CyberElements Bastion lahenduse Cluster-platvormi eeltingimused¶

Arvuti¶

Toote CyberElements Bastion installimiseks saab kasutada nii füüsilisi kui ka virtuaalseid arvuteid.
Toode ise virtualiseerimist ei tee, seega ei pea virtuaalmasinate puhul pesastatud virtualiseerimise suvandit sisse lülitama.

OS¶

CyberElements Bastion töötab 64-bitistes Debian 12 (Bookworm) arvutites.
Soovitatav on kasutada graafilise liideseta arvuteid ja piirata installitud komponendid SSH-serveriga.

CPU¶

Neljatuumaline protsessor katab enamiku toote kasutusjuhtudest.

RAM¶

Tähelepanu

Allpool toodud RAM-i väärtused on ainult soovituslikud, kuna RAM-i tarbimist võivad mõjutada paljud muutujad (kasutatavad toote funktsioonid või arvutisse tootega paralleelselt installitud elemendid).

Mediation Controller serverEdge Gateway serverHTML5 Gateway server

RAM-i tarbimine sõltub üldiselt samaaegsete kasutajate arvust, mida platvorm suudab teenindada:

1 kuni 5 samaaegset kasutajat: vähemalt 2 GB RAM-i, soovitatav 4 GB.
5 kuni 20 samaaegset kasutajat: vähemalt 4 GB RAM-i.
20 või enama samaaegse kasutaja korral: vähemalt 8 GB RAM-i.

RAM-i tarbimine sõltub samaaegsete seansside arvust ja kasutatavate rakenduste tüüpidest.

Tüüpilised väärtused on järgmised:

1 kuni 5 samaaegset kasutajat: vähemalt 2 GB RAM-i, soovitatav 4 GB.
5 kuni 20 samaaegset kasutajat: vähemalt 4 GB RAM-i.
20 või enama samaaegse kasutaja korral: 8 GB RAM-i.

Pange tähele, et agendita RDP- või VNC-rakendus võib tarbida kuni 400 MB iga käivitatud rakenduse kohta.
Kui seda tüüpi rakendusi kasutatakse ulatuslikult, on soovitatav jälgida RAM-i kasutust, et selle mahtu vastavalt kohandada.

RAM-i tarbimine sõltub samaaegselt avatud HTML5-rakenduste arvust.

Põhiserveril peab süsteemi toimimiseks olema 2 GB, millele lisandub 50 MB iga samaaegse HTML5-rakenduse kohta.

Kui HTML5 Gateway roll on ühendatud Edge Gateway serveriga, lisage Edge Gateway serveri RAM-i soovitusele 50 MB iga samaaegse HTML5-rakenduse kohta.

Ketas¶

Soovitame ketta partitsioneerida LVM-i abil, et tagada suurem paindlikkus juhuks, kui arvuti mahtu tuleb kasutamise ajal muuta.

Eri tüüpi serveritel on erinevad kettakasutuse mustrid ja ka andmemahud erinevad. Allpool on teave serveritüüpide kaupa:

Mediation Controller serverEdge Gateway serverHTML5 Gateway server

Selle serveri andmemaht kasvab järgmistes kataloogides:

/var/log/: kataloog, mis sisaldab erinevaid süsteemilogisid.
/var/lib/postgresql/15/main/: kataloog, mis sisaldab kohaliku andmebaasi andmeid.
/var/ipdiva/: kataloog, mis sisaldab tootespetsiifilisi andmeid.

Erinevate kataloogide eraldamine erinevatesse partitsioonidesse ei ole kohustuslik, kuid on soovitatav. Võite järgida neid juhiseid:

Ühenduspunkt	Suvandid	Minimaalne maht (GB)
`/boot`	nosuid,nodev,noexec	1
`/opt`	nosuid,nodev	1
`/tmp`	nosuid,nodev	4
`/srv`	nosuid,nodev	1
`/home`	nosuid,nodev,noexec	6
`/usr`	nodev	6
`/var`	nosuid	5
`/var/log`	nosuid,nodev,noexec	5
`/var/tmp`	nosuid,nodev,noexec	2
`swap`	Suvandid puuduvad	Sõltuvalt RAM-ist (poole võrra väiksem)
`/`	Suvandid puuduvad	2 GB või rohkem, sõltuvalt vabast kettaruumist

Näide

Serveri puhul, millel on 4 GB RAM-i (mis nõuab 2 GB swap-ruumi), on eelneva partitsioneerimise korral vajalik kettaruum vähemalt 35 GB.

