Pāriet uz saturu

Platformas CyberElements Bastion Cluster priekšnosacījumi

Dators

CyberElements Bastion instalēšanai var izmantot gan fiziskus datorus, gan virtuālās mašīnas.
Produkts pats neveic virtualizāciju, tāpēc virtuālajām mašīnām nav jāiespējo ligzdotās virtualizācijas opcija.

OS

CyberElements Bastion darbojas 64 bitu datoros ar Debian 12 (Bookworm).
Ieteicams izmantot datorus bez grafiskās saskarnes un ierobežot instalētos komponentus līdz SSH serverim.

CPU

CPU ar 4 kodoliem aptver lielāko daļu produkta lietojuma gadījumu.

RAM

Uzmanību

Tālāk norādītās RAM vērtības ir tikai orientējošas, jo RAM patēriņu var ietekmēt daudzi mainīgie (izmantotās produkta funkcijas vai elementi, kas datorā instalēti paralēli produktam).

RAM patēriņš parasti ir atkarīgs no vienlaicīgo lietotāju skaita, ko platforma spēj apkalpot:

  • No 1 līdz 5 vienlaicīgiem lietotājiem: vismaz 2 GB RAM, ieteicami 4 GB.
  • No 5 līdz 20 vienlaicīgiem lietotājiem: vismaz 4 GB RAM.
  • 20 vai vairāk vienlaicīgiem lietotājiem: vismaz 8 GB RAM.

RAM patēriņš ir atkarīgs no vienlaicīgo sesiju skaita, kā arī no izmantoto lietojumprogrammu veidiem.

Tipiskās vērtības ir šādas:

  • No 1 līdz 5 vienlaicīgiem lietotājiem: vismaz 2 GB RAM, ieteicami 4 GB.
  • No 5 līdz 20 vienlaicīgiem lietotājiem: vismaz 4 GB RAM.
  • 20 vai vairāk vienlaicīgiem lietotājiem: 8 GB RAM.

Ņemiet vērā, ka RDP vai VNC lietojumprogramma bez aģenta var patērēt līdz 400 MB uz katru palaisto lietojumprogrammu.
Ja šāda veida lietojumprogrammas tiek izmantotas plaši, ieteicams uzraudzīt RAM lietojumu, lai attiecīgi pielāgotu tās apjomu.

RAM patēriņš ir atkarīgs no vienlaikus atvērto HTML5 lietojumprogrammu skaita.

Bāzes serverim sistēmas darbībai nepieciešami 2 GB, kā arī 50 MB uz katru vienlaicīgi izmantotu HTML5 lietojumprogrammu.

Ja loma HTML5 Gateway ir apvienota ar Edge Gateway serveri, Edge Gateway servera RAM ieteikumam pievienojiet 50 MB uz katru vienlaicīgi izmantotu HTML5 lietojumprogrammu.

Disks

Disku ieteicams sadalīt nodalījumos, izmantojot LVM, lai nodrošinātu lielāku elastību gadījumā, ja lietošanas laikā jāpārskata datora izmērs.

Dažādu veidu serveriem ir atšķirīgi diska lietojuma modeļi, un arī apjomi atšķiras. Tālāk sniegta informācija pa servera veidiem:

Šajā serverī pieaugs apjoms šādos direktorijos:

  • /var/log/: direktorijs, kurā ir dažādi sistēmas žurnāli.
  • /var/lib/postgresql/15/main/: direktorijs, kurā ir lokālās datu bāzes dati.
  • /var/ipdiva/: direktorijs, kurā ir produktam specifiski dati.

Dažādo direktoriju izolēšana atsevišķos nodalījumos nav obligāta, taču ieteicama. Varat ievērot šos norādījumus:

Montēšanas punkts Opcijas Minimālais izmērs (GB)
/boot nosuid,nodev,noexec 1
/opt nosuid,nodev 1
/tmp nosuid,nodev 4
/srv nosuid,nodev 1
/home nosuid,nodev,noexec 6
/usr nodev 6
/var nosuid 5
/var/log nosuid,nodev,noexec 5
/var/tmp nosuid,nodev,noexec 2
swap Nav opciju Atkarībā no RAM (uz pusi mazāk)
/ Nav opciju 2 GB vai vairāk atkarībā no pieejamās diska vietas

Piemērs

Serverim ar 4 GB RAM (kam nepieciešami 2 GB swap) ar iepriekš aprakstīto nodalījumu sadalījumu nepieciešamā diska vieta ir vismaz 35 GB.

