Keri sisuni

CyberElements Bastion Standalone platvormi eeltingimused

Arvuti

Toote CyberElements Bastion installimiseks saab kasutada nii füüsilisi kui ka virtuaalseid arvuteid.
Toode ise virtualiseerimist ei tee, seega ei pea virtuaalmasinate puhul pesastatud virtualiseerimise suvandit sisse lülitama.

OS

CyberElements Bastion töötab 64-bitistes Debian 12 (Bookworm) arvutites.
Soovitatav on kasutada graafilise liideseta arvuteid ja piirata installitud komponendid SSH-serveriga.

CPU

Neljatuumaline protsessor katab enamiku toote kasutusjuhtudest.

RAM

Tähelepanu

Allpool toodud RAM-i väärtused on ainult soovituslikud, kuna RAM-i tarbimist võivad mõjutada paljud muutujad (kasutatavad toote funktsioonid või arvutisse tootega paralleelselt installitud elemendid).

RAM-i tarbimine sõltub üldiselt samaaegsete kasutajate arvust, mida platvorm suudab teenindada:

  • 1 kuni 5 samaaegset kasutajat: vähemalt 2 GB RAM-i, soovitatav 4 GB.
  • 5 kuni 20 samaaegset kasutajat: vähemalt 4 GB RAM-i.
  • 20 või enama samaaegse kasutaja korral: vähemalt 8 GB RAM-i.

RAM-i tarbimine sõltub samaaegsete seansside arvust ja kasutatavate rakenduste tüüpidest.

Tüüpilised väärtused on järgmised:

  • 1 kuni 5 samaaegset kasutajat: vähemalt 2 GB RAM-i, soovitatav 4 GB.
  • 5 kuni 20 samaaegset kasutajat: vähemalt 4 GB RAM-i.
  • 20 või enama samaaegse kasutaja korral: 8 GB RAM-i.

Pange tähele, et agendita RDP- või VNC-rakendus võib tarbida kuni 400 MB iga käivitatud rakenduse kohta.
Kui seda tüüpi rakendusi kasutatakse ulatuslikult, on soovitatav jälgida RAM-i kasutust, et selle mahtu vastavalt kohandada.

RAM-i tarbimine sõltub samaaegselt avatud HTML5-rakenduste arvust.

Põhiserveril peab süsteemi toimimiseks olema 2 GB, millele lisandub 50 MB iga samaaegse HTML5-rakenduse kohta.

Kui HTML5 Gateway roll on ühendatud Edge Gateway serveriga, lisage Edge Gateway serveri RAM-i soovitusele 50 MB iga samaaegse HTML5-rakenduse kohta.

Ketas

Soovitame ketta partitsioneerida LVM-i abil, et tagada suurem paindlikkus juhuks, kui arvuti mahtu tuleb kasutamise ajal muuta.

Eri tüüpi serveritel on erinevad kettakasutuse mustrid ja ka andmemahud erinevad. Allpool on teave serveritüüpide kaupa:

Selle serveri andmemaht kasvab järgmistes kataloogides:

  • /var/log/: kataloog, mis sisaldab erinevaid süsteemilogisid.
  • /var/lib/postgresql/15/main/: kataloog, mis sisaldab kohaliku andmebaasi andmeid.
  • /var/ipdiva/: kataloog, mis sisaldab tootespetsiifilisi andmeid.

Erinevate kataloogide eraldamine erinevatesse partitsioonidesse ei ole kohustuslik, kuid on soovitatav. Võite järgida neid juhiseid:

Ühenduspunkt Suvandid Minimaalne maht (GB)
/boot nosuid,nodev,noexec 1
/opt nosuid,nodev 1
/tmp nosuid,nodev 4
/srv nosuid,nodev 1
/home nosuid,nodev,noexec 6
/usr nodev 6
/var nosuid 5
/var/log nosuid,nodev,noexec 5
/var/tmp nosuid,nodev,noexec 2
swap Suvandid puuduvad Sõltuvalt RAM-ist (poole võrra väiksem)
/ Suvandid puuduvad 2 GB või rohkem, sõltuvalt vabast kettaruumist

Näide

Serveri puhul, millel on 4 GB RAM-i (mis nõuab 2 GB swap-ruumi), on eelneva partitsioneerimise korral vajalik kettaruum vähemalt 35 GB.

