Установка Trialix Connector на Linux

Нужен systemd. Машине нужны исходящий HTTPS (443) к api.trialix.ru и доступ к серверу каталога по порту 636 (LDAPS) или 389 (LDAP со StartTLS). Для шлюза - доступ к нужным внутренним системам.

Astra Linux в режиме замкнутой программной среды. Если на машине включена ЗПС, система запускает только файлы, подписанные доверенным ключом. Сборки коннектора подписаны ключом Trialix (Ed25519); для ЗПС подпишите файл коннектора ключом, которому доверяет ЗПС на вашей машине (обычно это делает служба ИБ), и установите пакет как обычно.

1. ЛК, «Каталоги», карточка «Добавить коннектор».
2. Введите название и нажмите «Добавить коннектор».
3. Скопируйте код XXXX-XXXX-XXXX. Код показывается один раз и действует час. Новый код - ссылка «Новый код подключения» в карточке коннектора.

VER=0.2.3
BASE=https://api.trialix.ru/v1/connector/download
# выберите свой пакет
curl -fLO $BASE/trialix-connector_${VER}_amd64.deb          # Debian, Ubuntu, Astra, x86_64
curl -fLO $BASE/trialix-connector_${VER}_arm64.deb          # то же, ARM64
curl -fLO $BASE/trialix-connector-${VER}-1.x86_64.rpm       # РЕД ОС, Альт, RHEL, Rocky, x86_64
curl -fLO $BASE/trialix-connector-${VER}-1.aarch64.rpm      # то же, ARM64
curl -fLO $BASE/SHA256SUMS
sha256sum --ignore-missing -c SHA256SUMS

Ожидаемый результат - OK у скачанного файла. Подпись самого SHA256SUMS проверяется командами из раздела «Обновления». Через прокси: curl -x http://proxy.company.local:3128 ….

Без пакета можно взять исполняемый файл trialix-connector-${VER}-linux-amd64 (или -linux-arm64), положить в /usr/bin/trialix-connector с правами 0755 и установить службу командой trialix-connector service install.

sudo apt install ./trialix-connector_${VER}_amd64.deb         # Debian, Ubuntu, Astra Linux
sudo dnf install ./trialix-connector-${VER}-1.x86_64.rpm      # РЕД ОС, RHEL, Rocky, AlmaLinux
sudo apt-get install ./trialix-connector-${VER}-1.x86_64.rpm  # Альт (apt-rpm)

Пакет кладёт:

Служба после установки не включается: сначала регистрация и настройка.

sudo trialix-connector enroll XXXX-XXXX-XXXX --url https://api.trialix.ru
# через прокси
sudo trialix-connector enroll XXXX-XXXX-XXXX --url https://api.trialix.ru --proxy http://proxy.company.local:3128

Ответ при успехе: «Коннектор зарегистрирован в компании «…». Дальше: trialix-connector setup, затем trialix-connector service install.»

sudo trialix-connector doctor
sudo trialix-connector preview          # сколько сотрудников и групп видно
sudo trialix-connector preview --json   # снимок в том виде, в каком он уходит в Trialix

Все строки doctor должны быть [ok]. Разбор строк [!!] - в разделе «Диагностика ошибок».

sudo systemctl enable --now trialix-connector
systemctl status --no-pager trialix-connector

Команда sudo trialix-connector service install делает то же самое: записывает службу в /etc/systemd/system, включает и запускает её. Без пакета используйте именно её.

Служба работает от системного пользователя trialix-connector (без прав root, без домашнего каталога и оболочки; пакет и команда service install создают его сами) с ограничениями systemd (NoNewPrivileges, ProtectSystem=full, ProtectHome, PrivateTmp, CapabilityBoundingSet=, SystemCallFilter=@system-service), запись разрешена только в /etc/trialix-connector и /var/log/trialix-connector - их владелец этот пользователь. Регистрацию и настройку вы выполняете от root, при service install файлы переходят к пользователю службы. При сбое служба перезапускается через 10 секунд.

Через минуту в ЛК в карточке коннектора появится «в сети». Дальше - «Обновить список групп» и привязка групп к отделам, см. «Каталоги и Trialix Connector».

Вместо пароля коннектор может входить в каталог по keytab сервисной учётной записи. Пароль в конфигурации тогда не хранится.

1. Выпустите keytab (команды для своего каталога - в разделах Samba AD, FreeIPA, Active Directory).
2. Положите его в /etc/trialix-connector/svc.keytab с правами 0600, владелец trialix-connector (пользователь службы): chown trialix-connector:trialix-connector /etc/trialix-connector/svc.keytab.
3. В /etc/krb5.conf должна быть описана область (realm) домена. Проверка: kinit -kt /etc/trialix-connector/svc.keytab svc-trialix@COMPANY.LOCAL.
4. Настройте:

sudo trialix-connector setup --profile ad --url ldaps://dc1.company.local:636 --base-dn DC=company,DC=local \
  --kerberos --keytab /etc/trialix-connector/svc.keytab --principal svc-trialix@COMPANY.LOCAL

Principal указывается в виде имя@ОБЛАСТЬ. Адрес каталога - имя сервера (FQDN), не IP: коннектор запрашивает билет для ldap/<имя из адреса>. Часы машины должны совпадать с KDC (Kerberos допускает расхождение до 5 минут).

Шлюз нужен, когда Trialix должен читать данные из систем, доступных только из сети компании: внутреннего GitLab или вики, базы данных, общей папки. Как он устроен и что ограничивает, описано в разделе «Архитектура и безопасность». Каталог для шлюза настраивать не обязательно.

sudo trialix-connector gateway enable
# адреса, к которым шлюзу можно обращаться по HTTP
sudo trialix-connector gateway allow add gitlab.company.local
sudo trialix-connector gateway allow add 10.20.0.0/16:443
sudo trialix-connector gateway allow list
# базы и папки
sudo trialix-connector resource add crm-db --type postgres --schemas public
sudo trialix-connector resource add share --type folder --path /mnt/share
sudo trialix-connector resource list
sudo trialix-connector resource test crm-db
sudo trialix-connector gateway status

Служба подхватывает изменения сама, в течение 30 секунд, перезапускать её не нужно.

journalctl -u trialix-connector -n 100 --no-pager
tail -n 100 /var/log/trialix-connector/connector.log
sudo trialix-connector status      # JSON: online, последний пульс, последнее задание, последняя ошибка, состояние шлюза
sudo trialix-connector             # экран состояния в терминале

На экране состояния: 1 - мастер настройки, 2 - проверка соединений, 3 - предпросмотр каталога, 4 - журнал, q - выход.

sudo trialix-connector update
sudo systemctl restart trialix-connector

Или скачайте новый пакет и установите его поверх старого той же командой, что в шаге 3. Настройки в /etc/trialix-connector сохраняются. Коннектор не устанавливает версию старше установленной: если сервер предложит более старую сборку, команда update откажется с сообщением «сервер предлагает более старую версию».

sudo apt remove trialix-connector    # Debian, Ubuntu, Astra
sudo dnf remove trialix-connector    # РЕД ОС, RHEL, Rocky
sudo apt-get remove trialix-connector  # Альт
sudo rm -rf /etc/trialix-connector /var/log/trialix-connector

Перед удалением пакет останавливает и выключает службу. Затем удалите коннектор в ЛК («Удалить коннектор»), чтобы его токен перестал действовать.