Přeskočit obsah

Předpoklady pro platformu CyberElements Bastion Standalone

Počítač

K instalaci CyberElements Bastion lze použít fyzické i virtuální počítače.
Produkt sám neprovádí žádnou virtualizaci, takže u virtuálních počítačů není nutné povolovat možnost vnořené virtualizace.

OS

CyberElements Bastion běží na 64bitových počítačích se systémem Debian 12 (Bookworm).
Doporučuje se používat počítače bez grafického rozhraní a omezit nainstalované komponenty na server SSH.

CPU

Procesor se 4 jádry pokryje většinu případů použití produktu.

RAM

Upozornění

Níže uvedené hodnoty RAM jsou pouze orientační, protože spotřebu paměti RAM může ovlivnit mnoho proměnných (používané funkce produktu nebo prvky nainstalované na počítači souběžně s produktem).

Spotřeba paměti RAM obecně závisí na počtu souběžných uživatelů, které platforma dokáže obsloužit:

  • Od 1 do 5 souběžných uživatelů: minimálně 2 GB RAM, doporučeno 4 GB.
  • Od 5 do 20 souběžných uživatelů: minimálně 4 GB RAM.
  • Pro 20 a více souběžných uživatelů: minimálně 8 GB RAM.

Spotřeba paměti RAM závisí na počtu souběžných relací a také na typech používaných aplikací.

Typické hodnoty jsou následující:

  • Od 1 do 5 souběžných uživatelů: minimálně 2 GB RAM, doporučeno 4 GB.
  • Od 5 do 20 souběžných uživatelů: minimálně 4 GB RAM.
  • Pro 20 a více souběžných uživatelů: 8 GB RAM.

Upozorňujeme, že aplikace RDP nebo VNC bez agenta může spotřebovat až 400 MB na každou spuštěnou aplikaci.
Pokud se tyto typy aplikací používají ve velké míře, doporučuje se sledovat využití paměti RAM a podle toho upravit její velikost.

Spotřeba paměti RAM závisí na počtu současně otevřených aplikací HTML5.

Základní server musí mít pro fungování systému 2 GB a k tomu 50 MB na každou souběžnou aplikaci HTML5.

Pokud je role HTML5 Gateway kombinována se serverem Edge Gateway, přičtěte k doporučené velikosti paměti RAM pro server Edge Gateway 50 MB na každou souběžnou aplikaci HTML5.

Disk

Doporučujeme rozdělit disk na oddíly pomocí LVM, abyste získali větší flexibilitu, pokud bude nutné během provozu upravit velikost počítače.

Různé typy serverů mají různé vzorce využití disku a rovněž různé objemy dat. Níže jsou uvedeny informace podle typu serveru:

Na tomto serveru bude narůstat objem v následujících adresářích:

  • /var/log/: adresář obsahující různé systémové logy.
  • /var/lib/postgresql/15/main/: adresář obsahující data místní databáze.
  • /var/ipdiva/: adresář obsahující data specifická pro produkt.

Oddělení jednotlivých adresářů do samostatných oddílů není povinné, ale doporučuje se. Můžete se řídit těmito pokyny:

Přípojný bod Možnosti Minimální velikost (GB)
/boot nosuid,nodev,noexec 1
/opt nosuid,nodev 1
/tmp nosuid,nodev 4
/srv nosuid,nodev 1
/home nosuid,nodev,noexec 6
/usr nodev 6
/var nosuid 5
/var/log nosuid,nodev,noexec 5
/var/tmp nosuid,nodev,noexec 2
swap Bez možností Podle velikosti RAM (o polovinu méně)
/ Bez možností 2 GB nebo více podle dostupného místa na disku

Příklad

U serveru se 4 GB RAM (který vyžaduje 2 GB swap) je při výše uvedeném rozdělení na oddíly potřeba minimálně 35 GB místa na disku.

Na tomto serveru bude narůstat objem v následujících adresářích:

  • /var/log/: adresář obsahující různé systémové logy.
  • /var/lib/ipdiva/carerecord/recording/: adresář obsahující archivy, které se právě nahrávají; jde tedy o adresář pro dočasné ukládání.
  • /var/lib/ipdiva/carerecord/archives/: výchozí adresář obsahující grafické archivy produktu.
  • /var/ipdiva/care/sshrecord/: výchozí adresář obsahující negrafické (SSH) archivy produktu.

