Ga naar inhoud

Voorwaarden voor een CyberElements Bastion Standalone-platform

Machine

Zowel fysieke als virtuele machines kunnen worden gebruikt om CyberElements Bastion te installeren.
Het product voert zelf geen virtualisatie uit, dus hoeft de optie voor geneste virtualisatie voor virtuele machines niet te worden ingeschakeld.

OS

CyberElements Bastion werkt op 64-bits machines met Debian 12 (Bookworm).
Het is aan te raden machines zonder grafische interface te gebruiken en de geïnstalleerde componenten tot de SSH-server te beperken.

CPU

Een CPU met 4 cores dekt de meeste gebruiksscenario's van het product.

RAM

Waarschuwing

De onderstaande RAM-waarden zijn slechts indicatief, aangezien er talrijke variabelen zijn die het RAM-gebruik kunnen beïnvloeden (gebruikte productfuncties of elementen die parallel met het product op de machine zijn geïnstalleerd).

Het RAM-gebruik hangt in het algemeen af van het aantal gelijktijdige gebruikers dat het platform kan opvangen:

  • Tussen 1 en 5 gelijktijdige gebruikers: minimaal 2 GB RAM, 4 GB aanbevolen.
  • Tussen 5 en 20 gelijktijdige gebruikers: minimaal 4 GB RAM.
  • Vanaf 20 gelijktijdige gebruikers: minimaal 8 GB RAM.

Het RAM-gebruik hangt af van het aantal gelijktijdige sessies en van de gebruikte applicatietypen.

De typische waarden zijn de volgende:

  • Tussen 1 en 5 gelijktijdige gebruikers: minimaal 2 GB RAM, 4 GB aanbevolen.
  • Tussen 5 en 20 gelijktijdige gebruikers: minimaal 4 GB RAM.
  • Vanaf 20 gelijktijdige gebruikers: 8 GB RAM.

Let erop dat een RDP- of VNC-applicatie zonder agent tot 400 MB per gestarte applicatie kan verbruiken.
Wanneer deze applicatietypen intensief worden gebruikt, is het aan te raden het RAM-gebruik te monitoren om de omvang ervan overeenkomstig aan te passen.

Het RAM-gebruik hangt af van het aantal gelijktijdig geopende HTML5-applicaties.

De basisserver moet 2 GB hebben om het systeem te laten werken, plus 50 MB per gelijktijdige HTML5-applicatie.

Als de rol HTML5 Gateway met een Edge Gateway-server wordt gecombineerd, tel dan 50 MB per gelijktijdige HTML5-applicatie op bij de RAM-aanbeveling voor de Edge Gateway-server.

Schijf

Wij raden aan de schijf met LVM te partitioneren om meer flexibiliteit te hebben als de omvang van de machine tijdens het gebruik moet worden herzien.

De verschillende servertypen hebben verschillende patronen van schijfgebruik, met eveneens verschillende volumes. Hieronder de informatie per servertype:

Op deze server neemt het volume toe in de volgende mappen:

  • /var/log/: map met de verschillende systeemlogs.
  • /var/lib/postgresql/15/main/: map met de gegevens van de lokale database.
  • /var/ipdiva/: map met de productspecifieke gegevens.

Het isoleren van de verschillende mappen in verschillende partities is niet verplicht, maar wel aanbevolen. U kunt de volgende aanwijzingen volgen:

Koppelpunt Opties Minimale grootte (GB)
/boot nosuid,nodev,noexec 1
/opt nosuid,nodev 1
/tmp nosuid,nodev 4
/srv nosuid,nodev 1
/home nosuid,nodev,noexec 6
/usr nodev 6
/var nosuid 5
/var/log nosuid,nodev,noexec 5
/var/tmp nosuid,nodev,noexec 2
swap Geen optie Afhankelijk van het RAM (de helft minder)
/ Geen optie 2 GB of meer, afhankelijk van de beschikbare schijfruimte

Voorbeeld

Voor een server met 4 GB RAM (die 2 GB swap nodig heeft) bedraagt de met de voorgaande partitionering vereiste schijfruimte minimaal 35 GB.

