Технический портал

Центр регистрации Aladdin eCA обеспечивает возможность кластеризации c использованием внешнего средства балансирования нагрузки.

В кластере Центра регистрации Aladdin eRA работает аутентификация по сертификату, а также по доменному логину и паролю.

Аутентификация с использованием Kerberos‑билета не работает.

Развёртывание кластера Центра регистрации Aladdin eRA

Кластер конфигурируется по схеме «Active‑Passive Failover», куда входят следующие узлы:

хост с установленным Центром регистрации Aladdin eRA (ВМ1) – основной узел кластера;
хост с установленным Центром регистрации Aladdin eRA (ВМ2) – резервный узел кластера;
хост с установленной и настроенной СУБД (ВМ3);
хост с установленным и настроенным средством балансирования нагрузки HAProxy (ВМ4).

На всех указанных выше хостах допускается использование только следующих операционных систем:

Astra Linux Special Edition версия 1.7, уровень защищённости «Смоленск»;
Astra Linux Special Edition версия 1.7, уровень защищённости «Воронеж»;
Astra Linux Special Edition версия 1.7, уровень защищённости «Орел»;
Astra Linux Special Edition версия 1.8, уровень защищённости «Смоленск»;
Astra Linux Special Edition версия 1.8, уровень защищённости «Воронеж»;
Astra Linux Special Edition версия 1.8, уровень защищённости «Орел»;
РЕД ОС версия 7.3, сертифицированная редакция, конфигурация «Сервер»;
РЕД ОС версия 8, конфигурация «Сервер»;
ОС Альт 8 СП, релиз 10, вариант исполнения Сервер.

Кроме кластерных компонентов также присутствуют следующие компоненты:

Центр сертификации Aladdin eCA – к нему подключаются узлы Центра регистрации Aladdin eRA (основной и резервный);
РС – к ней подключаются узлы Центра регистрации Aladdin eRA (основной и резервный). Также РС должна быть подключена к Центру сертификации Aladdin eCA.

Настройка узла с СУБД

На ВМ3 выполнить установку одной из нижеприведённых систем управления базами данных[1]:

- PostgreSQL из состава операционной системы;
- Jatoba 4.

2. На ВМ3 увеличить максимальное количество подключений к СУБД, отредактировав файл /var/lib/pgsql/15/data/postgresql.conf (или var/lib/jatoba/4/data/postgresql.conf, если используется СУБД Jatoba)[2], указав для параметра max_connections значение 2000[3]:

max_connections = 2000

3. На ВМ3 перезапустить используемую СУБД, выполнив команду sudo systemctl restart postgresql (или sudo systemctl restart jatoba‑4 если используется СУБД Jatoba).

[1] Информация по установке и настройке СУБД приведена в разделах 0 для РЕД ОС, 0 для Astra Linux и 3.3.3 для Альт Сервер.

[2] Путь к файлу может отличаться в зависимости от версии PostgreSQL или Jatoba

[3] Значение 2000 указано из необходимости наличия 1000 подключений для каждого экземпляра Центра регистрации Aladdin eRA, взаимодействующего с СУБД

Настройка основного узла

На ВМ1 выполнить подготовку к установке Центра Регистрации Aladdin eRA в соответствии с разделом 3 настоящего руководства, при этом подготовка осуществляется с учётом использования внешней СУБД.
На ВМ1 выполнить установку Центра Регистрации Aladdin eRA в соответствии с разделом 4 настоящего руководства, при этом подключив к Центру Регистрации Aladdin eRA внешнюю СУБД, установленную на ВМ3, в соответствии c «Приложение 2. Настройка подключения к внешней СУБД» настоящего руководства.
Выполнить первичную настройку Центра Регистрации Aladdin eR
При использовании офлайн выпуска сертификатов необходимо выполнить инструкцию по включению данной функции из раздела 10.3 на ВМ1.

