Руководство по установке#

docker-compose.yml (с включенным ssl)

version: '3.1'
services:
ucc-db:
restart: always
build:
context: ./db
args:
- SSH_ROOT_USER=root
- SSH_ROOT_PASSWORD=passw0rd
image: pg_image(подставить актуальный)
command: -c ssl=on -c ssl_cert_file=/var/lib/postgresql/server-cert.crt -c ssl_key_file=/var/lib/postgresql/server-key.key -c ssl_ca_file=/var/lib/postgresql/ca-cert.crt -c ssl_ciphers='HIGH:MEDIUM:+3DES:!aNULL' -c ssl_prefer_server_ciphers=on -c ssl_min_protocol_version='TLSv1.2'
container_name: ucc_db_14
environment:
- SSH_USER=sshu
- SSH_PASS=passw0rd
- POSTGRES_USER=postgres
- POSTGRES_PASSWORD=postgres
- DB_USER=ucc
- DB_PASSWORD=passw0rd
- DB_NAME=uccdb
- DB_SCHEMA=ucc_cfg
- DB_TABLESPACE=ucc_cfg_data
volumes:
- ./postgres-data:/var/lib/postgresql/data
- ./certGenerate/server-cert.pem:/var/lib/postgresql/server-cert.crt
- ./certGenerate/server-key.pem:/var/lib/postgresql/server-key.key
- ./certGenerate/ca-cert.pem:/var/lib/postgresql/ca-cert.crt
ports:
- '5432:5432'
- '2223:22' 

release_version: "3.4"
config_version: "0.0.1"
component_type: service

app_prefix: dev

istio:
  proxyLimitsCPU: 400m
  proxyLimitsMemory: 400m
  proxyRequestsCPU: 512Mi
  proxyRequestsMemory: 512Mi

active_mq_name: ucc-activemq-basic
replicas: '1'

rollingUpdate:
  maxUnavailable: 100%
  maxSurge: 0%

containers:
  active_mq:
    limits:
      cpu: 1000m
      memory: 1000Mi
    requests:
      cpu: 500m
      memory: 500Mi
    readinessProbe:
      initialDelaySeconds: 30
      timeoutSeconds: 10
      periodSeconds: 1
      successThreshold: 1
      failureThreshold: 3
    livenessProbe:
      initialDelaySeconds: 30
      timeoutSeconds: 50
      periodSeconds: 100
      successThreshold: 1
      failureThreshold: 20

terminationGracePeriodSeconds: 59
priorityClassName: ''

image_envoy: proxyv2_image ***используемый образ для envoy
image_ott: ott_image ***используемый образ для ott-клиента
control_plane_project: devpub-cp-02 ***ControlPanel, к которой подключен проект в OpenShift/DropApp(k8s)
istiod_service: istiod-basic ***имя сервиса в контрольной панели, через которое идет подключение
istio_version: 2.1.1-1.el8-2
namespace: tribe-sy-dev-mmt-services-dev  ***проектная область OpenShift/DropApp(k8s)
replicas: '1'
terminationGracePeriodSeconds: 59
priorityClassName: ''

rollingUpdate:
  maxUnavailable: 100%
  maxSurge: 0%

app_prefix: dev

secret: ***группа настроек секретов Secman
  role: role-ga-secman-smcx ***роль Secman
  namespace: namespace_Secman ***namespace Secman
  ldap: namespace_Secman/path_kv/ldap-secret ***сертификаты ldap в Secman
  egress:
    keystore: namespace_Secman/path_kv/egress-secret ***сертификаты egress в Secman
    audit: namespace_Secman/path_kv/audit-secret2 ***сертификаты для аудита в Secman
    ott: namespace_Secman/path_kv/ott-certs-2 ***сертификаты для ott-клиента в Secman

containers:
  envoy:
    limits:
      cpu: 450m
      memory: 800Mi
    requests:
      cpu: 350m
      memory: 600Mi

