Kihagyás

A CyberElements Bastion Cluster platform előfeltételei

Számítógép

A CyberElements Bastion telepítéséhez fizikai számítógépek és virtuális gépek egyaránt használhatók.
A termék maga nem végez virtualizálást, ezért a virtuális gépeken nem szükséges bekapcsolni a beágyazott virtualizálás beállítást.

OS

A CyberElements Bastion 64 bites Debian 12 (Bookworm) rendszerű számítógépeken fut.
Grafikus felület nélküli számítógépek használata ajánlott, a telepített komponenseket pedig érdemes az SSH-kiszolgálóra korlátozni.

CPU

Egy 4 magos CPU a termék legtöbb felhasználási esetét lefedi.

RAM

Figyelem

Az alábbi RAM-értékek csak tájékoztató jellegűek, mivel számos tényező befolyásolhatja a RAM-felhasználást (a használt termékfunkciók vagy a számítógépre a termékkel párhuzamosan telepített elemek).

A RAM-felhasználás általában attól függ, hogy a platform hány egyidejű felhasználót tud kiszolgálni:

  • 1 és 5 közötti egyidejű felhasználó esetén: legalább 2 GB RAM, ajánlott 4 GB.
  • 5 és 20 közötti egyidejű felhasználó esetén: legalább 4 GB RAM.
  • 20 vagy több egyidejű felhasználó esetén: legalább 8 GB RAM.

A RAM-felhasználás az egyidejű munkamenetek számától, valamint a használt alkalmazások típusától függ.

A jellemző értékek a következők:

  • 1 és 5 közötti egyidejű felhasználó esetén: legalább 2 GB RAM, ajánlott 4 GB.
  • 5 és 20 közötti egyidejű felhasználó esetén: legalább 4 GB RAM.
  • 20 vagy több egyidejű felhasználó esetén: 8 GB RAM.

Vegye figyelembe, hogy egy ügynök nélküli RDP- vagy VNC-alkalmazás elindított alkalmazásonként akár 400 MB-ot is felhasználhat.
Ha az ilyen típusú alkalmazásokat intenzíven használják, ajánlott figyelni a RAM-felhasználást, hogy a méretét ennek megfelelően lehessen módosítani.

A RAM-felhasználás az egyidejűleg megnyitott HTML5-alkalmazások számától függ.

Az alapkiszolgálónak 2 GB-ra van szüksége a rendszer működéséhez, plusz egyidejű HTML5-alkalmazásonként 50 MB-ra.

Ha a HTML5 Gateway szerepkört egy Edge Gateway kiszolgálóval kombinálja, akkor egyidejű HTML5-alkalmazásonként adjon hozzá 50 MB-ot az Edge Gateway kiszolgálóra vonatkozó RAM-ajánláshoz.

Lemez

Javasoljuk, hogy a lemezt LVM használatával particionálja: ez nagyobb rugalmasságot biztosít arra az esetre, ha a számítógép méretezését a használat során módosítani kell.

A különböző típusú kiszolgálók eltérő módon használják a lemezt, eltérő adatmennyiséggel. Az alábbiakban kiszolgálótípusonként találja az információkat:

Ennek a kiszolgálónak a következő könyvtárakban fog növekedni az adatmennyisége:

  • /var/log/: a különböző rendszernaplókat tartalmazó könyvtár.
  • /var/lib/postgresql/15/main/: a helyi adatbázis adatait tartalmazó könyvtár.
  • /var/ipdiva/: a termékspecifikus adatokat tartalmazó könyvtár.

A különböző könyvtárak külön partíciókra való elkülönítése nem kötelező, de ajánlott. A következő útmutatást követheti:

Csatlakoztatási pont Beállítások Minimális méret (GB)
/boot nosuid,nodev,noexec 1
/opt nosuid,nodev 1
/tmp nosuid,nodev 4
/srv nosuid,nodev 1
/home nosuid,nodev,noexec 6
/usr nodev 6
/var nosuid 5
/var/log nosuid,nodev,noexec 5
/var/tmp nosuid,nodev,noexec 2
swap Nincs beállítás A RAM méretétől függően (annak fele)
/ Nincs beállítás 2 GB vagy több, a rendelkezésre álló lemezterülettől függően

Példa

Egy 4 GB RAM-mal rendelkező kiszolgáló esetén (amelyhez 2 GB swap szükséges) az előző particionálással legalább 35 GB lemezterület szükséges.