Oddělení jednotlivých adresářů do samostatných oddílů není povinné, ale doporučuje se. Můžete se řídit těmito pokyny:

Přípojný bod Možnosti Minimální velikost (GB)
/boot nosuid,nodev,noexec 1
/opt nosuid,nodev 1
/tmp nosuid,nodev 4
/srv nosuid,nodev 1
/home nosuid,nodev,noexec 6
/usr nodev 6
/var nosuid,nodev 5
/var/log nosuid,nodev,noexec 5
/var/tmp nosuid,nodev,noexec 2
swap Bez možností Podle velikosti RAM (o polovinu méně)
/ Bez možností 2 GB nebo více podle dostupného místa na disku

Příklad

U serveru se 4 GB RAM (který vyžaduje 2 GB swap) je při výše uvedeném rozdělení na oddíly potřeba minimálně 35 GB místa na disku.

Důrazně se však doporučuje přidělit přípojnému bodu /var více místa na disku pro dočasné nebo dlouhodobé grafické archivy, pokud archivy nejsou ukládány externě.

Na tomto serveru bude narůstat objem v následujících adresářích:

  • /var/log/: adresář obsahující různé systémové logy.
  • /home/systanciahtml5share/: adresář pro dočasné ukládání souborů vyměňovaných s aplikacemi HTML5.

Oddělení jednotlivých adresářů do samostatných oddílů není povinné, ale doporučuje se. Můžete se řídit těmito pokyny:

Přípojný bod Možnosti Minimální velikost (GB)
/boot nosuid,nodev,noexec 1
/opt nosuid,nodev 1
/tmp nosuid,nodev 4
/srv nosuid,nodev 1
/home nosuid,nodev,noexec 6
/usr nodev 6
/var nosuid,nodev 5
/var/log nosuid,nodev,noexec 5
/var/tmp nosuid,nodev,noexec 2
swap Bez možností Podle velikosti RAM (o polovinu méně)
/ Bez možností 2 GB nebo více podle dostupného místa na disku

Příklad

U serveru se 4 GB RAM (který vyžaduje 2 GB swap) je při výše uvedeném rozdělení na oddíly potřeba minimálně 35 GB místa na disku.

Síť

Platforma CyberElements Bastion Standalone bude vyžadovat:

  • 2 IP adresy pro server Mediation Controller (na stejném síťovém rozhraní)
  • 1 IP adresa na počítač Edge Gateway nebo HTML5 Gateway

Server Mediation Controller se obvykle umísťuje do DMZ, ale lze jej umístit i do privátní DMZ nebo hostovat ve veřejném cloudu. Záleží na případu použití platformy (například vzdálený přístup pro poskytovatele služeb nebo zabezpečení interního přístupu do chráněných zón).

Servery Edge Gateway se obvykle umisťují do sítě LAN, do sítí VLAN, které jim umožňují komunikovat s cílovými prostředky.

Servery HTML5 Gateway lze umístit buď do sítě LAN, nebo do DMZ. Tato dokumentace počítá s instalací komponenty HTML5 Gateway na server Edge Gateway, tedy do sítě LAN.

Pro snazší rozlišení jednotlivých adres počítačů budou v dokumentaci označovány takto:

Název IP adresy Význam
IP_MED_WEB Primární IP adresa serveru Mediation Controller, která umožňuje přístup k webovým konzolám.
IP_MED_SSL Druhá IP adresa serveru Mediation Controller, kterou používá komponenta SSL Router.
IP_GW IP adresa serveru Edge Gateway.
IP_HTML5_GW IP adresa serveru HTML5 Gateway.

Informace

Uvedené informace o síťových tocích předpokládají, že server Mediation Controller se nachází v DMZ a že server Edge Gateway, který má také roli HTML5 Gateway, se nachází v síti LAN.

IP adresy serveru Mediation Controller mohou být buď veřejné IP adresy přiřazené přímo serveru Mediation Controller, nebo veřejné IP adresy překládané pomocí NAT na privátní IP adresy (doporučeno).

