Preskočiť na obsah

Predpoklady pre platformu CyberElements Bastion Cluster

Počítač

Na inštaláciu CyberElements Bastion je možné použiť fyzické aj virtuálne počítače.
Produkt nevykonáva žiadnu virtualizáciu, takže pri virtuálnych počítačoch nie je potrebné povoliť možnosť vnorenej virtualizácie.

OS

CyberElements Bastion beží na 64-bitových počítačoch so systémom Debian 12 (Bookworm).
Odporúča sa používať počítače bez grafického rozhrania a obmedziť nainštalované komponenty na server SSH.

CPU

Procesor so 4 jadrami pokryje väčšinu prípadov použitia produktu.

RAM

Pozor

Hodnoty RAM uvedené nižšie sú iba orientačné, pretože spotrebu RAM môže ovplyvniť množstvo premenných (používané funkcie produktu alebo prvky nainštalované na počítači súbežne s produktom).

Spotreba RAM vo všeobecnosti závisí od počtu súčasných používateľov, ktorých platforma dokáže obslúžiť:

  • Od 1 do 5 súčasných používateľov: minimálne 2 GB RAM, odporúča sa 4 GB.
  • Od 5 do 20 súčasných používateľov: minimálne 4 GB RAM.
  • Pre 20 a viac súčasných používateľov: minimálne 8 GB RAM.

Spotreba RAM závisí od počtu súčasných relácií, ako aj od typov používaných aplikácií.

Typické hodnoty sú tieto:

  • Od 1 do 5 súčasných používateľov: minimálne 2 GB RAM, odporúča sa 4 GB.
  • Od 5 do 20 súčasných používateľov: minimálne 4 GB RAM.
  • Pre 20 a viac súčasných používateľov: 8 GB RAM.

Upozorňujeme, že aplikácia RDP alebo VNC bez agenta môže spotrebovať až 400 MB na každú spustenú aplikáciu.
Ak sa tieto typy aplikácií používajú vo veľkej miere, odporúča sa monitorovať využitie RAM, aby bolo možné primerane upraviť jej veľkosť.

Spotreba RAM závisí od počtu súčasne otvorených aplikácií HTML5.

Základný server musí mať na fungovanie systému 2 GB plus 50 MB na každú súbežnú aplikáciu HTML5.

Ak je rola HTML5 Gateway kombinovaná so serverom Edge Gateway, pripočítajte k odporúčanej veľkosti RAM pre server Edge Gateway 50 MB na každú súbežnú aplikáciu HTML5.

Disk

Odporúčame rozdeliť disk na diskové oddiely pomocou LVM, aby ste získali väčšiu flexibilitu v prípade, že bude počas používania potrebné zmeniť veľkosť počítača.

Rôzne typy serverov majú rôzne vzory využitia disku s rozdielnymi objemami. Nižšie sú uvedené informácie podľa typu servera:

Na tomto serveri bude narastať objem v nasledujúcich adresároch:

  • /var/log/: adresár obsahujúci rôzne systémové logy.
  • /var/lib/postgresql/15/main/: adresár obsahujúci údaje lokálnej databázy.
  • /var/ipdiva/: adresár obsahujúci údaje špecifické pre produkt.

Izolácia jednotlivých adresárov do samostatných diskových oddielov nie je povinná, ale odporúča sa. Môžete postupovať podľa týchto pokynov:

Bod pripojenia Možnosti Minimálna veľkosť (GB)
/boot nosuid,nodev,noexec 1
/opt nosuid,nodev 1
/tmp nosuid,nodev 4
/srv nosuid,nodev 1
/home nosuid,nodev,noexec 6
/usr nodev 6
/var nosuid 5
/var/log nosuid,nodev,noexec 5
/var/tmp nosuid,nodev,noexec 2
swap Bez možnosti Podľa RAM (o polovicu menej)
/ Bez možnosti 2 GB alebo viac v závislosti od dostupného miesta na disku

Príklad

Pre server so 4 GB RAM (ktorý vyžaduje 2 GB swap) je pri predchádzajúcom rozdelení na diskové oddiely potrebné minimálne 35 GB miesta na disku.