Šajā serverī pieaugs apjoms šādos direktorijos:

  • /var/log/: direktorijs, kurā ir dažādi sistēmas žurnāli.
  • /var/lib/ipdiva/carerecord/recording/: direktorijs, kurā ir pašlaik ierakstītie arhīvi; tātad tas ir pagaidu glabāšanas direktorijs.
  • /var/lib/ipdiva/carerecord/archives/: noklusējuma direktorijs, kurā ir produkta grafiskie arhīvi.
  • /var/ipdiva/care/sshrecord/: noklusējuma direktorijs, kurā ir produkta negrafiskie (SSH) arhīvi.

Dažādo direktoriju izolēšana atsevišķos nodalījumos nav obligāta, taču ieteicama. Varat ievērot šos norādījumus:

Montēšanas punkts Opcijas Minimālais izmērs (GB)
/boot nosuid,nodev,noexec 1
/opt nosuid,nodev 1
/tmp nosuid,nodev 4
/srv nosuid,nodev 1
/home nosuid,nodev,noexec 6
/usr nodev 6
/var nosuid,nodev 5
/var/log nosuid,nodev,noexec 5
/var/tmp nosuid,nodev,noexec 2
swap Nav opciju Atkarībā no RAM (uz pusi mazāk)
/ Nav opciju 2 GB vai vairāk atkarībā no pieejamās diska vietas

Piemērs

Serverim ar 4 GB RAM (kam nepieciešami 2 GB swap) ar iepriekš aprakstīto nodalījumu sadalījumu nepieciešamā diska vieta ir vismaz 35 GB.

Tomēr, ja vien arhīvi netiek glabāti ārēji, stingri ieteicams montēšanas punktam /var piešķirt vairāk diska vietas pagaidu vai ilgtermiņa grafiskajiem arhīviem.

Šajā serverī pieaugs apjoms šādos direktorijos:

  • /var/log/: direktorijs, kurā ir dažādi sistēmas žurnāli.
  • /home/systanciahtml5share/: pagaidu glabāšanas direktorijs failiem, ar kuriem notiek apmaiņa ar HTML5 lietojumprogrammām.

Dažādo direktoriju izolēšana atsevišķos nodalījumos nav obligāta, taču ieteicama. Varat ievērot šos norādījumus:

Montēšanas punkts Opcijas Minimālais izmērs (GB)
/boot nosuid,nodev,noexec 1
/opt nosuid,nodev 1
/tmp nosuid,nodev 4
/srv nosuid,nodev 1
/home nosuid,nodev,noexec 6
/usr nodev 6
/var nosuid,nodev 5
/var/log nosuid,nodev,noexec 5
/var/tmp nosuid,nodev,noexec 2
swap Nav opciju Atkarībā no RAM (uz pusi mazāk)
/ Nav opciju 2 GB vai vairāk atkarībā no pieejamās diska vietas

Piemērs

Serverim ar 4 GB RAM (kam nepieciešami 2 GB swap) ar iepriekš aprakstīto nodalījumu sadalījumu nepieciešamā diska vieta ir vismaz 35 GB.

Tīkls

Platformai CyberElements Bastion Cluster būs nepieciešams:

  • 2 reālas IP adreses katram Mediation Controller serverim (nodrošina viena un tā pati tīkla saskarne)
  • 3 virtuālas IP adreses klastera darbībai
  • 1 IP adrese katram Edge Gateway vai HTML5 Gateway datoram

Papildu informācija

Visām Mediation Controller serveru reālajām un virtuālajām IP adresēm ir jāpieder vienam un tam pašam apakštīklam.

Nesaderība ar virtuālo IP adrešu izmantošanu

Virtuālo IP adrešu slodzes līdzsvarošanu pārvalda IPVS (IP Virtual Server).
Lai slodzes līdzsvarošana darbotos pareizi, ir jāizpilda vairāki priekšnosacījumi:

  • Atspējojiet Reverse Path Forwarding (RPF) funkcijas Mediation Controller serveriem un šo datoru IP adresēm.
  • VMware vidē Mediation Controller serveriem piešķiriet tīkla adapteri E1000E, nevis VMXNET3.

Mediation Controller serveri parasti tiek izvietoti DMZ, taču tos var izvietot arī privātā DMZ vai mitināt publiskajā mākonī. Tas ir atkarīgs no platformas lietojuma gadījuma (piemēram, attālā piekļuve pakalpojumu sniedzējiem vai iekšējās piekļuves aizsargātajām zonām drošības nodrošināšana).

Edge Gateway serveri parasti tiek izvietoti LAN tīklā, VLAN tīklos, kas ļauj tiem sazināties ar mērķa resursiem.

