Přeskočit obsah

Předpoklady pro platformu CyberElements Bastion Cluster

Počítač

K instalaci CyberElements Bastion lze použít fyzické i virtuální počítače.
Produkt sám neprovádí žádnou virtualizaci, takže u virtuálních počítačů není nutné povolovat možnost vnořené virtualizace.

OS

CyberElements Bastion běží na 64bitových počítačích se systémem Debian 12 (Bookworm).
Doporučuje se používat počítače bez grafického rozhraní a omezit nainstalované komponenty na server SSH.

CPU

Procesor se 4 jádry pokryje většinu případů použití produktu.

RAM

Upozornění

Níže uvedené hodnoty RAM jsou pouze orientační, protože spotřebu paměti RAM může ovlivnit mnoho proměnných (používané funkce produktu nebo prvky nainstalované na počítači souběžně s produktem).

Spotřeba paměti RAM obecně závisí na počtu souběžných uživatelů, které platforma dokáže obsloužit:

  • Od 1 do 5 souběžných uživatelů: minimálně 2 GB RAM, doporučeno 4 GB.
  • Od 5 do 20 souběžných uživatelů: minimálně 4 GB RAM.
  • Pro 20 a více souběžných uživatelů: minimálně 8 GB RAM.

Spotřeba paměti RAM závisí na počtu souběžných relací a také na typech používaných aplikací.

Typické hodnoty jsou následující:

  • Od 1 do 5 souběžných uživatelů: minimálně 2 GB RAM, doporučeno 4 GB.
  • Od 5 do 20 souběžných uživatelů: minimálně 4 GB RAM.
  • Pro 20 a více souběžných uživatelů: 8 GB RAM.

Upozorňujeme, že aplikace RDP nebo VNC bez agenta může spotřebovat až 400 MB na každou spuštěnou aplikaci.
Pokud se tyto typy aplikací používají ve velké míře, doporučuje se sledovat využití paměti RAM a podle toho upravit její velikost.

Spotřeba paměti RAM závisí na počtu současně otevřených aplikací HTML5.

Základní server musí mít pro fungování systému 2 GB a k tomu 50 MB na každou souběžnou aplikaci HTML5.

Pokud je role HTML5 Gateway kombinována se serverem Edge Gateway, přičtěte k doporučené velikosti paměti RAM pro server Edge Gateway 50 MB na každou souběžnou aplikaci HTML5.

Disk

Doporučujeme rozdělit disk na oddíly pomocí LVM, abyste získali větší flexibilitu, pokud bude nutné během provozu upravit velikost počítače.

Různé typy serverů mají různé vzorce využití disku a rovněž různé objemy dat. Níže jsou uvedeny informace podle typu serveru:

Na tomto serveru bude narůstat objem v následujících adresářích:

  • /var/log/: adresář obsahující různé systémové logy.
  • /var/lib/postgresql/15/main/: adresář obsahující data místní databáze.
  • /var/ipdiva/: adresář obsahující data specifická pro produkt.

Oddělení jednotlivých adresářů do samostatných oddílů není povinné, ale doporučuje se. Můžete se řídit těmito pokyny:

Přípojný bod Možnosti Minimální velikost (GB)
/boot nosuid,nodev,noexec 1
/opt nosuid,nodev 1
/tmp nosuid,nodev 4
/srv nosuid,nodev 1
/home nosuid,nodev,noexec 6
/usr nodev 6
/var nosuid 5
/var/log nosuid,nodev,noexec 5
/var/tmp nosuid,nodev,noexec 2
swap Bez možností Podle velikosti RAM (o polovinu méně)
/ Bez možností 2 GB nebo více podle dostupného místa na disku

Příklad

U serveru se 4 GB RAM (který vyžaduje 2 GB swap) je při výše uvedeném rozdělení na oddíly potřeba minimálně 35 GB místa na disku.