Selle serveri andmemaht kasvab järgmistes kataloogides:

  • /var/log/: kataloog, mis sisaldab erinevaid süsteemilogisid.
  • /var/lib/ipdiva/carerecord/recording/: kataloog, mis sisaldab parajasti salvestatavaid arhiive; seega on see ajutise salvestuse kataloog.
  • /var/lib/ipdiva/carerecord/archives/: vaikekataloog, mis sisaldab toote graafilisi arhiive.
  • /var/ipdiva/care/sshrecord/: vaikekataloog, mis sisaldab toote mittegraafilisi (SSH) arhiive.

Erinevate kataloogide eraldamine erinevatesse partitsioonidesse ei ole kohustuslik, kuid on soovitatav. Võite järgida neid juhiseid:

Ühenduspunkt Suvandid Minimaalne maht (GB)
/boot nosuid,nodev,noexec 1
/opt nosuid,nodev 1
/tmp nosuid,nodev 4
/srv nosuid,nodev 1
/home nosuid,nodev,noexec 6
/usr nodev 6
/var nosuid,nodev 5
/var/log nosuid,nodev,noexec 5
/var/tmp nosuid,nodev,noexec 2
swap Suvandid puuduvad Sõltuvalt RAM-ist (poole võrra väiksem)
/ Suvandid puuduvad 2 GB või rohkem, sõltuvalt vabast kettaruumist

Näide

Serveri puhul, millel on 4 GB RAM-i (mis nõuab 2 GB swap-ruumi), on eelneva partitsioneerimise korral vajalik kettaruum vähemalt 35 GB.

Siiski on tungivalt soovitatav eraldada ühenduspunktiga /var rohkem kettaruumi ajutiste või pikaajaliste graafiliste arhiivide jaoks, välja arvatud juhul, kui arhiivid on viidud välisesse salvestusruumi.

Selle serveri andmemaht kasvab järgmistes kataloogides:

  • /var/log/: kataloog, mis sisaldab erinevaid süsteemilogisid.
  • /home/systanciahtml5share/: ajutise salvestuse kataloog HTML5-rakendustega vahetatavate failide jaoks.

Erinevate kataloogide eraldamine erinevatesse partitsioonidesse ei ole kohustuslik, kuid on soovitatav. Võite järgida neid juhiseid:

Ühenduspunkt Suvandid Minimaalne maht (GB)
/boot nosuid,nodev,noexec 1
/opt nosuid,nodev 1
/tmp nosuid,nodev 4
/srv nosuid,nodev 1
/home nosuid,nodev,noexec 6
/usr nodev 6
/var nosuid,nodev 5
/var/log nosuid,nodev,noexec 5
/var/tmp nosuid,nodev,noexec 2
swap Suvandid puuduvad Sõltuvalt RAM-ist (poole võrra väiksem)
/ Suvandid puuduvad 2 GB või rohkem, sõltuvalt vabast kettaruumist

Näide

Serveri puhul, millel on 4 GB RAM-i (mis nõuab 2 GB swap-ruumi), on eelneva partitsioneerimise korral vajalik kettaruum vähemalt 35 GB.

Võrk

CyberElements Bastion Standalone platvorm nõuab järgmist:

  • 2 IP-aadressi Mediation Controller serveri jaoks (sama võrguliidese kaudu)
  • 1 IP-aadress Edge Gateway või HTML5 Gateway arvuti kohta

Mediation Controller server paigutatakse tavaliselt DMZ-i, kuid selle võib paigutada ka privaatsesse DMZ-i või majutada avalikus pilves. See sõltub platvormi kasutusjuhtumist (näiteks teenusepakkujate kaugjuurdepääs või kaitstud alade sisejuurdepääsu turvamine).

Edge Gateway serverid paigutatakse tavaliselt kohtvõrku, VLAN-idesse, mis võimaldavad neil sihtressurssidega suhelda.

