Pāriet uz saturu

CyberElements Bastion Standalone platformas priekšnosacījumi

Dators

CyberElements Bastion instalēšanai var izmantot gan fiziskus datorus, gan virtuālās mašīnas.
Produkts pats neveic virtualizāciju, tāpēc virtuālajām mašīnām nav jāiespējo ligzdotās virtualizācijas opcija.

OS

CyberElements Bastion darbojas 64 bitu datoros ar Debian 12 (Bookworm).
Ieteicams izmantot datorus bez grafiskās saskarnes un ierobežot instalētos komponentus līdz SSH serverim.

CPU

CPU ar 4 kodoliem aptver lielāko daļu produkta lietojuma gadījumu.

RAM

Uzmanību

Tālāk norādītās RAM vērtības ir tikai orientējošas, jo RAM patēriņu var ietekmēt daudzi mainīgie (izmantotās produkta funkcijas vai elementi, kas datorā instalēti paralēli produktam).

RAM patēriņš parasti ir atkarīgs no vienlaicīgo lietotāju skaita, ko platforma spēj apkalpot:

  • No 1 līdz 5 vienlaicīgiem lietotājiem: vismaz 2 GB RAM, ieteicami 4 GB.
  • No 5 līdz 20 vienlaicīgiem lietotājiem: vismaz 4 GB RAM.
  • 20 vai vairāk vienlaicīgiem lietotājiem: vismaz 8 GB RAM.

RAM patēriņš ir atkarīgs no vienlaicīgo sesiju skaita, kā arī no izmantoto lietojumprogrammu veidiem.

Tipiskās vērtības ir šādas:

  • No 1 līdz 5 vienlaicīgiem lietotājiem: vismaz 2 GB RAM, ieteicami 4 GB.
  • No 5 līdz 20 vienlaicīgiem lietotājiem: vismaz 4 GB RAM.
  • 20 vai vairāk vienlaicīgiem lietotājiem: 8 GB RAM.

Ņemiet vērā, ka RDP vai VNC lietojumprogramma bez aģenta var patērēt līdz 400 MB uz katru palaisto lietojumprogrammu.
Ja šāda veida lietojumprogrammas tiek izmantotas plaši, ieteicams uzraudzīt RAM lietojumu, lai attiecīgi pielāgotu tās apjomu.

RAM patēriņš ir atkarīgs no vienlaikus atvērto HTML5 lietojumprogrammu skaita.

Bāzes serverim sistēmas darbībai nepieciešami 2 GB, kā arī 50 MB uz katru vienlaicīgi izmantotu HTML5 lietojumprogrammu.

Ja loma HTML5 Gateway ir apvienota ar Edge Gateway serveri, Edge Gateway servera RAM ieteikumam pievienojiet 50 MB uz katru vienlaicīgi izmantotu HTML5 lietojumprogrammu.

Disks

Disku ieteicams sadalīt nodalījumos, izmantojot LVM, lai nodrošinātu lielāku elastību gadījumā, ja lietošanas laikā jāpārskata datora izmērs.

Dažādu veidu serveriem ir atšķirīgi diska lietojuma modeļi, un arī apjomi atšķiras. Tālāk sniegta informācija pa servera veidiem:

Šajā serverī pieaugs apjoms šādos direktorijos:

  • /var/log/: direktorijs, kurā ir dažādi sistēmas žurnāli.
  • /var/lib/postgresql/15/main/: direktorijs, kurā ir lokālās datu bāzes dati.
  • /var/ipdiva/: direktorijs, kurā ir produktam specifiski dati.

Dažādo direktoriju izolēšana atsevišķos nodalījumos nav obligāta, taču ieteicama. Varat ievērot šos norādījumus:

Montēšanas punkts Opcijas Minimālais izmērs (GB)
/boot nosuid,nodev,noexec 1
/opt nosuid,nodev 1
/tmp nosuid,nodev 4
/srv nosuid,nodev 1
/home nosuid,nodev,noexec 6
/usr nodev 6
/var nosuid 5
/var/log nosuid,nodev,noexec 5
/var/tmp nosuid,nodev,noexec 2
swap Nav opciju Atkarībā no RAM (uz pusi mazāk)
/ Nav opciju 2 GB vai vairāk atkarībā no pieejamās diska vietas

Piemērs

Serverim ar 4 GB RAM (kam nepieciešami 2 GB swap) ar iepriekš aprakstīto nodalījumu sadalījumu nepieciešamā diska vieta ir vismaz 35 GB.

