Към съдържанието

Предварителни изисквания за платформа CyberElements Bastion Standalone

Компютър

За инсталирането на CyberElements Bastion могат да се използват както физически компютри, така и виртуални машини.
Продуктът не извършва виртуализация, така че не е необходимо да активирате опцията за вложена виртуализация за виртуалните машини.

OS

CyberElements Bastion работи на 64-битови компютри с Debian 12 (Bookworm).
Препоръчва се да използвате компютри без графичен интерфейс и да ограничите инсталираните компоненти до сървъра SSH.

CPU

Процесор с 4 ядра ще покрие повечето случаи на използване на продукта.

RAM

Внимание

Стойностите за RAM, дадени по-долу, са само ориентировъчни, тъй като има много променливи, които могат да повлияят на потреблението на RAM (използваните функции на продукта или елементи, инсталирани на компютъра паралелно с продукта).

Потреблението на RAM обикновено зависи от броя на едновременните потребители, които платформата може да обслужи:

  • Между 1 и 5 едновременни потребители: минимум 2 GB RAM, препоръчително 4 GB.
  • Между 5 и 20 едновременни потребители: минимум 4 GB RAM.
  • За 20 или повече едновременни потребители: минимум 8 GB RAM.

Потреблението на RAM зависи от броя на едновременните сесии, както и от типовете използвани приложения.

Типичните стойности са следните:

  • Между 1 и 5 едновременни потребители: минимум 2 GB RAM, препоръчително 4 GB.
  • Между 5 и 20 едновременни потребители: минимум 4 GB RAM.
  • За 20 или повече едновременни потребители: 8 GB RAM.

Имайте предвид, че приложение RDP или VNC без агент може да консумира до 400 MB за всяко стартирано приложение.
Когато тези типове приложения се използват интензивно, се препоръчва да наблюдавате използването на RAM, за да коригирате съответно нейния размер.

Потреблението на RAM зависи от броя на едновременно отворените приложения HTML5.

Базовият сървър трябва да има 2 GB, за да функционира системата, плюс 50 MB за всяко едновременно приложение HTML5.

Ако ролята HTML5 Gateway е комбинирана със сървър Edge Gateway, добавете 50 MB за всяко едновременно приложение HTML5 към препоръчителния обем RAM за сървъра Edge Gateway.

Диск

Препоръчваме да разделите диска на дялове с помощта на LVM, за да осигурите по-голяма гъвкавост, ако размерът на компютъра трябва да бъде преразгледан по време на използването.

Различните типове сървъри имат различни модели на използване на диска, с обеми, които също се различават. По-долу е информацията по тип сървър:

На този сървър обемът ще нараства в следните директории:

  • /var/log/: директория, съдържаща различните системни дневници.
  • /var/lib/postgresql/15/main/: директория, съдържаща данните на локалната база данни.
  • /var/ipdiva/: директория, съдържаща данни, специфични за продукта.

Изолирането на различните директории в отделни дялове не е задължително, но е препоръчително. Можете да следвате тези указания:

Точка на монтиране Опции Минимален размер (GB)
/boot nosuid,nodev,noexec 1
/opt nosuid,nodev 1
/tmp nosuid,nodev 4
/srv nosuid,nodev 1
/home nosuid,nodev,noexec 6
/usr nodev 6
/var nosuid 5
/var/log nosuid,nodev,noexec 5
/var/tmp nosuid,nodev,noexec 2
swap Без опция В зависимост от RAM (наполовина по-малко)
/ Без опция 2 GB или повече в зависимост от наличното дисково пространство

Пример

За сървър с 4 GB RAM (който изисква 2 GB swap) необходимото дисково пространство при горното разделяне на дялове е минимум 35 GB.

На този сървър обемът ще нараства в следните директории:

  • /var/log/: директория, съдържаща различните системни дневници.
  • /var/lib/ipdiva/carerecord/recording/: директория, съдържаща архивите, които се записват в момента; следователно това е директория за временно съхранение.
  • /var/lib/ipdiva/carerecord/archives/: директория по подразбиране, съдържаща графичните архиви на продукта.
  • /var/ipdiva/care/sshrecord/: директория по подразбиране, съдържаща неграфичните (SSH) архиви на продукта.

