CyberElements Bastion Standalone platformos būtinosios sąlygos¶

Kompiuteris¶

CyberElements Bastion galima įdiegti tiek fiziniuose, tiek virtualiuosiuose kompiuteriuose.
Produktas pats neatlieka jokios virtualizacijos, todėl virtualiosioms mašinoms nereikia įjungti įdėtosios virtualizacijos parinkties.

OS¶

CyberElements Bastion veikia 64 bitų Debian 12 (Bookworm) kompiuteriuose.
Rekomenduojama naudoti kompiuterius be grafinės sąsajos ir apriboti įdiegtus komponentus SSH serveriu.

CPU¶

4 branduolių CPU tiks daugeliui produkto naudojimo atvejų.

RAM¶

Dėmesio

Toliau pateiktos RAM vertės yra tik orientacinės, nes RAM sąnaudoms įtakos gali turėti daug kintamųjų (naudojamos produkto funkcijos arba kartu su produktu kompiuteryje įdiegti elementai).

Mediation Controller serverisEdge Gateway serverisHTML5 Gateway serveris

RAM sąnaudos paprastai priklauso nuo vienu metu prisijungusių vartotojų, kuriuos gali aptarnauti platforma, skaičiaus:

Nuo 1 iki 5 vienu metu prisijungusių vartotojų: mažiausiai 2 GB RAM, rekomenduojama 4 GB.
Nuo 5 iki 20 vienu metu prisijungusių vartotojų: mažiausiai 4 GB RAM.
20 ar daugiau vienu metu prisijungusių vartotojų: mažiausiai 8 GB RAM.

RAM sąnaudos priklauso nuo vienu metu vykstančių seansų skaičiaus ir naudojamų taikomųjų programų tipų.

Tipinės vertės yra tokios:

Nuo 1 iki 5 vienu metu prisijungusių vartotojų: mažiausiai 2 GB RAM, rekomenduojama 4 GB.
Nuo 5 iki 20 vienu metu prisijungusių vartotojų: mažiausiai 4 GB RAM.
20 ar daugiau vienu metu prisijungusių vartotojų: 8 GB RAM.

Atminkite, kad RDP arba VNC taikomoji programa be agento gali sunaudoti iki 400 MB kiekvienai paleistai taikomajai programai.
Kai šių tipų taikomosios programos naudojamos intensyviai, rekomenduojama stebėti RAM naudojimą, kad būtų galima atitinkamai pakoreguoti jos dydį.

RAM sąnaudos priklauso nuo vienu metu atidarytų HTML5 taikomųjų programų skaičiaus.

Baziniam serveriui sistemos veikimui reikia 2 GB ir papildomai 50 MB kiekvienai vienu metu veikiančiai HTML5 taikomajai programai.

Jei vaidmuo HTML5 Gateway derinamas su serveriu Edge Gateway, prie serverio Edge Gateway RAM rekomendacijos pridėkite 50 MB kiekvienai vienu metu veikiančiai HTML5 taikomajai programai.

Diskas¶

Rekomenduojame diską skaidyti naudojant LVM, kad būtų daugiau lankstumo, jei naudojimo metu reikėtų keisti kompiuterio dydį.

Skirtingų tipų serveriai diską naudoja skirtingai, o duomenų apimtys taip pat skiriasi. Toliau pateikiama informacija pagal serverio tipą:

Mediation Controller serverisEdge Gateway serverisHTML5 Gateway serveris

Šiame serveryje didės duomenų apimtis šiuose kataloguose:

/var/log/: katalogas, kuriame yra įvairūs sistemos žurnalai.
/var/lib/postgresql/15/main/: katalogas, kuriame yra vietinės duomenų bazės duomenys.
/var/ipdiva/: katalogas, kuriame yra produktui būdingi duomenys.