HTML5 Gateway serverus var izvietot gan LAN tīklā, gan DMZ. Šajā dokumentācijā ir paredzēta komponenta HTML5 Gateway instalēšana Edge Gateway serveros, t. i., LAN tīklā.

Lai labāk identificētu dažādās datoru adreses, dokumentācijā tās tiks apzīmētas šādi:

IP adreses nosaukums Nozīme
RIP_MED_WEB_MASTER Mediation Controller servera MASTER primārā IP adrese, kas nodrošina piekļuvi tīmekļa konsolēm.
RIP_MED_WEB_SLAVE Mediation Controller servera SLAVE primārā IP adrese, kas nodrošina piekļuvi tīmekļa konsolēm.
RIP_MED_SSL_MASTER Mediation Controller servera MASTER otrā IP adrese, ko izmanto komponents SSL Router.
RIP_MED_SSL_SLAVE Mediation Controller servera SLAVE otrā IP adrese, ko izmanto komponents SSL Router.
VIP_MED_WEB Mediation Controller klastera virtuālā IP adrese, kas nodrošina piekļuvi tīmekļa konsolēm.
VIP_MED_SSL Mediation Controller klastera virtuālā IP adrese, kas nodrošina piekļuvi komponentam SSL Router.
VIP_MED_ZEO Mediation Controller klastera virtuālā IP adrese, kas nodrošina piekļuvi produkta iekšējai konfigurācijas datu bāzei.
IP_GW Edge Gateway servera IP adrese.
IP_HTML5_GW HTML5 Gateway servera IP adrese.

Informācija

Sniegtā informācija par plūsmām ir balstīta uz pieņēmumu, ka Mediation Controller serveri atrodas DMZ un Edge Gateway serveri, kas darbojas arī kā HTML5 Gateway, atrodas LAN tīklā.

Mediation Controller IP adreses var būt vai nu publiskas IP adreses, kas tieši piešķirtas Mediation Controller serverim, vai publiskas IP adreses, kuras ar NAT tiek pārveidotas par privātām IP adresēm (ieteicams).

Avots Mērķis Mērķa ports Komentāri
Lietotāja darbstacija VIP_MED_WEB TCP 443 (ja tiek izmantots standarta ports) Atļaut piekļuvi tīmekļa konsolēm un lietojumprogrammām, kas darbojas tieši pārlūkprogrammā.
Lietotāja darbstacija VIP_MED_SSL TCP 443 (ja tiek izmantots standarta ports) Izveidot TLS tuneli, lai šifrētu plūsmu, kas iet caur CyberElements Bastion klientu.
IP_GW VIP_MED_WEB TCP 443 (ja tiek izmantots standarta ports) Ja Edge Gateway atrodas attālā tīklā. Savienojums ar Edge Gateway pairing sistēmu.
IP_GW VIP_MED_SSL TCP 443 (ja tiek izmantots standarta ports) Ja Edge Gateway atrodas attālā tīklā. Savienojums ar komponentu SSL Router, lai izveidotu TLSv1.3 tuneli un caur to maršrutētu produkta saziņu.
Avots Mērķis Mērķa ports Komentāri
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 Debian krātuves TCP 80 Nepieciešams CyberElements Bastion atkarību instalēšanai un sistēmas atjaunināšanai. Dokumentācijā un virtuālajās ierīcēs tiek izmantoti ftp.fr.debian.org un security.debian.org.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 packages.microsoft.com TCP 443 Microsoft krātuve MS SQL draiveru instalēšanai un atjaunināšanai. Nepieciešams tikai tad, ja ir vajadzīga piekļuve MS SQL datu bāzei (virtuālajās ierīcēs MS SQL draiveri jau ir).
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 NTP laika serveris UDP 123 Neobligāti, ja serverim ir jāsinhronizē pulkstenis ar serveri DMZ. Pēc noklusējuma tiek izmantoti Debian pūli: 0.debian.pool.ntp.org, 1.debian.pool.ntp.org, 2.debian.pool.ntp.org un 3.debian.pool.ntp.org.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 SMTP serveris TCP 25, 465, 587 Nepieciešams, ja e-pasta ziņojumu sūtīšanai ir jāizmanto SMTP serveris, kas atrodas WAN tīklā.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 DNS serveris UDP 53 Nepieciešams DNS izšķiršanai. Tas var atrasties WAN tīklā vai DMZ.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 api.neomia.ai TCP 443 (Neobligāti) Savienojums ar uzvedības biometrijas MFA produkta Neomia Pulse API.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 EU: keepersecurity.eu
US: keepersecurity.com
AU: keepersecurity.com.au
CA: keepersecurity.ca
JP: keepersecurity.jp		 TCP 443 (Neobligāti) Savienojums ar seifu Keeper EPM atkarībā no tā atrašanās vietas.
Avots Mērķis Mērķa ports Komentāri
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 NTP laika serveris UDP 123 Ja serverim ir jāsinhronizē pulkstenis ar serveri DMZ.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 SMTP serveris TCP 25, 465, 587 Nepieciešams, ja e-pasta ziņojumu sūtīšanai ir jāizmanto SMTP serveris, kas atrodas DMZ.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 Datu bāzes serveris TCP 1433, 5432 vai jebkurš cits pielāgots ports Nepieciešams, ja vēlaties izmantot ārēju datu bāzi, kas atrodas DMZ.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 DNS serveris UDP 53 Nepieciešams DNS izšķiršanai. Tas var atrasties DMZ vai WAN tīklā.