Na tomto serveri bude narastať objem v nasledujúcich adresároch:

  • /var/log/: adresár obsahujúci rôzne systémové logy.
  • /var/lib/ipdiva/carerecord/recording/: adresár obsahujúci archívy, ktoré sa práve nahrávajú; ide teda o adresár na dočasné uloženie.
  • /var/lib/ipdiva/carerecord/archives/: predvolený adresár obsahujúci grafické archívy produktu.
  • /var/ipdiva/care/sshrecord/: predvolený adresár obsahujúci negrafické (SSH) archívy produktu.

Izolácia jednotlivých adresárov do samostatných diskových oddielov nie je povinná, ale odporúča sa. Môžete postupovať podľa týchto pokynov:

Bod pripojenia Možnosti Minimálna veľkosť (GB)
/boot nosuid,nodev,noexec 1
/opt nosuid,nodev 1
/tmp nosuid,nodev 4
/srv nosuid,nodev 1
/home nosuid,nodev,noexec 6
/usr nodev 6
/var nosuid,nodev 5
/var/log nosuid,nodev,noexec 5
/var/tmp nosuid,nodev,noexec 2
swap Bez možnosti Podľa RAM (o polovicu menej)
/ Bez možnosti 2 GB alebo viac v závislosti od dostupného miesta na disku

Príklad

Pre server so 4 GB RAM (ktorý vyžaduje 2 GB swap) je pri predchádzajúcom rozdelení na diskové oddiely potrebné minimálne 35 GB miesta na disku.

Dôrazne sa však odporúča prideliť bodu pripojenia /var viac miesta na disku pre dočasné alebo dlhodobé grafické archívy, pokiaľ nie sú archívy uložené externe.

Na tomto serveri bude narastať objem v nasledujúcich adresároch:

  • /var/log/: adresár obsahujúci rôzne systémové logy.
  • /home/systanciahtml5share/: adresár na dočasné uloženie súborov vymieňaných s aplikáciami HTML5.

Izolácia jednotlivých adresárov do samostatných diskových oddielov nie je povinná, ale odporúča sa. Môžete postupovať podľa týchto pokynov:

Bod pripojenia Možnosti Minimálna veľkosť (GB)
/boot nosuid,nodev,noexec 1
/opt nosuid,nodev 1
/tmp nosuid,nodev 4
/srv nosuid,nodev 1
/home nosuid,nodev,noexec 6
/usr nodev 6
/var nosuid,nodev 5
/var/log nosuid,nodev,noexec 5
/var/tmp nosuid,nodev,noexec 2
swap Bez možnosti Podľa RAM (o polovicu menej)
/ Bez možnosti 2 GB alebo viac v závislosti od dostupného miesta na disku

Príklad

Pre server so 4 GB RAM (ktorý vyžaduje 2 GB swap) je pri predchádzajúcom rozdelení na diskové oddiely potrebné minimálne 35 GB miesta na disku.

Sieť

Platforma CyberElements Bastion Cluster si vyžaduje:

  • 2 skutočné adresy IP na každý server Mediation Controller (na tom istom sieťovom rozhraní)
  • 3 virtuálne adresy IP na fungovanie clustera
  • 1 adresu IP na každý počítač Edge Gateway alebo HTML5 Gateway

Ďalšie informácie

Skutočné aj virtuálne adresy IP serverov Mediation Controller musia všetky patriť do tej istej podsiete.

Nekompatibilita pri používaní virtuálnych adries IP

Vyrovnávanie zaťaženia virtuálnych adries IP spravuje IPVS (IP Virtual Server).
Na správne fungovanie vyrovnávania zaťaženia je potrebné splniť niekoľko predpokladov:

  • Zakážte funkcie Reverse Path Forwarding (RPF) pre servery Mediation Controller a pre adresy IP, ktoré tieto počítače nesú.
  • V prostredí VMware priraďte serverom Mediation Controller sieťový adaptér E1000E namiesto VMXNET3.

Servery Mediation Controller sa zvyčajne umiestňujú do DMZ, ale môžu byť umiestnené aj v privátnej DMZ alebo hostované vo verejnom cloude. Závisí to od prípadu použitia platformy (napríklad vzdialený prístup pre poskytovateľov služieb alebo zabezpečenie interného prístupu k chráneným zónam).

Servery Edge Gateway sa zvyčajne umiestňujú do siete LAN, do sietí VLAN, ktoré im umožňujú komunikovať s cieľovými prostriedkami.

