跳至主要内容

EMS 安装需求

EMS 安装需求

本文用于确认本地部署 FortiClient EMS 前需要具备的服务器、数据库、网络、证书、许可和运维条件。它是一份安装准入清单，不替代目标版本的 Release Notes、Administration Guide、Compatibility Tool 和安装指南。

重要

EMS 的操作系统、数据库、CPU 架构、资源规格、端口和安装方式会随版本及补丁变化。本文列出的 EMS 7.4.7 最低规格仅用于说明当前基线；规划其他版本，尤其是 EMS 8.0 时，必须重新核对该版本的官方文档。

1. 确定安装场景

准备服务器前先确认：

项目需要确定的内容
EMS 版本完整版本号和 build，而不只是 7.4 或 8.0
部署方式单机本地数据库、单机远程 PostgreSQL、官方 VM 镜像、AWS、EMS HA 或 FortiClient Cloud
数据库方式EMS 随附的本地数据库、Docker PostgreSQL 或受支持的远程 PostgreSQL
终端规模当前数量、增长、并发在线规模、操作系统和地理分布
集成范围FortiGate、AD/LDAP、SAML、SMTP、FortiAnalyzer、FortiSandbox、代理等
可用性目标维护窗口、RPO、RTO、应用 HA、数据库 HA 和站点灾备需求
网络环境联网安装、代理受限、半隔离或完全隔离环境

部署形态参见EMS 的部署和维护和关于数据可用与高可用的部署方法和设计。

2. EMS 7.4.7 最低系统要求

最低系统要求如下：

警告

  • 这里说的是最低要求，请按照实际情况部署
项目最低要求
操作系统Ubuntu 22.04/24.04 LTS Server 或 Desktop、Red Hat Enterprise Linux 9、CentOS Stream 9
处理器2.0 GHz、64 位、6 vCPU
内存12 GB RAM
磁盘80 GB 可用空间
网络千兆以太网适配器
服务器用途专用 EMS 服务器，只安装操作系统默认服务和 EMS 所需组件

还应注意：

  • 因为数据库排序方式和语言、区域有关，请使用英语（美国）作为系统语言。
  • 不要使用 Minimal Ubuntu，因为可能缺少安装所需的软件包。
  • RHEL 需要有效订阅；公有云中应使用 Canonical 或 Red Hat 官方维护的操作系统镜像。
  • 不要将 /opt/forticlientems 单独设置为 Linux 挂载点。
  • 不支持在域控制器上安装和运行 EMS。
  • EMS 7.4 从早期版本的 Windows Server 模式转向 Linux 架构，迁移不能当作普通原地升级处理。

注意

最低规格只表示安装门槛，不代表生产容量建议。终端数量、FortiGate Connector 数量、Telemetry 间隔、日志保留、安装包、清单任务，以及 EMS 与 PostgreSQL 是否同机，都会改变资源需求。

3. 生产容量规划

生产环境应以目标版本 Administration Guide 的 Management capacity 表为准，并为升级、数据增长和任务峰值保留余量。选型时应同时确认受管终端数量、多租户站点数量、FortiGate 连接数量，以及 EMS 与 PostgreSQL 是否同机。

常见规划指标如下。其中，磁盘基础空间、多租户和部署安装包的数值参考 EMS 7.4.7 Management capacity；其余通用规划建议应结合实际负载验证。

