Gå till innehållet

Installation

Obs

Som påminnelse: byte till root på Debian-maskiner måste göras med följande kommando:

1
su -

Anvisningarna på denna sida ska följas vid installationen av alla noder i PostgreSQL-clustret.

Systeminställningar

Anslutning till maskinen

Som standard finns det två konton på de virtuella appliancerna: ett användarkonto och ett superanvändarkonto.

  • Användarkonto
    • Inloggning: systancia
    • Lösenord: systnci
  • Superanvändarkonto
    • Inloggning: root
    • Lösenord: systnci

Anslut till maskinen i konsolläge.

Obs

Standardtangentbordslayouten är QWERTY.

Ändring av tangentbordslayouten

Du kan ändra tangentbordslayouten med följande kommandorad:

1
dpkg-reconfigure keyboard-configuration

En meny visas där du kan välja en annan tangentbordslayout.

Använd därefter följande kommandorad för att tillämpa och spara inställningarna:

1
setupcon -k --save

Inställningarna får verkan omedelbart efter att detta kommando har körts.

Konfiguration av nätverket

Det kan hända att den virtuella appliancen inte får någon nätverkskonfiguration vid start, av följande skäl:

  • Nätverksgränssnittets namn är inte ens192: appliancen är konfigurerad för DHCP endast på gränssnittet ens192
  • Ingen DHCP-server är tillgänglig

Kör följande kommando som root för att kontrollera nätverksgränssnittets namn, dess status och de tilldelade IP-adresserna:

1
ip -br a | grep -ve "^lo"
Exempel

När kommandot har körts visas följande svar:

1
ens192      UP      10.100.0.51/24

Nätverksgränssnittets namn i exemplet är ens192, gränssnittet är aktivt och har IP-adressen 10.100.0.51/24.

Om namnet skiljer sig från ens192 eller om kommandot inte returnerar någon nätverkskonfiguration måste du konfigurera nätverket manuellt med följande kommandon:

1
2
ip address add IP_ADDRESS/SUBNET dev DEV_NAME
ip route add default via GATEWAY

Ersätt:

  • IP_ADDRESS med maskinens IP-adress
  • SUBNET med subnätet
  • DEV_NAME namnet på det tidigare hämtade nätverksgränssnittet
  • GATEWAY med nätverkets gateway
Exempel

För att konfigurera PostgreSQL-noden med följande information:

  • IP-adress: 10.100.0.51
  • Subnät: /24 eller 255.255.255.0
  • Nätverksgränssnittets namn: eth0
  • Nätverkets gateway: 10.100.0.254

Kommandona är följande:

1
2
ip address add 10.100.0.51/24 dev eth0
ip route add default via 10.100.0.254

Obs

Denna nätverkskonfiguration är tillfällig, därför återställer varje omstart av servern de manuella inställningar som gjorts med kommandona ip address och ip route.
Den permanenta konfigurationen utförs av konfigurationsverktyget för PostgreSQL-clustret.

Tack vare denna nätverkskonfiguration kan du dock nu komma åt PostgreSQL-noden via SSH.

Ändring av tidszonen

Som standard är den virtuella appliancen inställd på tidszonen Europe/Paris.

För att ändra denna tidszon, hämta först syntaxen för de tillgängliga tidszonerna med följande kommando:

1
timedatectl list-timezones

Använd därefter följande kommandorad:

1
timedatectl set-timezone your_time_zone
Exempel

För att ställa in tidszonen på London måste följande kommando köras:

1
timedatectl set-timezone Europe/London

Kontrollera serverns tidszon med följande kommandorad:

1
timedatectl

Konfiguration av en NTP-tidsserver

Fara

Det rekommenderas starkt att du konfigurerar en tidsserver för att hålla systemklockan uppdaterad: varje tidsskillnad mellan PostgreSQL-noderna kan orsaka instabilitet och till och med göra att clustret slutar fungera.

De nödvändiga stegen beskrivs på sidan om NTP-konfiguration (konfigurationen motsvarar den för Mediation Controller-servrarna i CyberElements Bastion).

