Preduvjeti za platformu CyberElements Bastion Cluster¶

Računalo¶

Za instalaciju rješenja CyberElements Bastion mogu se upotrebljavati i fizička i virtualna računala.
Proizvod ne izvodi nikakvu virtualizaciju, pa za virtualna računala nije potrebno omogućiti mogućnost ugniježđene virtualizacije.

OS¶

CyberElements Bastion radi na 64-bitnim računalima sa sustavom Debian 12 (Bookworm).
Preporučuje se koristiti računala bez grafičkog sučelja i ograničiti instalirane komponente na poslužitelj SSH.

CPU¶

Procesor s 4 jezgre pokrit će većinu slučajeva upotrebe proizvoda.

RAM¶

Pozor

Vrijednosti RAM-a navedene u nastavku samo su okvirne jer postoji mnogo varijabli koje mogu utjecati na potrošnju RAM-a (korištene značajke proizvoda ili elementi instalirani na računalu paralelno s proizvodom).

Poslužitelj Mediation ControllerPoslužitelj Edge GatewayPoslužitelj HTML5 Gateway

Potrošnja RAM-a općenito ovisi o broju istodobnih korisnika koje platforma može prihvatiti:

Između 1 i 5 istodobnih korisnika: najmanje 2 GB RAM-a, preporučeno 4 GB.
Između 5 i 20 istodobnih korisnika: najmanje 4 GB RAM-a.
Za 20 ili više istodobnih korisnika: najmanje 8 GB RAM-a.

Potrošnja RAM-a ovisi o broju istodobnih sesija i o vrstama aplikacija koje se koriste.

Uobičajene vrijednosti su sljedeće:

Između 1 i 5 istodobnih korisnika: najmanje 2 GB RAM-a, preporučeno 4 GB.
Između 5 i 20 istodobnih korisnika: najmanje 4 GB RAM-a.
Za 20 ili više istodobnih korisnika: 8 GB RAM-a.

Imajte na umu da aplikacija RDP ili VNC bez agenta može potrošiti do 400 MB po pokrenutoj aplikaciji.
Kada se takve vrste aplikacija intenzivno koriste, preporučuje se nadzirati potrošnju RAM-a kako bi se njegova veličina mogla odgovarajuće prilagoditi.

Potrošnja RAM-a ovisi o broju istodobno otvorenih aplikacija HTML5.

Osnovni poslužitelj mora imati 2 GB za rad sustava, plus 50 MB po istodobnoj aplikaciji HTML5.

Ako je uloga HTML5 Gateway kombinirana s poslužiteljem Edge Gateway, preporučenoj količini RAM-a za poslužitelj Edge Gateway dodajte 50 MB po istodobnoj aplikaciji HTML5.

Disk¶

Preporučujemo particioniranje diska pomoću LVM-a radi veće fleksibilnosti ako tijekom upotrebe bude potrebno promijeniti veličinu računala.

Različite vrste poslužitelja imaju različite obrasce korištenja diska, s volumenima koji se također razlikuju. U nastavku su informacije prema vrsti poslužitelja:

Poslužitelj Mediation ControllerPoslužitelj Edge GatewayPoslužitelj HTML5 Gateway

Na ovom će poslužitelju rasti volumen sljedećih direktorija:

/var/log/: direktorij koji sadrži različite zapisnike sustava.
/var/lib/postgresql/15/main/: direktorij koji sadrži podatke lokalne baze podataka.
/var/ipdiva/: direktorij koji sadrži podatke specifične za proizvod.

Izoliranje različitih direktorija na zasebne particije nije obavezno, ali se preporučuje. Možete slijediti ove upute:

Točka montiranja	Opcije	Najmanja veličina (GB)
`/boot`	nosuid,nodev,noexec	1
`/opt`	nosuid,nodev	1
`/tmp`	nosuid,nodev	4
`/srv`	nosuid,nodev	1
`/home`	nosuid,nodev,noexec	6
`/usr`	nodev	6
`/var`	nosuid	5
`/var/log`	nosuid,nodev,noexec	5
`/var/tmp`	nosuid,nodev,noexec	2
`swap`	Bez opcija	Ovisno o RAM-u (upola manje)
`/`	Bez opcija	2 GB ili više, ovisno o dostupnom prostoru na disku

Primjer

Za poslužitelj s 4 GB RAM-a (koji zahtijeva 2 GB za swap) potreban prostor na disku uz prethodno particioniranje iznosi najmanje 35 GB.

