Установка Single Node

Назначение и ограничения

Single Node — одноузловой стенд для демонстрации и функциональной проверки Закрома.Хранение. На одном сервере совмещены сервисы Закрома.Хранение, ZDS в режиме FS и PostgreSQL.

Не для продуктивной эксплуатации

Один узел и режим ZDS FS без избыточного кодирования не дают необходимой отказоустойчивости: выход узла или диска из строя приводит к недоступности сервиса и может привести к потере данных. Для отказоустойчивой инсталляции используйте базовый трёхузловой кластер.

Опциональные компоненты в этой инструкции не устанавливаются. Внешняя аутентификация через Keycloak описана в сценарии с Keycloak.

Устанавливаемые компоненты

Имя plank используется только в примере. Замените его реальным именем и IP-адресом из вашей инфраструктуры и используйте то же имя в инвентаре Ansible и переменных group_vars.

Схема установки

На одном сервере совмещены PostgreSQL, Закрома.Хранение и ZDS. DNS или файл hosts обеспечивают доступ к сервисам по выбранным доменным именам.

Обозначение Server1 условное. Используйте имя узла из таблицы и файла inventories/single-node/hosts.

Установку можно выполнять с самого узла или с отдельного управляющего сервера.

Минимальные требования

Подготовка PostgreSQL, DNS и TLS

До начала установки:

1. Подготовьте PostgreSQL по инструкции Настройка PostgreSQL.
2. Рассчитайте требуемое количество подключений по инструкции Расчёт max_connections PostgreSQL.
3. Убедитесь, что FQDN узла, Admin UI и S3 API разрешаются с управляющего сервера и с самого узла.
4. Подготовьте wildcard-сертификат или сертификат с SAN для используемых FQDN. Требования к DNS, сертификатам, узлам и дискам приведены в Подготовке к установке.
5. Убедитесь, что лицензия и TLS-файлы доступны на управляющем сервере.

Установка

1. Получение и распаковка архива поставки zakroma-roles

Copy
1tar -xvzf zakroma-roles-<ВЕРСИЯ_АРХИВА>.tar.gz
2cd zakroma-roles-<ВЕРСИЯ_АРХИВА>

Проверьте структуру распакованной поставки:

Copy
1tree -L 1

В корне должны присутствовать как минимум ansible.cfg, files, inventories, playbooks, requirements.yml.template и roles.

Установка из локальных файлов

В этой инструкции все компоненты устанавливаются из локальных файлов архива поставки. Доступ к внешним репозиториям продукта не требуется.

2. Настройка инвентаря Ansible

Отредактируйте inventories/single-node/hosts. Оставьте в группах certificates, zakroma-storage и zakroma-zds-fs только один узел.

Замените имя узла и IP-адрес. Значение zakroma_zds_node_name должно быть постоянным и не должно меняться в процессе эксплуатации.

Copy
1[certificates]
2plank ansible_host=10.40.0.10
3
4[zakroma-storage]
5plank ansible_host=10.40.0.10
6
7# Не изменяйте zakroma_zds_node_name после ввода стенда в эксплуатацию.
8[zakroma-zds-fs]
9plank ansible_host=10.40.0.10 zakroma_zds_node_name=plank

Проверьте SSH-доступ и выполнение Python-модулей Ansible:

Copy
1ANSIBLE_CONFIG=ansible.cfg ansible -m ping -i inventories/single-node/hosts all

Ожидаемый результат: узел отвечает SUCCESS и pong.

3. Настройка распространения сертификатов

Поместите сертификат и ключ в каталог files на управляющем сервере. Затем отредактируйте inventories/single-node/group_vars/certificates.yml.

Исходный файл содержит два элемента списка certs для узла plank: сертификат Keycloak и сертификат Закрома.Хранение. Keycloak в этом сценарии не устанавливается — удалите элемент с файлами keycloak.crt и keycloak.key, затем настройте оставшийся элемент.

Copy
1---
2certificates_copy_source_path: "files"
3
4host_cert_config:
5  plank: # имя из инвентаря Ansible
6    certs:
7      - src_dir: "{{ certificates_copy_source_path }}"
8        dest_dir: "/opt/certs/"
9        cert_file: "zakroma.crt"
10        key_file: "zakroma.key"
11        owner: "zakroma"
12        group: "zakroma"
13        cert_permissions: "0644"
14        key_permissions: "0600"

4. Настройка Закрома.Хранение

Отредактируйте inventories/single-node/group_vars/zakroma-storage.yml. Не заменяйте файл приведёнными ниже фрагментами целиком: сохраните остальные параметры поставки без изменений и измените только перечисленные параметры.