Selle serveri andmemaht kasvab järgmistes kataloogides:

/var/log/: kataloog, mis sisaldab erinevaid süsteemilogisid.
/var/lib/ipdiva/carerecord/recording/: kataloog, mis sisaldab parajasti salvestatavaid arhiive; seega on see ajutise salvestuse kataloog.
/var/lib/ipdiva/carerecord/archives/: vaikekataloog, mis sisaldab toote graafilisi arhiive.
/var/ipdiva/care/sshrecord/: vaikekataloog, mis sisaldab toote mittegraafilisi (SSH) arhiive.

Erinevate kataloogide eraldamine erinevatesse partitsioonidesse ei ole kohustuslik, kuid on soovitatav. Võite järgida neid juhiseid:

Ühenduspunkt	Suvandid	Minimaalne maht (GB)
`/boot`	nosuid,nodev,noexec	1
`/opt`	nosuid,nodev	1
`/tmp`	nosuid,nodev	4
`/srv`	nosuid,nodev	1
`/home`	nosuid,nodev,noexec	6
`/usr`	nodev	6
`/var`	nosuid,nodev	5
`/var/log`	nosuid,nodev,noexec	5
`/var/tmp`	nosuid,nodev,noexec	2
`swap`	Suvandid puuduvad	Sõltuvalt RAM-ist (poole võrra väiksem)
`/`	Suvandid puuduvad	2 GB või rohkem, sõltuvalt vabast kettaruumist

Näide

Serveri puhul, millel on 4 GB RAM-i (mis nõuab 2 GB swap-ruumi), on eelneva partitsioneerimise korral vajalik kettaruum vähemalt 35 GB.

Siiski on tungivalt soovitatav eraldada ühenduspunktiga /var rohkem kettaruumi ajutiste või pikaajaliste graafiliste arhiivide jaoks, välja arvatud juhul, kui arhiivid on viidud välisesse salvestusruumi.

Selle serveri andmemaht kasvab järgmistes kataloogides:

/var/log/: kataloog, mis sisaldab erinevaid süsteemilogisid.
/home/systanciahtml5share/: ajutise salvestuse kataloog HTML5-rakendustega vahetatavate failide jaoks.

Erinevate kataloogide eraldamine erinevatesse partitsioonidesse ei ole kohustuslik, kuid on soovitatav. Võite järgida neid juhiseid:

Ühenduspunkt	Suvandid	Minimaalne maht (GB)
`/boot`	nosuid,nodev,noexec	1
`/opt`	nosuid,nodev	1
`/tmp`	nosuid,nodev	4
`/srv`	nosuid,nodev	1
`/home`	nosuid,nodev,noexec	6
`/usr`	nodev	6
`/var`	nosuid,nodev	5
`/var/log`	nosuid,nodev,noexec	5
`/var/tmp`	nosuid,nodev,noexec	2
`swap`	Suvandid puuduvad	Sõltuvalt RAM-ist (poole võrra väiksem)
`/`	Suvandid puuduvad	2 GB või rohkem, sõltuvalt vabast kettaruumist

Näide

Serveri puhul, millel on 4 GB RAM-i (mis nõuab 2 GB swap-ruumi), on eelneva partitsioneerimise korral vajalik kettaruum vähemalt 35 GB.

Võrk¶

CyberElements Bastion lahenduse Cluster-platvorm nõuab järgmist:

2 tegelikku IP-aadressi Mediation Controller serveri kohta (samas võrguliideses)
3 virtuaalset IP-aadressi klastri toimimiseks
1 IP-aadress Edge Gateway või HTML5 Gateway arvuti kohta

Lisateave

Mediation Controller serverite tegelikud ja virtuaalsed IP-aadressid peavad kõik kuuluma samasse alamvõrku.

Ühildumatus virtuaalsete IP-aadresside kasutamisel

Virtuaalsete IP-aadresside koormuse tasakaalustamist haldab IPVS (IP Virtual Server).
Koormuse tasakaalustamine nõuab korrektseks toimimiseks mitut eeltingimust:

Lülitage Mediation Controller serverite ja nende arvutite IP-aadresside puhul välja Reverse Path Forwarding (RPF) funktsioonid.
Määrake VMware'is Mediation Controller serveritele võrguadapter E1000E, mitte VMXNET3.

Mediation Controller serverid paigutatakse tavaliselt DMZ-i, kuid need võib paigutada ka privaatsesse DMZ-i või majutada avalikus pilves. See sõltub platvormi kasutusjuhust (näiteks teenusepakkujate kaugjuurdepääs või kaitstud alade sisejuurdepääsu turvamine).

Edge Gateway serverid paigutatakse tavaliselt kohtvõrku, VLAN-idesse, mis võimaldavad neil sihtressurssidega suhelda.

HTML5 Gateway serverid võib paigutada kas kohtvõrku või DMZ-i. Selles dokumentatsioonis installitakse HTML5 Gateway komponent Edge Gateway serveritesse ehk kohtvõrku.

