Федерация IVA One

открыть файл /opt/iva/values.yaml с помощью команды:

sudo nano /opt/iva/values.yaml

в существующих секциях global.federation и federation включить Федерацию, указать внешний IP-адрес и уникальное имя NATS-кластера:

# Общие настройки всех компонентов IVA One
global:
  # Параметры включения и публикации федерации
  federation:
    enabled: true
    serviceType: LoadBalancer
    sharedIp: true
    gatewayLoadBalancerIP: "<IP_ADDRESS>"
    gatewayExternalIP: "<IP_ADDRESS>"
# Настройки федеративного NATS и его сертификатов
federation:
  loadBalancerIP: "<IP_ADDRESS>"
  federationclustername: &federationclustername "iva-federation-a"
  # Автоматическое создание TLS-сертификатов
  certificate:
    create: true

применить обновленную конфигурацию IVA One:

sudo helm upgrade iva-one /opt/iva/iva-one -f /opt/iva/values.yaml -n iva-one

дождаться готовности сертификата:

kubectl wait -n iva-one \
  --for=condition=Ready \
  certificate/iva-federationbus-tls-secret \
  --timeout=180s

на каждом экземпляре IVA One выгрузить локальный сертификат, закрытый ключ и сертификат центра сертификации:

kubectl get secret iva-federationbus-tls-secret -n iva-one \
  -o jsonpath='{.data.tls\.crt}' | base64 -d > tls.crt

kubectl get secret iva-federationbus-tls-secret -n iva-one \
  -o jsonpath='{.data.tls\.key}' | base64 -d > tls.key

kubectl get secret iva-federationbus-tls-secret -n iva-one \
  -o jsonpath='{.data.ca\.crt}' | base64 -d > ca-local.crt

передать файл ca-local.crt всем остальным участникам Федерации. Полученные CA-сертификаты сохранить под разными именами, например ca-federation-b.crt и ca-federation-c.crt

на каждом экземпляре объединить локальный CA-сертификат и CA-сертификаты всех остальных участников Федерации:

cat ca-local.crt ca-federation-b.crt ca-federation-c.crt > bundled-ca.crt

на каждом экземпляре создать или обновить Secret с локальным сертификатом, локальным закрытым ключом и объединенным набором CA-сертификатов всех участников Федерации:

kubectl create secret generic federation-gateway-tls-bundled \
  -n iva-one \
  --from-file=tls.crt=tls.crt \
  --from-file=tls.key=tls.key \
  --from-file=ca.crt=bundled-ca.crt \
  --dry-run=client -o yaml | kubectl apply -f -

в файле /opt/iva/values.yaml указать созданный Secret и параметры соединения со всеми удаленными NATS-кластерами

federation-gateway:                                   # Настройки прикладного Federation Gateway
  config:                                              # Конфигурация процесса Gateway
    http:                                             # Настройки входящих и исходящих HTTP-соединений
      mtls:                                           # Взаимная TLS-аутентификация Federation Gateway
        caSecretName: federation-gateway-tls-bundled  # Secret с CA всех участников
        secretName: federation-gateway-tls-bundled    # Secret с локальным сертификатом и ключом

natssupercluster:                                     # Настройки федеративного NATS-кластера
  tlsCA:                                              # CA для проверки сертификатов NATS-участников
    secretName: federation-gateway-tls-bundled        # Secret с объединенным набором CA
  config:                                              # Конфигурация NATS
    gateway:                                          # Межкластерные NATS Gateway-соединения
      tls:                                            # TLS для соединений между NATS-кластерами
        enabled: true                                 # Включить TLS для NATS Gateway
        secretName: federation-gateway-tls-bundled    # Сертификат, ключ и доверенные CA
      merge:                                          # Параметры локального и удаленных кластеров
        name: *federationclustername                  # Имя локального NATS-кластера
        advertise: "<EXTERNAL_IP_ADDRESS_LOCAL>:7222"
        gateways:
          - name: "iva-federation-b"
            urls:
              - "tls://<EXTERNAL_IP_ADDRESS_REMOTE_B>:7222"             # Адрес NATS Gateway экземпляра iva-federation-b
          - name: "iva-federation-c"
            urls:
              - "tls://<EXTERNAL_IP_ADDRESS_REMOTE_C>:7222"             # Адрес NATS Gateway экземпляра iva-federation-c

повторно применить обновленную конфигурацию IVA One:

sudo helm upgrade iva-one /opt/iva/iva-one -f /opt/iva/values.yaml -n iva-one

проверить состояние подов, сервисов и сертификатов:

kubectl get pods,svc,certificate -n iva-one

войти в веб-панель администрирования IVA One

перейти в раздел Настройки и выбрать Глобальные

в поле Имя организации указать имя организации и нажать кнопку Сохранить

на каждом экземпляре Федерации перейти в раздел Внешние организации:

для экземпляра Федерация А в разделе Внешние организации необходимо нажать на название организации Федерация Б и в открывшемся окне Детали подключения нажать на кнопку Доверять для установки доверительных отношений между организациями

для экземпляра Федерация Б в разделе Внешние организации необходимо нажать на название организации Федерация А и в открывшемся окне Детали подключения нажать на кнопку Доверять для установки доверительных отношений между организациями

выполнить аналогичные действия на всех экземплярах Федераций, с которыми необходимо установить доверительные отношения

установить и настроить два экземпляра IVA One и два экземпляра Платформы IVA MCU

выполнить интеграцию IVA One с IVA MCU для каждой пары:

настроить режим федерации для IVA One, включая взаимное доверие между организациями

в веб-панели администрирования IVA MCU перейти в раздел Внешняя аутентификация → Выбрать домен → Нажать кнопку SSO сервера

выбрать SSO-сервер, настроенный для интеграции с локальным экземпляром IVA One, и нажать кнопку Детально

скопировать значения полей URL брокера сообщений и Truststore брокера сообщений

перейти в раздел Системные настройки и выбрать секцию NATS

перенести скопированные значения в одноименные поля URL брокера сообщений и Truststore брокера сообщений

в поле Keystore брокера сообщений указать значение, полученное на локальном экземпляре IVA One согласно инструкции по получению Keystore брокера сообщений

в секции Настройки федеративных связей включить флаговую кнопку Использование федеративного NATS

в поле ID федеративного экземпляра NATS указать ID организации локального экземпляра IVA One согласно таблице соответствия идентификаторов

нажать кнопку Сохранить

вернуться в раздел Внешняя аутентификация, выбрать домен и нажать кнопку SSO сервера

выбрать тот же SSO-сервер и нажать кнопку Детально

включить флаговую кнопку Использовать системный NATS и нажать кнопку Сохранить

создать связь с удаленным экземпляром IVA MCU согласно инструкции по настройке федеративных связей

в настройках созданной связи в поле ID удаленного федеративного экземпляра NATS указать ID организации удаленного экземпляра IVA One согласно таблице соответствия идентификаторов:

нажать кнопку Сохранить

в веб-панели администрирования IVA MCU перейти в раздел Федеративные связи

выбрать домен и нажать кнопку Федеративные связи

убедиться, что в списке отображается созданная связь с удаленным экземпляром. Для описанной схемы из двух экземпляров на каждой стороне должна быть одна федеративная связь

убедиться, что поле Статус синхронизации показывает успешную синхронизацию