Atskirti skirtingus katalogus į skirtingus skaidinius neprivaloma, bet rekomenduojama. Galite vadovautis šiais nurodymais:

Prijungimo taškas	Parinktys	Mažiausias dydis (GB)
`/boot`	nosuid,nodev,noexec	1
`/opt`	nosuid,nodev	1
`/tmp`	nosuid,nodev	4
`/srv`	nosuid,nodev	1
`/home`	nosuid,nodev,noexec	6
`/usr`	nodev	6
`/var`	nosuid	5
`/var/log`	nosuid,nodev,noexec	5
`/var/tmp`	nosuid,nodev,noexec	2
`swap`	Be parinkčių	Priklauso nuo RAM (perpus mažiau)
`/`	Be parinkčių	2 GB ar daugiau, priklausomai nuo laisvos disko vietos

Pavyzdys

Serveriui su 4 GB RAM (kuriam reikia 2 GB swap), naudojant ankstesnį skaidymą, reikia mažiausiai 35 GB disko vietos.

Šiame serveryje didės duomenų apimtis šiuose kataloguose:

/var/log/: katalogas, kuriame yra įvairūs sistemos žurnalai.
/var/lib/ipdiva/carerecord/recording/: katalogas, kuriame yra šiuo metu įrašomi archyvai; taigi tai laikinojo saugojimo katalogas.
/var/lib/ipdiva/carerecord/archives/: numatytasis katalogas, kuriame yra produkto grafiniai archyvai.
/var/ipdiva/care/sshrecord/: numatytasis katalogas, kuriame yra produkto negrafiniai (SSH) archyvai.

Atskirti skirtingus katalogus į skirtingus skaidinius neprivaloma, bet rekomenduojama. Galite vadovautis šiais nurodymais:

Prijungimo taškas	Parinktys	Mažiausias dydis (GB)
`/boot`	nosuid,nodev,noexec	1
`/opt`	nosuid,nodev	1
`/tmp`	nosuid,nodev	4
`/srv`	nosuid,nodev	1
`/home`	nosuid,nodev,noexec	6
`/usr`	nodev	6
`/var`	nosuid,nodev	5
`/var/log`	nosuid,nodev,noexec	5
`/var/tmp`	nosuid,nodev,noexec	2
`swap`	Be parinkčių	Priklauso nuo RAM (perpus mažiau)
`/`	Be parinkčių	2 GB ar daugiau, priklausomai nuo laisvos disko vietos

Pavyzdys

Serveriui su 4 GB RAM (kuriam reikia 2 GB swap), naudojant ankstesnį skaidymą, reikia mažiausiai 35 GB disko vietos.

Vis dėlto primygtinai rekomenduojama prijungimo taške /var skirti daugiau disko vietos laikiniesiems ar ilgalaikiams grafiniams archyvams, nebent archyvai perkeliami į išorinę saugyklą.

Šiame serveryje didės duomenų apimtis šiuose kataloguose:

/var/log/: katalogas, kuriame yra įvairūs sistemos žurnalai.
/home/systanciahtml5share/: laikinojo saugojimo katalogas failams, kuriais keičiamasi su HTML5 taikomosiomis programomis.

Atskirti skirtingus katalogus į skirtingus skaidinius neprivaloma, bet rekomenduojama. Galite vadovautis šiais nurodymais:

Prijungimo taškas	Parinktys	Mažiausias dydis (GB)
`/boot`	nosuid,nodev,noexec	1
`/opt`	nosuid,nodev	1
`/tmp`	nosuid,nodev	4
`/srv`	nosuid,nodev	1
`/home`	nosuid,nodev,noexec	6
`/usr`	nodev	6
`/var`	nosuid,nodev	5
`/var/log`	nosuid,nodev,noexec	5
`/var/tmp`	nosuid,nodev,noexec	2
`swap`	Be parinkčių	Priklauso nuo RAM (perpus mažiau)
`/`	Be parinkčių	2 GB ar daugiau, priklausomai nuo laisvos disko vietos

Pavyzdys

Serveriui su 4 GB RAM (kuriam reikia 2 GB swap), naudojant ankstesnį skaidymą, reikia mažiausiai 35 GB disko vietos.

Tinklas¶

CyberElements Bastion Standalone platformai reikės:

2 IP adresų Mediation Controller serveriui (toje pačioje tinklo sąsajoje)
1 IP adreso kiekvienam Edge Gateway arba HTML5 Gateway kompiuteriui

Mediation Controller serveris paprastai įrengiamas DMZ, tačiau jį taip pat galima įrengti privačioje DMZ arba talpinti viešajame debesyje. Tai priklausys nuo platformos naudojimo scenarijaus (pavyzdžiui, nuotolinė prieiga paslaugų teikėjams arba vidinės prieigos prie apsaugotų zonų apsauga).

