CyberElements Bastion Cluster platformos būtinosios sąlygos¶

Kompiuteris¶

CyberElements Bastion galima įdiegti tiek fiziniuose, tiek virtualiuosiuose kompiuteriuose.
Produktas pats neatlieka jokios virtualizacijos, todėl virtualiosioms mašinoms nereikia įjungti įdėtosios virtualizacijos parinkties.

OS¶

CyberElements Bastion veikia 64 bitų Debian 12 (Bookworm) kompiuteriuose.
Rekomenduojama naudoti kompiuterius be grafinės sąsajos ir apriboti įdiegtus komponentus SSH serveriu.

CPU¶

4 branduolių CPU tiks daugeliui produkto naudojimo atvejų.

RAM¶

Dėmesio

Toliau pateiktos RAM vertės yra tik orientacinės, nes RAM sąnaudoms įtakos gali turėti daug kintamųjų (naudojamos produkto funkcijos arba kartu su produktu kompiuteryje įdiegti elementai).

Mediation Controller serverisEdge Gateway serverisHTML5 Gateway serveris

RAM sąnaudos paprastai priklauso nuo vienu metu prisijungusių vartotojų, kuriuos gali aptarnauti platforma, skaičiaus:

Nuo 1 iki 5 vienu metu prisijungusių vartotojų: mažiausiai 2 GB RAM, rekomenduojama 4 GB.
Nuo 5 iki 20 vienu metu prisijungusių vartotojų: mažiausiai 4 GB RAM.
20 ar daugiau vienu metu prisijungusių vartotojų: mažiausiai 8 GB RAM.

RAM sąnaudos priklauso nuo vienu metu vykstančių seansų skaičiaus ir naudojamų taikomųjų programų tipų.

Tipinės vertės yra tokios:

Nuo 1 iki 5 vienu metu prisijungusių vartotojų: mažiausiai 2 GB RAM, rekomenduojama 4 GB.
Nuo 5 iki 20 vienu metu prisijungusių vartotojų: mažiausiai 4 GB RAM.
20 ar daugiau vienu metu prisijungusių vartotojų: 8 GB RAM.

Atminkite, kad RDP arba VNC taikomoji programa be agento gali sunaudoti iki 400 MB kiekvienai paleistai taikomajai programai.
Kai šių tipų taikomosios programos naudojamos intensyviai, rekomenduojama stebėti RAM naudojimą, kad būtų galima atitinkamai pakoreguoti jos dydį.

RAM sąnaudos priklauso nuo vienu metu atidarytų HTML5 taikomųjų programų skaičiaus.

Baziniam serveriui sistemos veikimui reikia 2 GB ir papildomai 50 MB kiekvienai vienu metu veikiančiai HTML5 taikomajai programai.

Jei vaidmuo HTML5 Gateway derinamas su serveriu Edge Gateway, prie serverio Edge Gateway RAM rekomendacijos pridėkite 50 MB kiekvienai vienu metu veikiančiai HTML5 taikomajai programai.

Diskas¶

Rekomenduojame diską skaidyti naudojant LVM, kad būtų daugiau lankstumo, jei naudojimo metu reikėtų keisti kompiuterio dydį.

Skirtingų tipų serveriai diską naudoja skirtingai, o duomenų apimtys taip pat skiriasi. Toliau pateikiama informacija pagal serverio tipą:

Mediation Controller serverisEdge Gateway serverisHTML5 Gateway serveris

Šiame serveryje didės duomenų apimtis šiuose kataloguose:

/var/log/: katalogas, kuriame yra įvairūs sistemos žurnalai.
/var/lib/postgresql/15/main/: katalogas, kuriame yra vietinės duomenų bazės duomenys.
/var/ipdiva/: katalogas, kuriame yra produktui būdingi duomenys.

Atskirti skirtingus katalogus į skirtingus skaidinius neprivaloma, bet rekomenduojama. Galite vadovautis šiais nurodymais:

Prijungimo taškas	Parinktys	Mažiausias dydis (GB)
`/boot`	nosuid,nodev,noexec	1
`/opt`	nosuid,nodev	1
`/tmp`	nosuid,nodev	4
`/srv`	nosuid,nodev	1
`/home`	nosuid,nodev,noexec	6
`/usr`	nodev	6
`/var`	nosuid	5
`/var/log`	nosuid,nodev,noexec	5
`/var/tmp`	nosuid,nodev,noexec	2
`swap`	Be parinkčių	Priklauso nuo RAM (perpus mažiau)
`/`	Be parinkčių	2 GB ar daugiau, priklausomai nuo laisvos disko vietos

Pavyzdys

Serveriui su 4 GB RAM (kuriam reikia 2 GB swap), naudojant ankstesnį skaidymą, reikia mažiausiai 35 GB disko vietos.