Na ovom će se poslužitelju povećavati volumen sljedećih direktorija:

/var/log/: direktorij koji sadrži različite zapisnike sustava.
/var/lib/ipdiva/carerecord/recording/: direktorij koji sadrži arhive koje se trenutačno snimaju; riječ je dakle o direktoriju za privremenu pohranu.
/var/lib/ipdiva/carerecord/archives/: zadani direktorij koji sadrži grafičke arhive proizvoda.
/var/ipdiva/care/sshrecord/: zadani direktorij koji sadrži negrafičke (SSH) arhive proizvoda.

Izoliranje različitih direktorija na zasebne particije nije obavezno, ali se preporučuje. Možete slijediti ove upute:

Točka montiranja	Opcije	Najmanja veličina (GB)
`/boot`	nosuid,nodev,noexec	1
`/opt`	nosuid,nodev	1
`/tmp`	nosuid,nodev	4
`/srv`	nosuid,nodev	1
`/home`	nosuid,nodev,noexec	6
`/usr`	nodev	6
`/var`	nosuid,nodev	5
`/var/log`	nosuid,nodev,noexec	5
`/var/tmp`	nosuid,nodev,noexec	2
`swap`	Bez opcija	Ovisno o RAM-u (upola manje)
`/`	Bez opcija	2 GB ili više, ovisno o dostupnom prostoru na disku

Primjer

Za poslužitelj s 4 GB RAM-a (koji zahtijeva 2 GB za swap) potreban prostor na disku uz prethodno particioniranje iznosi najmanje 35 GB.

Međutim, izričito se preporučuje dodijeliti više prostora na disku za privremene ili dugoročne grafičke arhive na točki montiranja /var, osim ako su arhive izdvojene na vanjsku pohranu.

Na ovom će poslužitelju rasti volumen sljedećih direktorija:

/var/log/: direktorij koji sadrži različite zapisnike sustava.
/home/systanciahtml5share/: direktorij za privremenu pohranu datoteka koje se razmjenjuju s aplikacijama HTML5.

Izoliranje različitih direktorija na zasebne particije nije obavezno, ali se preporučuje. Možete slijediti ove upute:

Točka montiranja	Opcije	Najmanja veličina (GB)
`/boot`	nosuid,nodev,noexec	1
`/opt`	nosuid,nodev	1
`/tmp`	nosuid,nodev	4
`/srv`	nosuid,nodev	1
`/home`	nosuid,nodev,noexec	6
`/usr`	nodev	6
`/var`	nosuid,nodev	5
`/var/log`	nosuid,nodev,noexec	5
`/var/tmp`	nosuid,nodev,noexec	2
`swap`	Bez opcija	Ovisno o RAM-u (upola manje)
`/`	Bez opcija	2 GB ili više, ovisno o dostupnom prostoru na disku

Primjer

Za poslužitelj s 4 GB RAM-a (koji zahtijeva 2 GB za swap) potreban prostor na disku uz prethodno particioniranje iznosi najmanje 35 GB.

Mreža¶

Platforma CyberElements Bastion Cluster zahtijevat će:

2 stvarne IP adrese po poslužitelju Mediation Controller (dodijeljene istom mrežnom sučelju)
3 virtualne IP adrese za rad klastera
1 IP adresa po računalu Edge Gateway ili HTML5 Gateway

Dodatne informacije

Stvarne i virtualne IP adrese poslužitelja Mediation Controller moraju sve pripadati istoj podmreži.

Nekompatibilnosti s korištenjem virtualnih IP adresa

Ujednačavanjem opterećenja virtualnih IP adresa upravlja IPVS (IP Virtual Server).
Ujednačavanje opterećenja zahtijeva nekoliko preduvjeta za ispravan rad:

Onemogućite značajke Reverse Path Forwarding (RPF) za poslužitelje Mediation Controller i IP adrese dodijeljene tim računalima.
U okruženju VMware dodijelite poslužiteljima Mediation Controller mrežni adapter E1000E umjesto VMXNET3.

Poslužitelji Mediation Controller obično se smještaju u DMZ, ali mogu se smjestiti i u privatni DMZ ili hostirati u javnom oblaku. To će ovisiti o slučaju upotrebe platforme (na primjer: udaljeni pristup za davatelje usluga ili osiguravanje internog pristupa zaštićenim zonama).

Poslužitelji Edge Gateway obično se smještaju u LAN, u VLAN-ove koji im omogućuju komunikaciju s ciljnim resursima.

Poslužitelji HTML5 Gateway mogu se smjestiti u LAN ili u DMZ. Ova dokumentacija predviđa instalaciju komponente HTML5 Gateway na poslužitelje Edge Gateway, tj. u LAN.