Op deze server neemt het volume toe in de volgende mappen:

  • /var/log/: map met de verschillende systeemlogs.
  • /var/lib/ipdiva/carerecord/recording/: map met de archieven die op dat moment worden opgenomen; het gaat dus om een map voor tijdelijke opslag.
  • /var/lib/ipdiva/carerecord/archives/: standaardmap met de grafische archieven van het product.
  • /var/ipdiva/care/sshrecord/: standaardmap met de niet-grafische archieven (SSH) van het product.

Het isoleren van de verschillende mappen in verschillende partities is niet verplicht, maar wel aanbevolen. U kunt de volgende aanwijzingen volgen:

Koppelpunt Opties Minimale grootte (GB)
/boot nosuid,nodev,noexec 1
/opt nosuid,nodev 1
/tmp nosuid,nodev 4
/srv nosuid,nodev 1
/home nosuid,nodev,noexec 6
/usr nodev 6
/var nosuid,nodev 5
/var/log nosuid,nodev,noexec 5
/var/tmp nosuid,nodev,noexec 2
swap Geen optie Afhankelijk van het RAM (de helft minder)
/ Geen optie 2 GB of meer, afhankelijk van de beschikbare schijfruimte

Voorbeeld

Voor een server met 4 GB RAM (die 2 GB swap nodig heeft) bedraagt de met de voorgaande partitionering vereiste schijfruimte minimaal 35 GB.

Het wordt echter sterk aanbevolen aan het koppelpunt /var meer schijfruimte toe te wijzen voor tijdelijke of langdurige grafische archieven, tenzij de archieven worden uitbesteed.

Op deze server neemt het volume toe in de volgende mappen:

  • /var/log/: map met de verschillende systeemlogs.
  • /home/systanciahtml5share/: map voor de tijdelijke opslag van de met HTML5-applicaties uitgewisselde bestanden.

Het isoleren van de verschillende mappen in verschillende partities is niet verplicht, maar wel aanbevolen. U kunt de volgende aanwijzingen volgen:

Koppelpunt Opties Minimale grootte (GB)
/boot nosuid,nodev,noexec 1
/opt nosuid,nodev 1
/tmp nosuid,nodev 4
/srv nosuid,nodev 1
/home nosuid,nodev,noexec 6
/usr nodev 6
/var nosuid,nodev 5
/var/log nosuid,nodev,noexec 5
/var/tmp nosuid,nodev,noexec 2
swap Geen optie Afhankelijk van het RAM (de helft minder)
/ Geen optie 2 GB of meer, afhankelijk van de beschikbare schijfruimte

Voorbeeld

Voor een server met 4 GB RAM (die 2 GB swap nodig heeft) bedraagt de met de voorgaande partitionering vereiste schijfruimte minimaal 35 GB.

Netwerk

Een CyberElements Bastion Standalone-platform vereist:

  • 2 IP-adressen voor de Mediation Controller-server (op dezelfde netwerkinterface)
  • 1 IP-adres per Edge Gateway- of HTML5 Gateway-machine

De Mediation Controller-server wordt gewoonlijk in een DMZ geplaatst, maar kan ook in een privé-DMZ worden geplaatst of in een openbare cloud worden gehost. Dat hangt af van het gebruiksscenario van het platform (bijvoorbeeld: externe toegang voor dienstverleners of het beveiligen van de interne toegang tot beschermde zones).

De Edge Gateway-servers worden doorgaans in het LAN geplaatst, in VLAN's die hen in staat stellen met de doelresources te communiceren.

De HTML5 Gateway-servers kunnen zowel in het LAN als in de DMZ worden geplaatst. Deze documentatie voorziet in de installatie van de component HTML5 Gateway op de Edge Gateway-server, dus in het LAN.

