docs: native Ubuntu install as primary; systemd and nginx
- install-ubuntu-24.04-native.md (production) and -docker.md (alternative) - deploy/systemd/sac-api.service, nginx/sac.conf.example, env.native.example - deployment, README, INDEX, work-plan, TZ updated
This commit is contained in:
PTah
+13
-266
@@ -1,277 +1,24 @@
|
||||
# Подготовка сервера Ubuntu 24.04 для Security Alert Center
|
||||
# Подготовка сервера Ubuntu 24.04 для SAC
|
||||
|
||||
Пошаговое руководство: установка софта на **чистый** или обновлённый хост перед развёртыванием SAC.
|
||||
Целевой способ запуска — **Docker Compose** (рекомендуется). В конце — проверка и ссылка на [deployment.md](deployment.md).
|
||||
В эксплуатации KalinaMall используется **только native** (без Docker): PostgreSQL, Python venv, systemd, nginx.
|
||||
|
||||
---
|
||||
## Руководства
|
||||
|
||||
## 0. Исходные данные
|
||||
| Путь | Когда использовать |
|
||||
|------|-------------------|
|
||||
| **[install-ubuntu-24.04-native.md](install-ubuntu-24.04-native.md)** | **Основной** — подготовка и запуск SAC |
|
||||
| [install-ubuntu-24.04-docker.md](install-ubuntu-24.04-docker.md) | Альтернатива (Docker Compose), не для prod |
|
||||
|
||||
Запишите до начала:
|
||||
|
||||
| Параметр | Пример |
|
||||
|----------|--------|
|
||||
| FQDN | `sac.kalinin.example` |
|
||||
| IP | `10.0.0.50` |
|
||||
| Пользователь sudo | `deploy` |
|
||||
| Каталог установки | `/opt/security-alert-center` |
|
||||
|
||||
---
|
||||
|
||||
## 1. Базовая настройка ОС
|
||||
## Быстрый старт (native)
|
||||
|
||||
```bash
|
||||
sudo apt update
|
||||
sudo apt upgrade -y
|
||||
sudo timedatectl set-timezone Europe/Moscow # или ваша IANA-зона
|
||||
timedatectl status
|
||||
```
|
||||
|
||||
Опционально — hostname:
|
||||
|
||||
```bash
|
||||
sudo hostnamectl set-hostname sac-01
|
||||
```
|
||||
|
||||
### 1.1. Firewall (ufw)
|
||||
|
||||
```bash
|
||||
sudo apt install -y ufw
|
||||
sudo ufw default deny incoming
|
||||
sudo ufw default allow outgoing
|
||||
sudo ufw allow OpenSSH
|
||||
sudo ufw allow 80/tcp
|
||||
sudo ufw allow 443/tcp
|
||||
sudo ufw enable
|
||||
sudo ufw status verbose
|
||||
```
|
||||
|
||||
SSH оставьте только с доверенных подсетей, если политика безопасности требует:
|
||||
|
||||
```bash
|
||||
# пример: только внутренняя сеть
|
||||
# sudo ufw allow from 10.0.0.0/8 to any port 22
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
## 2. Установка Git
|
||||
|
||||
```bash
|
||||
sudo apt install -y git
|
||||
git --version
|
||||
```
|
||||
|
||||
Клонирование (после доступа к репозиторию):
|
||||
|
||||
```bash
|
||||
sudo mkdir -p /opt
|
||||
# см. полный чеклист в native-руководстве
|
||||
sudo apt update && sudo apt install -y git postgresql nginx python3.12 python3.12-venv
|
||||
sudo git clone https://git.kalinamall.ru/PapaTramp/security-alert-center.git /opt/security-alert-center
|
||||
sudo chown -R "$USER:$USER" /opt/security-alert-center
|
||||
# … PostgreSQL, venv, /etc/security-alert-center/sac-api.env, systemd, nginx
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
## 3. Установка Docker Engine + Compose plugin
|
||||
|
||||
Официальный репозиторий Docker для Ubuntu 24.04 (noble):
|
||||
|
||||
```bash
|
||||
sudo apt install -y ca-certificates curl gnupg
|
||||
sudo install -m 0755 -d /etc/apt/keyrings
|
||||