ext_resources: ***группа настроек для подключения к внешним ресурсам
  pg:
    host: pg-host
    port: 5432
    egress_port: {номер порта}
    se_ports:
      - name: tcp-5432
        number: 5432
        protocol: TCP
  audit:
    ip: 'ip_address_audit'
    host: host-audit
    port: 443
    egress_port: {номер порта}
    se_ports:
      - name: https-443
        number: 443
        protocol: HTTPS
      - name: http-8081
        number: 8081
        protocol: HTTP
  secman:
    host: host-secman
    ip: 'ip_address_secman'
    port: 8443
    egress_port: {номер порта}
    port_name: tls-8550
  ldap:
    ip: 'ip_address_ldap'
    host: host-ldap
    port: 636
    port_name: tls-10636
    egress_port: {номер порта}
    se_ports:
      - name: tcp-636
        number: 636
        protocol: TCP
ott: ***группа настроек для взаимодействия с OTT-сервером
  hosts: host-ott:443
  module_id: smcx
  cert_client: eku.crt.pem
  key_client: eku.key.pem
  cert_server: ott-ca.crt.pem
  ca_server: ott-service.crt.pem

spec: ***внутренние порты на egress для внешних ресурсов
  ports:
    - port: {номер порта}
      targetPort: {номер порта}
      name: http
      protocol: TCP
    - port: {номер порта}
      targetPort: {номер порта}
      name: audit-ssl
      protocol: TCP
    - port: {номер порта}
      targetPort: {номер порта}
      name: secman-ssl
      protocol: TCP
    - port: {номер порта}
      targetPort: {номер порта}
      name: tls-15432
      protocol: TCP
    - port: {номер порта}
      targetPort: {номер порта}
      name: tls-10636
      protocol: TCP

gw_template: ***список для генерации новых Gateway для подключаемых менеджеров MQ
  - name: gw-test-1
    port: 8899

vs_template: ***список для генерации новых VirtualService для подключаемых менеджеров MQ
  - name: vs-test-1
    host: host-mq-1
    port: 3331
    port_egress: 8899
    gw_name: gw-test-1


se_template: ***список для генерации новых ServiceEntry для подключаемых менеджеров MQ
  - name: egress-mq-se-84-7
    ip: 'ip_address_mq1'
    host: host-mq-1
    ports:
      - name: tcp-3331
        number: 3331
        protocol: TCP
  - name: egress-mq-se-84-8
    ip: 'ip_address_mq2'
    host: host-mq-2
    ports:
      - name: tcp-3332
        number: 3332
        protocol: TCP
      - name: tcp-1421
        number: 1421
        protocol: TCP

image: proxyv2_image
istiod_service: istiod-basic 
istio_version: 2.1.1-1.el8-2 
namespace: tribe-sy-dev-mmt-services-dev  ***проектная область OpenShift/DropApp(k8s) 
host_ingress_front: 'http-front-ucc.apps.stands-vdc01.solution' ***внешний хост для внешнего route к приложению SMCX
front_port_name: 'https'
replicas: '1'
terminationGracePeriodSeconds: 59
priorityClassName: ''

ucc_front_name: ucc-front

rollingUpdate:
  maxUnavailable: 100%
  maxSurge: 0%

app_prefix: dev

secret: ***группа настроек секретов Secman 
  role: role-ga-secman-smcx ***роль Secman
  namespace: namespace_Secman ***namespace Secman 
  ingress: namespace_Secman/path_kv/ingress-secret ***сертификаты ingress в Secman

containers:
  envoy:
    limits:
      cpu: 450m
      memory: 800Mi
    requests:
      cpu: 350m
      memory: 600Mi

release_version: "3.4"
config_version: "0.0.1"
component_type: service

registryHost: registryHost
registryPath: /ci90000286_smx
app_prefix: dev

java_opts: '-Xms450m -Xmx900m -XX:ActiveProcessorCount=2'