Na tomto serveru bude narůstat objem v následujících adresářích:

  • /var/log/: adresář obsahující různé systémové logy.
  • /var/lib/ipdiva/carerecord/recording/: adresář obsahující archivy, které se právě nahrávají; jde tedy o adresář pro dočasné ukládání.
  • /var/lib/ipdiva/carerecord/archives/: výchozí adresář obsahující grafické archivy produktu.
  • /var/ipdiva/care/sshrecord/: výchozí adresář obsahující negrafické (SSH) archivy produktu.

Oddělení jednotlivých adresářů do samostatných oddílů není povinné, ale doporučuje se. Můžete se řídit těmito pokyny:

Přípojný bod Možnosti Minimální velikost (GB)
/boot nosuid,nodev,noexec 1
/opt nosuid,nodev 1
/tmp nosuid,nodev 4
/srv nosuid,nodev 1
/home nosuid,nodev,noexec 6
/usr nodev 6
/var nosuid,nodev 5
/var/log nosuid,nodev,noexec 5
/var/tmp nosuid,nodev,noexec 2
swap Bez možností Podle velikosti RAM (o polovinu méně)
/ Bez možností 2 GB nebo více podle dostupného místa na disku

Příklad

U serveru se 4 GB RAM (který vyžaduje 2 GB swap) je při výše uvedeném rozdělení na oddíly potřeba minimálně 35 GB místa na disku.

Důrazně se však doporučuje přidělit přípojnému bodu /var více místa na disku pro dočasné nebo dlouhodobé grafické archivy, pokud archivy nejsou ukládány externě.

Na tomto serveru bude narůstat objem v následujících adresářích:

  • /var/log/: adresář obsahující různé systémové logy.
  • /home/systanciahtml5share/: adresář pro dočasné ukládání souborů vyměňovaných s aplikacemi HTML5.

Oddělení jednotlivých adresářů do samostatných oddílů není povinné, ale doporučuje se. Můžete se řídit těmito pokyny:

Přípojný bod Možnosti Minimální velikost (GB)
/boot nosuid,nodev,noexec 1
/opt nosuid,nodev 1
/tmp nosuid,nodev 4
/srv nosuid,nodev 1
/home nosuid,nodev,noexec 6
/usr nodev 6
/var nosuid,nodev 5
/var/log nosuid,nodev,noexec 5
/var/tmp nosuid,nodev,noexec 2
swap Bez možností Podle velikosti RAM (o polovinu méně)
/ Bez možností 2 GB nebo více podle dostupného místa na disku

Příklad

U serveru se 4 GB RAM (který vyžaduje 2 GB swap) je při výše uvedeném rozdělení na oddíly potřeba minimálně 35 GB místa na disku.

Síť

Platforma CyberElements Bastion Cluster bude vyžadovat:

  • 2 skutečné IP adresy na server Mediation Controller (na stejném síťovém rozhraní)
  • 3 virtuální IP adresy pro fungování clusteru
  • 1 IP adresa na počítač Edge Gateway nebo HTML5 Gateway

Další informace

Skutečné i virtuální IP adresy serverů Mediation Controller musí všechny patřit do stejné podsítě.

Nekompatibility s používáním virtuálních IP adres

Vyrovnávání zatížení virtuálních IP adres je řízeno pomocí IPVS (IP Virtual Server).
Vyrovnávání zatížení vyžaduje ke správnému fungování splnění několika předpokladů:

  • Zakažte funkce Reverse Path Forwarding (RPF) pro servery Mediation Controller a IP adresy, které tyto počítače nesou.
  • Ve VMware přiřaďte serverům Mediation Controller síťový adaptér E1000E místo VMXNET3.

Servery Mediation Controller se obvykle umisťují do DMZ, ale mohou být umístěny také do privátní DMZ nebo hostovány ve veřejném cloudu. To bude záviset na případu použití platformy (například vzdálený přístup pro poskytovatele služeb nebo zabezpečení interních přístupů do chráněných oblastí).

Servery Edge Gateway se obvykle umisťují do sítě LAN, do sítí VLAN, které jim umožňují komunikovat s cílovými prostředky.

