Karbantartás, mentés, kizáródás

A szolgáltatások nagyrészt maguktól rendben tartják magukat: a régi naplókat és sorokat törlik, a hibás indulás után a rendszer újraindítja őket. Néhány dolog viszont az üzemeltetőé: az adatbázis mentése, a kizáródás utáni visszajutás, és egy-egy titok cseréje. Ez a fejezet ezeket veszi sorra.

A karbantartási mód és a karbantartó indítók

A fiókszolgáltatás karbantartási módja a kiszolgálás helyett fut: elvégez egyetlen műveletet (felhasználó, jelszó, szerepkör, kulcs, peer token), és kilép. Ez a kivezető út, ha a webes felületre senki nem tud belépni.

• A szolgáltatásnak nem kell futnia hozzá, az adatbázisnak viszont igen: a karbantartás ugyanazt az adatbázist használja, mint a szolgáltatás, és legfeljebb 10 másodpercig vár rá.
• Futó szolgáltatás mellett is biztonságos: ugyanaz a közös írási zár sorosítja, mint két szolgáltatáspéldányt, és a karbantartás a futó szolgáltatást soha nem állítja le.
• A szokásos út a karbantartó indítók: az AccountServer/maintenance mappában minden művelethez van egy Windowsos .cmd és egy macOS-en és Linuxon futó .command indító. Dupla kattintásra futnak, bekérik, ami kell, és a végén megállnak, hogy a kiírt kulcs vagy jelszó olvasható maradjon.

A leggyakoribb indítók:

Indító	Mit tesz
admin-password	az admin felhasználó új jelszava, rejtve, kétszer bekérve – a kizáródás kivezető útja
admin-enable	az admin letiltásának visszavonása
user-list, role-list, key-list, peer-token-list	a felhasználók, a szerepkörök, a kulcsok, illetve a peer tokenek listája
user-add, user-password	új felhasználó, illetve bármelyik felhasználó jelszavának cseréje
user-disable, user-enable, user-remove	letiltás, visszaengedés, törlés
key-add, key-revoke	új kulcs egy felhasználónak, illetve egy kulcs visszavonása az azonosítója alapján
peer-token-print, peer-token-reset, peer-token-remove	egy szolgáltatás peer tokenjének kiírása, cseréje, eltávolítása
db-check	az adatbázis-kapcsolat ellenőrzése; semmit nem ír
db-backup, db-restore	a külső kiszolgálón álló adatbázis mentése, illetve visszatöltése

Ha senki nem tud belépni

Ha elveszett a rendszergazda jelszava, vagy a fiókját letiltották, a fiókszolgáltatás gépén futtassa:

AccountServer\maintenance\admin-password

macOS-en és Linuxon ugyanez a AccountServer/maintenance/admin-password.command. A jelszót kétszer, rejtve kéri be; üres Enterre a program sorsol egyet, és egyszer kiírja. Az így beállított jelszót az első webes belépéskor cserélni kell. Ha a fiók le van tiltva, előbb az admin-enable kell.

Amit érdemes tudni:

• A jelszóban csak ékezet nélküli, nyomtatható karakter lehet, és nem kezdődhet vagy végződhet szóközzel – egy ékezetes betű a konzolon némán más jelszóként kerülne be. A magyar billentyűzet halott billentyűi (~, ^) is torzulhatnak; ha a belépés ezután sem sikerül, kérjen sorsolt jelszót.
• Ha a rendszergazda nem admin néven jött létre, a user-list megmutatja a nevét, és a user-password bármelyik fióknak jelszót ad.
• Szolgáltatásként telepített gépen a szolgáltatás a saját, védett connection stringjével éri el az adatbázist, a karbantartó indító viszont az Ön alapértelmezett adatbázis-bindingjével. Ha ez egy másik (például régebbi) adatbázisra mutat, a művelet ott sikerül. Előtte futtassa a db-check indítót, és nézze meg, melyik adatbázist írja ki.
• A jelszóállítás minden nyitott böngésző-munkamenetet érvénytelenít.
• Az utolsó belépni képes rendszergazdát a webes felület nem engedi letiltani vagy törölni – a kizáródás ezért leginkább elfelejtett jelszóból adódik.

Az adatbázis mentése

A felhasználók, a szerepkörök, a kulcsok, az audit napló és a forgalom a fiókszolgáltatás PostgreSQL-adatbázisában élnek. Ütemezett mentés nincs: a mentés kézi, és érdemes minden frissítés előtt elvégezni.