istio:
  proxyLimitsCPU: 400m
  proxyLimitsMemory: 400m
  proxyRequestsCPU: 512Mi
  proxyRequestsMemory: 512Mi

mq_master_name: ucc-mq-master
mq_slave_name: ucc-mq-slave
active_mq_name: ucc-activemq-basic
replicas: '1'

rollingUpdate:
  maxUnavailable: 100%
  maxSurge: 0%

list_secret: list-mq-master-cm ***список конфигов, которые нужно загрузить из Secman до старта модуля
secret: ***группа настроек секретов Secman
  role: role-ga-secman-smcx ***роль Secman
  namespace: namespace_Secman ***namespace Secman
 mfConf: namespace_Secman/path_kv/activemq-conf ***секрет с конфигом mq в Secman

containers:
  mq_master:
    limits:
      cpu: 500m
      memory: 1000Mi
    requests:
      cpu: 250m
      memory: 500Mi
    readinessProbe:
      initialDelaySeconds: 30
      timeoutSeconds: 10
      periodSeconds: 1
      successThreshold: 1
      failureThreshold: 3
    livenessProbe:
      initialDelaySeconds: 30
      timeoutSeconds: 50
      periodSeconds: 100
      successThreshold: 1
      failureThreshold: 20

terminationGracePeriodSeconds: 59
priorityClassName: ''

release_version: "3.4"
config_version: "0.0.1"
component_type: service

app_prefix: dev

java_opts: '-Xms450m -Xmx900m -XX:ActiveProcessorCount=2'

istio:
  proxyLimitsCPU: 400m
  proxyLimitsMemory: 400m
  proxyRequestsCPU: 512Mi
  proxyRequestsMemory: 512Mi

mq_slave_name: ucc-mq-slave
active_mq_name: ucc-activemq-basic
replicas: '1'

rollingUpdate:
  maxUnavailable: 100%
  maxSurge: 0%

list_secret: list-mq-sl-cm ***список конфигов, которые нужно загрузить из Secman до старта модуля

secret: ***группа настроек секретов Secman 
  role: role-ga-secman-smcx ***роль Secman
  namespace: namespace_Secman ***namespace Secman
  mfConf: namespace_Secman/path_kv/activemq-conf ***секрет с конфигом mq в Secman
  keystore: namespace_Secman/path_kv/keystore-ecu-jks ***хранилища с сертификатами mq

containers:
  mq_slave:
    limits:
      cpu: 500m
      memory: 750Mi
    requests:
      cpu: 250m
      memory: 500Mi
    readinessProbe:
      initialDelaySeconds: 30
      timeoutSeconds: 10
      periodSeconds: 1
      successThreshold: 1
      failureThreshold: 3
    livenessProbe:
      initialDelaySeconds: 30
      timeoutSeconds: 50
      periodSeconds: 100
      successThreshold: 1
      failureThreshold: 20

terminationGracePeriodSeconds: 59
priorityClassName: ''

release_version: "3.4"
config_version: "0.0.1"
component_type: service

registryHost: registryHost
registryPath: /ci90000286_smx
app_prefix: dev

java_opts: '-Xms1000m -Xmx1000m'

istio:
  proxyLimitsCPU: 400m
  proxyLimitsMemory: 512Mi
  proxyRequestsCPU: 400m
  proxyRequestsMemory: 512Mi

is_prom: true
kvr_min_expire: 60
ucc_back_name: ucc-back
mq_slave_name: ucc-mq-slave
mq_master_name: ucc-mq-master
replicas: '1'

rollingUpdate:
  maxUnavailable: 100%
  maxSurge: 0%

list_secret: list-back-cm ***список конфигов, которые нужно загрузить из Secman до старта модуля 

