификации и авторизации#

Подробнее о каждом режиме аутентификации и авторизации описано в документе «Настройки режимов аутентификации и авторизации пользователей».

Настройки подключения к БД#

Для работы компонента Designer (BPMD) продукта Platform V Flow (BPM) необходимо настроить подключение к БД.

Список рекомендуемых БД представлен в Руководстве по установке, «Системное программное обеспечение».

Настройки БД описаны в Руководстве по установке, «Подготовка БД».

Создание и обновление структуры БД происходит автоматически во время инициализации (запуска) приложения.

Отключение функции автоматического обновления БД возможно с помощью настройки:

spring.liquibase.enabled: false

Настройка Spring actuator#

Блок management файла application.yml содержит настройки Spring actuator, необходимые для получения метрик.

Для настройки доступа к данным Spring actuator необходимо указать:

1. Порт, на котором будут доступны данные: server.port 8086;

2. Список endpoint, по которым необходимо получать данные.

Настройка белых списков разрешенных классов/методов в скриптах внутри моделей процессов#

В файле конфигурации application.yml (модуля designer-executor) должна быть настроена следующая переменная:

• sandboxes.groovy.security.staticWhitelistPaths – путь к файлу, содержащему перечень методов/классов, которые могут использоваться в действиях типа Выполнение сценария.

sandboxes:
  groovy:
    security:
      staticWhitelistPaths:
        - "classpath:whitelists/generic-whitelist"
        - "file:///home/jboss/whitelist/generic-whitelist"

Дополнительно – запрещены методы/классы ниже (даже при добавлении соответствующих сигнатур в whitelist, их все равно нельзя будет исполнить):

• "method java.lang.Runtime exit int";

• "method java.lang.Runtime halt int";

• "staticMethod java.lang.System exit int";

• "new org.kohsuke.groovy.sandbox.impl.Checker$SuperConstructorWrapper java.lang.Object[]";

• "new org.kohsuke.groovy.sandbox.impl.Checker$ThisConstructorWrapper java.lang.Object[]".

• для скриптов на JavaScript будет недоступен вызов Java при исполнении.

Включить/отключить whitelist можно с помощью настройки enableSecurityScriptTask.

• enableSecurityScriptTask=false отключает использование фильтра.

• enableSecurityScriptTask=false включает использование фильтра.

Примеры содержимого файла whitelist#

Конструкторы (с параметром и без):

new java.util.ArrayList java.util.Collection  
new groovy.json.JsonBuilder 

Статические методы (с параметром и без):

staticMethod java.util.Arrays asList java.lang.Object[]  
staticMethod java.util.Arrays toString java.lang.Object[]  
staticMethod java.util.Base64 getDecoder  
staticMethod java.util.Base64 getEncoder

Методы (с параметром и без):

method java.lang.Object equals java.lang.Object
method java.io.Reader read

Статическое поле:

staticField java.lang.Integer MAX_VALUE

Если в методе или конструкторе более одного параметра, тогда их типы перечисляются через пробел:

method java.io.Reader read char[] int int
new java.lang.Enum java.lang.String int

Интеграция с внешними системами#

Настройка интеграции с компонентом Аудит (AUDT) Platform V Audit SE (AUD)#

В связи с требованиями безопасности рекомендуется осуществлять передачу информации о произведенных действиях в компонент Аудит (AUDT) Platform V Audit SE (AUD).

Журнал регистрации событий, отправляемых в компонент Аудит, хранится в компоненте Аудит (AUDT) Platform V Audit SE (AUD).

Интеграция с компонентом описана в Руководстве по установке, «Интеграции с компонентом Аудит (AUDT) Platform V Audit SE (AUD)».

Настройки логирования событий аудита#

Логирование событий аудита настраивается с помощью параметра destinationPoint в application.yaml audit.destination-point.

Параметр destinationPoint может принимать значения:

• rest — события аудита передаются в сервис аудирования и не логируются;

• json — события аудита не передаются в сервис аудирования, а только записываются в лог-файл в формате json;

• rest, json — события аудита передаются в сервис аудирования и также записываются в лог-файл в формате json.

Нижеописанные vm opts контролируют место и названия файлов для логирования в json:

• DloggingDir — папка, куда складываются json-файлы с обычными логами и логами аудита;

• DloggingJSONFile — название файла с обычными логами;

• DauditLoggingJSONFile=auditLog.json — название файла с логами аудита.

Структура лог-файла аудита

{
   "level": "%level", //уровень логирования
    "thread": "%thread", //названия потока
    "class": "%logger{40}", //класс логгера
    "message": "%message" //сам объект аудита
}

Пример лог-файла аудита

Пример можно скачать.

Настройка интеграции с компонентом Журналирование (LOGA) Platform V Monitor (OPM)#

Интеграция с компонентом описана в Руководстве по установке, «Интеграция с компонентом Журналирование (LOGA) Platform V Monitor (OPM)»

Для корректного разбора событий необходимо, чтобы формат событий соответствовал шаблону разбора fluent-bit. Формат событий описан в xml-файле конфигурации для библиотеки logback-spring.xml.