Om de verschillende adressen van de machines beter te kunnen identificeren, worden ze in de documentatie als volgt aangeduid:

Naam van het IP-adres Betekenis
IP_MED_WEB Primair IP-adres van de Mediation Controller-server, dat toegang geeft tot de webconsoles.
IP_MED_SSL Tweede IP-adres van de Mediation Controller-server, dat door de component SSL Router wordt gebruikt.
IP_GW IP-adres van de Edge Gateway-server.
IP_HTML5_GW IP-adres van de HTML5 Gateway-server.

Informatie

De vermelde informatie over de stromen gaat ervan uit dat de Mediation Controller-server zich in de DMZ bevindt en dat de Edge Gateway-server, die ook de rol van HTML5 Gateway op zich neemt, zich in het LAN bevindt.

De IP-adressen van de Mediation Controller kunnen openbare IP-adressen zijn die direct aan de Mediation Controller-server zijn toegewezen, of openbare IP-adressen die via NAT naar privé-IP-adressen worden omgezet (aanbevolen).

Bron Bestemming Bestemmingspoort Opmerkingen
Gebruikerswerkstation IP_MED_WEB TCP 443 (bij gebruik van de standaardpoort) Toegang geven tot de webconsoles en de applicaties die direct in de browser worden uitgevoerd.
Gebruikerswerkstation IP_MED_SSL TCP 443 (bij gebruik van de standaardpoort) Een TLS-tunnel opzetten om de stroom te versleutelen die via de CyberElements Bastion-client loopt.
IP_GW IP_MED_WEB TCP 443 (bij gebruik van de standaardpoort) Wanneer de Edge Gateway zich in een extern netwerk bevindt. Verbinding met het pairing-systeem van de Edge Gateway.
IP_GW IP_MED_SSL TCP 443 (bij gebruik van de standaardpoort) Wanneer de Edge Gateway zich in een extern netwerk bevindt. Verbinding met de SSL Router om een TLSv1.3-tunnel op te zetten en de communicatie van het product erdoor te leiden.
Bron Bestemming Bestemmingspoort Opmerkingen
IP_MED_WEB Debian-repositories TCP 80 Vereist om de afhankelijkheden van CyberElements Bastion te installeren en het systeem up-to-date te houden. De documentatie en de virtuele appliances gebruiken ftp.fr.debian.org en security.debian.org.
IP_MED_WEB packages.microsoft.com TCP 443 Microsoft-repository voor de installatie en de update van de MS SQL-stuurprogramma's. Alleen vereist als toegang tot een MS SQL-database wordt gewenst (de virtuele appliances bevatten de MS SQL-stuurprogramma's).
IP_MED_WEB NTP-tijdserver UDP 123 Optioneel als de server zijn klok moet synchroniseren met een server in de DMZ. Standaard worden de Debian-pools gebruikt: 0.debian.pool.ntp.org, 1.debian.pool.ntp.org, 2.debian.pool.ntp.org en 3.debian.pool.ntp.org.
IP_MED_WEB SMTP-server TCP 25, 465, 587 Vereist als er voor het verzenden van e-mails een SMTP-server moet worden gebruikt en die zich in het WAN bevindt.
IP_MED_WEB DNS-server UDP 53 Vereist voor de DNS-resolutie. Die kan zich in het WAN of in de DMZ bevinden.
IP_MED_WEB api.neomia.ai TCP 443 (Optioneel) Verbinding met de API's van Neomia Pulse, het MFA-product met gedragsbiometrie.
IP_MED_WEB EU: keepersecurity.eu
US: keepersecurity.com
AU: keepersecurity.com.au
CA: keepersecurity.ca
JP: keepersecurity.jp		 TCP 443 (Optioneel) Verbinding met de vault Keeper EPM afhankelijk van de locatie ervan.
Bron Bestemming Bestemmingspoort Opmerkingen
IP_MED_WEB NTP-tijdserver UDP 123 Als de server zijn klok moet synchroniseren met een server in de DMZ.
IP_MED_WEB SMTP-server TCP 25, 465, 587 Vereist als er voor het verzenden van e-mails een SMTP-server moet worden gebruikt en die zich in de DMZ bevindt.
IP_MED_WEB Databaseserver TCP 1433, 5432 of een andere aangepaste poort Vereist als u een externe database in de DMZ wilt gebruiken.