Servery HTML5 Gateway lze umístit buď do sítě LAN, nebo do DMZ. Tato dokumentace počítá s instalací komponenty HTML5 Gateway na servery Edge Gateway, tj. v síti LAN.

Pro snazší rozlišení jednotlivých adres počítačů budou v dokumentaci označovány takto:

Název IP adresy Význam
RIP_MED_WEB_MASTER Primární IP adresa serveru Mediation Controller MASTER, která poskytuje přístup k webovým konzolám.
RIP_MED_WEB_SLAVE Primární IP adresa serveru Mediation Controller SLAVE, která poskytuje přístup k webovým konzolám.
RIP_MED_SSL_MASTER Druhá IP adresa serveru Mediation Controller MASTER, kterou používá komponenta SSL Router.
RIP_MED_SSL_SLAVE Druhá IP adresa serveru Mediation Controller SLAVE, kterou používá komponenta SSL Router.
VIP_MED_WEB Virtuální IP adresa clusteru Mediation Controller, která poskytuje přístup k webovým konzolám.
VIP_MED_SSL Virtuální IP adresa clusteru Mediation Controller, která poskytuje přístup ke komponentě SSL Router.
VIP_MED_ZEO Virtuální IP adresa clusteru Mediation Controller, která umožňuje přístup k interní konfigurační databázi produktu.
IP_GW IP adresa serveru Edge Gateway.
IP_HTML5_GW IP adresa serveru HTML5 Gateway.

Informace

Uvedené informace o tocích předpokládají, že servery Mediation Controller se nacházejí v DMZ a servery Edge Gateway, které zároveň fungují jako HTML5 Gateway, se nacházejí v síti LAN.

IP adresy serveru Mediation Controller mohou být buď veřejné IP adresy přiřazené přímo serveru Mediation Controller, nebo veřejné IP adresy překládané pomocí NAT na privátní IP adresy (doporučeno).

Zdroj Cíl Cílový port Komentáře
Pracovní stanice uživatele VIP_MED_WEB TCP 443 (při použití standardního portu) Povolení přístupu k webovým konzolám a aplikacím spuštěným přímo v prohlížeči.
Pracovní stanice uživatele VIP_MED_SSL TCP 443 (při použití standardního portu) Vytvoření tunelu TLS pro šifrování toku procházejícího klientem CyberElements Bastion.
IP_GW VIP_MED_WEB TCP 443 (při použití standardního portu) Když se server Edge Gateway nachází ve vzdálené síti. Připojení k systému pairingu komponenty Edge Gateway.
IP_GW VIP_MED_SSL TCP 443 (při použití standardního portu) Když se server Edge Gateway nachází ve vzdálené síti. Připojení ke komponentě SSL Router za účelem vytvoření tunelu TLSv1.3 a směrování komunikace produktu přes něj.
Zdroj Cíl Cílový port Komentáře
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 Úložiště Debian TCP 80 Vyžadováno pro instalaci závislostí CyberElements Bastion a pro udržování systému v aktuálním stavu. Dokumentace a virtuální zařízení používají ftp.fr.debian.org a security.debian.org.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 packages.microsoft.com TCP 443 Úložiště Microsoft pro instalaci a aktualizaci ovladačů MS SQL. Vyžadováno pouze v případě, že je požadován přístup k databázi MS SQL (virtuální zařízení ovladače MS SQL obsahují).
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 Časový server NTP UDP 123 Volitelné, pokud server potřebuje synchronizovat hodiny se serverem v DMZ. Ve výchozím nastavení se používají fondy distribuce Debian: 0.debian.pool.ntp.org, 1.debian.pool.ntp.org, 2.debian.pool.ntp.org a 3.debian.pool.ntp.org.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 Server SMTP TCP 25, 465, 587 Vyžadováno, pokud je nutné k odesílání e-mailů použít server SMTP a ten se nachází v síti WAN.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 Server DNS UDP 53 Vyžadováno pro překlad DNS. Může se nacházet v síti WAN nebo v DMZ.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 api.neomia.ai TCP 443 (Volitelné) Připojení k rozhraním API produktu MFA využívajícího behaviorální biometrii Neomia Pulse.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 EU: keepersecurity.eu
US: keepersecurity.com
AU: keepersecurity.com.au
CA: keepersecurity.ca
JP: keepersecurity.jp		 TCP 443 (Volitelné) Připojení k Vault Keeper EPM v závislosti na jeho umístění.
Zdroj Cíl Cílový port Komentáře
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 Časový server NTP UDP 123 Pokud server potřebuje synchronizovat hodiny se serverem v DMZ.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 Server SMTP TCP 25, 465, 587 Vyžadováno, pokud je nutné k odesílání e-mailů použít server SMTP a ten se nachází v DMZ.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 Databázový server TCP 1433, 5432 nebo jakýkoli jiný vlastní port Vyžadováno, pokud chcete použít externí databázi umístěnou v DMZ.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 Server DNS UDP 53 Vyžadováno pro překlad DNS. Může se nacházet v DMZ nebo v síti WAN.

