Руководство по установке#

В руководстве приведены инструкции по установке компонента Валидатор конфигураций Service Mesh (VALD).

Термины и сокращения#

Системные требования#

Настройки безопасности окружения и перечень платформенных (дополнительных внешних) продуктов, используемых для установки, настройки и контроля в конечной информационной системе (далее — ИС), выбираются клиентом при разработке конечной ИС, исходя из характера обрабатываемой в ней информации и иных требований информационной безопасности (далее — ИБ), предъявляемых к ней.

Системное программное обеспечение#

Ниже представлены категории системного программного обеспечения (далее — ПО), которые обязательны или опциональны для установки, настройки, контроля и функционирования компонента. В каждой категории перечислены все поддерживаемые продукты сторонних правообладателей. Отдельно обозначены варианты, которые рекомендует АО «СберТех» (маркировка «Рекомендовано» в столбце «Продукт, функциональная совместимость с которым подтверждена»). Клиенту необходимо выбрать один из продуктов в каждой категории, исходя из условий использования конечной ИС.

Примечание:

*

• Да — категория ПО обязательна для функционирования сервиса (это означает, что сервис не может выполнять свои основные функции без установки данной категории ПО).

• Нет — категория ПО необязательна для функционирования сервиса (это означает, что сервис может выполнять свои основные функции без установки данной категории ПО).

**

• Рекомендовано — рекомендованный правообладателем АО «СберТех» продукт.

• Опционально — альтернативный по отношению к рекомендованному правообладателем АО «СберТех» продукт.

Платформенные зависимости#

Для настройки, контроля и функционирования компонента реализована интеграция с программными продуктами, правообладателем которых является АО «СберТех»:

Аппаратные требования#

Для установки компонента требуется следующая конфигурация аппаратного обеспечения:

Количество задействованных реплик компонента VALD зависит от объема принимаемых данных.

Состав дистрибутива#

Требования к КТС#

• Требования к техническим компонентам

Требования к КТС — это размер ресурсов CPU, памяти, выделяемых в Kubernetes. Их значение вычисляется для конкретного разворачиваемого инстанса в зависимости от профиля нагрузки.

• Принципы размещения сервиса на КТС

Компонент VALD разворачивается в виде контейнера в отдельном Деплойменте.

• Специфические технологические решения

Отсутствуют.

Выбор способа установки#

Для компонента VALD доступна установка с помощью job из компоненты SMDL (продукт SSM) и менеджером пакетов "HELM".

Подготовка окружения#

Предусловия:

• развернутый и настроенный кластер Платформы (Kubernetes 1.19 и выше);

• в кластере создан проект для развертывания контрольной панели (POLM);

• В проекте создана учетная запись с правами на загрузку артефактов (администратор проекта)

• В контрольной панели развернут (POLM) и настроен в зависимости от контрольной панели проверяемых проектов ValidatingWebhookConfiguration RHSM ValidatingWebhookConfiguration RHSM

• В проекте определенна кластерная роль и рольбиндинг

• Свободные в проекте ресурсы, по лимитам и реквестам по размеру равные или превышающие зарезервированные в конфигурационных артефактах продукта Platform V Synapse Service Mesh.

Перед установкой проверьте соблюдение следующих условий:

1. При работе компонента VALD с IGEG требуется наличие развернутого компонента SSM - POLM.

2. В кластере создан проект (namespace) в котором будет разворачиваться валидатор конфигураций. При работе компоненты VALD с IGEG требуется подключить проект к контрольной панели (POLM).

3. В проекте создана учетная запись с правами на загрузку артефактов (администратор проекта).

4. Получена ссылка на целевой Docker-репозиторий.

5. В проект добавлен секрет для загрузки docker-образов из целевого Docker-репозитория.

6. В проекте имеются свободные ресурсы по лимитам и реквестам не менее, чем зарезервировано в конфигурационных артефактах.

7. При установке с использованием консоли, на рабочем месте должен быть установлен клиент Kubernetes (kubectl) и Helm.

Установка#

Установка с использованием SMDL#

1. Для установки с использованием SMDL компонента VALD.

2. Для использования job необходимо ознакомиться с документацией к компоненту SMDL. Перейти в документ "Руководство оператора", далее перейти в раздел pipelines, и выбрать папку SynapseInstaller. SynapseInstaller должен запускаться с отдельным конфиг файлом, в котором заменен блок executor

3. Перейти в job SynapseInstaller.