curl -fsSL https://download.docker.com/linux/ubuntu/gpg | sudo gpg --dearmor -o /etc/apt/keyrings/docker.gpg
|
||||
sudo chmod a+r /etc/apt/keyrings/docker.gpg
|
||||
|
||||
echo "deb [arch=$(dpkg --print-architecture) signed-by=/etc/apt/keyrings/docker.gpg] https://download.docker.com/linux/ubuntu noble stable" | \
|
||||
sudo tee /etc/apt/sources.list.d/docker.list > /dev/null
|
||||
|
||||
sudo apt update
|
||||
sudo apt install -y docker-ce docker-ce-cli containerd.io docker-buildx-plugin docker-compose-plugin
|
||||
```
|
||||
|
||||
Добавить пользователя в группу `docker` (перелогиниться после):
|
||||
|
||||
```bash
|
||||
sudo usermod -aG docker "$USER"
|
||||
```
|
||||
|
||||
Проверка:
|
||||
|
||||
```bash
|
||||
docker --version
|
||||
docker compose version
|
||||
sudo docker run --rm hello-world
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
## 4. Каталоги данных и конфигурации
|
||||
|
||||
```bash
|
||||
sudo mkdir -p /etc/security-alert-center
|
||||
sudo mkdir -p /var/lib/sac/postgres
|
||||
sudo mkdir -p /var/backups/sac
|
||||
sudo chown -R "$USER:docker" /var/lib/sac
|
||||
```
|
||||
|
||||
Права на секреты:
|
||||
|
||||
```bash
|
||||
sudo chmod 750 /etc/security-alert-center
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
## 5. Конфигурация SAC (.env)
|
||||
|
||||
```bash
|
||||
cd /opt/security-alert-center/deploy
|
||||
cp .env.example /etc/security-alert-center/.env
|
||||
chmod 600 /etc/security-alert-center/.env
|
||||
nano /etc/security-alert-center/.env
|
||||
```
|
||||
|
||||
Обязательно задать (см. комментарии в `.env.example`):
|
||||
|
||||
- `POSTGRES_PASSWORD` — длинный случайный пароль
|
||||
- `JWT_SECRET` — `openssl rand -hex 32`
|
||||
- `SAC_PUBLIC_URL` — публичный URL, например `https://sac.kalinin.example`
|
||||
- `SAC_ADMIN_PASSWORD` — пароль первого admin (только первый запуск)
|
||||
|
||||
Симлинк для compose (удобно):
|
||||
|
||||
```bash
|
||||
ln -sf /etc/security-alert-center/.env /opt/security-alert-center/deploy/.env
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
## 6. Первый запуск SAC
|
||||
|
||||
```bash
|
||||
cd /opt/security-alert-center/deploy
|
||||
docker compose build
|
||||
docker compose up -d --build
|
||||
docker compose run --rm migrate
|
||||
docker compose ps
|
||||
```
|
||||
|
||||
Проверка health (пока без TLS — с хоста):
|
||||
|
||||
```bash
|
||||
curl -sS http://127.0.0.1:8000/health | jq .
|
||||
```
|
||||
|
||||
Ожидается JSON с `"status": "ok"` и `"database": "ok"`.
|
||||
|
||||
Тест ingest (подставьте ключ из `.env` — `SAC_BOOTSTRAP_API_KEY` или созданный в UI):
|
||||
|
||||
```bash
|
||||
curl -sS -X POST http://127.0.0.1:8000/api/v1/events \
|
||||
-H "Authorization: Bearer ВАШ_API_KEY" \
|
||||
-H "Content-Type: application/json" \
|
||||
-d '{
|
||||
"schema_version": "1.0",
|
||||
"event_id": "00000000-0000-4000-8000-000000000001",
|
||||
"occurred_at": "2026-05-26T12:00:00+03:00",
|
||||
"source": {"product": "ssh-monitor", "product_version": "test"},
|
||||
"host": {"hostname": "test-host", "os_family": "linux"},
|
||||
"category": "agent",
|
||||
"type": "agent.test",
|
||||
"severity": "info",
|
||||
"title": "Test",
|
||||
"summary": "Install check"
|
||||
}'
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
## 7. Nginx и TLS (production)
|
||||
|
||||
Установка nginx на хосте **или** использование контейнера из `docker compose` (см. `deploy/docker-compose.yml`).
