Prerekwiżiti għal pjattaforma CyberElements Bastion Standalone¶

Kompjuter¶

Jistgħu jintużaw kemm kompjuters fiżiċi kif ukoll magni virtwali biex tinstalla CyberElements Bastion.
Il-prodott ma jagħmel l-ebda virtwalizzazzjoni, għalhekk m’hemmx bżonn li tiġi attivata l-għażla tal-virtwalizzazzjoni inkorporata għall-magni virtwali.

OS¶

CyberElements Bastion jaħdem fuq kompjuters Debian 12 (Bookworm) ta’ 64 bit.
Huwa rakkomandat li tuża kompjuters mingħajr interfaċċa grafika u li tillimita l-komponenti installati għas-server SSH.

CPU¶

CPU b’4 cores tkopri l-biċċa l-kbira tal-każijiet ta’ użu tal-prodott.

RAM¶

Attenzjoni

Il-valuri tar-RAM mogħtija hawn taħt huma indikattivi biss, peress li hemm ħafna varjabbli li jistgħu jaffettwaw il-konsum tar-RAM (il-funzjonalitajiet tal-prodott użati jew l-elementi installati b’mod parallel mal-prodott fuq il-kompjuter).

Server Mediation ControllerServer Edge GatewayServer HTML5 Gateway

Il-konsum tar-RAM ġeneralment jiddependi fuq in-numru ta’ utenti simultanji li l-pjattaforma tista’ tilqa’:

Bejn 1 u 5 utenti simultanji: minimu ta’ 2 GB ta’ RAM, 4 GB rakkomandati.
Bejn 5 u 20 utent simultanju: minimu ta’ 4 GB ta’ RAM.
Għal 20 utent simultanju jew aktar: minimu ta’ 8 GB ta’ RAM.

Il-konsum tar-RAM jiddependi fuq in-numru ta’ sessjonijiet simultanji kif ukoll fuq it-tipi ta’ applikazzjonijiet li jkunu qed jintużaw.

Il-valuri tipiċi huma kif ġej:

Bejn 1 u 5 utenti simultanji: minimu ta’ 2 GB ta’ RAM, 4 GB rakkomandati.
Bejn 5 u 20 utent simultanju: minimu ta’ 4 GB ta’ RAM.
Għal 20 utent simultanju jew aktar: 8 GB ta’ RAM.

Innota li applikazzjoni RDP jew VNC mingħajr aġent tista’ tikkonsma sa 400 MB għal kull applikazzjoni mnedija.
Meta dawn it-tipi ta’ applikazzjonijiet jintużaw b’mod estensiv, huwa rakkomandat li timmonitorja l-użu tar-RAM sabiex taġġusta d-daqs tagħha kif xieraq.

Il-konsum tar-RAM jiddependi fuq in-numru ta’ applikazzjonijiet HTML5 miftuħa fl-istess ħin.

Is-server bażi għandu jkollu 2 GB biex is-sistema taħdem, flimkien ma’ 50 MB għal kull applikazzjoni HTML5 simultanja.

Jekk ir-rwol HTML5 Gateway ikun ikkombinat ma’ server Edge Gateway, żid 50 MB għal kull applikazzjoni HTML5 simultanja mar-rakkomandazzjoni tar-RAM għas-server Edge Gateway.

Diska¶

Nirrakkomandaw li tippartizzjona d-disk bl-użu ta’ LVM biex ikollok aktar flessibbiltà jekk id-daqs tal-kompjuter ikollu jiġi rivedut waqt l-użu.

Tipi differenti ta’ servers għandhom xejriet differenti ta’ użu tad-disk, b’volumi li huma wkoll differenti. Hawn taħt hemm l-informazzjoni skont it-tip ta’ server:

Server Mediation ControllerServer Edge GatewayServer HTML5 Gateway

Dan is-server se jkollu volum li jiżdied fid-direttorji li ġejjin:

/var/log/: direttorju li fih id-diversi reġistri tas-sistema.
/var/lib/postgresql/15/main/: direttorju li fih id-dejta tal-bażi tad-dejta lokali.
/var/ipdiva/: direttorju li fih id-dejta speċifika għall-prodott.

L-iżolament tad-direttorji differenti f’partizzjonijiet differenti mhuwiex obbligatorju iżda huwa rakkomandat. Tista’ ssegwi dawn l-istruzzjonijiet:

Punt tal-immuntar	Għażliet	Daqs minimu (GB)
`/boot`	nosuid,nodev,noexec	1
`/opt`	nosuid,nodev	1
`/tmp`	nosuid,nodev	4
`/srv`	nosuid,nodev	1
`/home`	nosuid,nodev,noexec	6
`/usr`	nodev	6
`/var`	nosuid	5
`/var/log`	nosuid,nodev,noexec	5
`/var/tmp`	nosuid,nodev,noexec	2
`swap`	L-ebda għażla	Skont ir-RAM (nofs inqas)
`/`	L-ebda għażla	2 GB jew aktar skont l-ispazju disponibbli fuq id-disk

Eżempju

Għal server b’4 GB ta’ RAM (li jeħtieġ 2 GB ta’ swap), l-ispazju fuq id-disk meħtieġ bil-partizzjonar preċedenti huwa minimu ta’ 35 GB.