Изолирането на различните директории в отделни дялове не е задължително, но е препоръчително. Можете да следвате тези указания:

Точка на монтиране Опции Минимален размер (GB)
/boot nosuid,nodev,noexec 1
/opt nosuid,nodev 1
/tmp nosuid,nodev 4
/srv nosuid,nodev 1
/home nosuid,nodev,noexec 6
/usr nodev 6
/var nosuid,nodev 5
/var/log nosuid,nodev,noexec 5
/var/tmp nosuid,nodev,noexec 2
swap Без опция В зависимост от RAM (наполовина по-малко)
/ Без опция 2 GB или повече в зависимост от наличното дисково пространство

Пример

За сървър с 4 GB RAM (който изисква 2 GB swap) необходимото дисково пространство при горното разделяне на дялове е минимум 35 GB.

Въпреки това силно се препоръчва да заделите повече дисково пространство за временните или дългосрочните графични архиви с точката на монтиране /var, освен ако архивите не се съхраняват външно.

На този сървър обемът ще нараства в следните директории:

  • /var/log/: директория, съдържаща различните системни дневници.
  • /home/systanciahtml5share/: директория за временно съхранение на файловете, обменяни с приложенията HTML5.

Изолирането на различните директории в отделни дялове не е задължително, но е препоръчително. Можете да следвате тези указания:

Точка на монтиране Опции Минимален размер (GB)
/boot nosuid,nodev,noexec 1
/opt nosuid,nodev 1
/tmp nosuid,nodev 4
/srv nosuid,nodev 1
/home nosuid,nodev,noexec 6
/usr nodev 6
/var nosuid,nodev 5
/var/log nosuid,nodev,noexec 5
/var/tmp nosuid,nodev,noexec 2
swap Без опция В зависимост от RAM (наполовина по-малко)
/ Без опция 2 GB или повече в зависимост от наличното дисково пространство

Пример

За сървър с 4 GB RAM (който изисква 2 GB swap) необходимото дисково пространство при горното разделяне на дялове е минимум 35 GB.

Мрежа

Платформа CyberElements Bastion Standalone ще изисква:

  • 2 IP адреса за сървъра Mediation Controller (на един и същ мрежов интерфейс)
  • 1 IP адрес на компютър Edge Gateway или HTML5 Gateway

Сървърът Mediation Controller обикновено се разполага в DMZ, но може да бъде разположен и в частна DMZ или хостван в публичен облак. Това ще зависи от сценария на използване на платформата (например: отдалечен достъп за доставчици на услуги или защита на вътрешния достъп до защитени зони).

Сървърите Edge Gateway обикновено се разполагат в LAN, във VLAN мрежи, които им позволяват да комуникират с целевите ресурси.

Сървърите HTML5 Gateway могат да бъдат разположени в LAN или в DMZ. Тази документация предвижда инсталирането на компонента HTML5 Gateway на сървъра Edge Gateway, т.е. в LAN.

За по-лесно разграничаване на различните адреси на компютрите в документацията те ще бъдат обозначавани по следния начин:

Име на IP адреса Значение
IP_MED_WEB Основен IP адрес на сървъра Mediation Controller, който позволява достъп до уеб конзолите.
IP_MED_SSL Втори IP адрес на сървъра Mediation Controller, използван от компонента SSL Router.
IP_GW IP адрес на сървъра Edge Gateway.
IP_HTML5_GW IP адрес на сървъра HTML5 Gateway.

Информация

Показаната информация за потоците предполага, че сървърът Mediation Controller се намира в DMZ, а сървърът Edge Gateway, който изпълнява и ролята на HTML5 Gateway, се намира в LAN.

IP адресите на сървъра Mediation Controller могат да бъдат или публични IP адреси, присвоени директно на сървъра Mediation Controller, или публични IP адреси, преобразувани чрез NAT в частни IP адреси (препоръчително).