Šiame serveryje didės duomenų apimtis šiuose kataloguose:

/var/log/: katalogas, kuriame yra įvairūs sistemos žurnalai.
/var/lib/ipdiva/carerecord/recording/: katalogas, kuriame yra šiuo metu įrašomi archyvai; taigi tai laikinojo saugojimo katalogas.
/var/lib/ipdiva/carerecord/archives/: numatytasis katalogas, kuriame yra produkto grafiniai archyvai.
/var/ipdiva/care/sshrecord/: numatytasis katalogas, kuriame yra produkto negrafiniai (SSH) archyvai.

Atskirti skirtingus katalogus į skirtingus skaidinius neprivaloma, bet rekomenduojama. Galite vadovautis šiais nurodymais:

Prijungimo taškas	Parinktys	Mažiausias dydis (GB)
`/boot`	nosuid,nodev,noexec	1
`/opt`	nosuid,nodev	1
`/tmp`	nosuid,nodev	4
`/srv`	nosuid,nodev	1
`/home`	nosuid,nodev,noexec	6
`/usr`	nodev	6
`/var`	nosuid,nodev	5
`/var/log`	nosuid,nodev,noexec	5
`/var/tmp`	nosuid,nodev,noexec	2
`swap`	Be parinkčių	Priklauso nuo RAM (perpus mažiau)
`/`	Be parinkčių	2 GB ar daugiau, priklausomai nuo laisvos disko vietos

Pavyzdys

Serveriui su 4 GB RAM (kuriam reikia 2 GB swap), naudojant ankstesnį skaidymą, reikia mažiausiai 35 GB disko vietos.

Vis dėlto primygtinai rekomenduojama prijungimo taške /var skirti daugiau disko vietos laikiniesiems ar ilgalaikiams grafiniams archyvams, nebent archyvai perkeliami į išorinę saugyklą.

Šiame serveryje didės duomenų apimtis šiuose kataloguose:

/var/log/: katalogas, kuriame yra įvairūs sistemos žurnalai.
/home/systanciahtml5share/: laikinojo saugojimo katalogas failams, kuriais keičiamasi su HTML5 taikomosiomis programomis.

Atskirti skirtingus katalogus į skirtingus skaidinius neprivaloma, bet rekomenduojama. Galite vadovautis šiais nurodymais:

Prijungimo taškas	Parinktys	Mažiausias dydis (GB)
`/boot`	nosuid,nodev,noexec	1
`/opt`	nosuid,nodev	1
`/tmp`	nosuid,nodev	4
`/srv`	nosuid,nodev	1
`/home`	nosuid,nodev,noexec	6
`/usr`	nodev	6
`/var`	nosuid,nodev	5
`/var/log`	nosuid,nodev,noexec	5
`/var/tmp`	nosuid,nodev,noexec	2
`swap`	Be parinkčių	Priklauso nuo RAM (perpus mažiau)
`/`	Be parinkčių	2 GB ar daugiau, priklausomai nuo laisvos disko vietos

Pavyzdys

Serveriui su 4 GB RAM (kuriam reikia 2 GB swap), naudojant ankstesnį skaidymą, reikia mažiausiai 35 GB disko vietos.

Tinklas¶

CyberElements Bastion Cluster platformai reikės:

2 tikrųjų IP adresų kiekvienam Mediation Controller serveriui (toje pačioje tinklo sąsajoje)
3 virtualiųjų IP adresų klasteriui veikti
1 IP adreso kiekvienam Edge Gateway arba HTML5 Gateway kompiuteriui

Papildoma informacija

Visi tikrieji ir virtualieji Mediation Controller serverių IP adresai turi priklausyti tam pačiam potinkliui.

Nesuderinamumai naudojant virtualiuosius IP

Virtualiųjų IP apkrovos balansavimas valdomas naudojant IPVS (IP Virtual Server).
Kad apkrovos balansavimas veiktų tinkamai, būtinos kelios sąlygos:

Išjunkite Reverse Path Forwarding (RPF) funkcijas Mediation Controller komponentams ir šių kompiuterių naudojamiems IP.
VMware aplinkoje Mediation Controller serveriams priskirkite tinklo adapterį E1000E, o ne VMXNET3.

Mediation Controller serveriai paprastai talpinami DMZ, tačiau jie taip pat gali būti talpinami privačioje DMZ arba viešajame debesyje. Tai priklausys nuo platformos naudojimo atvejo (pavyzdžiui, nuotolinė prieiga paslaugų teikėjams arba vidinės prieigos prie apsaugotų zonų apsauga).

Edge Gateway serveriai paprastai talpinami LAN tinkle, VLAN tinkluose, leidžiančiuose jiems palaikyti ryšį su tiksliniais ištekliais.