规划组件规划考虑指标参考
存储磁盘基础空间建议至少具备 200 GB 可用磁盘空间，并额外考虑以下增量。
存储多租户每增加 1 个租户站点，额外预留约 1 GB 空间；终端数据和日志增长另行评估。
存储部署安装包每增加 1 个部署安装包，额外预留约 1.1 GB 空间；保留多个版本或平台的安装包时累计计算。
存储受管终端数量按终端数量、功能启用情况、事件量和保留周期估算数据库及日志增长；通过试点实测确定单终端占用。推荐每25个终端增加7G左右的容量
存储升级和数据库维护为升级包、解压文件、数据库迁移、事务日志及维护操作预留临时空间。
存储备份保留按实测备份大小、保留份数和增长量单独规划；本机临时备份与异地长期备份分别计算。
存储磁盘性能优先使用低延迟 SSD 或同等级持久存储，同时评估 IOPS、吞吐量和写入延迟，不能只满足容量要求。
处理器vCPU 数量按目标版本容量表中的终端规模和部署场景选择，不宜按“每增加一个用户增加固定 CPU”线性估算。
处理器集中任务峰值为终端集中注册、策略发布、目录同步、标签更新和报表任务保留处理能力，批量任务宜分批或错峰执行。
处理器虚拟化资源确保宿主机可以提供持续计算资源，避免严重 CPU 超配；结合 CPU 利用率和 CPU ready 判断是否需要扩容。
内存RAM 容量按终端规模、租户数量及数据库部署方式选取容量表中的规格；不能将安装最低要求直接作为所有生产场景的配置。
内存数据库与缓存EMS 与 PostgreSQL 同机时，应同时满足应用、数据库缓存和操作系统的内存需求，避免持续使用 swap。
数据库部署位置管理超过 50,000 个终端时，要求将 PostgreSQL 部署在另一台服务器；较小规模也可根据负载评估独立部署。
网络Telemetry 与状态同步单个终端平均带宽需求约 28 Kbps 。
网络安装包分发按安装包实际大小、并发下载数量和部署窗口估算带宽，并验证分支出口及公网链路是否满足要求。
可用性HA 与故障接管使用对应 HA 场景的资源要求，验证故障接管后剩余节点能够承载业务峰值。
扩容余量数据增长和维护峰值将规划期内的终端增长、日志增长及升级备份峰值计入资源预算，设置告警并在资源耗尽前扩容。

注

容量规划以受管终端数为主要口径，不能简单等同于用户数，一个用户可能对应多台终端。上述官方容量说明未列出“每增加一个用户固定增加 300 MB”的规则，数据库和日志空间应通过试点测量估算。

CPU 和内存

以下为 EMS 7.4.7 的官方配置参考，适用条件是：EMS 与 PostgreSQL 同机、未连接 FortiGate、未启用多租户，且不采用 VM HA 部署。

受管终端数量vCPU 数量内存
不超过 5,000612 GB
超过 5,000，至 10,0001018 GB
超过 10,000，至 20,0001422 GB
超过 20,000，至 50,0002228 GB

来源：EMS 7.4.7：EMS 与 PostgreSQL 同机且未连接 FortiGate 的硬件配置。启用多租户、连接 FortiGate、数据库独立部署或采用 HA 时，应改用对应场景的表格；连接 FortiGate 的环境参见对应硬件配置要求。以上数值作为选型基线，仍需结合增长和峰值验证。

  • 按受管终端数、并发在线数和 Connector 数量选择规格。
  • EMS 与 PostgreSQL 同机时会竞争 CPU、内存和磁盘 I/O；规模较大时应评估数据库独立部署。
  • 虚拟化环境应避免长期 CPU 超配和内存回收，并监控 CPU ready、swap 和持续高负载。
  • 除日常负载外，还应验证终端集中上线、策略发布、目录同步和报表任务期间的表现。

存储

容量至少包含：

  • 操作系统、EMS 程序和升级临时空间。
  • PostgreSQL 数据、事务日志和数据库维护空间。
  • EMS 运行日志、终端事件、告警及其保留周期。
  • FortiClient 安装包、签名、导出文件和诊断包。
  • 本机临时备份空间和独立故障域中的长期备份空间。

生产环境宜使用低延迟持久存储，并分别监控系统盘、数据盘和备份目标。磁盘耗尽可能同时影响数据库、日志写入、管理控制台和终端同步。

网络

  • EMS 节点与数据库之间需要稳定、低延迟的连接。
  • HA 节点、数据库复制、负载均衡和仲裁通信应处于受控网络。
  • 为管理入口、Telemetry、安装包下载和外部集成评估峰值带宽。
  • 公网终端连接 EMS 时，应提前确定 FQDN、NAT、证书和访问控制。

4. 操作系统和主机准备

可使用以下只读命令记录 Linux 主机基线：

uname -a
uname -m
cat /etc/os-release
lscpu
free -h
df -hT
ip address
ip route
timedatectl