Šajā serverī pieaugs apjoms šādos direktorijos:

  • /var/log/: direktorijs, kurā ir dažādi sistēmas žurnāli.
  • /var/lib/ipdiva/carerecord/recording/: direktorijs, kurā ir pašlaik ierakstītie arhīvi; tātad tas ir pagaidu glabāšanas direktorijs.
  • /var/lib/ipdiva/carerecord/archives/: noklusējuma direktorijs, kurā ir produkta grafiskie arhīvi.
  • /var/ipdiva/care/sshrecord/: noklusējuma direktorijs, kurā ir produkta negrafiskie (SSH) arhīvi.

Dažādo direktoriju izolēšana atsevišķos nodalījumos nav obligāta, taču ieteicama. Varat ievērot šos norādījumus:

Montēšanas punkts Opcijas Minimālais izmērs (GB)
/boot nosuid,nodev,noexec 1
/opt nosuid,nodev 1
/tmp nosuid,nodev 4
/srv nosuid,nodev 1
/home nosuid,nodev,noexec 6
/usr nodev 6
/var nosuid,nodev 5
/var/log nosuid,nodev,noexec 5
/var/tmp nosuid,nodev,noexec 2
swap Nav opciju Atkarībā no RAM (uz pusi mazāk)
/ Nav opciju 2 GB vai vairāk atkarībā no pieejamās diska vietas

Piemērs

Serverim ar 4 GB RAM (kam nepieciešami 2 GB swap) ar iepriekš aprakstīto nodalījumu sadalījumu nepieciešamā diska vieta ir vismaz 35 GB.

Tomēr, ja vien arhīvi netiek glabāti ārēji, stingri ieteicams montēšanas punktam /var piešķirt vairāk diska vietas pagaidu vai ilgtermiņa grafiskajiem arhīviem.

Šajā serverī pieaugs apjoms šādos direktorijos:

  • /var/log/: direktorijs, kurā ir dažādi sistēmas žurnāli.
  • /home/systanciahtml5share/: pagaidu glabāšanas direktorijs failiem, ar kuriem notiek apmaiņa ar HTML5 lietojumprogrammām.

Dažādo direktoriju izolēšana atsevišķos nodalījumos nav obligāta, taču ieteicama. Varat ievērot šos norādījumus:

Montēšanas punkts Opcijas Minimālais izmērs (GB)
/boot nosuid,nodev,noexec 1
/opt nosuid,nodev 1
/tmp nosuid,nodev 4
/srv nosuid,nodev 1
/home nosuid,nodev,noexec 6
/usr nodev 6
/var nosuid,nodev 5
/var/log nosuid,nodev,noexec 5
/var/tmp nosuid,nodev,noexec 2
swap Nav opciju Atkarībā no RAM (uz pusi mazāk)
/ Nav opciju 2 GB vai vairāk atkarībā no pieejamās diska vietas

Piemērs

Serverim ar 4 GB RAM (kam nepieciešami 2 GB swap) ar iepriekš aprakstīto nodalījumu sadalījumu nepieciešamā diska vieta ir vismaz 35 GB.

Tīkls

CyberElements Bastion Standalone platformai būs nepieciešams:

  • 2 IP adreses Mediation Controller serverim (vienā tīkla saskarnē)
  • 1 IP adrese katram Edge Gateway vai HTML5 Gateway datoram

Mediation Controller serveris parasti tiek novietots DMZ zonā, taču to var novietot arī privātā DMZ zonā vai mitināt publiskajā mākonī. Tas būs atkarīgs no platformas lietojuma gadījuma (piemēram, attālā piekļuve pakalpojumu sniedzējiem vai iekšējās piekļuves aizsargātajām zonām drošības nodrošināšana).

Edge Gateway serveri parasti tiek izvietoti LAN tīklā, VLAN tīklos, kas ļauj tiem sazināties ar mērķa resursiem.

HTML5 Gateway serverus var novietot gan LAN tīklā, gan DMZ zonā. Šajā dokumentācijā paredzēta HTML5 Gateway komponenta instalēšana Edge Gateway serverī, t. i., LAN tīklā.