Ennek a kiszolgálónak a következő könyvtárakban fog növekedni az adatmennyisége:

  • /var/log/: a különböző rendszernaplókat tartalmazó könyvtár.
  • /var/lib/ipdiva/carerecord/recording/: az éppen rögzítés alatt álló archívumokat tartalmazó könyvtár; ez tehát egy ideiglenes tárolókönyvtár.
  • /var/lib/ipdiva/carerecord/archives/: a termék grafikus archívumait tartalmazó alapértelmezett könyvtár.
  • /var/ipdiva/care/sshrecord/: a termék nem grafikus (SSH-) archívumait tartalmazó alapértelmezett könyvtár.

A különböző könyvtárak külön partíciókra való elkülönítése nem kötelező, de ajánlott. A következő útmutatást követheti:

Csatlakoztatási pont Beállítások Minimális méret (GB)
/boot nosuid,nodev,noexec 1
/opt nosuid,nodev 1
/tmp nosuid,nodev 4
/srv nosuid,nodev 1
/home nosuid,nodev,noexec 6
/usr nodev 6
/var nosuid,nodev 5
/var/log nosuid,nodev,noexec 5
/var/tmp nosuid,nodev,noexec 2
swap Nincs beállítás A RAM méretétől függően (annak fele)
/ Nincs beállítás 2 GB vagy több, a rendelkezésre álló lemezterülettől függően

Példa

Egy 4 GB RAM-mal rendelkező kiszolgáló esetén (amelyhez 2 GB swap szükséges) az előző particionálással legalább 35 GB lemezterület szükséges.

Erősen ajánlott azonban több lemezterületet lefoglalni az ideiglenes vagy hosszú távú grafikus archívumok számára a /var csatlakoztatási ponton, kivéve, ha az archívumokat külső tárhelyre helyezi ki.

Ennek a kiszolgálónak a következő könyvtárakban fog növekedni az adatmennyisége:

  • /var/log/: a különböző rendszernaplókat tartalmazó könyvtár.
  • /home/systanciahtml5share/: a HTML5-alkalmazásokkal cserélt fájlok ideiglenes tárolókönyvtára.

A különböző könyvtárak külön partíciókra való elkülönítése nem kötelező, de ajánlott. A következő útmutatást követheti:

Csatlakoztatási pont Beállítások Minimális méret (GB)
/boot nosuid,nodev,noexec 1
/opt nosuid,nodev 1
/tmp nosuid,nodev 4
/srv nosuid,nodev 1
/home nosuid,nodev,noexec 6
/usr nodev 6
/var nosuid,nodev 5
/var/log nosuid,nodev,noexec 5
/var/tmp nosuid,nodev,noexec 2
swap Nincs beállítás A RAM méretétől függően (annak fele)
/ Nincs beállítás 2 GB vagy több, a rendelkezésre álló lemezterülettől függően

Példa

Egy 4 GB RAM-mal rendelkező kiszolgáló esetén (amelyhez 2 GB swap szükséges) az előző particionálással legalább 35 GB lemezterület szükséges.

Hálózat

Egy CyberElements Bastion Cluster platformhoz a következők szükségesek:

  • Mediation Controller kiszolgálónként 2 valós IP-cím (ugyanazon a hálózati csatolón)
  • 3 virtuális IP-cím a fürt működéséhez
  • Edge Gateway vagy HTML5 Gateway számítógépenként 1 IP-cím

További információk

A Mediation Controller kiszolgálók valós és virtuális IP-címeinek mind ugyanahhoz az alhálózathoz kell tartozniuk.

Összeférhetetlenségek a virtuális IP-címek használatakor

A virtuális IP-címek terheléselosztását az IPVS (IP Virtual Server) kezeli.
A terheléselosztás megfelelő működéséhez több előfeltételnek is teljesülnie kell:

  • Kapcsolja ki a Reverse Path Forwarding (RPF) funkciókat a Mediation Controller kiszolgálók és az ezeken a számítógépeken lévő IP-címek esetében.
  • VMware esetén a Mediation Controller kiszolgálókhoz VMXNET3 helyett E1000E hálózati adaptert rendeljen hozzá.

A Mediation Controller kiszolgálókat általában DMZ-be helyezik, de elhelyezhetők privát DMZ-ben is, vagy üzemeltethetők nyilvános felhőben. Ez a platform felhasználási esetétől függ (például: távoli hozzáférés szolgáltatók számára vagy a védett zónákhoz való belső hozzáférés biztonságossá tétele).

Az Edge Gateway kiszolgálókat általában a LAN-ba helyezik, olyan VLAN-okba, amelyek lehetővé teszik számukra a célerőforrásokkal való kommunikációt.

A HTML5 Gateway kiszolgálók a LAN-ba és a DMZ-be egyaránt elhelyezhetők. Ez a dokumentáció a HTML5 Gateway komponens Edge Gateway kiszolgálókra, azaz a LAN-ba történő telepítésével számol.