Zdroj Cíl Cílový port Komentáře
Pracovní stanice uživatele IP_MED_WEB TCP 443 (při použití standardního portu) Umožnění přístupu k webovým konzolám a aplikacím spouštěným přímo v prohlížeči.
Pracovní stanice uživatele IP_MED_SSL TCP 443 (při použití standardního portu) Vytvoření tunelu TLS pro šifrování toku procházejícího klientem CyberElements Bastion.
IP_GW IP_MED_WEB TCP 443 (při použití standardního portu) Pokud se server Edge Gateway nachází ve vzdálené síti. Připojení k systému pairingu serverů Edge Gateway.
IP_GW IP_MED_SSL TCP 443 (při použití standardního portu) Pokud se server Edge Gateway nachází ve vzdálené síti. Připojení ke komponentě SSL Router za účelem vytvoření tunelu TLSv1.3 a směrování komunikace produktu přes něj.
Zdroj Cíl Cílový port Komentáře
IP_MED_WEB Úložiště Debian TCP 80 Nutné pro instalaci závislostí CyberElements Bastion a udržování systému v aktuálním stavu. Dokumentace a virtuální zařízení používají ftp.fr.debian.org a security.debian.org.
IP_MED_WEB packages.microsoft.com TCP 443 Úložiště Microsoft pro instalaci a aktualizaci ovladačů MS SQL. Nutné pouze v případě, že je požadován přístup k databázi MS SQL (virtuální zařízení ovladače MS SQL obsahují).
IP_MED_WEB Časový server NTP UDP 123 Volitelný, pokud server potřebuje synchronizovat hodiny se serverem v DMZ. Ve výchozím nastavení se používají fondy serverů NTP projektu Debian: 0.debian.pool.ntp.org, 1.debian.pool.ntp.org, 2.debian.pool.ntp.org a 3.debian.pool.ntp.org.
IP_MED_WEB Server SMTP TCP 25, 465, 587 Nutný, pokud se pro odesílání e-mailů musí použít server SMTP umístěný v síti WAN.
IP_MED_WEB Server DNS UDP 53 Nutný pro překlad názvů DNS. Může se nacházet v síti WAN nebo v DMZ.
IP_MED_WEB api.neomia.ai TCP 443 (Volitelné) Připojení k rozhraním API produktu MFA založeného na behaviorální biometrii Neomia Pulse.
IP_MED_WEB EU: keepersecurity.eu
US: keepersecurity.com
AU: keepersecurity.com.au
CA: keepersecurity.ca
JP: keepersecurity.jp		 TCP 443 (Volitelné) Připojení k Vault Keeper EPM podle jeho umístění.
Zdroj Cíl Cílový port Komentáře
IP_MED_WEB Časový server NTP UDP 123 Pokud server potřebuje synchronizovat hodiny se serverem v DMZ.
IP_MED_WEB Server SMTP TCP 25, 465, 587 Nutný, pokud se pro odesílání e-mailů musí použít server SMTP umístěný v DMZ.
IP_MED_WEB Databázový server TCP 1433, 5432 nebo jakýkoli jiný vlastní port Nutný, pokud chcete použít externí databázi umístěnou v DMZ.
IP_MED_WEB Server DNS UDP 53 Nutný pro překlad názvů DNS. Může se nacházet v DMZ nebo v síti WAN.
Zdroj Cíl Cílový port Komentáře
IP_GW Úložiště Debian TCP 80 Nutné pro instalaci závislostí CyberElements Bastion a udržování systému v aktuálním stavu. Dokumentace a virtuální zařízení používají ftp.fr.debian.org a security.debian.org.
IP_GW Server DNS UDP 53 Vyžadováno pro překlad DNS. Volitelné, pokud je server DNS k dispozici v síti LAN nebo v DMZ.