Lai labāk identificētu dažādās datoru adreses, dokumentācijā tās tiks apzīmētas šādi:

IP adreses nosaukums Nozīme
IP_MED_WEB Mediation Controller servera primārā IP adrese, kas nodrošina piekļuvi tīmekļa konsolēm.
IP_MED_SSL Mediation Controller servera otrā IP adrese, ko izmanto komponents SSL Router.
IP_GW Edge Gateway servera IP adrese.
IP_HTML5_GW HTML5 Gateway servera IP adrese.

Informācija

Parādītā informācija par plūsmām pieņem, ka Mediation Controller serveris atrodas DMZ zonā un ka Edge Gateway serverim, kas atrodas LAN tīklā, ir arī HTML5 Gateway loma.

Mediation Controller IP adreses var būt vai nu publiskas IP adreses, kas tieši piešķirtas Mediation Controller serverim, vai publiskas IP adreses, kuras ar NAT tiek pārveidotas par privātām IP adresēm (ieteicams).

Avots Mērķis Mērķa ports Komentāri
Lietotāja darbstacija IP_MED_WEB TCP 443 (ja izmanto standarta portu) Atļaut piekļuvi tīmekļa konsolēm un lietojumprogrammām, kas darbojas tieši pārlūkprogrammā.
Lietotāja darbstacija IP_MED_SSL TCP 443 (ja izmanto standarta portu) Izveidot TLS tuneli, lai šifrētu plūsmu, kas iet caur CyberElements Bastion klientu.
IP_GW IP_MED_WEB TCP 443 (ja izmanto standarta portu) Ja Edge Gateway atrodas attālā tīklā. Savienojums ar Edge Gateway pairing sistēmu.
IP_GW IP_MED_SSL TCP 443 (ja izmanto standarta portu) Ja Edge Gateway atrodas attālā tīklā. Savienojums ar komponentu SSL Router, lai izveidotu TLSv1.3 tuneli un maršrutētu caur to produkta saziņu.
Avots Mērķis Mērķa ports Komentāri
IP_MED_WEB Debian krātuves TCP 80 Nepieciešams CyberElements Bastion atkarību instalēšanai un sistēmas atjaunināšanai. Dokumentācijā un virtuālajās ierīcēs tiek izmantoti ftp.fr.debian.org un security.debian.org.
IP_MED_WEB packages.microsoft.com TCP 443 Microsoft krātuve MS SQL draiveru instalēšanai un atjaunināšanai. Nepieciešams tikai tad, ja vēlaties piekļūt MS SQL datu bāzei (virtuālajās ierīcēs ir MS SQL draiveri).
IP_MED_WEB NTP laika serveris UDP 123 Neobligāti, ja serverim ir jāsinhronizē pulkstenis ar serveri DMZ zonā. Pēc noklusējuma tiek izmantoti Debian pūli: 0.debian.pool.ntp.org, 1.debian.pool.ntp.org, 2.debian.pool.ntp.org un 3.debian.pool.ntp.org.
IP_MED_WEB SMTP serveris TCP 25, 465, 587 Nepieciešams, ja e-pasta ziņojumu sūtīšanai ir jāizmanto SMTP serveris, kas atrodas WAN tīklā.
IP_MED_WEB DNS serveris UDP 53 Nepieciešams DNS atrisināšanai. Tas var atrasties WAN tīklā vai DMZ zonā.
IP_MED_WEB api.neomia.ai TCP 443 (Neobligāti) Savienojums ar uzvedības biometrijas MFA produkta Neomia Pulse API.
IP_MED_WEB EU: keepersecurity.eu
US: keepersecurity.com
AU: keepersecurity.com.au
CA: keepersecurity.ca
JP: keepersecurity.jp		 TCP 443 (Neobligāti) Savienojums ar seifu Keeper EPM atkarībā no tā atrašanās vietas.
Avots Mērķis Mērķa ports Komentāri
IP_MED_WEB NTP laika serveris UDP 123 Ja serverim ir jāsinhronizē pulkstenis ar serveri DMZ zonā.
IP_MED_WEB SMTP serveris TCP 25, 465, 587 Nepieciešams, ja e-pasta ziņojumu sūtīšanai ir jāizmanto SMTP serveris, kas atrodas DMZ zonā.
IP_MED_WEB Datu bāzes serveris TCP 1433, 5432 vai jebkurš cits pielāgots ports Nepieciešams, ja vēlaties izmantot ārēju datu bāzi, kas atrodas DMZ zonā.
IP_MED_WEB DNS serveris UDP 53 Nepieciešams DNS atrisināšanai. Tas var atrasties DMZ zonā vai WAN tīklā.
Avots Mērķis Mērķa ports Komentāri
