Preduvjeti za platformu CyberElements Bastion Standalone¶

Računalo¶

Za instalaciju rješenja CyberElements Bastion mogu se upotrebljavati i fizička i virtualna računala.
Proizvod ne izvodi nikakvu virtualizaciju, pa za virtualna računala nije potrebno omogućiti mogućnost ugniježđene virtualizacije.

OS¶

CyberElements Bastion radi na 64-bitnim računalima sa sustavom Debian 12 (Bookworm).
Preporučuje se koristiti računala bez grafičkog sučelja i ograničiti instalirane komponente na poslužitelj SSH.

CPU¶

Procesor s 4 jezgre pokrit će većinu slučajeva upotrebe proizvoda.

RAM¶

Pozor

Vrijednosti RAM-a navedene u nastavku samo su okvirne jer postoji mnogo varijabli koje mogu utjecati na potrošnju RAM-a (korištene značajke proizvoda ili elementi instalirani na računalu paralelno s proizvodom).

Poslužitelj Mediation ControllerPoslužitelj Edge GatewayPoslužitelj HTML5 Gateway

Potrošnja RAM-a općenito ovisi o broju istodobnih korisnika koje platforma može prihvatiti:

Između 1 i 5 istodobnih korisnika: najmanje 2 GB RAM-a, preporučeno 4 GB.
Između 5 i 20 istodobnih korisnika: najmanje 4 GB RAM-a.
Za 20 ili više istodobnih korisnika: najmanje 8 GB RAM-a.

Potrošnja RAM-a ovisi o broju istodobnih sesija i o vrstama aplikacija koje se koriste.

Uobičajene vrijednosti su sljedeće:

Između 1 i 5 istodobnih korisnika: najmanje 2 GB RAM-a, preporučeno 4 GB.
Između 5 i 20 istodobnih korisnika: najmanje 4 GB RAM-a.
Za 20 ili više istodobnih korisnika: 8 GB RAM-a.

Imajte na umu da aplikacija RDP ili VNC bez agenta može potrošiti do 400 MB po pokrenutoj aplikaciji.
Kada se takve vrste aplikacija intenzivno koriste, preporučuje se nadzirati potrošnju RAM-a kako bi se njegova veličina mogla odgovarajuće prilagoditi.

Potrošnja RAM-a ovisi o broju istodobno otvorenih aplikacija HTML5.

Osnovni poslužitelj mora imati 2 GB za rad sustava, plus 50 MB po istodobnoj aplikaciji HTML5.

Ako je uloga HTML5 Gateway kombinirana s poslužiteljem Edge Gateway, preporučenoj količini RAM-a za poslužitelj Edge Gateway dodajte 50 MB po istodobnoj aplikaciji HTML5.

Disk¶

Preporučujemo particioniranje diska pomoću LVM-a radi veće fleksibilnosti ako tijekom upotrebe bude potrebno promijeniti veličinu računala.

Različite vrste poslužitelja imaju različite obrasce korištenja diska, s volumenima koji se također razlikuju. U nastavku su informacije prema vrsti poslužitelja:

Poslužitelj Mediation ControllerPoslužitelj Edge GatewayPoslužitelj HTML5 Gateway

Na ovom će poslužitelju rasti volumen sljedećih direktorija:

/var/log/: direktorij koji sadrži različite zapisnike sustava.
/var/lib/postgresql/15/main/: direktorij koji sadrži podatke lokalne baze podataka.
/var/ipdiva/: direktorij koji sadrži podatke specifične za proizvod.

Izoliranje različitih direktorija na zasebne particije nije obavezno, ali se preporučuje. Možete slijediti ove upute:

Točka montiranja	Opcije	Najmanja veličina (GB)
`/boot`	nosuid,nodev,noexec	1
`/opt`	nosuid,nodev	1
`/tmp`	nosuid,nodev	4
`/srv`	nosuid,nodev	1
`/home`	nosuid,nodev,noexec	6
`/usr`	nodev	6
`/var`	nosuid	5
`/var/log`	nosuid,nodev,noexec	5
`/var/tmp`	nosuid,nodev,noexec	2
`swap`	Bez opcija	Ovisno o RAM-u (upola manje)
`/`	Bez opcija	2 GB ili više, ovisno o dostupnom prostoru na disku

Primjer

Za poslužitelj s 4 GB RAM-a (koji zahtijeva 2 GB za swap) potreban prostor na disku uz prethodno particioniranje iznosi najmanje 35 GB.

