יצירת אשכול

בחירת גרסת תיעוד:

כדי להתחיל להשתמש ב-AlloyDB Omni, צריך ליצור אשכול מסדי נתונים.

מגבלות

ההגבלות הבאות חלות:

  • ‫AlloyDB Omni פועל ביציאה 5432. אין תמיכה בהגדרת יציאה בהתאמה אישית.

  • לפני שיוצרים את האשכול, חשוב לוודא שכל הגדרות הפרמטרים של מסד הנתונים נכונות. אחרי שיוצרים את האשכול, אי אפשר לשנות את הפרמטרים של מסד הנתונים.

לפני שמתחילים

לפני שיוצרים את האשכול, צריך לבצע את הפעולות הבאות:

  • התקנת התזמור ב-AlloyDB Omni

  • התקנת רכיבי AlloyDB Omni

  • הגדרת אישורי TLS

  • טוענים אמצעי אחסון חיצוני (DataDisk) אל PG_DATA_DIR בכל צומתי מסד הנתונים שהוקצו ב-orchestrator.

  • אם אתם מתכננים להשתמש ב-alloydbctl במקום ב-Ansible, אתם צריכים לוודא שהחבילה הנדרשת policycoreutils-python-utils מותקנת בכל המכונות הווירטואליות. כדי להתקין את החבילה, מריצים את הפקודה הבאה:

    sudo dnf install policycoreutils-python-utils

  • אם אתם משתמשים בסביבה Google Cloud , צריך להגדיר את ENVIRONMENT_TYPE ל-gcp. לאחר מכן, צריך לאמת את החשבון ב-CLI של gcloud על ידי הפעלת gcloud auth login בתור המשתמש root. בנוסף, לחשבון המאומת צריכות להיות ההרשאות הבאות:

    • compute.instances.get
    • compute.instances.list
    • compute.instances.updateNetworkInterface

הכנת המפרטים של האשכול

כדי ליצור את האשכול, AlloyDB Omni צריך לדעת איך להגדיר אותו. כדי ליצור את המפרטים הנדרשים, יוצרים קובץ YAML בפורמט DBCluster:

Secret:
  metadata:
    name: db-pw-DBCLUSTER_NAME
  spec:
    type: Opaque
    data:
      DBCLUSTER_NAME: BASE64_PASSWORD
---
DBCluster:
  metadata:
    name: DBCLUSTER_NAME
  spec:
    databaseVersion: 18.4.0
    mode: ""
    availability:
      numberOfStandbys: NUM_STANDBY_NODES
      enableAutoFailover: true
      enableAutoHeal: true
      autoFailoverTriggerThreshold: AUTOFAILOVER_TRIGGER_THRESHOLD
      autoHealTriggerThreshold: AUTOHEAL_TRIGGER_THRESHOLD
      healthcheckPeriodSeconds: HEALTHCHECK_PERIOD
      replayReplicationSlotsOnStandbys: false
    primarySpec:
      adminUser:
        passwordRef:
          name: db-pw-DBCLUSTER_NAME
      resources:
        cpu: CPU_LIMIT
        memory: MEMORY_LIMIT
        disks:
        - name: DataDisk
          path: PG_DATA_DIR
      parameters:
        max_connections: "MAX_CONNECTIONS"
        max_wal_size: "MAX_WAL_SIZE"
      dbLoadBalancerOptions:
        DB_LOAD_BALANCER_TYPE:
          loadBalancerIP: "VIRTUAL_IP"
          loadBalancerType: "internal"
          loadBalancerInterface: "VIRTUAL_IP_INTERFACE"

מחליפים את המשתנים הבאים:

  • ‫DBCLUSTER_NAME: שם אשכול מסד הנתונים. לדוגמה, my-dbcluster.

  • ‫BASE64_PASSWORD: סיסמה בקידוד base64 שמשמשת את משתמש האדמין postgres.

  • NUM_STANDBY_NODES: מספר הצמתים במצב המתנה באשכול. לדוגמה, 2.

  • ‫(אופציונלי) AUTOFAILOVER_TRIGGER_THRESHOLD: מספר הפעמים שבדיקת התקינות יכולה להיכשל לפני שמתרחשת יתירות כשל. ערך ברירת המחדל הוא 3. ערך המינימום הוא 0, אבל אם הערך מוגדר כ-0, ‏AlloyDB Omni משתמש בערך ברירת המחדל.