IP_MED_WEB DNS-server UDP 53 Vereist voor de DNS-resolutie. Die kan zich in de DMZ of in het WAN bevinden.
Bron Bestemming Bestemmingspoort Opmerkingen
IP_GW Debian-repositories TCP 80 Vereist om de afhankelijkheden van CyberElements Bastion te installeren en het systeem up-to-date te houden. De documentatie en de virtuele appliances gebruiken ftp.fr.debian.org en security.debian.org.
IP_GW DNS-server UDP 53 Vereist voor de DNS-resolutie. Optioneel als er in het LAN of in de DMZ een DNS-server beschikbaar is.
IP_GW NTP-tijdserver UDP 123 Optioneel als de server zijn klok moet synchroniseren met een server in het LAN of in de DMZ. Standaard worden de Debian-pools gebruikt: 0.debian.pool.ntp.org, 1.debian.pool.ntp.org, 2.debian.pool.ntp.org en 3.debian.pool.ntp.org.
IP_GW SMS-provider TCP 443 (Optioneel) Verbinding met de API's van de SMS-providers die door CyberElements Bastion worden ondersteund.
Bron(nen) Bestemming(en) Bestemmingspoort Opmerkingen
IP_GW
IP_HTML5_GW		 IP_MED_WEB TCP 443 (bij gebruik van de standaardpoort) Verbinding met het pairing-systeem van de Edge Gateway.
IP_GW
IP_HTML5_GW		 IP_MED_SSL TCP 443 (bij gebruik van de standaardpoort) Verbinding met de SSL Router om een TLSv1.3-tunnel op te zetten en de communicatie van het product erdoor te leiden.
Clientwerkstation IP_MED_WEB TCP 443 (bij gebruik van de standaardpoort) Verbinding met de verschillende webconsoles van het product.
Clientwerkstation IP_MED_SSL TCP 443 (bij gebruik van de standaardpoort) Een TLS-tunnel opzetten om de stroom te versleutelen die via de CyberElements Bastion-client loopt.
Beheerderswerkstation IP_MED_WEB TCP 22 SSH-verbinding met de Mediation Controller-server.
Bron Bestemming Bestemmingspoort Opmerkingen
IP_GW DNS-server UDP 53 Vereist voor de DNS-resolutie. Optioneel als er een DNS-server in het WAN of in de DMZ wordt gebruikt.
IP_GW LDAP- of AD-servers TCP 389 of 636 Verbinding van CyberElements Bastion met een LDAP- of AD-server.
IP_GW AD-servers TCP 139 en 445 Rotatie van de wachtwoorden van AD-accounts, alleen wanneer rotatie via LDAPS niet mogelijk is.
IP_GW RDP-servers TCP/UDP 3389 (bij gebruik van de standaardpoort) Verbinding van CyberElements Bastion met de RDP-servers.
IP_GW SSH-servers TCP 22 (bij gebruik van de standaardpoort) Verbinding van CyberElements Bastion met de SSH-servers.
IP_GW VNC-servers TCP 5900 (bij gebruik van de standaardpoort) Verbinding van CyberElements Bastion met de VNC-servers.
IP_GW Webservers TCP 80 of 443 (bij gebruik van de standaardpoort) Verbinding van CyberElements Bastion met de webservers.
IP_GW Citrix Storefront-servers TCP 443 (bij gebruik van de standaardpoort) Verbinding van CyberElements Bastion met de Citrix Storefront-servers.
IP_GW Citrix-applicatieservers TCP 1494 Verbinding van CyberElements Bastion met de Citrix-applicatieservers (het starten van een applicatie of een desktop met de ICA-client).
IP_GW Bestandsservers TCP 139 en 445 Verbinding van CyberElements Bastion met de bestandsservers.
IP_GW Databaseserver TCP 1433, 5432 of een andere aangepaste poort Vereist als u een externe database in het LAN wilt gebruiken (bijvoorbeeld om de Vault-database uit te besteden).
IP_GW RDP-servers TCP 139 en 445 Implementatie van de opname-agent via de beheerconsole.
Clientwerkstation IP_GW TCP [poort gedefinieerd door de beheerder] Verbinding voor directe SSH-toegang.
Clientwerkstation IP_GW TCP 3389 Verbinding voor directe RDP-toegang.
RDP-servers IP_GW TCP 8443 Verbinding tussen de opname-agent en de Edge Gateway om de opname van de gebruikerssessie te uploaden.
Beheerderswerkstation IP_GW TCP 22 SSH-verbinding met de Edge Gateway-server.

