Перейти к содержанию

Установка Диска VK WorkSpace 26.3 на одну машину

Назначение документа

В документе описана процедура установки Диска VK WorkSpace в минимальной рабочей конфигурации на одну виртуальную машину. Под продуктивной установкой подразумевается установка Диска на сервера клиента и настройка компонентов для последующего использования сотрудниками.

Требования к администраторам

  • Знание Linux на уровне системного администратора.
  • Знание основ работы Систем управления базами данных (СУБД).
  • Знание основ работы служб каталогов (Directory Service).
  • Понимание основ контейнеризации.
  • Знание основ работы сетей и сетевых протоколов.
  • Знание основных инструментов для работы в командной строке: bash, awk, sed.

Дополнительная документация

Что делать, если при входе в панель администратора появляется ошибка «Неверный пароль»

Как обновить лицензионный ключ

Настройка интеграции с Active Directory

Технические требования

Перед установкой убедитесь, что инфраструктура соответствует требованиям к инфраструктуре Диска VK WorkSpace. Там описаны поддерживаемые операционные системы, требования к CPU, виртуализации, дискам и сети, протоколы и порты, DNS-записи, SSL-сертификаты, настройки ОС, SELinux, антивирус и синхронизация времени, а также то, что нужно подготовить до начала установки.

Требования к ресурсам сервера

По вопросам создания сайзинг-модели обращайтесь к сотрудникам или партнерам компании VK. Продуктивная версия устанавливается на один сервер со следующей конфигурацией:

  • 32 vCPU;
  • 96 GB RAM;
  • 1000 GB SSD;
  • HDD для вложений, объем рассчитывается на основании сайзинга.

Рекомендация

Используйте процессоры Intel Xeon Gold 6140 и новее.

Этапы установки

Весь процесс установки можно разделить на два этапа:

  1. В командной строке на сервере выполняются действия для запуска установщика.
  2. Последующая установка производится в специальном веб-интерфейсе.

Действия в командной строке на сервере

Шаг 1. Создайте пользователя deployer

  1. В командной строке выполните последовательность команд:

    sudo -i

# Задаем пароль и создаем пользователя deployer
DEPLOYER_PASSWORD=PASSWORD

useradd -G astra-admin -U -m -s /bin/bash deployer

echo deployer:"$DEPLOYER_PASSWORD" | chpasswd

# Игнорируем ошибку "НЕУДАЧНЫЙ ПАРОЛЬ: error loading dictionary"
# в случае, если она появилась

# Перелогиниваемся под пользователем deployer
sudo -i -u deployer 

ssh-keygen -t rsa -N "" 
# Нажимаем Enter (согласиться с вариантом по умолчанию)

# Копируем ssh-ключ в нужную директорию
cat /home/deployer/.ssh/id_rsa.pub >> /home/deployer/.ssh/authorized_keys

chmod 600 /home/deployer/.ssh/authorized_keys

# Опционально: проверяем, что сами к себе можем зайти без пароля
ssh deployer@localhost

exit

    sudo -i

# Задаем пароль и создаем пользователя deployer
DEPLOYER_PASSWORD=PASSWORD

useradd -G wheel -U -m -s /bin/bash deployer

echo deployer:"$DEPLOYER_PASSWORD" | chpasswd

# Перелогиниваемся под пользователя deployer
sudo -i -u deployer 

ssh-keygen -t rsa -N "" 
# Нажимаем Enter (согласиться с вариантом по умолчанию)

# Копируем ssh-ключ в нужную директорию
cat /home/deployer/.ssh/id_rsa.pub >> /home/deployer/.ssh/authorized_keys

chmod 600 /home/deployer/.ssh/authorized_keys

# Опционально: проверяем, что сами к себе можем зайти без пароля
ssh deployer@localhost

exit

    Внимание

    Вся дальнейшая установка будет производиться под созданным пользователем deployer. Если вы планируете устанавливать под другим пользователем, это необходимо учитывать при дальнейшей установке. Также пользователь должен иметь права администратора.

  2. Выполните команду sudo visudo.

  3. В файле /etc/sudoers уберите # в начале следующей строки:

    # %astra-admin       ALL=(ALL)       NOPASSWD: ALL

    # %wheel        ALL=(ALL)       NOPASSWD: ALL

  4. Выйдите из Vim c сохранением файла.

То же самое можно сделать с помощью редактора nano:

sudo EDITOR=nano visudo
# Находим нужную строку, удаляем # в ее начале
# Выходим из nano c сохранением изменений

Шаг 2. Распакуйте дистрибутив

Примечание

Перед распаковкой убедитесь, что архив скачался без повреждений. Как это сделать, описано в разделе Как проверить целостность скачанного дистрибутива?.

  1. Распакуйте дистрибутив под пользователя deployer (в директорию /home/deployer). Вы можете распаковать архив с дистрибутивом и в другую папку или создать подпапку. Нет разницы, каким архиватором пользоваться. Ниже приведен пример для unzip:

    # Если на машину не установлен unzip, скачиваем его:
sudo apt-get install unzip

export UNZIP_DISABLE_ZIPBOMB_DETECTION=true

unzip -o <имя_архива>

    # Если на машину не установлен unzip, скачиваем его:
sudo yum install unzip

# Если в вашей версии РЕД ОС нет yum, то используйте dnf

export UNZIP_DISABLE_ZIPBOMB_DETECTION=true

unzip -o <имя_архива>

  2. Если при создании пользователя вы следовали инструкциям из Шага 1, то вам не нужно создавать директорию `/home/deployer', она уже создана.

    mkdir -p /home/deployer
cd /home/deployer

  3. Распакуйте основной архив deployer.tar:

    tar -xf deployer.tar

  4. Создайте директорию для статики и распакуйте архив:

    tar -xf static.tar.gz

  5. Подготовьте Docker-репозиторий

    cp registry/mail/dockerRepo.tar source/

  6. Скопируйте файлы md5:

    cp registry/mail/dockerRepo.md5 source/

Шаг 3. Проверьте инфраструктуру с помощью InfraKit

Внимание

Начиная с релиза 26.2 проверки машин стали обязательными. Установщик при запуске из веб-интерфейса использует InfraKit для выполнения этих проверок. Рекомендуется запустить проверку вручную до начала установки, чтобы заранее выявить проблемы с оборудованием, настройками ОС и сетью.