|
||||
|
||||
### 7.1. Certbot (Let's Encrypt), если есть публичный DNS
|
||||
|
||||
```bash
|
||||
sudo apt install -y nginx certbot python3-certbot-nginx
|
||||
# после настройки server_name в nginx:
|
||||
sudo certbot --nginx -d sac.kalinin.example
|
||||
```
|
||||
|
||||
### 7.2. Внутренний CA
|
||||
|
||||
Используйте корпоративный сертификат в `deploy/nginx/certs/` и смонтируйте в compose.
|
||||
Агентам (ssh-monitor / Windows) нужно доверять этому CA.
|
||||
|
||||
---
|
||||
|
||||
## 8. Автозапуск после перезагрузки
|
||||
|
||||
Docker Compose с `restart: unless-stopped` в `docker-compose.yml` — сервисы поднимутся сами.
|
||||
|
||||
Проверка:
|
||||
|
||||
```bash
|
||||
sudo reboot
|
||||
# после входа:
|
||||
docker compose -f /opt/security-alert-center/deploy/docker-compose.yml ps
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
## 9. Резервное копирование PostgreSQL
|
||||
|
||||
```bash
|
||||
sudo tee /etc/cron.d/sac-backup <<'EOF'
|
||||
0 3 * * * root docker compose -f /opt/security-alert-center/deploy/docker-compose.yml exec -T postgres pg_dump -U sac -Fc sac > /var/backups/sac/sac_$(date +\%Y\%m\%d).dump
|
||||
EOF
|
||||
```
|
||||
|
||||
Ротация старых дампов — `logrotate` или скрипт по политике (14 daily).
|
||||
|
||||
---
|
||||
|
||||
## 10. Обновление SAC
|
||||
|
||||
```bash
|
||||
cd /opt/security-alert-center
|
||||
git pull
|
||||
cd deploy
|
||||
docker compose build
|
||||
docker compose up -d
|
||||
docker compose exec api alembic upgrade head
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
## 11. Чеклист готовности сервера
|
||||
|
||||
- [ ] Ubuntu 24.04, время и timezone верные
|
||||
- [ ] ufw: 22 (по политике), 80, 443
|
||||
- [ ] Docker и compose работают
|
||||
- [ ] Репозиторий в `/opt/security-alert-center`
|
||||
- [ ] `/etc/security-alert-center/.env` заполнен, chmod 600
|
||||
- [ ] `docker compose up` — все контейнеры healthy
|
||||
- [ ] `GET /health` — ok
|
||||
- [ ] Тестовый `POST /api/v1/events` — 202
|
||||
- [ ] TLS настроен (prod)
|
||||
- [ ] cron backup
|
||||
|
||||
---
|
||||
|
||||
## 12. Устранение неполадок
|
||||
|
||||
| Симптом | Действие |
|
||||
|---------|----------|
|
||||
| `database: error` в /health | `docker compose logs postgres api`, проверить `DATABASE_URL` |
|
||||
| 401 на ingest | неверный API key; см. `SAC_BOOTSTRAP_API_KEY` в .env |
|
||||
| Нет места на диске | `df -h`, очистка journal/docker: `docker system prune` |
|
||||
| Порт 8000 занят | изменить mapping в compose или остановить конфликтующий сервис |
|
||||
|
||||
---
|
||||
|
||||
## См. также
|
||||
|
||||
- [deployment.md](deployment.md) — архитектура, порты, эксплуатация
|
||||
- [agent-integration.md](agent-integration.md) — настройка агентов после поднятия SAC
|
||||
- [TZ.md](TZ.md) — требования
|
||||
- [deployment.md](deployment.md)
|
||||
- [../deploy/README.md](../deploy/README.md)
|
||||
|
||||
Reference in New Issue
Block a user