Kako bi se lakše prepoznale različite adrese računala, u dokumentaciji će se nazivati na sljedeći način:

Naziv IP adrese	Značenje
`RIP_MED_WEB_MASTER`	Primarna IP adresa poslužitelja Mediation Controller MASTER koja omogućuje pristup web-konzolama.
`RIP_MED_WEB_SLAVE`	Primarna IP adresa poslužitelja Mediation Controller SLAVE koja omogućuje pristup web-konzolama.
`RIP_MED_SSL_MASTER`	Druga IP adresa poslužitelja Mediation Controller MASTER koju koristi komponenta SSL Router.
`RIP_MED_SSL_SLAVE`	Druga IP adresa poslužitelja Mediation Controller SLAVE koju koristi komponenta SSL Router.
`VIP_MED_WEB`	Virtualna IP adresa klastera poslužitelja Mediation Controller koja omogućuje pristup web-konzolama.
`VIP_MED_SSL`	Virtualna IP adresa klastera poslužitelja Mediation Controller koja omogućuje pristup komponenti SSL Router.
`VIP_MED_ZEO`	Virtualna IP adresa klastera poslužitelja Mediation Controller koja omogućuje pristup internoj bazi podataka konfiguracije proizvoda.
`IP_GW`	IP adresa poslužitelja Edge Gateway.
`IP_HTML5_GW`	IP adresa poslužitelja HTML5 Gateway.

Informacije

Navedene informacije o tokovima pretpostavljaju da se poslužitelji Mediation Controller nalaze u DMZ-u, a da se poslužitelji Edge Gateway, koji djeluju i kao HTML5 Gateway, nalaze u LAN-u.

Tok iz WAN-a u DMZTok iz DMZ-a u WANTok iz DMZ-a u DMZTok iz LAN-a u WANTok iz LAN-a u DMZTok iz LAN-a u LAN

IP adrese poslužitelja Mediation Controller mogu biti javne IP adrese izravno dodijeljene poslužitelju Mediation Controller ili javne IP adrese koje se NAT-om prevode u privatne IP adrese (preporučeno).

Izvor	Odredište	Odredišni port	Komentari
Radna stanica korisnika	`VIP_MED_WEB`	TCP 443 (ako se koristi standardni port)	Dopuštanje pristupa web-konzolama i aplikacijama koje se izvode izravno u pregledniku.
Radna stanica korisnika	`VIP_MED_SSL`	TCP 443 (ako se koristi standardni port)	Uspostava TLS tunela za šifriranje toka koji prolazi kroz klijent CyberElements Bastion.
`IP_GW`	`VIP_MED_WEB`	TCP 443 (ako se koristi standardni port)	Kada se poslužitelj Edge Gateway nalazi u udaljenoj mreži. Povezivanje sa sustavom pairinga komponente Edge Gateway.
`IP_GW`	`VIP_MED_SSL`	TCP 443 (ako se koristi standardni port)	Kada se poslužitelj Edge Gateway nalazi u udaljenoj mreži. Povezivanje s komponentom SSL Router radi uspostave tunela TLSv1.3 i usmjeravanja komunikacije proizvoda kroz njega.

Izvor	Odredište	Odredišni port	Komentari
`RIP_MED_WEB_MASTER` `RIP_MED_WEB_SLAVE`	Repozitoriji sustava Debian	TCP 80	Potrebno za instalaciju ovisnosti proizvoda CyberElements Bastion i za održavanje sustava ažurnim. Dokumentacija i virtualni uređaji koriste `ftp.fr.debian.org` i `security.debian.org`.
`RIP_MED_WEB_MASTER` `RIP_MED_WEB_SLAVE`	`packages.microsoft.com`	TCP 443	Repozitorij tvrtke Microsoft za instalaciju i ažuriranje upravljačkih programa za MS SQL. Potrebno samo ako se želi pristup bazi podataka MS SQL (virtualni uređaji sadrže upravljačke programe za MS SQL).
`RIP_MED_WEB_MASTER` `RIP_MED_WEB_SLAVE`	NTP poslužitelj vremena	UDP 123	Neobavezno ako poslužitelj treba sinkronizirati svoj sat s poslužiteljem u DMZ-u. Prema zadanim postavkama koriste se skupovi poslužitelja Debian: `0.debian.pool.ntp.org`, `1.debian.pool.ntp.org`, `2.debian.pool.ntp.org` i `3.debian.pool.ntp.org`.
`RIP_MED_WEB_MASTER` `RIP_MED_WEB_SLAVE`	SMTP poslužitelj	TCP 25, 465, 587	Potrebno ako se za slanje e-pošte mora koristiti SMTP poslužitelj koji se nalazi u WAN-u.
`RIP_MED_WEB_MASTER` `RIP_MED_WEB_SLAVE`	DNS poslužitelj	UDP 53	Potrebno za DNS razrješavanje. Može se nalaziti u WAN-u ili DMZ-u.
`RIP_MED_WEB_MASTER` `RIP_MED_WEB_SLAVE`	`api.neomia.ai`	TCP 443	(Neobavezno) Povezivanje s API-jima MFA proizvoda koji koristi bihevioralnu biometriju Neomia Pulse.
`RIP_MED_WEB_MASTER` `RIP_MED_WEB_SLAVE`	EU: `keepersecurity.eu` US: `keepersecurity.com` AU: `keepersecurity.com.au` CA: `keepersecurity.ca` JP: `keepersecurity.jp`	TCP 443	(Neobavezno) Povezivanje s trezorom Keeper EPM ovisno o njegovoj lokaciji.