InfraKit входит в состав дистрибутива. Отдельно скачивать его не нужно. После распаковки дистрибутива на сервере, где будет запускаться установщик, файлы InfraKit расположены по следующим путям:

  • Запускаемый файл: /home/deployer/configs/infrakit/infrakit-bin
  • Файл конфигурации: /home/deployer/configs/infrakit/project-spec.yaml

Чтобы запустить проверку:

  1. Откройте файл /home/deployer/configs/infrakit/project-spec.yaml и настройте параметры подключения к серверам в секции hosts в простом или расширенном формате. Подробнее смотрите в разделе Форматы описания хостов.

  2. Выполните команду на сервере с распакованным дистрибутивом, заменив  на внешний IP-адрес этого сервера:

    /home/deployer/configs/infrakit/infrakit-bin --project-specific /home/deployer/configs/infrakit/project-spec.yaml --infrakit.bind 0.0.0.0:5555 --infrakit.url <IP_адрес_сервера>

  3. После завершения проверок отчёт выводится в консоль. В нём указан статус каждой проверки и описание ошибок при их возникновении.

InfraKit проводит следующие проверки:

Название проверки Что проверяется
Проверка ОС Дистрибутив, версия ядра и параметры ядра
Проверка CPU Архитектура, количество ядер, частота, наличие обязательных инструкций
Проверка памяти Общий объём и характеристики оперативной памяти
Проверка гипертрейдинга Состояние Hyper-Threading на процессоре
Проверка виртуализации Тип виртуализации (KVM, VMware и др.)
Проверка SSH доступа Возможность входа по SSH-ключу
Проверка sudo без пароля Возможность выполнения команд sudo без ввода пароля
Проверка SELinux Статус SELinux (включён/выключён)
Проверка места на диске Размеры и параметры файловых систем
Проверка IOPS Производительность дисковой подсистемы
Проверка портов Доступность и состояние обязательных портов
Проверка DNS DNS-серверы и записи
Проверка tuned Активный профиль tuned
Проверка swap Наличие и состояние swap

Дополнительная информация о работе с InfraKit и расшифровке его отчетов представлена в разделе Проверки инфраструктуры.

Шаг 4. Разрешите Port Forwarding

Для корректной работы установщика в настройках SSH должен быть разрешен TCP Forwarding. Чтобы изменить настройку TCP Forwarding, нужно в файле /etc/ssh/sshd_config установить следующее значение:

AllowTcpForwarding yes

Шаг 5. Запустите установщик как сервис

Установщик onpremise-deployer_linux рекомендуется запускать как сервис. При таком запуске не придется прибегать к дополнительным мерам (screen, tmux, nohup), позволяющим установщику продолжить работу в случае потери соединения по SSH.

Важно

Для подключение администратора к веб-интерфейсу установщика используется порт 8888. Рекомендуется настроить защиту порта через firewall либо наложенными средствами (TLS-proxy).

Не рекомендуется оставлять установщик включенным, если вы не проводите работы по установке и настройке системы. Запустили установщик → Провели установку → Выключили установщик. Если нужна донастройка системы, то снова включите установщик.

Чтобы запустить установщик как сервис, выполните команду (подходит для Astra Linux и РЕД ОС):

sudo ./onpremise-deployer_linux -concurInstallLimit 5  \
  -serviceEnable -serviceMake -serviceUser deployer

По умолчанию выставлен лимит в 5 потоков, при необходимости вы можете увеличить количество потоков до 10, однако это увеличит и нагрузку на систему. Использование более чем 10 потоков не рекомендуется.

Ответ в случае успешного запуска установщика выглядит следующим образом:

deployer.service was added/updates
see status: <systemctl status deployer.service>
can`t restart rsyslog services: [exit status 5]
OUT: Failed to restart rsyslog.service: Unit rsyslog.service not found.
deployer.service was enable and started
see status: <systemctl status deployer.service>

deployer.service was added/updates
see status: <systemctl status deployer.service>
can`t restart rsyslog services: [exit status 5]
OUT: Failed to restart rsyslog.service: Unit rsyslog.service not found.
deployer.service was enable and started
see status: <systemctl status deployer.service>

Примечание

Невозможность включения службы rsyslog не повлияет на корректность работы сервиса.

Если веб-интерфейс не открывается по адресу http://server-ip-address:8888, то проверьте журналы:

journalctl -u deployer

И убедитесь, что порт 8888 слушают:

ss -lanp|grep :8888

Действия в веб-интерфейсе установщика

  1. Перейдите в веб-интерфейс установщика, в адресной строке браузера укажите адрес: http://server-ip-address:8888. Если перейти по этому адресу не удается, убедитесь, что firewall был отключен.

  2. На стартовой странице нажмите на кнопку Установить.

    выбор версии

Шаг 1. Добавьте лицензионный ключ

  1. Введите лицензионный ключ или укажите путь к файлу лицензии .lic.