Servery HTML5 Gateway možno umiestniť buď do siete LAN, alebo do DMZ. Táto dokumentácia predpokladá inštaláciu komponentu HTML5 Gateway na servery Edge Gateway, teda do siete LAN.

Na lepšie rozlíšenie jednotlivých adries počítačov sa v dokumentácii budú označovať takto:

Názov adresy IP Význam
RIP_MED_WEB_MASTER Primárna adresa IP servera Mediation Controller MASTER, ktorá poskytuje prístup k webovým konzolám.
RIP_MED_WEB_SLAVE Primárna adresa IP servera Mediation Controller SLAVE, ktorá poskytuje prístup k webovým konzolám.
RIP_MED_SSL_MASTER Druhá adresa IP servera Mediation Controller MASTER, ktorú používa komponent SSL Router.
RIP_MED_SSL_SLAVE Druhá adresa IP servera Mediation Controller SLAVE, ktorú používa komponent SSL Router.
VIP_MED_WEB Virtuálna adresa IP clustera Mediation Controller, ktorá poskytuje prístup k webovým konzolám.
VIP_MED_SSL Virtuálna adresa IP clustera Mediation Controller, ktorá poskytuje prístup ku komponentu SSL Router.
VIP_MED_ZEO Virtuálna adresa IP clustera Mediation Controller, ktorá umožňuje prístup k internej konfiguračnej databáze produktu.
IP_GW Adresa IP servera Edge Gateway.
IP_HTML5_GW Adresa IP servera HTML5 Gateway.

Informácie

Uvedené informácie o tokoch predpokladajú, že servery Mediation Controller sa nachádzajú v DMZ a servery Edge Gateway, ktoré fungujú aj ako HTML5 Gateway, sa nachádzajú v sieti LAN.

Adresy IP servera Mediation Controller môžu byť buď verejné adresy IP priradené priamo serveru Mediation Controller, alebo verejné adresy IP preložené pomocou NAT na privátne adresy IP (odporúča sa).

Zdroj Cieľ Cieľový port Poznámky
Pracovná stanica používateľa VIP_MED_WEB TCP 443 (pri použití štandardného portu) Umožnenie prístupu k webovým konzolám a aplikáciám spusteným priamo v prehliadači.
Pracovná stanica používateľa VIP_MED_SSL TCP 443 (pri použití štandardného portu) Vytvorenie tunela TLS na šifrovanie toku prechádzajúceho cez klienta CyberElements Bastion.
IP_GW VIP_MED_WEB TCP 443 (pri použití štandardného portu) Keď sa komponent Edge Gateway nachádza vo vzdialenej sieti. Pripojenie k systému pairingu komponentov Edge Gateway.
IP_GW VIP_MED_SSL TCP 443 (pri použití štandardného portu) Keď sa komponent Edge Gateway nachádza vo vzdialenej sieti. Pripojenie ku komponentu SSL Router na vytvorenie tunela TLSv1.3 a smerovanie komunikácie produktu cezeň.
Zdroj Cieľ Cieľový port Poznámky
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 Úložiská Debian TCP 80 Potrebné na inštaláciu závislostí produktu CyberElements Bastion a na udržiavanie systému v aktuálnom stave. Dokumentácia a virtuálne zariadenia používajú ftp.fr.debian.org a security.debian.org.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 packages.microsoft.com TCP 443 Úložisko Microsoft na inštaláciu a aktualizáciu ovládačov MS SQL. Potrebné len vtedy, ak sa vyžaduje prístup k databáze MS SQL (virtuálne zariadenia ovládače MS SQL obsahujú).
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 Časový server NTP UDP 123 Voliteľné, ak server potrebuje synchronizovať svoje hodiny so serverom v DMZ. Predvolene sa používajú fondy Debian: 0.debian.pool.ntp.org, 1.debian.pool.ntp.org, 2.debian.pool.ntp.org a 3.debian.pool.ntp.org.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 Server SMTP TCP 25, 465, 587 Potrebné, ak sa na odosielanie e-mailov musí použiť server SMTP, ktorý sa nachádza v sieti WAN.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 Server DNS UDP 53 Potrebné na preklad názvov DNS. Môže sa nachádzať v sieti WAN alebo v DMZ.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 api.neomia.ai TCP 443 (Voliteľné) Pripojenie k rozhraniam API produktu MFA využívajúceho behaviorálnu biometriu Neomia Pulse.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 EU: keepersecurity.eu
US: keepersecurity.com
AU: keepersecurity.com.au
CA: keepersecurity.ca
JP: keepersecurity.jp		 TCP 443 (Voliteľné) Pripojenie k trezoru Keeper EPM v závislosti od jeho umiestnenia.
Zdroj Cieľ Cieľový port Poznámky
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 Časový server NTP UDP 123 Ak server potrebuje synchronizovať svoje hodiny so serverom v DMZ.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 Server SMTP TCP 25, 465, 587 Potrebné, ak sa na odosielanie e-mailov musí použiť server SMTP, ktorý sa nachádza v DMZ.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 Databázový server TCP 1433, 5432 alebo akýkoľvek iný vlastný port Potrebné, ak chcete použiť externú databázu umiestnenú v DMZ.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 Server DNS UDP 53 Potrebné na preklad názvov DNS. Môže sa nachádzať v DMZ alebo v sieti WAN.