Skapa en PKI för att generera certifikat för PostgreSQL-noderna

Information

Detta avsnitt är valfritt om du redan har en PKI som du har kunnat generera de certifikat som anges i förutsättningarna med.
Detta avsnitt presenterar de olika stegen för att skapa en PKI och de certifikat som krävs för PostgreSQL-clustret. Observera att det inte anges hur de förnyas, eftersom förnyelse av ett certifikat innebär att det skapas på nytt.

Hoppa över detta steg

Observera!

Det beskrivna förfarandet har validerats på en Debian 12-maskin med paketet openssl. Alla maskiner med en aktuell version av OpenSSL (den validerade versionen är 3.0.17) kan dock genomföra förfarandet. Utom under Windows eller MacOS, där systemkommandona måste anpassas.

Definition av variabler och anpassningar

Detta avsnitt innehåller olika kommandon och konfigurationsfiler som använder variabler som kan ändras.
Tabellen nedan sammanfattar alla värden och gör det möjligt att definiera dem så att du kan ändra dem direkt i de kommandon som visas på denna sida.

Värde Variabel Definition
PSQL_IP Virtuell IP-adress för PostgreSQL-clustret.
PSQL_NAME Kort namn (inte FQDN) som är kopplat till PostgreSQL-clustrets virtuella IP-adress.
PSQL_1_IP IP-adress för nod nr 1 i PostgreSQL-clustret.
PSQL_1_NAME Kort namn (inte FQDN) för nod nr 1 i PostgreSQL-clustret.
PSQL_2_IP IP-adress för nod nr 2 i PostgreSQL-clustret.
PSQL_2_NAME Kort namn (inte FQDN) för nod nr 2 i PostgreSQL-clustret.
PSQL_3_IP IP-adress för nod nr 3 i PostgreSQL-clustret.
PSQL_3_NAME Kort namn (inte FQDN) för nod nr 3 i PostgreSQL-clustret.
CA_ROOT_NAME Namn som tilldelas rotcertifikatutfärdaren (CA) i PKI:n.

Förberedelse

Följande åtgärder utförs i en ny katalog för att samla alla nya filer i en enda katalog. Vilken katalog som helst kan användas, men åtkomsten till den måste begränsas så mycket som möjligt. *Logga in på PostgreSQL-nod nr 1 som root och kör följande kommandon:

1
2
3
mkdir /root/psql-certificates/
chmod 600 /root/psql-certificates/
cd /root/psql-certificates/

Skapa rotcertifikatutfärdaren

Kör följande kommando för att skapa en ny rot-CA. Du uppmanas att ange ett lösenord för att skydda CA:n:

1
openssl req -x509 -newkey rsa:4096 -days 3650 -sha512 -keyout CA_ROOT_NAME.key -out CA_ROOT_NAME.crt -subj "/CN=CA_ROOT_NAME" -extensions v3_ca -addext "subjectKeyIdentifier=hash" -addext "authorityKeyIdentifier=keyid:always,issuer:always" -addext "basicConstraints=critical,CA:true" -addext "keyUsage=critical,digitalSignature,cRLSign,keyCertSign"

Ersätt CA_ROOT_NAME med namnet på rot-CA:n om du inte har anpassat det här.

Skapa certifikaten

Kommandona som krävs för att generera certifikat för PostgreSQL-noderna är följande:

1
2
3
openssl genrsa -out PSQL_1_NAME.key 4096
openssl req -new -key PSQL_1_NAME.key -out PSQL_1_NAME.csr -subj "/CN=PSQL_1_NAME"
openssl x509 -req -in PSQL_1_NAME.csr -CA CA_ROOT_NAME.crt -CAkey CA_ROOT_NAME.key -CAcreateserial -out PSQL_1_NAME.crt -days 1825 -sha512 -extfile <(printf "subjectKeyIdentifier=hash\nauthorityKeyIdentifier=keyid,issuer\nbasicConstraints=critical,CA:FALSE\nkeyUsage=critical,digitalSignature\nextendedKeyUsage=serverAuth,clientAuth\nsubjectAltName=DNS:PSQL_NAME,DNS:PSQL_1_NAME,IP:PSQL_IP,IP:PSQL_1_IP")

Ersätt CA_ROOT_NAME, PSQL_IP, PSQL_NAME, PSQL_1_IP och PSQL_1_NAME om du inte har anpassat dem här.