    лицензия

  2. Нажмите кнопку Сохранить.

  3. Нажмите на кнопку Далее.

Информацию о том, как обновить лицензионный ключ или проверить сроки действия лицензий по продуктам VK WorkSpace, вы сможете найти в разделе с дополнительной документаци.

Шаг 2. Выберите продукты и компоненты

  1. Включите флаги Диск VK WorkSpace.
  2. Нажмите на кнопку Далее.

  3. Включите нужные вам компоненты в разделе Администрирование.

    Внимание

    Для инсталляций до 100000 пользователей необходимо включить облегченную версию аудита на PostgreSQL. По умолчанию в Почте включен продукт Система аудита действий пользователя на основе ScyllaDB, она предназначена для инсталляций, где пользователей больше 100000.

    Продукт Описание
    Аутентификация v26.2.0 Обязательный продукт. Настройка способов входа и защиты аккаунтов
    Аутентификация v26.2.0. Единый вход (SSO) Вход в систему через внешний сервис идентификации (IdP)
    Аутентификация v26.2.0. Вход через Kerberos Вход через Kerberos для пользователей корпоративной сети
    Вход через Kerberos. Blitz (внешний) Beta
    Вход через Kerberos. Keycloak (внутри инсталляции) v17.0.1
    Вход через Kerberos. Keycloak (внешний)
    Аутентификация v26.2.0. Двухфакторная аутентификация Дополнительная проверка личности при входе
    Двухфакторная аутентификация. Коды подтверждения в VK WorkSpace Получение кодов подтверждения в VK WorkSpace при входе в систему
    Аудит действий пользователя Сервисы записи и чтения действий пользователей, хранилище действий пользователей (ScyllaDB)
    Аудит действий пользователя. Дублирование действий пользователей во внешние хранилища Нужно, чтобы хранить историю операций пользователей отдельно от почтовой системы
    Система BI-аналитики Beta
    Система BI-аналитики. Kafka внутри инсталляции 16 GB RAM, 8 vCPU
    Консолидация серверов Tarantool Переключает тарантулы выбранных групп на консолидированные
    Базы Данных Включение обратной совместимости с версиями VK WorkSpace для определенных сервисов, ранее поддерживающих только работу с MySQL.
    Базы Данных. Использовать MySQL
    Инструменты разработки Включает дополнительные сервисы для тестирования системы, например, генерирование аккаунтов
    Поддержка Российских криптографических стандартов (ГОСТ TLS) Beta. Позволяет VK WorkSpace работать с российскими криптографическими стандартами: ГОСТ Р 34.12-2015 (шифрование) и ГОСТ Р 34.10-2012 (электронные подписи). Это необходимо для обеспечения безопасного соединения
    Система групповых политик Beta
    Система групповых политик. Kafka внутри инсталляции 16 GB RAM, 8 vCPU
    Встроенное хранилище образов контейнеров Хранения образов контейнеров почтовой системы внутри вашей инфраструктуры
    VK Kubernetes Beta. Возможность развертывания в среде контейнеризации Kubernetes
    Резервное копирование (бэкап) Средства резервного копирования данных диска, почты, календарей, профилей пользователей и адресных книг
    Мониторинг Набор сервисов, обеспечивающих хранение метрик сервисов в базе данных Prometheus и визуализацию данных с помощью Grafana
    Мониторинг. Экспортер метрик из Victoria Metrics в Zabbix Сервис, обеспечивающий отправку данных из Victoria Metrics и Node Exporter в Zabbix
    Сбор и отправка метрик Сборщики и трансляторы Graphite и Prometheus-метрик
    Прогноз и контроль объёма почтового хранилища Beta. Мониторинг заполнения хранилища почты
    Интеграция с редактором «МойОфис» по протоколу WOPI
    Отменить проверку контейнеров OneDB после запуска
    Редактор «Р7-Офис» внутри инсталляции Позволяет использовать встроенный в VK WorkSpace редактор «Р7-Офис». Требует дополнительных ресурсов системы
    Интеграция с редактором «Р7-Офис» по протоколу WOPI
    Аудит действий пользователя (облегчённая версия) Сервисы записи и чтения действий пользователей, хранилище действий пользователей (PostgreSQL)
    Аудит действий пользователя (облегчённая версия). Дублирование действий пользователей во внешние хранилища Нужно, чтобы хранить историю операций пользователей отдельно от почтовой системы
    Ядро объектного хранилища S3 Обязательный продукт. Сервисы, обеспечивающие хранение любых неструктурированных данных по протоколу S3
    Ядро объектного хранилища S3. Ядро распределённого файлового хранилища Обязательный продукт. Отвечает за логику распределения данных по узлам, целостность и отказоустойчивость хранилища
    Ядро объектного хранилища S3. Внешний S3 как хранилище для Почты и Диска Позволяет хранить письма, вложения писем, поисковые сниппеты и файлы Диска во внешнем S3-хранилище вместо встроенного. Часть хранилищ метаданных при этом остаётся внутри инсталляции. Включить продукт можно только при первичной установке, отключить его после включения нельзя. Подробнее: Как подключить внешний S3 как хранилище для Почты и Диска
    Интеграция почты с мессенджером VK WorkSpace

    Примечание

    Есть компоненты, настройка которых производится в административной панели (biz.<почтовый домен>), но включить их нужно при установке. Например, Система расширенных транспортных правил и Система миграции Диска VK WorkSpace из внешних сервисов.

  4. Включите продукты VK Kubernetes и Логирование. Логирование позволяет сохранять историю логов пода, но потребуется больше дискового пространства.

    добавить новый ключ

  5. Нажмите на кнопку Далее.