4.1. Настройка подключения к PostgreSQL

Параметры PostgreSQL находятся в нескольких блоках исходного файла. Во всех блоках должны использоваться одинаковые хост, порт, пользователь, пароль, имя базы и SSL-режим; значение postgresql_schema_name оставьте соответствующим компоненту.

Чтобы не повторять параметры подключения, задайте общие переменные рядом с существующей переменной zakroma_storage_postgresql_host. Блоки компонентов ниже уже используют эти общие значения:

Copy
1zakroma_storage_postgresql_host: "<POSTGRESQL_FQDN>"
2zakroma_storage_postgresql_port: 5432
3zakroma_storage_postgresql_username: "<POSTGRESQL_USER>"
4zakroma_storage_postgresql_password: "<POSTGRESQL_PASSWORD>"
5zakroma_storage_postgresql_dbname: "zakroma"
6zakroma_storage_postgresql_sslmode: "<POSTGRESQL_SSLMODE>"
7zakroma_storage_postgresql_max_open_conns: 10
8zakroma_storage_postgresql_max_idle_conns: 5
9zakroma_storage_postgresql_connection_timeout: "10s"
10zakroma_storage_postgresql_target_session_attrs: "read-write"

В каждом существующем блоке компонента замените только параметры подключения. Например:

Copy
1zakroma_storage_core:
2  postgresql_host: "{{ zakroma_storage_postgresql_host }}"
3  postgresql_port: "{{ zakroma_storage_postgresql_port }}"
4  postgresql_username: "{{ zakroma_storage_postgresql_username }}"
5  postgresql_password: "{{ zakroma_storage_postgresql_password }}"
6  postgresql_dbname: "{{ zakroma_storage_postgresql_dbname }}"
7  postgresql_schema_name: core
8  postgresql_sslmode: "{{ zakroma_storage_postgresql_sslmode }}"
9  postgresql_max_open_conns: "{{ zakroma_storage_postgresql_max_open_conns }}"
10  postgresql_max_idle_conns: "{{ zakroma_storage_postgresql_max_idle_conns }}"
11  postgresql_connection_timeout: "{{ zakroma_storage_postgresql_connection_timeout }}"
12  postgresql_target_session_attrs: "{{ zakroma_storage_postgresql_target_session_attrs }}"
13  # Остальные параметры zakroma_storage_core сохраните без изменений.

Защита чувствительных данных

Для безопасной работы с конфигурациями Ansible и переменными используйте ansible-vault. Ниже приведён пример шифрования пароля PostgreSQL.

Copy
1ANSIBLE_CONFIG=ansible.cfg ansible-vault encrypt_string \
2  --name zakroma_storage_postgresql_password

Завершение ввода значения

После ввода Vault-пароля введите значение переменной. Чтобы завершить ввод без добавления перевода строки, не нажимая Enter, нажмите Ctrl+D.

Введите Vault-пароль и значение переменной, затем вставьте весь полученный YAML-блок с !vault вместо открытого zakroma_storage_postgresql_password. Если используются зашифрованные переменные, добавляйте при запуске Ansible ключ из примера в разделе распространения лицензии.

4.2. Настройка домена, TLS и локальной авторизации

Измените FQDN сервиса Admin UI, базовый домен, параметры TLS и параметры учётной записи локального администратора. Остальные параметры внутри блока zakroma_storage_gateway можно оставить без изменений.

Copy
1zakroma_storage_admin:
2  path: "<ADMIN_UI_FQDN>"
3
4zakroma_storage_nginx_proxy: false
5zakroma_storage_base_domain: "<BASE_DOMAIN>"
6
7zakroma_storage_gateway:
8  host: "<GATEWAY_FQDN>"
9  s3api_port: 80
10  management_port: 8080
11  admin_console_location: "/opt/zakroma/zakroma-storage-admin/frontend/dist/admin-ui/"
12  tls:
13    enabled: true
14    certs:
15      - key: "/opt/certs/zakroma.key"
16        crt: "/opt/certs/zakroma.crt"
17  path_to_licence: "/opt/zakroma/zakroma-storage-gateway/bin/licence"
18
19  default_admin: "<LOCAL_ADMIN>"
20  auth:
21    auth_provider: file
22    user_provider: file
23    users:
24      - name: "<LOCAL_ADMIN>"
25        password: "<LOCAL_ADMIN_PASSWORD>"
26        groups:
27          - clouduser
28# Группа clouduser тут указана в качестве примера.