Източник Местоназначение Порт на местоназначението Коментари
Работна станция на потребителя IP_MED_WEB TCP 443 (ако се използва стандартният порт) Осигуряване на достъп до уеб конзолите и до приложенията, които се изпълняват директно в браузъра.
Работна станция на потребителя IP_MED_SSL TCP 443 (ако се използва стандартният порт) Установяване на TLS тунел за шифроване на потока, преминаващ през клиента на CyberElements Bastion.
IP_GW IP_MED_WEB TCP 443 (ако се използва стандартният порт) Когато Edge Gateway се намира в отдалечена мрежа. Свързване със системата за сдвояване на Edge Gateway.
IP_GW IP_MED_SSL TCP 443 (ако се използва стандартният порт) Когато Edge Gateway се намира в отдалечена мрежа. Свързване със SSL рутера за установяване на тунел TLSv1.3 и маршрутизиране на комуникациите на продукта през него.
Източник Местоназначение Порт на местоназначението Коментари
IP_MED_WEB Хранилища на Debian TCP 80 Необходимо за инсталиране на зависимостите на CyberElements Bastion и за поддържане на системата актуална. Документацията и виртуалните устройства използват ftp.fr.debian.org и security.debian.org.
IP_MED_WEB packages.microsoft.com TCP 443 Хранилище на Microsoft за инсталиране и актуализиране на драйверите за MS SQL. Необходимо е само ако се изисква достъп до база данни MS SQL (виртуалните устройства съдържат драйверите за MS SQL).
IP_MED_WEB NTP сървър за време UDP 123 По избор, ако сървърът трябва да синхронизира часовника си със сървър в DMZ. По подразбиране се използват пуловете на Debian: 0.debian.pool.ntp.org, 1.debian.pool.ntp.org, 2.debian.pool.ntp.org и 3.debian.pool.ntp.org.
IP_MED_WEB SMTP сървър TCP 25, 465, 587 Необходимо, ако за изпращане на имейли трябва да се използва SMTP сървър, който се намира в WAN.
IP_MED_WEB DNS сървър UDP 53 Необходимо за разрешаване на DNS имена. Може да се намира в WAN или в DMZ.
IP_MED_WEB api.neomia.ai TCP 443 (По избор) Свързване с API на продукта за MFA с поведенческа биометрия Neomia Pulse.
IP_MED_WEB EU: keepersecurity.eu
US: keepersecurity.com
AU: keepersecurity.com.au
CA: keepersecurity.ca
JP: keepersecurity.jp		 TCP 443 (По избор) Свързване със сейфа Keeper EPM в зависимост от местоположението му.
Източник Местоназначение Порт на местоназначението Коментари
IP_MED_WEB NTP сървър за време UDP 123 Ако сървърът трябва да синхронизира часовника си със сървър в DMZ.
IP_MED_WEB SMTP сървър TCP 25, 465, 587 Необходимо, ако за изпращане на имейли трябва да се използва SMTP сървър, който се намира в DMZ.
IP_MED_WEB Сървър за бази данни TCP 1433, 5432 или друг персонализиран порт Необходимо, ако искате да използвате външна база данни, разположена в DMZ.
IP_MED_WEB DNS сървър UDP 53 Необходимо за разрешаване на DNS имена. Може да се намира в DMZ или в WAN.
Източник Местоназначение Порт на местоназначението Коментари
IP_GW Хранилища на Debian TCP 80 Необходимо за инсталиране на зависимостите на CyberElements Bastion и за поддържане на системата актуална. Документацията и виртуалните устройства използват ftp.fr.debian.org и security.debian.org.
IP_GW DNS сървър UDP 53 Необходимо за преобразуването на имена чрез DNS. По избор, ако в LAN или в DMZ е наличен DNS сървър.