Edge Gateway serveriai paprastai talpinami LAN tinkle, VLAN tinkluose, leidžiančiuose jiems palaikyti ryšį su tiksliniais ištekliais.

HTML5 Gateway serverius galima įrengti LAN arba DMZ. Šioje dokumentacijoje numatytas HTML5 Gateway komponento įdiegimas Edge Gateway serveryje, t. y. LAN.

Kad būtų lengviau atskirti skirtingus kompiuterių adresus, dokumentacijoje jie vadinami taip:

IP adreso pavadinimas	Reikšmė
`IP_MED_WEB`	Pagrindinis Mediation Controller serverio IP adresas, suteikiantis prieigą prie žiniatinklio konsolių.
`IP_MED_SSL`	Antrasis Mediation Controller serverio IP adresas, kurį naudoja komponentas SSL Router.
`IP_GW`	Edge Gateway serverio IP adresas.
`IP_HTML5_GW`	HTML5 Gateway serverio IP adresas.

Informacija

Pateikta informacija apie srautus grindžiama prielaida, kad Mediation Controller serveris yra DMZ, o Edge Gateway serveris, kuris taip pat atlieka HTML5 Gateway vaidmenį, yra LAN.

Srautas iš WAN į DMZSrautas iš DMZ į WANSrautas iš DMZ į DMZSrautas iš LAN į WANSrautas iš LAN į DMZSrautas iš LAN į LAN

Mediation Controller IP adresai gali būti vieši IP adresai, tiesiogiai priskirti Mediation Controller serveriui, arba vieši IP adresai, NAT būdu verčiami į privačius IP adresus (rekomenduojama).

Šaltinis	Paskirties vieta	Paskirties prievadas	Komentarai
Vartotojo darbo stotis	`IP_MED_WEB`	TCP 443 (jei naudojamas standartinis prievadas)	Leisti prieigą prie žiniatinklio konsolių ir taikomųjų programų, veikiančių tiesiogiai naršyklėje.
Vartotojo darbo stotis	`IP_MED_SSL`	TCP 443 (jei naudojamas standartinis prievadas)	Sukurti TLS tunelį per CyberElements Bastion klientą einančiam srautui šifruoti.
`IP_GW`	`IP_MED_WEB`	TCP 443 (jei naudojamas standartinis prievadas)	Kai Edge Gateway yra nuotoliniame tinkle. Prisijungimas prie Edge Gateway pairing sistemos.
`IP_GW`	`IP_MED_SSL`	TCP 443 (jei naudojamas standartinis prievadas)	Kai Edge Gateway yra nuotoliniame tinkle. Prisijungimas prie komponento SSL Router, kad būtų sukurtas TLSv1.3 tunelis ir per jį nukreipiami produkto ryšiai.

Šaltinis	Paskirties vieta	Paskirties prievadas	Komentarai
`IP_MED_WEB`	Debian saugyklos	TCP 80	Būtina CyberElements Bastion priklausomybėms įdiegti ir sistemai naujinti. Dokumentacijoje ir virtualiuosiuose įrenginiuose naudojami `ftp.fr.debian.org` ir `security.debian.org`.
`IP_MED_WEB`	`packages.microsoft.com`	TCP 443	Microsoft saugykla MS SQL tvarkyklėms įdiegti ir naujinti. Būtina tik tada, jei norima pasiekti MS SQL duomenų bazę (virtualiuosiuose įrenginiuose MS SQL tvarkyklės jau yra).
`IP_MED_WEB`	NTP laiko serveris	UDP 123	Pasirinktinai, jei serveriui reikia sinchronizuoti laikrodį su DMZ esančiu serveriu. Pagal numatytuosius parametrus naudojami Debian telkiniai: `0.debian.pool.ntp.org`, `1.debian.pool.ntp.org`, `2.debian.pool.ntp.org` ir `3.debian.pool.ntp.org`.
`IP_MED_WEB`	SMTP serveris	TCP 25, 465, 587	Būtina, jei el. laiškams siųsti reikia naudoti WAN esantį SMTP serverį.
`IP_MED_WEB`	DNS serveris	UDP 53	Būtina DNS skyrai. Jis gali būti WAN arba DMZ.
`IP_MED_WEB`	`api.neomia.ai`	TCP 443	(Pasirinktinai) Prisijungimas prie elgsenos biometrija pagrįsto MFA produkto Neomia Pulse API.
`IP_MED_WEB`	EU: `keepersecurity.eu` US: `keepersecurity.com` AU: `keepersecurity.com.au` CA: `keepersecurity.ca` JP: `keepersecurity.jp`	TCP 443	(Pasirinktinai) Prisijungimas prie Keeper EPM seifo, atsižvelgiant į jo vietą.