Na ovom će se poslužitelju povećavati volumen sljedećih direktorija:

/var/log/: direktorij koji sadrži različite zapisnike sustava.
/var/lib/ipdiva/carerecord/recording/: direktorij koji sadrži arhive koje se trenutačno snimaju; riječ je dakle o direktoriju za privremenu pohranu.
/var/lib/ipdiva/carerecord/archives/: zadani direktorij koji sadrži grafičke arhive proizvoda.
/var/ipdiva/care/sshrecord/: zadani direktorij koji sadrži negrafičke (SSH) arhive proizvoda.

Izoliranje različitih direktorija na zasebne particije nije obavezno, ali se preporučuje. Možete slijediti ove upute:

Točka montiranja	Opcije	Najmanja veličina (GB)
`/boot`	nosuid,nodev,noexec	1
`/opt`	nosuid,nodev	1
`/tmp`	nosuid,nodev	4
`/srv`	nosuid,nodev	1
`/home`	nosuid,nodev,noexec	6
`/usr`	nodev	6
`/var`	nosuid,nodev	5
`/var/log`	nosuid,nodev,noexec	5
`/var/tmp`	nosuid,nodev,noexec	2
`swap`	Bez opcija	Ovisno o RAM-u (upola manje)
`/`	Bez opcija	2 GB ili više, ovisno o dostupnom prostoru na disku

Primjer

Za poslužitelj s 4 GB RAM-a (koji zahtijeva 2 GB za swap) potreban prostor na disku uz prethodno particioniranje iznosi najmanje 35 GB.

Međutim, izričito se preporučuje dodijeliti više prostora na disku za privremene ili dugoročne grafičke arhive na točki montiranja /var, osim ako su arhive izdvojene na vanjsku pohranu.

Na ovom će poslužitelju rasti volumen sljedećih direktorija:

/var/log/: direktorij koji sadrži različite zapisnike sustava.
/home/systanciahtml5share/: direktorij za privremenu pohranu datoteka koje se razmjenjuju s aplikacijama HTML5.

Izoliranje različitih direktorija na zasebne particije nije obavezno, ali se preporučuje. Možete slijediti ove upute:

Točka montiranja	Opcije	Najmanja veličina (GB)
`/boot`	nosuid,nodev,noexec	1
`/opt`	nosuid,nodev	1
`/tmp`	nosuid,nodev	4
`/srv`	nosuid,nodev	1
`/home`	nosuid,nodev,noexec	6
`/usr`	nodev	6
`/var`	nosuid,nodev	5
`/var/log`	nosuid,nodev,noexec	5
`/var/tmp`	nosuid,nodev,noexec	2
`swap`	Bez opcija	Ovisno o RAM-u (upola manje)
`/`	Bez opcija	2 GB ili više, ovisno o dostupnom prostoru na disku

Primjer

Za poslužitelj s 4 GB RAM-a (koji zahtijeva 2 GB za swap) potreban prostor na disku uz prethodno particioniranje iznosi najmanje 35 GB.

Mreža¶

Platforma CyberElements Bastion Standalone zahtijevat će:

2 IP adrese za poslužitelj Mediation Controller (na istom mrežnom sučelju)
1 IP adresa po računalu Edge Gateway ili HTML5 Gateway

Poslužitelj Mediation Controller obično se smješta u zonu DMZ, ali može se smjestiti i u privatnu zonu DMZ ili hostirati u javnom oblaku. To će ovisiti o slučaju upotrebe platforme (na primjer: udaljeni pristup za davatelje usluga ili zaštita internog pristupa zaštićenim zonama).

Poslužitelji Edge Gateway obično se smještaju u LAN, u VLAN-ove koji im omogućuju komunikaciju s ciljnim resursima.

Poslužitelji HTML5 Gateway mogu se smjestiti u mrežu LAN ili u zonu DMZ. Ova dokumentacija predviđa instalaciju komponente HTML5 Gateway na poslužitelju Edge Gateway, odnosno u mreži LAN.