    מעבר אוטומטי לגיבוי בעת כשל מתרחש אם בדיקת התקינות נכשלת AUTOFAILOVER_TRIGGER_THRESHOLD פעמים, או אם משך הזמן המצטבר של בדיקת התקינות מגיע ל-HEALTHCHECK_PERIOD * AUTOFAILOVER_TRIGGER_THRESHOLD שניות.

  • (אופציונלי) AUTOHEAL_TRIGGER_THRESHOLD: מספר הפעמים שבהן בדיקת תקינות יכולה להיכשל לפני שהתיקון האוטומטי מתחיל. ערך ברירת המחדל הוא 3. הערך המינימלי הוא 0, אבל אם הערך מוגדר כ-0, ‏ AlloyDB Omni משתמש בערך ברירת המחדל.

    שחזור אוטומטי מתרחש אם בדיקת התקינות נכשלת AUTOHEAL_TRIGGER_THRESHOLD פעמים או אם משך הזמן המצטבר של בדיקת התקינות מגיע ל-HEALTHCHECK_PERIOD * AUTOHEAL_TRIGGER_THRESHOLD שניות.

  • ‫HEALTHCHECK_PERIOD (אופציונלי): מספר השניות שצריך להמתין בין כל בדיקת תקינות. ערך ברירת המחדל הוא 30. הערך המינימלי הוא 1. הערך המקסימלי הוא 86400 (יום אחד).

  • ‫CPU_LIMIT: מספר המעבדים שיוקצו לקונטיינר של מסד הנתונים. לדוגמה, 4.

  • ‫MEMORY_LIMIT: כמות הזיכרון שצריך להקצות לקונטיינר של מסד הנתונים. לדוגמה, 32Gi, ‏ 500Mi.

  • ‫PG_DATA_DIR: נתיב המארח לספרייה שבה יישמרו נתוני מסד הנתונים.

  • ‫(אופציונלי) MAX_CONNECTIONS: המספר המקסימלי של חיבורים בו-זמניים למסד הנתונים של PostgreSQL. ערך ברירת המחדל הוא 50. הערך המינימלי הנתמך הוא גם 50. מידע נוסף זמין במאמר PostgreSQL max_connections reference.

  • ‫(אופציונלי) MAX_WAL_SIZE: הגודל המקסימלי שאליו יכול לגדול יומן הכתיבה מראש (WAL) במהלך נקודות ביקורת אוטומטיות. ערך ברירת המחדל הוא 1GB. מידע נוסף זמין בחומר העזר של PostgreSQL max_wal_size.

  • ‫(אופציונלי) ENVIRONMENT_TYPE: קובע את הסביבה שבה מוגדר האשכול – onprem או gcp.

  • (אופציונלי) VIRTUAL_IP: כתובת IP וירטואלית שמשמשת את מאזן העומסים. אם מגדירים את dbLoadBalancerOptions, זהו שדה חובה. מידע נוסף על ניהול זמינות גבוהה

  • (אופציונלי) VIRTUAL_IP_INTERFACE: ממשק הרשת שבו מוגדר VIRTUAL_IP. ערך ברירת המחדל הוא eth0.

יצירת האשכול

כדי ליצור את האשכול, בוחרים את הכרטיסייה שמתאימה לסביבה שלכם ופועלים לפי ההוראות.

Ansible

כדי ליצור את האשכול, פועלים לפי ההוראות הבאות:

  1. יוצרים מדריך הפעלה למפרטים של אשכול מסדי הנתונים.

    - name: Create DBCluster
  hosts: localhost
  become: true
  vars:
    ansible_user: ANSIBLE_USER
    ansible_ssh_private_key_file: ANSIBLE_SSH_PRIVATE_KEY_FILE
  roles:
  - role: google.alloydbomni_orchestrator.bootstrap

    מחליפים את המשתנים הבאים:

    • ‫ANSIBLE_USER: משתמש במערכת ההפעלה שמשמש את Ansible כדי להתחבר לצומתי AlloyDB Omni.

    • ‫ANSIBLE_SSH_PRIVATE_KEY_FILE: המפתח הפרטי שמשמש את Ansible כדי להתחבר לצומתי AlloyDB Omni באמצעות SSH.