secret:
  role: role-ga-secman-smcx ***роль Secman
  namespace: namespace_Secman ***namespace Secman
  ucc_back: namespace_Secman/path_kv/back-secret ***секрет с настройками модуля back
  pg_keystore: namespace_Secman/path_kv/pg_keystore ***хранилища с сертификатами подключения к СУБД PostgreSQL
  ucc_kubernetes: namespace_Secman/path_kv/ucc-kubernetes-secret ***секрет с токенами для подключения к другим проектным областям

containers:
  ucc_back:
    limits:
      cpu: 1500m
      memory: 1Gi
    requests:
      cpu: 1500m
      memory: 1Gi
    readinessProbe:
      initialDelaySeconds: 30
      timeoutSeconds: 10
      periodSeconds: 1
      successThreshold: 1
      failureThreshold: 3
    livenessProbe:
      initialDelaySeconds: 30
      timeoutSeconds: 50
      periodSeconds: 100
      successThreshold: 1
      failureThreshold: 20

terminationGracePeriodSeconds: 59
priorityClassName: ''

ucc_properties: ***конфиги из ConfigMap ucc-properties
  name: ucc-properties
  audit2: 'http://host-audit:8081' ***хост аудита, прописывается фейковый порт 8081, на egress происходит терминация трафика
  modules: ***отображаемые модули в приложении
    - IBM_MQ
    - CACHE
    - AUDIT
    - SYNAPSE
    - ROUTE
  ldap: ***группа настроек для подключения к ldap
    userDn: 'cn=admin,dc=mycomp,dc=ru'
    first:
      urls: 'ldap://ip_address_ldap:636'
      base: 'DC=mycomp,DC=ru'
      ignorePartialResultException: 'true'
    second:
      urls: ''
      base: ''
      ignorePartialResultException: ''
  datasource:
    all_props: ***список настроек подключения к СУБД
      - url: 'jdbc:postgresql://pg-host.:5432/uccdb?reWriteBatchedInserts=true&ssl=true&sslmode=prefer&sslfactory=ru.integration.ucc.listener.UccSSLSocketFactory&trustStore=/data/secret/pg_truststore.jks&keyStore=/data/secret/pg_keystore.jks'
        schema: 'ucc_cfg'
        segment: 'UCC-Postgre-docker'
        is_w3s_debugger: 'true'
        is_url_allowed: 'true'
  logging:
    log_level: 'DEBUG'
  load_changer:
    timer_interval: 120000

release_version: "3.4"
config_version: "0.0.1"
component_type: service

registryHost: registryHost
registryPath: /ci90000286_smx
app_prefix: dev

java_opts: '-Xms1000m -Xmx1000m'

istio:
  proxyLimitsCPU: 400m
  proxyLimitsMemory: 400m
  proxyRequestsCPU: 512Mi
  proxyRequestsMemory: 512Mi

is_prom: 'true'
ucc_front_name: ucc-front
ucc_back_name: ucc-back
replicas: '1'

rollingUpdate:
  maxUnavailable: 100%
  maxSurge: 0%  

secret:
  role: role-ga-secman-smcx ***роль Secman
  namespace: namespace_Secman ***namespace Secman 

containers:
  ucc_front:
    limits:
      cpu: 100m
      memory: 1Gi
    requests:
      cpu: 100m
      memory: 1Gi
    readinessProbe:
      initialDelaySeconds: 30
      timeoutSeconds: 10
      periodSeconds: 1
      successThreshold: 1
      failureThreshold: 3
    livenessProbe:
      initialDelaySeconds: 30
      timeoutSeconds: 50
      periodSeconds: 100
      successThreshold: 1
      failureThreshold: 20

terminationGracePeriodSeconds: 59
priorityClassName: ''

        vault.hashicorp.com/agent-inject-template-application.yml: |
          {{"{{"}}- with secret "{{ .Values.secret.mfConf }}" -{{"}}"}}
            {{"{{"}} base64Decode .Data.app {{"}}"}}
          {{"{{"}}- end {{"}}"}} 

