Подготовка зеркала для инсталляции в закрытом контуре

Развернуть все Свернуть все

Закрытый контур - в процессе инсталляции нет интернета на всех узлах и зеркале. Для инсталляции необходим дистрибутив и лицензия платформы Штурвал. Ссылку на скачивание stm, stc, бандл, а также номер лицензии передает заказчику менеджер со стороны Штурвала.

Доступно только в enterprise версии.

Работа с зеркалом #

Команды выполняются с помощью утилиты stm (shturval mirror), которая входит в состав бандла. При запуске команд необходимо подставлять свои значения для параметров.

Примеры работы с зеркалом #

stm init --fqdn=mirror.ip-XX-XX-XXX-XX.shturval.link --license=XXXXXXXXXX 

stm bundle make --fqdn=mirror.ip-XX-XX-XXX-XX.shturval.link --license=XXXXXXXXXX 

stm bundle load --path=../bundle/shturval-bundle

Подробная инструкция по обновлению зеркала на странице Обновление в закрытом контуре.

stm bundle check 

# Запуск зеркала. Команда может потребоваться после остановки зеркала
stm start
# Перезапуск
stm restart
# Остановка зеркала. Команда может потребоваться при подключении Step-ca к зеркалу
stm stop 
# Проверка статуса зеркала
stm status
# Удаление зеркала
stm uninstall 

Работа с сертификатами #

Есть возможность импортировать свой сертификат на этапе инициализации зеркала (init, bundle make), на этапе развертывания nginx для внешнего nexus (external nginx) или отдельной командой (cert import).

В случае, если вы подключаете сертификаты не во время инициализации зеркала или балансировщика, воспользуйтесь инструкцией по импортированию сертификатов в зеркало.

Требование к сертификату #

1. Для импорта необходимо указать файл с цепочкой сертификатов и ключом.
2. Сертификаты и ключ должны быть в pem формате.
3. Цепочка сертификатов должна содержать CA и сам сертификат.
4. Сертификат должен содержать поле subjectAltName с fqdn зеркала (fqdn должен совпадать с указанным параметром --fqdn или со значением в конфигурации зеркала)
5. При подписании CSR необходимо сохранить Extensions (для openssl - ключ -copy_extensions copyall).

Чтобы импортировать сертификат в зеркало используйте команды для работы с сертификатом, в которые подставьте свои значения параметров.

Примеры команд #

# Выпустить запрос на получение сертификата (csr и ключ будут находиться в каталоге export)
stm cert csr --fqdn=mirror.corpdomain.ru
# Выпустить сертификат, используя CSR и свой CA (пример для openssl)
openssl x509 -req -sha512  -in export/csr.pem -days 3650 -CA ca/ca_cert.pem \
-CAkey ca/ca_private_key.pem -CAcreateserial -out export/mirror_cert.pem -copy_extensions copyall
# Добавить к полученному сертификату свой CA
cat ca/ca_cert.pem >> export/mirror_cert.pem

stm cert import --cert-file export/mirror_cert.pem --privkey-file export/privkey.pem

stm bundle make --fqdn=mirror.corpdomain.ru --license=XXXXXXXXXX \
--cert-file export/mirror_cert.pem --privkey-file export/privkey.pem

Внешний Nexus #

Загрузка образов во внешний Nexus #

Чтобы загрузить образы во внешний Nexus, используйте команды stm external, в которые необходимо подставить свои значения параметров.

Примеры команд #

stm external config

stm external load

stm external nginx --fqdn=mirror.example.ru --cert-file export/mirror_cert.pem --privkey-file export/privkey.pem

Подготовка внешнего Nexus #

1. На Nexus необходимо создать требуемые hosted репозитории:

• Репозитории, обязательные для всех инсталляций - форматы raw, helm, docker
  • Docker репозиторий должен иметь коннектор (выделенный порт)
• Для apt дистрибутивов обязателен hosted apt репозиторий, названный в конфиге “deb_universal”
  • Для apt репозиториев distribution должен быть main
  • Для apt репозиториев должна быть сгенерирована пара gpg ключей. Приватный ключ должен быть использован при создании репозитория, публичный должен быть загружен в корень raw репозитория под именем shturval.gpg
• Для yum дистрибутивов обязателен hosted yum репозиторий, названый в конфиге “rpm_universal”
  • Для yum репозитория Repodata Depth должна быть установлена в 0
• Также необходим yum или apt репозиторий для дистрибутива
• Например, для дистрибутива РЕД ОС нужен helm, raw, docker и 2 yum репозитория, для дистрибутива astra - helm, raw, docker и 2 apt репозитория.

Имена репозиториев могут быть любыми. Соответствие имён будет установлено в файле конфигурации.

2. На хосте, имеющем доступ, сгенерировать пример конфигурации.

stm external config

3. Полученный файл config/external-config-example.yaml нужно скопировать как config/external-config.yaml и заполнить в соответствии со своими данными.

Соответствие имён репозиториев заполняется как “ключ”: “значение”, где в значении указываются имена созданных репозиториев (ключи менять не следует). Например, если для raw репозитория был создан репозиторий с именем “raw_repo”, в конфигурации запись должна выглядеть так : bin_public: “raw_repo”.

Запуск синхронизации из бандла #

stm external load

После загрузки будет сгенерирован пример конфигурации Nginx. Его можно использовать для создания собственной конфигурации, для поднятия Nginx на нужном хосте. Модуль развертывания зеркала может развернуть собственный Nginx с требуемой конфигурацией (хост должен соответствовать общим требованиям модуля):

stm external nginx --fqdn=mirror.example.ru