Подготовка окружения#

Подготовка элементов развертывания#

Для установки на VM#

Для корректной работы GRAF необходимо создать пользователя grafanase, отвечающего следующим требованиям:

• домашняя директория установлена в /opt/grafana;

• предоставлены права запуска команд с привилегиями sudo без ввода пароля;

• разрешено удаленное подключение по протоколу SSH.

Настройка окружения#

Создание пользователя#

Создать пользователя grafanase.

Настройка доступа пользователю по SSH#

//Настройка доступа по SSH
USER="grafanase"
HOME_DIR="/home/grafanase"
SSH_KEY="ssh-rsa AAAAB3NzaC1yc2E... user@local"

//В случае если .ssh директория не была создана совместно с пользователем
sudo mkdir -p $HOME_DIR/.ssh
sudo chown -R $USER:$USER $HOME_DIR/.ssh
sudo chmod 700 $HOME_DIR/.ssh

//Добавление SSH ключа для пользователя
sudo touch $HOME_DIR/.ssh/authorized_keys
echo "$SSH_KEY" | sudo tee -a $HOME_DIR/.ssh/authorized_keys > /dev/null
sudo chmod 600 $HOME_DIR/.ssh/authorized_keys

//В sudoers необходимо прописать доступ без пароля для созданного пользователя
echo "$USER ALL=(ALL) NOPASSWD: ALL" | sudo tee /etc/sudoers.d/$USER

//Опционально можно запретить вход по паролю
sudo passwd -l $USER

SSH_KEY - Ключ предназначен для удаленного подключения к целевой машине и установки продукта.

Выпуск и подготовка сертификатов#

Выпуск клиентского/серверного сертификата#

Для обеспечения безопасного взаимодействия GRAF с другими компонентами системы (например, с источниками данных, IAM-сервисами, Admin Assistant) необходимо выпустить клиентские и/или серверные TLS-сертификаты через доверенный центр сертификации (CA) организации.

Размещение корневого (CA) сертификата#

Поместите корневой сертификат (CA-сертификат) в директорию /etc/ssl/certs/.

Убедитесь, что сертификат доступен пользователю, от которого запущен GRAF, или сделайте его доступным для всех пользователей:

sudo chmod o+r /etc/ssl/certs/ca.pem

Изменение домашнего каталога пользователя grafanase (если пользователь уже был создан с иной домашней директорией)#

Необходимо изменить домашний каталог пользователя grafanase. Данное действие необходимо для корректной работы компонента GRIR. Для этого выполните следующие команды:

sudo usermod -d /opt/grafana -m grafanase

Добавьте в конфигурационный файл /etc/ssh/sshd_config следующие строки:

Match User grafanase AuthorizedKeysFile /home/grafanase/.ssh/authorized_keys

И перезапустите службу SSH:

sudo systemctl restart sshd