IP_GW Časový server NTP UDP 123 Volitelný, pokud server potřebuje synchronizovat hodiny se serverem v síti LAN nebo v DMZ. Ve výchozím nastavení se používají fondy serverů NTP projektu Debian: 0.debian.pool.ntp.org, 1.debian.pool.ntp.org, 2.debian.pool.ntp.org a 3.debian.pool.ntp.org.
IP_GW Poskytovatel SMS TCP 443 (Volitelné) Připojení k rozhraním API poskytovatelů SMS podporovaných produktem CyberElements Bastion.
Zdroj(e) Cíl(e) Cílový port Poznámky
IP_GW
IP_HTML5_GW		 IP_MED_WEB TCP 443 (při použití standardního portu) Připojení k systému pairingu serverů Edge Gateway.
IP_GW
IP_HTML5_GW		 IP_MED_SSL TCP 443 (při použití standardního portu) Připojení ke komponentě SSL Router za účelem vytvoření tunelu TLSv1.3 a směrování komunikace produktu přes něj.
Klientská pracovní stanice IP_MED_WEB TCP 443 (při použití standardního portu) Připojení k různým webovým konzolám produktu.
Klientská pracovní stanice IP_MED_SSL TCP 443 (při použití standardního portu) Vytvoření tunelu TLS pro šifrování toku procházejícího klientem CyberElements Bastion.
Pracovní stanice správce IP_MED_WEB TCP 22 Připojení SSH k serveru Mediation Controller.
Zdroj Cíl Cílový port Komentáře
IP_GW Server DNS UDP 53 Nutný pro překlad názvů DNS. Volitelný, pokud se používá server DNS v síti WAN nebo v DMZ.
IP_GW Servery LDAP nebo AD TCP 389 nebo 636 Připojení CyberElements Bastion k serveru LDAP nebo AD.
IP_GW Servery AD TCP 139 a 445 Rotace hesel účtů AD, používá se pouze v případě, že rotace přes LDAPS není možná.
IP_GW Servery RDP TCP/UDP 3389 (při použití standardního portu) Připojení z CyberElements Bastion k serverům RDP.
IP_GW Servery SSH TCP 22 (při použití standardního portu) Připojení z CyberElements Bastion k serverům SSH.
IP_GW Servery VNC TCP 5900 (při použití standardního portu) Připojení z CyberElements Bastion k serverům VNC.
IP_GW Webové servery TCP 80 nebo 443 (při použití standardního portu) Připojení z CyberElements Bastion k webovým serverům.
IP_GW Servery Citrix Storefront TCP 443 (při použití standardního portu) Připojení z CyberElements Bastion k serverům Citrix Storefront.
IP_GW Aplikační servery Citrix TCP 1494 Připojení z CyberElements Bastion k aplikačním serverům Citrix (spuštění aplikace nebo plochy pomocí klienta ICA).
IP_GW Souborové servery TCP 139 a 445 Připojení z CyberElements Bastion k souborovým serverům.
IP_GW Databázový server TCP 1433, 5432 nebo jakýkoli jiný vlastní port Vyžadováno, pokud chcete použít externí databázi umístěnou v síti LAN (například pro přenesení databáze Vault).
IP_GW Servery RDP TCP 139 a 445 Nasazení agenta nahrávání prostřednictvím konzoly pro správu.
Klientská pracovní stanice IP_GW TCP [port definovaný správcem] Připojení přímého přístupu SSH.
Klientská pracovní stanice IP_GW TCP 3389 Připojení přímého přístupu RDP.
Servery RDP IP_GW TCP 8443 Připojení mezi agentem nahrávání a serverem Edge Gateway pro odeslání záznamu relace uživatele.
Pracovní stanice správce IP_GW TCP 22 Připojení SSH k serveru Edge Gateway.