HTML5 Gateway serveriai gali būti talpinami LAN tinkle arba DMZ. Šioje dokumentacijoje numatytas komponento HTML5 Gateway diegimas Edge Gateway serveriuose, t. y. LAN tinkle.

Kad būtų lengviau atskirti skirtingus kompiuterių adresus, dokumentacijoje jie vadinami taip:

IP adreso pavadinimas	Reikšmė
`RIP_MED_WEB_MASTER`	Pagrindinis Mediation Controller serverio MASTER IP adresas, suteikiantis prieigą prie žiniatinklio konsolių.
`RIP_MED_WEB_SLAVE`	Pagrindinis Mediation Controller serverio SLAVE IP adresas, suteikiantis prieigą prie žiniatinklio konsolių.
`RIP_MED_SSL_MASTER`	Antrasis Mediation Controller serverio MASTER IP adresas, naudojamas komponento SSL Router.
`RIP_MED_SSL_SLAVE`	Antrasis Mediation Controller serverio SLAVE IP adresas, naudojamas komponento SSL Router.
`VIP_MED_WEB`	Virtualusis Mediation Controller klasterio IP adresas, suteikiantis prieigą prie žiniatinklio konsolių.
`VIP_MED_SSL`	Virtualusis Mediation Controller klasterio IP adresas, suteikiantis prieigą prie SSL Router.
`VIP_MED_ZEO`	Virtualusis Mediation Controller klasterio IP adresas, suteikiantis prieigą prie vidinės produkto konfigūracijos duomenų bazės.
`IP_GW`	Edge Gateway serverio IP adresas.
`IP_HTML5_GW`	HTML5 Gateway serverio IP adresas.

Informacija

Pateikiant informaciją apie srautus daroma prielaida, kad Mediation Controller serveriai yra DMZ, o Edge Gateway serveriai, kurie taip pat veikia kaip HTML5 Gateway, yra LAN tinkle.

Srautas iš WAN į DMZSrautas iš DMZ į WANSrautas iš DMZ į DMZSrautas iš LAN į WANSrautas iš LAN į DMZSrautas iš LAN į LAN

Mediation Controller IP adresai gali būti vieši IP adresai, tiesiogiai priskirti Mediation Controller serveriui, arba vieši IP adresai, NAT būdu verčiami į privačius IP adresus (rekomenduojama).

Šaltinis	Paskirties vieta	Paskirties prievadas	Komentarai
Vartotojo darbo stotis	`VIP_MED_WEB`	TCP 443 (jei naudojamas standartinis prievadas)	Leisti prieigą prie žiniatinklio konsolių ir taikomųjų programų, veikiančių tiesiogiai naršyklėje.
Vartotojo darbo stotis	`VIP_MED_SSL`	TCP 443 (jei naudojamas standartinis prievadas)	Sukurti TLS tunelį, kad būtų šifruojamas per CyberElements Bastion klientą einantis srautas.
`IP_GW`	`VIP_MED_WEB`	TCP 443 (jei naudojamas standartinis prievadas)	Kai Edge Gateway yra nuotoliniame tinkle. Prisijungimas prie Edge Gateway pairing sistemos.
`IP_GW`	`VIP_MED_SSL`	TCP 443 (jei naudojamas standartinis prievadas)	Kai Edge Gateway yra nuotoliniame tinkle. Prisijungimas prie SSL Router, siekiant sukurti TLSv1.3 tunelį ir juo nukreipti produkto ryšius.

Šaltinis	Paskirties vieta	Paskirties prievadas	Komentarai
`RIP_MED_WEB_MASTER` `RIP_MED_WEB_SLAVE`	Debian saugyklos	TCP 80	Būtina norint įdiegti CyberElements Bastion priklausomybes ir nuolat naujinti sistemą. Dokumentacijoje ir virtualiuosiuose įrenginiuose naudojamos `ftp.fr.debian.org` ir `security.debian.org`.
`RIP_MED_WEB_MASTER` `RIP_MED_WEB_SLAVE`	`packages.microsoft.com`	TCP 443	Microsoft saugykla, skirta MS SQL tvarkyklėms diegti ir naujinti. Būtina tik tuo atveju, jei norima pasiekti MS SQL duomenų bazę (virtualiuosiuose įrenginiuose MS SQL tvarkyklės jau yra).
`RIP_MED_WEB_MASTER` `RIP_MED_WEB_SLAVE`	NTP laiko serveris	UDP 123	Neprivaloma, jei serveris turi sinchronizuoti laikrodį su DMZ esančiu serveriu. Pagal numatytuosius parametrus naudojami Debian telkiniai: `0.debian.pool.ntp.org`, `1.debian.pool.ntp.org`, `2.debian.pool.ntp.org` ir `3.debian.pool.ntp.org`.
`RIP_MED_WEB_MASTER` `RIP_MED_WEB_SLAVE`	SMTP serveris	TCP 25, 465, 587	Būtina, jei el. laiškams siųsti turi būti naudojamas SMTP serveris, esantis WAN tinkle.
`RIP_MED_WEB_MASTER` `RIP_MED_WEB_SLAVE`	DNS serveris	UDP 53	Būtina DNS vardų skyrai. Jis gali būti WAN tinkle arba DMZ.
`RIP_MED_WEB_MASTER` `RIP_MED_WEB_SLAVE`	`api.neomia.ai`	TCP 443	(Pasirinktinai) Prisijungimas prie elgsenos biometriją naudojančio MFA produkto Neomia Pulse API.
`RIP_MED_WEB_MASTER` `RIP_MED_WEB_SLAVE`	EU: `keepersecurity.eu` US: `keepersecurity.com` AU: `keepersecurity.com.au` CA: `keepersecurity.ca` JP: `keepersecurity.jp`	TCP 443	(Pasirinktinai) Prisijungimas prie seifo Keeper EPM, atsižvelgiant į jo vietą.