  2. מריצים את הפלייבוק.

    ansible-playbook DBCLUSTER_PLAYBOOK -i "DEPLOYMENT_SPEC" \
      -e resource_spec="DBCLUSTER_SPECIFICATIONS"

    מחליפים את המשתנים הבאים:

    • ‫DBCLUSTER_PLAYBOOK: הנתיב ל-playbook שיצרתם לאשכול מסד הנתונים.

    • ‫DEPLOYMENT_SPEC: הנתיב למפרט הפריסה שיצרתם בקטע התקנת רכיבים של AlloyDB Omni.

    • ‫DBCLUSTER_SPECIFICATIONS: הנתיב למפרט האשכול.

alloydbctl

כדי ליצור את האשכול, מריצים את הפקודה הבאה:

alloydbctl apply -d "DEPLOYMENT_SPEC" -r "DBCLUSTER_SPECIFICATIONS"

מחליפים את המשתנים הבאים:

  • ‫DEPLOYMENT_SPEC: הנתיב למפרט הפריסה שיצרתם בקטע התקנת רכיבי AlloyDB Omni.

  • ‫DBCLUSTER_SPECIFICATIONS: הנתיב למפרט של האשכול.

מחיקת האשכול

כדי למחוק את האשכול, בוחרים את הכרטיסייה שמתאימה לסביבה שלכם ופועלים לפי ההוראות.

Ansible

כדי למחוק את האשכול באמצעות Ansible:

  1. יוצרים פלייבוק בשם teardown.yaml:

    - name: Tear down AlloyDB Omni cluster
  hosts: localhost
  become: true
  vars:
    ansible_user: ANSIBLE_USER
    ansible_ssh_private_key_file: ANSIBLE_SSH_PRIVATE_KEY_FILE
  roles:
  - role: google.alloydbomni_orchestrator.delete

  2. מריצים את הפלייבוק באמצעות ansible-playbook. צריך לציין את DBCluster בתור resource_type ואת שם האשכול שרוצים למחוק בתור resource_name.

    ansible-playbook -i "DEPLOYMENT_SPEC" teardown.yaml \
  -e `resource_type`=`DBCluster` -e `resource_name`="DBCLUSTER_NAME"

אם תהליך הפירוק נכשל בגלל חוסר עקביות במצב האשכול (לדוגמה, אם אין גישה לצומת), אתם יכולים לנסות לאלץ את מחיקת האשכול על ידי הוספת -e force=true לפקודה. ההוראה הזו גורמת לכלי האורקסטרציה להתעלם משגיאות במהלך תהליך ההסרה ולנסות להסיר כמה שיותר משאבים.

  ansible-playbook -i "DEPLOYMENT_SPEC" teardown.yaml \
    -e resource_type=DBCluster -e resource_name="DBCLUSTER_NAME" -e force=true

alloydbctl

כדי למחוק את האשכול באמצעות alloydbctl, מריצים את הפקודה הבאה:

alloydbctl delete -d "DEPLOYMENT_SPEC" \
      --resource_type DBCluster --resource_name "DBCLUSTER_NAME"

מחליפים את המשתנים הבאים:

  • ‫DEPLOYMENT_SPEC: הנתיב למפרט הפריסה שיצרתם בקטע התקנת רכיבי AlloyDB Omni.

  • ‫DBCLUSTER_NAME: שם אשכול מסד הנתונים. לדוגמה, my-dbcluster.

נספח: מפרטי המדיניות של SELinux

בטבלאות הבאות מפורטים כללי המדיניות והרשאות הגישה של SELinux שהוגדרו לכל רכיב שפועל בצמתים המתאימים. מדיניות זו מגדירה את הגבולות המחייבים עבור טכנולוגיות לבידוד תהליכים, קישורי שקעי רשת וגישה לאחסון שנדרשים כשמפעילים מארחים במצב אכיפה של SELinux.