Настройка резервного узла

Средствами используемого гипервизора клонировать ВМ1 (клон ВМ1 далее по тексту – «ВМ2»)[1].
Изменить доменное имя для ВМ2.
Запустить ВМ2 и ожидать завершения запуска aeca‑ra.service на ВМ2.
Внести изменения в конфигурацию Центра регистрации Aladdin eRA на ВМ2 (файл /opt/aecaRa/scripts/config.sh):

Отключить офлайн выпуск – на резервных узлах он должен быть всегда выключен:

offline_enrollment_enabled='false'

Применить изменения конфигурационного файла путём запуска команды sudo bash /opt/aecaRa/scripts/install.sh с выбором действия «[Update]».

[1] Вместо клонирования ВМ1 можно произвести развёртывание Центра регистрации Aladdin eRA, выполнив инструкцию из п 0 данного приложения для резервного узла.

Настройка HAProxy

На ВМ4 выполнить установку средства балансирования нагрузки HAProxy:

РЕД ОС[1]	sudo dnf install haproxy
Astra Linux SE	sudo apt install haproxy
Альт Сервер	sudo apt‑get install haproxy

2. На ВМ4 отредактировать файл /etc/haproxy/haproxy.cfg, приведя его к следующему виду:

global
 
    log /var/log/haproxy/log local0
 
    log /var/log/haproxy/log local1 notice
 
    chroot /var/lib/haproxy
 
    stats socket /run/haproxy/admin.sock mode 660 level admin
 
    stats timeout 30s
 
    user haproxy
 
    group haproxy
 
    daemon
 
defaults
 
    log global
 
    mode http
 
    option httplog
 
    option dontlognull
 
    timeout connect 5000
 
    timeout client  50000
 
    timeout server  50000
 
frontend ft_app
 
    bind *:443
 
    mode tcp
 
    default_backend bk_app
 
backend bk_app
 
    mode tcp
 
    server main DOMAINNAME_HOST1:443 check
 
    server clone DOMAINNAME_HOST2:443 check backup
 
listen stats
 
    bind *:8404
 
    stats enable
 
    stats uri /stats
 
    stats auth admin:password

где:

- вместо DOMAINNAME_HOST1 необходимо указать доменное имя ВМ1,
- вместо DOMAINNAME_HOST2– доменное имя ВМ2,
- вместо admin:password указать логин и пароль, разделенные двоеточием, которые будут использоваться для доступа к панели мониторинга HAProxy.

3. На ВМ4 перезапустить HAProxy путем запуска команды:

sudo systemctl restart haproxy.service

В результате приведенной настройки кластера все запросы, направляемые к Центру регистрации Aladdin eRA через средство балансирования нагрузки HAProxy, будут перенаправляться на основной узел кластера (ВМ1). В случае недоступности основного узла кластера все запросы, направляемые к Центру регистрации Aladdin eRA через средство балансирования нагрузки HAProxy, будут перенаправляться на резервный узел кластера (ВМ2). Для мониторинга состояния узлов кластера может быть использована панель мониторинга, доступная по адресу http://IP_HOST4:8404/stats, где IP_HOST4 – IP‑адрес ВМ4 (для входа в панель мониторинга потребуется ввод логина и пароля, указанных в файле /etc/haproxy/haproxy.cfg на ВМ4).

[1] При установке HAProxy на РЕД ОС необходимо выполнить отключение SELinux в соответствии с официальной документацией ОС:

для РЕО ОС 7.3 см. https://redos.red-soft.ru/base/redos-7_3/7_3-network/7_3-sett-proxy/7_3-haproxy/;
для РЕО ОС 8 см. https://redos.red-soft.ru/base/redos-8_0/8_0-network/8_0-sett-proxy/8_0-haproxy/.

Подключение дополнительных резервных узлов

В кластер можно подключать дополнительные резервные узлы. Для подключения нового резервного узла необходимо выполнить действия, аналогичные действиям по подключения резервного узла «ВМ2».

