Preskočiť na obsah

Predpoklady pre platformu CyberElements Bastion Standalone

Počítač

Na inštaláciu CyberElements Bastion je možné použiť fyzické aj virtuálne počítače.
Produkt nevykonáva žiadnu virtualizáciu, takže pri virtuálnych počítačoch nie je potrebné povoliť možnosť vnorenej virtualizácie.

OS

CyberElements Bastion beží na 64-bitových počítačoch so systémom Debian 12 (Bookworm).
Odporúča sa používať počítače bez grafického rozhrania a obmedziť nainštalované komponenty na server SSH.

CPU

Procesor so 4 jadrami pokryje väčšinu prípadov použitia produktu.

RAM

Pozor

Hodnoty RAM uvedené nižšie sú iba orientačné, pretože spotrebu RAM môže ovplyvniť množstvo premenných (používané funkcie produktu alebo prvky nainštalované na počítači súbežne s produktom).

Spotreba RAM vo všeobecnosti závisí od počtu súčasných používateľov, ktorých platforma dokáže obslúžiť:

  • Od 1 do 5 súčasných používateľov: minimálne 2 GB RAM, odporúča sa 4 GB.
  • Od 5 do 20 súčasných používateľov: minimálne 4 GB RAM.
  • Pre 20 a viac súčasných používateľov: minimálne 8 GB RAM.

Spotreba RAM závisí od počtu súčasných relácií, ako aj od typov používaných aplikácií.

Typické hodnoty sú tieto:

  • Od 1 do 5 súčasných používateľov: minimálne 2 GB RAM, odporúča sa 4 GB.
  • Od 5 do 20 súčasných používateľov: minimálne 4 GB RAM.
  • Pre 20 a viac súčasných používateľov: 8 GB RAM.

Upozorňujeme, že aplikácia RDP alebo VNC bez agenta môže spotrebovať až 400 MB na každú spustenú aplikáciu.
Ak sa tieto typy aplikácií používajú vo veľkej miere, odporúča sa monitorovať využitie RAM, aby bolo možné primerane upraviť jej veľkosť.

Spotreba RAM závisí od počtu súčasne otvorených aplikácií HTML5.

Základný server musí mať na fungovanie systému 2 GB plus 50 MB na každú súbežnú aplikáciu HTML5.

Ak je rola HTML5 Gateway kombinovaná so serverom Edge Gateway, pripočítajte k odporúčanej veľkosti RAM pre server Edge Gateway 50 MB na každú súbežnú aplikáciu HTML5.

Disk

Odporúčame rozdeliť disk na diskové oddiely pomocou LVM, aby ste získali väčšiu flexibilitu v prípade, že bude počas používania potrebné zmeniť veľkosť počítača.

Rôzne typy serverov majú rôzne vzory využitia disku s rozdielnymi objemami. Nižšie sú uvedené informácie podľa typu servera:

Na tomto serveri bude narastať objem v nasledujúcich adresároch:

  • /var/log/: adresár obsahujúci rôzne systémové logy.
  • /var/lib/postgresql/15/main/: adresár obsahujúci údaje lokálnej databázy.
  • /var/ipdiva/: adresár obsahujúci údaje špecifické pre produkt.

Izolácia jednotlivých adresárov do samostatných diskových oddielov nie je povinná, ale odporúča sa. Môžete postupovať podľa týchto pokynov:

Bod pripojenia Možnosti Minimálna veľkosť (GB)
/boot nosuid,nodev,noexec 1
/opt nosuid,nodev 1
/tmp nosuid,nodev 4
/srv nosuid,nodev 1
/home nosuid,nodev,noexec 6
/usr nodev 6
/var nosuid 5
/var/log nosuid,nodev,noexec 5
/var/tmp nosuid,nodev,noexec 2
swap Bez možnosti Podľa RAM (o polovicu menej)
/ Bez možnosti 2 GB alebo viac v závislosti od dostupného miesta na disku

Príklad

Pre server so 4 GB RAM (ktorý vyžaduje 2 GB swap) je pri predchádzajúcom rozdelení na diskové oddiely potrebné minimálne 35 GB miesta na disku.