A számítógépek különböző címeinek könnyebb azonosítása érdekében a dokumentáció a következőképpen hivatkozik rájuk:

IP-cím neve Jelentés
RIP_MED_WEB_MASTER A MASTER Mediation Controller kiszolgáló elsődleges IP-címe, amely hozzáférést biztosít a webes konzolokhoz.
RIP_MED_WEB_SLAVE A SLAVE Mediation Controller kiszolgáló elsődleges IP-címe, amely hozzáférést biztosít a webes konzolokhoz.
RIP_MED_SSL_MASTER A MASTER Mediation Controller kiszolgáló második IP-címe, amelyet az SSL Router komponens használ.
RIP_MED_SSL_SLAVE A SLAVE Mediation Controller kiszolgáló második IP-címe, amelyet az SSL Router komponens használ.
VIP_MED_WEB A Mediation Controller fürt virtuális IP-címe, amely hozzáférést biztosít a webes konzolokhoz.
VIP_MED_SSL A Mediation Controller fürt virtuális IP-címe, amely hozzáférést biztosít az SSL Router komponenshez.
VIP_MED_ZEO A Mediation Controller fürt virtuális IP-címe, amely hozzáférést biztosít a termék egyik belső konfigurációs adatbázisához.
IP_GW Az Edge Gateway kiszolgáló IP-címe.
IP_HTML5_GW A HTML5 Gateway kiszolgáló IP-címe.

Információ

A megadott adatfolyam-információk feltételezik, hogy a Mediation Controller kiszolgálók a DMZ-ben, a HTML5 Gateway szerepkört is ellátó Edge Gateway kiszolgálók pedig a LAN-ban találhatók.

A Mediation Controller komponens IP-címei lehetnek a Mediation Controller kiszolgálóhoz közvetlenül hozzárendelt nyilvános IP-címek, vagy privát IP-címekre NAT-tal lefordított nyilvános IP-címek (ajánlott).

Forrás Cél Célport Megjegyzések
Felhasználói munkaállomás VIP_MED_WEB TCP 443 (szabványos port használata esetén) Lehetővé teszi a hozzáférést a webes konzolokhoz és a közvetlenül a böngészőben futó alkalmazásokhoz.
Felhasználói munkaállomás VIP_MED_SSL TCP 443 (szabványos port használata esetén) TLS-alagút létrehozása a CyberElements Bastion kliensen áthaladó adatfolyam titkosításához.
IP_GW VIP_MED_WEB TCP 443 (szabványos port használata esetén) Ha az Edge Gateway komponens távoli hálózaton található. Kapcsolódás az Edge Gateway pairing rendszeréhez.
IP_GW VIP_MED_SSL TCP 443 (szabványos port használata esetén) Ha az Edge Gateway komponens távoli hálózaton található. Kapcsolódás az SSL Router komponenshez egy TLSv1.3-alagút létrehozásához és a termék kommunikációjának azon keresztül történő továbbításához.
Forrás Cél Célport Megjegyzések
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 Debian-tárházak TCP 80 A CyberElements Bastion függőségeinek telepítéséhez és a rendszer naprakészen tartásához szükséges. A dokumentáció és a virtuális berendezések az ftp.fr.debian.org és a security.debian.org tárházat használják.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 packages.microsoft.com TCP 443 Microsoft-tárház az MS SQL-illesztőprogramok telepítéséhez és frissítéséhez. Csak akkor szükséges, ha MS SQL-adatbázishoz kell hozzáférni (a virtuális berendezések tartalmazzák az MS SQL-illesztőprogramokat).
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 NTP-időkiszolgáló UDP 123 Nem kötelező, ha a kiszolgáló egy DMZ-ben lévő kiszolgálóval szinkronizálja az óráját. Alapértelmezés szerint a rendszer a Debian-poolokat használja: 0.debian.pool.ntp.org, 1.debian.pool.ntp.org, 2.debian.pool.ntp.org és 3.debian.pool.ntp.org.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 SMTP-kiszolgáló TCP 25, 465, 587 Akkor szükséges, ha e-mailek küldéséhez SMTP-kiszolgálót kell használni, és az a WAN-ban található.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 DNS-kiszolgáló UDP 53 A DNS-feloldáshoz szükséges. A WAN-ban vagy a DMZ-ben is lehet.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 api.neomia.ai TCP 443 (Nem kötelező) Kapcsolódás a viselkedésalapú biometriát használó Neomia Pulse MFA-termék API-jaihoz.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 EU: keepersecurity.eu
US: keepersecurity.com
AU: keepersecurity.com.au
CA: keepersecurity.ca
JP: keepersecurity.jp		 TCP 443 (Nem kötelező) Kapcsolódás a Keeper EPM széfhez, annak helyétől függően.
Forrás Cél Célport Megjegyzések
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 NTP-időkiszolgáló UDP 123 Ha a kiszolgálónak egy DMZ-ben lévő kiszolgálóval kell szinkronizálnia az óráját.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 SMTP-kiszolgáló TCP 25, 465, 587 Akkor szükséges, ha e-mailek küldéséhez SMTP-kiszolgálót kell használni, és az a DMZ-ben található.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 Adatbázis-kiszolgáló TCP 1433, 5432 vagy bármely más egyéni port Akkor szükséges, ha egy DMZ-ben található külső adatbázist szeretne használni.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 DNS-kiszolgáló UDP 53 A DNS-feloldáshoz szükséges. A DMZ-ben vagy a WAN-ban is lehet.