Papildu informācija

Mediation Controller serveriem ir jāspēj sazināties savā starpā no jebkuras savas adreses un uz jebkuru adresi neatkarīgi no protokola.

Avots Mērķis Mērķa ports Komentāri
IP_GW Debian krātuves TCP 80 Nepieciešams CyberElements Bastion atkarību instalēšanai un sistēmas atjaunināšanai. Dokumentācijā un virtuālajās ierīcēs tiek izmantoti ftp.fr.debian.org un security.debian.org.
IP_GW DNS serveris UDP 53 Nepieciešams DNS izšķiršanai. Neobligāti, ja DNS serveris ir pieejams LAN tīklā vai DMZ.
IP_GW NTP laika serveris UDP 123 Neobligāti, ja serverim ir jāsinhronizē pulkstenis ar serveri LAN tīklā vai DMZ. Pēc noklusējuma tiek izmantoti Debian pūli: 0.debian.pool.ntp.org, 1.debian.pool.ntp.org, 2.debian.pool.ntp.org un 3.debian.pool.ntp.org.
IP_GW SMS pakalpojumu sniedzējs TCP 443 (Neobligāti) Savienojums ar CyberElements Bastion atbalstīto SMS pakalpojumu sniedzēju API.
Avots(-i) Mērķis Mērķa ports Komentāri
IP_GW
IP_HTML5_GW		 VIP_MED_WEB
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 TCP 443 (ja tiek izmantots standarta ports) Savienojums ar Edge Gateway pairing sistēmu.
IP_GW
IP_HTML5_GW		 VIP_MED_SSL
RIP_MED_SSL_MASTER
RIP_MED_SSL_SLAVE		 TCP 443 (ja tiek izmantots standarta ports) Savienojums ar komponentu SSL Router, lai izveidotu TLSv1.3 tuneli un caur to maršrutētu produkta saziņu.
Klienta darbstacija VIP_MED_WEB
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 TCP 443 (ja tiek izmantots standarta ports) Savienojums ar dažādām produkta tīmekļa konsolēm.
Klienta darbstacija VIP_MED_SSL
RIP_MED_SSL_MASTER
RIP_MED_SSL_SLAVE		 TCP 443 (ja tiek izmantots standarta ports) Izveidot TLS tuneli, lai šifrētu plūsmu, kas iet caur CyberElements Bastion klientu.
Administratora darbstacija RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 TCP 22 SSH savienojums ar Mediation Controller serveri.
Avots Mērķis Mērķa ports Komentāri
IP_GW DNS serveris UDP 53 Nepieciešams DNS izšķiršanai. Neobligāti, ja tiek izmantots DNS serveris WAN tīklā vai DMZ.
IP_GW LDAP vai AD serveri TCP 389 vai 636 CyberElements Bastion savienojums ar LDAP vai AD serveri.
IP_GW AD serveri TCP 139 un 445 AD kontu paroļu rotācija; tiek izmantota tikai tad, ja rotācija, izmantojot LDAPS, nav iespējama.
IP_GW RDP serveri TCP/UDP 3389 (ja tiek izmantots standarta ports) CyberElements Bastion savienojums ar RDP serveriem.
IP_GW SSH serveri TCP 22 (ja tiek izmantots standarta ports) CyberElements Bastion savienojums ar SSH serveriem.
IP_GW VNC serveri TCP 5900 (ja tiek izmantots standarta ports) CyberElements Bastion savienojums ar VNC serveriem.
IP_GW Tīmekļa serveri TCP 80 vai 443 (ja tiek izmantots standarta ports) CyberElements Bastion savienojums ar tīmekļa serveriem.
IP_GW Citrix Storefront serveri TCP 443 (ja tiek izmantots standarta ports) CyberElements Bastion savienojums ar Citrix Storefront serveriem.
IP_GW Citrix lietojumprogrammu serveri TCP 1494 CyberElements Bastion savienojums ar Citrix lietojumprogrammu serveriem (lietojumprogrammas vai darbvirsmas palaišana ar ICA klientu).
IP_GW Failu serveri TCP 139 un 445 CyberElements Bastion savienojums ar failu serveriem.
IP_GW Datu bāzes serveris TCP 1433, 5432 vai jebkurš cits pielāgots ports Nepieciešams, ja vēlaties izmantot ārēju datu bāzi, kas atrodas LAN tīklā (piemēram, lai pārvietotu Vault datu bāzi).
IP_GW RDP serveri TCP 139 un 445 Ierakstīšanas aģenta izvietošana, izmantojot administrēšanas konsoli.
Klienta darbstacija IP_GW TCP [administratora definēts ports] Tiešās SSH piekļuves savienojums.
Klienta darbstacija IP_GW TCP 3389 Tiešās RDP piekļuves savienojums.
RDP serveri IP_GW TCP 8443 Savienojums starp ierakstīšanas aģentu un Edge Gateway, lai augšupielādētu lietotāja sesijas ierakstu.
Administratora darbstacija IP_GW TCP 22 SSH savienojums ar Edge Gateway serveri.