Šaltinis	Paskirties vieta	Paskirties prievadas	Komentarai
`IP_MED_WEB`	NTP laiko serveris	UDP 123	Jei serveriui reikia sinchronizuoti laikrodį su DMZ esančiu serveriu.
`IP_MED_WEB`	SMTP serveris	TCP 25, 465, 587	Būtina, jei el. laiškams siųsti reikia naudoti DMZ esantį SMTP serverį.
`IP_MED_WEB`	Duomenų bazės serveris	TCP 1433, 5432 ar bet kuris kitas pasirinktinis prievadas	Būtina, jei norite naudoti DMZ esančią išorinę duomenų bazę.
`IP_MED_WEB`	DNS serveris	UDP 53	Būtina DNS skyrai. Jis gali būti DMZ arba WAN.

Šaltinis	Paskirties vieta	Paskirties prievadas	Komentarai
`IP_GW`	Debian saugyklos	TCP 80	Būtina CyberElements Bastion priklausomybėms įdiegti ir sistemai naujinti. Dokumentacijoje ir virtualiuosiuose įrenginiuose naudojami `ftp.fr.debian.org` ir `security.debian.org`.
`IP_GW`	DNS serveris	UDP 53	Būtina DNS vardų skyrai. Neprivaloma, jei DNS serveris pasiekiamas LAN tinkle arba DMZ.
`IP_GW`	NTP laiko serveris	UDP 123	Neprivaloma, jei serveris turi sinchronizuoti laikrodį su LAN tinkle arba DMZ esančiu serveriu. Pagal numatytuosius parametrus naudojami Debian telkiniai: `0.debian.pool.ntp.org`, `1.debian.pool.ntp.org`, `2.debian.pool.ntp.org` ir `3.debian.pool.ntp.org`.
`IP_GW`	SMS paslaugų teikėjas	TCP 443	(Pasirinktinai) Prisijungimas prie CyberElements Bastion palaikomų SMS paslaugų teikėjų API.

Šaltinis (-iai)	Paskirties vieta (-os)	Paskirties prievadas	Komentarai
`IP_GW` `IP_HTML5_GW`	`IP_MED_WEB`	TCP 443 (jei naudojamas standartinis prievadas)	Prisijungimas prie Edge Gateway pairing sistemos.
`IP_GW` `IP_HTML5_GW`	`IP_MED_SSL`	TCP 443 (jei naudojamas standartinis prievadas)	Prisijungimas prie komponento SSL Router, kad būtų sukurtas TLSv1.3 tunelis ir per jį nukreipiami produkto ryšiai.
Kliento darbo stotis	`IP_MED_WEB`	TCP 443 (jei naudojamas standartinis prievadas)	Prisijungimas prie įvairių produkto žiniatinklio konsolių.
Kliento darbo stotis	`IP_MED_SSL`	TCP 443 (jei naudojamas standartinis prievadas)	Sukurti TLS tunelį per CyberElements Bastion klientą einančiam srautui šifruoti.
Administratoriaus darbo stotis	`IP_MED_WEB`	TCP 22	SSH ryšys su Mediation Controller serveriu.