HTML5 Gateway serverid saab paigutada kas LAN-i või DMZ-i. Selles dokumentatsioonis nähakse ette HTML5 Gateway komponendi installimine Edge Gateway serverisse ehk LAN-i.

Arvutite eri aadresside paremaks eristamiseks nimetatakse neid dokumentatsioonis järgmiselt:

IP-aadressi nimi Tähendus
IP_MED_WEB Mediation Controller serveri peamine IP-aadress, mis võimaldab juurdepääsu veebikonsoolidele.
IP_MED_SSL Mediation Controller serveri teine IP-aadress, mida kasutab SSL Router komponent.
IP_GW Edge Gateway serveri IP-aadress.
IP_HTML5_GW HTML5 Gateway serveri IP-aadress.

Teave

Esitatud liiklusvoogude teave eeldab, et Mediation Controller server asub DMZ-is ja et Edge Gateway server, millel on ka HTML5 Gateway roll, asub LAN-is.

Mediation Controller serveri IP-aadressid võivad olla kas otse Mediation Controller serverile määratud avalikud IP-aadressid või avalikud IP-aadressid, mis on NAT-i abil teisendatud privaatseteks IP-aadressideks (soovitatav).

Allikas Sihtkoht Sihtport Kommentaarid
Kasutaja tööjaam IP_MED_WEB TCP 443 (standardpordi kasutamisel) Võimaldab juurdepääsu veebikonsoolidele ja otse brauseris töötavatele rakendustele.
Kasutaja tööjaam IP_MED_SSL TCP 443 (standardpordi kasutamisel) Loob TLS-tunneli CyberElements Bastion kliendi kaudu liikuva liikluse krüptimiseks.
IP_GW IP_MED_WEB TCP 443 (standardpordi kasutamisel) Kui Edge Gateway asub kaugvõrgus. Ühendus Edge Gateway pairingu süsteemiga.
IP_GW IP_MED_SSL TCP 443 (standardpordi kasutamisel) Kui Edge Gateway asub kaugvõrgus. Ühendus SSL Router komponendiga TLSv1.3-tunneli loomiseks ja toote suhtluse suunamiseks selle kaudu.
Allikas Sihtkoht Sihtport Kommentaarid
IP_MED_WEB Debiani hoidlad TCP 80 Vajalik CyberElements Bastion lahenduse sõltuvuste installimiseks ja süsteemi ajakohasena hoidmiseks. Dokumentatsioon ja virtuaalseadmed kasutavad hoidlaid ftp.fr.debian.org ja security.debian.org.
IP_MED_WEB packages.microsoft.com TCP 443 Microsofti hoidla MS SQL-i draiverite installimiseks ja värskendamiseks. Vajalik ainult siis, kui soovitakse juurdepääsu MS SQL-i andmebaasile (virtuaalseadmetel on MS SQL-i draiverid olemas).
IP_MED_WEB NTP-ajaserver UDP 123 Valikuline, kui server peab sünkroonima oma kella DMZ-is asuva serveriga. Vaikimisi kasutatakse Debiani kogumeid: 0.debian.pool.ntp.org, 1.debian.pool.ntp.org, 2.debian.pool.ntp.org ja 3.debian.pool.ntp.org.
IP_MED_WEB SMTP-server TCP 25, 465, 587 Vajalik, kui meilide saatmiseks tuleb kasutada SMTP-serverit ja see asub WAN-is.
IP_MED_WEB DNS-server UDP 53 Vajalik DNS-i nimelahenduseks. See võib asuda WAN-is või DMZ-is.
IP_MED_WEB api.neomia.ai TCP 443 (Valikuline) Ühendus käitumisbiomeetrilise MFA-toote Neomia Pulse API-dega.
IP_MED_WEB EU: keepersecurity.eu
US: keepersecurity.com
AU: keepersecurity.com.au
CA: keepersecurity.ca
JP: keepersecurity.jp		 TCP 443 (Valikuline) Ühendus seifiga Keeper EPM olenevalt selle asukohast.
Allikas Sihtkoht Sihtport Kommentaarid
IP_MED_WEB NTP-ajaserver UDP 123 Kui server peab sünkroonima oma kella DMZ-is asuva serveriga.
IP_MED_WEB SMTP-server TCP 25, 465, 587 Vajalik, kui meilide saatmiseks tuleb kasutada SMTP-serverit ja see asub DMZ-is.
IP_MED_WEB Andmebaasiserver TCP 1433, 5432 või mis tahes muu kohandatud port Vajalik, kui soovite kasutada DMZ-is asuvat välist andmebaasi.
IP_MED_WEB DNS-server UDP 53 Vajalik DNS-i nimelahenduseks. See võib asuda DMZ-is või WAN-is.