AlloyDB Omni

דומיין המקור משאב יעד / סוג סיווג אבטחה הרשאות שניתנו הסבר על האבטחה והמגבלה
‫init_t (systemd) postgresql_exec_t file getattr,‏ open,‏ read,‏ execute מאפשר למנהל השירותים של systemd להפעיל את הקובץ הבינארי של PostgreSQL.
init_t postgresql_t process transition אכיפה של מעבר דומיין חובה מ-systemd לדומיין postgresql_t המוגבל.
postgresql_t postgresql_exec_t file entrypoint,‏ execute,‏ read,‏ map הגבלת הכניסה לדומיין רק לקובץ ההפעלה הרשמי של PostgreSQL.
postgresql_t lib_t file / dir read,‏ open,‏ getattr,‏ map מאשרת ל-linker דינמי לגשת לספריות של מסדי נתונים משותפים.
postgresql_t postgresql_db_t dir ‫open, read, write, create, rmdir, search, getattr, setattr, add_name, remove_name ניהול מחזור החיים המלא של ספריית האחסון של ספריית הנתונים ומרחבי הטבלאות.
postgresql_t postgresql_db_t file ‫open, read, write, create, unlink, lock, append, getattr, setattr, map נותנת הרשאה לפעולות קריאה/כתיבה בטבלאות heap, בפלחים של WAL, בקטלוגים ובאינדקסים.
postgresql_t postgresql_var_run_t dir / sock_file ‫open, read, write, create, unlink, search, getattr מנהל את קובץ ה-PID של זמן הריצה ואת שקע הדומיין של Unix ב-/var/run/postgresql.
postgresql_t postgresql_port_t tcp_socket name_bind הגבלת הקישור של רשת ה-TCP רק ליציאות PostgreSQL שהוקצו (ברירת המחדל היא TCP 5432).
alloydbomni_nm_t postgresql_exec_t file execute, execute_no_trans, getattr, open, read, map ההרשאה מאפשרת ל-Node Manager להריץ בדיקות תקינות וכלי בקרה, לדוגמה pg_isready או pg_ctl.
alloydbomni_nm_t postgresql_db_t dir / file ‫open, read, write, create, unlink, relabelto, relabelfrom מעניק ל-Node Manager את הסמכות לאתחל ספריות ולהחיל תוויות SELinux.

רכיב מעקב ב-AlloyDB Omni

דומיין המקור משאב יעד / סוג סיווג אבטחה הרשאות שניתנו הסבר על האבטחה והמגבלה
postgresql_t unreserved_port_t tcp_socket name_bind מאשרת קישור ליציאה גבוהה שלא שמורה כדי לייצא מדדים וסטטוס תקינות של Prometheus.
postgresql_t net_conf_t file open, read, getattr גישה לקריאה בלבד אל /etc/resolv.conf ל-DNS ולתרגום שם המארח.
postgresql_t sysfs_t file / dir open,‏ read,‏ getattr,‏ search בדיקת מדדי מארח בלי להעניק הרשאות אדמין או הרשאות בסיסיות.

Keepalived

דומיין המקור משאב יעד / סוג סיווג אבטחה הרשאות שניתנו הנמקה ומגבלות בנושא אבטחה
keepalived_t keepalived_script_exec_t file ‫execute, execute_no_trans, getattr, open, read, map, setattr, ioctl מגביל את ההרצה של סקריפטים למעקב אחר VIP להקשר סקריפט ייעודי ומוגבל.
keepalived_t hostname_exec_t file execute, execute_no_trans, getattr, open, read, map מפעיל את hostname הרגיל של המערכת כדי לאמת את זהות הצומת במהלך יתירות כשל.
keepalived_t ifconfig_exec_t file execute, execute_no_trans, getattr, open, read, map מקצה ומשחרר את כתובת ה-IP הווירטואלית בממשק הרשת הפיזי.
keepalived_t systemd_systemctl_exec_t file execute, ‏ execute_no_trans, ‏ getattr, ‏ open, ‏ read, ‏ map שליחת שאילתות לגבי מצבי תלות של שירותים באמצעות systemctl בלי לשנות את הגדרת השירות.
keepalived_t system_dbusd_t unix_stream_socket connectto מתחבר לדמון של DBus במערכת כדי לקבל התראות בין תהליכים.
keepalived_t system_dbusd_t / init_t dbus send_msg משדר אירועים של מעבר בין מצבים ב-DBus לדומיין init_t ב-systemd.
keepalived_t haproxy_unit_file_t / systemd_unit_file_t service status בדיקת המצב התפעולי של HAProxy ושירותים קשורים.
keepalived_t haproxy_var_lib_t dir / file / sock_file open, read, write, search, getattr בדיקת שקע הנתונים הסטטיסטיים של HAProxy שנמצא באותו מיקום ב-/var/lib/haproxy כשהוא פרוס.
keepalived_t keepalived_var_run_t dir / file ‫open, read, write, create, unlink, search, getattr שומר את מצב זמן הריצה ואת קבצי המעקב של מזהי התהליך ב-/var/run/keepalived.
alloydbomni_nm_t keepalived_t process signal, signull ההגדרה הזו מאפשרת ל-Node Manager לנהל את מחזור החיים של דמון באמצעות אותות POSIX.