Izvor	Odredište	Odredišni port	Komentari
`RIP_MED_WEB_MASTER` `RIP_MED_WEB_SLAVE`	NTP poslužitelj vremena	UDP 123	Ako poslužitelj treba sinkronizirati svoj sat s poslužiteljem u DMZ-u.
`RIP_MED_WEB_MASTER` `RIP_MED_WEB_SLAVE`	SMTP poslužitelj	TCP 25, 465, 587	Potrebno ako se za slanje e-pošte mora koristiti SMTP poslužitelj koji se nalazi u DMZ-u.
`RIP_MED_WEB_MASTER` `RIP_MED_WEB_SLAVE`	Poslužitelj baze podataka	TCP 1433, 5432 ili bilo koji drugi prilagođeni port	Potrebno ako želite koristiti vanjsku bazu podataka koja se nalazi u DMZ-u.
`RIP_MED_WEB_MASTER` `RIP_MED_WEB_SLAVE`	DNS poslužitelj	UDP 53	Potrebno za DNS razrješavanje. Može se nalaziti u DMZ-u ili WAN-u.

Dodatne informacije

Poslužitelji Mediation Controller moraju moći međusobno komunicirati s bilo koje i na bilo koju od svojih adresa, bez obzira na protokol.

Izvor	Odredište	Odredišni port	Komentari
`IP_GW`	Repozitoriji sustava Debian	TCP 80	Potrebno za instalaciju ovisnosti proizvoda CyberElements Bastion i za održavanje sustava ažurnim. Dokumentacija i virtualni uređaji koriste `ftp.fr.debian.org` i `security.debian.org`.
`IP_GW`	DNS poslužitelj	UDP 53	Potrebno za DNS razrješavanje. Neobavezno ako je DNS poslužitelj dostupan u LAN-u ili DMZ-u.
`IP_GW`	NTP poslužitelj vremena	UDP 123	Neobavezno ako poslužitelj treba sinkronizirati svoj sat s poslužiteljem u LAN-u ili DMZ-u. Prema zadanim postavkama koriste se skupovi poslužitelja Debian: `0.debian.pool.ntp.org`, `1.debian.pool.ntp.org`, `2.debian.pool.ntp.org` i `3.debian.pool.ntp.org`.
`IP_GW`	Davatelj SMS usluga	TCP 443	(Neobavezno) Povezivanje s API-jima davatelja SMS usluga koje podržava CyberElements Bastion.

Izvor(i)	Odredište	Odredišni port	Komentari
`IP_GW` `IP_HTML5_GW`	`VIP_MED_WEB` `RIP_MED_WEB_MASTER` `RIP_MED_WEB_SLAVE`	TCP 443 (ako se koristi standardni port)	Povezivanje sa sustavom pairinga komponente Edge Gateway.
`IP_GW` `IP_HTML5_GW`	`VIP_MED_SSL` `RIP_MED_SSL_MASTER` `RIP_MED_SSL_SLAVE`	TCP 443 (ako se koristi standardni port)	Povezivanje s komponentom SSL Router radi uspostave tunela TLSv1.3 i usmjeravanja komunikacije proizvoda kroz njega.
Radna stanica klijenta	`VIP_MED_WEB` `RIP_MED_WEB_MASTER` `RIP_MED_WEB_SLAVE`	TCP 443 (ako se koristi standardni port)	Povezivanje s raznim web-konzolama proizvoda.
Radna stanica klijenta	`VIP_MED_SSL` `RIP_MED_SSL_MASTER` `RIP_MED_SSL_SLAVE`	TCP 443 (ako se koristi standardni port)	Uspostava TLS tunela za šifriranje toka koji prolazi kroz klijent CyberElements Bastion.
Radna stanica administratora	`RIP_MED_WEB_MASTER` `RIP_MED_WEB_SLAVE`	TCP 22	SSH veza s poslužiteljem Mediation Controller.