Další informace

Servery Mediation Controller musí být schopny spolu komunikovat z kterékoli a na kteroukoli ze svých adres bez ohledu na protokol.

Zdroj Cíl Cílový port Komentáře
IP_GW Úložiště Debian TCP 80 Vyžadováno pro instalaci závislostí CyberElements Bastion a pro udržování systému v aktuálním stavu. Dokumentace a virtuální zařízení používají ftp.fr.debian.org a security.debian.org.
IP_GW Server DNS UDP 53 Vyžadováno pro překlad DNS. Volitelné, pokud je server DNS k dispozici v síti LAN nebo v DMZ.
IP_GW Časový server NTP UDP 123 Volitelný, pokud server potřebuje synchronizovat hodiny se serverem v síti LAN nebo v DMZ. Ve výchozím nastavení se používají fondy serverů NTP projektu Debian: 0.debian.pool.ntp.org, 1.debian.pool.ntp.org, 2.debian.pool.ntp.org a 3.debian.pool.ntp.org.
IP_GW Poskytovatel SMS TCP 443 (Volitelné) Připojení k rozhraním API poskytovatelů SMS podporovaných produktem CyberElements Bastion.
Zdroj(e) Cíl Cílový port Komentáře
IP_GW
IP_HTML5_GW		 VIP_MED_WEB
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 TCP 443 (při použití standardního portu) Připojení k systému pairingu komponenty Edge Gateway.
IP_GW
IP_HTML5_GW		 VIP_MED_SSL
RIP_MED_SSL_MASTER
RIP_MED_SSL_SLAVE		 TCP 443 (při použití standardního portu) Připojení ke komponentě SSL Router za účelem vytvoření tunelu TLSv1.3 a směrování komunikace produktu přes něj.
Klientská pracovní stanice VIP_MED_WEB
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 TCP 443 (při použití standardního portu) Připojení k různým webovým konzolám produktu.
Klientská pracovní stanice VIP_MED_SSL
RIP_MED_SSL_MASTER
RIP_MED_SSL_SLAVE		 TCP 443 (při použití standardního portu) Vytvoření tunelu TLS pro šifrování toku procházejícího klientem CyberElements Bastion.
Pracovní stanice správce RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 TCP 22 Připojení SSH k serveru Mediation Controller.
Zdroj Cíl Cílový port Komentáře
IP_GW Server DNS UDP 53 Vyžadováno pro překlad DNS. Volitelné, pokud se používá server DNS v síti WAN nebo v DMZ.
IP_GW Servery LDAP nebo AD TCP 389 nebo 636 Připojení CyberElements Bastion k serveru LDAP nebo AD.
IP_GW Servery AD TCP 139 a 445 Rotace hesel účtů AD, používá se pouze v případě, že rotace přes LDAPS není možná.
IP_GW Servery RDP TCP/UDP 3389 (při použití standardního portu) Připojení z CyberElements Bastion k serverům RDP.
IP_GW Servery SSH TCP 22 (při použití standardního portu) Připojení z CyberElements Bastion k serverům SSH.
IP_GW Servery VNC TCP 5900 (při použití standardního portu) Připojení z CyberElements Bastion k serverům VNC.
IP_GW Webové servery TCP 80 nebo 443 (při použití standardního portu) Připojení z CyberElements Bastion k webovým serverům.
IP_GW Servery Citrix Storefront TCP 443 (při použití standardního portu) Připojení z CyberElements Bastion k serverům Citrix Storefront.
IP_GW Aplikační servery Citrix TCP 1494 Připojení z CyberElements Bastion k aplikačním serverům Citrix (spuštění aplikace nebo plochy pomocí klienta ICA).
IP_GW Souborové servery TCP 139 a 445 Připojení z CyberElements Bastion k souborovým serverům.
IP_GW Databázový server TCP 1433, 5432 nebo jakýkoli jiný vlastní port Vyžadováno, pokud chcete použít externí databázi umístěnou v síti LAN (například pro přenesení databáze Vault).
IP_GW Servery RDP TCP 139 a 445 Nasazení agenta nahrávání prostřednictvím konzoly pro správu.
Klientská pracovní stanice IP_GW TCP [port definovaný správcem] Připojení přímého přístupu SSH.
Klientská pracovní stanice IP_GW TCP 3389 Připojení přímého přístupu RDP.
Servery RDP IP_GW TCP 8443 Připojení mezi agentem nahrávání a serverem Edge Gateway pro odeslání záznamu relace uživatele.
Pracovní stanice správce IP_GW TCP 22 Připojení SSH k serveru Edge Gateway.