Database

CyberElements Bastion gebruikt voor zijn werking verschillende databases (DB).

  1. Database van de systeemconfiguratie. Die database slaat alle instellingen van de beheerinterface /system op. Bij een Standalone-installatie wordt die database rechtstreeks door het product aangemaakt en beheerd via een PostgreSQL-server die op de Mediation Controller-server is geïnstalleerd.
  2. Database van de configuratie van de organisatie. Elke organisatie die op de Mediation Controller-server wordt aangemaakt, vereist een aparte DB die alle instellingen en logs van de organisatie bevat. Die database wordt gewoonlijk gehost op de Mediation Controller-server en in de lokale PostgreSQL-database ervan, maar kan ook naar de DMZ of het LAN worden verplaatst.
  3. Database van de Vault. Elke aangemaakte organisatie leidt tot het aanmaken van een specifieke DB voor de Vault van het product, die standaard op de Mediation Controller-server wordt opgeslagen. Die database kan naar het LAN worden uitbesteed, op voorwaarde dat een Edge Gateway er toegang tot heeft.

Bij het gebruik van externe databases worden de volgende databasetypen ondersteund:

Licentie

De Mediation Controller-server heeft een licentie nodig om te werken.
De licentie kan bij Systancia worden verkregen via het volgende aanvraagformulier: Een licentie aanvragen

Certificaten

CyberElements Bastion gebruikt TLS-versleuteling voor de interne communicatie en HTTPS om de webtoegang te beveiligen, waarvoor verschillende x509-certificaten nodig zijn. De onderstaande informatie vat de verschillende vereiste certificaten, hun doel en de minimale instellingen samen.

Beveiligingsvoorwaarde voor het certificaat

Zorg er, ongeacht het gebruikte certificaat, voor dat het voldoet aan OpenSSL-veiligheidsniveau 2, dat als volgt kan worden samengevat:

  • Het certificaat en de certificaten van de certificeringsinstanties ervan moeten bij de versleutelingen RSA, DSA en DH een privésleutel van ten minste 2048 bits hebben; bij sleutels met elliptische krommen (ECC) moeten dat ten minste 224 bits zijn.
  • De ondertekening van het certificaat mag niet MD5 of SHA-1 zijn (SHA-512 heeft de voorkeur).

Deze server gebruikt vier verschillende certificaten:

  • Een webcertificaat om HTTPS mogelijk te maken.
  • Een certificaat voor de component SSL Router, die verantwoordelijk is voor het opzetten van de TLS-tunnels en het routeren van het verkeer daartussen.
  • Een certificaat voor de component Watchdog, die verantwoordelijk is voor het toezien op de goede werking van de SSL Router.
  • Een certificaat voor de client CyberElements Bastion, zodat deze verbinding kan maken met de SSL Router en een TLSv1.3-tunnel kan opzetten.