Ďalšie informácie

Servery Mediation Controller musia byť schopné navzájom komunikovať z ktorejkoľvek zo svojich adries a na ktorúkoľvek z nich bez ohľadu na protokol.

Zdroj Cieľ Cieľový port Poznámky
IP_GW Úložiská Debian TCP 80 Potrebné na inštaláciu závislostí produktu CyberElements Bastion a na udržiavanie systému v aktuálnom stave. Dokumentácia a virtuálne zariadenia používajú ftp.fr.debian.org a security.debian.org.
IP_GW Server DNS UDP 53 Potrebné na preklad názvov DNS. Voliteľné, ak je server DNS k dispozícii v sieti LAN alebo v DMZ.
IP_GW Časový server NTP UDP 123 Voliteľné, ak server potrebuje synchronizovať svoje hodiny so serverom v sieti LAN alebo v DMZ. Predvolene sa používajú fondy Debian: 0.debian.pool.ntp.org, 1.debian.pool.ntp.org, 2.debian.pool.ntp.org a 3.debian.pool.ntp.org.
IP_GW Poskytovateľ SMS TCP 443 (Voliteľné) Pripojenie k rozhraniam API poskytovateľov SMS podporovaných produktom CyberElements Bastion.
Zdroj(e) Cieľ Cieľový port Poznámky
IP_GW
IP_HTML5_GW		 VIP_MED_WEB
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 TCP 443 (pri použití štandardného portu) Pripojenie k systému pairingu komponentov Edge Gateway.
IP_GW
IP_HTML5_GW		 VIP_MED_SSL
RIP_MED_SSL_MASTER
RIP_MED_SSL_SLAVE		 TCP 443 (pri použití štandardného portu) Pripojenie ku komponentu SSL Router na vytvorenie tunela TLSv1.3 a smerovanie komunikácie produktu cezeň.
Pracovná stanica klienta VIP_MED_WEB
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 TCP 443 (pri použití štandardného portu) Pripojenie k rôznym webovým konzolám produktu.
Pracovná stanica klienta VIP_MED_SSL
RIP_MED_SSL_MASTER
RIP_MED_SSL_SLAVE		 TCP 443 (pri použití štandardného portu) Vytvorenie tunela TLS na šifrovanie toku prechádzajúceho cez klienta CyberElements Bastion.
Pracovná stanica správcu RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 TCP 22 Pripojenie SSH k serveru Mediation Controller.
Zdroj Cieľ Cieľový port Poznámky
IP_GW Server DNS UDP 53 Potrebné na preklad názvov DNS. Voliteľné, ak sa používa server DNS v sieti WAN alebo v DMZ.
IP_GW Servery LDAP alebo AD TCP 389 alebo 636 Pripojenie produktu CyberElements Bastion k serveru LDAP alebo AD.
IP_GW Servery AD TCP 139 a 445 Rotácia hesiel účtov AD, používa sa len vtedy, ak rotácia cez LDAPS nie je možná.
IP_GW Servery RDP TCP/UDP 3389 (pri použití štandardného portu) Pripojenie produktu CyberElements Bastion k serverom RDP.
IP_GW Servery SSH TCP 22 (pri použití štandardného portu) Pripojenie produktu CyberElements Bastion k serverom SSH.
IP_GW Servery VNC TCP 5900 (pri použití štandardného portu) Pripojenie produktu CyberElements Bastion k serverom VNC.
IP_GW Webové servery TCP 80 alebo 443 (pri použití štandardného portu) Pripojenie produktu CyberElements Bastion k webovým serverom.
IP_GW Servery Citrix Storefront TCP 443 (pri použití štandardného portu) Pripojenie produktu CyberElements Bastion k serverom Citrix Storefront.
IP_GW Aplikačné servery Citrix TCP 1494 Pripojenie produktu CyberElements Bastion k aplikačným serverom Citrix (spustenie aplikácie alebo pracovnej plochy pomocou klienta ICA).
IP_GW Súborové servery TCP 139 a 445 Pripojenie produktu CyberElements Bastion k súborovým serverom.
IP_GW Databázový server TCP 1433, 5432 alebo akýkoľvek iný vlastný port Potrebné, ak chcete použiť externú databázu umiestnenú v sieti LAN (napríklad na presun databázy Vault).
IP_GW Servery RDP TCP 139 a 445 Nasadenie agenta nahrávania prostredníctvom konzoly na správu.
Pracovná stanica klienta IP_GW TCP [port definovaný správcom] Pripojenie priameho prístupu SSH.
Pracovná stanica klienta IP_GW TCP 3389 Pripojenie priameho prístupu RDP.
Servery RDP IP_GW TCP 8443 Pripojenie medzi agentom nahrávania a komponentom Edge Gateway na odovzdanie záznamu relácie používateľa.
Pracovná stanica správcu IP_GW TCP 22 Pripojenie SSH k serveru Edge Gateway.