Na tomto serveri bude narastať objem v nasledujúcich adresároch:

  • /var/log/: adresár obsahujúci rôzne systémové logy.
  • /var/lib/ipdiva/carerecord/recording/: adresár obsahujúci archívy, ktoré sa práve nahrávajú; ide teda o adresár na dočasné uloženie.
  • /var/lib/ipdiva/carerecord/archives/: predvolený adresár obsahujúci grafické archívy produktu.
  • /var/ipdiva/care/sshrecord/: predvolený adresár obsahujúci negrafické (SSH) archívy produktu.

Izolácia jednotlivých adresárov do samostatných diskových oddielov nie je povinná, ale odporúča sa. Môžete postupovať podľa týchto pokynov:

Bod pripojenia Možnosti Minimálna veľkosť (GB)
/boot nosuid,nodev,noexec 1
/opt nosuid,nodev 1
/tmp nosuid,nodev 4
/srv nosuid,nodev 1
/home nosuid,nodev,noexec 6
/usr nodev 6
/var nosuid,nodev 5
/var/log nosuid,nodev,noexec 5
/var/tmp nosuid,nodev,noexec 2
swap Bez možnosti Podľa RAM (o polovicu menej)
/ Bez možnosti 2 GB alebo viac v závislosti od dostupného miesta na disku

Príklad

Pre server so 4 GB RAM (ktorý vyžaduje 2 GB swap) je pri predchádzajúcom rozdelení na diskové oddiely potrebné minimálne 35 GB miesta na disku.

Dôrazne sa však odporúča prideliť bodu pripojenia /var viac miesta na disku pre dočasné alebo dlhodobé grafické archívy, pokiaľ nie sú archívy uložené externe.

Na tomto serveri bude narastať objem v nasledujúcich adresároch:

  • /var/log/: adresár obsahujúci rôzne systémové logy.
  • /home/systanciahtml5share/: adresár na dočasné uloženie súborov vymieňaných s aplikáciami HTML5.

Izolácia jednotlivých adresárov do samostatných diskových oddielov nie je povinná, ale odporúča sa. Môžete postupovať podľa týchto pokynov:

Bod pripojenia Možnosti Minimálna veľkosť (GB)
/boot nosuid,nodev,noexec 1
/opt nosuid,nodev 1
/tmp nosuid,nodev 4
/srv nosuid,nodev 1
/home nosuid,nodev,noexec 6
/usr nodev 6
/var nosuid,nodev 5
/var/log nosuid,nodev,noexec 5
/var/tmp nosuid,nodev,noexec 2
swap Bez možnosti Podľa RAM (o polovicu menej)
/ Bez možnosti 2 GB alebo viac v závislosti od dostupného miesta na disku

Príklad

Pre server so 4 GB RAM (ktorý vyžaduje 2 GB swap) je pri predchádzajúcom rozdelení na diskové oddiely potrebné minimálne 35 GB miesta na disku.

Sieť

Platforma CyberElements Bastion Standalone bude vyžadovať:

  • 2 IP adresy pre server Mediation Controller (na rovnakom sieťovom rozhraní)
  • 1 adresu IP na každý počítač Edge Gateway alebo HTML5 Gateway

Server Mediation Controller sa zvyčajne umiestňuje do DMZ, ale môže byť umiestnený aj v súkromnej DMZ alebo hosťovaný vo verejnom cloude. Závisí to od prípadu použitia platformy (napríklad vzdialený prístup pre poskytovateľov služieb alebo zabezpečenie interného prístupu k chráneným zónam).

Servery Edge Gateway sa zvyčajne umiestňujú do siete LAN, do sietí VLAN, ktoré im umožňujú komunikovať s cieľovými prostriedkami.