IP_GW NTP сървър за време UDP 123 По избор, ако сървърът трябва да синхронизира часовника си със сървър в LAN или в DMZ. По подразбиране се използват пуловете на Debian: 0.debian.pool.ntp.org, 1.debian.pool.ntp.org, 2.debian.pool.ntp.org и 3.debian.pool.ntp.org.
IP_GW Доставчик на SMS TCP 443 (По избор) Свързване с API на доставчиците на SMS, поддържани от CyberElements Bastion.
Източник(ци) Местоназначение(я) Порт на местоназначението Коментари
IP_GW
IP_HTML5_GW		 IP_MED_WEB TCP 443 (ако се използва стандартният порт) Свързване със системата за сдвояване на Edge Gateway.
IP_GW
IP_HTML5_GW		 IP_MED_SSL TCP 443 (ако се използва стандартният порт) Свързване с компонента SSL Router за установяване на тунел TLSv1.3 и маршрутизиране на комуникациите на продукта през него.
Работна станция на клиента IP_MED_WEB TCP 443 (ако се използва стандартният порт) Свързване с различните уеб конзоли на продукта.
Работна станция на клиента IP_MED_SSL TCP 443 (ако се използва стандартният порт) Установяване на TLS тунел за шифроване на потока, преминаващ през клиента на CyberElements Bastion.
Работна станция на администратора IP_MED_WEB TCP 22 SSH връзка със сървъра Mediation Controller.
Източник Местоназначение Порт на местоназначението Коментари
IP_GW DNS сървър UDP 53 Необходимо за разрешаване на DNS имена. По избор, ако се използва DNS сървър в WAN или в DMZ.
IP_GW LDAP или AD сървъри TCP 389 или 636 Свързване на CyberElements Bastion с LDAP или AD сървър.
IP_GW AD сървъри TCP 139 и 445 Ротация на паролите на акаунтите в AD; използва се само ако ротацията чрез LDAPS не е възможна.
IP_GW RDP сървъри TCP/UDP 3389 (ако се използва стандартният порт) Свързване от CyberElements Bastion към RDP сървъри.
IP_GW SSH сървъри TCP 22 (при използване на стандартния порт) Свързване от CyberElements Bastion към SSH сървърите.
IP_GW VNC сървъри TCP 5900 (при използване на стандартния порт) Свързване от CyberElements Bastion към VNC сървърите.
IP_GW Уеб сървъри TCP 80 или 443 (ако се използва стандартният порт) Свързване от CyberElements Bastion към уеб сървъри.
IP_GW Сървъри Citrix Storefront TCP 443 (при използване на стандартния порт) Свързване от CyberElements Bastion към сървърите Citrix Storefront.
IP_GW Сървъри за приложения Citrix TCP 1494 Свързване от CyberElements Bastion към сървърите за приложения Citrix (стартиране на приложение или работен плот с клиента ICA).
IP_GW Файлови сървъри TCP 139 и 445 Свързване от CyberElements Bastion към файловите сървъри.
IP_GW Сървър на база данни TCP 1433, 5432 или друг персонализиран порт Необходимо, ако искате да използвате външна база данни, която се намира в LAN (например за прехвърляне на базата данни на модула Vault).
IP_GW RDP сървъри TCP 139 и 445 Внедряване на агента за записване чрез административната конзола.
Работна станция на клиента IP_GW TCP [порт, дефиниран от администратора] Връзка за директен SSH достъп.
Работна станция на клиента IP_GW TCP 3389 Връзка за директен RDP достъп.
RDP сървъри IP_GW TCP 8443 Връзка между агента за записване и сървъра Edge Gateway за качване на записа на потребителската сесия.
Работна станция на администратора IP_GW TCP 22 SSH връзка със сървъра Edge Gateway.