Dan is-server se jesperjenza żieda fil-volum fid-direttorji li ġejjin:

/var/log/: direttorju li fih id-diversi reġistri tas-sistema.
/var/lib/ipdiva/carerecord/recording/: direttorju li fih l-arkivji li jkunu qed jiġu rreġistrati; għalhekk dan huwa direttorju tal-ħażna temporanja.
/var/lib/ipdiva/carerecord/archives/: direttorju default li fih l-arkivji grafiċi tal-prodott.
/var/ipdiva/care/sshrecord/: direttorju default li fih l-arkivji mhux grafiċi (SSH) tal-prodott.

L-iżolament tad-direttorji differenti f’partizzjonijiet differenti mhuwiex obbligatorju iżda huwa rakkomandat. Tista’ ssegwi dawn l-istruzzjonijiet:

Punt tal-immuntar	Għażliet	Daqs minimu (GB)
`/boot`	nosuid,nodev,noexec	1
`/opt`	nosuid,nodev	1
`/tmp`	nosuid,nodev	4
`/srv`	nosuid,nodev	1
`/home`	nosuid,nodev,noexec	6
`/usr`	nodev	6
`/var`	nosuid,nodev	5
`/var/log`	nosuid,nodev,noexec	5
`/var/tmp`	nosuid,nodev,noexec	2
`swap`	L-ebda għażla	Skont ir-RAM (nofs inqas)
`/`	L-ebda għażla	2 GB jew aktar skont l-ispazju disponibbli fuq id-disk

Eżempju

Għal server b’4 GB ta’ RAM (li jeħtieġ 2 GB ta’ swap), l-ispazju fuq id-disk meħtieġ bil-partizzjonar preċedenti huwa minimu ta’ 35 GB.

Madankollu, huwa rakkomandat bil-qawwa li talloka aktar spazju fuq id-disk għall-arkivji grafiċi temporanji jew fit-tul bil-punt tal-immuntar /var, sakemm l-arkivji ma jkunux esternalizzati.

Dan is-server se jkollu volum li jiżdied fid-direttorji li ġejjin:

/var/log/: direttorju li fih id-diversi reġistri tas-sistema.
/home/systanciahtml5share/: direttorju tal-ħażna temporanja għall-fajls skambjati mal-applikazzjonijiet HTML5.

L-iżolament tad-direttorji differenti f’partizzjonijiet differenti mhuwiex obbligatorju iżda huwa rakkomandat. Tista’ ssegwi dawn l-istruzzjonijiet:

Punt tal-immuntar	Għażliet	Daqs minimu (GB)
`/boot`	nosuid,nodev,noexec	1
`/opt`	nosuid,nodev	1
`/tmp`	nosuid,nodev	4
`/srv`	nosuid,nodev	1
`/home`	nosuid,nodev,noexec	6
`/usr`	nodev	6
`/var`	nosuid,nodev	5
`/var/log`	nosuid,nodev,noexec	5
`/var/tmp`	nosuid,nodev,noexec	2
`swap`	L-ebda għażla	Skont ir-RAM (nofs inqas)
`/`	L-ebda għażla	2 GB jew aktar skont l-ispazju disponibbli fuq id-disk

Eżempju

Għal server b’4 GB ta’ RAM (li jeħtieġ 2 GB ta’ swap), l-ispazju fuq id-disk meħtieġ bil-partizzjonar preċedenti huwa minimu ta’ 35 GB.

Netwerk¶

Pjattaforma CyberElements Bastion Standalone teħtieġ:

2 indirizzi IP għas-server Mediation Controller (fuq l-istess interfaċċa tan-netwerk)
1 indirizz IP għal kull kompjuter Edge Gateway jew HTML5 Gateway

Is-server Mediation Controller normalment jitqiegħed f’DMZ, iżda jista’ jitqiegħed ukoll f’DMZ privata jew jiġi ospitat fuq cloud pubbliku. Dan jiddependi mill-każ tal-użu tal-pjattaforma (pereżempju: aċċess mill-bogħod għall-fornituri tas-servizz jew l-iżgurar tal-aċċess intern għal żoni protetti).

Is-servers Edge Gateway normalment jitqiegħdu fil-LAN, f’VLANs li permezz tagħhom jistgħu jikkomunikaw mar-riżorsi fil-mira.

Is-servers HTML5 Gateway jistgħu jitqiegħdu jew fil-LAN jew fid-DMZ. Din id-dokumentazzjoni tipprevedi l-installazzjoni tal-komponent HTML5 Gateway fuq is-server Edge Gateway, jiġifieri fil-LAN.