  6. Включите нужные вам компоненты в разделе Диск.

    Продукт Описание
    Система миграции Диска VK WorkSpace из внешних сервисов Beta. После включения опции появится возможность мигрировать в VK WorkSpace файлы из Microsoft OneDrive, Google Drive, NextCloud
    Система проверки файлов Диска через DLP Beta. Настройки дополнительной проверки файлов Диска с помощью внешней DLP-системы для повышения уровня безопасности
    Интеграция с антивирусом по протоколу ICAP Дает возможность интегрировать сторонние антивирусные системы с VK WorkSpace

  7. Нажмите на кнопку Далее.

Шаг 3. Добавьте гипервизоры (серверы)

Как заполнять поле Приватный ключ?

  1. В поле Приватный ключ выберите Добавить новый ключ.

    добавить новый ключ

  2. В поле Имя ключа введите название ключа для его дальнейшей идентификации, например: deployerRSA.

  3. Перейдите в консоль.
  4. Выполните команду cat ~/.ssh/id_rsa и скопируйте ключ.

  5. Затем вставьте его в поле Приватный ключ. Его нужно указать полностью, включая:

    -----BEGIN RSA PRIVATE KEY----- и -----END RSA PRIVATE KEY-----

  6. Поле Пароль ключа оставьте пустым.

  7. Кликните по кнопке Добавить.

  8. Новый ключ должен отобразится в панели справа.

    добавить новый ключ

  9. Нажмите Закрыть.

  1. Переключитесь на вкладку Ручная настройка.

  2. Нажмите на кнопку Добавить.

  3. Заполните поля:

    • IP-адрес — адрес машины, на которую производится установка.

    • Имя сервера — укажите имя сервера (гипервизора) или оставьте поле пустым. В случае если вы оставите поле незаполненным, имя гипервизора будет взято из hostname -s и добавится автоматически. В документации будет использовано имя hypervisor1.

    • Имя пользователя — укажите имя того пользователя, под которым запущен установщик. В рассматриваемом примере это пользователь deployer.

  4. Заполните поле Метки:

    1. Напротив server, в выпадающем меню выберите опцию control-plane.
    2. Напротив DC укажите любое название дата-центра.
    3. Напротив project выберите опцию mail.
    4. В поле type выберите опции: monitoring, registry, storage, database и frontend.

  5. Оставьте чекбокс Сервер во внешней (dmz) зоне пустым.

  6. После заполнения полей нажмите на кнопку Добавить сервер — гипервизор отобразится в веб-интерфейсе установщика.

    Примечание

    При добавлении сервера реализована проверка на наличие команд tar, scp и необходимых инструкций виртуализации на процессорах. Если при проверке они не будут найдены, то сервер не будет добавлен, а администратор получит сообщение об ошибке.

  7. Нажмите кнопку Далее для перехода к следующему шагу.

Шаг 4. Проверьте серверы на соответствие требованиям

В открывшемся окне нажмите Запустить проверки. Будут выполнены следующие проверки:

  • Проверка ОС, дистрибутива и параметры ядра.
  • Проверка архитектуры CPU, количества ядер и обязательных фич.
  • Проверка общего объема и характеристик оперативной памяти.
  • Проверка размеров и параметров файловых систем.
  • Проверка производительности дисковой подсистемы по IOPS.
  • Проверка доступности и состояния обязательных портов.
  • Проверка DNS-серверов и записей.
  • Проверка активного tuned профиля.
  • Проверка наличия и состояния swap.

Примечание

Если проверка активного tuned профиля завершилась с ошибкой, отключите tuned на сервере — для этого выполните команду:

sudo tuned-adm off

После внесения изменений запустите проверки повторно.

После успешного выполнения всех проверок нажмите Далее.

Шаг 5. Настройте кластер Kubernetes

Чтобы настроить Kubernetes кластер перейдите в раздел Настройки -> Kubernetes. Или по адресу http://server-ip-address:8888/config/main/k8s/commonTab, если оно не откроется автоматически.

В разделе Общие настройки укажите:

  • Режим маршрутизации: VXLAN.
  • Namespace по умолчанию — пространство имен, в котором будут работать сервисы Диска.
  • Домен в кластере K8s.
  • Использовать WG — установщик самостоятельно установит и настроит WireGuard на серверах на шаге enable_hybrid_bgp.
  • Tunnel CIDR — диапазон адресов для интерфейсов WireGuard или tunl0.
  • Версия Kubernetes.

общие настройки Kubernetes

Заполните поля в разделе Настройки кластеров. Пример заполнения полей для трех кластеров:

настройки кластеров Kubernetes

Шаг 6. Доменные имена

Подробную информацию о создании доменных имен вы найдете в разделе DNS-записи.

На вкладке Доменные имена необходимо заполнить все поля:

  • Название вашей компании — введите название компании, которое будет отображаться в интерфейсе Диска.
  • Сайт вашей компании — укажите сайт вашей компании.
  • Основной домен для сервисов — в поле необходимо указать ранее созданный Основной домен для Диска.
  • Домен для облачных хранилищ — в поле введите ранее созданный Домен для облачных хранилищ.

Внимание

Для доменных имен нельзя использовать etc/hosts.

Когда все поля будут заполнены, нажмите на кнопку Сохранить для перехода к следующему шагу.

доменные имена

После сохранения доменных имен появятся ошибки. Они пропадут после добавления SSL-сертификатов на следующем шаге.

Добавление SSL-сертификатов

  1. Нажмите на кнопку Добавить сертификат под заголовком SSL-сертификаты.

