Получение секретов

Создание сервера

Рекомендуемые требования к виртуальной машине (ВМ)

• CPU: 4-12 шт. (если в инфраструктуре более 10 тыс. активов, рекомендуется выделить 12 vCPU);
• RAM: 8-32 ГБ;
• SSD: 100 ГБ (для разделов /opt и /var нужно минимум по 50 ГБ);
• Учетная запись: должна входить в группу sudo, или обладать root правами.
• Операционная система: Linux Ubuntu, CentOS, Astra Linux, РЕД ОС,  МОС ОС и т.д.

Обновление операционной системы

sudo apt-get update

sudo yum update

Установка Docker и Docker Compose

curl -fsSL https://get.docker.com -o install-docker.sh
sudo sh install-docker.sh

• Docker: https://docs.docker.com/engine/installation/
• Docker Compose: https://docs.docker.com/compose/install/linux/

sudo apt-get install docker.io
sudo apt-get install docker-compose

Настройка сети

1. https://hub.securitm.ru (217.25.93.157, tcp/443) — для установки и обновлений приложения;
2. https://git.securitm.ru (217.25.93.157, tcp/443) — для установки и обновлений приложения;
3. https://service.securitm.ru (188.225.86.7, tcp/443) — для первичной установки и обновлений базы данных;
4. https://lic.securitm.ru (87.249.53.99, tcp/443) — для активации и проверки лицензии.

Настройка доменной инфраструктуры

1. Создайте на корпоративном DNS сервере A запись ведущую на сервер SECURITM.
   например securitm.mycorp.local
2. Создайте на корпоративном удостоверяющем центре сертификат для сервера SECURITM:
   • server.crt — сертификат для вашего сервера;
   • server.key — закрытый ключ RSA для вашего сервера (без пароля).
3. Создайте адрес электронной почты для интеграции SECURITM с корпоративным почтовым сервером. В паролях не должно быть кавычек.
4. Создайте доменную учетную запись в корпоративном домене (доменах) для интеграции SECURITM с доменной инфраструктурой. Нужна учетная запись без прав администратора.
5. Создайте в домене группу, в которой будут пользователи, которым разрешена доменная аутентификация в SECURITM. Вложенность групп работает. Это может быть уже существующая группа, например группа подразделения по информационной безопасности.
   Примечание: у пользователей, входящих в группу, должен быть указан уникальный email, т.к. в SECURITM пользователи привязываются к email.

Структура приложения

/opt/securitm

/opt/securitm/ # Корневой каталог приложения
├ backup/      # Бэкапы по умолчанию (при необходимости)
├ certs/       # SSL сертификат веб-сайта (при необходимости)
│ └ ca/        # Корневые сертификаты локальных УЦ (при необходимости)
├ php/         # Собственные настройки PHP (при необходимости)
├ .env         # Файл с переменными окружения
└ docker-compose.yaml # Файл с настройками сервисов

• app – основное приложение SECURITM;
• db – база данных;
• nginx – веб-сервер;
• service – дополнительные сервисные задачи;
• redis – БД redis;
• pg – БД PostgreSQL.

Загрузка и выполнение скрипта установки/обновления

mkdir securitm
cd securitm

wget [URL]
chmod +x securitm.sh

./securitm.sh

• Прокси сервер (при необходимости);
• Список исключений через запятую, для которых прокси сервер не должен использоваться (при необходимости);
• Имя пользователя и пароль для доступа к GIT репозиторию (предоставляется после приобретения лицензии);
• Доменное имя сервера, по которому SECURITM будет доступен в локальной инфраструктуре (при необходимости).

• .env – файл с переменными окружения;
• docker-compose.yaml – файл, содержащий инструкции, необходимые для запуска и настройки сервисов;
• certs – директория для размещения SSL сертификата для сайта, или/и корневых сертификатов локального удостоверяющего центра (при необходимости). По умолчанию генерируется самоподписанный сертификат;
• php – директория для размещения файлов конфигурации PHP с собственными настройками (при необходимости).