Biex jiġu identifikati aħjar l-indirizzi differenti tal-kompjuters, fid-dokumentazzjoni se jissejħu kif ġej:

Isem l-indirizz IP	Tifsira
`IP_MED_WEB`	L-indirizz IP primarju tas-server Mediation Controller, li jagħti aċċess għall-konsols web.
`IP_MED_SSL`	It-tieni indirizz IP tas-server Mediation Controller użat mill-komponent SSL Router.
`IP_GW`	L-indirizz IP tas-server Edge Gateway.
`IP_HTML5_GW`	L-indirizz IP tas-server HTML5 Gateway.

Informazzjoni

L-informazzjoni dwar il-flussi turi tassumi li s-server Mediation Controller jinsab fid-DMZ u li s-server Edge Gateway, li għandu wkoll ir-rwol ta’ HTML5 Gateway, jinsab fil-LAN.

Fluss mill-WAN lejn id-DMZFluss mid-DMZ lejn il-WANFluss mid-DMZ lejn id-DMZFluss mill-LAN lejn il-WANFluss mill-LAN lejn id-DMZFluss mill-LAN lejn il-LAN

L-indirizzi IP tal-komponent Mediation Controller jistgħu jkunu jew indirizzi IP pubbliċi assenjati direttament lis-server Mediation Controller jew indirizzi IP pubbliċi tradotti b’NAT għal indirizzi IP privati (rakkomandat).

Sors	Destinazzjoni	Port tad-destinazzjoni	Kummenti
Stazzjon tax-xogħol tal-utent	`IP_MED_WEB`	TCP 443 (jekk jintuża l-port standard)	Ippermetti l-aċċess għall-konsols web u għall-applikazzjonijiet li jitħaddmu direttament fil-browser.
Stazzjon tax-xogħol tal-utent	`IP_MED_SSL`	TCP 443 (jekk jintuża l-port standard)	Stabbilixxi tunnel TLS biex jiġi kriptat il-fluss li jgħaddi mill-klijent CyberElements Bastion.
`IP_GW`	`IP_MED_WEB`	TCP 443 (jekk jintuża l-port standard)	Meta l-komponent Edge Gateway jinsab fuq netwerk remot. Konnessjoni mas-sistema tal-pairing tal-komponent Edge Gateway.
`IP_GW`	`IP_MED_SSL`	TCP 443 (jekk jintuża l-port standard)	Meta l-komponent Edge Gateway jinsab fuq netwerk remot. Konnessjoni mal-komponent SSL Router biex jiġi stabbilit tunnel TLSv1.3 u biex il-komunikazzjonijiet tal-prodott jgħaddu minnu.

Sors	Destinazzjoni	Port tad-destinazzjoni	Kummenti
`IP_MED_WEB`	Repożitorji Debian	TCP 80	Meħtieġ għall-installazzjoni tad-dipendenzi ta’ CyberElements Bastion u biex is-sistema tinżamm aġġornata. Id-dokumentazzjoni u l-apparati virtwali jużaw `ftp.fr.debian.org` u `security.debian.org`.
`IP_MED_WEB`	`packages.microsoft.com`	TCP 443	Repożitorju ta’ Microsoft għall-installazzjoni u l-aġġornament tad-drivers MS SQL. Meħtieġ biss jekk ikun mixtieq aċċess għal database MS SQL (l-apparati virtwali fihom id-drivers MS SQL).
`IP_MED_WEB`	Server tal-ħin NTP	UDP 123	Fakultattiv jekk is-server ikollu bżonn jissinkronizza l-arloġġ tiegħu ma’ server fid-DMZ. B’mod default, jintużaw il-pools ta’ Debian: `0.debian.pool.ntp.org`, `1.debian.pool.ntp.org`, `2.debian.pool.ntp.org` u `3.debian.pool.ntp.org`.
`IP_MED_WEB`	Server SMTP	TCP 25, 465, 587	Meħtieġ jekk server SMTP irid jintuża biex jintbagħtu l-emails u jinsab fil-WAN.
`IP_MED_WEB`	Server DNS	UDP 53	Meħtieġ għar-riżoluzzjoni DNS. Jista’ jinsab fil-WAN jew fid-DMZ.
`IP_MED_WEB`	`api.neomia.ai`	TCP 443	(Fakultattiv) Konnessjoni mal-APIs tal-prodott MFA ta’ bijometrija komportamentali Neomia Pulse.
`IP_MED_WEB`	EU: `keepersecurity.eu` US: `keepersecurity.com` AU: `keepersecurity.com.au` CA: `keepersecurity.ca` JP: `keepersecurity.jp`	TCP 443	(Fakultattiv) Konnessjoni mal-kaxxaforti Keeper EPM skont il-post fejn tinsab.