  2. В открывшейся форме введите сертификат и ключ. Их необходимо указать полностью, включая:

    -----BEGIN CERTIFICATE----- и -----END CERTIFICATE-----
    и
    -----BEGIN PRIVATE KEY----- и -----END PRIVATE KEY-----.

  3. Кликните по кнопке Сохранить.

    сохранение сертификата

Есть второй вариант:

  1. Нажмите на кнопку Выбрать файл.
  2. Укажите путь к файлу с сертификатом .crt.
  3. Укажите путь к файлу с ключом .key.
  4. Кликните по кнопке Сохранить.

Примечание

Приватный ключ должен быть добавлен в открытом виде, без секретной фразы. Закодированный ключ отличается от открытого наличием слова ENCRYPTED: BEGIN ENCRYPTED PRIVATE KEY.

Если всё верно, в интерфейсе не будет отображаться ошибок и красной подсветки. Нажмите на зеленую кнопку Далее.

Шаг 7. Запуск установки гипервизора

  1. Нажмите на логотип в левом верхнем углу веб-интерфейса, чтобы перейти к общей строке состояния.

  2. Кликните по кнопке Play (треугольник) рядом с общей строкой состояния в верхней части экрана.

    запуск установки гипервизора

  3. Подтвердите запуск автоматической установки, нажав на кнопку Запустить. Перед запуском автоматической установки оставьте включенными все проверки. Подробнее о работе проверок можно прочитать здесь: Диагностика системы в веб-интерфейсе установщика

    запуск всего

  4. Дождитесь завершения установки гипервизора. Пока процесс идет, рядом со строкой состояния будет отображаться красная кнопка Stop.

    stop

В процессе установки и настройки системы происходят изменения конфигурации. Виртуальная машина может перезагрузиться, и потребуется повторный запуск автоматической установки.

Для повторного запуска нажмите на кнопку Play в верхней общей строке состояния или рядом с названием гипервизора.

Шаг 8. Добавьте хранилище секретов

В релизе 26.3 секреты из main.yaml хранятся в vault — специализированном хранилище секретов от HashiCorp. Это хранилище типа «ключ-значение», данные в котором хранятся в зашифрованном виде. Для отказоустойчивости несколько инстансов vault объединяются в кластер по алгоритму распределенного консенсуса (RAFT).

Для начала работы с хранилищем его необходимо инициализировать: при инициализации указывается, сколько ключей для разблокировки (unseal keys) сгенерировать и сколько из них требовать для распечатки. Инициализация возвращает токен суперпользователя (rootToken) и ключи для распечатки (unseal keys), которые необходимы для дальнейшей работы с хранилищем.

Каждый перезапуск vault приводит его в состояние «запечатан» (sealed), и его надо распечатать (unseal).

Пример работы с ключами

Есть 10 доверенных сотрудников, при создании хранилища мы создаем 10 ключей и раздаем каждому сотруднику по одному ключу. Чтобы распечатать хранилище, будем требовать 3 ключа. Поэтому, когда нужно будет распечатать vault, нам потребуется 3 сотрудника, чтобы его распечатать.

Чтобы добавить и инициализировать хранилище:

  1. Нажмите кнопку Добавить внизу главной страницы веб-интерфейса установщика.
  2. Выберите опцию Хранилище секретов.
  3. Выберите контейнер vault с помощью чекбокса.

  4. В списке гипервизоров отметьте гипервизоры, на которых будут размещены инстансы vault.

    Примечание

    Для отказоустойчивости vault использует кластер RAFT, поэтому в кластерной установке размещайте инстансы vault на гипервизорах с ролями хранилищ. При работе по схеме 2 ЦОД + witness один инстанс должен быть размещен на witness-ноде.

  5. Нажмите на кнопку Добавить.

  6. Запустите автоматическую установку — после ее завершения инстансы vault будут запущены.
  7. Перейдите в раздел Обслуживание -> Хранилище секретов или по адресу http://server-ip-address:8888/service/vault.

  8. Если vault устанавливается впервые, нажмите кнопку Инициализировать Хранилище и задайте параметры инициализации:

    • Всего ключей для распечатывания — сколько ключей сгенерировать.
    • Минимум ключей для распечатывания — сколько ключей потребуется ввести для распечатки (unseal) хранилища. Значение не должно превышать общее количество ключей.
    • Сохранить ключи в Deployer — включите опцию, чтобы установщик сохранил ключи и мог распечатывать хранилище в автоматическом режиме.

  9. После инициализации в веб-интерфейсе отобразятся ключи для распечатки и токен суперпользователя. Сохраните эту информацию.

    Внимание

    В случае утери ключей хранилище придется инициализировать заново. Это приведет к перегенерации всех секретов и перезапуску почти всех сервисов.

При инициализации установщик автоматически распечатает хранилище. Если вы обновляете инсталляцию с версии 26.2.3, миграция старых секретов из main.yaml произойдет автоматически.

Распечатка хранилища

Если при инициализации вы включили опцию Сохранить ключи в Deployer, установщик будет автоматически распечатывать хранилище при каждом своем перезапуске и запуске задачи up_container. В этом случае ключи для распечатывания сохраняются на машине с установщиком в файле /home/deployer/workmail/.secStoreKeys.yaml. Если установщику не удалось распечатать хранилище, установка будет заблокирована.

Чтобы распечатать хранилище вручную:

  1. Перейдите на страницу http://server-ip-address:8888/service/vault.
  2. В блоке Распаковка Хранилища секретов введите ключи, полученные при инициализации.
  3. Нажмите кнопку Распаковать (unseal).

В кластерной установке инициализация выполняется только на одном инстансе vault — остальные инстансы подключатся к нему и инициализируются самостоятельно. Распечатка выполняется на каждом инстансе.

