Salt baseline для PMG

Репозиторий содержит автономный набор Salt states для базовой эксплуатации и hardening Proxmox Mail Gateway.

Что внутри

• top.sls — привязка состояний к minion ID.
• pillar/pmg.sls — переменные и параметры PMG.
• pmg/*.sls — состояния:
  • common (базовые пакеты),
  • ssh_hardening,
  • custom_check (кастомная AV-проверка PMG через KESL),
  • security_agents (Wazuh/Qualys),
  • update (пакетные обновления + pre/post проверки PMG),
  • auto_updates (security-only, без auto reboot),
  • audit_logging,
  • pmg_baseline (проверка/поддержание сервисов PMG),
  • verify (проверки состояния).
• pmg/files/* — шаблоны конфигов.

Требования

• Salt (рекомендуется актуальная LTS-ветка).
• Debian/PMG узлы с systemd.
• root-доступ на узел.

Быстрый запуск

make lint
make check
make apply
make verify
make update-check
make update

По умолчанию MINION_ID=p-mailgw-x2-01.lmru.tech. Можно переопределить:

make check MINION_ID=p-mailgw-x1-01.lmru.tech

Основные переменные

Все параметры задаются в pillar/pmg.sls:

• pmg.base_packages
• pmg.ssh_allow_users
• pmg.ssh_password_authentication
• pmg.journald_system_max_use
• pmg.journald_max_file_sec
• pmg.pmg_services
• pmg.update_dist_upgrade
• pmg.update_auto_reboot
• pmg.update_reboot_delay_minutes
• pmg.custom_check.*
• pmg.manage_hosts_file
• pmg.hosts_file_entries
• pmg.wazuh.*
• pmg.qualys.*

Отдельное обновление PMG

Перед обновлением:

make update-check MINION_ID=p-mailgw-x1-01.lmru.tech

Применение:

make update MINION_ID=p-mailgw-x1-01.lmru.tech
make verify MINION_ID=p-mailgw-x1-01.lmru.tech

State pmg.update выполняет:

• precheck кластера (pmgcm status);
• precheck критичных PMG сервисов;
• пакетное обновление (pkg.uptodate, с dist_upgrade по pmg.update_dist_upgrade=true);
• postcheck кластера и сервисов;
• уведомление, если требуется reboot (/var/run/reboot-required).
• опциональный автоперезапуск по pmg.update_auto_reboot=true (через shutdown -r +N).

PMG custom check (Kaspersky)

Коротко про pmg.custom_check:

• готовит окружение (pwgen, /var/log/mail_av, /usr/local/bin/pmg-custom-check);
• готовит Kaspersky-учетку (pmg.custom_check.ksc_superuser.*; сейчас superuser + NOPASSWD);
• если kesl/klnagent64 установлены — включает сервисы и custom_check в PMG, если нет — выводит уведомление "ставится через Kaspersky Administration Center"; сервисы включатся вторым прогоном после установки пакетов.