Sors	Destinazzjoni	Port tad-destinazzjoni	Kummenti
`IP_MED_WEB`	Server tal-ħin NTP	UDP 123	Jekk is-server ikollu bżonn jissinkronizza l-arloġġ tiegħu ma’ server fid-DMZ.
`IP_MED_WEB`	Server SMTP	TCP 25, 465, 587	Meħtieġ jekk server SMTP irid jintuża biex jintbagħtu l-emails u jinsab fid-DMZ.
`IP_MED_WEB`	Server tad-database	TCP 1433, 5432, jew kwalunkwe port personalizzat ieħor	Meħtieġ jekk trid tuża database esterna li tinsab fid-DMZ.
`IP_MED_WEB`	Server DNS	UDP 53	Meħtieġ għar-riżoluzzjoni DNS. Jista’ jinsab fid-DMZ jew fil-WAN.

Sors	Destinazzjoni	Port tad-destinazzjoni	Kummenti
`IP_GW`	Repożitorji Debian	TCP 80	Meħtieġ għall-installazzjoni tad-dipendenzi ta’ CyberElements Bastion u biex is-sistema tinżamm aġġornata. Id-dokumentazzjoni u l-apparati virtwali jużaw `ftp.fr.debian.org` u `security.debian.org`.
`IP_GW`	Server DNS	UDP 53	Meħtieġ għar-riżoluzzjoni DNS. Fakultattiv jekk ikun disponibbli server DNS fil-LAN jew fid-DMZ.
`IP_GW`	Server tal-ħin NTP	UDP 123	Fakultattiv jekk is-server ikollu bżonn jissinkronizza l-arloġġ tiegħu ma’ server fil-LAN jew fid-DMZ. B’mod default, jintużaw il-pools ta’ Debian: `0.debian.pool.ntp.org`, `1.debian.pool.ntp.org`, `2.debian.pool.ntp.org` u `3.debian.pool.ntp.org`.
`IP_GW`	Fornitur tal-SMS	TCP 443	(Fakultattiv) Konnessjoni mal-APIs tal-fornituri tal-SMS appoġġati minn CyberElements Bastion.

Sorsi	Destinazzjoni	Port tad-destinazzjoni	Kummenti
`IP_GW` `IP_HTML5_GW`	`IP_MED_WEB`	TCP 443 (jekk jintuża l-port standard)	Konnessjoni mas-sistema tal-pairing tal-komponent Edge Gateway.
`IP_GW` `IP_HTML5_GW`	`IP_MED_SSL`	TCP 443 (jekk jintuża l-port standard)	Konnessjoni mal-komponent SSL Router biex jiġi stabbilit tunnel TLSv1.3 u biex il-komunikazzjonijiet tal-prodott jgħaddu minnu.
Stazzjon tax-xogħol tal-klijent	`IP_MED_WEB`	TCP 443 (jekk jintuża l-port standard)	Konnessjoni mad-diversi konsols web tal-prodott.
Stazzjon tax-xogħol tal-klijent	`IP_MED_SSL`	TCP 443 (jekk jintuża l-port standard)	Stabbilixxi tunnel TLS biex jiġi kriptat il-fluss li jgħaddi mill-klijent CyberElements Bastion.
Stazzjon tax-xogħol tal-amministratur	`IP_MED_WEB`	TCP 22	Konnessjoni SSH mas-server Mediation Controller.

Sors	Destinazzjoni	Port tad-destinazzjoni	Kummenti
`IP_GW`	Server DNS	UDP 53	Meħtieġ għar-riżoluzzjoni DNS. Fakultattiv jekk jintuża server DNS fil-WAN jew fid-DMZ.
`IP_GW`	Servers LDAP jew AD	TCP 389 jew 636	Konnessjoni ta’ CyberElements Bastion ma’ server LDAP jew AD.
`IP_GW`	Servers AD	TCP 139 u 445	Rotazzjoni tal-passwords tal-kontijiet AD, użata biss jekk ir-rotazzjoni permezz ta’ LDAPS ma tkunx possibbli.
`IP_GW`	Servers RDP	TCP/UDP 3389 (jekk jintuża l-port standard)	Konnessjoni minn CyberElements Bastion mas-servers RDP.
`IP_GW`	Servers SSH	TCP 22 (jekk jintuża l-port standard)	Konnessjoni minn CyberElements Bastion mas-servers SSH.
`IP_GW`	Servers VNC	TCP 5900 (jekk jintuża l-port standard)	Konnessjoni minn CyberElements Bastion mas-servers VNC.
`IP_GW`	Servers web	TCP 80 jew 443 (jekk jintuża l-port standard)	Konnessjoni minn CyberElements Bastion mas-servers web.
`IP_GW`	Servers Citrix Storefront	TCP 443 (jekk jintuża l-port standard)	Konnessjoni minn CyberElements Bastion mas-servers Citrix Storefront.
`IP_GW`	Servers tal-applikazzjonijiet Citrix	TCP 1494	Konnessjoni minn CyberElements Bastion mas-servers tal-applikazzjonijiet Citrix (tnedija ta’ applikazzjoni jew ta’ desktop bil-klijent ICA).
`IP_GW`	Servers tal-fajls	TCP 139 u 445	Konnessjoni minn CyberElements Bastion mas-servers tal-fajls.
`IP_GW`	Server tad-database	TCP 1433, 5432, jew kwalunkwe port personalizzat ieħor	Meħtieġ jekk trid tuża database esterna li tinsab fil-LAN (pereżempju, biex tittrasferixxi d-database tal-modulu Vault).
`IP_GW`	Servers RDP	TCP 139 u 445	Skjerament tal-aġent tar-reġistrazzjoni permezz tal-konsol tal-amministrazzjoni.
Stazzjon tax-xogħol tal-klijent	`IP_GW`	TCP [port definit mill-amministratur]	Konnessjoni ta’ aċċess dirett SSH.
Stazzjon tax-xogħol tal-klijent	`IP_GW`	TCP 3389	Konnessjoni ta’ aċċess dirett RDP.
Servers RDP	`IP_GW`	TCP 8443	Konnessjoni bejn l-aġent tar-reġistrazzjoni u l-komponent Edge Gateway biex tittella’ r-reġistrazzjoni tas-sessjoni tal-utent.
Stazzjon tax-xogħol tal-amministratur	`IP_GW`	TCP 22	Konnessjoni SSH mas-server Edge Gateway.