Проверка состояния хранилища

На странице http://server-ip-address:8888/service/vault отображается состояние каждого инстанса vault: запущен ли он, инициализирован, запечатан или распечатан, готов ли к работе. Также отображаются «Количество ключей для распечатывания», «Количество необходимых секретов» и «Количество доступных секретов» — последние два значения должны совпадать.

Инстанс готов к работе, когда он запущен, инициализирован и распечатан, а количество доступных секретов совпадает с количеством необходимых.

Установщик автоматически проверяет актуальность секретов при каждом перезапуске и распечатке хранилища и при необходимости мигрирует или добавляет их.

Шаг 9. Генерация контейнеров

  1. Нажмите на кнопку Сгенерировать автоматически, чтобы добавить по одному контейнеру для каждой роли.

    сгенерировать автоматически

    На экране начнут появляться сгенерированные контейнеры. В случае появления ошибок используйте раздел Логи и полезные команды.

    Через некоторое время в правом верхнем углу появится кнопка Далее, напротив гипервизора появится кнопка Play.

    кнопки появились

  2. Кликните по кнопке Play напротив гипервизора.

  3. Подтвердите автоматический запуск задач на гипервизоре, нажав на кнопку Запустить.

    автозапуск задач на гипервизоре

  4. На генерацию требуется время. Подождите, пока исчезнет кнопка Play напротив гипервизора.

  5. Нажмите на кнопку Далее для перехода к следующему шагу.

Кликните по значку иконка и перейдите в раздел Описание сервисов, чтобы посмотреть развернутую информацию о назначении ролей, их дублируемости, зависимостях и т.п. В этом же выпадающем меню вы найдете дополнительную документацию, сможете включить или выключить продукты (внутри раздела Продукты) и обновить лицензионный ключ.

При появлении ошибок на гипервизоре на нем появится тег Не отвечает, а на контейнерах, относящися к этому гипервизору — Не отвечает гипервизор.

гипервизор не отвечает

Затем перейдите в командную строку и устраните ошибку. По завершении необходимо нажать на шестеренку в строке гипервизора и еще раз на странице списка шагов на гипервизоре.

ошибка на гипервизоре

В окне настроек гипервизора нажмите на кнопку Обновить.

ошибка на гипервизоре

Повторно запустите автоматическую установку.

Шаг 10. Хранилища

Для установки на одну машину достаточно автоматического распределения по дисковым парам, поэтому дополнительная настройка не требуется, нажмите на кнопку Далее.

хранилища

Шаг 11. Шардирование и репликация БД

На вкладке Шардирование и репликация БД нажмите на кнопку Далее.

шардирование БД

Шардирование (сегментирование) БД используется в кластерной установке для обеспечения отказоустойчивости и масштабируемости, в моноинсталляции не используется.

Шаг 12. Настройка компонентов

В разделе выполняются настройки различных компонентов системы.

компоненты

Ограничение доступа к доменам

Выберите нужный домен и нажмите на кнопку редактирования. После включения флага Ограничить доступ к домену появится раздел с более детальными настройками.

Ограничить доступ к домену — если включен только этот флаг, в поле ниже нужно будет ввести IP/подсети, которым будет разрешен доступ к домену. Также вы можете добавить комментарии, если это необходимо.

кому запрещен доступ

Режим запрета — запрещать следующим IP/подсетям — если включены оба флага (ограничение доступа и режим запрета), доступ к доменам будет запрещен IP/подсетям, введенным в поле.

Не забудьте повторить шаги на гипервизоре (нужные шаги уже отмечены желтым). Также можно нажать на кнопку Play в общей строке состояния. Для этого перейдите к списку шагов, кликнув по логотипу в левом верхнем углу веб-интерфейса.

Внимание

Для доменов becca.***.***.*** и bmw.***.***.*** по умолчанию запрещен доступ всем IP/подсетям. Чтобы добавить какие-либо IP/подсети в белый список, необходимо включить опцию Ограничить доступ к домену и добавить в поле IP/подсети. Если включить оба флага, IP/подсети, которые были введены в поле, попадут в черный список.

Панель администрирования

Чтобы начать настройку, нажмите кнопку редактирования значок редактирования.

настройки административной панели

Административные домены — с помощью кнопки Добавить по одному введите домены (до знака @), которым нужно выдать максимальные права.

Количество дней перед удалением пользователя — количество дней, через которое пользователь будет удален из Диска. Изменение настройки по умолчанию актуально при одновременном использовании Диска c Active directory. По умолчанию выставлен срок 5 дней, то есть пользователь будет удалён из Диска через 5 дней после его удаления из AD.

Размер облака пользователя по умолчанию (Мб) — при необходимости ограничьте максимальный размер облака для каждого пользователя.

Не проверять актуальность включенного функционала (фич) — при включенном флаге установщик будет пропускать шаг bizf -> addBizFeatures.

Общие переменные окружения для всех сервисов панели администрирования — с помощью кнопки Добавить вы можете ввести имя и значение переменных, которые применятся к ролям bizf, biz-celery-worker-* и biz-celery-beat. Вам не нужно будет каждый раз отдельно для всех ролей прописывать переменные, достаточно добавить их в общие переменные окружения.

Рассыльщики

В разделе настраиваются служебные почтовые рассылки для внутренних пользователей. Чтобы перейти к настройкам, нажмите на кнопку редактирования. Есть возможность создать рассылки для VK WorkDisk, административной панели и уведомлений об отзыве письма.