, где secret.mfConf- путь до конфига mq в кодировке base64, ключ "app". Структура application.yml для mq-master приводятся ниже:

app.services.activemq.user:
  login: {логин}
  password: {пароль}

        vault.hashicorp.com/agent-inject-template-application.yml: |
          {{`{{- with secret`}}
          "{{ .Values.secret.mfConf }}"
          {{`-}}
            {{- base64Decode .Data.app -}}
          {{- end }}`}}

        vault.hashicorp.com/agent-inject-template-keystore.jks: |
          {{`{{- with secret`}}
          "{{ .Values.secret.keystore }}"
          {{`-}}
            {{- base64Decode .Data.keystore -}}
          {{- end }}`}}

, где secret.mfConf - путь до конфига mq в кодировке base64, ключ "app". Структура application.yml для mq-master приводятся ниже:

app.services.activemq.user:
  login: {логин}
  password: {пароль}
crypto:
  secret_key_1: "ssdkF$HUy2A#D%ka"
  secret_key_2: "weJiSEvR5yAC5fta"

secret.keystore - путь до хранилища jks для ssl подключения к MQ в кодировке base64, ключ "keystore".        

        vault.hashicorp.com/agent-inject-template-db.yml: |
          {{`{{- with secret`}}
          "{{ .Values.secret.ucc_back }}"
          {{`-}}
            {{- base64Decode .Data.db  -}}
          {{- end }}`}}

        vault.hashicorp.com/agent-inject-template-ldap.yml: |
          {{`{{- with secret`}}
          "{{ .Values.secret.ucc_back }}"
          {{`-}}
            {{- base64Decode .Data.ldap  -}}
          {{- end }}`}}

        vault.hashicorp.com/agent-inject-template-sign_key.yml: |
          {{`{{- with secret`}}
          "{{ .Values.secret.ucc_back }}"
          {{`-}}
            {{- base64Decode .Data.key  -}}
          {{- end }}`

        vault.hashicorp.com/agent-inject-template-oauth2.yml: |
          {{`{{- with secret`}}
          "{{ .Values.secret.ucc_back }}"
          {{`-}}
            {{- base64Decode .Data.oauth2  -}}
          {{- end }}`}}

        vault.hashicorp.com/agent-inject-template-pg_keystore.jks: |
          {{`{{- with secret`}}
          "{{ .Values.secret.pg_keystore }}"
          {{`-}}
            {{- base64Decode .Data.keystore  -}}
          {{- end }}`}}

        vault.hashicorp.com/agent-inject-template-pg_truststore.jks: |
          {{`{{- with secret`}}
          "{{ .Values.secret.pg_keystore }}"
          {{`-}}
            {{- base64Decode .Data.truststore  -}}
          {{- end }}`}}

        vault.hashicorp.com/agent-inject-template-kubernetes.yml: |
          {{`{{- with secret`}}
          "{{ .Values.secret.ucc_kubernetes }}"
          {{`-}}
            {{- base64Decode .Data.secret  -}}
          {{- end }}`}}

secret.ucc_back содержит путь до конфигов db.yml, ldap.yml, key.yml, oauth2.yml в SecMan Структура данных настроек приводит ниже.
---
db.yml

spring:
  datasource:
    all-secret-props:
      - username: 'login'
        password: 'pass'
        group: cn=email,dc=mycomp,dc=ru
        url-secret: '&trustStorePassword=123456&keyStorePassword=123456'
crypto:
  secret_key_1: "pass1"
  secret_key_2: "pass2"

