Atualizações

O Sentrya Connector se atualiza sozinho, na versão que o Sentrya liberar, conferindo as assinaturas da Flowbix e voltando para a versão anterior se a nova não ficar saudável. Você escolhe se ele instala sozinho, só avisa ou espera você.

Como funciona

1. O Sentrya indica a versão O aviso chega pela conexão do próprio Connector. Por segurança, um atualizador separado também pergunta ao Sentrya 15 minutos depois que a máquina liga e a cada 6 horas (com até 1 hora de variação), mesmo que a conexão principal esteja com problema. A Flowbix libera cada versão aos poucos, primeiro para alguns conectores e depois para os demais, então dois conectores seus podem ficar alguns dias em versões diferentes.
2. Confere o manifesto O atualizador baixa o manifesto da versão e confere a assinatura da Flowbix. Manifesto com assinatura que não confere é recusado.
3. Confere o pacote e instala Baixa o pacote da versão do repositório do Sentrya, confere o tamanho e o hash SHA-256 dele contra o manifesto assinado e, só se baterem, instala esse arquivo pelo apt ou pelo dnf da máquina. Se não baterem, nada é instalado.
4. Confere o programa instalado Compara o programa instalado com o hash que está no manifesto assinado. Se não bater, volta para a versão anterior.
5. Confere a saúde Por até 2 minutos, espera o serviço reconectar ao Sentrya com a versão nova.
6. Volta sozinho se falhar Se a versão nova não ficar saudável, o atualizador reinstala a anterior e avisa o Sentrya, que não indica mais essa versão para esse Connector. Conforme o número de falhas, a liberação da versão pausa sozinha para todos os conectores.

Políticas

Para trocar a política, rode sudo sentrya-connector setup (a etapa 4 pergunta) ou edite update.policy em /etc/sentrya-connector/connector.yaml e rode sudo systemctl reload sentrya-connector.

Janela de atualização

Com a política auto, você pode limitar o horário em que o Connector instala. A janela usa o horário local da máquina e vai em update.window (ou --update-window no setup):

Os dias também aceitam português: dom seg ter qua qui sex sab. Sem janela, o Connector instala assim que recebe a versão, depois de um atraso aleatório de até 1 hora, para que nem todos os conectores atualizem ao mesmo tempo.

Versão mínima e versões retiradas

A Flowbix pode definir uma versão mínima, com uma data para começar a valer. A partir dessa data, um Connector mais antigo não conecta ao Sentrya, e a coleta dos servidores dele fica parada até a atualização. O status mostra versão abaixo da mínima (aguardando atualização) e o Connector pede a atualização sozinho:

• com a política auto, instala a versão mínima sozinho, dentro da janela configurada (se houver);
• com notify ou manual, só avisa: rode sudo sentrya-connector update.

Antes da data, sudo sentrya-connector update --check já mostra a versão mínima aceita.

Além disso, o Sentrya tem um piso de segurança da frota, que vale sempre, sem data, e que nenhuma ação no painel baixa. O Sentrya nunca indica uma versão abaixo dele, nem para voltar de uma versão retirada, e um Connector abaixo dele não conecta, como depois da data da versão mínima.

Se a Flowbix retirar uma versão por problema, ela deixa de ser indicada. Os conectores que já estão nela recebem, como atualização de segurança, a versão que corrige o problema, se ela já estiver liberada para eles; se não, a última versão boa anterior, desde que ela não fique abaixo do piso de segurança da versão instalada nem do piso da frota.

Atualizar na hora

sudo sentrya-connector update --check    # só consulta
sudo sentrya-connector update            # instala a versão indicada pelo Sentrya
sudo sentrya-connector update --version 1.2.3   # uma versão assinada específica

O comando manual instala mesmo com a política notify ou manual e faz as mesmas verificações de assinatura e de saúde. Com --version você também volta para uma versão anterior, desde que ela seja assinada e não esteja abaixo do piso de segurança da versão instalada. Uma versão abaixo da mínima que vale no Sentrya (inclusive o piso da frota) não conecta: a verificação de saúde falha e o atualizador volta sozinho para a anterior.

Uma versão que já voltou sozinha neste Connector não é mais indicada pelo Sentrya para ele; só a equipe Flowbix pode indicá-la de novo, pelo suporte. Para tentar por conta própria, use --version.

O resultado da última atualização aparece em sudo sentrya-connector status, na linha atualização.

Depois de atualizar: vínculo com o Zabbix

Ao reconectar, o Connector diz ao Sentrya o que a versão nova sabe fazer, e o Sentrya passa a usar na hora, sem nada a configurar no painel. Com uma versão que guarda os tokens de pessoa, e com a chave allow_user_tokens ligada (o padrão):

• o Vínculo com o Zabbix de quem vincular a partir daí cria um token no usuário da pessoa, guardado no Connector, e os reconhecimentos dela saem no nome dela;
• quem já tinha vinculado antes da atualização tem um vínculo que só diz quem a pessoa é: os reconhecimentos dela continuam saindo com o usuário da coleta, com o carimbo, até ela revincular com usuário e senha. Quem entra pela Microsoft, num servidor com o vínculo automático ligado, tem o vínculo completado sozinho no próximo login, se o Zabbix devolver o mesmo usuário; se devolver outro, o vínculo fica como estava;
• o administrador pode ligar Vincular automaticamente pelo login Microsoft no servidor, se o usuário do Connector for Super admin (veja Vincular pelo Microsoft 365);
• os tokens que estavam em Tokens a apagar no Zabbix desse servidor são apagados pelo Connector na rodada seguinte, em até uma hora, se o usuário do Connector for Super admin;
• as leituras de Usar permissões do Zabbix passam pela guarda do Connector. Se uma versão anterior as recusava, a próxima atualização das permissões volta a funcionar.

Se, com a chave ligada, o Sentrya continuar avisando que os tokens de pessoa estão desligados, o Connector não conseguiu abrir a guarda local dos tokens (por exemplo, a chave ou o arquivo dos tokens com permissão mais aberta que 0600). O sudo sentrya-connector doctor diz o que está errado; depois de corrigir, reinicie o serviço. Veja Segurança do Sentrya Connector.

Canal

O canal stable (padrão) recebe só versões estáveis. O canal beta recebe também as versões de teste; use só se a equipe Flowbix pedir.

Ao trocar o canal em update.channel, o atualizador aponta o repositório do Sentrya para o mesmo canal antes de atualizar: a suíte do apt (Suites: em /etc/apt/sources.list.d/sentrya.sources) ou o endereço do dnf (/rpm/<canal>/ em /etc/yum.repos.d/sentrya.repo). Um repositório apontado para um espelho próprio da sua empresa fica como está.

Veja também

• Referência de comandos
• Segurança do Sentrya Connector