Arvutite eri aadresside paremaks eristamiseks nimetatakse neid dokumentatsioonis järgmiselt:

IP-aadressi nimi	Tähendus
`RIP_MED_WEB_MASTER`	Mediation Controller MASTER-serveri esmane IP-aadress, mis annab juurdepääsu veebikonsoolidele.
`RIP_MED_WEB_SLAVE`	Mediation Controller SLAVE-serveri esmane IP-aadress, mis annab juurdepääsu veebikonsoolidele.
`RIP_MED_SSL_MASTER`	Mediation Controller MASTER-serveri teine IP-aadress, mida kasutab SSL Router komponent.
`RIP_MED_SSL_SLAVE`	Mediation Controller SLAVE-serveri teine IP-aadress, mida kasutab SSL Router komponent.
`VIP_MED_WEB`	Mediation Controller klastri virtuaalne IP-aadress, mis annab juurdepääsu veebikonsoolidele.
`VIP_MED_SSL`	Mediation Controller klastri virtuaalne IP-aadress, mis annab juurdepääsu SSL Router komponendile.
`VIP_MED_ZEO`	Mediation Controller klastri virtuaalne IP-aadress, mis võimaldab juurdepääsu toote sisemisele konfiguratsiooniandmebaasile.
`IP_GW`	Edge Gateway serveri IP-aadress.
`IP_HTML5_GW`	HTML5 Gateway serveri IP-aadress.

Teave

Esitatud vooteave eeldab, et Mediation Controller serverid asuvad DMZ-is ja Edge Gateway serverid, mis toimivad ka HTML5 Gateway komponentidena, asuvad kohtvõrgus.

Voog WAN-ist DMZ-iVoog DMZ-ist WAN-iVoog DMZ-ist DMZ-iVoog kohtvõrgust WAN-iVoog kohtvõrgust DMZ-iVoog kohtvõrgust kohtvõrku

Mediation Controller serveri IP-aadressid võivad olla kas otse Mediation Controller serverile määratud avalikud IP-aadressid või avalikud IP-aadressid, mis on NAT-i abil teisendatud privaatseteks IP-aadressideks (soovitatav).

Allikas	Sihtkoht	Sihtport	Kommentaarid
Kasutaja tööjaam	`VIP_MED_WEB`	TCP 443 (standardpordi kasutamisel)	Võimaldab juurdepääsu veebikonsoolidele ja otse brauseris töötavatele rakendustele.
Kasutaja tööjaam	`VIP_MED_SSL`	TCP 443 (standardpordi kasutamisel)	Loob TLS-tunneli CyberElements Bastion kliendi kaudu liikuva voo krüptimiseks.
`IP_GW`	`VIP_MED_WEB`	TCP 443 (standardpordi kasutamisel)	Kui Edge Gateway komponent asub kaugvõrgus. Ühendus Edge Gateway komponendi pairingu süsteemiga.
`IP_GW`	`VIP_MED_SSL`	TCP 443 (standardpordi kasutamisel)	Kui Edge Gateway komponent asub kaugvõrgus. Ühendus SSL Router komponendiga, et luua TLSv1.3-tunnel ja suunata toote side selle kaudu.

Allikas	Sihtkoht	Sihtport	Kommentaarid
`RIP_MED_WEB_MASTER` `RIP_MED_WEB_SLAVE`	Debiani hoidlad	TCP 80	Vajalik CyberElements Bastion lahenduse sõltuvuste installimiseks ja süsteemi ajakohasena hoidmiseks. Dokumentatsioon ja virtuaalseadmed kasutavad hoidlaid `ftp.fr.debian.org` ja `security.debian.org`.
`RIP_MED_WEB_MASTER` `RIP_MED_WEB_SLAVE`	`packages.microsoft.com`	TCP 443	Microsofti hoidla MS SQL-i draiverite installimiseks ja värskendamiseks. Vajalik ainult siis, kui soovitakse juurdepääsu MS SQL-andmebaasile (virtuaalseadmetes on MS SQL-i draiverid olemas).
`RIP_MED_WEB_MASTER` `RIP_MED_WEB_SLAVE`	NTP-ajaserver	UDP 123	Valikuline, kui server peab sünkroonima oma kella DMZ-is asuva serveriga. Vaikimisi kasutatakse Debiani kogumeid: `0.debian.pool.ntp.org`, `1.debian.pool.ntp.org`, `2.debian.pool.ntp.org` ja `3.debian.pool.ntp.org`.
`RIP_MED_WEB_MASTER` `RIP_MED_WEB_SLAVE`	SMTP-server	TCP 25, 465, 587	Vajalik, kui meilide saatmiseks tuleb kasutada SMTP-serverit, mis asub WAN-is.
`RIP_MED_WEB_MASTER` `RIP_MED_WEB_SLAVE`	DNS-server	UDP 53	Vajalik DNS-i nimelahenduseks. See võib asuda WAN-is või DMZ-is.
`RIP_MED_WEB_MASTER` `RIP_MED_WEB_SLAVE`	`api.neomia.ai`	TCP 443	(Valikuline) Ühendus käitumisbiomeetriat kasutava MFA-toote Neomia Pulse API-dega.
`RIP_MED_WEB_MASTER` `RIP_MED_WEB_SLAVE`	EU: `keepersecurity.eu` US: `keepersecurity.com` AU: `keepersecurity.com.au` CA: `keepersecurity.ca` JP: `keepersecurity.jp`	TCP 443	(Valikuline) Ühendus seifiga Keeper EPM olenevalt selle asukohast.