4. Перейти во вкладку Собрать с параметрами.

5. Заполнить поля (CI; nexusLink; ClusterName; projectsConfigGitUrlSources; orchestratorProject).

6. Нажать кнопку Собрать.

7. Дождаться результатов установки.

Установка с использованием менеджера пакетов HELM#

Перед началом установки убедитесь, что выполнена подготовка окружения.

Для ручной установки сервиса выполните следующие действия:

1. Зайдите в командную оболочку.

2. Создайте файл конфигурации для KubeCtl:

  kubectl config set-credentials логин/хост:порт --username=логин --password=пароль
  kubectl config set-cluster хост:порт --insecure-skip-tls-verify=true --server=https://хост:порт
  kubectl config set-context неймспейс/хост:порт/логин --user=логин/хост:порт --namespace=неймспейс --cluster=хост:порт
  kubectl config use-context неймспейс/хост:порт/логин

3. Настройте конфигурационный файл values.yaml для развертывания шаблонов.

4. Запустите установку через HELM

   helm install vald "путь до папки с helm charts"
   

Шаблон helm chart#

Обновление#

Удаление предыдущей версии компонента не требуется. Для обновления версии компонента VALD необходимо выполнить команду:

helm upgrade vald

Обновление происходит по стратегии "Rolling".

1. Убедитесь, что выставленное количество pods walle/checker запущено (по умолчанию: 1).

2. Выполните проверку лога istio-proxy (компонент SVPX) на отсутствие ошибок.

3. Выполните проверку логов walle/checker на отсутствие ошибок.

4. Выполнить проверку логов filebeat (LOGA) на отсутствие ошибок.

5. Выполните HTTP запрос методом POST с обязательным путем в URL. Пример запроса:

 curl -X POST 'адрес:порт/xml' \
 --header 'method: POST' \
 --header 'Content-Type: application/json' \
 --data-raw '{"kind":"AdmissionReview","apiVersion":"admission.k8s.io/v1beta1","request":{"uid":"bb715058-1ca8-4e20-af76-8df5b40aeb7c","kind":{"group":"networking.istio.io","version":"v1alpha3","kind":"ServiceEntry"},"resource":{"group":"networking.istio.io","version":"v1alpha3","resource":"serviceentries"},"requestKind":{"group":"networking.istio.io","version":"v1alpha3","kind":"ServiceEntry"},"requestResource":{"group":"networking.istio.io","version":"v1alpha3","resource":"serviceentries"},"name":"external-host-se","namespace":"synapse-dev-control-plane","operation":"CREATE","userInfo":{"username":"17644602","uid":"3456199e-6346-425c-9756-3e1ccd40b566","groups":["system:authenticated:oauth","system:authenticated"],"extra":{"scopes.authorization.openshift.io":["user:full"]}},"object":{"apiVersion":"networking.istio.io/v1alpha3","kind":"ServiceEntry","metadata":{"creationTimestamp":"2021-01-27T08:55:58Z","generation":1,"managedFields":[{"apiVersion":"networking.istio.io/v1alpha3","fieldsType":"FieldsV1","fieldsV1":{"f:spec":{".":{},"f:exportTo":{},"f:hosts":{},"f:ports":{},"f:resolution":{}}},"manager":"Mozilla","operation":"Update","time":"2021-01-27T08:55:58Z"}],"name":"external-host-se","namespace":"synapse-dev-control-plane","uid":"c7aad2fd-6091-4225-a0d8-83fc835870f2"},"spec":{"exportTo":["."],"hosts":["host"],"ports":[{"name":"http2-123","number":123,"protocol":"HTTP2"}],"resolution":"DNS"}},"oldObject":null,"dryRun":false,"options":{"kind":"CreateOptions","apiVersion":"meta.k8s.io/v1"}}}
 ' -i

Удаление#

Для удаления компонента VALD необходимо выполнить команду:

helm delete vald

Подключиться к проекту#

• Через CLI Kubectl.

Остановить компонент#

• Через CLI Kubectl.

Проверка работоспособности#

Откат#

Откат программного компонента, как для случая основной установки, так и для случая отката клиентских установок, осуществляется при помощи отката helm chart (helm rollback) с указанием версии, к которой требуется откатить (в том числе к версии с начальными настройками). Удаление установленной версии перед откатом не требуется. Откатывать можно на 2 версии, обратная совместимость поддерживается.

Часто встречающиеся проблемы и пути их устранения#

Чек-лист валидации установки#