1
2
3
openssl genrsa -out PSQL_2_NAME.key 4096
openssl req -new -key PSQL_2_NAME.key -out PSQL_2_NAME.csr -subj "/CN=PSQL_2_NAME"
openssl x509 -req -in PSQL_2_NAME.csr -CA CA_ROOT_NAME.crt -CAkey CA_ROOT_NAME.key -CAcreateserial -out PSQL_2_NAME.crt -days 1825 -sha512 -extfile <(printf "subjectKeyIdentifier=hash\nauthorityKeyIdentifier=keyid,issuer\nbasicConstraints=critical,CA:FALSE\nkeyUsage=critical,digitalSignature\nextendedKeyUsage=serverAuth,clientAuth\nsubjectAltName=DNS:PSQL_NAME,DNS:PSQL_2_NAME,IP:PSQL_IP,IP:PSQL_2_IP")

Ersätt CA_ROOT_NAME, PSQL_IP, PSQL_NAME, PSQL_2_IP och PSQL_2_NAME om du inte har anpassat dem här.

1
2
3
openssl genrsa -out PSQL_3_NAME.key 4096
openssl req -new -key PSQL_3_NAME.key -out PSQL_3_NAME.csr -subj "/CN=PSQL_3_NAME"
openssl x509 -req -in PSQL_3_NAME.csr -CA CA_ROOT_NAME.crt -CAkey CA_ROOT_NAME.key -CAcreateserial -out PSQL_3_NAME.crt -days 1825 -sha512 -extfile <(printf "subjectKeyIdentifier=hash\nauthorityKeyIdentifier=keyid,issuer\nbasicConstraints=critical,CA:FALSE\nkeyUsage=critical,digitalSignature\nextendedKeyUsage=serverAuth,clientAuth\nsubjectAltName=DNS:PSQL_NAME,DNS:PSQL_3_NAME,IP:PSQL_IP,IP:PSQL_3_IP")

Ersätt CA_ROOT_NAME, PSQL_IP, PSQL_NAME, PSQL_3_IP och PSQL_3_NAME om du inte har anpassat dem här.

Det första kommandot skapar en ny nyckel, det andra genererar en fil med certifikatbegäran CSR och det tredje skapar själva certifikatet.

Det återstår bara att konvertera certifikatet till P12, vilket kräver att du anger ett lösenord:

1
openssl pkcs12 -chain -CAfile CA_ROOT_NAME.crt -export -inkey PSQL_1_NAME.key -in PSQL_1_NAME.crt -out PSQL_1_NAME.p12

1
openssl pkcs12 -chain -CAfile CA_ROOT_NAME.crt -export -inkey PSQL_2_NAME.key -in PSQL_2_NAME.crt -out PSQL_2_NAME.p12

1
openssl pkcs12 -chain -CAfile CA_ROOT_NAME.crt -export -inkey PSQL_3_NAME.key -in PSQL_3_NAME.crt -out PSQL_3_NAME.p12

De filer som krävs för att installera PostgreSQL-clustret finns här (ersätt variablerna CA_ROOT_NAME, PSQL_1_NAME, PSQL_2_NAME och PSQL_3_NAME med de värden du valde tidigare):

  • /root/psql-certificates/CA_ROOT_NAME.crt: certifikat för rot-CA:n
  • /root/psql-certificates/PSQL_1_NAME.p12: certifikat för PostgreSQL-nod nr 1
  • /root/psql-certificates/PSQL_2_NAME.p12: certifikat för PostgreSQL-nod nr 2
  • /root/psql-certificates/PSQL_3_NAME.p12: certifikat för PostgreSQL-nod nr 3

Installation av ett PostgreSQL-cluster

Information

Följande steg måste utföras på alla tre PostgreSQL-noderna.

Förberedelse av konfigurationen av PostgreSQL-clustret

En SFTP- eller SCP-anslutning måste upprättas för att skicka följande till appliancen:

  • Certifikatet från den certifikatutfärdare som har signerat certifikaten för PostgreSQL-noderna
  • Certifikatet för PostgreSQL-noden i formatet P12

Observera att SFTP- eller SCP-anslutningar inte kan initieras med kontot root. Dessutom kan filerna helt enkelt placeras i /home/systancia/.