Kako bi se lakše prepoznale različite adrese računala, u dokumentaciji će se nazivati na sljedeći način:

Naziv IP adrese	Značenje
`IP_MED_WEB`	Primarna IP adresa poslužitelja Mediation Controller koja omogućuje pristup web-konzolama.
`IP_MED_SSL`	Druga IP adresa poslužitelja Mediation Controller koju koristi komponenta SSL Router.
`IP_GW`	IP adresa poslužitelja Edge Gateway.
`IP_HTML5_GW`	IP adresa poslužitelja HTML5 Gateway.

Informacije

Prikazane informacije o tokovima pretpostavljaju da se poslužitelj Mediation Controller nalazi u zoni DMZ te da se poslužitelj Edge Gateway, koji ima i ulogu poslužitelja HTML5 Gateway, nalazi u mreži LAN.

Tok iz WAN-a u DMZTok iz DMZ-a u WANTok iz DMZ-a u DMZTok iz LAN-a u WANTok iz LAN-a u DMZTok iz LAN-a u LAN

IP adrese poslužitelja Mediation Controller mogu biti javne IP adrese izravno dodijeljene poslužitelju Mediation Controller ili javne IP adrese koje se NAT-om prevode u privatne IP adrese (preporučeno).

Izvor	Odredište	Odredišni port	Komentari
Radna stanica korisnika	`IP_MED_WEB`	TCP 443 (ako se koristi standardni priključak)	Omogućuje pristup web-konzolama i aplikacijama koje se izvode izravno u pregledniku.
Radna stanica korisnika	`IP_MED_SSL`	TCP 443 (ako se koristi standardni priključak)	Uspostavlja tunel TLS za šifriranje toka koji prolazi kroz klijent CyberElements Bastion.
`IP_GW`	`IP_MED_WEB`	TCP 443 (ako se koristi standardni priključak)	Kada se komponenta Edge Gateway nalazi u udaljenoj mreži. Povezivanje sa sustavom pairinga komponente Edge Gateway.
`IP_GW`	`IP_MED_SSL`	TCP 443 (ako se koristi standardni priključak)	Kada se komponenta Edge Gateway nalazi u udaljenoj mreži. Povezivanje s komponentom SSL Router radi uspostave tunela TLSv1.3 i usmjeravanja komunikacije proizvoda kroz njega.

Izvor	Odredište	Odredišni port	Komentari
`IP_MED_WEB`	Repozitoriji za Debian	TCP 80	Potrebno za instalaciju ovisnosti platforme CyberElements Bastion i ažuriranje sustava. Dokumentacija i virtualni uređaji koriste `ftp.fr.debian.org` i `security.debian.org`.
`IP_MED_WEB`	`packages.microsoft.com`	TCP 443	Repozitorij tvrtke Microsoft za instalaciju i ažuriranje upravljačkih programa za MS SQL. Potrebno samo ako se želi pristup bazi podataka MS SQL (virtualni uređaji sadrže upravljačke programe za MS SQL).
`IP_MED_WEB`	Poslužitelj vremena NTP	UDP 123	Neobavezno, ako poslužitelj mora sinkronizirati sat s poslužiteljem u zoni DMZ. Prema zadanim postavkama koriste se skupovi poslužitelja za Debian: `0.debian.pool.ntp.org`, `1.debian.pool.ntp.org`, `2.debian.pool.ntp.org` i `3.debian.pool.ntp.org`.
`IP_MED_WEB`	Poslužitelj SMTP	TCP 25, 465, 587	Potrebno ako se za slanje poruka e-pošte mora koristiti poslužitelj SMTP koji se nalazi u mreži WAN.
`IP_MED_WEB`	Poslužitelj DNS	UDP 53	Potrebno za razlučivanje DNS naziva. Može se nalaziti u mreži WAN ili u zoni DMZ.
`IP_MED_WEB`	`api.neomia.ai`	TCP 443	(Neobavezno) Povezivanje sa sučeljima API proizvoda za MFA s bihevioralnom biometrijom Neomia Pulse.
`IP_MED_WEB`	EU: `keepersecurity.eu` US: `keepersecurity.com` AU: `keepersecurity.com.au` CA: `keepersecurity.ca` JP: `keepersecurity.jp`	TCP 443	(Neobavezno) Povezivanje s trezorom Keeper EPM ovisno o njegovoj lokaciji.