Databáze

CyberElements Bastion ke svému provozu používá různé databáze (DB).

  1. Databáze konfigurace systému. Tato databáze slouží k uložení všech nastavení rozhraní pro správu /system. Při instalaci Standalone tuto databázi vytváří a spravuje přímo produkt pomocí serveru PostgreSQL nainstalovaného na serveru Mediation Controller.
  2. Databáze konfigurace organizace. Každá organizace vytvořená na serveru Mediation Controller bude vyžadovat samostatnou databázi, která bude obsahovat všechna nastavení a logy organizace. Tato databáze je obvykle hostována na serveru Mediation Controller a v jeho místní databázi PostgreSQL, ale lze ji přesunout také do DMZ nebo do sítě LAN.
  3. Databáze Vault. Každá vytvořená organizace vyvolá vytvoření specifické databáze pro Vault produktu, která je ve výchozím nastavení uložena na serveru Mediation Controller. Tuto databázi lze externalizovat do sítě LAN za předpokladu, že k ní má přístup některý server Edge Gateway.

Při použití externích databází jsou podporovány tyto typy databází:

Licence

Server Mediation Controller ke svému fungování vyžaduje licenci.
Licenci lze získat od společnosti Systancia pomocí následujícího formuláře pro vyžádání licence: Vyžádat licenci

Certifikáty

CyberElements Bastion používá šifrování TLS pro interní komunikaci a HTTPS k zabezpečení webového přístupu, což vyžaduje použití různých certifikátů x509. Níže uvedené informace shrnují jednotlivé požadované certifikáty, jejich účel a minimální nastavení.

Bezpečnostní omezení certifikátu

Bez ohledu na použitý certifikát se ujistěte, že splňuje úroveň zabezpečení 2 knihovny OpenSSL, kterou lze shrnout takto:

  • Certifikát a certifikáty jeho certifikačních autorit musí mít privátní klíč o délce alespoň 2048 bitů u šifrování RSA, DSA a DH; u klíčů eliptických křivek (ECC) musí mít alespoň 224 bitů.
  • Podpis certifikátu nesmí být MD5 ani SHA-1 (upřednostňuje se SHA-512).

Tento server používá čtyři různé certifikáty:

  • Webový certifikát pro povolení HTTPS.
  • Certifikát pro komponentu SSL Router, která odpovídá za vytváření tunelů TLS a směrování provozu mezi nimi.
  • Certifikát pro komponentu Watchdog, která odpovídá za monitorování správného fungování komponenty SSL Router.
  • Certifikát pro klienta CyberElements Bastion, který mu umožňuje připojit se ke komponentě SSL Router a vytvořit tunel TLSv1.3.

Webový certifikát

Doporučení

Webový certifikát by měl být pokud možno vydán veřejnou certifikační autoritou (CA), která je uznávána jako důvěryhodná.
Uživatelé tak bez jakékoli další akce nebudou dostávat žádné výstrahy týkající se použitého certifikátu (za předpokladu, že je platný a pokrývá název, s nímž uživatel zahájil připojení). Použití certifikátu vydaného interní infrastrukturou PKI vyžaduje nasazení certifikátu CA na pracovní stanice uživatelů.

Webový certifikát musí u svých atributů splňovat následující omezení:

  • Doba platnosti certifikátu nesmí přesáhnout 398 dní (13 měsíců).
  • Hashovací funkce použitá pro podpis musí patřit do rodiny SHA-2; doporučujeme SHA-512.
  • Certifikát a certifikáty jeho certifikačních autorit musí mít privátní klíč o délce alespoň 2048 bitů u šifrování RSA, DSA a DH; u klíčů eliptických křivek (ECC) musí mít alespoň 224 bitů. Doporučujeme velikost 4096 bitů pro RSA a křivku ECDSA secp384r1 o velikosti 384 bitů.
  • Hodnotou atributu Common Name musí být název DNS (nebo název se zástupným znakem), pro který je certifikát určen.
  • Atribut Key Usage musí mít hodnoty critical, digitalSignature a keyEncipherment.
  • Atribut Extended Key Usage musí mít hodnotu id-kp-serverAuth (OpenSSL používá hodnotu serverAuth).
  • Atribut Subject Alternative Name musí obsahovat alespoň jednu položku odpovídající primárnímu názvu DNS; další položky lze přidat k pokrytí dalších názvů DNS nebo IP adres.

Přijímaný formát certifikátu: P12 nebo PEM (se dvěma soubory, jedním pro certifikát a jedním pro privátní klíč).

Certifikát komponenty SSL Router

Certifikát SSL Router musí u svých atributů splňovat následující omezení:

  • Doba platnosti certifikátu nesmí přesáhnout 1095 dní (3 roky).
  • Hashovací funkce použitá pro podpis musí patřit do rodiny SHA-2; doporučujeme SHA-512.
  • Certifikát a certifikáty jeho certifikačních autorit musí mít privátní klíč o délce alespoň 2048 bitů u šifrování RSA, DSA a DH; u klíčů eliptických křivek (ECC) musí mít alespoň 224 bitů. Doporučujeme velikost 4096 bitů pro RSA a křivku ECDSA secp384r1 o velikosti 384 bitů.
  • Hodnotou atributu Common Name musí být IP adresa nebo název DNS přesměrovávající na IP_MED_SSL.
  • Atribut Key Usage musí mít hodnoty critical, digitalSignature a keyEncipherment.
  • Atribut Extended Key Usage musí mít hodnotu serverAuth.