Datu bāze

CyberElements Bastion savai darbībai izmanto dažādas datu bāzes (DB).

  1. Sistēmas konfigurācijas datu bāze. Šajā datu bāzē tiek glabāti visi administrēšanas saskarnes /system iestatījumi, un tai jābūt nosauktai default.

    Uzmanību!

    Datu bāze default ir jāizveido, pirms izveidojat savienojumu ar CyberElements Bastion (tā netiek izveidota automātiski).

  2. Organizācijas konfigurācijas datu bāze. Katrai Mediation Controller serverī izveidotajai organizācijai būs nepieciešama atsevišķa DB, kurā glabāt visus organizācijas iestatījumus un žurnālus.

  3. Vault datu bāze. Katras organizācijas izveide aktivizē atsevišķas DB izveidi produkta Vault vajadzībām, un pēc noklusējuma tā tiek glabāta Mediation Controller serverī. Šo datu bāzi var pārvietot uz LAN tīklu ar nosacījumu, ka Edge Gateway var tai piekļūt.

Izmantojot ārējas datu bāzes (standarta gadījums arhitektūrā Cluster), tiek atbalstīti šādi datu bāzu veidi:

Licence

Lai Mediation Controller serveris darbotos, tam ir nepieciešama licence.
Licenci var iegūt no Systancia, izmantojot šo licences pieprasījuma veidlapu: Pieprasīt licenci

Sertifikāti

CyberElements Bastion izmanto TLS šifrēšanu iekšējai saziņai un HTTPS tīmekļa piekļuves aizsardzībai, tāpēc nepieciešami dažādi x509 sertifikāti. Tālāk sniegtajā informācijā apkopoti dažādie nepieciešamie sertifikāti, to mērķis un minimālie iestatījumi.

Sertifikāta drošības ierobežojums

Neatkarīgi no izmantotā sertifikāta pārliecinieties, ka tas atbilst OpenSSL drošības līmenim 2, ko var apkopot šādi:

  • Sertifikātam un tā sertifikācijas iestāžu sertifikātiem jābūt privātajai atslēgai, kuras garums ir vismaz 2048 biti, ja tiek izmantota RSA, DSA un DH šifrēšana; eliptisko līkņu (ECC) atslēgām garumam jābūt vismaz 224 biti.
  • Sertifikāta paraksts nedrīkst būt MD5 vai SHA-1 (ieteicams SHA-512).

Šis serveris izmanto piecus dažādus sertifikātus:

  • Tīmekļa sertifikātu HTTPS iespējošanai.
  • Sertifikātu komponentam SSL Router, kas atbild par TLS tuneļu izveidi un datplūsmas maršrutēšanu starp tiem.
  • Sertifikātu komponentam Watchdog, kas atbild par komponenta SSL Router pareizas darbības uzraudzību.
  • Sertifikātu CyberElements Bastion klientam, lai tas varētu izveidot savienojumu ar komponentu SSL Router un izveidot TLSv1.3 tuneli.
  • Sertifikātu starpserveru apmaiņai starp Mediation Controller serveriem (tikai serverim SLAVE).

Tīmekļa sertifikāts

Ieteikums

Tīmekļa sertifikātam vēlams būt izdotam publiskā sertifikācijas iestādē (CA), kas ir atzīta par uzticamu.
Tādējādi bez papildu darbībām tiks nodrošināts, ka lietotāji nesaņem nekādas trauksmes saistībā ar izmantoto sertifikātu (ja tas ir derīgs un aptver nosaukumu, ar kuru lietotājs izveidoja savienojumu). Lai izmantotu iekšējas PKI izdotu sertifikātu, CA sertifikāts ir jāizvieto lietotāju darbstacijās.