---
ldap.yml

spring:
  ldap-secret:
    username: cn=admin,dc=mycomp,dc=ru
    password: 'pass'
---
oauth2.yml

oauth2:
  clients:
    - client_id: "client_id"
      client_secret: "secret_val"
      grant_types:
        - password
        - authorization_code
---
sign-key.yml

ucc:
  sign_key: "key_val"
---

secret.pg_keystore содержит хранилище с клиентским сертификатом postgreSQL (ключ pg_keystore) и хранилище с доверенными серверными сертификатами (ключ pg_truststore).
{
  "keystore": "keystoreBase64",
  "truststore": "truststoreBase64"

}

---

ucc_kubernetes
{
  "secret": "secretBase64"
},

где secretBase64 имеет структуру согласно примеру ниже:

apiVersion: v1
clusters:
  - cluster:
      insecure-skip-tls-verify: true
      server: host-server-api:6443
    name: foo
contexts:
  - context:
      cluster: foo
      user: example
    name: foo-context
  - context:
      cluster: foo
      user: example1
    name: foo-context1
current-context: foo-context1
users:
  - name: example
    user:
      token: eyJhbGciOiJSUzI1NiIsImtpZCI6IloyZm9aS29XV2RlMERndkV3eGdPWkJEXzlSQTdMemk2am1OZVZhdGUzdUEifQ.eyJpc3MiOiJrdWJlcm5ldGVzL3NlcnZpY2VhY2NvdW50Iiwia3ViZXJuZXRlcy5pby9zZXJ2aWNlYWNjb3VudC9uYW1lc3BhY2UiOiJ0cmliZS1zeS11Y2MtZGV2Iiwia3ViZXJuZXRlcy5pby9zZXJ2aWNlYWNjb3VudC9zZWNyZXQubmFtZSI6ImV4YW1wbGUtdG9rZW4tcjI3OGwiLCJrdWJlcm5ldGVzLmlvL3NlcnZpY2VhY2NvdW50L3NlcnZpY2UtYWNjb3VudC5uYW1lIjoiZXhhbXBsZSIsImt1YmVybmV0ZXMuaW8vc2VydmljZWFjY291bnQvc2VydmljZS1hY2NvdW50LnVpZCI6ImMxZjM0ZTgyLTM4NDAtNDA5Ny04ZTM0LTQ1YWE0MjUwZWFkNiIsInN1YiI6InN5c3RlbTpzZXJ2aWNlYWNjb3VudDp0cmliZS1zeS11Y2MtZGV2OmV4YW1wbGUifQ.IsPVh5lYgdmiMJnarjyLNBpzH6dlorVnBy0TrBHDDOZsgzEnLPImyBxUCNCes2yt63126WW90B3FYrRJGk13ugQTYUGrhFW55irugaNsqY8opdG70nAW0gwGbJ1s84rsl1-SulMNenz6cqzvqyC_CczKB6mTbujTPDp-VA_zL91Iqv8W2H63sX80YnbzRTQM1SeeAOpTXCa08zYHwcfpwOMG0trGFZzo0b4w5zSNr1_aYLJl_C7PFtEN3-8K66w5TGoo12z76wCpDujevHB_SH-eKPuyhhnzfFo8FGI2wPLqParc-mYl7UfYKzx6-ZTDV37JyGu-eDfwQlc3jrO95w     

        vault.hashicorp.com/agent-inject-template-tls.crt: |
          {{`{{- with secret`}}
          "{{ .Values.secret.ingress }}"
          {{`-}}
            {{- base64Decode .Data.crt -}}
          {{- end }}`}}

        vault.hashicorp.com/agent-inject-template-root.crt: |
          {{`{{- with secret`}}
          "{{ .Values.secret.ingress }}"
          {{`-}}
            {{- base64Decode .Data.root -}}
          {{- end }}`}}

        vault.hashicorp.com/agent-inject-template-tls.key: |
          {{`{{- with secret`}}
          "{{ .Values.secret.ingress }}"
          {{`-}}
            {{- base64Decode .Data.key -}}
          {{- end }}`}}

Где secret.ingress - путь до секрета ingress_secret (tls.key(ключ key), tls.crt(ключ crt), root.crt(ключ root)) в SecMan.