Allikas	Sihtkoht	Sihtport	Kommentaarid
`RIP_MED_WEB_MASTER` `RIP_MED_WEB_SLAVE`	NTP-ajaserver	UDP 123	Kui server peab sünkroonima oma kella DMZ-is asuva serveriga.
`RIP_MED_WEB_MASTER` `RIP_MED_WEB_SLAVE`	SMTP-server	TCP 25, 465, 587	Vajalik, kui meilide saatmiseks tuleb kasutada SMTP-serverit, mis asub DMZ-is.
`RIP_MED_WEB_MASTER` `RIP_MED_WEB_SLAVE`	Andmebaasiserver	TCP 1433, 5432 või mis tahes muu kohandatud port	Vajalik, kui soovite kasutada DMZ-is asuvat välist andmebaasi.
`RIP_MED_WEB_MASTER` `RIP_MED_WEB_SLAVE`	DNS-server	UDP 53	Vajalik DNS-i nimelahenduseks. See võib asuda DMZ-is või WAN-is.

Lisateave

Mediation Controller serverid peavad saama omavahel suhelda mis tahes oma aadressilt ja mis tahes oma aadressile, olenemata protokollist.

Allikas	Sihtkoht	Sihtport	Kommentaarid
`IP_GW`	Debiani hoidlad	TCP 80	Vajalik CyberElements Bastion lahenduse sõltuvuste installimiseks ja süsteemi ajakohasena hoidmiseks. Dokumentatsioon ja virtuaalseadmed kasutavad hoidlaid `ftp.fr.debian.org` ja `security.debian.org`.
`IP_GW`	DNS-server	UDP 53	Vajalik DNS-i nimelahenduseks. Valikuline, kui DNS-server on saadaval kohtvõrgus või DMZ-is.
`IP_GW`	NTP-ajaserver	UDP 123	Valikuline, kui server peab sünkroonima oma kella kohtvõrgus või DMZ-is asuva serveriga. Vaikimisi kasutatakse Debiani kogumeid: `0.debian.pool.ntp.org`, `1.debian.pool.ntp.org`, `2.debian.pool.ntp.org` ja `3.debian.pool.ntp.org`.
`IP_GW`	SMS-teenuse pakkuja	TCP 443	(Valikuline) Ühendus CyberElements Bastion lahenduse toetatud SMS-teenuse pakkujate API-dega.

Allikas (allikad)	Sihtkoht	Sihtport	Kommentaarid
`IP_GW` `IP_HTML5_GW`	`VIP_MED_WEB` `RIP_MED_WEB_MASTER` `RIP_MED_WEB_SLAVE`	TCP 443 (standardpordi kasutamisel)	Ühendus Edge Gateway komponendi pairingu süsteemiga.
`IP_GW` `IP_HTML5_GW`	`VIP_MED_SSL` `RIP_MED_SSL_MASTER` `RIP_MED_SSL_SLAVE`	TCP 443 (standardpordi kasutamisel)	Ühendus SSL Router komponendiga, et luua TLSv1.3-tunnel ja suunata toote side selle kaudu.
Kliendi tööjaam	`VIP_MED_WEB` `RIP_MED_WEB_MASTER` `RIP_MED_WEB_SLAVE`	TCP 443 (standardpordi kasutamisel)	Ühendus toote eri veebikonsoolidega.
Kliendi tööjaam	`VIP_MED_SSL` `RIP_MED_SSL_MASTER` `RIP_MED_SSL_SLAVE`	TCP 443 (standardpordi kasutamisel)	Loob TLS-tunneli CyberElements Bastion kliendi kaudu liikuva voo krüptimiseks.
Administraatori tööjaam	`RIP_MED_WEB_MASTER` `RIP_MED_WEB_SLAVE`	TCP 22	SSH-ühendus Mediation Controller serveriga.