Izvor	Odredište	Odredišni port	Komentari
`IP_MED_WEB`	Poslužitelj vremena NTP	UDP 123	Ako poslužitelj mora sinkronizirati sat s poslužiteljem u zoni DMZ.
`IP_MED_WEB`	Poslužitelj SMTP	TCP 25, 465, 587	Potrebno ako se za slanje poruka e-pošte mora koristiti poslužitelj SMTP koji se nalazi u zoni DMZ.
`IP_MED_WEB`	Poslužitelj baze podataka	TCP 1433, 5432 ili bilo koji drugi prilagođeni priključak	Potrebno ako želite upotrebljavati vanjsku bazu podataka koja se nalazi u zoni DMZ.
`IP_MED_WEB`	Poslužitelj DNS	UDP 53	Potrebno za razlučivanje DNS naziva. Može se nalaziti u zoni DMZ ili u mreži WAN.

Izvor	Odredište	Odredišni port	Komentari
`IP_GW`	Repozitoriji za Debian	TCP 80	Potrebno za instalaciju ovisnosti platforme CyberElements Bastion i ažuriranje sustava. Dokumentacija i virtualni uređaji koriste `ftp.fr.debian.org` i `security.debian.org`.
`IP_GW`	DNS poslužitelj	UDP 53	Potrebno za DNS razrješavanje. Neobavezno ako je DNS poslužitelj dostupan u LAN-u ili DMZ-u.
`IP_GW`	NTP poslužitelj vremena	UDP 123	Neobavezno ako poslužitelj treba sinkronizirati svoj sat s poslužiteljem u LAN-u ili DMZ-u. Prema zadanim postavkama koriste se skupovi poslužitelja Debian: `0.debian.pool.ntp.org`, `1.debian.pool.ntp.org`, `2.debian.pool.ntp.org` i `3.debian.pool.ntp.org`.
`IP_GW`	Davatelj SMS usluga	TCP 443	(Neobavezno) Povezivanje s API-jima davatelja SMS usluga koje podržava CyberElements Bastion.

Izvori	Odredišta	Odredišni priključak	Komentari
`IP_GW` `IP_HTML5_GW`	`IP_MED_WEB`	TCP 443 (ako se koristi standardni priključak)	Povezivanje sa sustavom pairinga komponente Edge Gateway.
`IP_GW` `IP_HTML5_GW`	`IP_MED_SSL`	TCP 443 (ako se koristi standardni priključak)	Povezivanje s komponentom SSL Router radi uspostave tunela TLSv1.3 i usmjeravanja komunikacije proizvoda kroz njega.
Radna stanica klijenta	`IP_MED_WEB`	TCP 443 (ako se koristi standardni priključak)	Povezivanje s raznim web-konzolama proizvoda.
Radna stanica klijenta	`IP_MED_SSL`	TCP 443 (ako se koristi standardni priključak)	Uspostavlja tunel TLS za šifriranje toka koji prolazi kroz klijent CyberElements Bastion.
Radna stanica administratora	`IP_MED_WEB`	TCP 22	Veza SSH s poslužiteljem Mediation Controller.

