Секреты DataLens On-premises

secrets:
  ref: null                              # Ссылка на внешний секрет Kubernetes
  #
  # === RSA-ключи аутентификации (обязательные) ===
  AUTH_TOKEN_PRIVATE_KEY: null           # Генерируется автоматически при первом развертывании
  AUTH_TOKEN_PUBLIC_KEY: null            # Генерируется автоматически при первом развертывании
  AUTH_PROVIDERS_CONFIG: null            # JSON-массив провайдеров (опционально)
  AUTH_ADMIN_PASSWORD: null              # Пароль admin (генерируется автоматически)
  AUTH_CALLBACK_COOKIE_SECRET: null      # Генерируется автоматически
  #
  # === Безопасность ===
  CSRF_SECRET: null                      # Генерируется автоматически
  #
  # === Мастер-токены ===
  AUTH_MASTER_TOKEN: null                # Генерируется автоматически
  US_MASTER_TOKEN: null                  # Генерируется автоматически
  FILE_UPLOADER_MASTER_TOKEN: null       # Генерируется автоматически
  EXPORT_DATA_VERIFICATION_KEY: null     # Генерируется автоматически
  #
  # === Ключи шифрования ===
  CONTROL_API_CRYPTO_KEY: null           # Генерируется автоматически
  #
  # === Docker Registry ===
  DOCKER_CONFIG_JSON: null               # Обязателен при registry.private: true
  #
  # === PostgreSQL ===
  POSTGRES_PASSWORD_ROOT: null           # Генерируется автоматически
  POSTGRES_PASSWORD_US: null             # Генерируется автоматически
  POSTGRES_PASSWORD_COMPENG: null        # Генерируется автоматически
  POSTGRES_PASSWORD_AUTH: null           # Генерируется автоматически
  POSTGRES_PASSWORD_TEMPORAL: null       # Генерируется автоматически
  POSTGRES_PASSWORD_META_MANAGER: null   # Генерируется автоматически
  POSTGRES_PASSWORD_DEMO: null           # Генерируется автоматически
  #
  # === RSA-ключи Temporal (для импорта/экспорта) ===
  TEMPORAL_AUTH_PRIVATE_KEY: null        # Генерируется при включении features.export
  TEMPORAL_AUTH_PUBLIC_KEY: null         # Генерируется при включении features.export
  #
  # === Инфраструктурные компоненты ===
  CLICKHOUSE_PASSWORD: null              # Генерируется автоматически
  REDIS_PASSWORD: null                   # Генерируется автоматически
  S3_ACCESS_KEY_ID: null                 # Генерируется автоматически
  S3_SECRET_ACCESS_KEY: null             # Генерируется автоматически

# Генерация приватного ключа (4096 bit)
openssl genpkey -algorithm RSA -pkeyopt "rsa_keygen_bits:4096" -out private.pem

# Извлечение публичного ключа
openssl rsa -in private.pem -pubout -out public.pem

# Просмотр содержимого для вставки в values.yaml
cat private.pem
cat public.pem

secrets:
  AUTH_TOKEN_PRIVATE_KEY: |
    -----BEGIN PRIVATE KEY-----
    MIIJQgIBADANBgkqhkiG9w0BAQEFAASCCSwwggkoAgEAAoICAQC...
    ...
    -----END PRIVATE KEY-----
  AUTH_TOKEN_PUBLIC_KEY: |
    -----BEGIN PUBLIC KEY-----
    MIICIjANBgkqhkiG9w0BAQEFAAOCAg8AMIICCgKCAgEA...
    ...
    -----END PUBLIC KEY-----

{
  "auths": {
    "registry.example.com": {
      "username": "user",
      "password": "password",
      "auth": "base64(user:password)"
    }
  }
}

secrets:
  ref: my-existing-secret

# 1. (Опционально) Предупредить пользователей о необходимости повторного входа

# 2. Сгенерировать новые ключи и выполнить обновление
./init.sh --auth-rsa-gen

# 3. Убедиться, что все поды перезапустились
./init.sh --kubectl get pods

# 4. Проверить работоспособность аутентификации

# 1. Подготовить новые значения токенов (32 символа, alphanumeric)
NEW_TOKEN=$(openssl rand -base64 32 | tr -dc 'a-zA-Z0-9' | head -c 32)

# 2. Создать или обновить values.yaml с новыми значениями
# secrets:
#   US_MASTER_TOKEN: "<новый токен>"

# 3. Выполнить обновление
./init.sh --values ./my-values.yaml

# 4. Убедиться, что все поды перезапустились
./init.sh --kubectl rollout status deployment --timeout=300s

# 1. Создать резервную копию
./init.sh --dump-postgres

# 2. Подключиться к PostgreSQL
./init.sh --pg-sql

# 3. Изменить пароль пользователя в PostgreSQL
ALTER USER "pg-us-user" WITH PASSWORD 'новый_пароль';

# 4. Обновить секрет в values.yaml
# secrets:
#   POSTGRES_PASSWORD_US: "новый_пароль"

# 5. Выполнить обновление
./init.sh --values ./my-values.yaml

# 6. Перезапустить поды, использующие этот пароль
./init.sh --kubectl rollout restart deployment

# Получить пароль администратора
./init.sh --get-admin-password

# Сгенерировать новые RSA-ключи для аутентификации
./init.sh --auth-rsa-gen

# Сгенерировать новые RSA-ключи для Temporal
./init.sh --temporal-rsa-gen

# Указать файл с конфигурацией провайдеров аутентификации
./init.sh --auth-providers-config ./my-auth-config.json

# Создать резервную копию PostgreSQL перед ротацией
./init.sh --dump-postgres

# Проверить статус подов после ротации
./init.sh --kubectl get pods

# Посмотреть логи для диагностики проблем
./init.sh --stern .