База данни

CyberElements Bastion използва различни бази данни (БД) за работата си.

  1. База данни за системната конфигурация. Тази база данни се използва за съхраняване на всички настройки на административния интерфейс /system. При инсталация Standalone тази база данни се създава и управлява директно от продукта с помощта на сървър PostgreSQL, инсталиран на сървъра Mediation Controller.
  2. База данни за конфигурацията на организацията. Всяка организация, създадена на сървъра Mediation Controller, ще изисква отделна база данни, която да съдържа всички настройки и дневници на организацията. Тази база данни обикновено се хоства на сървъра Mediation Controller и в неговата локална база данни PostgreSQL, но може да бъде преместена и в DMZ или в LAN.
  3. База данни на Vault. Всяка създадена организация задейства създаването на специфична база данни за модула Vault на продукта, която по подразбиране се съхранява на сървъра Mediation Controller. Тази база данни може да бъде изнесена в LAN, при условие че Edge Gateway има достъп до нея.

При използване на външни бази данни поддържаните типове бази данни са:

Лиценз

Сървърът Mediation Controller изисква лиценз, за да работи.
Лицензът може да бъде получен от Systancia чрез следния формуляр за заявка за лиценз: Заявка за лиценз

Сертификати

CyberElements Bastion използва TLS шифроване за вътрешните комуникации и HTTPS за защита на уеб достъпа, което изисква използването на различни x509 сертификати. Информацията по-долу обобщава различните необходими сертификати, тяхното предназначение и минималните настройки.

Ограничение за защитата на сертификатите

Независимо от използвания сертификат, уверете се, че той отговаря на ниво на защита 2 на OpenSSL, което може да се обобщи по следния начин:

  • Сертификатът и сертификатите на неговите сертифициращи органи трябва да имат частен ключ от поне 2048 бита при шифроване RSA, DSA и DH; ключовете с елиптични криви (ECC) трябва да са от поне 224 бита.
  • Подписът на сертификата не трябва да бъде MD5 или SHA-1 (за предпочитане е SHA-512).

Този сървър използва четири различни сертификата:

  • Уеб сертификат за активиране на HTTPS.
  • Сертификат за компонента SSL Router, който отговаря за изграждането на TLS тунели и маршрутизирането на трафика между тях.
  • Сертификат за компонента Watchdog, който отговаря за наблюдението на правилната работа на компонента SSL Router.
  • Сертификат за клиента на CyberElements Bastion, който му позволява да се свърже с компонента SSL Router и да изгради тунел TLSv1.3.

Уеб сертификат

Препоръка

За предпочитане е уеб сертификатът да е издаден от публичен сертифициращ орган (CA), признат за надежден.
Така потребителите няма да получават никакви сигнали, свързани с използвания сертификат (при условие че той е валиден и обхваща името, с което потребителят е инициирал връзката), без да са необходими допълнителни действия. Използването на сертификат, издаден от вътрешна PKI, изисква внедряване на сертификата на CA на потребителските работни станции.

Уеб сертификатът трябва да отговаря на следните ограничения за своите атрибути:

  • Периодът на валидност на сертификата не трябва да надвишава 398 дни (13 месеца).
  • Хеш функцията, използвана за подписа, трябва да е от семейството SHA-2; препоръчваме SHA-512.
  • Сертификатът и сертификатите на неговите сертифициращи органи трябва да имат частен ключ от поне 2048 бита при шифроване RSA, DSA и DH; ключовете с елиптични криви (ECC) трябва да са от поне 224 бита. Препоръчваме размер от 4096 бита за RSA и крива ECDSA secp384r1 с размер 384 бита.
  • Стойността на атрибута Common Name трябва да бъде DNS името (или име със заместващ знак), за което е предназначен сертификатът.
  • Атрибутът Key Usage трябва да има стойностите critical, digitalSignature и keyEncipherment.
  • Атрибутът Extended Key Usage трябва да има стойността id-kp-serverAuth (OpenSSL използва стойността serverAuth).
  • Атрибутът Subject Alternative Name трябва да съдържа поне един запис, съответстващ на основното DNS име; могат да се добавят и други записи, за да се обхванат други DNS имена или IP адреси.

Приеман формат на сертификата: P12 или PEM (с два файла – един за сертификата и един за частния ключ).

Сертификат на SSL Router

Сертификатът на компонента SSL Router трябва да отговаря на следните ограничения за своите атрибути:

  • Периодът на валидност на сертификата не трябва да надвишава 1095 дни (3 години).
  • Хеш функцията, използвана за подписа, трябва да е от семейството SHA-2; препоръчваме SHA-512.
  • Сертификатът и сертификатите на неговите сертифициращи органи трябва да имат частен ключ от поне 2048 бита при шифроване RSA, DSA и DH; ключовете с елиптични криви (ECC) трябва да са от поне 224 бита. Препоръчваме размер от 4096 бита за RSA и крива ECDSA secp384r1 с размер 384 бита.
  • Стойността на атрибута Common Name трябва да бъде IP адресът или DNS име, пренасочващо към IP_MED_SSL.
  • Атрибутът Key Usage трябва да има стойностите critical, digitalSignature и keyEncipherment.
  • Атрибутът Extended Key Usage трябва да има стойността serverAuth.