HAProxy

דומיין המקור משאב יעד / סוג סיווג אבטחה הרשאות שניתנו הסבר על האבטחה והמגבלה
haproxy_t postgresql_port_t tcp_socket name_bind, name_connect האזנה ליציאה 5432 והעברת החיבורים למסד הנתונים לצמתים של מסד הנתונים בקצה העורפי.
haproxy_t unreserved_port_t tcp_socket name_bind, name_connect מאזין ליציאות של מאזן עומסים בהתאמה אישית ומתחבר לנקודות קצה לקריאה/כתיבה במעלה הזרם.
haproxy_t haproxy_conf_t file / dir open,‏ read,‏ search,‏ getattr גישה לקריאה בלבד להגדרות של /etc/haproxy/haproxy.cfg.
haproxy_t haproxy_var_lib_t dir / file / sock_file ‫open, read, write, create, unlink, search, getattr ניהול של שקעי זמן ריצה וטבלאות סטטיסטיקה ב-/var/lib/haproxy.
haproxy_t haproxy_var_run_t dir / file ‫open, read, write, create, unlink, search, getattr מנהל את ה-PID ואת שקעי הבקרה ב-/var/run/haproxy.
alloydbomni_nm_t haproxy_unit_file_t service start, ‏ stop, ‏ status, ‏ reload, ‏ enable, ‏ disable נותן הרשאה ל-Node Manager לשלוט במחזור החיים של שירות HAProxy systemd.
alloydbomni_nm_t haproxy_t process signal, signull מאשרת ל-Node Manager לשלוח אותות טעינה מחדש כשמתבצעים שינויים בהגדרות.

PgBouncer

דומיין המקור משאב יעד / סוג סיווג אבטחה הרשאות שניתנו הנמקה ומגבלות בנושא אבטחה
init_t pgbouncer_exec_t file getattr,‏ open,‏ read,‏ execute מאפשר ל-systemd להפעיל את קובץ ההפעלה של PgBouncer ‏ (/usr/bin/pgbouncer).
init_t pgbouncer_t process transition העברה אוטומטית של דומיין מ-systemd ל-pgbouncer_t מבודד.
pgbouncer_t pgbouncer_exec_t file entrypoint,‏ execute,‏ read,‏ map הגבלת נקודת הכניסה להפעלה ל-/usr/bin/pgbouncer.
pgbouncer_t unreserved_port_t tcp_socket name_bind הקשבה לחיבורים נכנסים למסד נתונים של לקוח, למשל יציאת TCP‏ 6432.
pgbouncer_t node_t tcp_socket node_bind מקשר את שקע הרשת לממשקי הרשת של הצומת.
pgbouncer_t postgresql_port_t / unreserved_port_t tcp_socket name_connect התחלת חיבורי TCP למכונות של מסד הנתונים העורפי של AlloyDB Omni.
pgbouncer_t self unix_stream_socket ‫create, bind, listen, accept, read, write, connectto מספק קישוריות ללקוח מקומי דרך שקעים של דומיין Unix.
pgbouncer_t pgbouncer_conf_t file / dir open,‏ read,‏ getattr,‏ search גישה לקריאה בלבד להגדרות של /etc/pgbouncer/pgbouncer.ini ולקובצי אימות של משתמשים.
pgbouncer_t pgbouncer_var_run_t / tmp_t dir / sock_file ‫open, read, write, create, unlink, search, getattr יוצר ומנהל קבצי socket של זמן ריצה ב-/var/run/pgbouncer וב-/tmp.
pgbouncer_t self netlink_route_socket create, ‏ bind, ‏ read, ‏ write, ‏ nlmsg_read, ‏ getattr מגלה נתיב ברשת לפתרון של מסד נתונים ונקודות קצה של לקוחות.
pgbouncer_t self udp_socket ‫create, connect, read, write, getattr, setopt, getopt מבצעת תרגום שם DNS.
pgbouncer_t init_t / kernel_t unix_dgram_socket sendto שולח אותות של sd_notify heartbeat ומוכנות ל-systemd.
pgbouncer_t sysfs_t file / dir open,‏ read,‏ getattr,‏ search קורא את הטופולוגיה של המעבד (CPU) כדי לבצע אופטימיזציה של ה-thread העובד.