Šaltinis	Paskirties vieta	Paskirties prievadas	Komentarai
`IP_GW`	DNS serveris	UDP 53	Būtina DNS skyrai. Pasirinktinai, jei naudojamas WAN arba DMZ esantis DNS serveris.
`IP_GW`	LDAP arba AD serveriai	TCP 389 arba 636	CyberElements Bastion ryšys su LDAP arba AD serveriu.
`IP_GW`	AD serveriai	TCP 139 ir 445	AD paskyrų slaptažodžių rotacija; naudojama tik tada, jei rotacija per LDAPS neįmanoma.
`IP_GW`	RDP serveriai	TCP/UDP 3389 (jei naudojamas standartinis prievadas)	CyberElements Bastion ryšys su RDP serveriais.
`IP_GW`	SSH serveriai	TCP 22 (jei naudojamas standartinis prievadas)	CyberElements Bastion ryšys su SSH serveriais.
`IP_GW`	VNC serveriai	TCP 5900 (jei naudojamas standartinis prievadas)	CyberElements Bastion ryšys su VNC serveriais.
`IP_GW`	Žiniatinklio serveriai	TCP 80 arba 443 (jei naudojamas standartinis prievadas)	CyberElements Bastion ryšys su žiniatinklio serveriais.
`IP_GW`	Citrix Storefront serveriai	TCP 443 (jei naudojamas standartinis prievadas)	CyberElements Bastion ryšys su Citrix Storefront serveriais.
`IP_GW`	Citrix taikomųjų programų serveriai	TCP 1494	CyberElements Bastion ryšys su Citrix taikomųjų programų serveriais (taikomosios programos arba darbalaukio paleidimas naudojant ICA klientą).
`IP_GW`	Failų serveriai	TCP 139 ir 445	CyberElements Bastion ryšys su failų serveriais.
`IP_GW`	Duomenų bazės serveris	TCP 1433, 5432 arba bet kuris kitas pasirinktinis prievadas	Būtina, jei norite naudoti išorinę duomenų bazę, esančią LAN tinkle (pavyzdžiui, norint perkelti Vault duomenų bazę).
`IP_GW`	RDP serveriai	TCP 139 ir 445	Įrašymo agento diegimas per administravimo konsolę.
Kliento darbo stotis	`IP_GW`	TCP [administratoriaus apibrėžtas prievadas]	Tiesioginės SSH prieigos ryšys.
Kliento darbo stotis	`IP_GW`	TCP 3389	Tiesioginės RDP prieigos ryšys.
RDP serveriai	`IP_GW`	TCP 8443	Įrašymo agento ir Edge Gateway ryšys, skirtas vartotojo seanso įrašui įkelti.
Administratoriaus darbo stotis	`IP_GW`	TCP 22	SSH ryšys su Edge Gateway serveriu.

Duomenų bazė¶

CyberElements Bastion savo veikimui naudoja skirtingas duomenų bazes (DB).

Sistemos konfigūracijos duomenų bazė. Šioje duomenų bazėje saugomi visi administravimo sąsajos /system parametrai. Standalone diegime šią duomenų bazę tiesiogiai kuria ir valdo produktas, naudodamas Mediation Controller serveryje įdiegtą PostgreSQL serverį.
Organizacijos konfigūracijos duomenų bazė. Kiekvienai Mediation Controller serveryje sukurtai organizacijai reikės atskiros DB, kurioje bus visi organizacijos parametrai ir žurnalai. Ši duomenų bazė paprastai talpinama Mediation Controller serveryje ir jo vietinėje PostgreSQL duomenų bazėje, tačiau ją taip pat galima perkelti į DMZ arba LAN.
Vault duomenų bazė. Sukūrus kiekvieną organizaciją, sukuriama atskira produkto Vault DB, pagal numatytuosius parametrus saugoma Mediation Controller serveryje. Šią duomenų bazę galima perkelti į LAN, jei Edge Gateway gali ją pasiekti.

Naudojant išorines duomenų bazes, palaikomi šie duomenų bazių tipai:

PostgreSQL 15 versija
Microsoft SQL Server ir jo palaikomos versijos be priežiūros pratęsimo

Licencija¶

Kad Mediation Controller serveris veiktų, reikia licencijos.
Licenciją galima gauti iš Systancia naudojant šią licencijos užklausos formą: Prašyti licencijos

Sertifikatai¶

CyberElements Bastion naudoja TLS šifravimą vidiniam ryšiui ir HTTPS žiniatinklio prieigai apsaugoti, todėl reikia naudoti įvairius x509 sertifikatus. Toliau pateiktoje informacijoje apibendrinami skirtingi reikalingi sertifikatai, jų paskirtis ir minimalūs parametrai.