Приеман формат на сертификата: P12.

Сертификат на Watchdog

Сертификатът на компонента Watchdog трябва да отговаря на следните ограничения за своите атрибути:

  • Периодът на валидност на сертификата не трябва да надвишава 1095 дни (3 години).
  • Хеш функцията, използвана за подписа, трябва да е от семейството SHA-2; препоръчваме SHA-512.
  • Сертификатът и сертификатите на неговите сертифициращи органи трябва да имат частен ключ от поне 2048 бита при шифроване RSA, DSA и DH; ключовете с елиптични криви (ECC) трябва да са от поне 224 бита. Препоръчваме размер от 4096 бита за RSA и крива ECDSA secp384r1 с размер 384 бита.
  • Атрибутът Common Name трябва да има за стойност идентификационно име за компонента Watchdog, например „Watchdog“.
  • Атрибутът Key Usage трябва да има стойностите critical и digitalSignature.
  • Атрибутът Extended Key Usage трябва да има стойността clientAuth.

Приеман формат на сертификата: P12.

Сертификат на клиента на CyberElements Bastion

Сертификатът за клиента на CyberElements Bastion трябва да отговаря на следните ограничения за своите атрибути:

  • Периодът на валидност на сертификата не трябва да надвишава 1095 дни (3 години).
  • Хеш функцията, използвана за подписа, трябва да е от семейството SHA-2; препоръчваме SHA-512.
  • Сертификатът и сертификатите на неговите сертифициращи органи трябва да имат частен ключ от поне 2048 бита при шифроване RSA, DSA и DH; ключовете с елиптични криви (ECC) трябва да са от поне 224 бита. Препоръчваме размер от 4096 бита за RSA и крива ECDSA secp384r1 с размер 384 бита.
  • Атрибутът Common Name трябва да има за стойност идентификационно име на клиента, например „cyberelements-cleanroom-client“.
  • Атрибутът Key Usage трябва да има стойностите critical и digitalSignature.
  • Атрибутът Extended Key Usage трябва да има стойността clientAuth.

Приеман формат на сертификата: P12 с парола от поне 8 буквено-цифрови знака (специалните знаци, буквите с диакритични знаци и тиретата не се поддържат).

Този сървър използва два различни сертификата:

  • Един сертификат за удостоверяване на компонента Edge Gateway пред SSL Router.
  • Сертификат за услугата за записване, така че агентите за записване да могат да се свързват с нея.

Информация

Един сървър Edge Gateway може да има няколко екземпляра на Edge Gateway, което изисква толкова сертификата, колкото са екземплярите на Edge Gateway (освен в специфичния случай на архитектура Cluster).

Сървърът Edge Gateway обаче има само една услуга за записване, така че ще е необходим само един сертификат на компютър.

Сертификат на Edge Gateway

Сертификатът на компонента Edge Gateway трябва да отговаря на следните ограничения за своите атрибути:

  • Периодът на валидност на сертификата не трябва да надвишава 1095 дни (3 години).
  • Хеш функцията, използвана за подписа, трябва да е от семейството SHA-2; препоръчваме SHA-512.
  • Сертификатът и сертификатите на неговите сертифициращи органи трябва да имат частен ключ от поне 2048 бита при шифроване RSA, DSA и DH; ключовете с елиптични криви (ECC) трябва да са от поне 224 бита. Препоръчваме размер от 4096 бита за RSA и крива ECDSA secp384r1 с размер 384 бита.
  • Атрибутът Common Name трябва да има стойност, която идентифицира логическия шлюз Edge Gateway. Това име има следния вид <GW_NAME>@<ORGANIZATION_NAME>, където <GW_NAME> съответства на името на шлюза Edge Gateway (както е въведено в административната конзола), а <ORGANIZATION_NAME> съответства на името на организацията, към която ще се свързва шлюзът Edge Gateway.
  • Атрибутът Key Usage трябва да има стойностите critical и digitalSignature.
  • Атрибутът Extended Key Usage трябва да има стойността clientAuth.