Databáze

CyberElements Bastion ke svému provozu používá různé databáze (DB).

  1. Databáze konfigurace systému. Tato databáze slouží k ukládání všech nastavení administračního rozhraní /system a musí mít název default.

    Pozor!

    Databázi default musíte vytvořit před připojením k CyberElements Bastion (nevytváří se automaticky).

  2. Databáze konfigurace organizace. Každá organizace vytvořená na serveru Mediation Controller bude vyžadovat samostatnou DB, která bude obsahovat všechna nastavení a logy organizace.

  3. Databáze Vault. Každá vytvořená organizace spustí vytvoření specifické DB pro Vault produktu, která je ve výchozím nastavení uložena na serveru Mediation Controller. Tuto databázi lze přesunout do sítě LAN za předpokladu, že k ní má přístup server Edge Gateway.

Při použití externích databází (standardní případ v architektuře Cluster) jsou podporovány tyto typy databází:

Licence

Server Mediation Controller ke svému fungování vyžaduje licenci.
Licenci lze získat od společnosti Systancia pomocí následujícího formuláře pro vyžádání licence: Vyžádat licenci

Certifikáty

CyberElements Bastion používá šifrování TLS pro interní komunikaci a HTTPS k zabezpečení webového přístupu, což vyžaduje použití různých certifikátů x509. Níže uvedené informace shrnují jednotlivé požadované certifikáty, jejich účel a minimální nastavení.

Bezpečnostní omezení certifikátu

Bez ohledu na použitý certifikát se ujistěte, že splňuje úroveň zabezpečení 2 knihovny OpenSSL, kterou lze shrnout takto:

  • Certifikát a certifikáty jeho certifikačních autorit musí mít privátní klíč o délce alespoň 2048 bitů u šifrování RSA, DSA a DH; u klíčů eliptických křivek (ECC) musí mít alespoň 224 bitů.
  • Podpis certifikátu nesmí být MD5 ani SHA-1 (upřednostňuje se SHA-512).

Tento server používá pět různých certifikátů:

  • Webový certifikát pro povolení HTTPS.
  • Certifikát pro komponentu SSL Router, která odpovídá za vytváření tunelů TLS a směrování provozu mezi nimi.
  • Certifikát pro komponentu Watchdog, která odpovídá za monitorování správného fungování komponenty SSL Router.
  • Certifikát pro klienta CyberElements Bastion, který mu umožňuje připojit se ke komponentě SSL Router a vytvořit tunel TLSv1.3.
  • Certifikát pro výměny mezi servery Mediation Controller (pouze pro server SLAVE).