При использовании внешнего Nginx см. Настройка Nginx. Роль zakroma-storage не устанавливает внешний балансировщик.

5. Настройка сервиса ZDS в режиме FS

Отредактируйте inventories/single-node/group_vars/zakroma-zds-fs.yml. Режим FS работает на одном узле без избыточного кодирования. Сохраните неизменяемые параметры поставки и замените только значения, которые зависят от конфигурации вашего узла.

Copy
1# Список mountpoint на файловой системе, которые будет использовать ZDS
2zakroma_zds_volumes:
3  - index: 1
4    path: /mnt/data
5
6# Логин для подключения
7zakroma_zds_auth_user: "<ZDS_USER>"
8
9# Пароль для подключения
10zakroma_zds_auth_passwd: "<ZDS_PASSWORD>"

6. Проверка конфигурации

Проверьте, что инвентарь и YAML-файлы корректно загружаются Ansible:

Copy
1ANSIBLE_CONFIG=ansible.cfg ansible-inventory \
2  -i inventories/single-node/hosts \
3  --list >/dev/null

7. Распространение сертификатов и лицензии

Выполните плейбук для распространения сертификатов:

Copy
1ANSIBLE_CONFIG=ansible.cfg ansible-playbook \
2  -i inventories/single-node/hosts \
3  playbooks/sample-play-copy-certificates.yml

На узле проверьте файлы, владельца и права:

Copy
1sudo stat -c '%U:%G %a %n' /opt/certs/zakroma.crt /opt/certs/zakroma.key
2openssl x509 -in /opt/certs/zakroma.crt -noout -subject -issuer -dates

Ожидаются владелец zakroma, права 644 для сертификата и 600 для ключа. На управляющем сервере проверьте цепочку исходного сертификата с доверенным CA:

Copy
1openssl verify -CAfile <CA_CERTIFICATE> files/zakroma.crt

Ожидаемый результат — files/zakroma.crt: OK.

Поместите лицензию в files/zakroma-licence/licence и убедитесь, что файл существует:

Copy
1test -f files/zakroma-licence/licence

Скопируйте лицензию на узел:

Copy
1ANSIBLE_CONFIG=ansible.cfg ansible-playbook \
2  -i inventories/single-node/hosts \
3  playbooks/sample-play-copy-licence-file.yml \
4  --ask-vault-pass

Проверьте, что лицензия находится по пути из zakroma_storage_gateway.path_to_licence:

Copy
1sudo test -f /opt/zakroma/zakroma-storage-gateway/bin/licence

8. Preflight-проверка перед установкой

После распространения сертификатов и лицензии выполните preflight-проверку Закрома.Хранение:

Copy
1ANSIBLE_CONFIG=ansible.cfg ansible-playbook \
2  -i inventories/single-node/hosts \
3  playbooks/sample-play-zakroma-storage-preflight.yml

Переходите к установке только после успешного выполнения плейбука. В PLAY RECAP должны быть unreachable=0 и failed=0.

Диагностика ошибок preflight

Preflight проверяет разрешение имени и доступность PostgreSQL, подключение с указанными учётными данными, наличие базы данных и требуемых схем. Если проверка завершилась ошибкой, используйте сообщение Ansible, чтобы определить причину:

Для ZDS в режиме FS отдельного preflight-плейбука в поставке нет. Проверьте узел вручную:

Copy
1mountpoint /mnt/data
2df -h /mnt/data
3ss -ltn | grep -E ':8088|:8089' || echo "порты свободны"

Ожидаемый результат: том данных смонтирован, на нём достаточно свободного места, порты ZDS не заняты другими процессами.

9. Установка Закрома.Хранение и сервиса ZDS

Установите сервисы Закрома.Хранение:

Copy
1ANSIBLE_CONFIG=ansible.cfg ansible-playbook \
2  -i inventories/single-node/hosts \
3  playbooks/sample-play-zakroma-storage.yml

В выводе Ansible PLAY RECAP должны быть unreachable=0 и failed=0. До установки ZDS проверьте доступность сервисов Закрома.Хранение:

Copy
1sudo systemctl status --no-pager --full \
2  zakroma-storage-monolith.service \
3  zakroma-storage-gateway.service

Для обоих сервисов должно быть указано состояние Active: active (running) и время работы с момента запуска. После этого установите сервис ZDS:

Copy
1ANSIBLE_CONFIG=ansible.cfg ansible-playbook \
2  -i inventories/single-node/hosts \
3  playbooks/sample-play-zakroma-zds-fs.yml

В выводе Ansible PLAY RECAP должны быть unreachable=0 и failed=0. Проверьте сервис ZDS:

Copy
1sleep 5
2sudo systemctl status --no-pager --full zakroma-ds-agent.service

Ожидаемое состояние — Active: active (running) с указанием времени работы сервиса.