IP_GW Debian krātuves TCP 80 Nepieciešams CyberElements Bastion atkarību instalēšanai un sistēmas atjaunināšanai. Dokumentācijā un virtuālajās ierīcēs tiek izmantoti ftp.fr.debian.org un security.debian.org.
IP_GW DNS serveris UDP 53 Nepieciešams DNS izšķiršanai. Neobligāti, ja DNS serveris ir pieejams LAN tīklā vai DMZ.
IP_GW NTP laika serveris UDP 123 Neobligāti, ja serverim ir jāsinhronizē pulkstenis ar serveri LAN tīklā vai DMZ. Pēc noklusējuma tiek izmantoti Debian pūli: 0.debian.pool.ntp.org, 1.debian.pool.ntp.org, 2.debian.pool.ntp.org un 3.debian.pool.ntp.org.
IP_GW SMS pakalpojumu sniedzējs TCP 443 (Neobligāti) Savienojums ar CyberElements Bastion atbalstīto SMS pakalpojumu sniedzēju API.
Avots(-i) Mērķis(-i) Mērķa ports Komentāri
IP_GW
IP_HTML5_GW		 IP_MED_WEB TCP 443 (ja izmanto standarta portu) Savienojums ar Edge Gateway pairing sistēmu.
IP_GW
IP_HTML5_GW		 IP_MED_SSL TCP 443 (ja izmanto standarta portu) Savienojums ar komponentu SSL Router, lai izveidotu TLSv1.3 tuneli un maršrutētu caur to produkta saziņu.
Klienta darbstacija IP_MED_WEB TCP 443 (ja izmanto standarta portu) Savienojums ar produkta dažādajām tīmekļa konsolēm.
Klienta darbstacija IP_MED_SSL TCP 443 (ja izmanto standarta portu) Izveidot TLS tuneli, lai šifrētu plūsmu, kas iet caur CyberElements Bastion klientu.
Administratora darbstacija IP_MED_WEB TCP 22 SSH savienojums ar Mediation Controller serveri.
Avots Mērķis Mērķa ports Komentāri
IP_GW DNS serveris UDP 53 Nepieciešams DNS atrisināšanai. Neobligāti, ja tiek izmantots DNS serveris WAN tīklā vai DMZ zonā.
IP_GW LDAP vai AD serveri TCP 389 vai 636 CyberElements Bastion savienojums ar LDAP vai AD serveri.
IP_GW AD serveri TCP 139 un 445 AD kontu paroļu rotācija; tiek izmantota tikai tad, ja rotācija, izmantojot LDAPS, nav iespējama.
IP_GW RDP serveri TCP/UDP 3389 (ja izmanto standarta portu) Savienojums no CyberElements Bastion ar RDP serveriem.
IP_GW SSH serveri TCP 22 (ja tiek izmantots standarta ports) CyberElements Bastion savienojums ar SSH serveriem.
IP_GW VNC serveri TCP 5900 (ja tiek izmantots standarta ports) CyberElements Bastion savienojums ar VNC serveriem.
IP_GW Tīmekļa serveri TCP 80 vai 443 (ja izmanto standarta portu) Savienojums no CyberElements Bastion ar tīmekļa serveriem.
IP_GW Citrix Storefront serveri TCP 443 (ja tiek izmantots standarta ports) CyberElements Bastion savienojums ar Citrix Storefront serveriem.
IP_GW Citrix lietojumprogrammu serveri TCP 1494 CyberElements Bastion savienojums ar Citrix lietojumprogrammu serveriem (lietojumprogrammas vai darbvirsmas palaišana ar ICA klientu).
IP_GW Failu serveri TCP 139 un 445 CyberElements Bastion savienojums ar failu serveriem.
IP_GW Datu bāzes serveris TCP 1433, 5432 vai jebkurš cits pielāgots ports Nepieciešams, ja vēlaties izmantot ārēju datu bāzi, kas atrodas LAN tīklā (piemēram, lai pārvietotu Vault datu bāzi).
IP_GW RDP serveri TCP 139 un 445 Ierakstīšanas aģenta izvietošana, izmantojot administrēšanas konsoli.
Klienta darbstacija IP_GW TCP [administratora definēts ports] Tiešās SSH piekļuves savienojums.
Klienta darbstacija IP_GW TCP 3389 Tiešās RDP piekļuves savienojums.
RDP serveri IP_GW TCP 8443 Savienojums starp ierakstīšanas aģentu un Edge Gateway, lai augšupielādētu lietotāja sesijas ierakstu.
Administratora darbstacija IP_GW TCP 22 SSH savienojums ar Edge Gateway serveri.