命令输出可能包含主机名、IP 和网络信息，对外提交前应脱敏。

5. 软件包和安装依赖

EMS 安装程序会按安装方式准备所需组件。不要仅凭旧版本经验提前安装、删除或固定 Python、pip、PostgreSQL、Redis、Web 服务和容器组件的版本。

  1. 使用目标版本安装包，核对文件名、CPU 架构、build 和官方校验值。
  2. 按目标版本的 Required services and ports 页面放行安装、升级和运行所需目的地址与端口。
  3. 代理、依赖包或离线安装应使用该版本文档中的受支持流程。
  4. 不要通过关闭 TLS 校验、使用来源不明的软件仓库或永久开放互联网来绕过下载问题。
  5. 不要擅自替换安装程序要求的软件包版本，也不要单独升级 EMS 依赖组件。

6. 网络、端口和外部服务

应按“通信双方、方向、协议、端口、用途和负责人”建立网络矩阵。

通信关系主要用途
管理员 → EMSHTTPS 管理、API 和诊断包下载
FortiClient → EMS注册、Telemetry、策略同步、状态与事件上报
EMS → Fortinet 服务许可、FortiGuard、安装包、签名、更新和支持服务
EMS → DNS/NTP/SMTP名称解析、时间同步和邮件告警
EMS → AD/LDAP/SAML目录、用户、设备和管理员身份集成
EMS ↔ FortiGateFabric Connector、标签和终端状态同步
EMS ↔ PostgreSQL数据库查询、写入、备份及复制
HA 节点之间应用状态、心跳及部署方式要求的同步通信

不要复制其他环境的端口表。应以目标版本的 Required services and ports 为准，并同时检查主机防火墙、上游防火墙、云安全组、NAT、负载均衡、代理和 TLS 检查。

7. 证书和访问名称

批量接入终端前应确定长期使用的 EMS FQDN，并准备：

  • 与实际访问名称匹配的服务器证书。
  • 管理员浏览器和受管终端均信任的完整证书链。
  • 受控保存且可恢复的私钥。
  • 到期告警、续期负责人和更换验证流程。
  • HA 或负载均衡入口所需的证书部署方式。

相关设置参见证书设置和EMS 访问设置。

8. 数据库要求

选择本地、远程或 HA PostgreSQL 时，应确认：

  • 数据库版本、安装方式和拓扑受目标 EMS 版本支持。
  • EMS 与数据库之间的解析、路由、端口、延迟和 TLS 正确。
  • 数据库账户权限满足安装和运行要求，凭据受控保存。
  • 数据、事务日志、备份和维护具有足够空间。
  • 数据库、连接数、复制状态、备份新鲜度和磁盘均纳入监控。
  • 备份与 EMS 版本、证书、安装介质和恢复密码共同纳入恢复计划。

HA 数据库的“节点在线”不等于数据可以恢复，必须执行恢复演练。

9. 许可、账户和介质

安装前准备：

  • 对应产品和终端数量的许可证或试用许可。
  • 许可证所属 FortiCloud/Support 账户及 MFA 访问方式。
  • EMS 安装包、VM 镜像、数据库包或离线依赖包。
  • 官方校验值、Release Notes、已知问题和升级路径。
  • 具名管理员账户、应急账户和初始密码保管方式。

不要把许可证文件、账户密码、数据库密码、私钥或备份密码写入普通实施文档。

10. 联网、代理和隔离环境

正常联网安装通常需要访问操作系统软件仓库、依赖仓库及 Fortinet 服务。受限网络中应按目标版本选择受支持的临时联网、HTTP 代理、dependencies bundle、Docker Compose 或 Kubernetes 离线流程。

先在与生产限制一致的测试网络验证安装和升级，不要等生产窗口开始后才发现代理认证、DNS、TLS 检查或软件仓库不可达。

11. 安装前验证清单

满足条件后，按对应场景执行EMS 7.4 SA 安装、VM 镜像拉起 EMS或 HA 安装文档。

更新历史

VerDescriptionAuthorRevDate
1.0First Completeyshengtanga2026.10.17
0.1Draft Version--2026.08.04
FortiClient EMS 中文一本通 · 部署与运维参考手册
Powered by Fortinet TAC Team. | 京ICP备05073827号-1