Настройка интеграции с компонентом Объединенный мониторинг Unimon (MONA) Platform V Monitor (OPM)#

Модули BPMD публикуют метрики приложения, которые могут быть получены агентом мониторинга Unimon (MONA) Platform V Monitor (OPM). Все необходимые модули MONA устанавливаются отдельно и независимо от BPMD по инструкции компонента Unimon (MONA) Platform V Monitor (OPM).

Настройка интеграции с Secret Management System#

Интеграция с компонентом описана в Руководстве по установке, «Интеграция с Secret Management System».

Настройка подключения к META#

Подключение к META осуществляется на уровне приложения (параметры настройки подключения зашиты в код модуля designer-backend компонента Designer Platform V).

Для настройки используются следующие параметры:

Настройка подключения к S3-совместимому хранилищу (опционально)#

Интеграция описана в Руководстве по установке, «Интеграция с S3-совместимым хранилищем».

Настройка интеграции с сервером Git#

Подключение к Git осуществляется на уровне приложения.

Для настройки используются следующие параметры:

Настройка интеграции с маркетплейсом (MarketPlace) для конструктора форм#

MarketPlace (Маркетплейс) – пополняемая библиотека с «кастомизированными виджетами» для плеера и редактора скриптов.

Кастомный виджет – это React компонент, предназначенный для создания и редактирования форм из json-скрипта.

Настройки, необходимые для добавления в конфигурацию сервера Nginx (конфигурация locations nginx включена в дистрибутив поставки), на котором установлен BPMD.

location /designer-app/marketplace/widget {
## проксирование на URL маркетплейса
}
location /designer-app/marketplace/list {
## проксирование на URL маркетплейса
} 
location /designer-app/marketplacesandbox/widget {
## проксирование на URL маркетплейса
}
location /designer-app/marketplacesandbox/list {
## проксирование на URL маркетплейса
}

Работа с конструктором форм описана в Руководстве оператора, «Работа с Конструктором форм».

Рекомендации по использованию механизмов безопасности#

В рамках выполнения требований безопасной работы системы рекомендуется:

1. Предоставлять доступ к администрированию только сотрудникам, которым он необходим в соответствии с их должностными обязанностями;

2. Разделять среды разработки, тестирования и эксплуатации;

3. Администраторам системы осуществлять контроль использования средств защиты информации;

4. Использовать компоненты аутентификации, авторизации и аудита в качестве внешних средств защиты.

События системного журнала#

Все события, собираемые компонентом во время работы, публикуются в компоненте Журналирование (LOGA) продукта Platform V Monitor (OPM), далее по тексту – Журналирование.

Настройки интеграции с компонентом описаны в разделе «Интеграция с внешними системами», «Настройка интеграции с компонентом Журналирование (LOGA) Platform V Monitor (OPM)» и Руководстве по установке «Платформенные интеграции».

События регистрируются в формате json. Журнал регистрации событий располагается в АРМ сервиса Журналирование (LOGA) продукта Platform V Monitor (OPM). Местоположение АРМ сервиса AUDT необходимо уточнять у администраторов сред.

Регистрируются события уровней:

• TRACE – менее приоритетные записи (logs) для отладки, с наименьшим уровнем логирования;

• DEBUG – записи (logs), необходимые для отладки приложения. Для уверенности в том, что система делает именно то, что от нее ожидают, или описания действия системы;

• INFO – записи (logs), которые содержат важные действия в приложении. Это не ошибки, это не предостережение, это ожидаемые действия системы;

• WARN – обозначаются записи (logs), которые содержат предостережение. Произошло неожиданное действие, несмотря на это система устояла и выполнила запрос;

• ERROR – уровень ошибок, когда есть проблемы, которые нужно решить. Ошибка не останавливает работу приложения в целом. Остальные запросы могут работать корректно;

• FATAL – ошибка, после которой приложение уже не сможет работать и будет остановлено.

Перечень событий

События мониторинга#

Предварительно потребитель должен создать подключение к компоненту Объединенный мониторинг Unimon (MONA) продукта Platform V Monitor (OPM), используя соответствующий resourceName. Метрики генерируются модулем designer-backend компонента BPMD.

Настройки интеграции с компонентом описаны в разделе «Интеграция с внешними системами», «Настройка интеграции с компонентом Объединенный мониторинг Unimon (MONA) Platform V Monitor (OPM)».

Часто встречающиеся проблемы и пути их устранения#

Алгоритм для диагностирования и решения проблем с внешними интеграциями:

• проанализируйте журнал компонента Engine (BPMX) продукта Platform V Flow (BPM) на наличие ошибок/успешных запросов.;

• проанализируйте журнал Istio Proxy в pod сервиса на наличие ошибок/успешных запросов;

• проанализируйте журнал Egress Gateway на наличие ошибок/успешных запросов;

• проанализируйте журнал OTT Sidecar на Egress на наличие ошибок/успешных запросов.