Webový certifikát

Doporučení

Webový certifikát by měl být pokud možno vydán veřejnou certifikační autoritou (CA), která je uznávána jako důvěryhodná.
Uživatelé tak bez jakékoli další akce nebudou dostávat žádné výstrahy týkající se použitého certifikátu (za předpokladu, že je platný a pokrývá název, s nímž uživatel zahájil připojení). Použití certifikátu vydaného interní infrastrukturou PKI vyžaduje nasazení certifikátu CA na pracovní stanice uživatelů.

Webový certifikát musí u svých atributů splňovat následující omezení:

  • Doba platnosti certifikátu nesmí přesáhnout 398 dní (13 měsíců).
  • Hashovací funkce použitá pro podpis musí patřit do rodiny SHA-2; doporučujeme SHA-512.
  • Certifikát a certifikáty jeho certifikačních autorit musí mít privátní klíč o délce alespoň 2048 bitů u šifrování RSA, DSA a DH; u klíčů eliptických křivek (ECC) musí mít alespoň 224 bitů. Doporučujeme velikost 4096 bitů pro RSA a křivku ECDSA secp384r1 o velikosti 384 bitů.
  • Hodnotou atributu Common Name musí být název DNS (nebo název se zástupným znakem), pro který je certifikát určen.
  • Atribut Key Usage musí mít hodnoty critical, digitalSignature a keyEncipherment.
  • Atribut Extended Key Usage musí mít hodnotu id-kp-serverAuth (OpenSSL používá hodnotu serverAuth).
  • Atribut Subject Alternative Name musí obsahovat alespoň jednu položku odpovídající primárnímu názvu DNS; další položky lze přidat k pokrytí dalších názvů DNS nebo IP adres.

Přijímaný formát certifikátu: P12 nebo PEM (se dvěma soubory, jedním pro certifikát a jedním pro privátní klíč).

Certifikát komponenty SSL Router

Certifikát SSL Router musí u svých atributů splňovat následující omezení:

  • Doba platnosti certifikátu nesmí přesáhnout 1095 dní (3 roky).
  • Hashovací funkce použitá pro podpis musí patřit do rodiny SHA-2; doporučujeme SHA-512.
  • Certifikát a certifikáty jeho certifikačních autorit musí mít privátní klíč o délce alespoň 2048 bitů u šifrování RSA, DSA a DH; u klíčů eliptických křivek (ECC) musí mít alespoň 224 bitů. Doporučujeme velikost 4096 bitů pro RSA a křivku ECDSA secp384r1 o velikosti 384 bitů.
  • Hodnotou atributu Common Name musí být IP adresa nebo název DNS přesměrovávající na IP_MED_SSL.
  • Atribut Key Usage musí mít hodnoty critical, digitalSignature a keyEncipherment.
  • Atribut Extended Key Usage musí mít hodnotu serverAuth.

Přijímaný formát certifikátu: P12.

Certifikát komponenty Watchdog

Certifikát Watchdog musí u svých atributů splňovat následující omezení:

  • Doba platnosti certifikátu nesmí přesáhnout 1095 dní (3 roky).
  • Hashovací funkce použitá pro podpis musí patřit do rodiny SHA-2; doporučujeme SHA-512.
  • Certifikát a certifikáty jeho certifikačních autorit musí mít privátní klíč o délce alespoň 2048 bitů u šifrování RSA, DSA a DH; u klíčů eliptických křivek (ECC) musí mít alespoň 224 bitů. Doporučujeme velikost 4096 bitů pro RSA a křivku ECDSA secp384r1 o velikosti 384 bitů.
  • Atribut Common Name musí mít jako hodnotu identifikační název pro Watchdog, například „Watchdog“.
  • Atribut Key Usage musí mít hodnoty critical a digitalSignature.
  • Atribut Extended Key Usage musí mít hodnotu clientAuth.

Přijímaný formát certifikátu: P12.