Izvor	Odredište	Odredišni port	Komentari
`IP_GW`	DNS poslužitelj	UDP 53	Potrebno za DNS razrješavanje. Neobavezno ako se koristi DNS poslužitelj u WAN-u ili DMZ-u.
`IP_GW`	LDAP ili AD poslužitelji	TCP 389 ili 636	Povezivanje proizvoda CyberElements Bastion s LDAP ili AD poslužiteljem.
`IP_GW`	AD poslužitelji	TCP 139 i 445	Rotacija lozinki AD računa, koristi se samo ako rotacija putem LDAPS-a nije moguća.
`IP_GW`	RDP poslužitelji	TCP/UDP 3389 (ako se koristi standardni port)	Povezivanje proizvoda CyberElements Bastion s RDP poslužiteljima.
`IP_GW`	SSH poslužitelji	TCP 22 (ako se koristi standardni port)	Povezivanje proizvoda CyberElements Bastion sa SSH poslužiteljima.
`IP_GW`	VNC poslužitelji	TCP 5900 (ako se koristi standardni port)	Povezivanje proizvoda CyberElements Bastion s VNC poslužiteljima.
`IP_GW`	Web-poslužitelji	TCP 80 ili 443 (ako se koristi standardni port)	Povezivanje proizvoda CyberElements Bastion s web-poslužiteljima.
`IP_GW`	Poslužitelji Citrix Storefront	TCP 443 (ako se koristi standardni port)	Povezivanje proizvoda CyberElements Bastion s poslužiteljima Citrix Storefront.
`IP_GW`	Poslužitelji aplikacija Citrix	TCP 1494	Povezivanje proizvoda CyberElements Bastion s poslužiteljima aplikacija Citrix (pokretanje aplikacije ili radne površine pomoću klijenta ICA).
`IP_GW`	Poslužitelji datoteka	TCP 139 i 445	Povezivanje proizvoda CyberElements Bastion s poslužiteljima datoteka.
`IP_GW`	Poslužitelj baze podataka	TCP 1433, 5432 ili bilo koji drugi prilagođeni port	Potrebno ako želite koristiti vanjsku bazu podataka koja se nalazi u LAN-u (na primjer, za prijenos baze podataka Vault).
`IP_GW`	RDP poslužitelji	TCP 139 i 445	Implementacija agenta za snimanje putem administracijske konzole.
Radna stanica klijenta	`IP_GW`	TCP [port koji definira administrator]	Veza izravnog SSH pristupa.
Radna stanica klijenta	`IP_GW`	TCP 3389	Veza izravnog RDP pristupa.
RDP poslužitelji	`IP_GW`	TCP 8443	Veza između agenta za snimanje i poslužitelja Edge Gateway za prijenos snimke korisničke sesije.
Radna stanica administratora	`IP_GW`	TCP 22	SSH veza s poslužiteljem Edge Gateway.

Baza podataka¶

CyberElements Bastion za svoj rad koristi različite baze podataka (BP).

Baza podataka konfiguracije sustava. Ta se baza podataka koristi za pohranu svih postavki administracijskog sučelja /system i mora se zvati default.

Pozor!

Bazu podataka default morate stvoriti prije povezivanja s proizvodom CyberElements Bastion (ne stvara se automatski).
Baza podataka konfiguracije organizacije. Svaka organizacija stvorena na poslužitelju Mediation Controller zahtijevat će zasebnu BP koja će sadržavati sve postavke i zapisnike organizacije.
Baza podataka Vault. Svaka stvorena organizacija pokreće stvaranje posebne BP za Vault proizvoda, koja se prema zadanim postavkama pohranjuje na poslužitelju Mediation Controller. Ta se baza podataka može izmjestiti u LAN pod uvjetom da joj poslužitelj Edge Gateway može pristupiti.

Kada se koriste vanjske baze podataka (uobičajeni slučaj u arhitekturi Cluster), podržane vrste baza podataka su:

PostgreSQL verzije 15 za sve 3 baze podataka.
Microsoft SQL Server i njegove podržane verzije bez proširene podrške za baze podataka konfiguracije organizacija i izmještanje baze podataka Vault.

Licenca¶

Poslužitelj Mediation Controller za rad zahtijeva licencu.
Licencu možete dobiti od tvrtke Systancia putem sljedećeg obrasca zahtjeva za licencu: Zatražite licencu

Certifikati¶

CyberElements Bastion upotrebljava TLS šifriranje za internu komunikaciju i HTTPS za zaštitu web-pristupa, što zahtijeva upotrebu različitih x509 certifikata. U nastavku su sažeto navedeni različiti potrebni certifikati, njihova namjena i minimalne postavke.