Servery HTML5 Gateway možno umiestniť buď v sieti LAN, alebo v DMZ. Táto dokumentácia predpokladá inštaláciu komponentu HTML5 Gateway na server Edge Gateway, teda v sieti LAN.

Na lepšie rozlíšenie jednotlivých adries počítačov sa v dokumentácii budú označovať takto:

Názov adresy IP Význam
IP_MED_WEB Primárna IP adresa servera Mediation Controller, ktorá umožňuje prístup k webovým konzolám.
IP_MED_SSL Druhá IP adresa servera Mediation Controller, ktorú používa komponent SSL Router.
IP_GW IP adresa servera Edge Gateway.
IP_HTML5_GW IP adresa servera HTML5 Gateway.

Informácie

Uvedené informácie o tokoch predpokladajú, že server Mediation Controller sa nachádza v DMZ a že server Edge Gateway, ktorý má aj rolu HTML5 Gateway, sa nachádza v sieti LAN.

Adresy IP servera Mediation Controller môžu byť buď verejné adresy IP priradené priamo serveru Mediation Controller, alebo verejné adresy IP preložené pomocou NAT na privátne adresy IP (odporúča sa).

Zdroj Cieľ Cieľový port Poznámky
Pracovná stanica používateľa IP_MED_WEB TCP 443 (pri použití štandardného portu) Umožňuje prístup k webovým konzolám a aplikáciám spusteným priamo v prehliadači.
Pracovná stanica používateľa IP_MED_SSL TCP 443 (pri použití štandardného portu) Vytvorenie tunela TLS na šifrovanie toku prechádzajúceho cez klienta CyberElements Bastion.
IP_GW IP_MED_WEB TCP 443 (pri použití štandardného portu) Keď sa Edge Gateway nachádza vo vzdialenej sieti. Pripojenie k systému pairingu komponentu Edge Gateway.
IP_GW IP_MED_SSL TCP 443 (pri použití štandardného portu) Keď sa Edge Gateway nachádza vo vzdialenej sieti. Pripojenie ku komponentu SSL Router na vytvorenie tunela TLSv1.3 a smerovanie komunikácie produktu cezeň.
Zdroj Cieľ Cieľový port Poznámky
IP_MED_WEB Úložiská Debian TCP 80 Potrebné na inštaláciu závislostí CyberElements Bastion a udržiavanie systému v aktuálnom stave. Dokumentácia a virtuálne zariadenia používajú ftp.fr.debian.org a security.debian.org.
IP_MED_WEB packages.microsoft.com TCP 443 Úložisko Microsoft na inštaláciu a aktualizáciu ovládačov MS SQL. Potrebné iba vtedy, ak sa vyžaduje prístup k databáze MS SQL (virtuálne zariadenia obsahujú ovládače MS SQL).
IP_MED_WEB Časový server NTP UDP 123 Voliteľné, ak server potrebuje synchronizovať svoje hodiny so serverom v DMZ. Predvolene sa používajú fondy NTP distribúcie Debian: 0.debian.pool.ntp.org, 1.debian.pool.ntp.org, 2.debian.pool.ntp.org a 3.debian.pool.ntp.org.
IP_MED_WEB Server SMTP TCP 25, 465, 587 Potrebné, ak sa na odosielanie e-mailov musí použiť server SMTP, ktorý sa nachádza v sieti WAN.
IP_MED_WEB Server DNS UDP 53 Potrebné na preklad názvov DNS. Môže sa nachádzať v sieti WAN alebo v DMZ.
IP_MED_WEB api.neomia.ai TCP 443 (Voliteľné) Pripojenie k rozhraniam API produktu MFA s behaviorálnou biometriou Neomia Pulse.
IP_MED_WEB EU: keepersecurity.eu
US: keepersecurity.com
AU: keepersecurity.com.au
CA: keepersecurity.ca
JP: keepersecurity.jp		 TCP 443 (Voliteľné) Pripojenie k trezoru Keeper EPM v závislosti od jeho umiestnenia.
Zdroj Cieľ Cieľový port Poznámky
IP_MED_WEB Časový server NTP UDP 123 Ak server potrebuje synchronizovať svoje hodiny so serverom v DMZ.
IP_MED_WEB Server SMTP TCP 25, 465, 587 Potrebné, ak sa na odosielanie e-mailov musí použiť server SMTP, ktorý sa nachádza v DMZ.
IP_MED_WEB Databázový server TCP 1433, 5432 alebo akýkoľvek iný vlastný port Potrebné, ak chcete použiť externú databázu nachádzajúcu sa v DMZ.
