ОС Astra Linux Special Edition

Установка серверной части в ОС Astra Linux Special Edition

Серверная часть Termidesk Profiles устанавливается на отдельно подготовленный узел.

Перед установкой необходимо подключить локальный репозиторий Termidesk, как указано в подразделе Получение пакетов установки в ОС Astra Linux Special Edition.

Для установки серверной части Termidesk Profiles выполнить:

sudo apt install trp-server

Установку можно также выполнить из deb-пакета без подключения репозитория командой:

sudo apt install /home/user/trp-server_XXX_amd64.deb

Где:

/home/user/trp-server_XXX_amd64.deb - путь к пакету установки.

Затем нужно создать файл /etc/default/trp-server. Подробное описание файла приведено в подразделе Файл /etc/default/trp-server.

После установки серверной части автоматически запускается и добавляется в автозагрузку ОС служба trp-server.

Проверка состояния службы выполняется командой:

sudo systemctl status trp-server

Строка Active отображает состояние сервиса, где статус active (running) означает успешный запуск.

Для ручного перезапуска службы выполнить:

sudo systemctl restart trp-server

Обновление серверной части в ОС Astra Linux Special Edition

Обновление серверной части Termidesk Profiles выполняется установкой новой версии поверх предыдущей.

Удаление серверной части в ОС Astra Linux Special Edition

Для удаления серверной части Termidesk Profiles из среды ОС Astra Linux Special Edition выполнить:

sudo apt purge -y trp-server

Где:

-y - ключ для пропуска подтверждения удаления.

После этого необходимо очистить оставшиеся зависимости и конфигурации:

sudo apt purge ~c -y

Команда полностью удалит оставшиеся настройки и зависимости.

Для удаления БД и роли пользователя следует выполнить следующие действия, строго соблюдая их последовательность:

  • переключиться на пользователя postgres (через пользователя root):

    sudo su postgres

  • запустить терминальный клиент СУБД:

    psql

  • используя интерактивный интерфейс терминального клиента СУБД, удалить БД:

    DROP DATABASE trp_base01;

  • удалить роль пользователя БД:

    DROP ROLE termidesktrp;

  • выйти из интерактивного интерфейса терминального клиента СУБД:

    \q

  • выйти из сеанса пользователя postgres:

    exit

  • удалить оставшийся каталог с файлами:

    sudo rm -R /opt/termidesk/trp-server/

    Где:

    -R - ключ для рекурсивного действия. Будут удалены все вложенные подкаталоги.

Установка агентской части в ОС Astra Linux Special Edition

Агентская часть Termidesk Profiles устанавливается в гостевую ОС РМ.

Перед установкой необходимо подключить локальный репозиторий Termidesk, как указано в подразделе Получение пакетов установки в ОС Astra Linux Special Edition.

Для установки агентской части Termidesk Profiles выполнить:

sudo apt install trp-agent

Установку можно также выполнить из deb-пакета без подключения репозитория командой:

sudo apt install /home/user/trp-agent_XXX_amd64.deb

Где:

/home/user/trp-agent_XXX_amd64.deb - путь к пакету установки.

После установки агентской части нужно:

  • остановить службу trp-agent:

    sudo systemctl stop trp-agent

  • убедиться, что в PAM включен модуль создания директории mkhomedir:

    grep pam_mkhomedir /etc/pam.d/common-session

  • убедиться, что результат выполнения команды содержит строку:

    session required pam_mkhomedir.so umask=0022 skel /etc/skel

  • если в результате выполнения команды отобразилась пустая строка, то:

    • отредактировать файл /etc/pam.d/common-session, добавив строку:

      session required pam_mkhomedir.so umask=0022 skel /etc/skel

    • убедиться, что в файле теперь содержатся строки:

      session required pam_mkhomedir.so umask=0022 skel /etc/skel
session required        pam_unix.so

  • добавить pam_trp в конец файла /etc/pam.d/common-session:

    session optional pam_exec.so log=/var/log/termidesk/trp/mount.log /opt/termidesk/trp-agent/sbin/pam_trp

  • выполнить настройку запуска агентской части (см. подраздел Параметры конфигурирования агентской части);

  • при использовании защищенного подключения к серверной части по протоколу HTTPS убедиться, что сертификат центра сертификации, выдавший сертификат сервера, является доверенным и содержится в файле /etc/ssl/certs/ca-certificates.crt;

  • затем создать файл /etc/default/trp-agent. Подробное описание файла приведено в подразделе Файл /etc/default/trp-agent;

  • сделать исполняемым файл /opt/termidesk/trp-agent/sbin/pam_trp:

    chmod +x /opt/termidesk/trp-agent/sbin/pam_trp

  • добавить в автоматическую загрузку и запустить службу trp-agent:

    sudo systemctl enable trp-agent
sudo systemctl start trp-agent

Проверка состояния службы выполняется командой:

sudo systemctl status trp-agent

Строка Active отображает состояние сервиса, где статус active (running) означает успешный запуск.