Tīmekļa sertifikāta atribūtiem jāatbilst šādiem ierobežojumiem:

  • Sertifikāta derīguma termiņš nedrīkst pārsniegt 398 dienas (13 mēnešus).
  • Parakstam izmantotajai jaucējfunkcijai jāpieder SHA-2 saimei; mēs iesakām SHA-512.
  • Sertifikātam un tā sertifikācijas iestāžu sertifikātiem jābūt privātajai atslēgai, kuras garums ir vismaz 2048 biti, ja tiek izmantota RSA, DSA un DH šifrēšana; eliptisko līkņu (ECC) atslēgām garumam jābūt vismaz 224 biti. Mēs iesakām RSA atslēgas izmēru 4096 biti un ECDSA līkni secp384r1 ar izmēru 384 biti.
  • Atribūta Common Name vērtībai jābūt DNS nosaukumam (vai aizstājējzīmes nosaukumam), kuram sertifikāts ir paredzēts.
  • Atribūtam Key Usage jābūt ar vērtībām critical, digitalSignature un keyEncipherment.
  • Atribūtam Extended Key Usage jābūt ar vērtību id-kp-serverAuth (OpenSSL izmanto vērtību serverAuth).
  • Atribūtā Subject Alternative Name jābūt vismaz vienam ierakstam, kas atbilst primārajam DNS nosaukumam; var pievienot citus ierakstus, lai aptvertu citus DNS nosaukumus vai IP adreses.

Pieņemtais sertifikāta formāts: P12 vai PEM (ar diviem failiem — vienu sertifikātam un otru privātajai atslēgai).

Komponenta SSL Router sertifikāts

SSL Router sertifikāta atribūtiem jāatbilst šādiem ierobežojumiem:

  • Sertifikāta derīguma termiņš nedrīkst pārsniegt 1095 dienas (3 gadus).
  • Parakstam izmantotajai jaucējfunkcijai jāpieder SHA-2 saimei; mēs iesakām SHA-512.
  • Sertifikātam un tā sertifikācijas iestāžu sertifikātiem jābūt privātajai atslēgai, kuras garums ir vismaz 2048 biti, ja tiek izmantota RSA, DSA un DH šifrēšana; eliptisko līkņu (ECC) atslēgām garumam jābūt vismaz 224 biti. Mēs iesakām RSA atslēgas izmēru 4096 biti un ECDSA līkni secp384r1 ar izmēru 384 biti.
  • Atribūta Common Name vērtībai jābūt IP adresei vai DNS nosaukumam, kas novirza uz IP_MED_SSL.
  • Atribūtam Key Usage jābūt ar vērtībām critical, digitalSignature un keyEncipherment.
  • Atribūtam Extended Key Usage jābūt ar vērtību serverAuth.

Pieņemtais sertifikāta formāts: P12.

Watchdog sertifikāts

Watchdog sertifikāta atribūtiem jāatbilst šādiem ierobežojumiem:

  • Sertifikāta derīguma termiņš nedrīkst pārsniegt 1095 dienas (3 gadus).
  • Parakstam izmantotajai jaucējfunkcijai jāpieder SHA-2 saimei; mēs iesakām SHA-512.
  • Sertifikātam un tā sertifikācijas iestāžu sertifikātiem jābūt privātajai atslēgai, kuras garums ir vismaz 2048 biti, ja tiek izmantota RSA, DSA un DH šifrēšana; eliptisko līkņu (ECC) atslēgām garumam jābūt vismaz 224 biti. Mēs iesakām RSA atslēgas izmēru 4096 biti un ECDSA līkni secp384r1 ar izmēru 384 biti.
  • Atribūta Common Name vērtībai jābūt Watchdog identifikācijas nosaukumam, piemēram, „Watchdog“.
  • Atribūtam Key Usage jābūt ar vērtībām critical un digitalSignature.
  • Atribūtam Extended Key Usage jābūt ar vērtību clientAuth.

Pieņemtais sertifikāta formāts: P12.

