Руководство по системному администрированию#

Термины и сокращения#

Общие положения при администрировании компонента#

1. Администрирование приложения происходит в Kubernetes-кластере.

2. Администратор должен следить за истечением срока годности сертификатов и своевременно обновлять их.

3. Для развертывания компонента MPSM в Kubernetes администратору необходимы права на чтение и запись всех используемых шаблонов, а также возможность читать логи pods.

4. Сетевая безопасность обеспечивается средствами компонента POLM и возлагается на администраторов АС, использующих компонент MPSM.

Администратор осуществляет:

• Отслеживание срока годности сертификатов и их обновление;

• Обновление client secret для взаимодействия с OIDC-провайдером;

• Обеспечение сетевой безопасности при использовании компонента;

• Отслеживание работоспособности.

Сценарии администрирования#

MPSM не имеет собственного пользовательского интерфейса для администрирования. Все действия по управлению им производятся с использованием интерфейсов, предоставляемых Платформой Kubernetes. Специальных механизмов безопасности относящихся к сценариям администрирования и рекомендации по их настройке не предусмотрено. Ниже приведены возможные сценарии администрирования с использованием консоли клиента Kubernetes (kubectl) и менеджера пакетов Helm.

Предусловие: Для работы утилиты kubectl необходим файл конфигурации кластера kubeconfig, в котором прописаны реквизиты подключения к кластеру. Файл генерируется при создании кластера.

На рабочей станции администратора файл размещается в каталоге ~/.kube и имеет название config.

Загрузка конфигураций#

Конфигурация осуществляется путем редактирование файла параметров Helm-чарта (values.yaml).

Запуск#

После установки MPSM, все поды должны запуститься автоматически. Если же этого не произошло или по каким-либо причинам необходим ручной запуск подов, то ниже приведены последовательности действий для запуска.

С использованием веб-интерфейса Kubernetes#

• Через CLI kubernetes (kubectl).

Остановка#

• С использованием web-интерфейса Kubernetes.

• Через CLI kubernetes (kubectl).

Проверка работоспособности#

Изменение количества Pods#

• С использованием web-интерфейса Kubernetes.

• Через CLI kubernetes (kubectl).

Выгрузка и просмотр системных логов Pods#

• С использованием web-интерфейса Kubernetes.

• Через CLI kubernetes (kubectl).

Обновление сертификатов#

В случаях истечения срока годности сертификатов безопасности, ключей доступа и иных секретов или их компрометации необходимо незамедлительно позаботиться о их замене, для обеспечения безопасности использования компонентов и сохранности передаваемых данных от третьих лиц.

См. документ Руководство по установке:

• для Ingress Gateway: разделы "Подготовка сертификатов для Ingress Gateway" и "Настройка подключения сертификатов к Ingress Gateway";

• для Egress Gateway: разделы "Подготовка сертификатов для Egress Gateway" и "Настройка подключения сертификатов к Egress Gateway".

Обновление client secret для взаимодействия с OIDC-провайдером#

См. документ Руководство по установке, разделы "Подготовка при аутентификации по протоколу OIDC" и "Настройка аутентификации по протоколу OIDC".

События системного журнала#

Системный лог выводится в консоль контейнера приложения. Не предусмотренно изменение уровня логирования.

Примеры более важных error-событий см. в разделе "Пример вывода логов".

События мониторинга#

Компонент не создает события мониторинга.

Пример вывода логов#

• Формат лога: 1970-01-01T00:00:00.000Z <тема> <приоритет> <сообщение>

• Обрабатывается элемент каталога:

2023-02-03T11:00:57.314Z catalog debug Processing domain:default/synapse-platform type=plugin

• Успешная аутентификация через OIDC:

2023-03-29T06:52:00.948Z auth info Issuing token for user:auth-keycloak-oidc/username@example.com, with entities user:auth-keycloak-oidc/username@example.com, group:auth-keycloak-oidc/admins type=plugin component=token-factory

• Предупреждение (недоступна аутентификация через Keycloak из-за некорректных настроек):

2023-04-27T11:04:21.245Z auth warn Skipping keycloak-oidc auth provider, Invalid type in config for key 'auth.providers.keycloak-oidc.development.clientId' in 'app-config.yaml', got empty-string, wanted string type=plugin

• Ошибка в readiness probe (объект не найден в каталоге):

2023-04-27T10:50:11.081Z backstage error Entity not found type=errorHandler stack=Error: Entity not found
2023-04-27T10:50:11.081Z backstage info ::ffff:127.0.0.1 - - [27/Apr/2023:10:50:11 +0000] "GET /healthcheck/readiness/entityRef HTTP/1.1" 500 460 "-" "curl/7.86.0" type=incomingRequest

• Ошибка в readiness probe (при установке указан некорректный entity ref):

2023-04-27T10:48:00.294Z backstage error Entity reference "nx" had missing or empty kind (e.g. did not start with "component:" or similar) type=errorHandler stack=Error: Entity reference "nx" had missing or empty kind (e.g. did not start with "component:" or similar)

• Фатальная ошибка (некорректно указан URL Keycloak):

node:internal/process/promises:265
            triggerUncaughtException(err, true /* fromPromise */);
            ^

Error: getaddrinfo ENOTFOUND keycloak.nxdomain.local
    at GetAddrInfoReqWrap.onlookup [as oncomplete] (node:dns:71:26) {
  errno: -3008,
  code: 'ENOTFOUND',
  syscall: 'getaddrinfo',
  hostname: 'keycloak.nxdomain.local'
}

События мониторинга#

Компонент не предполагает собственной интеграции с системой мониторинга.

Часто встречающиеся проблемы и пути их устранения#