Allikas Sihtkoht Sihtport Kommentaarid
IP_GW Debiani hoidlad TCP 80 Vajalik CyberElements Bastion lahenduse sõltuvuste installimiseks ja süsteemi ajakohasena hoidmiseks. Dokumentatsioon ja virtuaalseadmed kasutavad hoidlaid ftp.fr.debian.org ja security.debian.org.
IP_GW DNS-server UDP 53 Vajalik DNS-i nimelahenduseks. Valikuline, kui DNS-server on saadaval kohtvõrgus või DMZ-is.
IP_GW NTP-ajaserver UDP 123 Valikuline, kui server peab sünkroonima oma kella kohtvõrgus või DMZ-is asuva serveriga. Vaikimisi kasutatakse Debiani kogumeid: 0.debian.pool.ntp.org, 1.debian.pool.ntp.org, 2.debian.pool.ntp.org ja 3.debian.pool.ntp.org.
IP_GW SMS-teenuse pakkuja TCP 443 (Valikuline) Ühendus CyberElements Bastion lahenduse toetatud SMS-teenuse pakkujate API-dega.
Allikas/allikad Sihtkoht/sihtkohad Sihtport Kommentaarid
IP_GW
IP_HTML5_GW		 IP_MED_WEB TCP 443 (standardpordi kasutamisel) Ühendus Edge Gateway pairingu süsteemiga.
IP_GW
IP_HTML5_GW		 IP_MED_SSL TCP 443 (standardpordi kasutamisel) Ühendus SSL Router komponendiga TLSv1.3-tunneli loomiseks ja toote suhtluse suunamiseks selle kaudu.
Kliendi tööjaam IP_MED_WEB TCP 443 (standardpordi kasutamisel) Ühendus toote eri veebikonsoolidega.
Kliendi tööjaam IP_MED_SSL TCP 443 (standardpordi kasutamisel) Loob TLS-tunneli CyberElements Bastion kliendi kaudu liikuva liikluse krüptimiseks.
Administraatori tööjaam IP_MED_WEB TCP 22 SSH-ühendus Mediation Controller serveriga.
Allikas Sihtkoht Sihtport Kommentaarid
IP_GW DNS-server UDP 53 Vajalik DNS-i nimelahenduseks. Valikuline, kui kasutatakse WAN-i või DMZ-i DNS-serverit.
IP_GW LDAP- või AD-serverid TCP 389 või 636 CyberElements Bastion lahenduse ühendus LDAP- või AD-serveriga.
IP_GW AD-serverid TCP 139 ja 445 AD-kontode paroolide roteerimine; kasutatakse ainult siis, kui roteerimine LDAPS-i kaudu pole võimalik.
IP_GW RDP-serverid TCP/UDP 3389 (standardpordi kasutamisel) Ühendus CyberElements Bastion lahendusest RDP-serveritega.
IP_GW SSH-serverid TCP 22 (standardpordi kasutamisel) CyberElements Bastion lahenduse ühendus SSH-serveritega.
IP_GW VNC-serverid TCP 5900 (standardpordi kasutamisel) CyberElements Bastion lahenduse ühendus VNC-serveritega.
IP_GW Veebiserverid TCP 80 või 443 (standardpordi kasutamisel) Ühendus CyberElements Bastion lahendusest veebiserveritega.
IP_GW Citrix Storefront serverid TCP 443 (standardpordi kasutamisel) CyberElements Bastion lahenduse ühendus Citrix Storefront serveritega.
IP_GW Citrixi rakendusserverid TCP 1494 CyberElements Bastion lahenduse ühendus Citrixi rakendusserveritega (rakenduse või töölaua käivitamine ICA-kliendiga).
IP_GW Failiserverid TCP 139 ja 445 CyberElements Bastion lahenduse ühendus failiserveritega.
IP_GW Andmebaasiserver TCP 1433, 5432 või mis tahes muu kohandatud port Vajalik, kui soovite kasutada kohtvõrgus asuvat välist andmebaasi (näiteks Vault-andmebaasi ülekandmiseks).
IP_GW RDP-serverid TCP 139 ja 445 Salvestusagendi juurutamine halduskonsooli kaudu.
Kliendi tööjaam IP_GW TCP [administraatori määratud port] Otsese SSH-juurdepääsu ühendus.
Kliendi tööjaam IP_GW TCP 3389 Otsese RDP-juurdepääsu ühendus.
RDP-serverid IP_GW TCP 8443 Salvestusagendi ja Edge Gateway komponendi vaheline ühendus kasutaja seansisalvestise üleslaadimiseks.
Administraatori tööjaam IP_GW TCP 22 SSH-ühendus Edge Gateway serveriga.