pgBackRest

דומיין המקור משאב יעד / סוג סיווג אבטחה הרשאות שניתנו הסבר על האבטחה והמגבלה
postgresql_t / alloydbomni_nm_t pgbackrest_exec_t file execute, getattr, open, read, map מאפשר ל-Postgres ול-Node Manager להפעיל את /usr/bin/pgbackrest לגיבוי ולארכיון של WAL, בהתאמה.
postgresql_t / alloydbomni_nm_t pgbackrest_t process transition,‏ signal,‏ sigkill,‏ signull תהליך מבוקר של מעבר לדומיין מוגבל pgbackrest_t.
pgbackrest_t pgbackrest_exec_t file ‫entrypoint, execute, execute_no_trans, read, map, getattr, open מגביל את נקודת הכניסה הבינארית של pgBackRest.
pgbackrest_t postgresql_db_t dir / file / lnk_file ‫open, read, write, create, unlink, lock, append, search, getattr, setattr, map קריאה/כתיבה של קבצים של מסד נתונים במהלך גיבוי פיזי ושחזור לנקודת זמן מסוימת (PITR).
pgbackrest_t postgresql_t unix_stream_socket connectto מתחבר למנוע PostgreSQL שפועל באמצעות שקע מקומי כדי להפעיל נקודות ביקורת לגיבוי.
pgbackrest_t postgresql_var_run_t dir / sock_file / file open, read, write, search, getattr גישה לשקע החיבור של PostgreSQL ב-/var/run/postgresql.
pgbackrest_t http_port_t tcp_socket name_connect תעבורת נתונים יוצאת מחמירה: חיבורי TCP יוצאים מוגבלים באופן מחמיר ל-HTTPS ‏ (443) לאחסון אובייקטים בענן (GCS/S3). אסור להשתמש במאזינים נכנסים.
pgbackrest_t cert_t dir / file / lnk_file open, read, search, getattr, map קורא אישורים של מאגר אישורים מהימנים של המערכת (/etc/pki/tls) כדי לאמת חיבורי TLS למאגר אובייקטים.
pgbackrest_t pgbackrest_conf_t file / dir open, read, getattr, search, map גישה לקריאה בלבד להגדרות של /etc/pgbackrest/pgbackrest.conf.
pgbackrest_t pgbackrest_log_t file / dir ‫open, read, write, create, unlink, append, lock, getattr, setattr ניהול יומני ביקורת ב-/var/log/pgbackrest.
pgbackrest_t pgbackrest_tmp_t dir / file / sock_file ‫open, read, write, create, unlink, append, lock, getattr, setattr, relabelto, relabelfrom אחסון זמני מבודד ייעודי ושקעי תקשורת בין שרשורים ב-/tmp/pgbackrest.
pgbackrest_t shadow_t / sysfs_t / sssd_var_lib_t file / dir ‫dontaudit (מבוטל) הוא מתעלם מבדיקות לא רלוונטיות של פרטי כניסה למארח ומוחק אותן בלי להודיע, וכך מונע זיהום של יומן הביקורת.