IP_MED_WEB Server DNS UDP 53 Potrebné na preklad názvov DNS. Môže sa nachádzať v DMZ alebo v sieti WAN.
Zdroj Cieľ Cieľový port Poznámky
IP_GW Úložiská Debian TCP 80 Potrebné na inštaláciu závislostí CyberElements Bastion a udržiavanie systému v aktuálnom stave. Dokumentácia a virtuálne zariadenia používajú ftp.fr.debian.org a security.debian.org.
IP_GW Server DNS UDP 53 Potrebné na preklad názvov DNS. Voliteľné, ak je server DNS k dispozícii v sieti LAN alebo v DMZ.
IP_GW Časový server NTP UDP 123 Voliteľné, ak server potrebuje synchronizovať svoje hodiny so serverom v sieti LAN alebo v DMZ. Predvolene sa používajú fondy Debian: 0.debian.pool.ntp.org, 1.debian.pool.ntp.org, 2.debian.pool.ntp.org a 3.debian.pool.ntp.org.
IP_GW Poskytovateľ SMS TCP 443 (Voliteľné) Pripojenie k rozhraniam API poskytovateľov SMS podporovaných produktom CyberElements Bastion.
Zdroj(e) Cieľ(e) Cieľový port Komentáre
IP_GW
IP_HTML5_GW		 IP_MED_WEB TCP 443 (pri použití štandardného portu) Pripojenie k systému pairingu komponentu Edge Gateway.
IP_GW
IP_HTML5_GW		 IP_MED_SSL TCP 443 (pri použití štandardného portu) Pripojenie ku komponentu SSL Router na vytvorenie tunela TLSv1.3 a smerovanie komunikácie produktu cezeň.
Pracovná stanica klienta IP_MED_WEB TCP 443 (pri použití štandardného portu) Pripojenie k jednotlivým webovým konzolám produktu.
Pracovná stanica klienta IP_MED_SSL TCP 443 (pri použití štandardného portu) Vytvorenie tunela TLS na šifrovanie toku prechádzajúceho cez klienta CyberElements Bastion.
Pracovná stanica správcu IP_MED_WEB TCP 22 Pripojenie SSH k serveru Mediation Controller.
Zdroj Cieľ Cieľový port Poznámky
IP_GW Server DNS UDP 53 Potrebné na preklad názvov DNS. Voliteľné, ak sa používa server DNS v sieti WAN alebo v DMZ.
IP_GW Servery LDAP alebo AD TCP 389 alebo 636 Pripojenie CyberElements Bastion k serveru LDAP alebo AD.
IP_GW Servery AD TCP 139 a 445 Rotácia hesiel účtov AD, používa sa iba vtedy, ak rotácia cez LDAPS nie je možná.
IP_GW Servery RDP TCP/UDP 3389 (pri použití štandardného portu) Pripojenie z CyberElements Bastion k serverom RDP.
IP_GW Servery SSH TCP 22 (pri použití štandardného portu) Pripojenie produktu CyberElements Bastion k serverom SSH.
IP_GW Servery VNC TCP 5900 (pri použití štandardného portu) Pripojenie produktu CyberElements Bastion k serverom VNC.
IP_GW Webové servery TCP 80 alebo 443 (pri použití štandardného portu) Pripojenie z CyberElements Bastion k webovým serverom.
IP_GW Servery Citrix Storefront TCP 443 (pri použití štandardného portu) Pripojenie produktu CyberElements Bastion k serverom Citrix Storefront.
IP_GW Aplikačné servery Citrix TCP 1494 Pripojenie produktu CyberElements Bastion k aplikačným serverom Citrix (spustenie aplikácie alebo pracovnej plochy pomocou klienta ICA).
IP_GW Súborové servery TCP 139 a 445 Pripojenie produktu CyberElements Bastion k súborovým serverom.
IP_GW Databázový server TCP 1433, 5432 alebo akýkoľvek iný vlastný port Potrebné, ak chcete použiť externú databázu umiestnenú v sieti LAN (napríklad na presun databázy Vault).
IP_GW Servery RDP TCP 139 a 445 Nasadenie agenta nahrávania prostredníctvom konzoly na správu.
Pracovná stanica klienta IP_GW TCP [port definovaný správcom] Pripojenie priameho prístupu SSH.
Pracovná stanica klienta IP_GW TCP 3389 Pripojenie priameho prístupu RDP.
Servery RDP IP_GW TCP 8443 Pripojenie medzi agentom nahrávania a komponentom Edge Gateway na odovzdanie záznamu relácie používateľa.
Pracovná stanica správcu IP_GW TCP 22 Pripojenie SSH k serveru Edge Gateway.