Certifikát klienta CyberElements Bastion

Certifikát klienta CyberElements Bastion musí u svých atributů splňovat následující omezení:

  • Doba platnosti certifikátu nesmí přesáhnout 1095 dní (3 roky).
  • Hashovací funkce použitá pro podpis musí patřit do rodiny SHA-2; doporučujeme SHA-512.
  • Certifikát a certifikáty jeho certifikačních autorit musí mít privátní klíč o délce alespoň 2048 bitů u šifrování RSA, DSA a DH; u klíčů eliptických křivek (ECC) musí mít alespoň 224 bitů. Doporučujeme velikost 4096 bitů pro RSA a křivku ECDSA secp384r1 o velikosti 384 bitů.
  • Atribut Common Name musí mít jako hodnotu identifikační název klienta, například „cyberelements-cleanroom-client“.
  • Atribut Key Usage musí mít hodnoty critical a digitalSignature.
  • Atribut Extended Key Usage musí mít hodnotu clientAuth.

Přijímaný formát certifikátu: P12 s heslem o délce alespoň 8 alfanumerických znaků (speciální znaky, písmena s diakritikou ani pomlčky nejsou podporovány).

Certifikát pro komunikaci mezi servery

Meziserverový certifikát CyberElements Bastion musí u svých atributů splňovat následující omezení:

  • Doba platnosti certifikátu nesmí přesáhnout 1095 dní (3 roky).
  • Hashovací funkce použitá pro podpis musí patřit do rodiny SHA-2; doporučujeme SHA-512.
  • Certifikát a certifikáty jeho certifikačních autorit musí mít privátní klíč o délce alespoň 2048 bitů u šifrování RSA, DSA a DH; u klíčů eliptických křivek (ECC) musí mít alespoň 224 bitů. Doporučujeme velikost 4096 bitů pro RSA a křivku ECDSA secp384r1 o velikosti 384 bitů.
  • Atribut Common Name musí mít jako hodnotu identifikační název, například „interserver-cleanroom“.
  • Atribut Key Usage musí mít hodnoty critical a digitalSignature.
  • Atribut Extended Key Usage musí mít hodnotu clientAuth.

Přijímaný formát certifikátu: P12 s heslem o délce alespoň 8 znaků bez speciálních znaků.

Tento server používá dva různé certifikáty:

  • Certifikát pro ověřování komponenty Edge Gateway vůči komponentě SSL Router.
  • Certifikát pro službu nahrávání, aby se k ní mohli připojit agenti nahrávání.

Informace

Server Edge Gateway může mít více instancí Edge Gateway, což vyžaduje tolik certifikátů, kolik je instancí Edge Gateway (s výjimkou specifického případu architektury Cluster).

Server Edge Gateway však má pouze jednu službu nahrávání, takže bude vyžadován pouze jeden certifikát na počítač.

Certifikát komponenty Edge Gateway

Certifikát serveru Edge Gateway musí u svých atributů splňovat následující omezení:

  • Doba platnosti certifikátu nesmí přesáhnout 1095 dní (3 roky).
  • Hashovací funkce použitá pro podpis musí patřit do rodiny SHA-2; doporučujeme SHA-512.
  • Certifikát a certifikáty jeho certifikačních autorit musí mít privátní klíč o délce alespoň 2048 bitů u šifrování RSA, DSA a DH; u klíčů eliptických křivek (ECC) musí mít alespoň 224 bitů. Doporučujeme velikost 4096 bitů pro RSA a křivku ECDSA secp384r1 o velikosti 384 bitů.
  • Atribut Common Name musí mít hodnotu, která identifikuje logickou komponentu Edge Gateway. Tento název má tvar <GW_NAME>@<ORGANIZATION_NAME>, kde <GW_NAME> odpovídá názvu komponenty Edge Gateway (jak byl zadán v konzole pro správu) a <ORGANIZATION_NAME> odpovídá názvu organizace, ke které se komponenta Edge Gateway připojí.
  • Atribut Key Usage musí mít hodnoty critical a digitalSignature.
  • Atribut Extended Key Usage musí mít hodnotu clientAuth.