Dessa filer måste flyttas till en ny katalog:

1
2
3
mkdir /etc/ssl/certs/cleanroom/
mv /home/systancia/PSQL_?_NAME.p12 /etc/ssl/certs/cleanroom/
mv /home/systancia/ROOT_CA_NAME.crt /etc/ssl/certs/cleanroom/

Ersätt:

  • PSQL_?_NAME med namnet på det certifikat som är avsett för den PostgreSQL-nod som installeras
  • ROOT_CA_NAME med namnet på rotcertifikatutfärdarens certifikat
1
2
3
mkdir /etc/ssl/certs/cleanroom/
cp /root/psql-certificates/PSQL_1_NAME.p12 /etc/ssl/certs/cleanroom/
cp /root/psql-certificates/CA_ROOT_NAME.crt /etc/ssl/certs/cleanroom/

Kommandona ovan måste ha anpassats enligt anpassningsinställningarna. 

1
2
3
mkdir /etc/ssl/certs/cleanroom/
mv /home/systancia/PSQL_2_NAME.p12 /etc/ssl/certs/cleanroom/
mv /home/systancia/CA_ROOT_NAME.crt /etc/ssl/certs/cleanroom/

Kommandona ovan måste ha anpassats enligt anpassningsinställningarna. 

1
2
3
mkdir /etc/ssl/certs/cleanroom/
mv /home/systancia/PSQL_3_NAME.p12 /etc/ssl/certs/cleanroom/
mv /home/systancia/CA_ROOT_NAME.crt /etc/ssl/certs/cleanroom/

Kommandona ovan måste ha anpassats enligt anpassningsinställningarna.

Konfiguration av PostgreSQL-noden

För att starta initieringen av nodens konfiguration måste följande kommandon köras:

1
2
cd /etc/ssl/certs/cleanroom/
ConfigureSystanciaVault.py

Det andra kommandot startar ett verktyg som kräver följande information:

  1. Nya lösenord för de lokala användarna root och systancia
  2. Namnet på PostgreSQL-noden (inte FQDN)
  3. PostgreSQL-nodens IP-adress, namnet på dess nätverksgränssnitt, den standardgateway för nätverket som ska användas samt DNS-servrarna och DNS-suffixet
  4. Versionen av PostgreSQL; vi rekommenderar version 15
  5. Åtkomstporten till PostgreSQL-clustret; vi rekommenderar port 5432
  6. Lösenordet för det PostgreSQL-konto som används för replikering och för pg_rewind
  7. Namn och IP-adress för en andra PostgreSQL-nod
  8. Namn och IP-adress för den sista PostgreSQL-noden
  9. PostgreSQL-clustrets virtuella IP-adress
  10. IP-adresserna (åtskilda med kommatecken) för Edge Gateways i CyberElements Bastion eller för alla andra maskiner som behöver ansluta till clustret
  11. Namn och lösenord för PostgreSQL-användarkontot
  12. De IP-adresser eller nätverk (åtskilda med kommatecken) som har behörighet att ansluta via SSH till PostgreSQL-noderna
  13. Certifikatinformationen för PostgreSQL-noden (nodens certifikat i P12-format + rot-CA:ns certifikat)

När du har angett denna information visas en sammanfattning av alla dina uppgifter innan du bekräftar.
När du har bekräftat den angivna informationen visas ett meddelande om ändringar i filen /etc/ssh/sshd_config. Välj standardalternativet keep the local version currently installed.

För att tillämpa konfigurationen krävs en omstart:

1
reboot
Tips för att snabba upp installationen av PostgreSQL-noderna nr 2 och nr 3

När du har installerat PostgreSQL-nod nr 1 kan du hämta de konfigurationsinställningar som användes vid installationen i filen /etc/cleanroom-vault.ini.