Database¶

CyberElements Bastion juża databases differenti (DB) għat-tħaddim tiegħu.

Database tal-konfigurazzjoni tas-sistema. Din id-database tintuża biex jinħażnu s-settings kollha tal-interfaċċa tal-amministrazzjoni /system. F’installazzjoni Standalone, din id-database tinħoloq u tiġi ġestita direttament mill-prodott permezz ta’ server PostgreSQL installat fuq is-server Mediation Controller.
Database tal-konfigurazzjoni tal-organizzazzjoni. Kull organizzazzjoni maħluqa fuq is-server Mediation Controller teħtieġ DB differenti li fiha jinżammu s-settings u r-reġistri kollha tal-organizzazzjoni. Din id-database normalment tkun ospitata fuq is-server Mediation Controller u fid-database PostgreSQL lokali tiegħu, iżda tista’ wkoll tiġi mċaqalqa fid-DMZ jew fil-LAN.
Database tal-modulu Vault. Kull organizzazzjoni maħluqa twassal għall-ħolqien ta’ DB speċifika għall-modulu Vault tal-prodott, li b’mod default tinħażen fuq is-server Mediation Controller. Din id-database tista’ tiġi esternalizzata fil-LAN, sakemm komponent Edge Gateway ikun jista’ jaċċessaha.

Meta jintużaw databases esterni, it-tipi ta’ database appoġġati huma:

PostgreSQL verżjoni 15
Microsoft SQL Server u l-verżjonijiet appoġġati tiegħu mingħajr estensjoni tal-manutenzjoni

Liċenzja¶

Is-server Mediation Controller jeħtieġ liċenzja biex jaħdem.
Il-liċenzja tista’ tinkiseb mingħand Systancia permezz tal-formola li ġejja għat-talba tal-liċenzja: Itlob liċenzja

Ċertifikati¶

CyberElements Bastion juża l-kriptaġġ TLS għall-komunikazzjonijiet interni u HTTPS biex jassigura l-aċċess web, u dan jeħtieġ l-użu ta’ diversi ċertifikati x509. L-informazzjoni hawn taħt tiġbor fil-qosor iċ-ċertifikati differenti meħtieġa, l-iskop tagħhom, u s-settings minimi.

Restrizzjoni tas-sigurtà taċ-ċertifikat

Irrispettivament miċ-ċertifikat użat, kun żgur li jikkonforma mal-livell ta’ sigurtà 2 ta’ OpenSSL, li jista’ jinġabar fil-qosor kif ġej:

Iċ-ċertifikat u ċ-ċertifikati tal-awtoritajiet taċ-ċertifikazzjoni tiegħu għandu jkollhom ċavetta privata ta’ mill-inqas 2048 bit b’kriptaġġ RSA, DSA u DH; għaċ-ċwievet b’kurva ellittika (ECC), dawn għandhom ikunu ta’ mill-inqas 224 bit.
Il-firma taċ-ċertifikat m’għandhiex tkun MD5 jew SHA-1 (SHA-512 huwa ppreferut).

Server Mediation ControllerServer Edge GatewayServer HTML5 GatewayAġent tar-reġistrazzjoni f’aċċess dirett

Dan is-server juża erba’ ċertifikati differenti:

Ċertifikat web biex jiġi attivat l-HTTPS.
Ċertifikat għall-komponent SSL Router, responsabbli biex iwaqqaf it-tunnels TLS u jirrotta t-traffiku bejniethom.
Ċertifikat għall-komponent Watchdog, responsabbli biex jissorvelja t-tħaddim korrett tal-komponent SSL Router.
Ċertifikat għall-klijent CyberElements Bastion biex ikun jista’ jikkonnettja mal-komponent SSL Router u jistabbilixxi tunnel TLSv1.3.