настройки логов

  1. Введите email и имя отправителя.
  2. Введите адрес и порт сервера рассылки.
  3. Сохраните изменения.
  4. Перейдите к списку ролей и запустите автоматическую установку, чтобы применить настройки.

Дальнейшая настройка транспортных правил производится в административной панели по завершении установки.

Система учета действий пользователей

Чтобы изменить время хранения логов, кликните по кнопке редактирования.

настройки логов

Время хранения событий по пользователям (в секундах) — вы можете установить время хранения логов. При установленном значении 0 срок хранения логов не будет ограничен.

Включить статистику по IP — при включенном флаге появится окно для изменения срока хранения логов по IP.

Мониторинг

Настройки мониторинга актуальны для случаев, когда необходимо переключиться с внутреннего мониторинга Диска на внешние системы мониторинга (Graphite/Prometheus).

Чтобы включить внешнюю систему мониторинга:

  1. Нажмите на иконка и перейдите в раздел Продукты.

  2. Включите флаг Система сбора и отправки метрик. При этом флаг Система мониторинга будет автоматически отключен.

    Примечание

    Данные, созданные до переключения на внешний мониторинг, продолжат занимать место на диске. Новые данные будут направляться во внешнюю систему мониторинга.

  3. Сохраните изменения и вернитесь к списку ролей.

  4. Внизу страницы нажмите на кнопку Сгенерировать автоматически, чтобы установщик сформировал новые роли.

    Внимание

    Не нужно запускать автоматическую установку сразу после генерации контейнеров. Сначала необходимо удалить неактуальные роли. Если запустить установку сразу, возникнут сетевые проблемы.

  5. Чтобы предотвратить возможные проблемы, перейдите в консоль и перезапустите установщик с помощью команды: 

    sudo systemctl restart deployer

  6. После перезапуска в списке ролей отобразятся роли, которые нужно удалить. Если в интерфейсе не подсветились роли для удаления, перезагрузите страницу.

    роли к удалению

  7. Удаление может занять некоторое время. Когда все неактуальные роли будут удалены, запустите автоматическую установку.

  8. Далее перейдите в раздел Настройки компонентов -> Мониторинг. Введите необходимые данные для системы мониторинга, которую вы используете.

    настройки мониторинга

  9. Сохраните изменения.

По ссылке Набор готовых дашбордов для Grafana вы можете скачать дашборды в формате JSON для добавления их в Grafana.

Настройки HTTP(S)-прокси

Если вы используете прокси-сервер при подключении клиентов к системе VK WorkSpace, включите флаг Перед VK WorkSpace есть прокси-сервер, чтобы контейнер, отвечающий за HTTPS-соединение, мог принимать трафик без шифрования.

настройки прокси

Список IP прокси-серверов — введите в поле список IP-адресов, с которых Диск будет принимать заголовки с оригинальными IP клиента и оригинальным протоколом подключения.

HTTP-заголовок прокси с оригинальным IP клиента — добавьте в поле заголовок прокси, который передает реальный IP-адрес клиента, иначе сервис будет работать некорректно.

HTTP-заголовок прокси с оригинальным протоколом подключения клиента — для корректной работы сервисов введите заголовок оригинального протокола подключения.

Внешний S3 как хранилище для Диска

Шаг выполняется, только если при выборе продуктов в разделе Администрирование был включен продукт Внешний S3 как хранилище для Почты и Диска. Если продукт выключен, инсталляция использует встроенное хранилище и настраивать ничего не нужно.

Параметры подключения задаются отдельно для каждого типа хранилища. Перейдите в раздел Настройки → вкладка Хранилища, слева выберите S3, затем откройте вкладку нужного типа хранилища и нажмите на значок карандаша.

Настройка внешнего S3

Протокол, хост и порт S3 сервера — адрес внешнего S3 в формате <протокол>://<хост>:<порт>, например https://example.com:443. Обращение к объектам выполняется в стиле path-style, то есть по схеме http(s)://<хост>/<бакет>/<ключ>.

S3 Bucket — имя бакета, в котором будут храниться объекты этого типа хранилища.

S3 Access Key ID — идентификатор ключа доступа к S3.

S3 Secret Key — секретный ключ доступа к S3. После сохранения значение скрывается и в интерфейсе не отображается.

S3 Region — регион S3. Заполняется, если этого требует ваш провайдер. Значение по умолчанию — auto.

S3 Storage Class — класс хранения объектов. Заполняется, если этого требует ваш провайдер. Значение по умолчанию — auto. Рекомендуемый класс зависит от типа хранилища и указан в интерфейсе установщика в блоке Рекомендации к S3.

Внимание

Нельзя использовать один и тот же бакет для разных типов хранилищ. Для каждого типа нужен отдельный бакет, иначе возникнут коллизии объектов.

Заполните параметры на вкладке cloud. Если вместе с Диском устанавливается Почта, заполните параметры и для остальных типов хранилищ — blobcloud, blobsign, crow, skel. Набор вкладок зависит от состава устанавливаемых продуктов. Требования и рекомендации к каждому типу хранилища установщик показывает на его вкладке в блоках Требования к S3 и Рекомендации к S3.

После заполнения параметров нажмите Сохранить и продолжите установку.

Ограничения функциональности, требования к S3-хранилищу, список совместимых провайдеров, описание типов хранилищ с расчетом нагрузки и порядок изменения параметров подключения после установки описаны в отдельном документе — Как подключить внешний S3 как хранилище для Диска.

Шаг 13. Интеграции

В блоке будут отображаться интеграции, которые вы включили на этапе выбора продуктов и опций (настройки интеграций могут также находиться в верхнем меню).