Webcertificaat

Aanbeveling

Het webcertificaat wordt bij voorkeur uitgegeven door een openbare certificeringsinstantie (CA) die als betrouwbaar wordt erkend.
Zo is zonder verdere actie gewaarborgd dat de gebruikers geen alerts over het gebruikte certificaat ontvangen (op voorwaarde dat het geldig is en de naam dekt waarmee de gebruiker de verbinding heeft geopend). Het gebruik van een door een interne PKI uitgegeven certificaat vereist de implementatie van het CA-certificaat op de werkstations van de gebruikers.

Het webcertificaat moet voor de attributen ervan aan de volgende voorwaarden voldoen:

  • De geldigheidsduur van het certificaat mag niet meer bedragen dan 398 dagen (13 maanden).
  • De voor de ondertekening gebruikte hashfunctie moet tot de familie SHA-2 behoren; wij bevelen SHA-512 aan.
  • Het certificaat en de certificaten van de certificeringsinstanties ervan moeten bij de versleutelingen RSA, DSA en DH een privésleutel van ten minste 2048 bits hebben; bij sleutels met elliptische krommen (ECC) moeten dat ten minste 224 bits zijn. Wij bevelen een grootte van 4096 bits aan voor RSA en een ECDSA-kromme secp384r1 van 384 bits.
  • De waarde van het attribuut Common Name moet de DNS-naam (of jokernaam) zijn waarvoor het certificaat bestemd is.
  • Het attribuut Key Usage moet de waarden critical, digitalSignature en keyEncipherment hebben.
  • Het attribuut Extended Key Usage moet de waarde id-kp-serverAuth hebben (OpenSSL gebruikt de waarde serverAuth).
  • Het attribuut Subject Alternative Name moet ten minste één vermelding bevatten die overeenstemt met de primaire DNS-naam; er kunnen andere vermeldingen worden toegevoegd om andere DNS-namen of IP-adressen te dekken.

Aanvaarde certificaatindeling: P12 of PEM (met twee bestanden, één voor het certificaat en één voor de privésleutel).

Certificaat van de SSL Router

Het certificaat van de SSL Router moet voor de attributen ervan aan de volgende voorwaarden voldoen:

  • De geldigheidsduur van het certificaat mag niet meer bedragen dan 1095 dagen (3 jaar).
  • De voor de ondertekening gebruikte hashfunctie moet tot de familie SHA-2 behoren; wij bevelen SHA-512 aan.
  • Het certificaat en de certificaten van de certificeringsinstanties ervan moeten bij de versleutelingen RSA, DSA en DH een privésleutel van ten minste 2048 bits hebben; bij sleutels met elliptische krommen (ECC) moeten dat ten minste 224 bits zijn. Wij bevelen een grootte van 4096 bits aan voor RSA en een ECDSA-kromme secp384r1 van 384 bits.
  • De waarde van het attribuut Common Name moet het IP-adres zijn of een DNS-naam die naar IP_MED_SSL verwijst.
  • Het attribuut Key Usage moet de waarden critical, digitalSignature en keyEncipherment hebben.
  • Het attribuut Extended Key Usage moet de waarde serverAuth hebben.

Aanvaarde certificaatindeling: P12.

Certificaat van de Watchdog

Het certificaat van de Watchdog moet voor de attributen ervan aan de volgende voorwaarden voldoen:

  • De geldigheidsduur van het certificaat mag niet meer bedragen dan 1095 dagen (3 jaar).
  • De voor de ondertekening gebruikte hashfunctie moet tot de familie SHA-2 behoren; wij bevelen SHA-512 aan.
  • Het certificaat en de certificaten van de certificeringsinstanties ervan moeten bij de versleutelingen RSA, DSA en DH een privésleutel van ten minste 2048 bits hebben; bij sleutels met elliptische krommen (ECC) moeten dat ten minste 224 bits zijn. Wij bevelen een grootte van 4096 bits aan voor RSA en een ECDSA-kromme secp384r1 van 384 bits.
  • Het attribuut Common Name moet als waarde een identificatienaam voor de Watchdog hebben, bijvoorbeeld ”Watchdog”.
  • Het attribuut Key Usage moet de waarden critical en digitalSignature hebben.
  • Het attribuut Extended Key Usage moet de waarde clientAuth hebben.