Izvor	Odredište	Odredišni port	Komentari
`IP_GW`	Poslužitelj DNS	UDP 53	Potrebno za razlučivanje DNS naziva. Neobavezno ako se koristi poslužitelj DNS u mreži WAN ili zoni DMZ.
`IP_GW`	Poslužitelji LDAP ili AD	TCP 389 ili 636	Povezivanje platforme CyberElements Bastion s poslužiteljem LDAP ili AD.
`IP_GW`	Poslužitelji AD	TCP 139 i 445	Rotacija lozinki računa AD; koristi se samo ako rotacija putem protokola LDAPS nije moguća.
`IP_GW`	Poslužitelji RDP	TCP/UDP 3389 (ako se koristi standardni priključak)	Povezivanje platforme CyberElements Bastion s poslužiteljima RDP.
`IP_GW`	SSH poslužitelji	TCP 22 (ako se koristi standardni port)	Povezivanje proizvoda CyberElements Bastion sa SSH poslužiteljima.
`IP_GW`	VNC poslužitelji	TCP 5900 (ako se koristi standardni port)	Povezivanje proizvoda CyberElements Bastion s VNC poslužiteljima.
`IP_GW`	Web-poslužitelji	TCP 80 ili 443 (ako se koristi standardni priključak)	Povezivanje platforme CyberElements Bastion s web-poslužiteljima.
`IP_GW`	Poslužitelji Citrix Storefront	TCP 443 (ako se koristi standardni port)	Povezivanje proizvoda CyberElements Bastion s poslužiteljima Citrix Storefront.
`IP_GW`	Poslužitelji aplikacija Citrix	TCP 1494	Povezivanje proizvoda CyberElements Bastion s poslužiteljima aplikacija Citrix (pokretanje aplikacije ili radne površine pomoću klijenta ICA).
`IP_GW`	Poslužitelji datoteka	TCP 139 i 445	Povezivanje proizvoda CyberElements Bastion s poslužiteljima datoteka.
`IP_GW`	Poslužitelj baze podataka	TCP 1433, 5432 ili bilo koji drugi prilagođeni port	Potrebno ako želite koristiti vanjsku bazu podataka koja se nalazi u LAN-u (na primjer, za prijenos baze podataka Vault).
`IP_GW`	RDP poslužitelji	TCP 139 i 445	Implementacija agenta za snimanje putem administracijske konzole.
Radna stanica klijenta	`IP_GW`	TCP [port koji definira administrator]	Veza izravnog SSH pristupa.
Radna stanica klijenta	`IP_GW`	TCP 3389	Veza izravnog RDP pristupa.
RDP poslužitelji	`IP_GW`	TCP 8443	Veza između agenta za snimanje i poslužitelja Edge Gateway za prijenos snimke korisničke sesije.
Radna stanica administratora	`IP_GW`	TCP 22	SSH veza s poslužiteljem Edge Gateway.

Baza podataka¶

CyberElements Bastion za svoj rad koristi različite baze podataka (BP).

Baza podataka konfiguracije sustava. Ta se baza podataka koristi za pohranu svih postavki administratorskog sučelja /system. U instalaciji Standalone tu bazu podataka stvara proizvod i izravno njome upravlja pomoću poslužitelja PostgreSQL instaliranog na poslužitelju Mediation Controller.
Baza podataka konfiguracije organizacije. Svaka organizacija stvorena na poslužitelju Mediation Controller zahtijevat će zasebnu bazu podataka koja sadrži sve postavke i zapisnike organizacije. Ta se baza podataka obično hostira na poslužitelju Mediation Controller i u njegovoj lokalnoj bazi podataka PostgreSQL, ali može se premjestiti i u zonu DMZ ili mrežu LAN.
Baza podataka Vault. Svaka stvorena organizacija pokreće stvaranje zasebne baze podataka za Vault proizvoda, koja se prema zadanim postavkama pohranjuje na poslužitelju Mediation Controller. Ta se baza podataka može izmjestiti u mrežu LAN pod uvjetom da joj komponenta Edge Gateway može pristupiti.

Pri upotrebi vanjskih baza podataka podržane su sljedeće vrste baza podataka:

PostgreSQL verzije 15
Microsoft SQL Server i njegove podržane verzije bez proširene podrške

Licenca¶

Poslužitelj Mediation Controller za rad zahtijeva licencu.
Licencu možete dobiti od tvrtke Systancia putem sljedećeg obrasca zahtjeva za licencu: Zatražite licencu

Certifikati¶

CyberElements Bastion upotrebljava TLS šifriranje za internu komunikaciju i HTTPS za zaštitu web-pristupa, što zahtijeva upotrebu različitih x509 certifikata. U nastavku su sažeto navedeni različiti potrebni certifikati, njihova namjena i minimalne postavke.