        vault.hashicorp.com/agent-inject-template-chain.crt: |
          {{`{{- with secret`}}
          "{{ .Values.secret.egress.keystore }}"
          {{`-}}
            {{- base64Decode .Data.chain -}}
          {{- end }}`}}
        vault.hashicorp.com/agent-inject-template-tls.crt: |
          {{`{{- with secret`}}
          "{{ .Values.secret.egress.keystore }}"
          {{`-}}
            {{- base64Decode .Data.crt  -}}
          {{- end }}`}}
        vault.hashicorp.com/agent-inject-template-tls.key: |
          {{`{{- with secret`}}
          "{{ .Values.secret.egress.keystore }}"
          {{`-}}
            {{- base64Decode .Data.key  -}}
          {{- end }}`}}

        vault.hashicorp.com/agent-inject-template-chain_audit.pem: |
          {{`{{- with secret`}}
          "{{ .Values.secret.egress.audit }}"
          {{`-}}
            {{- base64Decode .Data.chain  -}}
          {{- end }}`}}
        vault.hashicorp.com/agent-inject-template-tls_audit.key: |
          {{`{{- with secret`}}
          "{{ .Values.secret.egress.audit }}"
          {{`-}}
            {{- base64Decode .Data.key  -}}
          {{- end }}`}}
        vault.hashicorp.com/agent-inject-template-tls_audit.pem: |
          {{`{{- with secret`}}
          "{{ .Values.secret.egress.audit }}"
          {{`-}}
            {{- base64Decode .Data.crt  -}}
          {{- end }}`}}

        vault.hashicorp.com/agent-inject-template-{{ .Values.ott.cert_client }}: |
          {{`{{- with secret`}}
          "{{ .Values.secret.egress.ott }}"
          {{`-}}
            {{- base64Decode .Data.eku_crt  -}}
          {{- end }}`}}
        vault.hashicorp.com/agent-inject-template-{{ .Values.ott.key_client }}: |
          {{`{{- with secret`}}
          "{{ .Values.secret.egress.ott }}"
          {{`-}}
            {{- base64Decode .Data.eku_key  -}}
          {{- end }}`}}
        vault.hashicorp.com/agent-inject-template-{{ .Values.ott.ca_server }}: |
          {{`{{- with secret`}}
          "{{ .Values.secret.egress.ott }}"
          {{`-}}
            {{- base64Decode .Data.ott_ca_crt  -}}
          {{- end }}`}}
        vault.hashicorp.com/agent-inject-template-{{ .Values.ott.cert_server }}: |
          {{`{{- with secret`}}
          "{{ .Values.secret.egress.ott }}"
          {{`-}}
            {{- base64Decode .Data.ott_service_crt  -}}
          {{- end }}`}}

        vault.hashicorp.com/agent-inject-template-ldap_chain.crt: |
          {{`{{- with secret`}}
          "{{ .Values.secret.ldap }}"
          {{`-}}
            {{- base64Decode .Data.chain  -}}
          {{- end }}`}}

, где secret.egress.keystore - путь до секрета egress_secret (tls.key(ключ key), tls.crt(ключ crt), chain.crt(цепочка корневых сертификатов, ключ chain)) в SecMan. 

secret.egress.ott - путь до секрета ott_egress_secret (eku_crt - клиентский серт, eku_key - клиентский закрытый ключ, ott_ca_crt - цепочка доверенных сертификатов, ott_service_crt - серверный сертификат) в SecMan.

secret.egress.audit - путь до секрета аудита, который содержит клиентский сертификат crt, приватный ключ key и цепочку доверенных сертификатов chain. 

secret.ldap - путь до секрета для ssl подключения к ldap, который содержит цепочку доверенных сертификатов chain. Сертификат для ldap используется от egress /etc/istio/egressgateway-certs/tls.crt.