Sigurnosno ograničenje certifikata

Bez obzira na korišteni certifikat, provjerite je li u skladu s razinom sigurnosti 2 biblioteke OpenSSL, koja se može sažeti na sljedeći način:

Certifikat i certifikati njegovih certifikacijskih tijela moraju imati privatni ključ od najmanje 2048 bitova sa šifriranjem RSA, DSA i DH; ključevi eliptičke krivulje (ECC) moraju imati najmanje 224 bita.
Potpis certifikata ne smije biti MD5 ni SHA-1 (preporučuje se SHA-512).

Poslužitelj Mediation ControllerPoslužitelj Edge GatewayPoslužitelj HTML5 GatewayAgent za snimanje u izravnom pristupu

Taj poslužitelj koristi pet različitih certifikata:

Web-certifikat za omogućivanje HTTPS-a.
Certifikat za komponentu SSL Router odgovornu za uspostavu TLS tunela i usmjeravanje prometa između njih.
Certifikat za komponentu Watchdog odgovornu za praćenje ispravnog rada komponente SSL Router.
Certifikat za klijent CyberElements Bastion koji mu omogućuje povezivanje s komponentom SSL Router i uspostavu tunela TLSv1.3.
Certifikat za razmjene između poslužitelja Mediation Controller (samo za poslužitelj SLAVE).

Web-certifikat

Preporuka

Web-certifikat bi po mogućnosti trebalo izdati javno certifikacijsko tijelo (CA) koje je priznato kao pouzdano.
Time se osigurava da korisnici bez ikakve dodatne radnje ne primaju nikakve alarme povezane s korištenim certifikatom (pod uvjetom da je valjan i da obuhvaća naziv s kojim je korisnik pokrenuo vezu). Upotreba certifikata koji je izdala interna infrastruktura PKI zahtijeva implementaciju certifikata CA-a na korisničkim radnim stanicama.

Web-certifikat mora ispunjavati sljedeća ograničenja za svoje atribute:

Razdoblje valjanosti certifikata ne smije premašiti 398 dana (13 mjeseci).
Funkcija raspršivanja koja se koristi za potpis mora pripadati obitelji SHA-2; preporučujemo SHA-512.
Certifikat i certifikati njegovih certifikacijskih tijela moraju imati privatni ključ od najmanje 2048 bitova sa šifriranjem RSA, DSA i DH; ključevi eliptičke krivulje (ECC) moraju imati najmanje 224 bita. Preporučujemo veličinu od 4096 bitova za RSA i krivulju ECDSA secp384r1 veličine 384 bita.
Vrijednost atributa Common Name mora biti DNS naziv (ili naziv sa zamjenskim znakom) za koji je certifikat namijenjen.
Atribut Key Usage mora imati vrijednosti critical, digitalSignature i keyEncipherment.
Atribut Extended Key Usage mora imati vrijednost id-kp-serverAuth (OpenSSL koristi vrijednost serverAuth).
Atribut Subject Alternative Name mora sadržavati barem jedan unos koji odgovara primarnom DNS nazivu; mogu se dodati i drugi unosi kako bi se obuhvatili drugi DNS nazivi ili IP adrese.

Prihvaćeni format certifikata: P12 ili PEM (s dvije datoteke, jednom za certifikat i jednom za privatni ključ).

Certifikat komponente SSL Router

Certifikat SSL Router mora ispunjavati sljedeća ograničenja za svoje atribute:

Razdoblje valjanosti certifikata ne smije premašiti 1095 dana (3 godine).
Funkcija raspršivanja koja se koristi za potpis mora pripadati obitelji SHA-2; preporučujemo SHA-512.
Certifikat i certifikati njegovih certifikacijskih tijela moraju imati privatni ključ od najmanje 2048 bitova sa šifriranjem RSA, DSA i DH; ključevi eliptičke krivulje (ECC) moraju imati najmanje 224 bita. Preporučujemo veličinu od 4096 bitova za RSA i krivulju ECDSA secp384r1 veličine 384 bita.
Vrijednost atributa Common Name mora biti IP adresa ili DNS naziv koji preusmjerava na IP_MED_SSL.
Atribut Key Usage mora imati vrijednosti critical, digitalSignature i keyEncipherment.
Atribut Extended Key Usage mora imati vrijednost serverAuth.

Prihvaćeni format certifikata: P12.