Sigurnosno ograničenje certifikata

Bez obzira na korišteni certifikat, provjerite je li u skladu s razinom sigurnosti 2 biblioteke OpenSSL, koja se može sažeti na sljedeći način:

Certifikat i certifikati njegovih certifikacijskih tijela moraju imati privatni ključ od najmanje 2048 bitova sa šifriranjem RSA, DSA i DH; ključevi eliptičke krivulje (ECC) moraju imati najmanje 224 bita.
Potpis certifikata ne smije biti MD5 ni SHA-1 (preporučuje se SHA-512).

Poslužitelj Mediation ControllerPoslužitelj Edge GatewayPoslužitelj HTML5 GatewayAgent za snimanje u izravnom pristupu

Ovaj poslužitelj koristi četiri različita certifikata:

Web-certifikat za omogućivanje HTTPS-a.
Certifikat za komponentu SSL Router odgovornu za uspostavu TLS tunela i usmjeravanje prometa između njih.
Certifikat za komponentu Watchdog odgovornu za praćenje ispravnog rada komponente SSL Router.
Certifikat za klijent CyberElements Bastion koji mu omogućuje povezivanje s komponentom SSL Router i uspostavu tunela TLSv1.3.

Web-certifikat

Preporuka

Web-certifikat bi po mogućnosti trebalo izdati javno certifikacijsko tijelo (CA) koje je priznato kao pouzdano.
Time se osigurava da korisnici bez ikakve dodatne radnje ne primaju nikakve alarme povezane s korištenim certifikatom (pod uvjetom da je valjan i da obuhvaća naziv s kojim je korisnik pokrenuo vezu). Upotreba certifikata koji je izdala interna infrastruktura PKI zahtijeva implementaciju certifikata CA-a na korisničkim radnim stanicama.

Web-certifikat mora ispunjavati sljedeća ograničenja za svoje atribute:

Razdoblje valjanosti certifikata ne smije premašiti 398 dana (13 mjeseci).
Funkcija raspršivanja koja se koristi za potpis mora pripadati obitelji SHA-2; preporučujemo SHA-512.
Certifikat i certifikati njegovih certifikacijskih tijela moraju imati privatni ključ od najmanje 2048 bitova sa šifriranjem RSA, DSA i DH; ključevi eliptičke krivulje (ECC) moraju imati najmanje 224 bita. Preporučujemo veličinu od 4096 bitova za RSA i krivulju ECDSA secp384r1 veličine 384 bita.
Vrijednost atributa Common Name mora biti DNS naziv (ili naziv sa zamjenskim znakom) za koji je certifikat namijenjen.
Atribut Key Usage mora imati vrijednosti critical, digitalSignature i keyEncipherment.
Atribut Extended Key Usage mora imati vrijednost id-kp-serverAuth (OpenSSL koristi vrijednost serverAuth).
Atribut Subject Alternative Name mora sadržavati barem jedan unos koji odgovara primarnom DNS nazivu; mogu se dodati i drugi unosi kako bi se obuhvatili drugi DNS nazivi ili IP adrese.

Prihvaćeni format certifikata: P12 ili PEM (s dvije datoteke, jednom za certifikat i jednom za privatni ključ).

Certifikat komponente SSL Router

Certifikat SSL Router mora ispunjavati sljedeća ograničenja za svoje atribute:

Razdoblje valjanosti certifikata ne smije premašiti 1095 dana (3 godine).
Funkcija raspršivanja koja se koristi za potpis mora pripadati obitelji SHA-2; preporučujemo SHA-512.
Certifikat i certifikati njegovih certifikacijskih tijela moraju imati privatni ključ od najmanje 2048 bitova sa šifriranjem RSA, DSA i DH; ključevi eliptičke krivulje (ECC) moraju imati najmanje 224 bita. Preporučujemo veličinu od 4096 bitova za RSA i krivulju ECDSA secp384r1 veličine 384 bita.
Vrijednost atributa Common Name mora biti IP adresa ili DNS naziv koji preusmjerava na IP_MED_SSL.
Atribut Key Usage mora imati vrijednosti critical, digitalSignature i keyEncipherment.
Atribut Extended Key Usage mora imati vrijednost serverAuth.

Prihvaćeni format certifikata: P12.