Aanvaarde certificaatindeling: P12.

Certificaat van de client CyberElements Bastion

Het certificaat van de CyberElements Bastion-client moet voor de attributen ervan aan de volgende voorwaarden voldoen:

  • De geldigheidsduur van het certificaat mag niet meer bedragen dan 1095 dagen (3 jaar).
  • De voor de ondertekening gebruikte hashfunctie moet tot de familie SHA-2 behoren; wij bevelen SHA-512 aan.
  • Het certificaat en de certificaten van de certificeringsinstanties ervan moeten bij de versleutelingen RSA, DSA en DH een privésleutel van ten minste 2048 bits hebben; bij sleutels met elliptische krommen (ECC) moeten dat ten minste 224 bits zijn. Wij bevelen een grootte van 4096 bits aan voor RSA en een ECDSA-kromme secp384r1 van 384 bits.
  • Het attribuut Common Name moet als waarde een identificatienaam van de klant hebben, bijvoorbeeld ”cyberelements-cleanroom-client”.
  • Het attribuut Key Usage moet de waarden critical en digitalSignature hebben.
  • Het attribuut Extended Key Usage moet de waarde clientAuth hebben.

Aanvaarde certificaatindeling: P12 met een wachtwoord van ten minste 8 alfanumerieke tekens (speciale tekens, letters met accent of koppeltekens worden niet ondersteund).

Deze server gebruikt twee verschillende certificaten:

  • Eén certificaat om de component Edge Gateway bij de SSL Router te authenticeren.
  • Een certificaat voor de opnameservice, zodat de opname-agenten er verbinding mee kunnen maken.

Informatie

Een Edge Gateway-server kan meerdere Edge Gateway-instanties bevatten, waarvoor evenveel certificaten nodig zijn als er Edge Gateway-instanties zijn (behalve in het specifieke geval van een clusterarchitectuur).

Een Edge Gateway-server heeft daarentegen slechts één opnameservice, zodat er maar één certificaat per machine nodig is.

Certificaat van de Edge Gateway

Het certificaat van de Edge Gateway moet voor de attributen ervan aan de volgende voorwaarden voldoen:

  • De geldigheidsduur van het certificaat mag niet meer bedragen dan 1095 dagen (3 jaar).
  • De voor de ondertekening gebruikte hashfunctie moet tot de familie SHA-2 behoren; wij bevelen SHA-512 aan.
  • Het certificaat en de certificaten van de certificeringsinstanties ervan moeten bij de versleutelingen RSA, DSA en DH een privésleutel van ten minste 2048 bits hebben; bij sleutels met elliptische krommen (ECC) moeten dat ten minste 224 bits zijn. Wij bevelen een grootte van 4096 bits aan voor RSA en een ECDSA-kromme secp384r1 van 384 bits.
  • Het attribuut Common Name moet als waarde een waarde hebben die de logische Edge Gateway aanduidt. Deze naam heeft de volgende vorm <GW_NAME>@<ORGANIZATION_NAME>, waarbij <GW_NAME> overeenstemt met de naam van de Edge Gateway (zoals ingevoerd in de beheerconsole) en <ORGANIZATION_NAME> met de naam van de organisatie waarmee de Edge Gateway verbinding zal maken.
  • Het attribuut Key Usage moet de waarden critical en digitalSignature hebben.
  • Het attribuut Extended Key Usage moet de waarde clientAuth hebben.

Aanvaarde certificaatindeling: P12.