Certifikat komponente Watchdog

Certifikat Watchdog mora ispunjavati sljedeća ograničenja za svoje atribute:

Razdoblje valjanosti certifikata ne smije premašiti 1095 dana (3 godine).
Funkcija raspršivanja koja se koristi za potpis mora pripadati obitelji SHA-2; preporučujemo SHA-512.
Certifikat i certifikati njegovih certifikacijskih tijela moraju imati privatni ključ od najmanje 2048 bitova sa šifriranjem RSA, DSA i DH; ključevi eliptičke krivulje (ECC) moraju imati najmanje 224 bita. Preporučujemo veličinu od 4096 bitova za RSA i krivulju ECDSA secp384r1 veličine 384 bita.
Atribut Common Name mora kao vrijednost imati identifikacijski naziv za Watchdog, primjerice „Watchdog“.
Atribut Key Usage mora imati vrijednosti critical i digitalSignature.
Atribut Extended Key Usage mora imati vrijednost clientAuth.

Prihvaćeni format certifikata: P12.

Certifikat klijenta CyberElements Bastion

Certifikat klijenta CyberElements Bastion mora ispunjavati sljedeća ograničenja za svoje atribute:

Razdoblje valjanosti certifikata ne smije premašiti 1095 dana (3 godine).
Funkcija raspršivanja koja se koristi za potpis mora pripadati obitelji SHA-2; preporučujemo SHA-512.
Certifikat i certifikati njegovih certifikacijskih tijela moraju imati privatni ključ od najmanje 2048 bitova sa šifriranjem RSA, DSA i DH; ključevi eliptičke krivulje (ECC) moraju imati najmanje 224 bita. Preporučujemo veličinu od 4096 bitova za RSA i krivulju ECDSA secp384r1 veličine 384 bita.
Atribut Common Name mora kao vrijednost imati identifikacijski naziv klijenta, primjerice „cyberelements-cleanroom-client“.
Atribut Key Usage mora imati vrijednosti critical i digitalSignature.
Atribut Extended Key Usage mora imati vrijednost clientAuth.

Prihvaćeni format certifikata: P12 s lozinkom od najmanje 8 alfanumeričkih znakova (posebni znakovi, slova s dijakritičkim znakovima i crtice nisu podržani).

Međuposlužiteljski certifikat

Međuposlužiteljski certifikat rješenja CyberElements Bastion mora ispunjavati sljedeća ograničenja za svoje atribute:

Razdoblje valjanosti certifikata ne smije premašiti 1095 dana (3 godine).
Funkcija raspršivanja koja se koristi za potpis mora pripadati obitelji SHA-2; preporučujemo SHA-512.
Certifikat i certifikati njegovih certifikacijskih tijela moraju imati privatni ključ od najmanje 2048 bitova sa šifriranjem RSA, DSA i DH; ključevi eliptičke krivulje (ECC) moraju imati najmanje 224 bita. Preporučujemo veličinu od 4096 bitova za RSA i krivulju ECDSA secp384r1 veličine 384 bita.
Atribut Common Name mora kao vrijednost imati identifikacijski naziv, primjerice „interserver-cleanroom“.
Atribut Key Usage mora imati vrijednosti critical i digitalSignature.
Atribut Extended Key Usage mora imati vrijednost clientAuth.

Prihvaćeni format certifikata: P12 s lozinkom od najmanje 8 znakova bez posebnih znakova.

Taj poslužitelj koristi dva različita certifikata:

Certifikat za provjeru autentičnosti komponente Edge Gateway prema komponenti SSL Router.
Certifikat za uslugu snimanja kako bi se agenti za snimanje mogli povezati s njom.

Informacije

Poslužitelj Edge Gateway može imati više instanci Edge Gateway, što zahtijeva onoliko certifikata koliko ima instanci Edge Gateway (osim u posebnom slučaju klasterske arhitekture).

Međutim, poslužitelj Edge Gateway ima samo jednu uslugu snimanja, pa će biti potreban samo jedan certifikat po računalu.

Certifikat komponente Edge Gateway

Certifikat poslužitelja Edge Gateway mora ispunjavati sljedeća ograničenja za svoje atribute:

Razdoblje valjanosti certifikata ne smije premašiti 1095 dana (3 godine).
Funkcija raspršivanja koja se koristi za potpis mora pripadati obitelji SHA-2; preporučujemo SHA-512.
Certifikat i certifikati njegovih certifikacijskih tijela moraju imati privatni ključ od najmanje 2048 bitova sa šifriranjem RSA, DSA i DH; ključevi eliptičke krivulje (ECC) moraju imati najmanje 224 bita. Preporučujemo veličinu od 4096 bitova za RSA i krivulju ECDSA secp384r1 veličine 384 bita.
Atribut Common Name mora imati vrijednost koja identificira logičku komponentu Edge Gateway. Taj naziv ima sljedeći oblik <GW_NAME>@<ORGANIZATION_NAME>, gdje <GW_NAME> odgovara nazivu komponente Edge Gateway (kako je unesen u administracijskoj konzoli), a <ORGANIZATION_NAME> odgovara nazivu organizacije s kojom će se komponenta Edge Gateway povezati.
Atribut Key Usage mora imati vrijednosti critical i digitalSignature.
Atribut Extended Key Usage mora imati vrijednost clientAuth.