További információk

A Mediation Controller kiszolgálóknak protokolltól függetlenül bármelyik címükről és bármelyik címükre kommunikálniuk kell tudniuk egymással.

Forrás Cél Célport Megjegyzések
IP_GW Debian-tárházak TCP 80 A CyberElements Bastion függőségeinek telepítéséhez és a rendszer naprakészen tartásához szükséges. A dokumentáció és a virtuális berendezések az ftp.fr.debian.org és a security.debian.org tárházat használják.
IP_GW DNS-kiszolgáló UDP 53 A DNS-feloldáshoz szükséges. Nem kötelező, ha a LAN-ban vagy a DMZ-ben elérhető DNS-kiszolgáló.
IP_GW NTP-időkiszolgáló UDP 123 Nem kötelező, ha a kiszolgáló egy LAN-ban vagy DMZ-ben lévő kiszolgálóval szinkronizálja az óráját. Alapértelmezés szerint a rendszer a Debian-poolokat használja: 0.debian.pool.ntp.org, 1.debian.pool.ntp.org, 2.debian.pool.ntp.org és 3.debian.pool.ntp.org.
IP_GW SMS-szolgáltató TCP 443 (Nem kötelező) Kapcsolódás a CyberElements Bastion által támogatott SMS-szolgáltatók API-jaihoz.
Forrás(ok) Cél Célport Megjegyzések
IP_GW
IP_HTML5_GW		 VIP_MED_WEB
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 TCP 443 (szabványos port használata esetén) Kapcsolódás az Edge Gateway pairing rendszeréhez.
IP_GW
IP_HTML5_GW		 VIP_MED_SSL
RIP_MED_SSL_MASTER
RIP_MED_SSL_SLAVE		 TCP 443 (szabványos port használata esetén) Kapcsolódás az SSL Router komponenshez egy TLSv1.3-alagút létrehozásához és a termék kommunikációjának azon keresztül történő továbbításához.
Kliensmunkaállomás VIP_MED_WEB
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 TCP 443 (szabványos port használata esetén) Kapcsolódás a termék különböző webes konzoljaihoz.
Kliensmunkaállomás VIP_MED_SSL
RIP_MED_SSL_MASTER
RIP_MED_SSL_SLAVE		 TCP 443 (szabványos port használata esetén) TLS-alagút létrehozása a CyberElements Bastion kliensen áthaladó adatfolyam titkosításához.
Rendszergazdai munkaállomás RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 TCP 22 SSH-kapcsolat a Mediation Controller kiszolgálóval.
Forrás Cél Célport Megjegyzések
IP_GW DNS-kiszolgáló UDP 53 A DNS-feloldáshoz szükséges. Nem kötelező, ha a WAN-ban vagy a DMZ-ben lévő DNS-kiszolgálót használ.
IP_GW LDAP- vagy AD-kiszolgálók TCP 389 vagy 636 A CyberElements Bastion kapcsolódása egy LDAP- vagy AD-kiszolgálóhoz.
IP_GW AD-kiszolgálók TCP 139 és 445 Az AD-fiókok jelszórotációja; csak akkor használatos, ha az LDAPS-en keresztüli rotáció nem lehetséges.
IP_GW RDP-kiszolgálók TCP/UDP 3389 (szabványos port használata esetén) Kapcsolódás a CyberElements Bastion felől az RDP-kiszolgálókhoz.
IP_GW SSH-kiszolgálók TCP 22 (szabványos port használata esetén) Kapcsolódás a CyberElements Bastion felől az SSH-kiszolgálókhoz.
IP_GW VNC-kiszolgálók TCP 5900 (szabványos port használata esetén) Kapcsolódás a CyberElements Bastion felől a VNC-kiszolgálókhoz.
IP_GW Webkiszolgálók TCP 80 vagy 443 (szabványos port használata esetén) Kapcsolódás a CyberElements Bastion felől a webkiszolgálókhoz.
IP_GW Citrix Storefront-kiszolgálók TCP 443 (szabványos port használata esetén) Kapcsolódás a CyberElements Bastion felől a Citrix Storefront-kiszolgálókhoz.
IP_GW Citrix-alkalmazáskiszolgálók TCP 1494 Kapcsolódás a CyberElements Bastion felől a Citrix-alkalmazáskiszolgálókhoz (alkalmazás vagy asztal indítása az ICA-klienssel).
IP_GW Fájlkiszolgálók TCP 139 és 445 Kapcsolódás a CyberElements Bastion felől a fájlkiszolgálókhoz.
IP_GW Adatbázis-kiszolgáló TCP 1433, 5432 vagy bármely más egyéni port Akkor szükséges, ha egy LAN-on található külső adatbázist szeretne használni (például a Vault modul adatbázisának kihelyezéséhez).
IP_GW RDP-kiszolgálók TCP 139 és 445 A rögzítőügynök üzembe helyezése a felügyeleti konzolon keresztül.
Kliensmunkaállomás IP_GW TCP [a rendszergazda által meghatározott port] Közvetlen SSH-hozzáférési kapcsolat.
Kliensmunkaállomás IP_GW TCP 3389 Közvetlen RDP-hozzáférési kapcsolat.
RDP-kiszolgálók IP_GW TCP 8443 Kapcsolat a rögzítőügynök és az Edge Gateway komponens között a felhasználói munkamenet felvételének feltöltéséhez.
Rendszergazdai munkaállomás IP_GW TCP 22 SSH-kapcsolat az Edge Gateway kiszolgálóval.