Datu bāze

CyberElements Bastion savai darbībai izmanto dažādas datu bāzes (DB).

  1. Sistēmas konfigurācijas datu bāze. Šajā datu bāzē tiek glabāti visi administrēšanas saskarnes /system iestatījumi. Standalone instalācijā šo datu bāzi tieši izveido un pārvalda produkts, izmantojot PostgreSQL serveri, kas instalēts Mediation Controller serverī.
  2. Organizācijas konfigurācijas datu bāze. Katrai Mediation Controller serverī izveidotajai organizācijai būs nepieciešama atsevišķa DB, kurā glabāt visus organizācijas iestatījumus un žurnālus. Šī datu bāze parasti tiek mitināta Mediation Controller serverī un tā lokālajā PostgreSQL datu bāzē, taču to var pārvietot arī uz DMZ zonu vai LAN tīklu.
  3. Vault datu bāze. Katra izveidotā organizācija aktivizē atsevišķas DB izveidi produkta Vault vajadzībām, un pēc noklusējuma tā tiek glabāta Mediation Controller serverī. Šo datu bāzi var pārvietot uz LAN tīklu, ja vien kāds Edge Gateway var tai piekļūt.

Izmantojot ārējās datu bāzes, tiek atbalstīti šādi datu bāzu tipi:

Licence

Lai Mediation Controller serveris darbotos, tam ir nepieciešama licence.
Licenci var iegūt no Systancia, izmantojot šo licences pieprasījuma veidlapu: Pieprasīt licenci

Sertifikāti

CyberElements Bastion izmanto TLS šifrēšanu iekšējai saziņai un HTTPS tīmekļa piekļuves aizsardzībai, tāpēc nepieciešami dažādi x509 sertifikāti. Tālāk sniegtajā informācijā apkopoti dažādie nepieciešamie sertifikāti, to mērķis un minimālie iestatījumi.

Sertifikāta drošības ierobežojums

Neatkarīgi no izmantotā sertifikāta pārliecinieties, ka tas atbilst OpenSSL drošības līmenim 2, ko var apkopot šādi:

  • Sertifikātam un tā sertifikācijas iestāžu sertifikātiem jābūt privātajai atslēgai, kuras garums ir vismaz 2048 biti, ja tiek izmantota RSA, DSA un DH šifrēšana; eliptisko līkņu (ECC) atslēgām garumam jābūt vismaz 224 biti.
  • Sertifikāta paraksts nedrīkst būt MD5 vai SHA-1 (ieteicams SHA-512).

Šis serveris izmanto četrus dažādus sertifikātus:

  • Tīmekļa sertifikātu HTTPS iespējošanai.
  • Sertifikātu komponentam SSL Router, kas atbild par TLS tuneļu izveidi un datplūsmas maršrutēšanu starp tiem.
  • Sertifikātu komponentam Watchdog, kas atbild par komponenta SSL Router pareizas darbības uzraudzību.
  • Sertifikātu CyberElements Bastion klientam, lai tas varētu izveidot savienojumu ar komponentu SSL Router un izveidot TLSv1.3 tuneli.