Databáza

CyberElements Bastion používa na svoje fungovanie rôzne databázy (DB).

  1. Databáza konfigurácie systému. Táto databáza slúži na uloženie všetkých nastavení rozhrania na správu /system. Pri inštalácii Standalone túto databázu vytvára a spravuje priamo produkt pomocou servera PostgreSQL nainštalovaného na serveri Mediation Controller.
  2. Databáza konfigurácie organizácie. Každá organizácia vytvorená na serveri Mediation Controller bude vyžadovať samostatnú DB, ktorá bude obsahovať všetky nastavenia a logy organizácie. Táto databáza je zvyčajne hosťovaná na serveri Mediation Controller a v jeho lokálnej databáze PostgreSQL, ale možno ju presunúť aj do DMZ alebo siete LAN.
  3. Databáza Vault. Každá vytvorená organizácia spustí vytvorenie špecifickej DB pre Vault produktu, ktorá je predvolene uložená na serveri Mediation Controller. Túto databázu možno presunúť do siete LAN pod podmienkou, že k nej má prístup Edge Gateway.

Pri používaní externých databáz sú podporované tieto typy databáz:

Licencia

Server Mediation Controller vyžaduje na svoje fungovanie licenciu.
Licenciu môžete získať od spoločnosti Systancia pomocou nasledujúceho formulára žiadosti o licenciu: Požiadať o licenciu

Certifikáty

CyberElements Bastion používa šifrovanie TLS na internú komunikáciu a HTTPS na zabezpečenie webového prístupu, čo si vyžaduje používanie rôznych certifikátov x509. Nasledujúce informácie zhŕňajú jednotlivé požadované certifikáty, ich účel a minimálne nastavenia.

Bezpečnostné obmedzenie certifikátu

Bez ohľadu na použitý certifikát sa uistite, že spĺňa úroveň zabezpečenia 2 OpenSSL, ktorú možno zhrnúť takto:

  • Certifikát a certifikáty jeho certifikačných autorít musia mať súkromný kľúč s dĺžkou aspoň 2048 bitov pri šifrovaní RSA, DSA a DH; kľúče eliptických kriviek (ECC) musia mať aspoň 224 bitov.
  • Podpis certifikátu nesmie byť MD5 ani SHA-1 (uprednostňuje sa SHA-512).

Tento server používa štyri rôzne certifikáty:

  • Webový certifikát na povolenie protokolu HTTPS.
  • Certifikát pre komponent SSL Router, ktorý zodpovedá za vytváranie tunelov TLS a smerovanie prevádzky medzi nimi.
  • Certifikát pre komponent Watchdog, ktorý zodpovedá za monitorovanie správneho fungovania komponentu SSL Router.
  • Certifikát pre klienta CyberElements Bastion, ktorý mu umožňuje pripojiť sa ku komponentu SSL Router a vytvoriť tunel TLSv1.3.

