Step 10: Applying miscellaneous settings

Aktivieren von FIPS 140-2

In diesem Abschnitt wird erläutert, wie Sie FIPS 140-2 auf Ihren Maschinen aktivieren.

Sie können FIPS auf Ihren Red Hat Linux-basierten virtuellen Maschinen aktivieren. Führen Sie dazu die folgenden Schritte aus:

1. Aktivieren Sie FIPS, indem Sie den folgenden Befehl auf allen Ihren Maschinen ausführen, bevor Sie die Installation starten:

   fips-mode-setup --enable

2. Starten Sie Ihre Maschinen neu und überprüfen Sie, ob Sie FIPS erfolgreich aktiviert haben, indem Sie den folgenden Befehl ausführen:

   fips-mode-setup --check

Wichtig: Insights wird derzeit nicht auf FIPS 140-2-fähigen Maschinen unterstützt. Stellen Sie sicher, dass Sie Insights deaktivieren, wenn Sie die Automation Suite auf FIPS 140-2-fähigen Maschinen installieren.

Weitere Informationen zu den zusätzlichen Schritten, die Sie ausführen müssen, um die Automation Suite auf FIPS 140-2-Maschinen zu verwenden, finden Sie unter Bewährte Sicherheitspraktiken.

Optional: Konfigurieren des Proxyservers

Um einen Proxy zu konfigurieren, müssen Sie bei der Schaffung der Voraussetzungen in der Umgebung und während der erweiterten Konfigurationsphase der Installation zusätzliche Konfigurationsschritte ausführen.

Beim Einrichten Ihrer Umgebung sind die folgenden Schritte erforderlich.

Hinweis: Derzeit unterstützen wir keinen HTTPS-Proxy mit selbstsignierten Zertifikaten. Stellen Sie sicher, dass Sie ein öffentliches vertrauenswürdiges Zertifikat verwenden, wenn Sie den Proxy konfigurieren.

Schritt 1: Aktivieren von Ports im virtuellen Netzwerk

Stellen Sie sicher, dass die folgenden Regeln in Ihrer Netzwerksicherheitsgruppe für das gegebene virtuelle Netzwerk aktiviert sind.

Quelle	Ziel (Destination)	Route über Proxy	Port	Beschreibung
Virtuelles Netzwerk	SQL	Nein	SQL Server-Port	Erforderlich für SQL Server.
Virtuelles Netzwerk	Load balancer	Nein	9345 6443	Erforderlich, um dem Cluster neue Knoten hinzuzufügen.
Virtuelles Netzwerk	Cluster (Subnetz)	Nein	Alle Ports	Erforderlich für die Kommunikation über einen privaten IP-Bereich.
Virtuelles Netzwerk	alm.<fqdn>	Nein	443	Erforderlich für die Anmeldung und Verwendung des ArgoCD-Clients während der Bereitstellung.
Virtuelles Netzwerk	Proxyserver	Ja	Alle Ports	Erforderlich, um Datenverkehr an den Proxyserver weiterzuleiten.
Virtuelles Netzwerk	NameServer	Nein	Alle Ports	Die meisten Clouddienste wie Azure und AWS verwenden dies, um die VM-Metadaten abzurufen und dies als private IP zu betrachten.
Virtuelles Netzwerk	MetaDataServer	Nein	Alle Ports	Die meisten Clouddienste wie Azure und AWS verwenden die IP-Adresse 169.254.169.254, um Maschinenmetadaten abzurufen.

Schritt 2: Hinzufügen der Proxykonfiguration zu den einzelnen Knoten

Beim Konfigurieren der Knoten müssen Sie die Proxykonfiguration zu jedem Knoten hinzufügen, der Teil des Clusters ist. Dieser Schritt ist erforderlich, damit ausgehender Datenverkehr vom Knoten über den Proxyserver weitergeleitet wird.

1. Fügen Sie die folgende Konfiguration in /etc/environment hinzu:

   http_proxy=http://<PROXY-SERVER-IP>:<PROXY-PORT>
   https_proxy=http://<PROXY-SERVER-IP>:<PROXY-PORT>
   no_proxy=alm.<fqdn>,<fixed_rke2_address>,<named server address>,<metadata server address>,<private_subnet_ip>,localhost,<Comma separated list of ips that should not got though proxy server>

2. Fügen Sie die folgende Konfiguration in /etc/wgetrc hinzu:

   http_proxy=http://<PROXY-SERVER-IP>:<PROXY-PORT>
   https_proxy=http://<PROXY-SERVER-IP>:<PROXY-PORT>
   no_proxy=alm.<fqdn>,<fixed_rke2_address>,<named server address>,<metadata server address>,<private_subnet_ip>,localhost,<Comma separated list of ips that should not got though proxy server>

   Obligatorische Parameter	Beschreibung
   http_proxy	Wird zum Weiterleiten von ausgehenden HTTP-Anfragen aus dem Knoten verwendet. Dies muss der FQDN und Port des Proxyservers sein.
   https_proxy	Wird zum Weiterleiten von ausgehenden HTTPS-Anfragen aus dem Knoten verwendet. Dies muss der FQDN und Port des Proxyservers sein.
   no_proxy	Durch Kommas getrennte Liste von Hosts und IP-Adressen, die nicht über den Proxyserver weitergeleitet werden sollen. Dies sollte ein privates Subnetz, ein SQL-Serverhost, eine benannte Serveradresse und eine Metadatenserveradresse sein: alm.<fqdn>,<fixed_rke2_address>,<named server address>,<metadata server address> . metadata server address – Die meisten Clouddienste wie Azure und AWS verwenden die IP-Adresse 169.254.169.254, um Maschinenmetadaten abzurufen. named server address – Die meisten Clouddienste wie Azure und AWS verwenden diese Option, um DNS-Abfragen aufzulösen. Wichtig: Wenn Sie das AI Center mit einem externen Orchestrator verwenden, müssen Sie die externe Orchestrator-Domäne zur Liste no_proxy hinzufügen.

3. Überprüfen Sie, ob die Proxyeinstellungen ordnungsgemäß konfiguriert sind, indem Sie den folgenden Befehl ausführen:

   curl -v $HTTP_PROXY
   curl -v <fixed_rke_address>:9345

   Wichtig: Wenn die Voraussetzungen an den Proxyserver erfüllt sind, stellen Sie sicher, dass die Proxykonfiguration während der Installation fortgesetzt wird. Führen Sie die Schritte unter Optional: Konfigurieren des Proxyservers aus, damit der Proxyserver ordnungsgemäß eingerichtet wird.