CyberElements Bastion klienta sertifikāts

CyberElements Bastion klienta sertifikāta atribūtiem jāatbilst šādiem ierobežojumiem:

  • Sertifikāta derīguma termiņš nedrīkst pārsniegt 1095 dienas (3 gadus).
  • Parakstam izmantotajai jaucējfunkcijai jāpieder SHA-2 saimei; mēs iesakām SHA-512.
  • Sertifikātam un tā sertifikācijas iestāžu sertifikātiem jābūt privātajai atslēgai, kuras garums ir vismaz 2048 biti, ja tiek izmantota RSA, DSA un DH šifrēšana; eliptisko līkņu (ECC) atslēgām garumam jābūt vismaz 224 biti. Mēs iesakām RSA atslēgas izmēru 4096 biti un ECDSA līkni secp384r1 ar izmēru 384 biti.
  • Atribūta Common Name vērtībai jābūt klienta identifikācijas nosaukumam, piemēram, „cyberelements-cleanroom-client“.
  • Atribūtam Key Usage jābūt ar vērtībām critical un digitalSignature.
  • Atribūtam Extended Key Usage jābūt ar vērtību clientAuth.

Pieņemtais sertifikāta formāts: P12 ar paroli, kurā ir vismaz 8 burtciparu rakstzīmes (speciālās rakstzīmes, burti ar diakritiskajām zīmēm vai defises netiek atbalstītas).

Starpserveru sertifikāts

CyberElements Bastion starpserveru sertifikāta atribūtiem jāatbilst šādiem ierobežojumiem:

  • Sertifikāta derīguma termiņš nedrīkst pārsniegt 1095 dienas (3 gadus).
  • Parakstam izmantotajai jaucējfunkcijai jāpieder SHA-2 saimei; mēs iesakām SHA-512.
  • Sertifikātam un tā sertifikācijas iestāžu sertifikātiem jābūt privātajai atslēgai, kuras garums ir vismaz 2048 biti, ja tiek izmantota RSA, DSA un DH šifrēšana; eliptisko līkņu (ECC) atslēgām garumam jābūt vismaz 224 biti. Mēs iesakām RSA atslēgas izmēru 4096 biti un ECDSA līkni secp384r1 ar izmēru 384 biti.
  • Atribūta Common Name vērtībai jābūt identifikācijas nosaukumam, piemēram, „interserver-cleanroom“.
  • Atribūtam Key Usage jābūt ar vērtībām critical un digitalSignature.
  • Atribūtam Extended Key Usage jābūt ar vērtību clientAuth.

Pieņemtais sertifikāta formāts: P12 ar paroli, kurā ir vismaz 8 rakstzīmes bez speciālajām rakstzīmēm.

Šis serveris izmanto divus dažādus sertifikātus:

  • Sertifikātu, ar kuru komponents Edge Gateway autentificējas komponentā SSL Router.
  • Sertifikātu ierakstīšanas pakalpojumam, lai ierakstīšanas aģenti varētu ar to izveidot savienojumu.

Informācija

Edge Gateway serverī var būt vairākas Edge Gateway instances, un tam ir nepieciešams tik daudz sertifikātu, cik ir Edge Gateway instanču (izņemot īpašo arhitektūras Cluster gadījumu).

Tomēr Edge Gateway serverim ir tikai viens ierakstīšanas pakalpojums, tāpēc katram datoram būs nepieciešams tikai viens sertifikāts.

Edge Gateway sertifikāts

Edge Gateway sertifikāta atribūtiem jāatbilst šādiem ierobežojumiem:

  • Sertifikāta derīguma termiņš nedrīkst pārsniegt 1095 dienas (3 gadus).
  • Parakstam izmantotajai jaucējfunkcijai jāpieder SHA-2 saimei; mēs iesakām SHA-512.
  • Sertifikātam un tā sertifikācijas iestāžu sertifikātiem jābūt privātajai atslēgai, kuras garums ir vismaz 2048 biti, ja tiek izmantota RSA, DSA un DH šifrēšana; eliptisko līkņu (ECC) atslēgām garumam jābūt vismaz 224 biti. Mēs iesakām RSA atslēgas izmēru 4096 biti un ECDSA līkni secp384r1 ar izmēru 384 biti.
  • Atribūtam Common Name ir jābūt vērtībai, kas identificē loģisko komponentu Edge Gateway. Šim nosaukumam ir šāda forma: <GW_NAME>@<ORGANIZATION_NAME>, kur <GW_NAME> atbilst komponenta Edge Gateway nosaukumam (kā tas ievadīts administrēšanas konsolē), bet <ORGANIZATION_NAME> — tās organizācijas nosaukumam, ar kuru komponents Edge Gateway izveidos savienojumu.
  • Atribūtam Key Usage jābūt ar vērtībām critical un digitalSignature.
  • Atribūtam Extended Key Usage jābūt ar vērtību clientAuth.

Pieņemtais sertifikāta formāts: P12.