Šaltinis	Paskirties vieta	Paskirties prievadas	Komentarai
`RIP_MED_WEB_MASTER` `RIP_MED_WEB_SLAVE`	NTP laiko serveris	UDP 123	Jei serveris turi sinchronizuoti laikrodį su DMZ esančiu serveriu.
`RIP_MED_WEB_MASTER` `RIP_MED_WEB_SLAVE`	SMTP serveris	TCP 25, 465, 587	Būtina, jei el. laiškams siųsti turi būti naudojamas SMTP serveris, esantis DMZ.
`RIP_MED_WEB_MASTER` `RIP_MED_WEB_SLAVE`	Duomenų bazės serveris	TCP 1433, 5432 arba bet kuris kitas pasirinktinis prievadas	Būtina, jei norite naudoti išorinę duomenų bazę, esančią DMZ.
`RIP_MED_WEB_MASTER` `RIP_MED_WEB_SLAVE`	DNS serveris	UDP 53	Būtina DNS vardų skyrai. Jis gali būti DMZ arba WAN tinkle.

Papildoma informacija

Mediation Controller serveriai turi galėti palaikyti ryšį tarpusavyje iš bet kurio savo adreso ir į bet kurį savo adresą, nepriklausomai nuo protokolo.

Šaltinis	Paskirties vieta	Paskirties prievadas	Komentarai
`IP_GW`	Debian saugyklos	TCP 80	Būtina norint įdiegti CyberElements Bastion priklausomybes ir nuolat naujinti sistemą. Dokumentacijoje ir virtualiuosiuose įrenginiuose naudojamos `ftp.fr.debian.org` ir `security.debian.org`.
`IP_GW`	DNS serveris	UDP 53	Būtina DNS vardų skyrai. Neprivaloma, jei DNS serveris pasiekiamas LAN tinkle arba DMZ.
`IP_GW`	NTP laiko serveris	UDP 123	Neprivaloma, jei serveris turi sinchronizuoti laikrodį su LAN tinkle arba DMZ esančiu serveriu. Pagal numatytuosius parametrus naudojami Debian telkiniai: `0.debian.pool.ntp.org`, `1.debian.pool.ntp.org`, `2.debian.pool.ntp.org` ir `3.debian.pool.ntp.org`.
`IP_GW`	SMS paslaugų teikėjas	TCP 443	(Pasirinktinai) Prisijungimas prie CyberElements Bastion palaikomų SMS paslaugų teikėjų API.

Šaltinis (-iai)	Paskirties vieta	Paskirties prievadas	Komentarai
`IP_GW` `IP_HTML5_GW`	`VIP_MED_WEB` `RIP_MED_WEB_MASTER` `RIP_MED_WEB_SLAVE`	TCP 443 (jei naudojamas standartinis prievadas)	Prisijungimas prie Edge Gateway pairing sistemos.
`IP_GW` `IP_HTML5_GW`	`VIP_MED_SSL` `RIP_MED_SSL_MASTER` `RIP_MED_SSL_SLAVE`	TCP 443 (jei naudojamas standartinis prievadas)	Prisijungimas prie SSL Router, siekiant sukurti TLSv1.3 tunelį ir juo nukreipti produkto ryšius.
Kliento darbo stotis	`VIP_MED_WEB` `RIP_MED_WEB_MASTER` `RIP_MED_WEB_SLAVE`	TCP 443 (jei naudojamas standartinis prievadas)	Prisijungimas prie įvairių produkto žiniatinklio konsolių.
Kliento darbo stotis	`VIP_MED_SSL` `RIP_MED_SSL_MASTER` `RIP_MED_SSL_SLAVE`	TCP 443 (jei naudojamas standartinis prievadas)	Sukurti TLS tunelį, kad būtų šifruojamas per CyberElements Bastion klientą einantis srautas.
Administratoriaus darbo stotis	`RIP_MED_WEB_MASTER` `RIP_MED_WEB_SLAVE`	TCP 22	SSH ryšys su Mediation Controller serveriu.

