Информация | ||
---|---|---|
| ||
с подключенным расширеннымкомпонентом astra-ce расширенного (extended) репозиториемрепозитория |
Аннотация
В данной статье представлена инструкция по установке связки Foreman-Puppet-Ansible. Для успешной установки требуется подключение расширенного репозитория. серверов и реплик контроллера домена FreeIPA в связке с центром сертификации DogTag. Для успешного запуска центра сертификации DogTag требуется установка OpenJDK из компонента astra-ce расширенного репозитория Astra Linux Special Edition x.7. Отдельно про установку OpenJDK см. Расширенный репозиторий Astra Linux Special Edition x.7: установка и развертывание OpenJDK.
Предупреждение | ||
---|---|---|
| ||
Программное обеспечение расширенного репозитория является сторонним по отношению к Astra Linux, не дорабатывается с точки зрения выполнения требований по безопасности информации и не проверяется при сертификации. При использовании программного обеспечения расширенного репозитория рекомендуется для дополнительной изоляции процессов осуществлять их запуск в изолированной программной среде (контейнере). При использовании для этих целей Docker-контейнеров их запуск целесообразно осуществлять от имени непривилегированного пользователя в rootless-режиме, а при включенном мандатном контроле целостности (МКЦ) с применением технологии запуска контейнеров на пониженном или выделенном уровне МКЦ. Подробнее см. Руководство по КСЗ в составе эксплуатационной документации используемого обновления. |
Предупреждение |
---|
Установка FreeIPA в связке с центром сертификации DogTag должна выполняться из компонента astra-ce расширенного репозитория. Подробнее про структуру и использование репозиториев см. Репозитории Astra Linux Special Edition x.7: структура, особенности подключения и использования. |
Что такое
Foreman, Puppet, AnsibleDogTag
Раскрыть |
---|
Общая информацияForemanPuppetPuppet — кроссплатформенное распределенное клиент-серверное приложение, позволяющее централизованно управлять конфигурацией операционных систем и программ, установленных на удаленных компьютерах, использующих практически любую операционную систему. На компьютеры, управляемые с помощью Puppet, устанавливается специальное ПО - агент Puppet. Агент Puppet периодически опрашивают сервер Puppet, получает и применяет централизованно внесенные администратором изменения в конфигурацию. Конфигурация описывается на специальном декларативном предметно-ориентированном языке. Система управления конфигурациями AnsibleAnsible — система управления конфигурациями, написанная на языке программирования Python, с использованием декларативного языка разметки для описания конфигураций. Используется для автоматизации настройки и развертывания программного обеспечения. В концепции Ansible администратор создает определенные сценарии («плейбуки») (англ. playbook, play — игра, пьеса, book — книга) в формате YAML с описанием требуемых состояний управляемых систем. Каждый «плейбук» — это описание состояния ресурсов системы, в котором она должна находиться в конкретный момент времени, включая установленные пакеты, запущенные службы, созданные файлы и многое другое. Сервер Ansible проверяет, что каждый из ресурсов системы находится в ожидаемом состоянии и пытается исправить состояние ресурса, если оно не соответствует ожидаемому. При этом сценарии обладают свойством идеипотентности: повторное выполнение сценариев не изменяет результат первого выполнения. Для выполнения задач используется система модулей. Модуль - небольшая программа, выполняющая на управляемой машине определенное действие (действия). Каждая задача представляет собой имя задачи, используемый модуль и список параметров, характеризующих задачу. Система Ansible поддерживает переменные, фильтры обработки переменных (поддержка осуществляется библиотекой Jinja2), условное выполнение задач, параллельное выполнение, шаблоны файлов. Адреса и настройки целевых систем содержатся в файлах «инвентаря» (inventory). Поддерживается группирование. Для реализации набора сходных задач существует система ролей. В отличие от системы управления конфигурациями Puppet система Ansible не требует установки на управляемые компьютеры каких-либо агентов, а подключение к управляемым машинам осуществляется через службу SSH. Подробнее см. Система управления конфигурациями Ansible Оригинальная документацияОригинальная документация ForemanОригинальная документация Foreman доступна по ссылкам:
Оригинальная документация PuppetЦентр сертификации DogTag представляет собой систему управления сертификатами корпоративного класса, обеспечивающую управление полным жизненным циклов сертификатов. Под термином "сертификат" подразумевается сертификат публичного (открытого) ключа, использующий цифровую подпись центра сертификации для аутентификации (удостоверяющий сертификат). Сертификаты являются текстовыми файлами и могут содержать такую информацию, как имена лиц или названия организаций, адреса и т.д. Сертификаты используются для того, чтобы удостовериться в принадлежности открытого ключа субъекту. Центр сертификации DogTag интегрирован со службами FreeIPA, и поддерживает следующие возможности работы с сертификатами:
При работе с Контроллер ЕПП FreeIPA в Astra Linux в автоматическом режиме обеспечивается выпуск и обновление сертификатов серверов FreeIPA. Оригинальная документация DogTagОригинальная документация DogTag Оригинальная документация Puppet доступна по ссылке: https://puppetgithub.com/docs/ Оригинальная документация AnsibleОригинальная документация Ansible доступна по ссылке: https://docs.ansible.com/dogtagpki/pki/wiki. |
Установка пакетов
- Подключить репозитории:
- основной репозиторий и актуальное оперативное обновление основного репозитория
- актуальное оперативное обновление базового репозитория;
- актуальное оперативное обновление расширенного репозитория, включая компонент astra-ce
Обновить список кеш пакетов:
Command sudo apt update Опционально: установить актуальное обновление:
Command sudo apt dist-upgrade Установить пакеты
Для установки первичного сервер FreeIPA:
Command sudo apt install astra-freeipa-server dogtag-pki Для установки серверов-реплик FreeIPA:
Command sudo apt install astra-freeipa-server astra-freeipa-client dogtag-pki
- Дальнейшую настройку выполнять в соответствии с инструкциями Контроллер ЕПП FreeIPA в Astra Linux (варианты установки с центром сертификации DogTag).
Для подключения центра сертификации к ранее установленному серверу (реплике) FreeIPA см. FreeIPA: Подключение центра сертификации DogTag в Astra Linux Special Edition 1.6