Распечатывание и ключи
Почему после перезапуска узел запечатан?
При seal на основе Shamir это штатное поведение: ключ расшифровки хранится только в памяти. Распечатайте узел командой d8 stronghold operator unseal или настройте автоматическое распечатывание через HSM или KMS. Подробнее — в разделе «Устранение неполадок».
Нужно ли распечатывать каждый узел кластера?
Да. При Shamir seal каждый узел распечатывается отдельно после каждого запуска. При auto unseal узлы распечатываются автоматически. Подробнее — в разделе «Seal».
Как сменить держателей ключей распечатывания?
Выполните rekey с новым числом долей и PGP-ключами новых держателей. Подробнее — в разделе «Управление ключами».
Нужно ли хранить root-токен?
Нет. Отзовите root-токен после начальной настройки и генерируйте новый только для экстренных операций. В DP в режиме Automatic root-токен хранится в секрете stronghold-keys и используется stronghold-automatic, поэтому не отзывайте его. Как снизить риски этого секрета, описано в разделе «Чек-лист для production». Генерация root-токена описана в разделе «Управление ключами».
Что делать, если утерян root-токен?
Сгенерируйте новый командой d8 stronghold operator generate-root с пороговым количеством ключей распечатывания или восстановления. Подробнее — в разделе «Генерация root-токена».
Как часто выполнять ротацию ключа шифрования?
Настройте автоматическую ротацию через sys/rotate/config по интервалу или количеству операций, а также выполняйте внеплановую ротацию при подозрении на компрометацию. Подробнее — в разделе «Ротация ключа шифрования».
Резервное копирование и восстановление
Как сделать резервную копию Stronghold?
Для встроенного хранилища Raft создайте снимок командой d8 stronghold operator raft snapshot save. Подробнее — в разделах «Создание снимка» и «Автоматические снимки».
Достаточно ли снимка для восстановления?
Нет. Для распечатывания восстановленного кластера нужны ключи распечатывания или восстановления (или доступ к HSM/KMS), действовавшие на момент создания снимка. Подробнее — в разделе «Восстановление из снимка».
Что делать при потере большинства узлов Raft?
Восстановите кворум по инструкции для Linux или DP.
Мониторинг и журналы
Как подключить Prometheus?
Включите телеметрию с параметром prometheus_retention_time и собирайте метрики с эндпоинта /v1/sys/metrics?format=prometheus. Подробнее — в разделе «Мониторинг».
Какой эндпоинт использовать для проверок балансировщика?
Используйте /v1/sys/health: он доступен без аутентификации и возвращает разные коды для активного, standby- и запечатанного узла. Подробнее — в разделе «Проверка состояния через sys/health».
Чем серверные журналы отличаются от журналов аудита?
Серверные журналы описывают работу процесса Stronghold, журналы аудита — запросы клиентов и ответы на них. Подробнее — в разделах «Серверные журналы» и «Аудит в Stronghold».
Как включить отладочные журналы без перезапуска?
Используйте эндпоинт /sys/loggers или отправьте SIGHUP после изменения log_level. Подробнее — в разделе «Изменение уровня логирования».
Производительность и нагрузка
Почему растёт время ответа?
Частая причина — большое количество аренд и токенов или медленный диск Raft. Подробнее — в разделе «Медленные ответы и рост числа аренд».
Как защитить кластер от приложения, создающего лишнюю нагрузку?
Настройте квоты ограничения частоты запросов для метода аутентификации, точки монтирования или роли.
Сколько узлов нужно в кластере?
Для production — 3 или 5 узлов. Подробнее — в разделе «Планирование ресурсов».
Почему запросы зависают при проблемах с аудитом?
Stronghold не обслуживает запрос, если ни одно аудит-устройство не может его записать. Используйте не менее двух аудит-устройств. Подробнее — в разделе «Аудит-устройство блокирует запросы».
Обновление и сертификаты
Как обновить кластер Stronghold в Linux?
Создайте снимок, обновите standby-узлы по одному, затем переключите активный узел командой d8 stronghold operator step-down и обновите его. Подробнее — в разделе «Обновление».
Как заменить TLS-сертификат без простоя?
Замените файлы по тем же путям и отправьте процессу SIGHUP. Подробнее — в разделе «TLS-сертификаты».
Как Stronghold обновляется в DP?
Модуль обновляется вместе с Deckhouse согласно каналу обновлений. Подробнее — в разделе «Обновление платформы».
Безопасность
Что проверить перед вводом в production?
Пройдите чек-лист для production.
Что делать при компрометации токена?
Отзовите токен и аренды по префиксу, проверьте журналы аудита. Подробнее — в разделе «Действия при компрометации».