تثبيت جهاز DRM

يأتي DRM كـ جهاز افتراضي (Virtual Appliance) — صورة OVA واحدة تحتوي على ملف تنفيذي بلغة Go (واجهة مستخدم ويب مدمجة بالإضافة إلى قاعدة بيانات SQLite) على نظام أساسي من Ubuntu بالحد الأدنى. لا يوجد شيء يلزم تجميعه ولا يوجد وكيل عكسي (Reverse Proxy) يلزم تكوينه: يقوم الجهاز بإنهاء HTTPS بنفسه ويعمل كآلة افتراضية عادية على المشرف الافتراضي لديك، تمامًا مثل طريقة توزيع VMware SRM.

تقوم بنشر جهاز واحد لكل موقع — واحد في الموقع الأساسي وواحد في موقع التعافي — كل منهما متصل بـ Cockpit الخاص بذلك الموقع. لا يوجد رابط معالجة مباشر بين DRM وDRM؛ يتبادل الجهازان تعريفات خطط التعافي فقط.

أين يندرج هذا الدليل

هذه الصفحة ترشدك لجعل الجهاز يعمل. بمجرد أن تستجيب وحدة التحكم الخاصة به على https://<address>:7772/، تابع مع البدء لتسجيل الترخيص، وربطه بـ Cockpit، واقتران الموقعين.

قبل أن تبدأ

المورد	القيمة الافتراضية للجهاز	ملاحظات
المعالج الافتراضي (vCPU)	2	لمستوى التحكم فقط (Control Plane) — لا يقع DRM أبدًا في مسار بيانات النسخ المتماثل.
الذاكرة (RAM)	2 غيغابايت
القرص	10 غيغابايت (تخصيص رقيق / thin)	يستوعب نظام التشغيل، وقاعدة بيانات SQLite، وبيانات شهادة TLS الموقعة ذاتيًا.
الشبكة	بطاقة واحدة (1 NIC)	للوصول إلى Cockpit في الموقع، وعبر المواقع للتواصل مع جهاز DRM النظير على المنفذ 7772.

انشر على وحدة تخزين مشتركة / عالية التوفر (HA)

تم تصميم DRM بدون تجميع على مستوى التطبيق — يتم تفويض توفر المثيل إلى ميزة VM-HA في Cockpit، والتي تعيد تشغيل الآلات الافتراضية للمضيف المعطل في مكان آخر ولكنها تتجاهل الآلات الافتراضية الموجودة على أقراص محلية. ضع الجهاز على مجمع تخزين مشترك / عالي التوفر (HA datastore) وقم بتمكين VM-HA له. على التخزين المحلي، سيؤدي فشل المضيف إلى إيقاف تشغيل الجهاز دون إعادة تشغيل تلقائية.

1. تنزيل ملف OVA من بوابة المؤسسة

سجّل الدخول إلى بوابة المؤسسة، وافتح منتج DRM، وقم بتنزيل أحدث إصدار للجهاز (المنصة generic — حيث يعمل ملف OVA على أي مشرف افتراضي). ستحصل على ملف باسم drm-appliance-<version>.ova.

تنشر صفحة الإصدار أيضًا المجموع الاختباري SHA-256 لملف OVA. تحقق من التنزيل قبل الاستيراد:

sha256sum drm-appliance-<version>.ova
# قارن الناتج بالمجموع الاختباري المعروض في صفحة إصدار البوابة

2. استيراد ملف OVA إلى المشرف الافتراضي

ملف OVA عبارة عن أرشيف tar يحتوي على واصف OVF وقرص VMDK بنوع streamOptimized. قم باستيراده عبر Cockpit أو مباشرة عبر Vapor.

باستخدام Cockpit

1. ارفع قرص الجهاز إلى مجمع تخزين (datastore) باستخدام متصفح مجمع التخزين. إذا كان سير عملك يتطلب تنسيقًا أصليًا، فقم بفك ضغط ملف OVA أولاً (tar -xf drm-appliance-<version>.ova) وقم بتحويل VMDK إلى qcow2:

   qemu-img convert -O qcow2 drm-appliance-<version>-disk1.vmdk drm-appliance.qcow2

2. افتح معالج تزويد الآلات الافتراضية (VM Provisioning Wizard) وأنشئ آلة افتراضية جديدة بالأحجام المحددة في قسم قبل أن تبدأ. في خطوة التخزين (Storage)، اختر إرفاق قرص موجود (Attach Existing) وحدد القرص الذي قمت برفعه؛ وفي خطوة الشبكة (Network)، أرفق بطاقة شبكة واحدة على شبكة الإدارة التي يجب أن يستجيب عليها الجهاز. ضع الآلة الافتراضية على مجمع تخزين مشترك / عالي التوفر (HA).

راجع دليل Cockpit حول الآلات الافتراضية والتخزين ومجمعات التخزين للحصول على تفاصيل مجمعات التخزين والمعالج.

باستخدام Vapor مباشرة

ارفع القرص إلى مجمع تخزين (storage pool) في Vapor باستخدام متصفح مجمع التخزين، ثم أنشئ آلة افتراضية من القرص الموجود بالأحجام المذكورة أعلاه وبطاقة شبكة واحدة. راجع مجمعات التخزين والآلات الافتراضية.

