Rudder 설치 및 운영

머리말

우리의 '우정'은 99년 전에 시작되었습니다. 나는 새로운 직장에 왔는데, 그곳에서 이전 관리자는 우연히 이 소프트웨어를 상속으로 남겼습니다. 공식 문서 외에는 인터넷에서 아무것도 찾을 수 없습니다. 지금도 구글에서 "rudder"라고 검색하면 XNUMX%의 경우 선박 조타 장치와 쿼드콥터가 검색됩니다. 나는 그에게 접근 방식을 찾았습니다. 이 소프트웨어의 커뮤니티는 무시할 수 있기 때문에 나는 내 경험을 공유하고 긁어모으기로 결정했습니다. 나는 이것이 누군가에게 유용할 것이라고 생각합니다.

그래서 방향타

Rudder는 시스템 구성을 자동화하는 데 도움이 되는 오픈 소스 감사 및 구성 관리 유틸리티입니다. 각 최종 사용자마다 에이전트를 설치하는 원리로 작동합니다. 편리한 인터페이스를 통해 우리 인프라가 지정된 모든 정책을 얼마나 준수하는지 모니터링할 수 있습니다.

사용

아래에는 Rudder를 사용하는 용도가 나열되어 있습니다.

• 파일 및 구성 제어: ./ssh/authorized_keys ; /etc/호스트 ; iptables ; (그리고 당신의 상상력이 이끄는 곳으로)

• 설치된 패키지 제어: zabbix.agent 또는 기타 소프트웨어

서버 설치

최근에 버전 5에서 6.1로 업데이트했는데 모든 것이 잘 진행되었습니다. 다음은 Deban/Ubuntu에 대한 명령이지만 지원도 있습니다: RHEL/센트OS и 슬레.

주의가 산만해지지 않도록 설치물을 스포일러로 숨기겠습니다.

스포일러

종속성

rudder-server에는 Java RE 버전 8 이상이 필요하며 표준 저장소에서 설치할 수 있습니다.

설치되어 있는지 확인 중

java -version

결론이라면

-bash: java: command not found

그런 다음 설치

apt install default-jre

서버

키 가져오기

wget --quiet -O- "https://repository.rudder.io/apt/rudder_apt_key.pub" | sudo apt-key add -

여기 인쇄물 자체가 있습니다.

pub  4096R/474A19E8 2011-12-15 Rudder Project (release key) <[email protected]>
      Key fingerprint = 7C16 9817 7904 212D D58C  B4D1 9322 C330 474A 19E8

유료 구독이 없으므로 다음 저장소를 추가합니다.

echo "deb http://repository.rudder.io/apt/6.1/ $(lsb_release -cs) main" > /etc/apt/sources.list.d/rudder.list

저장소 목록 업데이트 및 서버 설치

apt update
apt install rudder-server-root

사용자 관리자 생성

rudder server create-user -u admin -p "Ваш Пароль"

앞으로는 구성을 통해 사용자를 관리할 수 있습니다.

이제 서버가 준비되었습니다.

서버 튜닝

이제 에이전트의 IP 주소 또는 전체 서브넷을 방향타 에이전트에 추가해야 하며, 우리는 보안 정책에 중점을 둡니다.

설정 -> 일반

'네트워크 추가' 필드에 xxxx/xx 형식으로 주소와 마스크를 입력합니다. 내부 네트워크의 모든 주소로부터의 액세스를 허용하려면(물론 이것이 테스트 네트워크이고 NAT 뒤에 있는 경우는 제외) 다음을 입력하십시오: 0.0.0.0/0

중요 - IP 주소를 추가한 후 변경 사항 저장을 클릭하는 것을 잊지 마세요. 그렇지 않으면 아무것도 저장되지 않습니다.

항구

서버에서 다음 포트를 엽니다.

• 443 - TCP

• 5309 - TCP

• 514 - UDP

초기 서버 설정을 정리했습니다.

에이전트 설치

스포일러

키 추가

wget --quiet -O- "https://repository.rudder.io/apt/rudder_apt_key.pub" | sudo apt-key add -

키 지문

pub  4096R/474A19E8 2011-12-15 Rudder Project (release key) <[email protected]>
      Key fingerprint = 7C16 9817 7904 212D D58C  B4D1 9322 C330 474A 19E8

저장소 추가

echo "deb http://repository.rudder.io/apt/6.1/ $(lsb_release -cs) main" > /etc/apt/sources.list.d/rudder.list

에이전트 설치

apt update
apt install rudder-agent

에이전트 설정

정책 서버의 IP 주소를 에이전트에 알려줍니다.

rudder agent policy-server <rudder server ip or hostname> #Без скобок. Можно также использовать доменное имя 

다음 명령을 실행하면 서버에 새 에이전트를 추가하라는 요청이 전송됩니다. 몇 분 안에 새 에이전트 목록에 해당 요청이 표시됩니다. 다음 섹션에서 추가하는 방법을 설명하겠습니다.

rudder agent inventory

에이전트를 강제로 시작하면 에이전트가 즉시 요청을 보낼 수도 있습니다.

rudder agent run

에이전트가 설정되었으니 계속 진행하겠습니다.