Развернуть Центр регистрации Aladdin eRA на ВМР (дополнительный резервный узел) – см. инструкцию в разделе 0 данного приложения.
На ВМ4 отредактировать файл /etc/haproxy/haproxy.cfg– внести в него доменное имя ВМР в секцию backend bk_app под строкой, соответствующей последнему резервному узлу. Если последний резервный узел – это ВМ2, то это под строкой: server clone DOMAINNAME_HOST2:443 check backup. Таким образом должна получиться секция вида:

backend bk_app
 
    mode tcp
 
    server main DOMAINNAME_HOST1:443 check
 
    server clone DOMAINNAME_HOST2:443 check backup
 
    server clone DOMAINNAME_ HOSTR:443 check backup

где DOMAINNAME_HOSTR – это доменное имя ВМР.

3. На ВМ4 перезапустить HAProxy путем запуска команды:

sudo systemctl restart haproxy.service

В результате в кластере появится дополнительный резервный узел. Все описанные выше рекомендации и уточнения по работе с узлом ВМ2, также относятся и к узлу ВМР.

Обновление Центров регистрации Aladdin eCA в кластере

Обновление кластера Центра Регистрации Aladdin eRA включает в себя предварительную приемку Центра Регистрации Aladdin eRA, который будет устанавливаться на узлы кластера, остановку работающих Центров Регистрации Aladdin eRA кластера и выполнение последовательного обновления Центров Регистрации Aladdin eRA на каждом узле кластера.

Обновление производится для кластера Центра Регистрации Aladdin eRA, сконфигурированного по схеме выше в разделе 0 данного приложения.

В кластер Центра Регистрации Aladdin eRA входят следующие узлы:

хост с установленным Центром Регистрации Aladdin eRA (ВМ1) – основной узел кластера;
хосты с установленным Центром Регистрации Aladdin eRA (ВМ2‑узлы) – резервные узлы кластера;
хост с установленной и настроенной СУБД (ВМ3);
хост с установленным и настроенным средством балансирования нагрузки HAProxy (ВМ4).

Обновления Центров Регистрации Aladdin eRA узлов кластера включает в себя:

обновление Центра Регистрации Aladdin eRA на основном узле кластера (ВМ1);
обновление Центров Регистрации Aladdin eRA на резервных узлах кластера (ВМ2‑узлах).

Номер сборки устанавливаемых Центров Регистрации Aladdin eRA должен быть одинаковым для основного и резервных узлов кластера.

Иначе Центры Регистрации Aladdin eRA на узлах кластера не могут быть запущены^[1].

Процесс обновления кластера Центра Регистрации Aladdin eRA:

Предварительно произвести действия по приёмке Центра Регистрации Aladdin eRA;
На основном узле произвести резервное копирование данных в соответствии с разделом 14 настоящего документа для возможности восстановления данных в случае неисправности;
На резервных узлах произвести резервное копирование данных в соответствии с разделом 14 настоящего документа для возможности восстановить данные в случае неисправности;
На резервных узлах произвести остановку Центра Регистрации Aladdin eRA путем выполнения команды sudo systemctl stop aeca‑ra.service;

Это действие необходимо для избежания ошибок и вызвано тем, что Центр Регистрации Aladdin eRA на основном узле и Центры Регистрации Aladdin eRA на резервных узлах работают с одной схемой базы данных. И при обновлении Центра Регистрации Aladdin eRA на одном узле происходит обновление схемы базы данных до новой версии, с которой Центры Регистрации Aladdin eRA на других узлах могут работать некорректно.

5. На основном узле произвести обновление Центра Регистрации Aladdin eRA в соответствии с разделом 14 настоящего руководства;

6. На каждом резервном узле произвести обновление Центра Регистрации Aladdin eRA в соответствии с разделом 14 настоящего руководства.

Критерием правильности установки обновления кластера является отображение информации о новой версии программы в окне «О программе» и работоспособность всех узлов кластера. Работоспособность узлов можно посмотреть в панели мониторинга, доступной по адресу http://IP_HOST4:8404/stats, где IP_HOST4 – IP‑адрес ВМ4 (для входа в панель мониторинга потребуется ввод логина и пароля, указанных в файле /etc/haproxy/haproxy.cfg на ВМ4).

[1] Описание проверок при запуске, осуществляемых Центром регистрации Aladdin eRA, см в разделе 5.3.