Adatbázis

A CyberElements Bastion működéséhez különböző adatbázisokat (DB) használ.

  1. Rendszerkonfigurációs adatbázis. Ez az adatbázis a /system felügyeleti felület összes beállítását tárolja, és a neve csak default lehet.

    Figyelem!

    A default adatbázist a CyberElements Bastion platformhoz való csatlakozás előtt létre kell hoznia (nem jön létre automatikusan).

  2. Szervezeti konfigurációs adatbázis. A Mediation Controller kiszolgálón létrehozott minden szervezethez külön DB szükséges, amely a szervezet összes beállítását és naplóját tartalmazza.

  3. A Vault modul adatbázisa. Minden létrehozott szervezet egy saját DB létrehozását vonja maga után a termék Vault moduljához, amelyet alapértelmezés szerint a Mediation Controller kiszolgáló tárol. Ez az adatbázis kihelyezhető a LAN-ba, feltéve, hogy egy Edge Gateway komponens hozzáfér.

Külső adatbázisok használata esetén (ez a szokásos eset Cluster architektúrában) a támogatott adatbázistípusok a következők:

Licenc

A Mediation Controller kiszolgáló működéséhez licenc szükséges.
A licencet a Systancia biztosítja, és a következő licenckérelmi űrlapon igényelhető: Licenc kérése

Tanúsítványok

A CyberElements Bastion TLS-titkosítást használ a belső kommunikációhoz és HTTPS-t a webes hozzáférés védelméhez, ami különböző x509-tanúsítványok használatát teszi szükségessé. Az alábbi információk összefoglalják a szükséges tanúsítványokat, azok célját és a minimális beállításokat.

Tanúsítványokra vonatkozó biztonsági korlátozás

A használt tanúsítványtól függetlenül győződjön meg arról, hogy az megfelel az OpenSSL 2-es biztonsági szintjének, amely a következőképpen foglalható össze:

  • A tanúsítvány és hitelesítésszolgáltatóinak tanúsítványai esetében a titkos kulcsnak RSA, DSA és DH titkosítás esetén legalább 2048 bitesnek kell lennie; elliptikus görbés (ECC) kulcsok esetén legalább 224 bitesnek.
  • A tanúsítvány aláírása nem lehet MD5 vagy SHA-1 (az SHA-512 ajánlott).

Ez a kiszolgáló öt különböző tanúsítványt használ:

  • Webes tanúsítvány a HTTPS bekapcsolásához.
  • Tanúsítvány az SSL Router komponenshez, amely a TLS-alagutak kiépítéséért és a köztük zajló forgalom továbbításáért felel.
  • Tanúsítvány a Watchdog komponenshez, amely az SSL Router komponens megfelelő működésének felügyeletéért felel.
  • Tanúsítvány a CyberElements Bastion klienshez, amely lehetővé teszi, hogy a kliens csatlakozzon az SSL Router komponenshez, és TLSv1.3-alagutat hozzon létre.
  • Tanúsítvány a Mediation Controller kiszolgálók közötti adatcseréhez (csak a SLAVE kiszolgálóhoz).