Databáza

CyberElements Bastion používa na svoje fungovanie rôzne databázy (DB).

  1. Databáza konfigurácie systému. Táto databáza slúži na ukladanie všetkých nastavení rozhrania na správu /system a musí mať názov default.

    Pozor!

    Databázu default musíte vytvoriť pred pripojením k CyberElements Bastion (nevytvára sa automaticky).

  2. Databáza konfigurácie organizácie. Každá organizácia vytvorená na serveri Mediation Controller si vyžaduje samostatnú DB, ktorá obsahuje všetky nastavenia a logy organizácie.

  3. Databáza Vault. Každá vytvorená organizácia spustí vytvorenie samostatnej DB pre Vault produktu, ktorá je predvolene uložená na serveri Mediation Controller. Túto databázu možno presunúť do siete LAN, ak k nej má prístup komponent Edge Gateway.

Pri používaní externých databáz (štandardný prípad v architektúre Cluster) sú podporované tieto typy databáz:

Licencia

Server Mediation Controller vyžaduje na svoje fungovanie licenciu.
Licenciu môžete získať od spoločnosti Systancia pomocou nasledujúceho formulára žiadosti o licenciu: Požiadať o licenciu

Certifikáty

CyberElements Bastion používa šifrovanie TLS na internú komunikáciu a HTTPS na zabezpečenie webového prístupu, čo si vyžaduje používanie rôznych certifikátov x509. Nasledujúce informácie zhŕňajú jednotlivé požadované certifikáty, ich účel a minimálne nastavenia.

Bezpečnostné obmedzenie certifikátu

Bez ohľadu na použitý certifikát sa uistite, že spĺňa úroveň zabezpečenia 2 OpenSSL, ktorú možno zhrnúť takto:

  • Certifikát a certifikáty jeho certifikačných autorít musia mať súkromný kľúč s dĺžkou aspoň 2048 bitov pri šifrovaní RSA, DSA a DH; kľúče eliptických kriviek (ECC) musia mať aspoň 224 bitov.
  • Podpis certifikátu nesmie byť MD5 ani SHA-1 (uprednostňuje sa SHA-512).

Tento server používa päť rôznych certifikátov:

  • Webový certifikát na povolenie protokolu HTTPS.
  • Certifikát pre komponent SSL Router, ktorý zodpovedá za vytváranie tunelov TLS a smerovanie prevádzky medzi nimi.
  • Certifikát pre komponent Watchdog, ktorý zodpovedá za monitorovanie správneho fungovania komponentu SSL Router.
  • Certifikát pre klienta CyberElements Bastion, ktorý mu umožňuje pripojiť sa ku komponentu SSL Router a vytvoriť tunel TLSv1.3.
  • Certifikát pre komunikáciu medzi servermi Mediation Controller (len pre server SLAVE).