Node Manager

דומיין המקור משאב יעד / סוג סיווג אבטחה הרשאות שניתנו הנמקה ומגבלות בנושא אבטחה
init_t alloydbomni_nm_exec_t file getattr,‏ open,‏ read,‏ execute מאפשר ל-systemd להפעיל את דמון Node Manager.
alloydbomni_nm_t self capability ‫audit_write, chown, dac_override, dac_read_search, fowner, fsetid, setgid, setuid, net_admin יכולות Linux מוגבלות מאוד שנדרשות לניהול מחזור החיים של המארח ולהקצאת נפח אחסון.
alloydbomni_nm_t unreserved_port_t tcp_socket name_bind, name_connect מציג ממשקי API של gRPC או HTTP לתוכנה לניהול אשכולות ומציג בדיקות תקינות ל-HAProxy.
alloydbomni_nm_t http_port_t tcp_socket name_connect תקשורת יוצאת ל-Cloud APIs או לנקודות קצה (endpoints) למעקב.
alloydbomni_nm_t semanage_exec_t,‏ setfiles_exec_t,‏ setsebool_exec_t,‏ load_policy_exec_t file execute, execute_no_trans, getattr, open, read, map מריץ קובצי בינארי של ניהול SELinux כדי לקמפל ולאכוף כללי מדיניות של CIL.
alloydbomni_nm_t security_t security load_policy טוען מודולים של מדיניות SELinux שעברו הידור ישירות לליבת Linux.
alloydbomni_nm_t semanage_store_t, selinux_config_t dir / file ‫open, read, write, create, unlink, lock, getattr ניהול מאגרי ההגדרות של מדיניות SELinux קבועה.
alloydbomni_nm_t ‫unlabeled_t (דיסקים/נקודות טעינה) filesystem / dir / file ‫getattr, open, read, write, create, unlink, setattr, relabelto, relabelfrom ‫Dynamic Disk Relabeling: מאתר דיסקים גולמיים שצורפו לאחרונה, למשל /data1 או /obs, ומשנה את התווית שלהם ל-postgresql_db_t.
alloydbomni_nm_t rpm_exec_t file ‫execute, execute_no_trans, getattr, open, read, ioctl, map מבצע פקודות של מנהל חבילות RPM/DNF להתקנה אוטומטית של תוכנה ועדכונים.
alloydbomni_nm_t rpm_var_cache_t, rpm_var_lib_t, rpm_log_t dir / file ‫open, read, write, create, unlink, lock, getattr מנהל את מסד הנתונים של RPM ואת קובצי המטמון במהלך התקנות של חבילות.
alloydbomni_nm_t systemd_unit_file_t,‏ syslogd_unit_file_t,‏ haproxy_unit_file_t,‏ keepalived_unit_file_t service start, stop, status, reload, enable, disable מתזמר את מחזורי החיים של שירותי systemd בכל מסדי הנתונים המנוהלים ורכיבי העזר.
alloydbomni_nm_t system_dbusd_t, systemd_logind_t, systemd_hostnamed_t dbus / unix_stream_socket send_msg, connectto מתאם את המצב, השעה ויומן המערכת של המערכת המארחת דרך DBus של המערכת.

תוכנה לניהול אשכולות

דומיין המקור משאב יעד / סוג סיווג אבטחה הרשאות שניתנו הנמקה ומגבלות בנושא אבטחה
init_t alloydbcontrol_exec_t file getattr,‏ open,‏ read,‏ execute מאפשר ל-systemd להפעיל את קובץ ההפעלה של תוכנה לניהול אשכולות.
alloydbcontrol_t alloydbcontrol_exec_t file entrypoint, ‏ execute, ‏ read, ‏ map, ‏ getattr, ‏ open מגביל את ההפעלה של מישור הבקרה לקובץ הבינארי המורשה.
alloydbcontrol_t unreserved_port_t tcp_socket name_bind, name_connect מקשר נקודות קצה ל-API ומתחבר ל-Distributed Consensus Store (DCS / etcd) ול-Node Managers.
alloydbcontrol_t node_t tcp_socket node_bind מקשר מאזינים ברשת לממשקי רשת.
alloydbcontrol_t alloydbcontrol_conf_t file / dir open,‏ read,‏ search,‏ getattr גישה לקריאה בלבד להגדרות של /etc/alloydbomni/cluster_manager.
alloydbcontrol_t net_conf_t,‏ passwd_file_t,‏ sssd_public_t,‏ sssd_var_lib_t file / dir open,‏ read,‏ search,‏ getattr רזולוציית מארח ואימות משתמשים לממשקי ניהול.
alloydbcontrol_t cgroup_t, sysctl_net_t, sysfs_t file / dir open,‏ read,‏ search,‏ getattr אופטימיזציה של ביצועים ונתוני טלמטריה לקריאה בלבד של סביבת זמן הריצה של Go.
alloydbcontrol_t init_t unix_stream_socket dontaudit (ioctl) הסתרת אזהרות ioctl לא קריטיות של תיאור קובץ systemd.