Webes tanúsítvány

Javaslat

A webes tanúsítványt lehetőleg egy megbízhatónak elismert nyilvános hitelesítésszolgáltató (CA) állítsa ki.
Így további beavatkozás nélkül biztosítható, hogy a felhasználók ne kapjanak a használt tanúsítvánnyal kapcsolatos riasztásokat (feltéve, hogy az érvényes, és lefedi azt a nevet, amellyel a felhasználó a kapcsolatot kezdeményezte). Belső PKI által kiállított tanúsítvány használata esetén a CA-tanúsítványt a felhasználói munkaállomásokra is telepíteni kell.

A webes tanúsítványnak a következő attribútumkorlátozásoknak kell megfelelnie:

  • A tanúsítvány érvényességi ideje nem haladhatja meg a 398 napot (13 hónapot).
  • Az aláíráshoz használt kivonatoló függvénynek az SHA-2 családba kell tartoznia; az SHA-512-t javasoljuk.
  • A tanúsítvány és hitelesítésszolgáltatóinak tanúsítványai esetében a titkos kulcsnak RSA, DSA és DH titkosítás esetén legalább 2048 bitesnek kell lennie; elliptikus görbés (ECC) kulcsok esetén legalább 224 bitesnek. RSA esetén 4096 bites kulcsméretet, ECDSA esetén pedig 384 bites secp384r1 görbét javasolunk.
  • A Common Name attribútum értékének annak a DNS-névnek (vagy helyettesítő karakteres névnek) kell lennie, amelyre a tanúsítvány szól.
  • A Key Usage attribútumnak a critical, a digitalSignature és a keyEncipherment értékkel kell rendelkeznie.
  • Az Extended Key Usage attribútumnak az id-kp-serverAuth értékkel kell rendelkeznie (az OpenSSL a serverAuth értéket használja).
  • A Subject Alternative Name attribútumnak legalább egy, az elsődleges DNS-névnek megfelelő bejegyzést kell tartalmaznia; további bejegyzések is hozzáadhatók más DNS-nevek vagy IP-címek lefedéséhez.

Elfogadott tanúsítványformátum: P12 vagy PEM (két fájllal: egy a tanúsítványhoz, egy a titkos kulcshoz).

Az SSL Router tanúsítványa

Az SSL Router komponens tanúsítványának a következő attribútumkorlátozásoknak kell megfelelnie:

  • A tanúsítvány érvényességi ideje nem haladhatja meg az 1095 napot (3 évet).
  • Az aláíráshoz használt kivonatoló függvénynek az SHA-2 családba kell tartoznia; az SHA-512-t javasoljuk.
  • A tanúsítvány és hitelesítésszolgáltatóinak tanúsítványai esetében a titkos kulcsnak RSA, DSA és DH titkosítás esetén legalább 2048 bitesnek kell lennie; elliptikus görbés (ECC) kulcsok esetén legalább 224 bitesnek. RSA esetén 4096 bites kulcsméretet, ECDSA esetén pedig 384 bites secp384r1 görbét javasolunk.
  • A Common Name attribútum értékének az IP-címnek vagy egy, az IP_MED_SSL címre mutató DNS-névnek kell lennie.
  • A Key Usage attribútumnak a critical, a digitalSignature és a keyEncipherment értékkel kell rendelkeznie.
  • Az Extended Key Usage attribútumnak a serverAuth értékkel kell rendelkeznie.

Elfogadott tanúsítványformátum: P12.

A Watchdog tanúsítványa

A Watchdog komponens tanúsítványának a következő attribútumkorlátozásoknak kell megfelelnie:

  • A tanúsítvány érvényességi ideje nem haladhatja meg az 1095 napot (3 évet).
  • Az aláíráshoz használt kivonatoló függvénynek az SHA-2 családba kell tartoznia; az SHA-512-t javasoljuk.
  • A tanúsítvány és hitelesítésszolgáltatóinak tanúsítványai esetében a titkos kulcsnak RSA, DSA és DH titkosítás esetén legalább 2048 bitesnek kell lennie; elliptikus görbés (ECC) kulcsok esetén legalább 224 bitesnek. RSA esetén 4096 bites kulcsméretet, ECDSA esetén pedig 384 bites secp384r1 görbét javasolunk.
  • A Common Name attribútum értékének a Watchdog komponenst azonosító névnek kell lennie, például „Watchdog”.
  • A Key Usage attribútumnak a critical és a digitalSignature értékkel kell rendelkeznie.
  • Az Extended Key Usage attribútumnak a clientAuth értékkel kell rendelkeznie.

Elfogadott tanúsítványformátum: P12.