Sertifikato saugos apribojimas

Nepriklausomai nuo naudojamo sertifikato, įsitikinkite, kad jis atitinka OpenSSL 2 saugos lygį, kurį galima apibendrinti taip:

Sertifikato ir jo sertifikavimo institucijų sertifikatų privatusis raktas, naudojant RSA, DSA ir DH šifravimą, turi būti bent 2048 bitų; elipsinių kreivių (ECC) raktai turi būti bent 224 bitų.
Sertifikato parašas negali būti MD5 arba SHA-1 (pageidautina SHA-512).

Mediation Controller serverisEdge Gateway serverisHTML5 Gateway serverisTiesioginis įrašymo agentas

Šis serveris naudoja keturis skirtingus sertifikatus:

Žiniatinklio sertifikatą, kad būtų galima naudoti HTTPS.
Komponento SSL Router sertifikatą; šis komponentas atsakingas už TLS tunelių kūrimą ir srauto tarp jų nukreipimą.
Komponento Watchdog sertifikatą; šis komponentas atsakingas už SSL Router tinkamo veikimo stebėjimą.
CyberElements Bastion kliento sertifikatą, kad klientas galėtų prisijungti prie SSL Router ir sukurti TLSv1.3 tunelį.

Žiniatinklio sertifikatas

Rekomendacija

Pageidautina, kad žiniatinklio sertifikatą būtų išdavusi viešoji sertifikavimo institucija (CA), pripažinta patikima.
Taip be jokių papildomų veiksmų užtikrinama, kad vartotojai negautų jokių įspėjimų, susijusių su naudojamu sertifikatu (jei jis galioja ir apima vardą, kuriuo vartotojas inicijavo ryšį). Naudojant vidinės PKI išduotą sertifikatą, CA sertifikatą reikia įdiegti vartotojų darbo stotyse.

Žiniatinklio sertifikato atributai turi atitikti šiuos apribojimus:

Sertifikato galiojimo laikotarpis negali viršyti 398 dienų (13 mėnesių).
Parašui naudojama maišos funkcija turi priklausyti SHA-2 šeimai; rekomenduojame SHA-512.
Sertifikato ir jo sertifikavimo institucijų sertifikatų privatusis raktas, naudojant RSA, DSA ir DH šifravimą, turi būti bent 2048 bitų; elipsinių kreivių (ECC) raktai turi būti bent 224 bitų. Rekomenduojame 4096 bitų dydį RSA ir 384 bitų ECDSA kreivę secp384r1.
Atributo Common Name reikšmė turi būti DNS vardas (arba pakaitos simbolių vardas), kuriam skirtas sertifikatas.
Atributas Key Usage turi turėti reikšmes critical, digitalSignature ir keyEncipherment.
Atributas Extended Key Usage turi turėti reikšmę id-kp-serverAuth (OpenSSL naudoja reikšmę serverAuth).
Atribute Subject Alternative Name turi būti bent vienas įrašas, atitinkantis pagrindinį DNS vardą; galima pridėti kitų įrašų, kad būtų apimti kiti DNS vardai ar IP adresai.

Priimamas sertifikato formatas: P12 arba PEM (su dviem failais: vienas sertifikatui, kitas privačiajam raktui).

SSL Router sertifikatas

Komponento SSL Router sertifikato atributai turi atitikti šiuos apribojimus:

Sertifikato galiojimo laikotarpis negali viršyti 1095 dienų (3 metų).
Parašui naudojama maišos funkcija turi priklausyti SHA-2 šeimai; rekomenduojame SHA-512.
Sertifikato ir jo sertifikavimo institucijų sertifikatų privatusis raktas, naudojant RSA, DSA ir DH šifravimą, turi būti bent 2048 bitų; elipsinių kreivių (ECC) raktai turi būti bent 224 bitų. Rekomenduojame 4096 bitų dydį RSA ir 384 bitų ECDSA kreivę secp384r1.
Atributo Common Name reikšmė turi būti IP adresas arba DNS vardas, nukreipiantis į IP_MED_SSL.
Atributas Key Usage turi turėti reikšmes critical, digitalSignature ir keyEncipherment.
Atributas Extended Key Usage turi turėti reikšmę serverAuth.

Priimamas sertifikato formatas: P12.