Allikas	Sihtkoht	Sihtport	Kommentaarid
`IP_GW`	DNS-server	UDP 53	Vajalik DNS-i nimelahenduseks. Valikuline, kui kasutatakse WAN-i või DMZ-i DNS-serverit.
`IP_GW`	LDAP- või AD-serverid	TCP 389 või 636	CyberElements Bastion lahenduse ühendus LDAP- või AD-serveriga.
`IP_GW`	AD-serverid	TCP 139 ja 445	AD-kontode paroolide roteerimine; kasutatakse ainult siis, kui roteerimine LDAPS-i kaudu pole võimalik.
`IP_GW`	RDP-serverid	TCP/UDP 3389 (standardpordi kasutamisel)	CyberElements Bastion lahenduse ühendus RDP-serveritega.
`IP_GW`	SSH-serverid	TCP 22 (standardpordi kasutamisel)	CyberElements Bastion lahenduse ühendus SSH-serveritega.
`IP_GW`	VNC-serverid	TCP 5900 (standardpordi kasutamisel)	CyberElements Bastion lahenduse ühendus VNC-serveritega.
`IP_GW`	Veebiserverid	TCP 80 või 443 (standardpordi kasutamisel)	CyberElements Bastion lahenduse ühendus veebiserveritega.
`IP_GW`	Citrix Storefront serverid	TCP 443 (standardpordi kasutamisel)	CyberElements Bastion lahenduse ühendus Citrix Storefront serveritega.
`IP_GW`	Citrixi rakendusserverid	TCP 1494	CyberElements Bastion lahenduse ühendus Citrixi rakendusserveritega (rakenduse või töölaua käivitamine ICA-kliendiga).
`IP_GW`	Failiserverid	TCP 139 ja 445	CyberElements Bastion lahenduse ühendus failiserveritega.
`IP_GW`	Andmebaasiserver	TCP 1433, 5432 või mis tahes muu kohandatud port	Vajalik, kui soovite kasutada kohtvõrgus asuvat välist andmebaasi (näiteks Vault-andmebaasi ülekandmiseks).
`IP_GW`	RDP-serverid	TCP 139 ja 445	Salvestusagendi juurutamine halduskonsooli kaudu.
Kliendi tööjaam	`IP_GW`	TCP [administraatori määratud port]	Otsese SSH-juurdepääsu ühendus.
Kliendi tööjaam	`IP_GW`	TCP 3389	Otsese RDP-juurdepääsu ühendus.
RDP-serverid	`IP_GW`	TCP 8443	Salvestusagendi ja Edge Gateway komponendi vaheline ühendus kasutaja seansisalvestise üleslaadimiseks.
Administraatori tööjaam	`IP_GW`	TCP 22	SSH-ühendus Edge Gateway serveriga.

Andmebaas¶

CyberElements Bastion kasutab oma tööks eri andmebaase (DB).

Süsteemi konfiguratsiooniandmebaas. Sellesse andmebaasi talletatakse kõik haldusliidese /system sätted ja selle nimi peab olema default.

Tähelepanu!

Andmebaas default tuleb luua enne ühenduse loomist CyberElements Bastion lahendusega (seda ei looda automaatselt).
Organisatsiooni konfiguratsiooniandmebaas. Iga Mediation Controller serveris loodud organisatsioon vajab eraldi DB-d, mis sisaldab kõiki organisatsiooni sätteid ja logisid.
Vault-andmebaas. Iga organisatsiooni loomisel luuakse toote Vault komponendi jaoks eraldi DB, mis talletatakse vaikimisi Mediation Controller serveris. Selle andmebaasi võib viia kohtvõrku, eeldusel et Edge Gateway komponent pääseb sellele juurde.

Väliste andmebaaside kasutamisel (Cluster-arhitektuuri tavaline juhtum) on toetatud järgmised andmebaasitüübid:

PostgreSQL versioon 15 kõigi 3 andmebaasi jaoks.
Microsoft SQL Server ja selle toetatud versioonid ilma laiendatud hoolduseta organisatsioonide konfiguratsiooniandmebaaside ja Vault-andmebaasi väljaviimise jaoks.

Litsents¶

Mediation Controller server vajab toimimiseks litsentsi.
Litsentsi saab taotleda ettevõttelt Systancia järgmise litsentsitaotluse vormiga: Taotlege litsentsi

Sertifikaadid¶

CyberElements Bastion kasutab sisesuhtluseks TLS-krüptimist ja veebijuurdepääsu kaitsmiseks HTTPS-i, mis nõuab mitmesuguste x509-sertifikaatide kasutamist. Allolev teave võtab kokku nõutavad sertifikaadid, nende otstarbe ja minimaalsed sätted.