Andmebaas

CyberElements Bastion kasutab oma tööks eri andmebaase (DB).

  1. Süsteemi konfiguratsiooniandmebaas. Sellesse andmebaasi salvestatakse kõik haldusliidese /system sätted. Standalone-installimise korral loob ja haldab seda andmebaasi toode otse Mediation Controller serverisse installitud PostgreSQL-i serveri abil.
  2. Organisatsiooni konfiguratsiooniandmebaas. Iga Mediation Controller serveris loodud organisatsioon vajab eraldi andmebaasi, mis sisaldab kõiki organisatsiooni sätteid ja logisid. See andmebaas asub tavaliselt Mediation Controller serveris ja selle kohalikus PostgreSQL-i andmebaasis, kuid selle saab teisaldada ka DMZ-i või LAN-i.
  3. Vault-andmebaas. Iga loodud organisatsioon käivitab toote Vault-komponendi jaoks eraldi andmebaasi loomise; see salvestatakse vaikimisi Mediation Controller serverisse. Selle andmebaasi saab viia välja LAN-i, kui Edge Gateway pääseb sellele juurde.

Väliste andmebaaside kasutamisel on toetatud andmebaasitüübid järgmised:

Litsents

Mediation Controller server vajab toimimiseks litsentsi.
Litsentsi saab taotleda ettevõttelt Systancia järgmise litsentsitaotluse vormiga: Taotlege litsentsi

Sertifikaadid

CyberElements Bastion kasutab sisesuhtluseks TLS-krüptimist ja veebijuurdepääsu kaitsmiseks HTTPS-i, mis nõuab mitmesuguste x509-sertifikaatide kasutamist. Allolev teave võtab kokku nõutavad sertifikaadid, nende otstarbe ja minimaalsed sätted.

Sertifikaadi turbepiirang

Olenemata kasutatavast sertifikaadist veenduge, et see vastab OpenSSL-i turbetasemele 2, mille saab kokku võtta järgmiselt:

  • Sertifikaadil ja selle sertifitseerimisasutuste sertifikaatidel peab RSA, DSA ja DH krüptimise puhul olema vähemalt 2048-bitine privaatvõti; elliptiliste kõverate võtmete (ECC) puhul peavad need olema vähemalt 224-bitised.
  • Sertifikaadi allkiri ei tohi olla MD5 ega SHA-1 (eelistatud on SHA-512).

See server kasutab nelja erinevat sertifikaati:

  • Veebisertifikaat HTTPS-i sisselülitamiseks.
  • Sertifikaat SSL Router komponendile, mis vastutab TLS-tunnelite loomise ja nendevahelise liikluse suunamise eest.
  • Sertifikaat Watchdog komponendile, mis vastutab SSL Router komponendi nõuetekohase toimimise jälgimise eest.
  • Sertifikaat CyberElements Bastion kliendile, et see saaks luua ühenduse SSL Router komponendiga ja TLSv1.3-tunneli.