A CyberElements Bastion kliens tanúsítványa

A CyberElements Bastion ügyféltanúsítványának a következő megkötéseknek kell megfelelnie az attribútumai tekintetében:

  • A tanúsítvány érvényességi ideje nem haladhatja meg az 1095 napot (3 évet).
  • Az aláíráshoz használt kivonatoló függvénynek az SHA-2 családba kell tartoznia; az SHA-512-t javasoljuk.
  • A tanúsítvány és hitelesítésszolgáltatóinak tanúsítványai esetében a titkos kulcsnak RSA, DSA és DH titkosítás esetén legalább 2048 bitesnek kell lennie; elliptikus görbés (ECC) kulcsok esetén legalább 224 bitesnek. RSA esetén 4096 bites kulcsméretet, ECDSA esetén pedig 384 bites secp384r1 görbét javasolunk.
  • A Common Name attribútum értékének az ügyfelet azonosító névnek kell lennie, például „cyberelements-cleanroom-client”.
  • A Key Usage attribútumnak a critical és a digitalSignature értékkel kell rendelkeznie.
  • Az Extended Key Usage attribútumnak a clientAuth értékkel kell rendelkeznie.

Elfogadott tanúsítványformátum: P12, legalább 8 alfanumerikus karakterből álló jelszóval (a speciális karakterek, az ékezetes betűk és a kötőjelek nem támogatottak).

Kiszolgálók közötti tanúsítvány

A CyberElements Bastion kiszolgálóközi tanúsítványának a következő megkötéseknek kell megfelelnie az attribútumai tekintetében:

  • A tanúsítvány érvényességi ideje nem haladhatja meg az 1095 napot (3 évet).
  • Az aláíráshoz használt kivonatoló függvénynek az SHA-2 családba kell tartoznia; az SHA-512-t javasoljuk.
  • A tanúsítvány és hitelesítésszolgáltatóinak tanúsítványai esetében a titkos kulcsnak RSA, DSA és DH titkosítás esetén legalább 2048 bitesnek kell lennie; elliptikus görbés (ECC) kulcsok esetén legalább 224 bitesnek. RSA esetén 4096 bites kulcsméretet, ECDSA esetén pedig 384 bites secp384r1 görbét javasolunk.
  • A Common Name attribútum értékének egy azonosító névnek kell lennie, például „interserver-cleanroom”.
  • A Key Usage attribútumnak a critical és a digitalSignature értékkel kell rendelkeznie.
  • Az Extended Key Usage attribútumnak a clientAuth értékkel kell rendelkeznie.

Elfogadott tanúsítványformátum: P12, legalább 8 karakterből álló, speciális karaktereket nem tartalmazó jelszóval.

Ez a kiszolgáló két különböző tanúsítványt használ:

  • Tanúsítvány az Edge Gateway komponens hitelesítéséhez az SSL Router komponensnél.
  • Tanúsítvány a rögzítési szolgáltatáshoz, hogy a rögzítőügynökök csatlakozni tudjanak hozzá.

Információ

Egy Edge Gateway kiszolgálón több Edge Gateway példány is lehet, ami annyi tanúsítványt igényel, ahány Edge Gateway példány van (kivéve a Cluster architektúra speciális esetét).

Egy Edge Gateway kiszolgálón azonban csak egy rögzítési szolgáltatás van, így számítógépenként csak egy tanúsítványra lesz szükség.

Az Edge Gateway tanúsítványa

Az Edge Gateway komponens tanúsítványának a következő attribútumkorlátozásoknak kell megfelelnie:

  • A tanúsítvány érvényességi ideje nem haladhatja meg az 1095 napot (3 évet).
  • Az aláíráshoz használt kivonatoló függvénynek az SHA-2 családba kell tartoznia; az SHA-512-t javasoljuk.
  • A tanúsítvány és hitelesítésszolgáltatóinak tanúsítványai esetében a titkos kulcsnak RSA, DSA és DH titkosítás esetén legalább 2048 bitesnek kell lennie; elliptikus görbés (ECC) kulcsok esetén legalább 224 bitesnek. RSA esetén 4096 bites kulcsméretet, ECDSA esetén pedig 384 bites secp384r1 görbét javasolunk.
  • A Common Name attribútum értékének a logikai Edge Gateway komponenst kell azonosítania. Ez a név a következő formájú: <GW_NAME>@<ORGANIZATION_NAME>, ahol a <GW_NAME> az Edge Gateway komponens nevének felel meg (ahogyan a felügyeleti konzolon megadták), az <ORGANIZATION_NAME> pedig annak a szervezetnek a nevének, amelyhez az Edge Gateway komponens csatlakozni fog.
  • A Key Usage attribútumnak a critical és a digitalSignature értékkel kell rendelkeznie.
  • Az Extended Key Usage attribútumnak a clientAuth értékkel kell rendelkeznie.