Webový certifikát

Odporúčanie

Webový certifikát by mal byť pokiaľ možno vydaný verejnou certifikačnou autoritou (CA), ktorá je uznávaná ako dôveryhodná.
Zabezpečí sa tak, že používatelia bez akéhokoľvek ďalšieho zásahu nedostanú žiadne výstrahy súvisiace s použitým certifikátom (za predpokladu, že je platný a pokrýva názov, s ktorým používateľ inicioval pripojenie). Použitie certifikátu vydaného internou infraštruktúrou PKI si vyžaduje nasadenie certifikátu CA na pracovné stanice používateľov.

Webový certifikát musí pri svojich atribútoch spĺňať tieto obmedzenia:

  • Obdobie platnosti certifikátu nesmie presiahnuť 398 dní (13 mesiacov).
  • Hašovacia funkcia použitá na podpis musí patriť do rodiny SHA-2; odporúčame SHA-512.
  • Certifikát a certifikáty jeho certifikačných autorít musia mať súkromný kľúč s dĺžkou aspoň 2048 bitov pri šifrovaní RSA, DSA a DH; kľúče eliptických kriviek (ECC) musia mať aspoň 224 bitov. Odporúčame veľkosť 4096 bitov pre RSA a krivku ECDSA secp384r1 s veľkosťou 384 bitov.
  • Hodnotou atribútu Common Name musí byť názov DNS (alebo názov so zástupným znakom), pre ktorý je certifikát určený.
  • Atribút Key Usage musí mať hodnoty critical, digitalSignature a keyEncipherment.
  • Atribút Extended Key Usage musí mať hodnotu id-kp-serverAuth (OpenSSL používa hodnotu serverAuth).
  • Atribút Subject Alternative Name musí obsahovať aspoň jeden záznam zodpovedajúci primárnemu názvu DNS; ďalšie záznamy možno pridať na pokrytie iných názvov DNS alebo IP adries.

Akceptovaný formát certifikátu: P12 alebo PEM (s dvoma súbormi, jedným pre certifikát a jedným pre súkromný kľúč).

Certifikát komponentu SSL Router

Certifikát komponentu SSL Router musí pri svojich atribútoch spĺňať tieto obmedzenia:

  • Obdobie platnosti certifikátu nesmie presiahnuť 1095 dní (3 roky).
  • Hašovacia funkcia použitá na podpis musí patriť do rodiny SHA-2; odporúčame SHA-512.
  • Certifikát a certifikáty jeho certifikačných autorít musia mať súkromný kľúč s dĺžkou aspoň 2048 bitov pri šifrovaní RSA, DSA a DH; kľúče eliptických kriviek (ECC) musia mať aspoň 224 bitov. Odporúčame veľkosť 4096 bitov pre RSA a krivku ECDSA secp384r1 s veľkosťou 384 bitov.
  • Hodnotou atribútu Common Name musí byť IP adresa alebo názov DNS presmerúvajúci na IP_MED_SSL.
  • Atribút Key Usage musí mať hodnoty critical, digitalSignature a keyEncipherment.
  • Atribút Extended Key Usage musí mať hodnotu serverAuth.

Akceptovaný formát certifikátu: P12.

Certifikát komponentu Watchdog

Certifikát komponentu Watchdog musí pri svojich atribútoch spĺňať tieto obmedzenia:

  • Obdobie platnosti certifikátu nesmie presiahnuť 1095 dní (3 roky).
  • Hašovacia funkcia použitá na podpis musí patriť do rodiny SHA-2; odporúčame SHA-512.
  • Certifikát a certifikáty jeho certifikačných autorít musia mať súkromný kľúč s dĺžkou aspoň 2048 bitov pri šifrovaní RSA, DSA a DH; kľúče eliptických kriviek (ECC) musia mať aspoň 224 bitov. Odporúčame veľkosť 4096 bitov pre RSA a krivku ECDSA secp384r1 s veľkosťou 384 bitov.
  • Atribút Common Name musí mať ako hodnotu identifikačný názov komponentu Watchdog, napríklad „Watchdog“.
  • Atribút Key Usage musí mať hodnoty critical a digitalSignature.
  • Atribút Extended Key Usage musí mať hodnotu clientAuth.