Ċertifikat web

Rakkomandazzjoni

Iċ-ċertifikat web preferibbilment għandu jkun maħruġ minn awtorità taċ-ċertifikazzjoni (CA) pubblika li hija rikonoxxuta bħala affidabbli.
B’hekk l-utenti ma jirċievu l-ebda allarm relatat maċ-ċertifikat użat (sakemm ikun validu u jkopri l-isem li bih l-utent beda l-konnessjoni) mingħajr ebda azzjoni addizzjonali. L-użu ta’ ċertifikat maħruġ minn PKI interna jeħtieġ l-iskjerament taċ-ċertifikat tas-CA fuq l-istazzjonijiet tax-xogħol tal-utenti.

Iċ-ċertifikat web għandu jikkonforma mar-restrizzjonijiet li ġejjin għall-attributi tiegħu:

Il-perjodu ta’ validità taċ-ċertifikat m’għandux jaqbeż 398 jum (13-il xahar).
Il-funzjoni hash użata għall-firma għandha tkun parti mill-familja SHA-2; nirrakkomandaw SHA-512.
Iċ-ċertifikat u ċ-ċertifikati tal-awtoritajiet taċ-ċertifikazzjoni tiegħu għandu jkollhom ċavetta privata ta’ mill-inqas 2048 bit b’kriptaġġ RSA, DSA u DH; għaċ-ċwievet b’kurva ellittika (ECC), dawn għandhom ikunu ta’ mill-inqas 224 bit. Nirrakkomandaw daqs ta’ 4096 bit għal RSA u daqs tal-kurva ECDSA secp384r1 ta’ 384 bit.
Il-valur tal-attribut Common Name għandu jkun l-isem DNS (jew wildcard) li għalih huwa maħsub iċ-ċertifikat.
L-attribut Key Usage għandu jkollu l-valuri critical, digitalSignature u keyEncipherment.
L-attribut Extended Key Usage għandu jkollu l-valur id-kp-serverAuth (OpenSSL juża l-valur serverAuth).
L-attribut Subject Alternative Name għandu jkun fih mill-inqas entrata waħda li tikkorrispondi għall-isem DNS primarju; jistgħu jiżdiedu entrati oħra biex ikopru ismijiet DNS jew indirizzi IP oħra.

Format taċ-ċertifikat aċċettat: P12 jew PEM (b’żewġ fajls, wieħed għaċ-ċertifikat u ieħor għaċ-ċavetta privata).

Ċertifikat tal-komponent SSL Router

Iċ-ċertifikat SSL Router għandu jikkonforma mar-restrizzjonijiet li ġejjin għall-attributi tiegħu:

Il-perjodu ta’ validità taċ-ċertifikat m’għandux jaqbeż 1095 jum (3 snin).
Il-funzjoni hash użata għall-firma għandha tkun parti mill-familja SHA-2; nirrakkomandaw SHA-512.
Iċ-ċertifikat u ċ-ċertifikati tal-awtoritajiet taċ-ċertifikazzjoni tiegħu għandu jkollhom ċavetta privata ta’ mill-inqas 2048 bit b’kriptaġġ RSA, DSA u DH; għaċ-ċwievet b’kurva ellittika (ECC), dawn għandhom ikunu ta’ mill-inqas 224 bit. Nirrakkomandaw daqs ta’ 4096 bit għal RSA u daqs tal-kurva ECDSA secp384r1 ta’ 384 bit.
Il-valur tal-attribut Common Name għandu jkun l-indirizz IP jew isem DNS li jirridirezzjona lejn IP_MED_SSL.
L-attribut Key Usage għandu jkollu l-valuri critical, digitalSignature u keyEncipherment.
L-attribut Extended Key Usage għandu jkollu l-valur serverAuth.

Format taċ-ċertifikat aċċettat: P12.

Ċertifikat tal-komponent Watchdog

Iċ-ċertifikat Watchdog għandu jikkonforma mar-restrizzjonijiet li ġejjin għall-attributi tiegħu:

Il-perjodu ta’ validità taċ-ċertifikat m’għandux jaqbeż 1095 jum (3 snin).
Il-funzjoni hash użata għall-firma għandha tkun parti mill-familja SHA-2; nirrakkomandaw SHA-512.
Iċ-ċertifikat u ċ-ċertifikati tal-awtoritajiet taċ-ċertifikazzjoni tiegħu għandu jkollhom ċavetta privata ta’ mill-inqas 2048 bit b’kriptaġġ RSA, DSA u DH; għaċ-ċwievet b’kurva ellittika (ECC), dawn għandhom ikunu ta’ mill-inqas 224 bit. Nirrakkomandaw daqs ta’ 4096 bit għal RSA u daqs tal-kurva ECDSA secp384r1 ta’ 384 bit.
L-attribut Common Name għandu jkollu valur li jkun isem ta’ identifikazzjoni tal-komponent Watchdog, pereżempju “Watchdog”.
L-attribut Key Usage għandu jkollu l-valuri critical u digitalSignature.
L-attribut Extended Key Usage għandu jkollu l-valur clientAuth.