Watchdog sertifikatas

Komponento Watchdog sertifikato atributai turi atitikti šiuos apribojimus:

Sertifikato galiojimo laikotarpis negali viršyti 1095 dienų (3 metų).
Parašui naudojama maišos funkcija turi priklausyti SHA-2 šeimai; rekomenduojame SHA-512.
Sertifikato ir jo sertifikavimo institucijų sertifikatų privatusis raktas, naudojant RSA, DSA ir DH šifravimą, turi būti bent 2048 bitų; elipsinių kreivių (ECC) raktai turi būti bent 224 bitų. Rekomenduojame 4096 bitų dydį RSA ir 384 bitų ECDSA kreivę secp384r1.
Atributo Common Name reikšmė turi būti komponento Watchdog identifikavimo vardas, pavyzdžiui, „Watchdog“.
Atributas Key Usage turi turėti reikšmes critical ir digitalSignature.
Atributas Extended Key Usage turi turėti reikšmę clientAuth.

Priimamas sertifikato formatas: P12.

CyberElements Bastion kliento sertifikatas

CyberElements Bastion kliento sertifikato atributai turi atitikti šiuos apribojimus:

Sertifikato galiojimo laikotarpis negali viršyti 1095 dienų (3 metų).
Parašui naudojama maišos funkcija turi priklausyti SHA-2 šeimai; rekomenduojame SHA-512.
Sertifikato ir jo sertifikavimo institucijų sertifikatų privatusis raktas, naudojant RSA, DSA ir DH šifravimą, turi būti bent 2048 bitų; elipsinių kreivių (ECC) raktai turi būti bent 224 bitų. Rekomenduojame 4096 bitų dydį RSA ir 384 bitų ECDSA kreivę secp384r1.
Atributo Common Name reikšmė turi būti kliento identifikavimo vardas, pavyzdžiui, „cyberelements-cleanroom-client“.
Atributas Key Usage turi turėti reikšmes critical ir digitalSignature.
Atributas Extended Key Usage turi turėti reikšmę clientAuth.

Priimamas sertifikato formatas: P12 su slaptažodžiu, sudarytu iš bent 8 raidinių skaitinių simbolių (specialieji simboliai, raidės su diakritiniais ženklais ar brūkšneliai nepalaikomi).

Šis serveris naudoja du skirtingus sertifikatus:

Vienas sertifikatas, skirtas komponentui Edge Gateway autentifikuoti prie SSL Router.
Įrašymo paslaugos sertifikatą, kad įrašymo agentai galėtų prie jos prisijungti.

Informacija

Edge Gateway serveryje gali būti keli Edge Gateway egzemplioriai, todėl reikia tiek sertifikatų, kiek yra Edge Gateway egzempliorių (išskyrus specifinį klasterio architektūros atvejį).

Tačiau Edge Gateway serveris turi tik vieną įrašymo paslaugą, todėl reikės tik vieno sertifikato kiekvienam kompiuteriui.

Edge Gateway sertifikatas

Komponento Edge Gateway sertifikato atributai turi atitikti šiuos apribojimus:

Sertifikato galiojimo laikotarpis negali viršyti 1095 dienų (3 metų).
Parašui naudojama maišos funkcija turi priklausyti SHA-2 šeimai; rekomenduojame SHA-512.
Sertifikato ir jo sertifikavimo institucijų sertifikatų privatusis raktas, naudojant RSA, DSA ir DH šifravimą, turi būti bent 2048 bitų; elipsinių kreivių (ECC) raktai turi būti bent 224 bitų. Rekomenduojame 4096 bitų dydį RSA ir 384 bitų ECDSA kreivę secp384r1.
Atributo Common Name reikšmė turi identifikuoti loginį komponentą Edge Gateway. Šis pavadinimas yra tokios formos: <GW_NAME>@<ORGANIZATION_NAME>, kur <GW_NAME> atitinka komponento Edge Gateway pavadinimą (kaip įvesta administravimo konsolėje), o <ORGANIZATION_NAME> – organizacijos, prie kurios jungsis Edge Gateway, pavadinimą.
Atributas Key Usage turi turėti reikšmes critical ir digitalSignature.
Atributas Extended Key Usage turi turėti reikšmę clientAuth.