Šaltinis	Paskirties vieta	Paskirties prievadas	Komentarai
`IP_GW`	DNS serveris	UDP 53	Būtina DNS vardų skyrai. Neprivaloma, jei naudojamas DNS serveris WAN tinkle arba DMZ.
`IP_GW`	LDAP arba AD serveriai	TCP 389 arba 636	CyberElements Bastion ryšys su LDAP arba AD serveriu.
`IP_GW`	AD serveriai	TCP 139 ir 445	AD paskyrų slaptažodžių rotacija, naudojama tik tada, kai rotacija per LDAPS neįmanoma.
`IP_GW`	RDP serveriai	TCP/UDP 3389 (jei naudojamas standartinis prievadas)	CyberElements Bastion ryšys su RDP serveriais.
`IP_GW`	SSH serveriai	TCP 22 (jei naudojamas standartinis prievadas)	CyberElements Bastion ryšys su SSH serveriais.
`IP_GW`	VNC serveriai	TCP 5900 (jei naudojamas standartinis prievadas)	CyberElements Bastion ryšys su VNC serveriais.
`IP_GW`	Žiniatinklio serveriai	TCP 80 arba 443 (jei naudojamas standartinis prievadas)	CyberElements Bastion ryšys su žiniatinklio serveriais.
`IP_GW`	Citrix Storefront serveriai	TCP 443 (jei naudojamas standartinis prievadas)	CyberElements Bastion ryšys su Citrix Storefront serveriais.
`IP_GW`	Citrix taikomųjų programų serveriai	TCP 1494	CyberElements Bastion ryšys su Citrix taikomųjų programų serveriais (taikomosios programos arba darbalaukio paleidimas naudojant ICA klientą).
`IP_GW`	Failų serveriai	TCP 139 ir 445	CyberElements Bastion ryšys su failų serveriais.
`IP_GW`	Duomenų bazės serveris	TCP 1433, 5432 arba bet kuris kitas pasirinktinis prievadas	Būtina, jei norite naudoti išorinę duomenų bazę, esančią LAN tinkle (pavyzdžiui, norint perkelti Vault duomenų bazę).
`IP_GW`	RDP serveriai	TCP 139 ir 445	Įrašymo agento diegimas per administravimo konsolę.
Kliento darbo stotis	`IP_GW`	TCP [administratoriaus apibrėžtas prievadas]	Tiesioginės SSH prieigos ryšys.
Kliento darbo stotis	`IP_GW`	TCP 3389	Tiesioginės RDP prieigos ryšys.
RDP serveriai	`IP_GW`	TCP 8443	Įrašymo agento ir Edge Gateway ryšys, skirtas vartotojo seanso įrašui įkelti.
Administratoriaus darbo stotis	`IP_GW`	TCP 22	SSH ryšys su Edge Gateway serveriu.

Duomenų bazė¶

CyberElements Bastion savo veikimui naudoja skirtingas duomenų bazes (DB).

Sistemos konfigūracijos duomenų bazė. Šioje duomenų bazėje saugomi visi administravimo sąsajos /system parametrai, ir ji turi būti pavadinta default.

Dėmesio!

Prieš prisijungdami prie CyberElements Bastion, turite sukurti duomenų bazę default (ji nesukuriama automatiškai).
Organizacijos konfigūracijos duomenų bazė. Kiekvienai Mediation Controller serveryje sukurtai organizacijai reikės atskiros DB, kurioje bus visi organizacijos parametrai ir žurnalai.
Vault duomenų bazė. Kiekvienai sukurtai organizacijai sukuriama atskira produkto Vault DB, kuri pagal numatytuosius parametrus saugoma Mediation Controller serveryje. Šią duomenų bazę galima perkelti į LAN tinklą, jei Edge Gateway gali ją pasiekti.

Naudojant išorines duomenų bazes (įprastas atvejis Cluster architektūroje), palaikomi šie duomenų bazių tipai:

PostgreSQL 15 versija visoms 3 duomenų bazėms.
Microsoft SQL Server ir jo palaikomos versijos be priežiūros pratęsimo organizacijų konfigūracijos duomenų bazėms ir Vault perkėlimui.