Webový certifikát

Odporúčanie

Webový certifikát by mal byť pokiaľ možno vydaný verejnou certifikačnou autoritou (CA), ktorá je uznávaná ako dôveryhodná.
Zabezpečí sa tak, že používatelia bez akéhokoľvek ďalšieho zásahu nedostanú žiadne výstrahy súvisiace s použitým certifikátom (za predpokladu, že je platný a pokrýva názov, s ktorým používateľ inicioval pripojenie). Použitie certifikátu vydaného internou infraštruktúrou PKI si vyžaduje nasadenie certifikátu CA na pracovné stanice používateľov.

Webový certifikát musí pri svojich atribútoch spĺňať tieto obmedzenia:

  • Obdobie platnosti certifikátu nesmie presiahnuť 398 dní (13 mesiacov).
  • Hašovacia funkcia použitá na podpis musí patriť do rodiny SHA-2; odporúčame SHA-512.
  • Certifikát a certifikáty jeho certifikačných autorít musia mať súkromný kľúč s dĺžkou aspoň 2048 bitov pri šifrovaní RSA, DSA a DH; kľúče eliptických kriviek (ECC) musia mať aspoň 224 bitov. Odporúčame veľkosť 4096 bitov pre RSA a krivku ECDSA secp384r1 s veľkosťou 384 bitov.
  • Hodnotou atribútu Common Name musí byť názov DNS (alebo názov so zástupným znakom), pre ktorý je certifikát určený.
  • Atribút Key Usage musí mať hodnoty critical, digitalSignature a keyEncipherment.
  • Atribút Extended Key Usage musí mať hodnotu id-kp-serverAuth (OpenSSL používa hodnotu serverAuth).
  • Atribút Subject Alternative Name musí obsahovať aspoň jeden záznam zodpovedajúci primárnemu názvu DNS; ďalšie záznamy možno pridať na pokrytie iných názvov DNS alebo IP adries.

Akceptovaný formát certifikátu: P12 alebo PEM (s dvoma súbormi, jedným pre certifikát a jedným pre súkromný kľúč).

Certifikát komponentu SSL Router

Certifikát komponentu SSL Router musí pri svojich atribútoch spĺňať tieto obmedzenia:

  • Obdobie platnosti certifikátu nesmie presiahnuť 1095 dní (3 roky).
  • Hašovacia funkcia použitá na podpis musí patriť do rodiny SHA-2; odporúčame SHA-512.
  • Certifikát a certifikáty jeho certifikačných autorít musia mať súkromný kľúč s dĺžkou aspoň 2048 bitov pri šifrovaní RSA, DSA a DH; kľúče eliptických kriviek (ECC) musia mať aspoň 224 bitov. Odporúčame veľkosť 4096 bitov pre RSA a krivku ECDSA secp384r1 s veľkosťou 384 bitov.
  • Hodnotou atribútu Common Name musí byť IP adresa alebo názov DNS presmerúvajúci na IP_MED_SSL.
  • Atribút Key Usage musí mať hodnoty critical, digitalSignature a keyEncipherment.
  • Atribút Extended Key Usage musí mať hodnotu serverAuth.

Akceptovaný formát certifikátu: P12.

Certifikát komponentu Watchdog

Certifikát komponentu Watchdog musí pri svojich atribútoch spĺňať tieto obmedzenia:

  • Obdobie platnosti certifikátu nesmie presiahnuť 1095 dní (3 roky).
  • Hašovacia funkcia použitá na podpis musí patriť do rodiny SHA-2; odporúčame SHA-512.
  • Certifikát a certifikáty jeho certifikačných autorít musia mať súkromný kľúč s dĺžkou aspoň 2048 bitov pri šifrovaní RSA, DSA a DH; kľúče eliptických kriviek (ECC) musia mať aspoň 224 bitov. Odporúčame veľkosť 4096 bitov pre RSA a krivku ECDSA secp384r1 s veľkosťou 384 bitov.
  • Atribút Common Name musí mať ako hodnotu identifikačný názov komponentu Watchdog, napríklad „Watchdog“.
  • Atribút Key Usage musí mať hodnoty critical a digitalSignature.
  • Atribút Extended Key Usage musí mať hodnotu clientAuth.

Akceptovaný formát certifikátu: P12.