Certifikat komponente Watchdog

Certifikat Watchdog mora ispunjavati sljedeća ograničenja za svoje atribute:

Razdoblje valjanosti certifikata ne smije premašiti 1095 dana (3 godine).
Funkcija raspršivanja koja se koristi za potpis mora pripadati obitelji SHA-2; preporučujemo SHA-512.
Certifikat i certifikati njegovih certifikacijskih tijela moraju imati privatni ključ od najmanje 2048 bitova sa šifriranjem RSA, DSA i DH; ključevi eliptičke krivulje (ECC) moraju imati najmanje 224 bita. Preporučujemo veličinu od 4096 bitova za RSA i krivulju ECDSA secp384r1 veličine 384 bita.
Atribut Common Name mora kao vrijednost imati identifikacijski naziv za Watchdog, primjerice „Watchdog“.
Atribut Key Usage mora imati vrijednosti critical i digitalSignature.
Atribut Extended Key Usage mora imati vrijednost clientAuth.

Prihvaćeni format certifikata: P12.

Certifikat klijenta CyberElements Bastion

Certifikat klijenta CyberElements Bastion mora ispunjavati sljedeća ograničenja za svoje atribute:

Razdoblje valjanosti certifikata ne smije premašiti 1095 dana (3 godine).
Funkcija raspršivanja koja se koristi za potpis mora pripadati obitelji SHA-2; preporučujemo SHA-512.
Certifikat i certifikati njegovih certifikacijskih tijela moraju imati privatni ključ od najmanje 2048 bitova sa šifriranjem RSA, DSA i DH; ključevi eliptičke krivulje (ECC) moraju imati najmanje 224 bita. Preporučujemo veličinu od 4096 bitova za RSA i krivulju ECDSA secp384r1 veličine 384 bita.
Atribut Common Name mora kao vrijednost imati identifikacijski naziv klijenta, primjerice „cyberelements-cleanroom-client“.
Atribut Key Usage mora imati vrijednosti critical i digitalSignature.
Atribut Extended Key Usage mora imati vrijednost clientAuth.

Prihvaćeni format certifikata: P12 s lozinkom od najmanje 8 alfanumeričkih znakova (posebni znakovi, slova s dijakritičkim znakovima i crtice nisu podržani).

Taj poslužitelj koristi dva različita certifikata:

Jedan certifikat za provjeru autentičnosti komponente Edge Gateway prema komponenti SSL Router.
Certifikat za uslugu snimanja kako bi se agenti za snimanje mogli povezati s njom.

Informacije

Poslužitelj Edge Gateway može imati više instanci Edge Gateway, što zahtijeva onoliko certifikata koliko ima instanci Edge Gateway (osim u posebnom slučaju klasterske arhitekture).

Međutim, poslužitelj Edge Gateway ima samo jednu uslugu snimanja, pa će biti potreban samo jedan certifikat po računalu.

Certifikat komponente Edge Gateway

Certifikat poslužitelja Edge Gateway mora ispunjavati sljedeća ograničenja za svoje atribute:

Razdoblje valjanosti certifikata ne smije premašiti 1095 dana (3 godine).
Funkcija raspršivanja koja se koristi za potpis mora pripadati obitelji SHA-2; preporučujemo SHA-512.
Certifikat i certifikati njegovih certifikacijskih tijela moraju imati privatni ključ od najmanje 2048 bitova sa šifriranjem RSA, DSA i DH; ključevi eliptičke krivulje (ECC) moraju imati najmanje 224 bita. Preporučujemo veličinu od 4096 bitova za RSA i krivulju ECDSA secp384r1 veličine 384 bita.
Atribut Common Name mora imati vrijednost koja identificira logičku komponentu Edge Gateway. Taj naziv ima sljedeći oblik <GW_NAME>@<ORGANIZATION_NAME>, gdje <GW_NAME> odgovara nazivu komponente Edge Gateway (kako je unesen u administracijskoj konzoli), a <ORGANIZATION_NAME> odgovara nazivu organizacije s kojom će se komponenta Edge Gateway povezati.
Atribut Key Usage mora imati vrijednosti critical i digitalSignature.
Atribut Extended Key Usage mora imati vrijednost clientAuth.