Tīmekļa sertifikāts

Ieteikums

Tīmekļa sertifikātam vēlams būt izdotam publiskā sertifikācijas iestādē (CA), kas ir atzīta par uzticamu.
Tādējādi bez papildu darbībām tiks nodrošināts, ka lietotāji nesaņem nekādas trauksmes saistībā ar izmantoto sertifikātu (ja tas ir derīgs un aptver nosaukumu, ar kuru lietotājs izveidoja savienojumu). Lai izmantotu iekšējas PKI izdotu sertifikātu, CA sertifikāts ir jāizvieto lietotāju darbstacijās.

Tīmekļa sertifikāta atribūtiem jāatbilst šādiem ierobežojumiem:

  • Sertifikāta derīguma termiņš nedrīkst pārsniegt 398 dienas (13 mēnešus).
  • Parakstam izmantotajai jaucējfunkcijai jāpieder SHA-2 saimei; mēs iesakām SHA-512.
  • Sertifikātam un tā sertifikācijas iestāžu sertifikātiem jābūt privātajai atslēgai, kuras garums ir vismaz 2048 biti, ja tiek izmantota RSA, DSA un DH šifrēšana; eliptisko līkņu (ECC) atslēgām garumam jābūt vismaz 224 biti. Mēs iesakām RSA atslēgas izmēru 4096 biti un ECDSA līkni secp384r1 ar izmēru 384 biti.
  • Atribūta Common Name vērtībai jābūt DNS nosaukumam (vai aizstājējzīmes nosaukumam), kuram sertifikāts ir paredzēts.
  • Atribūtam Key Usage jābūt ar vērtībām critical, digitalSignature un keyEncipherment.
  • Atribūtam Extended Key Usage jābūt ar vērtību id-kp-serverAuth (OpenSSL izmanto vērtību serverAuth).
  • Atribūtā Subject Alternative Name jābūt vismaz vienam ierakstam, kas atbilst primārajam DNS nosaukumam; var pievienot citus ierakstus, lai aptvertu citus DNS nosaukumus vai IP adreses.

Pieņemtais sertifikāta formāts: P12 vai PEM (ar diviem failiem — vienu sertifikātam un otru privātajai atslēgai).

Komponenta SSL Router sertifikāts

SSL Router sertifikāta atribūtiem jāatbilst šādiem ierobežojumiem:

  • Sertifikāta derīguma termiņš nedrīkst pārsniegt 1095 dienas (3 gadus).
  • Parakstam izmantotajai jaucējfunkcijai jāpieder SHA-2 saimei; mēs iesakām SHA-512.
  • Sertifikātam un tā sertifikācijas iestāžu sertifikātiem jābūt privātajai atslēgai, kuras garums ir vismaz 2048 biti, ja tiek izmantota RSA, DSA un DH šifrēšana; eliptisko līkņu (ECC) atslēgām garumam jābūt vismaz 224 biti. Mēs iesakām RSA atslēgas izmēru 4096 biti un ECDSA līkni secp384r1 ar izmēru 384 biti.
  • Atribūta Common Name vērtībai jābūt IP adresei vai DNS nosaukumam, kas novirza uz IP_MED_SSL.
  • Atribūtam Key Usage jābūt ar vērtībām critical, digitalSignature un keyEncipherment.
  • Atribūtam Extended Key Usage jābūt ar vērtību serverAuth.

Pieņemtais sertifikāta formāts: P12.

Watchdog sertifikāts

Watchdog sertifikāta atribūtiem jāatbilst šādiem ierobežojumiem:

  • Sertifikāta derīguma termiņš nedrīkst pārsniegt 1095 dienas (3 gadus).
  • Parakstam izmantotajai jaucējfunkcijai jāpieder SHA-2 saimei; mēs iesakām SHA-512.
  • Sertifikātam un tā sertifikācijas iestāžu sertifikātiem jābūt privātajai atslēgai, kuras garums ir vismaz 2048 biti, ja tiek izmantota RSA, DSA un DH šifrēšana; eliptisko līkņu (ECC) atslēgām garumam jābūt vismaz 224 biti. Mēs iesakām RSA atslēgas izmēru 4096 biti un ECDSA līkni secp384r1 ar izmēru 384 biti.
  • Atribūta Common Name vērtībai jābūt Watchdog identifikācijas nosaukumam, piemēram, „Watchdog“.
  • Atribūtam Key Usage jābūt ar vērtībām critical un digitalSignature.
  • Atribūtam Extended Key Usage jābūt ar vērtību clientAuth.