Licencija¶

Kad Mediation Controller serveris veiktų, reikia licencijos.
Licenciją galima gauti iš Systancia naudojant šią licencijos užklausos formą: Prašyti licencijos

Sertifikatai¶

CyberElements Bastion naudoja TLS šifravimą vidiniam ryšiui ir HTTPS žiniatinklio prieigai apsaugoti, todėl reikia naudoti įvairius x509 sertifikatus. Toliau pateiktoje informacijoje apibendrinami skirtingi reikalingi sertifikatai, jų paskirtis ir minimalūs parametrai.

Sertifikato saugos apribojimas

Nepriklausomai nuo naudojamo sertifikato, įsitikinkite, kad jis atitinka OpenSSL 2 saugos lygį, kurį galima apibendrinti taip:

Sertifikato ir jo sertifikavimo institucijų sertifikatų privatusis raktas, naudojant RSA, DSA ir DH šifravimą, turi būti bent 2048 bitų; elipsinių kreivių (ECC) raktai turi būti bent 224 bitų.
Sertifikato parašas negali būti MD5 arba SHA-1 (pageidautina SHA-512).

Mediation Controller serverisEdge Gateway serverisHTML5 Gateway serverisTiesioginis įrašymo agentas

Šis serveris naudoja penkis skirtingus sertifikatus:

Žiniatinklio sertifikatą, kad būtų galima naudoti HTTPS.
Komponento SSL Router sertifikatą; šis komponentas atsakingas už TLS tunelių kūrimą ir srauto tarp jų nukreipimą.
Komponento Watchdog sertifikatą; šis komponentas atsakingas už SSL Router tinkamo veikimo stebėjimą.
CyberElements Bastion kliento sertifikatą, kad klientas galėtų prisijungti prie SSL Router ir sukurti TLSv1.3 tunelį.
Sertifikatą, skirtą mainams tarp Mediation Controller serverių (tik serveriui SLAVE).

Žiniatinklio sertifikatas

Rekomendacija

Pageidautina, kad žiniatinklio sertifikatą būtų išdavusi viešoji sertifikavimo institucija (CA), pripažinta patikima.
Taip be jokių papildomų veiksmų užtikrinama, kad vartotojai negautų jokių įspėjimų, susijusių su naudojamu sertifikatu (jei jis galioja ir apima vardą, kuriuo vartotojas inicijavo ryšį). Naudojant vidinės PKI išduotą sertifikatą, CA sertifikatą reikia įdiegti vartotojų darbo stotyse.

Žiniatinklio sertifikato atributai turi atitikti šiuos apribojimus:

Sertifikato galiojimo laikotarpis negali viršyti 398 dienų (13 mėnesių).
Parašui naudojama maišos funkcija turi priklausyti SHA-2 šeimai; rekomenduojame SHA-512.
Sertifikato ir jo sertifikavimo institucijų sertifikatų privatusis raktas, naudojant RSA, DSA ir DH šifravimą, turi būti bent 2048 bitų; elipsinių kreivių (ECC) raktai turi būti bent 224 bitų. Rekomenduojame 4096 bitų dydį RSA ir 384 bitų ECDSA kreivę secp384r1.
Atributo Common Name reikšmė turi būti DNS vardas (arba pakaitos simbolių vardas), kuriam skirtas sertifikatas.
Atributas Key Usage turi turėti reikšmes critical, digitalSignature ir keyEncipherment.
Atributas Extended Key Usage turi turėti reikšmę id-kp-serverAuth (OpenSSL naudoja reikšmę serverAuth).
Atribute Subject Alternative Name turi būti bent vienas įrašas, atitinkantis pagrindinį DNS vardą; galima pridėti kitų įrašų, kad būtų apimti kiti DNS vardai ar IP adresai.

Priimamas sertifikato formatas: P12 arba PEM (su dviem failais: vienas sertifikatui, kitas privačiajam raktui).

SSL Router sertifikatas

Komponento SSL Router sertifikato atributai turi atitikti šiuos apribojimus:

Sertifikato galiojimo laikotarpis negali viršyti 1095 dienų (3 metų).
Parašui naudojama maišos funkcija turi priklausyti SHA-2 šeimai; rekomenduojame SHA-512.
Sertifikato ir jo sertifikavimo institucijų sertifikatų privatusis raktas, naudojant RSA, DSA ir DH šifravimą, turi būti bent 2048 bitų; elipsinių kreivių (ECC) raktai turi būti bent 224 bitų. Rekomenduojame 4096 bitų dydį RSA ir 384 bitų ECDSA kreivę secp384r1.
Atributo Common Name reikšmė turi būti IP adresas arba DNS vardas, nukreipiantis į IP_MED_SSL.
Atributas Key Usage turi turėti reikšmes critical, digitalSignature ir keyEncipherment.
Atributas Extended Key Usage turi turėti reikšmę serverAuth.

Priimamas sertifikato formatas: P12.