Prihvaćeni format certifikata: P12.

Certifikat usluge snimanja

Certifikat usluge snimanja mora zadovoljavati sljedeća ograničenja za svoje atribute:

Razdoblje valjanosti certifikata ne smije premašiti 1095 dana (3 godine).
Funkcija raspršivanja koja se koristi za potpis mora pripadati obitelji SHA-2; preporučujemo SHA-512.
Certifikat i certifikati njegovih certifikacijskih tijela moraju imati privatni ključ od najmanje 2048 bitova sa šifriranjem RSA, DSA i DH; ključevi eliptičke krivulje (ECC) moraju imati najmanje 224 bita. Preporučujemo veličinu od 4096 bitova za RSA i krivulju ECDSA secp384r1 veličine 384 bita.
Vrijednost atributa Common Name mora biti FQDN naziv ili barem naziv računala s komponentom Edge Gateway.
Atribut Key Usage mora imati vrijednosti critical, digitalSignature i keyEncipherment.
Atribut Extended Key Usage mora imati vrijednost serverAuth.

Prihvaćeni format certifikata: P12.

Taj poslužitelj koristi jedan certifikat: onaj za provjeru autentičnosti komponente HTML5 Gateway prema komponenti SSL Router.

Informacije

Poslužitelj HTML5 Gateway može imati više instanci komponente HTML5 Gateway, za što je potrebno onoliko certifikata koliko ima instanci komponente HTML5 Gateway (osim u posebnom slučaju arhitekture Cluster).

Certifikat komponente HTML5 Gateway

Certifikat komponente HTML5 Gateway mora zadovoljavati sljedeća ograničenja za svoje atribute:

Razdoblje valjanosti certifikata ne smije premašiti 1095 dana (3 godine).
Funkcija raspršivanja koja se koristi za potpis mora pripadati obitelji SHA-2; preporučujemo SHA-512.
Certifikat i certifikati njegovih certifikacijskih tijela moraju imati privatni ključ od najmanje 2048 bitova sa šifriranjem RSA, DSA i DH; ključevi eliptičke krivulje (ECC) moraju imati najmanje 224 bita. Preporučujemo veličinu od 4096 bitova za RSA i krivulju ECDSA secp384r1 veličine 384 bita.
Atribut Common Name mora imati vrijednost koja identificira logičku komponentu Edge Gateway. Taj naziv ima sljedeći oblik <HTML5_GW_NAME>@<ORGANIZATION_NAME>, gdje <HTML5_GW_NAME> odgovara nazivu komponente Edge Gateway (kako je unesen u administracijskoj konzoli), a <ORGANIZATION_NAME> odgovara nazivu organizacije s kojom će se komponenta Edge Gateway povezati.
Atribut Key Usage mora imati vrijednosti critical i digitalSignature.
Atribut Extended Key Usage mora imati vrijednost clientAuth.

Prihvaćeni format certifikata: P12.

Za rad u načinu izravnog pristupa agent za snimanje u izravnom pristupu koristi certifikat za provjeru autentičnosti prema usluzi snimanja poslužitelja Edge Gateway.

Certifikat mora zadovoljavati sljedeća ograničenja za svoje atribute:

Razdoblje valjanosti certifikata ne smije premašiti 1095 dana (3 godine).
Funkcija raspršivanja koja se koristi za potpis mora pripadati obitelji SHA-2; preporučujemo SHA-512.
Certifikat i certifikati njegovih certifikacijskih tijela moraju imati privatni ključ od najmanje 2048 bitova sa šifriranjem RSA, DSA i DH; ključevi eliptičke krivulje (ECC) moraju imati najmanje 224 bita. Preporučujemo veličinu od 4096 bitova za RSA i krivulju ECDSA secp384r1 veličine 384 bita.
Atribut Common Name mora imati vrijednost koja je kratki naziv, FQDN ili bilo koji drugi naziv koji jednoznačno identificira računalo. Taj se naziv koristi za identifikaciju i praćenje radnji izvršenih na računalu.
Atribut Key Usage mora imati vrijednosti critical i digitalSignature.
Atribut Extended Key Usage mora imati vrijednost clientAuth.

Prihvaćeni format certifikata: P12.