Sertifikaadi turbepiirang

Olenemata kasutatavast sertifikaadist veenduge, et see vastab OpenSSL-i turbetasemele 2, mille saab kokku võtta järgmiselt:

Sertifikaadil ja selle sertifitseerimisasutuste sertifikaatidel peab RSA, DSA ja DH krüptimise puhul olema vähemalt 2048-bitine privaatvõti; elliptiliste kõverate võtmete (ECC) puhul peavad need olema vähemalt 224-bitised.
Sertifikaadi allkiri ei tohi olla MD5 ega SHA-1 (eelistatud on SHA-512).

Mediation Controller serverEdge Gateway serverHTML5 Gateway serverOtsejuurdepääsu salvestusagent

See server kasutab viit eri sertifikaati:

Veebisertifikaat HTTPS-i sisselülitamiseks.
Sertifikaat SSL Router komponendile, mis vastutab TLS-tunnelite loomise ja nendevahelise liikluse suunamise eest.
Sertifikaat Watchdog komponendile, mis vastutab SSL Router komponendi nõuetekohase toimimise jälgimise eest.
Sertifikaat CyberElements Bastion kliendile, et see saaks luua ühenduse SSL Router komponendiga ja TLSv1.3-tunneli.
Sertifikaat Mediation Controller serverite vaheliseks andmevahetuseks (ainult serverile SLAVE).

Veebisertifikaat

Soovitus

Veebisertifikaadi peaks eelistatavalt olema väljastanud avalik sertifitseerimisasutus (CA), mida peetakse usaldusväärseks.
See tagab, et kasutajad ei saa ilma lisatoiminguteta kasutatava sertifikaadiga seotud märguandeid (eeldusel, et see on kehtiv ja hõlmab nime, millega kasutaja ühenduse algatas). Sisemise PKI väljastatud sertifikaadi kasutamine nõuab CA-sertifikaadi juurutamist kasutajate tööjaamadesse.

Veebisertifikaat peab oma atribuutide osas vastama järgmistele piirangutele:

Sertifikaadi kehtivusaeg ei tohi ületada 398 päeva (13 kuud).
Allkirja jaoks kasutatav räsifunktsioon peab kuuluma SHA-2 perekonda; soovitame SHA-512.
Sertifikaadil ja selle sertifitseerimisasutuste sertifikaatidel peab RSA, DSA ja DH krüptimise puhul olema vähemalt 2048-bitine privaatvõti; elliptiliste kõverate võtmete (ECC) puhul peavad need olema vähemalt 224-bitised. Soovitame RSA puhul 4096-bitist suurust ja ECDSA kõvera secp384r1 puhul 384-bitist suurust.
Atribuudi Common Name väärtus peab olema DNS-nimi (või metamärgiga nimi), mille jaoks sertifikaat on mõeldud.
Atribuudil Key Usage peavad olema väärtused critical, digitalSignature ja keyEncipherment.
Atribuudil Extended Key Usage peab olema väärtus id-kp-serverAuth (OpenSSL kasutab väärtust serverAuth).
Atribuut Subject Alternative Name peab sisaldama vähemalt ühte kirjet, mis vastab peamisele DNS-nimele; muude DNS-nimede või IP-aadresside hõlmamiseks võib lisada muid kirjeid.

Aktsepteeritud sertifikaadivorming: P12 või PEM (kahe failiga, üks sertifikaadi ja teine privaatvõtme jaoks).

SSL Router komponendi sertifikaat

SSL Router komponendi sertifikaat peab oma atribuutide osas vastama järgmistele piirangutele:

Sertifikaadi kehtivusaeg ei tohi ületada 1095 päeva (3 aastat).
Allkirja jaoks kasutatav räsifunktsioon peab kuuluma SHA-2 perekonda; soovitame SHA-512.
Sertifikaadil ja selle sertifitseerimisasutuste sertifikaatidel peab RSA, DSA ja DH krüptimise puhul olema vähemalt 2048-bitine privaatvõti; elliptiliste kõverate võtmete (ECC) puhul peavad need olema vähemalt 224-bitised. Soovitame RSA puhul 4096-bitist suurust ja ECDSA kõvera secp384r1 puhul 384-bitist suurust.
Atribuudi Common Name väärtus peab olema IP-aadress või DNS-nimi, mis suunab aadressile IP_MED_SSL.
Atribuudil Key Usage peavad olema väärtused critical, digitalSignature ja keyEncipherment.
Atribuudil Extended Key Usage peab olema väärtus serverAuth.

Aktsepteeritud sertifikaadivorming: P12.