Veebisertifikaat

Soovitus

Veebisertifikaadi peaks eelistatavalt olema väljastanud avalik sertifitseerimisasutus (CA), mida peetakse usaldusväärseks.
See tagab, et kasutajad ei saa ilma lisatoiminguteta kasutatava sertifikaadiga seotud märguandeid (eeldusel, et see on kehtiv ja hõlmab nime, millega kasutaja ühenduse algatas). Sisemise PKI väljastatud sertifikaadi kasutamine nõuab CA-sertifikaadi juurutamist kasutajate tööjaamadesse.

Veebisertifikaat peab oma atribuutide osas vastama järgmistele piirangutele:

  • Sertifikaadi kehtivusaeg ei tohi ületada 398 päeva (13 kuud).
  • Allkirja jaoks kasutatav räsifunktsioon peab kuuluma SHA-2 perekonda; soovitame SHA-512.
  • Sertifikaadil ja selle sertifitseerimisasutuste sertifikaatidel peab RSA, DSA ja DH krüptimise puhul olema vähemalt 2048-bitine privaatvõti; elliptiliste kõverate võtmete (ECC) puhul peavad need olema vähemalt 224-bitised. Soovitame RSA puhul 4096-bitist suurust ja ECDSA kõvera secp384r1 puhul 384-bitist suurust.
  • Atribuudi Common Name väärtus peab olema DNS-nimi (või metamärgiga nimi), mille jaoks sertifikaat on mõeldud.
  • Atribuudil Key Usage peavad olema väärtused critical, digitalSignature ja keyEncipherment.
  • Atribuudil Extended Key Usage peab olema väärtus id-kp-serverAuth (OpenSSL kasutab väärtust serverAuth).
  • Atribuut Subject Alternative Name peab sisaldama vähemalt ühte kirjet, mis vastab peamisele DNS-nimele; muude DNS-nimede või IP-aadresside hõlmamiseks võib lisada muid kirjeid.

Aktsepteeritud sertifikaadivorming: P12 või PEM (kahe failiga, üks sertifikaadi ja teine privaatvõtme jaoks).

SSL Router komponendi sertifikaat

SSL Router komponendi sertifikaat peab oma atribuutide osas vastama järgmistele piirangutele:

  • Sertifikaadi kehtivusaeg ei tohi ületada 1095 päeva (3 aastat).
  • Allkirja jaoks kasutatav räsifunktsioon peab kuuluma SHA-2 perekonda; soovitame SHA-512.
  • Sertifikaadil ja selle sertifitseerimisasutuste sertifikaatidel peab RSA, DSA ja DH krüptimise puhul olema vähemalt 2048-bitine privaatvõti; elliptiliste kõverate võtmete (ECC) puhul peavad need olema vähemalt 224-bitised. Soovitame RSA puhul 4096-bitist suurust ja ECDSA kõvera secp384r1 puhul 384-bitist suurust.
  • Atribuudi Common Name väärtus peab olema IP-aadress või DNS-nimi, mis suunab aadressile IP_MED_SSL.
  • Atribuudil Key Usage peavad olema väärtused critical, digitalSignature ja keyEncipherment.
  • Atribuudil Extended Key Usage peab olema väärtus serverAuth.

Aktsepteeritud sertifikaadivorming: P12.

Watchdog komponendi sertifikaat

Watchdog komponendi sertifikaat peab oma atribuutide osas vastama järgmistele piirangutele:

  • Sertifikaadi kehtivusaeg ei tohi ületada 1095 päeva (3 aastat).
  • Allkirja jaoks kasutatav räsifunktsioon peab kuuluma SHA-2 perekonda; soovitame SHA-512.
  • Sertifikaadil ja selle sertifitseerimisasutuste sertifikaatidel peab RSA, DSA ja DH krüptimise puhul olema vähemalt 2048-bitine privaatvõti; elliptiliste kõverate võtmete (ECC) puhul peavad need olema vähemalt 224-bitised. Soovitame RSA puhul 4096-bitist suurust ja ECDSA kõvera secp384r1 puhul 384-bitist suurust.
  • Atribuudil Common Name peab olema väärtus, mis on Watchdog komponendi identifitseerimisnimi, näiteks „Watchdog“.
  • Atribuudil Key Usage peavad olema väärtused critical ja digitalSignature.
  • Atribuudil Extended Key Usage peab olema väärtus clientAuth.