Pieņemtais sertifikāta formāts: P12.

CyberElements Bastion klienta sertifikāts

CyberElements Bastion klienta sertifikāta atribūtiem jāatbilst šādiem ierobežojumiem:

  • Sertifikāta derīguma termiņš nedrīkst pārsniegt 1095 dienas (3 gadus).
  • Parakstam izmantotajai jaucējfunkcijai jāpieder SHA-2 saimei; mēs iesakām SHA-512.
  • Sertifikātam un tā sertifikācijas iestāžu sertifikātiem jābūt privātajai atslēgai, kuras garums ir vismaz 2048 biti, ja tiek izmantota RSA, DSA un DH šifrēšana; eliptisko līkņu (ECC) atslēgām garumam jābūt vismaz 224 biti. Mēs iesakām RSA atslēgas izmēru 4096 biti un ECDSA līkni secp384r1 ar izmēru 384 biti.
  • Atribūta Common Name vērtībai jābūt klienta identifikācijas nosaukumam, piemēram, „cyberelements-cleanroom-client“.
  • Atribūtam Key Usage jābūt ar vērtībām critical un digitalSignature.
  • Atribūtam Extended Key Usage jābūt ar vērtību clientAuth.

Pieņemtais sertifikāta formāts: P12 ar paroli, kurā ir vismaz 8 burtciparu rakstzīmes (speciālās rakstzīmes, burti ar diakritiskajām zīmēm vai defises netiek atbalstītas).

Šis serveris izmanto divus dažādus sertifikātus:

  • Viens sertifikāts Edge Gateway komponenta autentificēšanai pie komponenta SSL Router.
  • Sertifikātu ierakstīšanas pakalpojumam, lai ierakstīšanas aģenti varētu ar to izveidot savienojumu.

Informācija

Edge Gateway serverī var būt vairākas Edge Gateway instances, un tam ir nepieciešams tik daudz sertifikātu, cik ir Edge Gateway instanču (izņemot īpašo arhitektūras Cluster gadījumu).

Tomēr Edge Gateway serverim ir tikai viens ierakstīšanas pakalpojums, tāpēc katram datoram būs nepieciešams tikai viens sertifikāts.

Edge Gateway sertifikāts

Edge Gateway sertifikāta atribūtiem jāatbilst šādiem ierobežojumiem:

  • Sertifikāta derīguma termiņš nedrīkst pārsniegt 1095 dienas (3 gadus).
  • Parakstam izmantotajai jaucējfunkcijai jāpieder SHA-2 saimei; mēs iesakām SHA-512.
  • Sertifikātam un tā sertifikācijas iestāžu sertifikātiem jābūt privātajai atslēgai, kuras garums ir vismaz 2048 biti, ja tiek izmantota RSA, DSA un DH šifrēšana; eliptisko līkņu (ECC) atslēgām garumam jābūt vismaz 224 biti. Mēs iesakām RSA atslēgas izmēru 4096 biti un ECDSA līkni secp384r1 ar izmēru 384 biti.
  • Atribūtam Common Name ir jābūt vērtībai, kas identificē loģisko komponentu Edge Gateway. Šim nosaukumam ir šāda forma: <GW_NAME>@<ORGANIZATION_NAME>, kur <GW_NAME> atbilst komponenta Edge Gateway nosaukumam (kā tas ievadīts administrēšanas konsolē), bet <ORGANIZATION_NAME> — tās organizācijas nosaukumam, ar kuru komponents Edge Gateway izveidos savienojumu.
  • Atribūtam Key Usage jābūt ar vērtībām critical un digitalSignature.
  • Atribūtam Extended Key Usage jābūt ar vērtību clientAuth.

Pieņemtais sertifikāta formāts: P12.