Format taċ-ċertifikat aċċettat: P12.

Ċertifikat tal-klijent CyberElements Bastion

Iċ-ċertifikat tal-klijent CyberElements Bastion għandu jikkonforma mar-restrizzjonijiet li ġejjin għall-attributi tiegħu:

Il-perjodu ta’ validità taċ-ċertifikat m’għandux jaqbeż 1095 jum (3 snin).
Il-funzjoni hash użata għall-firma għandha tkun parti mill-familja SHA-2; nirrakkomandaw SHA-512.
Iċ-ċertifikat u ċ-ċertifikati tal-awtoritajiet taċ-ċertifikazzjoni tiegħu għandu jkollhom ċavetta privata ta’ mill-inqas 2048 bit b’kriptaġġ RSA, DSA u DH; għaċ-ċwievet b’kurva ellittika (ECC), dawn għandhom ikunu ta’ mill-inqas 224 bit. Nirrakkomandaw daqs ta’ 4096 bit għal RSA u daqs tal-kurva ECDSA secp384r1 ta’ 384 bit.
L-attribut Common Name għandu jkollu valur li jkun isem ta’ identifikazzjoni tal-klijent, pereżempju “cyberelements-cleanroom-client”.
L-attribut Key Usage għandu jkollu l-valuri critical u digitalSignature.
L-attribut Extended Key Usage għandu jkollu l-valur clientAuth.

Format taċ-ċertifikat aċċettat: P12 b’password ta’ mill-inqas 8 karattri alfanumeriċi (il-karattri speċjali, l-ittri b’aċċenti u s-sing mhumiex appoġġati).

Dan is-server juża żewġ ċertifikati differenti:

Ċertifikat għall-awtentikazzjoni tal-komponent Edge Gateway mal-komponent SSL Router.
Ċertifikat għas-servizz tar-reġistrazzjoni sabiex l-aġenti tar-reġistrazzjoni jkunu jistgħu jikkonnettjaw miegħu.

Informazzjoni

Server Edge Gateway jista’ jkollu diversi istanzi ta’ Edge Gateway, u dan jeħtieġ daqstant ċertifikati daqs kemm hemm istanzi ta’ Edge Gateway (ħlief fil-każ speċifiku tal-arkitettura Cluster).

Madankollu, server Edge Gateway għandu servizz tar-reġistrazzjoni wieħed biss, għalhekk ikun meħtieġ ċertifikat wieħed biss għal kull kompjuter.

Ċertifikat tal-komponent Edge Gateway

Iċ-ċertifikat tal-komponent Edge Gateway għandu jikkonforma mar-restrizzjonijiet li ġejjin għall-attributi tiegħu:

Il-perjodu ta’ validità taċ-ċertifikat m’għandux jaqbeż 1095 jum (3 snin).
Il-funzjoni hash użata għall-firma għandha tkun parti mill-familja SHA-2; nirrakkomandaw SHA-512.
Iċ-ċertifikat u ċ-ċertifikati tal-awtoritajiet taċ-ċertifikazzjoni tiegħu għandu jkollhom ċavetta privata ta’ mill-inqas 2048 bit b’kriptaġġ RSA, DSA u DH; għaċ-ċwievet b’kurva ellittika (ECC), dawn għandhom ikunu ta’ mill-inqas 224 bit. Nirrakkomandaw daqs ta’ 4096 bit għal RSA u daqs tal-kurva ECDSA secp384r1 ta’ 384 bit.
L-attribut Common Name irid ikollu valur li jidentifika l-komponent Edge Gateway loġiku. Dan l-isem għandu l-forma li ġejja <GW_NAME>@<ORGANIZATION_NAME>, fejn <GW_NAME> jikkorrispondi għall-isem tal-komponent Edge Gateway (kif imdaħħal fil-konsol tal-amministrazzjoni) u <ORGANIZATION_NAME> jikkorrispondi għall-isem tal-organizzazzjoni li magħha se jikkonnettja l-komponent Edge Gateway.
L-attribut Key Usage għandu jkollu l-valuri critical u digitalSignature.
L-attribut Extended Key Usage għandu jkollu l-valur clientAuth.

Format taċ-ċertifikat aċċettat: P12.