Ierakstīšanas pakalpojuma sertifikāts

Ierakstīšanas pakalpojuma sertifikāta atribūtiem ir jāatbilst šādiem ierobežojumiem:

  • Sertifikāta derīguma termiņš nedrīkst pārsniegt 1095 dienas (3 gadus).
  • Parakstam izmantotajai jaucējfunkcijai jāpieder SHA-2 saimei; mēs iesakām SHA-512.
  • Sertifikātam un tā sertifikācijas iestāžu sertifikātiem jābūt privātajai atslēgai, kuras garums ir vismaz 2048 biti, ja tiek izmantota RSA, DSA un DH šifrēšana; eliptisko līkņu (ECC) atslēgām garumam jābūt vismaz 224 biti. Mēs iesakām RSA atslēgas izmēru 4096 biti un ECDSA līkni secp384r1 ar izmēru 384 biti.
  • Atribūta Common Name vērtībai ir jābūt komponenta Edge Gateway datora FQDN nosaukumam vai vismaz datora nosaukumam.
  • Atribūtam Key Usage jābūt ar vērtībām critical, digitalSignature un keyEncipherment.
  • Atribūtam Extended Key Usage jābūt ar vērtību serverAuth.

Pieņemtais sertifikāta formāts: P12.

Šis serveris izmanto vienu sertifikātu — to, ar kuru komponents HTML5 Gateway autentificējas komponentā SSL Router.

Informācija

HTML5 Gateway serverī var būt vairākas HTML5 Gateway instances, un tam ir nepieciešams tik daudz sertifikātu, cik ir HTML5 Gateway instanču (izņemot īpašo arhitektūras Cluster gadījumu).

HTML5 Gateway sertifikāts

Komponenta HTML5 Gateway sertifikāta atribūtiem ir jāatbilst šādiem ierobežojumiem:

  • Sertifikāta derīguma termiņš nedrīkst pārsniegt 1095 dienas (3 gadus).
  • Parakstam izmantotajai jaucējfunkcijai jāpieder SHA-2 saimei; mēs iesakām SHA-512.
  • Sertifikātam un tā sertifikācijas iestāžu sertifikātiem jābūt privātajai atslēgai, kuras garums ir vismaz 2048 biti, ja tiek izmantota RSA, DSA un DH šifrēšana; eliptisko līkņu (ECC) atslēgām garumam jābūt vismaz 224 biti. Mēs iesakām RSA atslēgas izmēru 4096 biti un ECDSA līkni secp384r1 ar izmēru 384 biti.
  • Atribūtam Common Name ir jābūt vērtībai, kas identificē loģisko komponentu Edge Gateway. Šim nosaukumam ir šāda forma: <HTML5_GW_NAME>@<ORGANIZATION_NAME>, kur <HTML5_GW_NAME> atbilst komponenta Edge Gateway nosaukumam (kā tas ievadīts administrēšanas konsolē), bet <ORGANIZATION_NAME> — tās organizācijas nosaukumam, ar kuru komponents Edge Gateway izveidos savienojumu.
  • Atribūtam Key Usage jābūt ar vērtībām critical un digitalSignature.
  • Atribūtam Extended Key Usage jābūt ar vērtību clientAuth.

Pieņemtais sertifikāta formāts: P12.

Lai darbotos tiešās piekļuves režīmā, tiešās piekļuves ierakstīšanas aģents izmanto sertifikātu, ar kuru tas autentificējas Edge Gateway ierakstīšanas pakalpojumā.

Sertifikāta atribūtiem ir jāatbilst šādiem ierobežojumiem:

  • Sertifikāta derīguma termiņš nedrīkst pārsniegt 1095 dienas (3 gadus).
  • Parakstam izmantotajai jaucējfunkcijai jāpieder SHA-2 saimei; mēs iesakām SHA-512.
  • Sertifikātam un tā sertifikācijas iestāžu sertifikātiem jābūt privātajai atslēgai, kuras garums ir vismaz 2048 biti, ja tiek izmantota RSA, DSA un DH šifrēšana; eliptisko līkņu (ECC) atslēgām garumam jābūt vismaz 224 biti. Mēs iesakām RSA atslēgas izmēru 4096 biti un ECDSA līkni secp384r1 ar izmēru 384 biti.
  • Atribūtam Common Name ir jābūt vērtībai, kas ir īsais nosaukums, FQDN vai jebkurš cits nosaukums, kas unikāli identificē datoru. Šis nosaukums tiek izmantots, lai identificētu un izsekotu datorā veiktās darbības.
  • Atribūtam Key Usage jābūt ar vērtībām critical un digitalSignature.
  • Atribūtam Extended Key Usage jābūt ar vērtību clientAuth.

Pieņemtais sertifikāta formāts: P12.