Ierakstīšanas pakalpojuma sertifikāts

Ierakstīšanas pakalpojuma sertifikāta atribūtiem ir jāatbilst šādiem ierobežojumiem:

  • Sertifikāta derīguma termiņš nedrīkst pārsniegt 1095 dienas (3 gadus).
  • Parakstam izmantotajai jaucējfunkcijai jāpieder SHA-2 saimei; mēs iesakām SHA-512.
  • Sertifikātam un tā sertifikācijas iestāžu sertifikātiem jābūt privātajai atslēgai, kuras garums ir vismaz 2048 biti, ja tiek izmantota RSA, DSA un DH šifrēšana; eliptisko līkņu (ECC) atslēgām garumam jābūt vismaz 224 biti. Mēs iesakām RSA atslēgas izmēru 4096 biti un ECDSA līkni secp384r1 ar izmēru 384 biti.
  • Atribūta Common Name vērtībai ir jābūt komponenta Edge Gateway datora FQDN nosaukumam vai vismaz datora nosaukumam.
  • Atribūtam Key Usage jābūt ar vērtībām critical, digitalSignature un keyEncipherment.
  • Atribūtam Extended Key Usage jābūt ar vērtību serverAuth.

Pieņemtais sertifikāta formāts: P12.

Šis serveris izmanto vienu sertifikātu — to, ar kuru komponents HTML5 Gateway autentificējas komponentā SSL Router.

Informācija

HTML5 Gateway serverī var būt vairākas HTML5 Gateway instances, un tam nepieciešams tik sertifikātu, cik ir HTML5 Gateway instanču (izņemot īpašo Cluster arhitektūras gadījumu).

HTML5 Gateway sertifikāts

Komponenta HTML5 Gateway sertifikāta atribūtiem ir jāatbilst šādiem ierobežojumiem:

  • Sertifikāta derīguma termiņš nedrīkst pārsniegt 1095 dienas (3 gadus).
  • Parakstam izmantotajai jaucējfunkcijai jāpieder SHA-2 saimei; mēs iesakām SHA-512.
  • Sertifikātam un tā sertifikācijas iestāžu sertifikātiem jābūt privātajai atslēgai, kuras garums ir vismaz 2048 biti, ja tiek izmantota RSA, DSA un DH šifrēšana; eliptisko līkņu (ECC) atslēgām garumam jābūt vismaz 224 biti. Mēs iesakām RSA atslēgas izmēru 4096 biti un ECDSA līkni secp384r1 ar izmēru 384 biti.
  • Atribūtam Common Name ir jābūt vērtībai, kas identificē loģisko komponentu Edge Gateway. Šim nosaukumam ir šāda forma: <HTML5_GW_NAME>@<ORGANIZATION_NAME>, kur <HTML5_GW_NAME> atbilst komponenta Edge Gateway nosaukumam (kā tas ievadīts administrēšanas konsolē), bet <ORGANIZATION_NAME> — tās organizācijas nosaukumam, ar kuru komponents Edge Gateway izveidos savienojumu.
  • Atribūtam Key Usage jābūt ar vērtībām critical un digitalSignature.
  • Atribūtam Extended Key Usage jābūt ar vērtību clientAuth.

Pieņemtais sertifikāta formāts: P12.

Lai darbotos tiešās piekļuves režīmā, tiešās piekļuves ierakstīšanas aģents izmanto sertifikātu, ar kuru tas autentificējas Edge Gateway ierakstīšanas pakalpojumā.

Sertifikāta atribūtiem ir jāatbilst šādiem ierobežojumiem:

  • Sertifikāta derīguma termiņš nedrīkst pārsniegt 1095 dienas (3 gadus).
  • Parakstam izmantotajai jaucējfunkcijai jāpieder SHA-2 saimei; mēs iesakām SHA-512.
  • Sertifikātam un tā sertifikācijas iestāžu sertifikātiem jābūt privātajai atslēgai, kuras garums ir vismaz 2048 biti, ja tiek izmantota RSA, DSA un DH šifrēšana; eliptisko līkņu (ECC) atslēgām garumam jābūt vismaz 224 biti. Mēs iesakām RSA atslēgas izmēru 4096 biti un ECDSA līkni secp384r1 ar izmēru 384 biti.
  • Atribūtam Common Name ir jābūt vērtībai, kas ir īsais nosaukums, FQDN vai jebkurš cits nosaukums, kas unikāli identificē datoru. Šis nosaukums tiek izmantots, lai identificētu un izsekotu datorā veiktās darbības.
  • Atribūtam Key Usage jābūt ar vērtībām critical un digitalSignature.
  • Atribūtam Extended Key Usage jābūt ar vērtību clientAuth.

Pieņemtais sertifikāta formāts: P12.