Установка собственного SSL сертификата

• server.crt – сертификат для вашего сервера;
• server.key – закрытый ключ RSA для вашего сервера.

cd /opt/securitm
sudo docker compose restart nginx
(либо sudo docker-compose restart nginx)

Установка корневых сертификатов собственного удостоверяющего центра (УЦ)

sudo mkdir /opt/securitm/certs/ca
sudo cp /your/ca/path/*.crt /opt/securitm/certs/ca/

cd /opt/securitm
sudo docker compose restart app
(либо sudo docker-compose restart app)

Собственные настройки PHP и PHP-FPM

• php.ini – настройки PHP;
• php-fpm.conf – настройки PHP-FPM.

cd /opt/securitm
sudo docker compose restart app
(либо sudo docker-compose restart app)

Список всех ключей скрипта securitm.sh

-m mode

-p path

-y

-g custom-git-url

-d custom-registry

-s subnet

-c no|yes

-n

Приложение готово к работе 🎉

Первичная настройка приложения

1. Откройте в браузере веб-интерфейс приложения по доменному имени сервера.
2. Действуйте в соответствии с Мастером установки
   1. Укажите электронную почту и пароль глобального администратора приложения.
      Примечание: после установки приложения электронную почту глобального администратора можно поменять в глобальных настройках.
   2. Укажите название и URL приложения, соответствующий доменному имени сервера.
   3. Настройте подключение к электронной почте.
      Для серверов Exchange подключение настраивается по порту 587, для иных почтовых серверов по 25 или 2525.
   4. Укажите название для общей команды (тенанта).
      Примечание: именно на эту команду будет активирована лицензия.
   5. Активируйте лицензию.
   6. Обновите код и базу данных приложения, для этого необходимо:
      - указать логин/пароль для подключения к репозиторию и сохранить настройки;
      - проверить подключение и Обновить код приложения;
      - проверить подключение и Обновить базу данных.
      Примечание: обновление базы данных может занимать до 10 минут.
   7. Настройте интеграцию с Active Directory (не обязательно):
      - Поле Имя почтового домена нужно, если учетная запись пользователя в домене отличается от его почтового адреса и поля userPrincipalName;
      - В поле Команда для новых пользователей нужно указать название созданной команды (например, MyCorp);
      - Проверьте подключение и запустите Синхронизацию пользователей.
   8. Настройте импорт активов с Active Directory (не обязательно).
      Инструкция: https://service.securitm.ru/help/integrations#active-directory 
   9. Настройте интеграцию с Kaspersky (не обязательно).
   10. Настройте интеграцию с Zabbix (не обязательно).

Обновление

sudo bash -c "$(curl -sSL [URL])"

Переустановка приложения

wget securitm.sh
chmod +x securitm.sh

./securitm.sh -m reinstall

Полезные команды Docker (не нужны при эксплуатации системы, приведены для справки)

# Переход в каталог с контейнерами приложения
cd /opt/securitm/

# Переход в контекст суперпользователя (root)
sudo -s

# Загрузка новых версий образов
docker compose pull

# (Пере)Запуск приложения после загрузки новых версий образов
docker compose up -d

# Просмотр событий в контейнере приложения
docker compose logs -f app

# Старт/стоп/перезапуск контейнера приложения
docker compose start/stop/restart app

# Зайти в контейнер приложения
docker compose exec --user www-data app bash

# Отключение/удаление контейнеров
docker compose down

docker stop $(docker ps -a -q) # остановка всех контейнеров
docker rm $(docker ps -a -q) # удаление всех контейнеров
#docker volume rm securitm_app-data securitm_app-src securitm_db-data securitm_nginx-data securitm_pg-data # удаление всех хранилищ
docker stats --no-stream # нагрузка на контейнеры

securitm.sh -m backup

/opt/securitm/backup/DATE-ISO

securitm.sh -m backup -y

securitm.sh -m backupdontstop [-y]

securitm.sh -m backup -p /my/backup/path [-y]
securitm.sh -m backupdontstop -p /my/backup/path [-y]

securitm.sh -m backup -p /my/backup/path -y
rm -rf $(ls -d1t /my/backup/path/*/ | tail -n +11)

• MySQL версии 8 (гарантировано работает на 8.0 и 8.4 LTS);
• 4 CPU;
• 8 Гб RAM;
• 80 Гб NVMe/SSD в разделе для хранения баз данных.

mysql -u root [-p] 

CREATE DATABASE securitm;
CREATE USER 'securitm'@'%' IDENTIFIED WITH mysql_native_password BY 'my-strong-password-here';
GRANT ALL PRIVILEGES ON securitm.* TO 'securitm'@'%';
GRANT ALL PRIVILEGES ON 'securitm_backup_%'.* TO 'securitm'@'%';
FLUSH PRIVILEGES;

mkdir -p ~/securitm
cd ~/securitm/
wget -O securitm.sh https://[URL]/securitm.sh
chmod +x securitm.sh