Přijímaný formát certifikátu: P12.

Certifikát komponenty Watchdog

Certifikát Watchdog musí u svých atributů splňovat následující omezení:

  • Doba platnosti certifikátu nesmí přesáhnout 1095 dní (3 roky).
  • Hashovací funkce použitá pro podpis musí patřit do rodiny SHA-2; doporučujeme SHA-512.
  • Certifikát a certifikáty jeho certifikačních autorit musí mít privátní klíč o délce alespoň 2048 bitů u šifrování RSA, DSA a DH; u klíčů eliptických křivek (ECC) musí mít alespoň 224 bitů. Doporučujeme velikost 4096 bitů pro RSA a křivku ECDSA secp384r1 o velikosti 384 bitů.
  • Atribut Common Name musí mít jako hodnotu identifikační název pro Watchdog, například „Watchdog“.
  • Atribut Key Usage musí mít hodnoty critical a digitalSignature.
  • Atribut Extended Key Usage musí mít hodnotu clientAuth.

Přijímaný formát certifikátu: P12.

Certifikát klienta CyberElements Bastion

Certifikát klienta CyberElements Bastion musí u svých atributů splňovat následující omezení:

  • Doba platnosti certifikátu nesmí přesáhnout 1095 dní (3 roky).
  • Hashovací funkce použitá pro podpis musí patřit do rodiny SHA-2; doporučujeme SHA-512.
  • Certifikát a certifikáty jeho certifikačních autorit musí mít privátní klíč o délce alespoň 2048 bitů u šifrování RSA, DSA a DH; u klíčů eliptických křivek (ECC) musí mít alespoň 224 bitů. Doporučujeme velikost 4096 bitů pro RSA a křivku ECDSA secp384r1 o velikosti 384 bitů.
  • Atribut Common Name musí mít jako hodnotu identifikační název klienta, například „cyberelements-cleanroom-client“.
  • Atribut Key Usage musí mít hodnoty critical a digitalSignature.
  • Atribut Extended Key Usage musí mít hodnotu clientAuth.

Přijímaný formát certifikátu: P12 s heslem o délce alespoň 8 alfanumerických znaků (speciální znaky, písmena s diakritikou ani pomlčky nejsou podporovány).

Tento server používá dva různé certifikáty:

  • Jeden certifikát pro ověřování komponenty Edge Gateway vůči komponentě SSL Router.
  • Certifikát pro službu nahrávání, aby se k ní mohli připojit agenti nahrávání.

Informace

Server Edge Gateway může mít více instancí Edge Gateway, což vyžaduje tolik certifikátů, kolik je instancí Edge Gateway (s výjimkou specifického případu architektury Cluster).

Server Edge Gateway však má pouze jednu službu nahrávání, takže bude vyžadován pouze jeden certifikát na počítač.

Certifikát komponenty Edge Gateway

Certifikát serveru Edge Gateway musí u svých atributů splňovat následující omezení:

  • Doba platnosti certifikátu nesmí přesáhnout 1095 dní (3 roky).
  • Hashovací funkce použitá pro podpis musí patřit do rodiny SHA-2; doporučujeme SHA-512.
  • Certifikát a certifikáty jeho certifikačních autorit musí mít privátní klíč o délce alespoň 2048 bitů u šifrování RSA, DSA a DH; u klíčů eliptických křivek (ECC) musí mít alespoň 224 bitů. Doporučujeme velikost 4096 bitů pro RSA a křivku ECDSA secp384r1 o velikosti 384 bitů.
  • Atribut Common Name musí mít hodnotu, která identifikuje logickou komponentu Edge Gateway. Tento název má tvar <GW_NAME>@<ORGANIZATION_NAME>, kde <GW_NAME> odpovídá názvu komponenty Edge Gateway (jak byl zadán v konzole pro správu) a <ORGANIZATION_NAME> odpovídá názvu organizace, ke které se komponenta Edge Gateway připojí.
  • Atribut Key Usage musí mít hodnoty critical a digitalSignature.
  • Atribut Extended Key Usage musí mít hodnotu clientAuth.