Aktsepteeritud sertifikaadivorming: P12.

CyberElements Bastion kliendi sertifikaat

Toote CyberElements Bastion kliendisertifikaadi atribuudid peavad vastama järgmistele piirangutele:

  • Sertifikaadi kehtivusaeg ei tohi ületada 1095 päeva (3 aastat).
  • Allkirja jaoks kasutatav räsifunktsioon peab kuuluma SHA-2 perekonda; soovitame SHA-512.
  • Sertifikaadil ja selle sertifitseerimisasutuste sertifikaatidel peab RSA, DSA ja DH krüptimise puhul olema vähemalt 2048-bitine privaatvõti; elliptiliste kõverate võtmete (ECC) puhul peavad need olema vähemalt 224-bitised. Soovitame RSA puhul 4096-bitist suurust ja ECDSA kõvera secp384r1 puhul 384-bitist suurust.
  • Atribuudil Common Name peab olema väärtus, mis on kliendi identifitseerimisnimi, näiteks „cyberelements-cleanroom-client“.
  • Atribuudil Key Usage peavad olema väärtused critical ja digitalSignature.
  • Atribuudil Extended Key Usage peab olema väärtus clientAuth.

Aktsepteeritud sertifikaadivorming: P12 parooliga, milles on vähemalt 8 tähtnumbrilist märki (erimärke, diakriitikutega tähti ega sidekriipse ei toetata).

See server kasutab kaht eri sertifikaati:

  • Üks sertifikaat Edge Gateway komponendi autentimiseks SSL Router komponendi suhtes.
  • Sertifikaat salvestusteenusele, et salvestusagendid saaksid sellega ühenduse luua.

Teave

Edge Gateway serveril võib olla mitu Edge Gateway eksemplari, mis nõuab sama palju sertifikaate, kui on Edge Gateway eksemplare (välja arvatud klastriarhitektuuri erijuhul).

Edge Gateway serveril on aga ainult üks salvestusteenus, seega on vaja ainult üht sertifikaati arvuti kohta.

Edge Gateway sertifikaat

Edge Gateway serveri sertifikaat peab oma atribuutide osas vastama järgmistele piirangutele:

  • Sertifikaadi kehtivusaeg ei tohi ületada 1095 päeva (3 aastat).
  • Allkirja jaoks kasutatav räsifunktsioon peab kuuluma SHA-2 perekonda; soovitame SHA-512.
  • Sertifikaadil ja selle sertifitseerimisasutuste sertifikaatidel peab RSA, DSA ja DH krüptimise puhul olema vähemalt 2048-bitine privaatvõti; elliptiliste kõverate võtmete (ECC) puhul peavad need olema vähemalt 224-bitised. Soovitame RSA puhul 4096-bitist suurust ja ECDSA kõvera secp384r1 puhul 384-bitist suurust.
  • Atribuudi Common Name väärtus peab tuvastama loogilise Edge Gateway komponendi. See nimi on kujul <GW_NAME>@<ORGANIZATION_NAME>, kus <GW_NAME> vastab Edge Gateway komponendi nimele (nagu see on halduskonsoolis sisestatud) ja <ORGANIZATION_NAME> vastab selle organisatsiooni nimele, millega Edge Gateway komponent ühendub.
  • Atribuudil Key Usage peavad olema väärtused critical ja digitalSignature.
  • Atribuudil Extended Key Usage peab olema väärtus clientAuth.

Aktsepteeritud sertifikaadivorming: P12.