Elfogadott tanúsítványformátum: P12.

A rögzítési szolgáltatás tanúsítványa

A rögzítési szolgáltatás tanúsítványának attribútumaira a következő megkötések vonatkoznak:

  • A tanúsítvány érvényességi ideje nem haladhatja meg az 1095 napot (3 évet).
  • Az aláíráshoz használt kivonatoló függvénynek az SHA-2 családba kell tartoznia; az SHA-512-t javasoljuk.
  • A tanúsítvány és hitelesítésszolgáltatóinak tanúsítványai esetében a titkos kulcsnak RSA, DSA és DH titkosítás esetén legalább 2048 bitesnek kell lennie; elliptikus görbés (ECC) kulcsok esetén legalább 224 bitesnek. RSA esetén 4096 bites kulcsméretet, ECDSA esetén pedig 384 bites secp384r1 görbét javasolunk.
  • A Common Name attribútum értékének az Edge Gateway komponenst futtató számítógép FQDN-nevének vagy legalább a nevének kell lennie.
  • A Key Usage attribútumnak a critical, a digitalSignature és a keyEncipherment értékkel kell rendelkeznie.
  • Az Extended Key Usage attribútumnak a serverAuth értékkel kell rendelkeznie.

Elfogadott tanúsítványformátum: P12.

Ez a kiszolgáló egyetlen tanúsítványt használ: azt, amely a HTML5 Gateway komponenst hitelesíti az SSL Router komponensnél.

Információ

Egy HTML5 Gateway kiszolgálón több HTML5 Gateway példány is lehet, ami annyi tanúsítványt igényel, ahány HTML5 Gateway példány van (kivéve a Cluster architektúra speciális esetét).

A HTML5 Gateway tanúsítványa

A HTML5 Gateway komponens tanúsítványának attribútumaira a következő megkötések vonatkoznak:

  • A tanúsítvány érvényességi ideje nem haladhatja meg az 1095 napot (3 évet).
  • Az aláíráshoz használt kivonatoló függvénynek az SHA-2 családba kell tartoznia; az SHA-512-t javasoljuk.
  • A tanúsítvány és hitelesítésszolgáltatóinak tanúsítványai esetében a titkos kulcsnak RSA, DSA és DH titkosítás esetén legalább 2048 bitesnek kell lennie; elliptikus görbés (ECC) kulcsok esetén legalább 224 bitesnek. RSA esetén 4096 bites kulcsméretet, ECDSA esetén pedig 384 bites secp384r1 görbét javasolunk.
  • A Common Name attribútum értékének a logikai Edge Gateway komponenst kell azonosítania. Ez a név a következő formájú: <HTML5_GW_NAME>@<ORGANIZATION_NAME>, ahol a <HTML5_GW_NAME> az Edge Gateway komponens nevének felel meg (ahogyan a felügyeleti konzolon megadták), az <ORGANIZATION_NAME> pedig annak a szervezetnek a nevének, amelyhez az Edge Gateway komponens csatlakozni fog.
  • A Key Usage attribútumnak a critical és a digitalSignature értékkel kell rendelkeznie.
  • Az Extended Key Usage attribútumnak a clientAuth értékkel kell rendelkeznie.

Elfogadott tanúsítványformátum: P12.

Közvetlen hozzáférésű működés esetén a közvetlen hozzáférésű rögzítőügynök egy tanúsítvánnyal hitelesíti magát egy Edge Gateway komponens rögzítési szolgáltatásánál.

A tanúsítvány attribútumaira a következő megkötések vonatkoznak:

  • A tanúsítvány érvényességi ideje nem haladhatja meg az 1095 napot (3 évet).
  • Az aláíráshoz használt kivonatoló függvénynek az SHA-2 családba kell tartoznia; az SHA-512-t javasoljuk.
  • A tanúsítvány és hitelesítésszolgáltatóinak tanúsítványai esetében a titkos kulcsnak RSA, DSA és DH titkosítás esetén legalább 2048 bitesnek kell lennie; elliptikus görbés (ECC) kulcsok esetén legalább 224 bitesnek. RSA esetén 4096 bites kulcsméretet, ECDSA esetén pedig 384 bites secp384r1 görbét javasolunk.
  • A Common Name attribútum értékének a számítógép rövid nevének, FQDN-jének vagy bármely más olyan névnek kell lennie, amely egyértelműen azonosítja a számítógépet. Ez a név a számítógépen végrehajtott műveletek azonosítására és nyomon követésére szolgál.
  • A Key Usage attribútumnak a critical és a digitalSignature értékkel kell rendelkeznie.
  • Az Extended Key Usage attribútumnak a clientAuth értékkel kell rendelkeznie.

Elfogadott tanúsítványformátum: P12.