Для ручного перезапуска службы выполнить:

sudo systemctl restart trp-agent

Обновление агентской части в ОС Astra Linux Special Edition

Обновление агентской части Termidesk Profiles выполняется установкой новой версии поверх предыдущей.

Удаление агентской части в ОС Astra Linux Special Edition

Для удаления агентской части Termidesk Profiles из среды ОС Astra Linux Special Edition нужно:

  • выполнить команду:

    sudo apt purge -y trp-agent

    Где:

    -y - ключ для пропуска подтверждения удаления.

  • удалить оставшийся каталог с файлами:

    sudo rm -R /opt/termidesk/trp-agent

    Где:

    -R - ключ для рекурсивного действия. Будут удалены все вложенные подкаталоги.

  • очистить оставшиеся зависимости и конфигурации:

    sudo apt purge ~c -y
Команда полностью удалит оставшиеся настройки и зависимости.

  • очистить настройки PAM, удалив строку из файла /etc/pam.d/common-session:

session optional pam_exec.so log=/var/log/termidesk/trp/mount.log /opt/termidesk/trp-agent/sbin/pam_trp

Установка в режиме замкнутой программной среды

Замкнутая программная среда (ЗПС) является средством повышения безопасности ОС путем контроля целостности (неизменности) файлов.

Механизм контроля реализован в виде невыгружаемого модуля ядра ОС Astra Linux Special Edition (модуль digsig_verif), выполняющего проверку электронной цифровой подписи файлов (ЭЦП).

Перед установкой компонентов Termidesk Profiles необходимо установить пакет termidesk-digsig-keys, для этого:

  • подключить репозиторий Termidesk или получить отдельный пакет termidesk-digsig-keys из репозитория;

  • выполнить установку с использованием репозитория:

    sudo apt -y install termidesk-digsig-keys

  • либо выполнить установку из deb-пакета:

    sudo apt install -y /home/user/termidesk-digsig-keys-XXXXXX_amd64.deb

    Где:

    -y - ключ для пропуска подтверждения установки;

    /home/user/termidesk-digsig-keys-XXXXXX_amd64.deb - расположение пакета termidesk-digsig-keys-XXXXXX_amd64.deb.

  • перезагрузить ОС:

    sudo reboot

  • выполнить установку компонента Termidesk Profiles.

Для ЗПС может быть активирован режим проверки встроенной ЭЦП в расширенных атрибутах (DIGSIG_XATTR_MODE). В этом случае потребуется подписать файлы, которые будут проходить проверку, имеющимися в организации ключами. Информация о процессе подписи и активации механизма проверки встроенной ЭЦП в расширенных атрибутах приведена в справочном центре Astra Linux: https://wiki.astralinux.ru/pages/viewpage.action?pageId=41190634.

Постановка серверной и агентской части на контроль целостности

После установки и настройки серверной и агентской части Termidesk Profiles необходимо поставить их на контроль целостности.

В подразделе приведена процедура только для серверной и агентской части Termidesk Profiles, установленных в ОС Astra Linux Special Edition.

Для контроля целостности используются встроенные в ОС Astra Linux Special Edition программные средства на основе Another File Integrity Checker, представленного пакетом afick.

Настройка регламентного контроля целостности выполняется в конфигурационном файле /etc/afick.conf.

Настройку следует производить только после окончательного внедрения компонента, поскольку с файлов конфигурации и исполняемых файлов будут сняты эталонные контрольные суммы.

Для постановки на контроль целостности серверной части необходимо добавить в конфигурационный файл /etc/afick.conf следующие строки:

/opt/termidesk/trp-server/
/usr/lib/systemd/system/trp-server.service

#Репозиторий Termidesk VDI (если используется)
/var/repos/ PARSEC

Для постановки на контроль целостности агентской части необходимо добавить в конфигурационный файл /etc/afick.conf следующие строки:

/opt/termidesk/trp-agent/
/opt/termidesk/trp-agent/bin/trp_agent
/usr/lib/systemd/system/trp-agent.service

#Репозиторий Termidesk VDI (если используется)
/var/repos/ PARSEC

Для снятия эталонных значений контрольных сумм используется команда:

afick -i

Для проверки соответствия контрольных сумм эталонным значениям автоматически создаются задания в системном планировщике заданий cron.

Для ручной проверки соответствия контрольных сумм используется команда:

afick -k
В случае отсутствия по какой-либо причине исполняемых фалов *.рус, они будут повторно сгенерированы при перезапуске сервера Python. В этом случае нужно повторно проинициализировать средство регламентного контроля целостности afick.