Certificaat van de opnameservice

Het certificaat van de opnameservice moet voor de attributen ervan aan de volgende voorwaarden voldoen:

  • De geldigheidsduur van het certificaat mag niet meer bedragen dan 1095 dagen (3 jaar).
  • De voor de ondertekening gebruikte hashfunctie moet tot de familie SHA-2 behoren; wij bevelen SHA-512 aan.
  • Het certificaat en de certificaten van de certificeringsinstanties ervan moeten bij de versleutelingen RSA, DSA en DH een privésleutel van ten minste 2048 bits hebben; bij sleutels met elliptische krommen (ECC) moeten dat ten minste 224 bits zijn. Wij bevelen een grootte van 4096 bits aan voor RSA en een ECDSA-kromme secp384r1 van 384 bits.
  • De waarde van het attribuut Common Name moet de FQDN-naam zijn of ten minste de naam van de machine van de Edge Gateway.
  • Het attribuut Key Usage moet de waarden critical, digitalSignature en keyEncipherment hebben.
  • Het attribuut Extended Key Usage moet de waarde serverAuth hebben.

Aanvaarde certificaatindeling: P12.

Deze server gebruikt één enkel certificaat: het certificaat dat de component HTML5 Gateway authenticeert bij de SSL Router.

Informatie

Een HTML5 Gateway-server kan meerdere instanties van HTML5 Gateways bevatten, wat evenveel certificaten vereist als er instanties van HTML5 Gateways zijn (behalve in het specifieke geval van een Cluster-architectuur).

Certificaat van de HTML5 Gateway

Het certificaat van de HTML5 Gateway moet voor de attributen ervan aan de volgende voorwaarden voldoen:

  • De geldigheidsduur van het certificaat mag niet meer bedragen dan 1095 dagen (3 jaar).
  • De voor de ondertekening gebruikte hashfunctie moet tot de familie SHA-2 behoren; wij bevelen SHA-512 aan.
  • Het certificaat en de certificaten van de certificeringsinstanties ervan moeten bij de versleutelingen RSA, DSA en DH een privésleutel van ten minste 2048 bits hebben; bij sleutels met elliptische krommen (ECC) moeten dat ten minste 224 bits zijn. Wij bevelen een grootte van 4096 bits aan voor RSA en een ECDSA-kromme secp384r1 van 384 bits.
  • Het attribuut Common Name moet als waarde een waarde hebben die de logische Edge Gateway aanduidt. Deze naam heeft de volgende vorm <HTML5_GW_NAME>@<ORGANIZATION_NAME>, waarbij <HTML5_GW_NAME> overeenstemt met de naam van de Edge Gateway (zoals ingevoerd in de beheerconsole) en <ORGANIZATION_NAME> met de naam van de organisatie waarmee de Edge Gateway verbinding zal maken.
  • Het attribuut Key Usage moet de waarden critical en digitalSignature hebben.
  • Het attribuut Extended Key Usage moet de waarde clientAuth hebben.

Aanvaarde certificaatindeling: P12.

Voor de werking in directe toegang gebruikt de opname-agent in directe toegang een certificaat om zich te authenticeren bij de opnameservice van een Edge Gateway.

Het certificaat moet voor de attributen ervan aan de volgende voorwaarden voldoen:

  • De geldigheidsduur van het certificaat mag niet meer bedragen dan 1095 dagen (3 jaar).
  • De voor de ondertekening gebruikte hashfunctie moet tot de familie SHA-2 behoren; wij bevelen SHA-512 aan.
  • Het certificaat en de certificaten van de certificeringsinstanties ervan moeten bij de versleutelingen RSA, DSA en DH een privésleutel van ten minste 2048 bits hebben; bij sleutels met elliptische krommen (ECC) moeten dat ten minste 224 bits zijn. Wij bevelen een grootte van 4096 bits aan voor RSA en een ECDSA-kromme secp384r1 van 384 bits.
  • Het attribuut Common Name moet als waarde de korte naam, de FQDN of een andere naam hebben die de machine op unieke wijze aanduidt. Deze naam dient om de op de machine uitgevoerde acties te identificeren en te volgen.
  • Het attribuut Key Usage moet de waarden critical en digitalSignature hebben.
  • Het attribuut Extended Key Usage moet de waarde clientAuth hebben.

Aanvaarde certificaatindeling: P12.