./securitm.sh -m backup

---------------------------
DB and/or APP backups are here:
/opt/securitm/backup/2024-09-04T23:02:49+03:00/
total 52K
-rw-r--r-- 1 root root 877 Sep  4 23:02 appbackup.tar.gz
-rw-r--r-- 1 root root 45K Sep  4 23:02 mysqldump.sql.gz
---------------------------

cd /opt/securitm/
sudo docker compose stop

scp /opt/securitm/backup/2024-09-04T23:02:49+03:00/mysqldump.sql.gz <user>@<host>:~/

cd ~/
ls -la

{
echo 'SET @OLD_AUTOCOMMIT=@@AUTOCOMMIT, AUTOCOMMIT=0;'
echo 'SET @OLD_UNIQUE_CHECKS=@@UNIQUE_CHECKS, UNIQUE_CHECKS=0;'
echo 'SET @OLD_FOREIGN_KEY_CHECKS=@@FOREIGN_KEY_CHECKS, FOREIGN_KEY_CHECKS=0;'
gunzip -c mysqldump.sql.gz
echo 'SET FOREIGN_KEY_CHECKS=@OLD_FOREIGN_KEY_CHECKS;'
echo 'SET UNIQUE_CHECKS=@OLD_UNIQUE_CHECKS;'
echo 'SET AUTOCOMMIT=@OLD_AUTOCOMMIT;'
echo 'COMMIT;'
} | mysql -u <USER> -p<PASSWORD> <DATABASE>

sudo nano /opt/securitm/docker-compose.override.yaml

services:
  app:
    environment:
      - LARA_DB_HOST=<HOST>
      - LARA_DB_DATABASE=<DATABASE>
      - LARA_DB_USERNAME=<USER>
      - 'LARA_DB_PASSWORD=<PASSWORD>'
  db:
    profiles: ['manual']

sudo rm /var/lib/docker/volumes/securitm_app-src/_data/bootstrap/cache/config.php

cd /opt/securitm/
sudo docker compose up -d

Установка Helm (при необходимости)

sudo apt -y install git curl
curl https://raw.githubusercontent.com/helm/helm/main/scripts/get-helm-3 | bash

# Бэкапим текущий файл настроек при его наличии
[ -f ~/.kube/config ] && cp ~/.kube/config ~/.kube/config.$(date +%s)
 
# Настраиваем
kubectl config view --raw > ~/.kube/config

Установка ingress-nginx (при необходимости)

helm upgrade ingress-nginx ingress-nginx 
--repo https://kubernetes.github.io/ingress-nginx 
--install --namespace ingress-nginx --create-namespace

Загрузка чарта securitm, подготовка файла конфигурации

# Создадим директорию и перейдем в нее
mkdir -p ~/charts/ && cd ~/charts/
 
# Загрузим и распакуем чарт securitm
curl -o securitm-chart.tgz https://[kubernetes_install_url]/charts/securitm-chart.tgz
tar xzf securitm-chart.tgz
 
# Загрузим пример файла конфигурации
curl -o values-override-example.yaml https://[kubernetes_install_url]/charts/values-override-example.yaml
cp values-override-example.yaml values-override.yaml

Редактируем файл с настройками

• global:
  Глобальные настройки.
• app:
  Основное приложение SECURITM.
• ui:
  Настройки Ingress-Nginx.
• db:
  БД MySQL
• pg:
  БД PostgreSQL
• redis:
  БД Redis
• web:
  Веб-сервер

global:
  domain: securitm.domain.local
  timezone: Europe/Moscow

app:
  GIT_USER: [username]
  GIT_PASSWORD: [P@ssw0rd]
  
  # Example: http://proxy.domain.local:3128
  PROXY:
  # Example: 10.0.0.0/8,192.168.0.0/16,.domain.local
  NO_PROXY:

cat server.crt | base64
cat server.key | base64

ui:
  certificate:
    tls.crt: |
      base64string1
      base64string2
      base64string...
      base64stringN
    tls.key: |
      base64string1
      base64string2
      base64string...
      base64stringN

db:
  storage:
    data:
      size: 50Gi
      ClassName: local-path
 
  resources:
    requests:
      cpu: "2"
      memory: 4Gi
    limits:
      cpu: "16"
      memory: 32Gi

Установка чарта, запуск SECURITM

helm upgrade securitm securitm 
--install --namespace=securitm --create-namespace 
--values values-override.yaml

Полезные команды

kubectl -n securitm get secrets/securitm-dbpwd --template='{{ index .data "db-password" | base64decode }}{{ "
" }}'