Exempel på filen /etc/cleanroom-vault.ini

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
[local]
name = PSQL-1
ip = 172.16.10.51

[cluster]
server1 = PSQL-2,172.16.10.52
server2 = PSQL-3,172.16.10.53

[ssl]
ca = MY-ROOT-CA.crt
client_cert = /etc/cleanroomvault.crt
client_key = /etc/cleanroomvault.key
peer_cert = /etc/cleanroomvault.crt
peer_key = /etc/cleanroomvault.key

[postgresql]
port = 5432
cluster = cleanroomvault5
version = 15

[patroni]
api_port = 8008
replication_password = R3pl1cationP@SSw0rd
rewind_password = Rew1ndP@SSw0rd

[vip]
interface = ens192
ip = 172.16.10.50

[cleanroom]
gw_ips = 172.16.10.10, 172.16.10.11
db_user = DbUser
db_password = DbP@SSw0rd

[networking]
interface = ens192
ip = 172.16.10.51/24
gateway = 172.16.10.254
dns = 172.16.10.100
dnssuffix = domain.local

[ssh]
allow = 10.0.20.0/24

Det räcker med att ändra de markerade raderna med värdena för den PostgreSQL-nod som installeras, utifrån den fil du hämtade från PostgreSQL-nod nr 1.

Fara

Om du återanvänder exempelfilen måste du ändra alla följande markerade värden efter din miljö:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
[local]
name = PSQL-1
ip = 172.16.10.51

[cluster]
server1 = PSQL-2,172.16.10.52
server2 = PSQL-3,172.16.10.53

[ssl]
ca = MY-ROOT-CA.crt
client_cert = /etc/cleanroomvault.crt
client_key = /etc/cleanroomvault.key
peer_cert = /etc/cleanroomvault.crt
peer_key = /etc/cleanroomvault.key

[postgresql]
port = 5432
cluster = cleanroomvault5
version = 15

[patroni]
api_port = 8008
replication_password = R3pl1cationP@SSw0rd
rewind_password = Rew1ndP@SSw0rd

[vip]
interface = ens192
ip = 172.16.10.50

[cleanroom]
gw_ips = 172.16.10.10, 172.16.10.11
db_user = DbUser
db_password = DbP@SSw0rd

[networking]
interface = ens192
ip = 172.16.10.51/24
gateway = 172.16.10.254
dns = 172.16.10.100
dnssuffix = domain.local

[ssh]
allow = 10.0.20.0/24

Ytterligare konfigurationer för patronictl

För att kommandona för hantering av PostgreSQL-clustret med patronictl ska kunna användas återstår några kommandon som ska köras som root på PostgreSQL-noden:

1
2
3
4
sed -i "s/2380/2380, 8008/g" /etc/nftables.conf
systemctl reload nftables
cp /etc/patroni/ca.crt /usr/local/share/ca-certificates/PSQL-CA.crt
update-ca-certificates

Ytterligare konfigurationer för etcd

För att aktivera automatisk komprimering och defragmentering av databasen för etcd kör du följande kommandon som root på PostgreSQL-noden:

1
2
3
4
5
6
7
apt update
apt install etcd-client
echo -e 'ETCD_AUTO_COMPACTION_MODE="periodic"\nETCD_AUTO_COMPACTION_RETENTION="1"' >> /etc/default/etcd
systemctl restart etcd
echo -e '#!/bin/bash\n\nsource /etc/default/etcd\netcdctl --endpoints=${ETCD_ADVERTISE_CLIENT_URLS}  --cert=${ETCD_CERT_FILE} --key=${ETCD_KEY_FILE} "$@"' > /usr/bin/clr_etcdctl
chmod a+x /usr/bin/clr_etcdctl
echo '0 3 * * * root clr_etcdctl defrag' > /etc/cron.d/systancia-db

Skapa databasen default som krävs för installationen av CyberElements Bastion

Vid installationen av CyberElements Bastion måste du först skapa en databas med namnet default.
Fyll i tabellen nedan för att anpassa det kommando som du behöver köra från valfri nod i PostgreSQL-clustret:

Värde Variabel Definition
PSQL_VIP Virtuell IP-adress för PostgreSQL-clustret.
DB_USER Databasens användarnamn som angavs vid konfigurationen av PostgreSQL-noden

Kommando som ska köras från valfri nod i PostgreSQL-clustret:

1
createdb -h PSQL_VIP -U DB_USER default