Priimamas sertifikato formatas: P12.

Įrašymo paslaugos sertifikatas

Įrašymo paslaugos sertifikato atributai turi atitikti šiuos apribojimus:

Sertifikato galiojimo laikotarpis negali viršyti 1095 dienų (3 metų).
Parašui naudojama maišos funkcija turi priklausyti SHA-2 šeimai; rekomenduojame SHA-512.
Sertifikato ir jo sertifikavimo institucijų sertifikatų privatusis raktas, naudojant RSA, DSA ir DH šifravimą, turi būti bent 2048 bitų; elipsinių kreivių (ECC) raktai turi būti bent 224 bitų. Rekomenduojame 4096 bitų dydį RSA ir 384 bitų ECDSA kreivę secp384r1.
Atributo Common Name reikšmė turi būti FQDN pavadinimas arba bent jau komponento Edge Gateway kompiuterio pavadinimas.
Atributas Key Usage turi turėti reikšmes critical, digitalSignature ir keyEncipherment.
Atributas Extended Key Usage turi turėti reikšmę serverAuth.

Priimamas sertifikato formatas: P12.

Šis serveris naudoja vienintelį sertifikatą – tą, kuriuo komponentas HTML5 Gateway autentifikuojamas prie SSL Router.

Informacija

HTML5 Gateway serveryje gali būti keli HTML5 Gateway egzemplioriai; tam reikia tiek sertifikatų, kiek yra HTML5 Gateway egzempliorių (išskyrus specifinį Cluster architektūros atvejį).

HTML5 Gateway sertifikatas

Komponento HTML5 Gateway sertifikato atributai turi atitikti šiuos apribojimus:

Sertifikato galiojimo laikotarpis negali viršyti 1095 dienų (3 metų).
Parašui naudojama maišos funkcija turi priklausyti SHA-2 šeimai; rekomenduojame SHA-512.
Sertifikato ir jo sertifikavimo institucijų sertifikatų privatusis raktas, naudojant RSA, DSA ir DH šifravimą, turi būti bent 2048 bitų; elipsinių kreivių (ECC) raktai turi būti bent 224 bitų. Rekomenduojame 4096 bitų dydį RSA ir 384 bitų ECDSA kreivę secp384r1.
Atributo Common Name reikšmė turi identifikuoti loginį komponentą Edge Gateway. Šis pavadinimas yra tokios formos: <HTML5_GW_NAME>@<ORGANIZATION_NAME>, kur <HTML5_GW_NAME> atitinka komponento Edge Gateway pavadinimą (kaip įvesta administravimo konsolėje), o <ORGANIZATION_NAME> – organizacijos, prie kurios jungsis Edge Gateway, pavadinimą.
Atributas Key Usage turi turėti reikšmes critical ir digitalSignature.
Atributas Extended Key Usage turi turėti reikšmę clientAuth.

Priimamas sertifikato formatas: P12.

Veikdamas tiesioginės prieigos režimu, tiesioginis įrašymo agentas naudoja sertifikatą, kad autentifikuotųsi prie Edge Gateway įrašymo paslaugos.

Sertifikato atributai turi atitikti šiuos apribojimus:

Sertifikato galiojimo laikotarpis negali viršyti 1095 dienų (3 metų).
Parašui naudojama maišos funkcija turi priklausyti SHA-2 šeimai; rekomenduojame SHA-512.
Sertifikato ir jo sertifikavimo institucijų sertifikatų privatusis raktas, naudojant RSA, DSA ir DH šifravimą, turi būti bent 2048 bitų; elipsinių kreivių (ECC) raktai turi būti bent 224 bitų. Rekomenduojame 4096 bitų dydį RSA ir 384 bitų ECDSA kreivę secp384r1.
Atributo Common Name reikšmė turi būti trumpasis pavadinimas, FQDN arba bet koks kitas pavadinimas, vienareikšmiškai identifikuojantis kompiuterį. Šis pavadinimas naudojamas kompiuteryje atliekamiems veiksmams identifikuoti ir sekti.
Atributas Key Usage turi turėti reikšmes critical ir digitalSignature.
Atributas Extended Key Usage turi turėti reikšmę clientAuth.

Priimamas sertifikato formatas: P12.