Certifikát klienta CyberElements Bastion

Certifikát klienta CyberElements Bastion musí pri svojich atribútoch spĺňať nasledujúce obmedzenia:

  • Obdobie platnosti certifikátu nesmie presiahnuť 1095 dní (3 roky).
  • Hašovacia funkcia použitá na podpis musí patriť do rodiny SHA-2; odporúčame SHA-512.
  • Certifikát a certifikáty jeho certifikačných autorít musia mať súkromný kľúč s dĺžkou aspoň 2048 bitov pri šifrovaní RSA, DSA a DH; kľúče eliptických kriviek (ECC) musia mať aspoň 224 bitov. Odporúčame veľkosť 4096 bitov pre RSA a krivku ECDSA secp384r1 s veľkosťou 384 bitov.
  • Atribút Common Name musí mať ako hodnotu identifikačný názov klienta, napríklad „cyberelements-cleanroom-client“.
  • Atribút Key Usage musí mať hodnoty critical a digitalSignature.
  • Atribút Extended Key Usage musí mať hodnotu clientAuth.

Akceptovaný formát certifikátu: P12 s heslom s dĺžkou aspoň 8 alfanumerických znakov (špeciálne znaky, písmená s diakritikou ani spojovníky nie sú podporované).

Medziserverový certifikát

Medziserverový certifikát CyberElements Bastion musí pri svojich atribútoch spĺňať nasledujúce obmedzenia:

  • Obdobie platnosti certifikátu nesmie presiahnuť 1095 dní (3 roky).
  • Hašovacia funkcia použitá na podpis musí patriť do rodiny SHA-2; odporúčame SHA-512.
  • Certifikát a certifikáty jeho certifikačných autorít musia mať súkromný kľúč s dĺžkou aspoň 2048 bitov pri šifrovaní RSA, DSA a DH; kľúče eliptických kriviek (ECC) musia mať aspoň 224 bitov. Odporúčame veľkosť 4096 bitov pre RSA a krivku ECDSA secp384r1 s veľkosťou 384 bitov.
  • Atribút Common Name musí mať ako hodnotu identifikačný názov, napríklad „interserver-cleanroom“.
  • Atribút Key Usage musí mať hodnoty critical a digitalSignature.
  • Atribút Extended Key Usage musí mať hodnotu clientAuth.

Akceptovaný formát certifikátu: P12 s heslom s dĺžkou aspoň 8 znakov bez špeciálnych znakov.

Tento server používa dva rôzne certifikáty:

  • Certifikát na overovanie komponentu Edge Gateway voči komponentu SSL Router.
  • Certifikát pre službu nahrávania, aby sa k nej mohli pripájať agenti nahrávania.

Informácie

Server Edge Gateway môže mať viacero inštancií Edge Gateway, čo si vyžaduje toľko certifikátov, koľko je inštancií Edge Gateway (okrem špecifického prípadu architektúry Cluster).

Server Edge Gateway má však len jednu službu nahrávania, takže na každý počítač bude potrebný len jeden certifikát.

Certifikát Edge Gateway

Certifikát servera Edge Gateway musí pri svojich atribútoch spĺňať tieto obmedzenia:

  • Obdobie platnosti certifikátu nesmie presiahnuť 1095 dní (3 roky).
  • Hašovacia funkcia použitá na podpis musí patriť do rodiny SHA-2; odporúčame SHA-512.
  • Certifikát a certifikáty jeho certifikačných autorít musia mať súkromný kľúč s dĺžkou aspoň 2048 bitov pri šifrovaní RSA, DSA a DH; kľúče eliptických kriviek (ECC) musia mať aspoň 224 bitov. Odporúčame veľkosť 4096 bitov pre RSA a krivku ECDSA secp384r1 s veľkosťou 384 bitov.
  • Atribút Common Name musí mať hodnotu, ktorá identifikuje logický komponent Edge Gateway. Tento názov má nasledujúci tvar <GW_NAME>@<ORGANIZATION_NAME>, kde <GW_NAME> zodpovedá názvu komponentu Edge Gateway (zadanému v konzole na správu) a <ORGANIZATION_NAME> zodpovedá názvu organizácie, ku ktorej sa komponent Edge Gateway pripojí.
  • Atribút Key Usage musí mať hodnoty critical a digitalSignature.
  • Atribút Extended Key Usage musí mať hodnotu clientAuth.