Salvestusteenuse sertifikaat

Salvestusteenuse sertifikaadi atribuudid peavad vastama järgmistele piirangutele:

  • Sertifikaadi kehtivusaeg ei tohi ületada 1095 päeva (3 aastat).
  • Allkirja jaoks kasutatav räsifunktsioon peab kuuluma SHA-2 perekonda; soovitame SHA-512.
  • Sertifikaadil ja selle sertifitseerimisasutuste sertifikaatidel peab RSA, DSA ja DH krüptimise puhul olema vähemalt 2048-bitine privaatvõti; elliptiliste kõverate võtmete (ECC) puhul peavad need olema vähemalt 224-bitised. Soovitame RSA puhul 4096-bitist suurust ja ECDSA kõvera secp384r1 puhul 384-bitist suurust.
  • Atribuudi Common Name väärtus peab olema Edge Gateway arvuti FQDN-nimi või vähemalt selle nimi.
  • Atribuudil Key Usage peavad olema väärtused critical, digitalSignature ja keyEncipherment.
  • Atribuudil Extended Key Usage peab olema väärtus serverAuth.

Aktsepteeritud sertifikaadivorming: P12.

See server kasutab ainult üht sertifikaati: seda, millega HTML5 Gateway komponent autenditakse SSL Router komponendi juures.

Teave

HTML5 Gateway serveril võib olla mitu HTML5 Gateway eksemplari, mis nõuab sama palju sertifikaate, kui on HTML5 Gateway eksemplare (välja arvatud Cluster-arhitektuuri erijuhul).

HTML5 Gateway komponendi sertifikaat

HTML5 Gateway komponendi sertifikaadi atribuudid peavad vastama järgmistele piirangutele:

  • Sertifikaadi kehtivusaeg ei tohi ületada 1095 päeva (3 aastat).
  • Allkirja jaoks kasutatav räsifunktsioon peab kuuluma SHA-2 perekonda; soovitame SHA-512.
  • Sertifikaadil ja selle sertifitseerimisasutuste sertifikaatidel peab RSA, DSA ja DH krüptimise puhul olema vähemalt 2048-bitine privaatvõti; elliptiliste kõverate võtmete (ECC) puhul peavad need olema vähemalt 224-bitised. Soovitame RSA puhul 4096-bitist suurust ja ECDSA kõvera secp384r1 puhul 384-bitist suurust.
  • Atribuudi Common Name väärtus peab tuvastama loogilise Edge Gateway komponendi. See nimi on kujul <HTML5_GW_NAME>@<ORGANIZATION_NAME>, kus <HTML5_GW_NAME> vastab Edge Gateway komponendi nimele (nagu see on halduskonsoolis sisestatud) ja <ORGANIZATION_NAME> vastab selle organisatsiooni nimele, millega Edge Gateway komponent ühendub.
  • Atribuudil Key Usage peavad olema väärtused critical ja digitalSignature.
  • Atribuudil Extended Key Usage peab olema väärtus clientAuth.

Aktsepteeritud sertifikaadivorming: P12.

Otsejuurdepääsu korral kasutab otsejuurdepääsu salvestusagent sertifikaati, et autentida end Edge Gateway komponendi salvestusteenuses.

Sertifikaadi atribuudid peavad vastama järgmistele piirangutele:

  • Sertifikaadi kehtivusaeg ei tohi ületada 1095 päeva (3 aastat).
  • Allkirja jaoks kasutatav räsifunktsioon peab kuuluma SHA-2 perekonda; soovitame SHA-512.
  • Sertifikaadil ja selle sertifitseerimisasutuste sertifikaatidel peab RSA, DSA ja DH krüptimise puhul olema vähemalt 2048-bitine privaatvõti; elliptiliste kõverate võtmete (ECC) puhul peavad need olema vähemalt 224-bitised. Soovitame RSA puhul 4096-bitist suurust ja ECDSA kõvera secp384r1 puhul 384-bitist suurust.
  • Atribuudi Common Name väärtus peab olema lühinimi, FQDN või mis tahes muu nimi, mis arvuti üheselt tuvastab. Seda nime kasutatakse arvutis tehtud toimingute tuvastamiseks ja jälgimiseks.
  • Atribuudil Key Usage peavad olema väärtused critical ja digitalSignature.
  • Atribuudil Extended Key Usage peab olema väärtus clientAuth.

Aktsepteeritud sertifikaadivorming: P12.