Watchdog sertifikatas

Komponento Watchdog sertifikato atributai turi atitikti šiuos apribojimus:

Sertifikato galiojimo laikotarpis negali viršyti 1095 dienų (3 metų).
Parašui naudojama maišos funkcija turi priklausyti SHA-2 šeimai; rekomenduojame SHA-512.
Sertifikato ir jo sertifikavimo institucijų sertifikatų privatusis raktas, naudojant RSA, DSA ir DH šifravimą, turi būti bent 2048 bitų; elipsinių kreivių (ECC) raktai turi būti bent 224 bitų. Rekomenduojame 4096 bitų dydį RSA ir 384 bitų ECDSA kreivę secp384r1.
Atributo Common Name reikšmė turi būti komponento Watchdog identifikavimo vardas, pavyzdžiui, „Watchdog“.
Atributas Key Usage turi turėti reikšmes critical ir digitalSignature.
Atributas Extended Key Usage turi turėti reikšmę clientAuth.

Priimamas sertifikato formatas: P12.

CyberElements Bastion kliento sertifikatas

CyberElements Bastion kliento sertifikato atributai turi atitikti šiuos apribojimus:

Sertifikato galiojimo laikotarpis negali viršyti 1095 dienų (3 metų).
Parašui naudojama maišos funkcija turi priklausyti SHA-2 šeimai; rekomenduojame SHA-512.
Sertifikato ir jo sertifikavimo institucijų sertifikatų privatusis raktas, naudojant RSA, DSA ir DH šifravimą, turi būti bent 2048 bitų; elipsinių kreivių (ECC) raktai turi būti bent 224 bitų. Rekomenduojame 4096 bitų dydį RSA ir 384 bitų ECDSA kreivę secp384r1.
Atributo Common Name reikšmė turi būti kliento identifikavimo vardas, pavyzdžiui, „cyberelements-cleanroom-client“.
Atributas Key Usage turi turėti reikšmes critical ir digitalSignature.
Atributas Extended Key Usage turi turėti reikšmę clientAuth.

Priimamas sertifikato formatas: P12 su slaptažodžiu, sudarytu iš bent 8 raidinių skaitinių simbolių (specialieji simboliai, raidės su diakritiniais ženklais ar brūkšneliai nepalaikomi).

Tarpserverinis sertifikatas

CyberElements Bastion tarpserverinio ryšio sertifikato atributai turi atitikti šiuos apribojimus:

Sertifikato galiojimo laikotarpis negali viršyti 1095 dienų (3 metų).
Parašui naudojama maišos funkcija turi priklausyti SHA-2 šeimai; rekomenduojame SHA-512.
Sertifikato ir jo sertifikavimo institucijų sertifikatų privatusis raktas, naudojant RSA, DSA ir DH šifravimą, turi būti bent 2048 bitų; elipsinių kreivių (ECC) raktai turi būti bent 224 bitų. Rekomenduojame 4096 bitų dydį RSA ir 384 bitų ECDSA kreivę secp384r1.
Atributo Common Name reikšmė turi būti identifikavimo vardas, pavyzdžiui, „interserver-cleanroom“.
Atributas Key Usage turi turėti reikšmes critical ir digitalSignature.
Atributas Extended Key Usage turi turėti reikšmę clientAuth.

Priimamas sertifikato formatas: P12 su bent 8 simbolių slaptažodžiu be specialiųjų simbolių.

Šis serveris naudoja du skirtingus sertifikatus:

Sertifikatą, kuriuo komponentas Edge Gateway autentifikuojamas prie SSL Router.
Įrašymo paslaugos sertifikatą, kad įrašymo agentai galėtų prie jos prisijungti.

Informacija

Edge Gateway serveryje gali būti keli Edge Gateway egzemplioriai, todėl reikia tiek sertifikatų, kiek yra Edge Gateway egzempliorių (išskyrus specifinį klasterio architektūros atvejį).

Tačiau Edge Gateway serveris turi tik vieną įrašymo paslaugą, todėl reikės tik vieno sertifikato kiekvienam kompiuteriui.

Edge Gateway sertifikatas

Komponento Edge Gateway sertifikato atributai turi atitikti šiuos apribojimus:

Sertifikato galiojimo laikotarpis negali viršyti 1095 dienų (3 metų).
Parašui naudojama maišos funkcija turi priklausyti SHA-2 šeimai; rekomenduojame SHA-512.
Sertifikato ir jo sertifikavimo institucijų sertifikatų privatusis raktas, naudojant RSA, DSA ir DH šifravimą, turi būti bent 2048 bitų; elipsinių kreivių (ECC) raktai turi būti bent 224 bitų. Rekomenduojame 4096 bitų dydį RSA ir 384 bitų ECDSA kreivę secp384r1.
Atributo Common Name reikšmė turi identifikuoti loginį komponentą Edge Gateway. Šis pavadinimas yra tokios formos: <GW_NAME>@<ORGANIZATION_NAME>, kur <GW_NAME> atitinka komponento Edge Gateway pavadinimą (kaip įvesta administravimo konsolėje), o <ORGANIZATION_NAME> – organizacijos, prie kurios jungsis Edge Gateway, pavadinimą.
Atributas Key Usage turi turėti reikšmes critical ir digitalSignature.
Atributas Extended Key Usage turi turėti reikšmę clientAuth.