Watchdog komponendi sertifikaat

Watchdog komponendi sertifikaat peab oma atribuutide osas vastama järgmistele piirangutele:

Sertifikaadi kehtivusaeg ei tohi ületada 1095 päeva (3 aastat).
Allkirja jaoks kasutatav räsifunktsioon peab kuuluma SHA-2 perekonda; soovitame SHA-512.
Sertifikaadil ja selle sertifitseerimisasutuste sertifikaatidel peab RSA, DSA ja DH krüptimise puhul olema vähemalt 2048-bitine privaatvõti; elliptiliste kõverate võtmete (ECC) puhul peavad need olema vähemalt 224-bitised. Soovitame RSA puhul 4096-bitist suurust ja ECDSA kõvera secp384r1 puhul 384-bitist suurust.
Atribuudil Common Name peab olema väärtus, mis on Watchdog komponendi identifitseerimisnimi, näiteks „Watchdog“.
Atribuudil Key Usage peavad olema väärtused critical ja digitalSignature.
Atribuudil Extended Key Usage peab olema väärtus clientAuth.

Aktsepteeritud sertifikaadivorming: P12.

CyberElements Bastion kliendi sertifikaat

Toote CyberElements Bastion kliendisertifikaadi atribuudid peavad vastama järgmistele piirangutele:

Sertifikaadi kehtivusaeg ei tohi ületada 1095 päeva (3 aastat).
Allkirja jaoks kasutatav räsifunktsioon peab kuuluma SHA-2 perekonda; soovitame SHA-512.
Sertifikaadil ja selle sertifitseerimisasutuste sertifikaatidel peab RSA, DSA ja DH krüptimise puhul olema vähemalt 2048-bitine privaatvõti; elliptiliste kõverate võtmete (ECC) puhul peavad need olema vähemalt 224-bitised. Soovitame RSA puhul 4096-bitist suurust ja ECDSA kõvera secp384r1 puhul 384-bitist suurust.
Atribuudil Common Name peab olema väärtus, mis on kliendi identifitseerimisnimi, näiteks „cyberelements-cleanroom-client“.
Atribuudil Key Usage peavad olema väärtused critical ja digitalSignature.
Atribuudil Extended Key Usage peab olema väärtus clientAuth.

Aktsepteeritud sertifikaadivorming: P12 parooliga, milles on vähemalt 8 tähtnumbrilist märki (erimärke, diakriitikutega tähti ega sidekriipse ei toetata).

Serveritevaheline sertifikaat

Toote CyberElements Bastion serveritevahelise sertifikaadi atribuudid peavad vastama järgmistele piirangutele:

Sertifikaadi kehtivusaeg ei tohi ületada 1095 päeva (3 aastat).
Allkirja jaoks kasutatav räsifunktsioon peab kuuluma SHA-2 perekonda; soovitame SHA-512.
Sertifikaadil ja selle sertifitseerimisasutuste sertifikaatidel peab RSA, DSA ja DH krüptimise puhul olema vähemalt 2048-bitine privaatvõti; elliptiliste kõverate võtmete (ECC) puhul peavad need olema vähemalt 224-bitised. Soovitame RSA puhul 4096-bitist suurust ja ECDSA kõvera secp384r1 puhul 384-bitist suurust.
Atribuudil Common Name peab väärtuseks olema identifitseerimisnimi, näiteks „interserver-cleanroom“.
Atribuudil Key Usage peavad olema väärtused critical ja digitalSignature.
Atribuudil Extended Key Usage peab olema väärtus clientAuth.

Aktsepteeritud sertifikaadivorming: P12 parooliga, milles on vähemalt 8 märki ilma erimärkideta.

See server kasutab kaht eri sertifikaati:

Sertifikaat Edge Gateway komponendi autentimiseks SSL Router komponendi juures.
Sertifikaat salvestusteenusele, et salvestusagendid saaksid sellega ühenduse luua.

Teave

Edge Gateway serveril võib olla mitu Edge Gateway eksemplari, mis nõuab sama palju sertifikaate, kui on Edge Gateway eksemplare (välja arvatud klastriarhitektuuri erijuhul).

Edge Gateway serveril on aga ainult üks salvestusteenus, seega on vaja ainult üht sertifikaati arvuti kohta.

Edge Gateway komponendi sertifikaat

Edge Gateway serveri sertifikaat peab oma atribuutide osas vastama järgmistele piirangutele:

Sertifikaadi kehtivusaeg ei tohi ületada 1095 päeva (3 aastat).
Allkirja jaoks kasutatav räsifunktsioon peab kuuluma SHA-2 perekonda; soovitame SHA-512.
Sertifikaadil ja selle sertifitseerimisasutuste sertifikaatidel peab RSA, DSA ja DH krüptimise puhul olema vähemalt 2048-bitine privaatvõti; elliptiliste kõverate võtmete (ECC) puhul peavad need olema vähemalt 224-bitised. Soovitame RSA puhul 4096-bitist suurust ja ECDSA kõvera secp384r1 puhul 384-bitist suurust.
Atribuudi Common Name väärtus peab tuvastama loogilise Edge Gateway komponendi. See nimi on kujul <GW_NAME>@<ORGANIZATION_NAME>, kus <GW_NAME> vastab Edge Gateway komponendi nimele (nagu see on halduskonsoolis sisestatud) ja <ORGANIZATION_NAME> vastab selle organisatsiooni nimele, millega Edge Gateway komponent ühendub.
Atribuudil Key Usage peavad olema väärtused critical ja digitalSignature.
Atribuudil Extended Key Usage peab olema väärtus clientAuth.