# a termék saját, helyi adatbázisa
AccountServer\managed-postgres.ps1 -Backup
# egy külső kiszolgálón álló adatbázis
AccountServer\maintenance\db-backup -Path D:\mentes\account.backup

• A mentés jelszó-hash-eket tartalmaz, ezért bizalmasan kell kezelni; a fájlt csak a tulajdonosa olvashatja.
• A webes belépés titkosítókulcs-készlete (key ring: a belépési cookie-k titkosításához használt kulcsok) szándékosan kimarad a mentésből, így egy ellopott mentésből nem lehet belépést hamisítani.
• A szolgáltatások saját beállításai, a modellek és a naplók nem az adatbázisban vannak: a beállítások a szolgáltatások adatgyökerében, a settings mappában állnak, és azokat a gép szokásos mentése viszi.

Visszatöltés

# a termék saját, helyi adatbázisa
AccountServer\managed-postgres.ps1 -Restore D:\mentes\account.backup
# egy külső kiszolgálón álló adatbázis
AccountServer\maintenance\db-restore -Name D:\mentes\account.backup

1. Állítsa le a fiókszolgáltatást (és minden példányát). A visszatöltés figyelmeztet erre.
2. A visszatöltés a mentést először egy ideiglenes adatbázisba tölti, ott ellenőrzi, és csak utána cseréli. A mai adatbázis félretéve megmarad (a régi neve mellé időbélyeg kerül), és a kiírt paranccsal később törölhető.
3. Indítsa el újra a fiókszolgáltatást.
4. Minden webes belépés érvénytelen: mindenkinek újra be kell lépnie.

A visszatöltött adatbázis új generációt kap (az adatbázis egyedi azonosítóját). Ha egy fiókszolgáltatás-példány mégis futva maradt, ezt látva leáll – egyszerűen indítsa újra. A peer tokenek az adatbázisban élnek, tehát egy visszatöltés után a szolgáltatások ugyanazzal a kulccsal folytatják. Egy vadonatúj, üres adatbázis viszont a régi peer tokeneket nem ismeri: ilyenkor a szolgáltatások másfél perc után minden kérést elutasítanak, és az AccountServer\setup-account-peers -Replace ad nekik újat (utána a szolgáltatásokat újra kell indítani).

A peer token cseréje

Egy szolgáltatás peer tokenjét akkor kell cserélni, ha kiszivárgott, ha elveszett (megmutatni nem lehet, mert csak a hash-e van meg), vagy ha az adatbázis új lett.

1. A fiókszolgáltatás Kulcsok lapján, a szolgáltatás sorában nyomja meg a Csere gombot – vagy futtassa a peer-token-reset indítót. A régi peer token azonnal érvénytelen.
2. Az új titkot a szolgáltatás gépén írja a megnevezett környezeti változóba (például LCP_ACCOUNT_TOKEN_CAPTIONSERVER); a kiadás utáni ablak a kimásolható parancsot is kiírja. Ha a fiókszolgáltatás ugyanazon a gépen fut, az AccountServer\setup-account-peers -Replace mindhárom szolgáltatásét egyszerre elvégzi.
3. Indítsa újra a szolgáltatást. Szolgáltatásként telepített szolgáltatásnál futtassa újra a telepítőt (-InstallService), mert az a titkot a saját védett mappájába másolja.

Amíg az új érték nincs a gépen, a szolgáltatás nem kap jogosultsági képet, és az eltávolított peer tokennel három elutasítás (kb. másfél perc) után minden kulcsos kérést elutasít.

Ha egy mentett beállítás miatt nem indul el

A feliratozó, a fordító és a beszédszolgáltatás a webes felület Beállítások lapján mentett értéket a következő induláskor veszi át, és az erősebb a parancssornál is. Ha egy mentett érték miatt a szolgáltatás nem indul el, indítsa el egyszer a --ignore-saved kapcsolóval (a feliratozó indítója a végére írt kapcsolót változatlanul továbbadja: .\start-captionserver.ps1 --ignore-saved). Így erre az egy indításra a mentett réteg kimarad, a mentett értékek viszont nem vesznek el: a Beállítások lapon a hibás érték javítható vagy visszaállítható. Ez a kapcsoló csak a parancssorból adható meg, konfigurációs fájlból nem.

Ami magától takarítódik

Mi	Meddig marad	Mikor törlődik
a szolgáltatások naplófájljai	30 napig	a szolgáltatás indulásakor
az audit napló sorai	400 napig	naponta, a fiókszolgáltatás háttérmunkájaként
a forgalom nyers sorai	62 napig	naponta; a napi összesítés megmarad
a forgalom napi összesítése	tartósan	–
a Kapcsolatok lap kéréstörténete	az utolsó 200 kérés	a szolgáltatás leállításakor

A naplótakarítás nem folyamatos: a szolgáltatás indulásakor egyszer fut le. Egy hónapokig futó szolgáltatás régi naplói tehát a következő újraindításig megmaradnak. Amit egy másik program épp nyitva tart, azt kihagyja.

Hova tovább

• A fiókszolgáltatás lapjai
• Szolgáltatásként: Windows, Linux, macOS
• Hibaelhárítás