상담원 추가

로그인

https://127.0.0.1/rudder/index.html

에이전트가 "새 노드 수락" 섹션에 표시됩니다. 확인란을 선택하고 수락을 클릭하세요.

시스템이 서버의 규정 준수 여부를 확인할 때까지 약간의 시간이 걸릴 것입니다.

서버 그룹 생성

그룹(여전히 엔터테인먼트임)을 만들자. 개발자들이 왜 그렇게 극악무도한 그룹 형성을 했는지는 모르겠지만, 내가 이해한 바에 따르면 다른 방법은 없다. 노드 관리 -> 그룹 섹션으로 이동하여 생성을 클릭하고 정적 그룹과 이름을 선택합니다.

IP 주소와 같은 특수 기능으로 필요한 서버를 필터링하고 저장합니다.

그룹이 설정되었습니다.

규칙 설정

구성 정책 → 규칙으로 이동하여 새 규칙을 만듭니다.

앞서 준비한 그룹을 추가합니다. (나중에 추가 가능)

그리고 우리는 새로운 지시를 내립니다.

.ssh/authorized_keys에 공개 키를 추가하기 위한 지시문을 만들어 보겠습니다. 신입 직원이 퇴사할 때나 재보험(예: 누군가 실수로 내 열쇠를 잘라낸 경우)에 이 기능을 사용합니다.

구성 정책 → 왼쪽의 지시문으로 이동하면 "지시문 라이브러리"가 표시됩니다. "원격 액세스 → SSH 인증 키"를 찾아 오른쪽에서 지시문 만들기를 클릭합니다.

사용자에 대한 정보를 입력하고 해당 키를 추가합니다. 다음으로 애플리케이션 정책을 선택하세요.

• 전역 - 기본 정책

• 적용 - 선택한 서버에서 실행됩니다.

• 감사 - 감사를 실시하고 어떤 클라이언트가 키를 가지고 있는지 알려줍니다.

우리의 규칙을 반드시 명시하십시오

그런 다음 저장하면 완료됩니다.

확인 중

키가 성공적으로 추가되었습니다.

빵

에이전트는 서버에 대한 전체 정보를 제공합니다. 아래 스크린샷에서 볼 수 있는 설치된 패키지, 인터페이스, 열린 포트 등의 목록

Linux 뿐만 아니라 Windows에서도 소프트웨어를 설치하고 제어할 수 있는데, 후자는 확인하지 않아서 그럴 필요가 없었습니다..

저자

Ansible과 Puppet이 이미 오래 전에 발명되었는데 왜 바퀴를 다시 발명하느냐고 질문하실 수도 있습니다.

나는 대답합니다: Ansible에는 단점이 있습니다. 예를 들어 우리는 이 구성이 현재 어떤 상태인지 알 수 없거나 역할이나 플레이북을 시작할 때 충돌 오류가 나타나는 익숙한 상황을 볼 수 없으며 서버에 올라가서 무엇을 볼 수 있는지 볼 수 있습니다. 패키지가 업데이트되었습니다. 그리고 나는 꼭두각시 작업을하지 않았습니다 ..

러더에 단점이 있나요? 많이.. 에이전트가 떨어져서 다시 설치하거나 방향타 재설정 명령을 사용해야 한다는 사실부터 시작합니다. (그런데 아직 버전 6에서는 이것을 본 적이 없습니다.) 설정이 매우 복잡하고 인터페이스가 비논리적입니다.

장점이 있나요? 그리고 장점도 많습니다. 잘 알려진 Ansible과 달리 우리가 적용한 규정 준수를 확인할 수 있는 웹 인터페이스가 있습니다. 예를 들어, 세상에 튀어나온 포트는 어떤지, 방화벽의 상태는 어떤지, 보안 에이전트가 설치되어 있는지, 기타 장치가 있는지 등이 있습니다.

이 소프트웨어는 인프라 상태가 항상 눈앞에 있고 규칙 중 하나라도 빨간색으로 켜지면 서버를 방문해야 하는 이유이므로 정보 보안 부서에 적합합니다. 말씀드린 대로 저는 러더를 2년째 사용하고 있는데, 조금만 피우면 생활이 좋아집니다. 대규모 인프라에서 가장 어려운 점은 June이 보안 에이전트 설치를 놓쳤는지, iptables를 올바르게 구성했는지 등 서버의 상태를 기억하지 못한다는 점입니다. 그러나 방향타는 모든 이벤트를 파악하는 데 도움이 됩니다. 인식은 무장을 의미합니다! )

PS 계획했던 것보다 훨씬 더 많은 결과가 나왔기 때문에 패키지 설치 방법은 설명하지 않겠습니다. 갑자기 요청이 있으면 두 번째 부분을 작성하겠습니다.

PSS 이 기사는 정보 제공 목적으로 작성되었으며, 인터넷에 정보가 거의 없기 때문에 공유하기로 결정했습니다. 아마도 이것은 누군가에게 흥미로울 것입니다. 좋은 하루 보내세요, 친애하는 친구들)

광고의 권리에

에픽 서버 -가요 리눅스의 VPS 또는 강력한 AMD EPYC 제품군 프로세서와 매우 빠른 Intel NVMe 드라이브를 갖춘 Windows. 서둘러 주문하세요!

출처 : habr.com