Akceptovaný formát certifikátu: P12.

Certifikát klienta CyberElements Bastion

Certifikát klienta CyberElements Bastion musí pri svojich atribútoch spĺňať nasledujúce obmedzenia:

  • Obdobie platnosti certifikátu nesmie presiahnuť 1095 dní (3 roky).
  • Hašovacia funkcia použitá na podpis musí patriť do rodiny SHA-2; odporúčame SHA-512.
  • Certifikát a certifikáty jeho certifikačných autorít musia mať súkromný kľúč s dĺžkou aspoň 2048 bitov pri šifrovaní RSA, DSA a DH; kľúče eliptických kriviek (ECC) musia mať aspoň 224 bitov. Odporúčame veľkosť 4096 bitov pre RSA a krivku ECDSA secp384r1 s veľkosťou 384 bitov.
  • Atribút Common Name musí mať ako hodnotu identifikačný názov klienta, napríklad „cyberelements-cleanroom-client“.
  • Atribút Key Usage musí mať hodnoty critical a digitalSignature.
  • Atribút Extended Key Usage musí mať hodnotu clientAuth.

Akceptovaný formát certifikátu: P12 s heslom s dĺžkou aspoň 8 alfanumerických znakov (špeciálne znaky, písmená s diakritikou ani spojovníky nie sú podporované).

Tento server používa dva rôzne certifikáty:

  • Jeden certifikát na overovanie komponentu Edge Gateway voči komponentu SSL Router.
  • Certifikát pre službu nahrávania, aby sa k nej mohli pripájať agenti nahrávania.

Informácie

Server Edge Gateway môže mať viacero inštancií Edge Gateway, čo si vyžaduje toľko certifikátov, koľko je inštancií Edge Gateway (okrem špecifického prípadu architektúry Cluster).

Server Edge Gateway má však len jednu službu nahrávania, takže na každý počítač bude potrebný len jeden certifikát.

Certifikát Edge Gateway

Certifikát servera Edge Gateway musí pri svojich atribútoch spĺňať tieto obmedzenia:

  • Obdobie platnosti certifikátu nesmie presiahnuť 1095 dní (3 roky).
  • Hašovacia funkcia použitá na podpis musí patriť do rodiny SHA-2; odporúčame SHA-512.
  • Certifikát a certifikáty jeho certifikačných autorít musia mať súkromný kľúč s dĺžkou aspoň 2048 bitov pri šifrovaní RSA, DSA a DH; kľúče eliptických kriviek (ECC) musia mať aspoň 224 bitov. Odporúčame veľkosť 4096 bitov pre RSA a krivku ECDSA secp384r1 s veľkosťou 384 bitov.
  • Atribút Common Name musí mať hodnotu, ktorá identifikuje logický komponent Edge Gateway. Tento názov má nasledujúci tvar <GW_NAME>@<ORGANIZATION_NAME>, kde <GW_NAME> zodpovedá názvu komponentu Edge Gateway (zadanému v konzole na správu) a <ORGANIZATION_NAME> zodpovedá názvu organizácie, ku ktorej sa komponent Edge Gateway pripojí.
  • Atribút Key Usage musí mať hodnoty critical a digitalSignature.
  • Atribút Extended Key Usage musí mať hodnotu clientAuth.

Akceptovaný formát certifikátu: P12.