Prihvaćeni format certifikata: P12.

Certifikat usluge snimanja

Certifikat usluge snimanja mora zadovoljavati sljedeća ograničenja za svoje atribute:

Razdoblje valjanosti certifikata ne smije premašiti 1095 dana (3 godine).
Funkcija raspršivanja koja se koristi za potpis mora pripadati obitelji SHA-2; preporučujemo SHA-512.
Certifikat i certifikati njegovih certifikacijskih tijela moraju imati privatni ključ od najmanje 2048 bitova sa šifriranjem RSA, DSA i DH; ključevi eliptičke krivulje (ECC) moraju imati najmanje 224 bita. Preporučujemo veličinu od 4096 bitova za RSA i krivulju ECDSA secp384r1 veličine 384 bita.
Vrijednost atributa Common Name mora biti FQDN naziv ili barem naziv računala s komponentom Edge Gateway.
Atribut Key Usage mora imati vrijednosti critical, digitalSignature i keyEncipherment.
Atribut Extended Key Usage mora imati vrijednost serverAuth.

Prihvaćeni format certifikata: P12.

Taj poslužitelj koristi jedan certifikat: onaj za provjeru autentičnosti komponente HTML5 Gateway prema komponenti SSL Router.

Informacije

Poslužitelj HTML5 Gateway može imati više instanci HTML5 Gateway, što zahtijeva onoliko certifikata koliko ima instanci HTML5 Gateway (osim u posebnom slučaju klasterske arhitekture).

Certifikat komponente HTML5 Gateway

Certifikat komponente HTML5 Gateway mora zadovoljavati sljedeća ograničenja za svoje atribute:

Razdoblje valjanosti certifikata ne smije premašiti 1095 dana (3 godine).
Funkcija raspršivanja koja se koristi za potpis mora pripadati obitelji SHA-2; preporučujemo SHA-512.
Certifikat i certifikati njegovih certifikacijskih tijela moraju imati privatni ključ od najmanje 2048 bitova sa šifriranjem RSA, DSA i DH; ključevi eliptičke krivulje (ECC) moraju imati najmanje 224 bita. Preporučujemo veličinu od 4096 bitova za RSA i krivulju ECDSA secp384r1 veličine 384 bita.
Atribut Common Name mora imati vrijednost koja identificira logičku komponentu Edge Gateway. Taj naziv ima sljedeći oblik <HTML5_GW_NAME>@<ORGANIZATION_NAME>, gdje <HTML5_GW_NAME> odgovara nazivu komponente Edge Gateway (kako je unesen u administracijskoj konzoli), a <ORGANIZATION_NAME> odgovara nazivu organizacije s kojom će se komponenta Edge Gateway povezati.
Atribut Key Usage mora imati vrijednosti critical i digitalSignature.
Atribut Extended Key Usage mora imati vrijednost clientAuth.

Prihvaćeni format certifikata: P12.

Za rad u načinu izravnog pristupa agent za snimanje u izravnom pristupu koristi certifikat za provjeru autentičnosti prema usluzi snimanja poslužitelja Edge Gateway.

Certifikat mora zadovoljavati sljedeća ograničenja za svoje atribute:

Razdoblje valjanosti certifikata ne smije premašiti 1095 dana (3 godine).
Funkcija raspršivanja koja se koristi za potpis mora pripadati obitelji SHA-2; preporučujemo SHA-512.
Certifikat i certifikati njegovih certifikacijskih tijela moraju imati privatni ključ od najmanje 2048 bitova sa šifriranjem RSA, DSA i DH; ključevi eliptičke krivulje (ECC) moraju imati najmanje 224 bita. Preporučujemo veličinu od 4096 bitova za RSA i krivulju ECDSA secp384r1 veličine 384 bita.
Atribut Common Name mora imati vrijednost koja je kratki naziv, FQDN ili bilo koji drugi naziv koji jednoznačno identificira računalo. Taj se naziv koristi za identifikaciju i praćenje radnji izvršenih na računalu.
Atribut Key Usage mora imati vrijednosti critical i digitalSignature.
Atribut Extended Key Usage mora imati vrijednost clientAuth.

Prihvaćeni format certifikata: P12.