Priimamas sertifikato formatas: P12.

Įrašymo paslaugos sertifikatas

Įrašymo paslaugos sertifikato atributai turi atitikti šiuos apribojimus:

Sertifikato galiojimo laikotarpis negali viršyti 1095 dienų (3 metų).
Parašui naudojama maišos funkcija turi priklausyti SHA-2 šeimai; rekomenduojame SHA-512.
Sertifikato ir jo sertifikavimo institucijų sertifikatų privatusis raktas, naudojant RSA, DSA ir DH šifravimą, turi būti bent 2048 bitų; elipsinių kreivių (ECC) raktai turi būti bent 224 bitų. Rekomenduojame 4096 bitų dydį RSA ir 384 bitų ECDSA kreivę secp384r1.
Atributo Common Name reikšmė turi būti FQDN pavadinimas arba bent jau komponento Edge Gateway kompiuterio pavadinimas.
Atributas Key Usage turi turėti reikšmes critical, digitalSignature ir keyEncipherment.
Atributas Extended Key Usage turi turėti reikšmę serverAuth.

Priimamas sertifikato formatas: P12.

Šis serveris naudoja vienintelį sertifikatą – tą, kuriuo komponentas HTML5 Gateway autentifikuojamas prie SSL Router.

Informacija

HTML5 Gateway serveryje gali būti keli HTML5 Gateway egzemplioriai, todėl reikia tiek sertifikatų, kiek yra HTML5 Gateway egzempliorių (išskyrus specifinį klasterio architektūros atvejį).

HTML5 Gateway sertifikatas

Komponento HTML5 Gateway sertifikato atributai turi atitikti šiuos apribojimus:

Sertifikato galiojimo laikotarpis negali viršyti 1095 dienų (3 metų).
Parašui naudojama maišos funkcija turi priklausyti SHA-2 šeimai; rekomenduojame SHA-512.
Sertifikato ir jo sertifikavimo institucijų sertifikatų privatusis raktas, naudojant RSA, DSA ir DH šifravimą, turi būti bent 2048 bitų; elipsinių kreivių (ECC) raktai turi būti bent 224 bitų. Rekomenduojame 4096 bitų dydį RSA ir 384 bitų ECDSA kreivę secp384r1.
Atributo Common Name reikšmė turi identifikuoti loginį komponentą Edge Gateway. Šis pavadinimas yra tokios formos: <HTML5_GW_NAME>@<ORGANIZATION_NAME>, kur <HTML5_GW_NAME> atitinka komponento Edge Gateway pavadinimą (kaip įvesta administravimo konsolėje), o <ORGANIZATION_NAME> – organizacijos, prie kurios jungsis Edge Gateway, pavadinimą.
Atributas Key Usage turi turėti reikšmes critical ir digitalSignature.
Atributas Extended Key Usage turi turėti reikšmę clientAuth.

Priimamas sertifikato formatas: P12.

Veikdamas tiesioginės prieigos režimu, tiesioginis įrašymo agentas naudoja sertifikatą, kad autentifikuotųsi prie Edge Gateway įrašymo paslaugos.

Sertifikato atributai turi atitikti šiuos apribojimus:

Sertifikato galiojimo laikotarpis negali viršyti 1095 dienų (3 metų).
Parašui naudojama maišos funkcija turi priklausyti SHA-2 šeimai; rekomenduojame SHA-512.
Sertifikato ir jo sertifikavimo institucijų sertifikatų privatusis raktas, naudojant RSA, DSA ir DH šifravimą, turi būti bent 2048 bitų; elipsinių kreivių (ECC) raktai turi būti bent 224 bitų. Rekomenduojame 4096 bitų dydį RSA ir 384 bitų ECDSA kreivę secp384r1.
Atributo Common Name reikšmė turi būti trumpasis pavadinimas, FQDN arba bet koks kitas pavadinimas, vienareikšmiškai identifikuojantis kompiuterį. Šis pavadinimas naudojamas kompiuteryje atliekamiems veiksmams identifikuoti ir sekti.
Atributas Key Usage turi turėti reikšmes critical ir digitalSignature.
Atributas Extended Key Usage turi turėti reikšmę clientAuth.

Priimamas sertifikato formatas: P12.