Приеман формат на сертификата: P12.

Сертификат на услугата за записване

Сертификатът на услугата за записване трябва да отговаря на следните ограничения за своите атрибути:

  • Периодът на валидност на сертификата не трябва да надвишава 1095 дни (3 години).
  • Хеш функцията, използвана за подписа, трябва да е от семейството SHA-2; препоръчваме SHA-512.
  • Сертификатът и сертификатите на неговите сертифициращи органи трябва да имат частен ключ от поне 2048 бита при шифроване RSA, DSA и DH; ключовете с елиптични криви (ECC) трябва да са от поне 224 бита. Препоръчваме размер от 4096 бита за RSA и крива ECDSA secp384r1 с размер 384 бита.
  • Стойността на атрибута Common Name трябва да бъде FQDN името или поне името на компютъра с Edge Gateway.
  • Атрибутът Key Usage трябва да има стойностите critical, digitalSignature и keyEncipherment.
  • Атрибутът Extended Key Usage трябва да има стойността serverAuth.

Приеман формат на сертификата: P12.

Този сървър използва един сертификат: този за удостоверяване на компонента HTML5 Gateway пред компонента SSL Router.

Информация

Сървър HTML5 Gateway може да има няколко екземпляра на HTML5 Gateway, което изисква толкова сертификата, колкото са екземплярите на HTML5 Gateway (освен в специфичния случай на архитектура Cluster).

Сертификат на HTML5 Gateway

Сертификатът на компонента HTML5 Gateway трябва да отговаря на следните ограничения за своите атрибути:

  • Периодът на валидност на сертификата не трябва да надвишава 1095 дни (3 години).
  • Хеш функцията, използвана за подписа, трябва да е от семейството SHA-2; препоръчваме SHA-512.
  • Сертификатът и сертификатите на неговите сертифициращи органи трябва да имат частен ключ от поне 2048 бита при шифроване RSA, DSA и DH; ключовете с елиптични криви (ECC) трябва да са от поне 224 бита. Препоръчваме размер от 4096 бита за RSA и крива ECDSA secp384r1 с размер 384 бита.
  • Атрибутът Common Name трябва да има стойност, която идентифицира логическия шлюз Edge Gateway. Това име има следния вид <HTML5_GW_NAME>@<ORGANIZATION_NAME>, където <HTML5_GW_NAME> съответства на името на шлюза Edge Gateway (както е въведено в административната конзола), а <ORGANIZATION_NAME> съответства на името на организацията, към която ще се свързва шлюзът Edge Gateway.
  • Атрибутът Key Usage трябва да има стойностите critical и digitalSignature.
  • Атрибутът Extended Key Usage трябва да има стойността clientAuth.

Приеман формат на сертификата: P12.

За работа с директен достъп агентът за записване при директен достъп използва сертификат, за да се удостовери пред услугата за записване на сървър Edge Gateway.

Сертификатът трябва да отговаря на следните ограничения за своите атрибути:

  • Периодът на валидност на сертификата не трябва да надвишава 1095 дни (3 години).
  • Хеш функцията, използвана за подписа, трябва да е от семейството SHA-2; препоръчваме SHA-512.
  • Сертификатът и сертификатите на неговите сертифициращи органи трябва да имат частен ключ от поне 2048 бита при шифроване RSA, DSA и DH; ключовете с елиптични криви (ECC) трябва да са от поне 224 бита. Препоръчваме размер от 4096 бита за RSA и крива ECDSA secp384r1 с размер 384 бита.
  • Атрибутът Common Name трябва да има стойност, която е краткото име, FQDN или друго име, което еднозначно ще идентифицира компютъра. Това име се използва за идентифициране и проследяване на действията, извършвани на компютъра.
  • Атрибутът Key Usage трябва да има стойностите critical и digitalSignature.
  • Атрибутът Extended Key Usage трябва да има стойността clientAuth.

Приеман формат на сертификата: P12.