Проверка готовности

10. Проверка работоспособности сервисов и API

На узле выполните:

Copy
1sudo systemctl status --no-pager --full \
2  zakroma-storage-monolith.service \
3  zakroma-storage-gateway.service \
4  zakroma-ds-agent.service
5
6sudo systemctl is-enabled zakroma-storage-monolith.service
7sudo systemctl is-enabled zakroma-storage-gateway.service
8sudo systemctl is-enabled zakroma-ds-agent.service

Все сервисы должны иметь состояние Active: active (running), а команды проверки автозапуска — вернуть enabled.

Проверьте, что Admin UI открывается по настроенному FQDN. Подробная проверка сервисов приведена в Проверке статуса сервисов.

11. Функциональная проверка S3

Откройте Admin UI по настроенному FQDN и подключите ZDS, указав адрес узла, порт 8088 и учётные данные из шага 5. Затем создайте рабочую область, бакет, разрешающую политику и S3-ключ тестового пользователя. Для проверки используйте отдельный тестовый объект, который после проверки можно удалить.

Передайте секретный ключ интерактивно:

Copy
1export AWS_ACCESS_KEY_ID='<S3_ACCESS_KEY>'
2read -rsp 'AWS Secret Access Key: ' AWS_SECRET_ACCESS_KEY
3export AWS_SECRET_ACCESS_KEY
4echo
5export S3_ENDPOINT='https://<WORKSPACE_FQDN>:<S3_API_PORT>'
6export S3_BUCKET='<TEST_BUCKET>'
7AWS_TLS_OPTION=''

Самоподписанный сертификат

Если S3 API использует самоподписанный сертификат, перед проверкой добавьте переменную среды AWS_TLS_OPTION='--no-verify-ssl'. Параметр отключает для AWS CLI проверку сертификата сервера, поэтому используйте его только для функционального теста. Для сертификата от доверенного центра сертификации оставьте переменную пустой.

Загрузите объект, проверьте его наличие, скачайте, сравните и удалите:

Copy
1object="single-node-$(date +%s).txt"
2printf 'S3 functional check\n' >/tmp/zakroma-s3-source.txt
3aws ${AWS_TLS_OPTION} --endpoint-url "$S3_ENDPOINT" s3 cp /tmp/zakroma-s3-source.txt "s3://${S3_BUCKET}/${object}"
4aws ${AWS_TLS_OPTION} --endpoint-url "$S3_ENDPOINT" s3 ls "s3://${S3_BUCKET}/${object}"
5aws ${AWS_TLS_OPTION} --endpoint-url "$S3_ENDPOINT" s3 cp "s3://${S3_BUCKET}/${object}" /tmp/zakroma-s3-downloaded.txt
6cmp /tmp/zakroma-s3-source.txt /tmp/zakroma-s3-downloaded.txt
7aws ${AWS_TLS_OPTION} --endpoint-url "$S3_ENDPOINT" s3 rm "s3://${S3_BUCKET}/${object}"
8rm -f /tmp/zakroma-s3-source.txt /tmp/zakroma-s3-downloaded.txt
9unset AWS_SECRET_ACCESS_KEY
10unset AWS_TLS_OPTION

Проверка успешна, если cmp не вывел различий, а объект удалён из бакета.

12. Повторный запуск и проверка идемпотентности

Повторно выполните плейбуки установки с тем же инвентарём Ansible и переменными group_vars:

Copy
1ANSIBLE_CONFIG=ansible.cfg ansible-playbook \
2  -i inventories/single-node/hosts \
3  playbooks/sample-play-zakroma-storage.yml
4
5ANSIBLE_CONFIG=ansible.cfg ansible-playbook \
6  -i inventories/single-node/hosts \
7  playbooks/sample-play-zakroma-zds-fs.yml

Успешный результат повторного запуска:

• в PLAY RECAP нет failed и unreachable;
• сервисы и функциональный S3-тест остаются рабочими;
• изменения в PLAY RECAP объяснимы, например перезапуск сервиса после реального изменения конфигурации.