Certifikát služby nahrávania

Certifikát služby nahrávania musí pre svoje atribúty spĺňať nasledujúce obmedzenia:

  • Obdobie platnosti certifikátu nesmie presiahnuť 1095 dní (3 roky).
  • Hašovacia funkcia použitá na podpis musí patriť do rodiny SHA-2; odporúčame SHA-512.
  • Certifikát a certifikáty jeho certifikačných autorít musia mať súkromný kľúč s dĺžkou aspoň 2048 bitov pri šifrovaní RSA, DSA a DH; kľúče eliptických kriviek (ECC) musia mať aspoň 224 bitov. Odporúčame veľkosť 4096 bitov pre RSA a krivku ECDSA secp384r1 s veľkosťou 384 bitov.
  • Hodnotou atribútu Common Name musí byť názov FQDN alebo aspoň názov počítača Edge Gateway.
  • Atribút Key Usage musí mať hodnoty critical, digitalSignature a keyEncipherment.
  • Atribút Extended Key Usage musí mať hodnotu serverAuth.

Akceptovaný formát certifikátu: P12.

Tento server používa jediný certifikát: certifikát na overovanie komponentu HTML5 Gateway voči komponentu SSL Router.

Informácie

Server HTML5 Gateway môže mať viacero inštancií HTML5 Gateway, čo vyžaduje toľko certifikátov, koľko je inštancií HTML5 Gateway (okrem špecifického prípadu architektúry Cluster).

Certifikát HTML5 Gateway

Certifikát komponentu HTML5 Gateway musí pre svoje atribúty spĺňať nasledujúce obmedzenia:

  • Obdobie platnosti certifikátu nesmie presiahnuť 1095 dní (3 roky).
  • Hašovacia funkcia použitá na podpis musí patriť do rodiny SHA-2; odporúčame SHA-512.
  • Certifikát a certifikáty jeho certifikačných autorít musia mať súkromný kľúč s dĺžkou aspoň 2048 bitov pri šifrovaní RSA, DSA a DH; kľúče eliptických kriviek (ECC) musia mať aspoň 224 bitov. Odporúčame veľkosť 4096 bitov pre RSA a krivku ECDSA secp384r1 s veľkosťou 384 bitov.
  • Atribút Common Name musí mať hodnotu, ktorá identifikuje logický komponent Edge Gateway. Tento názov má nasledujúci tvar <HTML5_GW_NAME>@<ORGANIZATION_NAME>, kde <HTML5_GW_NAME> zodpovedá názvu komponentu Edge Gateway (zadanému v konzole na správu) a <ORGANIZATION_NAME> zodpovedá názvu organizácie, ku ktorej sa komponent Edge Gateway pripojí.
  • Atribút Key Usage musí mať hodnoty critical a digitalSignature.
  • Atribút Extended Key Usage musí mať hodnotu clientAuth.

Akceptovaný formát certifikátu: P12.

Pri prevádzke v režime priameho prístupu používa agent nahrávania pre priamy prístup certifikát na overenie voči službe nahrávania komponentu Edge Gateway.

Certifikát musí pre svoje atribúty spĺňať nasledujúce obmedzenia:

  • Obdobie platnosti certifikátu nesmie presiahnuť 1095 dní (3 roky).
  • Hašovacia funkcia použitá na podpis musí patriť do rodiny SHA-2; odporúčame SHA-512.
  • Certifikát a certifikáty jeho certifikačných autorít musia mať súkromný kľúč s dĺžkou aspoň 2048 bitov pri šifrovaní RSA, DSA a DH; kľúče eliptických kriviek (ECC) musia mať aspoň 224 bitov. Odporúčame veľkosť 4096 bitov pre RSA a krivku ECDSA secp384r1 s veľkosťou 384 bitov.
  • Atribút Common Name musí mať ako hodnotu krátky názov, FQDN alebo akýkoľvek iný názov, ktorý jednoznačne identifikuje počítač. Tento názov slúži na identifikáciu a sledovanie akcií vykonaných na počítači.
  • Atribút Key Usage musí mať hodnoty critical a digitalSignature.
  • Atribút Extended Key Usage musí mať hodnotu clientAuth.

Akceptovaný formát certifikátu: P12.