Přijímaný formát certifikátu: P12.

Certifikát služby nahrávání

Certifikát služby nahrávání musí u svých atributů splňovat následující omezení:

  • Doba platnosti certifikátu nesmí přesáhnout 1095 dní (3 roky).
  • Hashovací funkce použitá pro podpis musí patřit do rodiny SHA-2; doporučujeme SHA-512.
  • Certifikát a certifikáty jeho certifikačních autorit musí mít privátní klíč o délce alespoň 2048 bitů u šifrování RSA, DSA a DH; u klíčů eliptických křivek (ECC) musí mít alespoň 224 bitů. Doporučujeme velikost 4096 bitů pro RSA a křivku ECDSA secp384r1 o velikosti 384 bitů.
  • Hodnotou atributu Common Name musí být název FQDN nebo alespoň název počítače Edge Gateway.
  • Atribut Key Usage musí mít hodnoty critical, digitalSignature a keyEncipherment.
  • Atribut Extended Key Usage musí mít hodnotu serverAuth.

Přijímaný formát certifikátu: P12.

Tento server používá jediný certifikát: certifikát pro ověřování komponenty HTML5 Gateway vůči komponentě SSL Router.

Informace

Server HTML5 Gateway může mít více instancí HTML5 Gateway, což vyžaduje tolik certifikátů, kolik je instancí HTML5 Gateway (s výjimkou specifického případu architektury Cluster).

Certifikát komponenty HTML5 Gateway

Certifikát komponenty HTML5 Gateway musí u svých atributů splňovat následující omezení:

  • Doba platnosti certifikátu nesmí přesáhnout 1095 dní (3 roky).
  • Hashovací funkce použitá pro podpis musí patřit do rodiny SHA-2; doporučujeme SHA-512.
  • Certifikát a certifikáty jeho certifikačních autorit musí mít privátní klíč o délce alespoň 2048 bitů u šifrování RSA, DSA a DH; u klíčů eliptických křivek (ECC) musí mít alespoň 224 bitů. Doporučujeme velikost 4096 bitů pro RSA a křivku ECDSA secp384r1 o velikosti 384 bitů.
  • Atribut Common Name musí mít hodnotu, která identifikuje logickou komponentu Edge Gateway. Tento název má tvar <HTML5_GW_NAME>@<ORGANIZATION_NAME>, kde <HTML5_GW_NAME> odpovídá názvu komponenty Edge Gateway (jak byl zadán v konzole pro správu) a <ORGANIZATION_NAME> odpovídá názvu organizace, ke které se komponenta Edge Gateway připojí.
  • Atribut Key Usage musí mít hodnoty critical a digitalSignature.
  • Atribut Extended Key Usage musí mít hodnotu clientAuth.

Přijímaný formát certifikátu: P12.

Pro provoz v režimu přímého přístupu používá agent nahrávání pro přímý přístup certifikát k ověření vůči službě nahrávání serveru Edge Gateway.

Certifikát musí u svých atributů splňovat následující omezení:

  • Doba platnosti certifikátu nesmí přesáhnout 1095 dní (3 roky).
  • Hashovací funkce použitá pro podpis musí patřit do rodiny SHA-2; doporučujeme SHA-512.
  • Certifikát a certifikáty jeho certifikačních autorit musí mít privátní klíč o délce alespoň 2048 bitů u šifrování RSA, DSA a DH; u klíčů eliptických křivek (ECC) musí mít alespoň 224 bitů. Doporučujeme velikost 4096 bitů pro RSA a křivku ECDSA secp384r1 o velikosti 384 bitů.
  • Atribut Common Name musí mít jako hodnotu krátký název, FQDN nebo jakýkoli jiný název, který počítač jednoznačně identifikuje. Tento název slouží k identifikaci a sledování akcí prováděných na počítači.
  • Atribut Key Usage musí mít hodnoty critical a digitalSignature.
  • Atribut Extended Key Usage musí mít hodnotu clientAuth.

Přijímaný formát certifikátu: P12.