أهداف VMware

في موقع VMware، يتم استيراد ملف OVA مباشرة — انشره باستخدام Deploy OVF Template واحتفظ بالعتاد المحدد للجهاز كما هو.

3. التشغيل ومعرفة العنوان

قم بتشغيل الآلة الافتراضية. عند الإقلاع الأول، يقوم الجهاز بـ:

• تشغيل بطاقة الشبكة عبر DHCP؛
• تشغيل عملية إعداد لمرة واحدة تُنشئ أسرار هذا المثيل (بحيث يكون كل جهاز فريدًا — لا يوجد شيء مدمج مسبقًا في الصورة)، وإصدار شهادة TLS موقعة ذاتيًا خاصة به، وبدء خدمة DRM؛
• ضبط جدار الحماية ليقتصر على SSH (22) ولوحة تحكم DRM (7772) فقط.

ابحث عن العنوان الذي حصل عليه من عقود خادم DHCP لديك، أو اقرأه من وحدة تحكم الآلة الافتراضية (الخطوة التالية).

4. فتح وحدة التحكم وضبط تسجيل الدخول

افتح وحدة تحكم الآلة الافتراضية (VM console). سجّل الدخول باستخدام حساب وحدة التحكم المدمج:

الحساب	اسم المستخدم	كلمة المرور
وحدة التحكم (SSH / VM console)	drm	drm

يُطلب منك تغيير كلمة المرور هذه عند تسجيل الدخول لأول مرة. حساب وحدة التحكم هذا مخصص فقط للوصول على مستوى المضيف (قراءة العنوان، صيانة المضيف)؛ وهو منفصل عن حساب مسؤول الويب لـ DRM الذي ستنشئه تاليًا.

تأكد من العنوان ومن أن الخدمة قيد التشغيل:

ip -4 addr            # عنوان الجهاز
systemctl is-active drm drm-update.path   # يجب أن يظهر كلاهما: active

5. فتح لوحة تحكم DRM واستكمال الإعداد الأولي

انتقل في المتصفح إلى:

https://<address>:7772/

الشهادة موقعة ذاتيًا (يتم الوصول إلى الجهاز عبر عنوان IP، حيث لا تصدر أي جهة إصدار شهادات عامة شهادة له)، لذلك يحذر متصفحك في الزيارة الأولى — اقبل التحذير لمرة واحدة. هذا التصرف مقصود: فهو يحمي كلمة مرور المسؤول وكل طلب لاحق من الإرسال عبر بروتوكول HTTP غير المشفر.

على جهاز جديد، يعرض DRM معالج الإعداد الأولي (First-run setup wizard) الذي ينشئ حساب مسؤول الويب الأول ويسجل دخولك.

لا تجعل الجهاز مكشوفًا على الإنترنت العام

احتفظ بالجهاز داخل شبكة الإدارة الخاصة بك. ينسق الجهاز تجاوز الفشل عبر كلا الموقعين ويحتفظ ببيانات اعتماد Cockpit المشفرة؛ وهو غير مهيأ للتواجد على عنوان إنترنت عام.

6. تكرار العملية في الموقع الثاني

انشر جهازًا ثانيًا بالطريقة نفسها في موقع التعافي. كل جهاز مستقل وقائم بذاته — لا تقم باستنساخ جهاز تم تكوينه لإنشاء الجهاز الثاني، لأن الأسرار التي تم إنشاؤها يجب أن تكون مختلفة. قم بتثبيت ملف OVA جديد.

الحفاظ على تحديث الجهاز

يقوم DRM بتحديث نفسه في مكانه دون الحاجة إلى إعادة التثبيت — حيث يتم الاحتفاظ بقاعدة البيانات، والمواقع المقترنة، وخطط التعافي، وجميع الأسرار.

• من لوحة التحكم: تعرض صفحة Settings ← Updates الإصدار المثبت وأي إصدار أحدث، مع زر Install Update.
• من خلال SSH: نفّذ sudo drm update (أو sudo drm update --check للتحقق فقط).

تأتي التحديثات من موجز إصدارات بوابة المؤسسة عبر HTTPS. تعيد أداة التحديث التحقق من المجموع الاختباري للتنزيل، وتشغّل الملف الثنائي الجديد مرة واحدة قبل الوثوق به، وترفض الرجوع إلى إصدار أقدم، وترفض إعادة التشغيل أثناء تنفيذ إحدى خطط التعافي. يمكن للمواقع المعزولة عن الإنترنت (Air-gapped) تعطيل عمليات التحقق من التحديثات أو توجيهها إلى موجز داخلي موقع.

الخطوات التالية

بعد أن تستجيب وحدة التحكم على https://<address>:7772/ على كلا الجهازين، تابع مع:

1. البدء — المتطلبات الأساسية والتراخيص وربط كل DRM بـ Cockpit المحلي الخاص به.
2. اقتران موقعين — ربط وحدات تحكم Cockpit الأساسية والتعافي، واقتران مثيلات DRM.
3. حماية أحمال العمل — تسجيل أول آلة افتراضية للنسخ المتماثل.