Установка

1. Состав поставки

Поставка передаётся заказчику в виде двух составляющих:

• комплект поставки — архив stalk-<версия>-clean.tar.gz со сценариями установки, манифестами развёртывания, конфигурацией и документацией (каталог docs/); к архиву прилагается контрольная сумма sha256;
• образы контейнеров — серверные службы в формате OCI; загружаются с реестра образов правообладателя по выданным заказчику учётным данным либо передаются файлами для установки в сетевом контуре без выхода в информационно-телекоммуникационную сеть «Интернет».

Дистрибутивы клиентских приложений публикуются самой инсталляцией по адресу /desktop/ — сотрудники организации загружают их с её собственного адреса.

2. Требования к серверу

Ёмкость хранилища планируется по фактическому объёму: один час записанной встречи занимает около 230 МБ. Серверная часть разворачивается на одном узле; для инсталляций с повышенными требованиями к доступности состав узлов согласовывается отдельно.

3. Предварительные продукты

До запуска установки на узле должны быть развёрнуты:

Если k3s устанавливается специально под программу, встроенные в него контроллер входа и балансировщик отключают — иначе они занимают порты 80 и 443 и входной контроллер не запустится:

curl -sfL https://get.k3s.io | INSTALL_K3S_EXEC=\
"server --disable=traefik --disable=servicelb --write-kubeconfig-mode=644" sh -
mkdir -p ~/.kube && cp /etc/rancher/k3s/k3s.yaml ~/.kube/config
export KUBECONFIG=~/.kube/config
kubectl get nodes        # узел в состоянии Ready

Объектное хранилище записей встреч и файлов устанавливать заранее не требуется — установка развернёт его сама. Если в организации уже используется своё хранилище, совместимое с протоколом S3, его адрес и ключи указываются в файле ответов.

4. Сеть, доменные имена и порты

Программе выделяется базовое доменное имя; остальные имена по умолчанию выводятся из него. В службе доменных имён организации создаются записи типа A, указывающие на адрес узла:

На межсетевом экране открываются порты:

• 80/tcp и 443/tcp — входной контроллер;
• 3478/udp — служба обхода сетевых ограничений для медиасвязи;
• 50000–60000/udp — медиапотоки звонков и встреч.

5. Файл ответов client.conf

Это единственный файл, который оператор заполняет вручную. Остальная конфигурация, включая пароли служб, формируется установщиком автоматически.

cp client.conf.example client.conf
# заполнить значения
bash scripts/install.sh client.conf

6. Установка серверной части

Установка выполняется одной командой и проходит пять шагов: проверка предварительных продуктов, формирование конфигурации из файла ответов, создание секретов в среде оркестрации, развёртывание служб и завершающая настройка.

bash scripts/install.sh client.conf            # установка
bash scripts/install.sh client.conf --dry-run  # проверка без изменений

Сценарий не изменяет предварительные продукты молча: если чего-то не хватает, он останавливается и печатает, что именно нужно доустановить. Повторный запуск на уже развёрнутой инсталляции безопасен — состав служб приводится к состоянию, описанному в комплекте поставки.

Время установки на узле рекомендуемой конфигурации — от 15 до 40 минут; большая часть приходится на загрузку образов контейнеров и выпуск сертификатов.

7. Проверка развёртывания

В комплект поставки входит сценарий самопроверки: он выполняет 46 проверок — доступность адресов, состояние служб, выпуск сертификатов, связность с базой данных, объектным хранилищем и медиасервером — и печатает итог.

bash scripts/smoke-test.sh
# РЕЗУЛЬТАТ: PASS 46/46

Состав запущенных служб выводится штатными средствами среды оркестрации:

kubectl get pods --all-namespaces

Зафиксированные версии всех составных частей инсталляции приведены в файле VERSIONS.json комплекта поставки.

8. Первый вход и заведение пользователей

1. открыть в браузере адрес инсталляции и нажать «Войти» — откроется страница выдающего центра;
2. войти учётными данными администратора, выданными установщиком;
3. завести сотрудников: вручную в консоли администратора либо настройкой синхронизации с каталогом организации по протоколу LDAP, в том числе Active Directory;
4. при первом входе пользователя хранилище криптографических ключей создаётся автоматически, отдельных действий от сотрудника не требуется.

Порядок ведения пользователей, прав и политик описан в разделе «Эксплуатация».

9. Установка клиентских приложений

Дистрибутивы публикуются самой инсталляцией по адресу /desktop/. Веб-клиент установки не требует — он открывается в браузере по адресу инсталляции.

При первом запуске приложение запрашивает адрес инсталляции, после чего вход выполняется через выдающий центр организации. Настольные приложения для Microsoft Windows и Apple macOS обновляются автоматически со своей инсталляции; сборки для Linux обновляются установкой нового пакета.

Целостность загруженного файла проверяется по контрольной сумме sha256: sha256sum <файл> в Linux, shasum -a 256 <файл> в macOS, certutil -hashfile <файл> SHA256 в Windows.

10. Обновление и удаление

Обновление

Новая версия передаётся тем же архивом комплекта поставки. Если указан адрес получения обновлений, инсталляция забирает их сама:

bash scripts/update.sh            # проверить, есть ли новая версия
bash scripts/update.sh --apply    # загрузить, сверить контрольную сумму и развернуть

Обновляются только изменившиеся составные части; переписка, файлы и учётные записи сохраняются. После обновления запускается самопроверка (раздел 7).

Удаление

Программа удаляется вместе с её пространствами имён в среде оркестрации; данные остаются в томах хранения и удаляются отдельно, по решению заказчика. Порядок вывода инсталляции из эксплуатации, включая выгрузку данных, согласовывается со службой технической поддержки правообладателя.

Помощь при установке