Aktsepteeritud sertifikaadivorming: P12.

Salvestusteenuse sertifikaat

Salvestusteenuse sertifikaadi atribuudid peavad vastama järgmistele piirangutele:

Sertifikaadi kehtivusaeg ei tohi ületada 1095 päeva (3 aastat).
Allkirja jaoks kasutatav räsifunktsioon peab kuuluma SHA-2 perekonda; soovitame SHA-512.
Sertifikaadil ja selle sertifitseerimisasutuste sertifikaatidel peab RSA, DSA ja DH krüptimise puhul olema vähemalt 2048-bitine privaatvõti; elliptiliste kõverate võtmete (ECC) puhul peavad need olema vähemalt 224-bitised. Soovitame RSA puhul 4096-bitist suurust ja ECDSA kõvera secp384r1 puhul 384-bitist suurust.
Atribuudi Common Name väärtus peab olema Edge Gateway arvuti FQDN-nimi või vähemalt selle nimi.
Atribuudil Key Usage peavad olema väärtused critical, digitalSignature ja keyEncipherment.
Atribuudil Extended Key Usage peab olema väärtus serverAuth.

Aktsepteeritud sertifikaadivorming: P12.

See server kasutab ainult üht sertifikaati: seda, millega HTML5 Gateway komponent autenditakse SSL Router komponendi juures.

Teave

HTML5 Gateway serveril võib olla mitu HTML5 Gateway eksemplari, mis nõuab sama palju sertifikaate, kui on HTML5 Gateway eksemplare (välja arvatud klastriarhitektuuri erijuhul).

HTML5 Gateway komponendi sertifikaat

HTML5 Gateway komponendi sertifikaadi atribuudid peavad vastama järgmistele piirangutele:

Sertifikaadi kehtivusaeg ei tohi ületada 1095 päeva (3 aastat).
Allkirja jaoks kasutatav räsifunktsioon peab kuuluma SHA-2 perekonda; soovitame SHA-512.
Sertifikaadil ja selle sertifitseerimisasutuste sertifikaatidel peab RSA, DSA ja DH krüptimise puhul olema vähemalt 2048-bitine privaatvõti; elliptiliste kõverate võtmete (ECC) puhul peavad need olema vähemalt 224-bitised. Soovitame RSA puhul 4096-bitist suurust ja ECDSA kõvera secp384r1 puhul 384-bitist suurust.
Atribuudi Common Name väärtus peab tuvastama loogilise Edge Gateway komponendi. See nimi on kujul <HTML5_GW_NAME>@<ORGANIZATION_NAME>, kus <HTML5_GW_NAME> vastab Edge Gateway komponendi nimele (nagu see on halduskonsoolis sisestatud) ja <ORGANIZATION_NAME> vastab selle organisatsiooni nimele, millega Edge Gateway komponent ühendub.
Atribuudil Key Usage peavad olema väärtused critical ja digitalSignature.
Atribuudil Extended Key Usage peab olema väärtus clientAuth.

Aktsepteeritud sertifikaadivorming: P12.

Otsejuurdepääsu korral kasutab otsejuurdepääsu salvestusagent sertifikaati, et autentida end Edge Gateway komponendi salvestusteenuses.

Sertifikaadi atribuudid peavad vastama järgmistele piirangutele:

Sertifikaadi kehtivusaeg ei tohi ületada 1095 päeva (3 aastat).
Allkirja jaoks kasutatav räsifunktsioon peab kuuluma SHA-2 perekonda; soovitame SHA-512.
Sertifikaadil ja selle sertifitseerimisasutuste sertifikaatidel peab RSA, DSA ja DH krüptimise puhul olema vähemalt 2048-bitine privaatvõti; elliptiliste kõverate võtmete (ECC) puhul peavad need olema vähemalt 224-bitised. Soovitame RSA puhul 4096-bitist suurust ja ECDSA kõvera secp384r1 puhul 384-bitist suurust.
Atribuudi Common Name väärtus peab olema lühinimi, FQDN või mis tahes muu nimi, mis arvuti üheselt tuvastab. Seda nime kasutatakse arvutis tehtud toimingute tuvastamiseks ja jälgimiseks.
Atribuudil Key Usage peavad olema väärtused critical ja digitalSignature.
Atribuudil Extended Key Usage peab olema väärtus clientAuth.

Aktsepteeritud sertifikaadivorming: P12.