Akceptovaný formát certifikátu: P12.

Certifikát služby nahrávania

Certifikát služby nahrávania musí pre svoje atribúty spĺňať nasledujúce obmedzenia:

  • Obdobie platnosti certifikátu nesmie presiahnuť 1095 dní (3 roky).
  • Hašovacia funkcia použitá na podpis musí patriť do rodiny SHA-2; odporúčame SHA-512.
  • Certifikát a certifikáty jeho certifikačných autorít musia mať súkromný kľúč s dĺžkou aspoň 2048 bitov pri šifrovaní RSA, DSA a DH; kľúče eliptických kriviek (ECC) musia mať aspoň 224 bitov. Odporúčame veľkosť 4096 bitov pre RSA a krivku ECDSA secp384r1 s veľkosťou 384 bitov.
  • Hodnotou atribútu Common Name musí byť názov FQDN alebo aspoň názov počítača Edge Gateway.
  • Atribút Key Usage musí mať hodnoty critical, digitalSignature a keyEncipherment.
  • Atribút Extended Key Usage musí mať hodnotu serverAuth.

Akceptovaný formát certifikátu: P12.

Tento server používa jediný certifikát: certifikát na overovanie komponentu HTML5 Gateway voči komponentu SSL Router.

Informácie

Server HTML5 Gateway môže mať viacero inštancií HTML5 Gateway, čo si vyžaduje toľko certifikátov, koľko je inštancií HTML5 Gateway (okrem špecifického prípadu architektúry Cluster).

Certifikát HTML5 Gateway

Certifikát komponentu HTML5 Gateway musí pre svoje atribúty spĺňať nasledujúce obmedzenia:

  • Obdobie platnosti certifikátu nesmie presiahnuť 1095 dní (3 roky).
  • Hašovacia funkcia použitá na podpis musí patriť do rodiny SHA-2; odporúčame SHA-512.
  • Certifikát a certifikáty jeho certifikačných autorít musia mať súkromný kľúč s dĺžkou aspoň 2048 bitov pri šifrovaní RSA, DSA a DH; kľúče eliptických kriviek (ECC) musia mať aspoň 224 bitov. Odporúčame veľkosť 4096 bitov pre RSA a krivku ECDSA secp384r1 s veľkosťou 384 bitov.
  • Atribút Common Name musí mať hodnotu, ktorá identifikuje logický komponent Edge Gateway. Tento názov má nasledujúci tvar <HTML5_GW_NAME>@<ORGANIZATION_NAME>, kde <HTML5_GW_NAME> zodpovedá názvu komponentu Edge Gateway (zadanému v konzole na správu) a <ORGANIZATION_NAME> zodpovedá názvu organizácie, ku ktorej sa komponent Edge Gateway pripojí.
  • Atribút Key Usage musí mať hodnoty critical a digitalSignature.
  • Atribút Extended Key Usage musí mať hodnotu clientAuth.

Akceptovaný formát certifikátu: P12.

Pri prevádzke v režime priameho prístupu používa agent nahrávania pre priamy prístup certifikát na overenie voči službe nahrávania komponentu Edge Gateway.

Certifikát musí pre svoje atribúty spĺňať nasledujúce obmedzenia:

  • Obdobie platnosti certifikátu nesmie presiahnuť 1095 dní (3 roky).
  • Hašovacia funkcia použitá na podpis musí patriť do rodiny SHA-2; odporúčame SHA-512.
  • Certifikát a certifikáty jeho certifikačných autorít musia mať súkromný kľúč s dĺžkou aspoň 2048 bitov pri šifrovaní RSA, DSA a DH; kľúče eliptických kriviek (ECC) musia mať aspoň 224 bitov. Odporúčame veľkosť 4096 bitov pre RSA a krivku ECDSA secp384r1 s veľkosťou 384 bitov.
  • Atribút Common Name musí mať ako hodnotu krátky názov, FQDN alebo akýkoľvek iný názov, ktorý jednoznačne identifikuje počítač. Tento názov slúži na identifikáciu a sledovanie akcií vykonaných na počítači.
  • Atribút Key Usage musí mať hodnoty critical a digitalSignature.
  • Atribút Extended Key Usage musí mať hodnotu clientAuth.

Akceptovaný formát certifikátu: P12.