Ċertifikat tas-servizz tar-reġistrazzjoni

Iċ-ċertifikat tas-servizz tar-reġistrazzjoni irid jikkonforma mar-restrizzjonijiet li ġejjin għall-attributi tiegħu:

Il-perjodu ta’ validità taċ-ċertifikat m’għandux jaqbeż 1095 jum (3 snin).
Il-funzjoni hash użata għall-firma għandha tkun parti mill-familja SHA-2; nirrakkomandaw SHA-512.
Iċ-ċertifikat u ċ-ċertifikati tal-awtoritajiet taċ-ċertifikazzjoni tiegħu għandu jkollhom ċavetta privata ta’ mill-inqas 2048 bit b’kriptaġġ RSA, DSA u DH; għaċ-ċwievet b’kurva ellittika (ECC), dawn għandhom ikunu ta’ mill-inqas 224 bit. Nirrakkomandaw daqs ta’ 4096 bit għal RSA u daqs tal-kurva ECDSA secp384r1 ta’ 384 bit.
Il-valur tal-attribut Common Name irid ikun l-isem FQDN jew għall-inqas l-isem tal-kompjuter Edge Gateway.
L-attribut Key Usage għandu jkollu l-valuri critical, digitalSignature u keyEncipherment.
L-attribut Extended Key Usage għandu jkollu l-valur serverAuth.

Format taċ-ċertifikat aċċettat: P12.

Dan is-server juża ċertifikat wieħed biss: dak għall-awtentikazzjoni tal-komponent HTML5 Gateway mal-komponent SSL Router.

Informazzjoni

Server HTML5 Gateway jista’ jkollu diversi istanzi ta’ HTML5 Gateway, u dan jeħtieġ daqstant ċertifikati daqs kemm hemm istanzi ta’ HTML5 Gateway (ħlief fil-każ speċifiku tal-arkitettura Cluster).

Ċertifikat tal-komponent HTML5 Gateway

Iċ-ċertifikat tal-komponent HTML5 Gateway irid jikkonforma mar-restrizzjonijiet li ġejjin għall-attributi tiegħu:

Il-perjodu ta’ validità taċ-ċertifikat m’għandux jaqbeż 1095 jum (3 snin).
Il-funzjoni hash użata għall-firma għandha tkun parti mill-familja SHA-2; nirrakkomandaw SHA-512.
Iċ-ċertifikat u ċ-ċertifikati tal-awtoritajiet taċ-ċertifikazzjoni tiegħu għandu jkollhom ċavetta privata ta’ mill-inqas 2048 bit b’kriptaġġ RSA, DSA u DH; għaċ-ċwievet b’kurva ellittika (ECC), dawn għandhom ikunu ta’ mill-inqas 224 bit. Nirrakkomandaw daqs ta’ 4096 bit għal RSA u daqs tal-kurva ECDSA secp384r1 ta’ 384 bit.
L-attribut Common Name irid ikollu valur li jidentifika l-komponent Edge Gateway loġiku. Dan l-isem għandu l-forma li ġejja <HTML5_GW_NAME>@<ORGANIZATION_NAME>, fejn <HTML5_GW_NAME> jikkorrispondi għall-isem tal-komponent Edge Gateway (kif imdaħħal fil-konsol tal-amministrazzjoni) u <ORGANIZATION_NAME> jikkorrispondi għall-isem tal-organizzazzjoni li magħha se jikkonnettja l-komponent Edge Gateway.
L-attribut Key Usage għandu jkollu l-valuri critical u digitalSignature.
L-attribut Extended Key Usage għandu jkollu l-valur clientAuth.

Format taċ-ċertifikat aċċettat: P12.

Għat-tħaddim f’aċċess dirett, l-aġent tar-reġistrazzjoni f’aċċess dirett juża ċertifikat biex jawtentika ruħu mas-servizz tar-reġistrazzjoni ta’ komponent Edge Gateway.

Iċ-ċertifikat irid jikkonforma mar-restrizzjonijiet li ġejjin għall-attributi tiegħu:

Il-perjodu ta’ validità taċ-ċertifikat m’għandux jaqbeż 1095 jum (3 snin).
Il-funzjoni hash użata għall-firma għandha tkun parti mill-familja SHA-2; nirrakkomandaw SHA-512.
Iċ-ċertifikat u ċ-ċertifikati tal-awtoritajiet taċ-ċertifikazzjoni tiegħu għandu jkollhom ċavetta privata ta’ mill-inqas 2048 bit b’kriptaġġ RSA, DSA u DH; għaċ-ċwievet b’kurva ellittika (ECC), dawn għandhom ikunu ta’ mill-inqas 224 bit. Nirrakkomandaw daqs ta’ 4096 bit għal RSA u daqs tal-kurva ECDSA secp384r1 ta’ 384 bit.
L-attribut Common Name irid ikollu valur li jkun l-isem qasir, l-FQDN, jew kwalunkwe isem ieħor li jidentifika l-kompjuter b’mod uniku. Dan l-isem jintuża biex jiġu identifikati u segwiti l-azzjonijiet imwettqa fuq il-kompjuter.
L-attribut Key Usage għandu jkollu l-valuri critical u digitalSignature.
L-attribut Extended Key Usage għandu jkollu l-valur clientAuth.

Format taċ-ċertifikat aċċettat: P12.