Přijímaný formát certifikátu: P12.

Certifikát služby nahrávání

Certifikát služby nahrávání musí u svých atributů splňovat následující omezení:

  • Doba platnosti certifikátu nesmí přesáhnout 1095 dní (3 roky).
  • Hashovací funkce použitá pro podpis musí patřit do rodiny SHA-2; doporučujeme SHA-512.
  • Certifikát a certifikáty jeho certifikačních autorit musí mít privátní klíč o délce alespoň 2048 bitů u šifrování RSA, DSA a DH; u klíčů eliptických křivek (ECC) musí mít alespoň 224 bitů. Doporučujeme velikost 4096 bitů pro RSA a křivku ECDSA secp384r1 o velikosti 384 bitů.
  • Hodnotou atributu Common Name musí být název FQDN nebo alespoň název počítače Edge Gateway.
  • Atribut Key Usage musí mít hodnoty critical, digitalSignature a keyEncipherment.
  • Atribut Extended Key Usage musí mít hodnotu serverAuth.

Přijímaný formát certifikátu: P12.

Tento server používá jediný certifikát: certifikát pro ověřování komponenty HTML5 Gateway vůči komponentě SSL Router.

Informace

Server HTML5 Gateway může mít více instancí HTML5 Gateway, což vyžaduje tolik certifikátů, kolik je instancí HTML5 Gateway (s výjimkou specifického případu architektury Cluster).

Certifikát komponenty HTML5 Gateway

Certifikát komponenty HTML5 Gateway musí u svých atributů splňovat následující omezení:

  • Doba platnosti certifikátu nesmí přesáhnout 1095 dní (3 roky).
  • Hashovací funkce použitá pro podpis musí patřit do rodiny SHA-2; doporučujeme SHA-512.
  • Certifikát a certifikáty jeho certifikačních autorit musí mít privátní klíč o délce alespoň 2048 bitů u šifrování RSA, DSA a DH; u klíčů eliptických křivek (ECC) musí mít alespoň 224 bitů. Doporučujeme velikost 4096 bitů pro RSA a křivku ECDSA secp384r1 o velikosti 384 bitů.
  • Atribut Common Name musí mít hodnotu, která identifikuje logickou komponentu Edge Gateway. Tento název má tvar <HTML5_GW_NAME>@<ORGANIZATION_NAME>, kde <HTML5_GW_NAME> odpovídá názvu komponenty Edge Gateway (jak byl zadán v konzole pro správu) a <ORGANIZATION_NAME> odpovídá názvu organizace, ke které se komponenta Edge Gateway připojí.
  • Atribut Key Usage musí mít hodnoty critical a digitalSignature.
  • Atribut Extended Key Usage musí mít hodnotu clientAuth.

Přijímaný formát certifikátu: P12.

Pro provoz v režimu přímého přístupu používá agent nahrávání pro přímý přístup certifikát k ověření vůči službě nahrávání serveru Edge Gateway.

Certifikát musí u svých atributů splňovat následující omezení:

  • Doba platnosti certifikátu nesmí přesáhnout 1095 dní (3 roky).
  • Hashovací funkce použitá pro podpis musí patřit do rodiny SHA-2; doporučujeme SHA-512.
  • Certifikát a certifikáty jeho certifikačních autorit musí mít privátní klíč o délce alespoň 2048 bitů u šifrování RSA, DSA a DH; u klíčů eliptických křivek (ECC) musí mít alespoň 224 bitů. Doporučujeme velikost 4096 bitů pro RSA a křivku ECDSA secp384r1 o velikosti 384 bitů.
  • Atribut Common Name musí mít jako hodnotu krátký název, FQDN nebo jakýkoli jiný název, který počítač jednoznačně identifikuje. Tento název slouží k identifikaci a sledování akcí prováděných na počítači.
  • Atribut Key Usage musí mít hodnoty critical a digitalSignature.
  • Atribut Extended Key Usage musí mít hodnotu clientAuth.

Přijímaný formát certifikátu: P12.