Интеграция с Keycloak для SSO-авторизации — в документе содержится инструкция по настройке интеграции с сервисом SSO-авторизации.

Настроить дублирование действий пользователей во внешние хранилища

Настройки cистемы BI-аналитики

Чтобы получить возможность просматривать статистику использования VK WorkDisk в административной панели (biz.<домен>), в списке продуктов необходимо включить опцию Система BI-аналитики и Kafka внутри инсталяции и нажать на кнопку Сохранить.

Примечание

Если вы используете внешний сервер Kafka, вторую опцию включать не нужно, но потребуется внести данные для подключения. При использовании Kafka внутри инсталляции можно сразу переходить к списку ролей.

Чтобы подключиться к внешнему серверу Kafka, перейдите в раздел Интеграции -> Настройки cистемы BI-аналитики и заполните соответствующие поля.

внешняя статистика

Сохраните изменения, затем запустите автоматическую установку в общей строке состояния.

Шаг 14. Укажите переменные окружения

В разделе производится настройка кастомных переменных Панели администратора.

Внимание

Настройка переменных окружения возможна только после консультации с представителем VK.

Чтобы добавить кастомную переменную:

  1. Нажмите на иконку и кнопку Добавить.
  2. В выпадающем меню выберите название переменной.

  3. Введите значение переменной. Значение переменной должно быть введено корректно, иначе установщик не позволит создать переменную.

  4. Нажмите на кнопку Сохранить.

  5. Нажмите на кнопку Далее для перехода к следующему шагу.

Шаг 15. Запустите установку всех машин

  1. В веб-интерфейсе установщика Панели администратора кликните по иконке рядом c общей строкой состояния в верхней части экрана.

  2. Подтвердите запуск автоматической установки, нажав на кнопку Запустить.

    запуск всего

    В зависимости от этапа установки будет меняться цвет индикатора:

    • Серый — в ожидании начала генерации.
    • Синий — в процессе генерации.
    • Желтый — шаг будет повторен (автоматически).
    • Красный — ошибка.

  3. Ожидайте завершения установки. Пока процесс идет, рядом со строкой состояния будет отображаться красная кнопка Stop.

Если в процессе установки и настройки системы происходят изменения конфигурации, некоторые задачи могут потребовать повторного выполнения.

Для повторного запуска необходимо нажать на иконку в общей строке состояния в верхней части экрана или рядом с названием конкретного контейнера.

Шаг 16. Инициализируйте домен и войдите в Панель администратора

Когда установка Панели администратора будет завершена, соответствующий статус отобразится в строке состояния.

  1. Нажмите на кнопку Далее в правом верхнем углу.

    installation complete

  2. Введите имя домена и нажмите на кнопку Добавить.

    add domain

    Домен считается подтвержденным после добавления в Панель администратора.

    В адресную строку скопируйте адрес Панели администратора и введите данные:

    • Имя пользователя — admin@admin.qdit.
    • Пароль находится в файле — bizOwner.pass, для его просмотра введите в консоли команду: cat <путь до директории с установщиком>/bizOwner.pass.

    Если логин и пароль были введены правильно, вы попадете в Панель администратора.

Внимание

Когда установка закнчится можно удалить архив, из которого был распакован дистрибутив в начале установки. Все остальные файлы должны оставаться в папке с файлом onpremise-deployer_linux. Не удаляйте пользователя deployer — эта учетная запись потребуется для обновления и дальнейшей эксплуатации Панели администратора.

Добавление дополнительных доменов

Если вы планируете использовать несколько доменов, добавьте их с помощью кнопки Добавить домен:

Логи и полезные команды

Примечание

Команды kubectl выполняются на машине, где установлена утилита kubectl и настроен доступ к кластеру Kubernetes — файл kubeconfig. Команды управления установщиком выполняются в консоли машины, на которой он запущен.

В примерах <namespace> — пространство имен, указанное в параметре Namespace по умолчанию при настройке кластера.

  1. Перезапуск установщика:

    sudo systemctl restart deployer

  2. Логи установщика:

    sudo journalctl -fu deployer

  3. Список запущенных подов:

    kubectl get pods -n <namespace>

    Добавьте флаг -o wide, чтобы увидеть, на каких нодах размещены поды.

  4. Список подов, которые не перешли в состояние Running:

    kubectl get pods -n <namespace> --field-selector=status.phase!=Running

  5. Состояние нод кластера:

    kubectl get nodes -o wide

  6. Логи конкретного пода:

    kubectl logs -n <namespace> <имя_пода>

    Полезные флаги:

    • -f — следить за логом в реальном времени.
    • --tail=100 — вывести только последние 100 строк.
    • --previous — логи предыдущего запуска. Пригодится, если под успел перезапуститься и логи упавшего экземпляра уже не отдаются.
    • -c <имя_контейнера> — выбрать контейнер, если в поде их несколько.

  7. Подробная информация о поде — события, причина перезапуска, ограничения по ресурсам:

    kubectl describe pod -n <namespace> <имя_пода>

  8. События в пространстве имен в порядке возникновения:

    kubectl get events -n <namespace> --sort-by=.lastTimestamp

  9. Консоль внутри пода:

    kubectl exec -it -n <namespace> <имя_пода> -- bash

  10. Перезапуск пода:

    kubectl delete pod -n <namespace> <имя_пода>

    Внимание

    Под не удаляется безвозвратно — контроллер создаст его заново. Чтобы остановить сервис, изменяйте количество реплик, а не удаляйте поды.

  11. Перезапуск всех подов сервиса:

    kubectl rollout restart -n <namespace> deployment/<имя_сервиса>

    kubectl rollout restart -n <namespace> statefulset/<имя_сервиса>