Skoči na vsebino

Predpogoji za platformo CyberElements Bastion Cluster

Računalnik

Za namestitev CyberElements Bastion lahko uporabite fizične in navidezne računalnike.
Izdelek ne izvaja nobene virtualizacije, zato pri navideznih računalnikih ni treba omogočiti možnosti vgnezdene virtualizacije.

OS

CyberElements Bastion deluje na 64-bitnih računalnikih s sistemom Debian 12 (Bookworm).
Priporočamo uporabo računalnikov brez grafičnega vmesnika in omejitev nameščenih komponent na strežnik SSH.

CPU

Procesor s 4 jedri zadošča za večino primerov uporabe izdelka.

RAM

Pozor

Spodaj navedene vrednosti pomnilnika RAM so zgolj okvirne, saj na porabo pomnilnika RAM vpliva veliko spremenljivk (uporabljene funkcije izdelka ali elementi, nameščeni na računalniku vzporedno z izdelkom).

Poraba pomnilnika RAM je na splošno odvisna od števila hkratnih uporabnikov, ki jih platforma lahko sprejme:

  • Od 1 do 5 hkratnih uporabnikov: najmanj 2 GB pomnilnika RAM, priporočeno 4 GB.
  • Od 5 do 20 hkratnih uporabnikov: najmanj 4 GB pomnilnika RAM.
  • Za 20 ali več hkratnih uporabnikov: najmanj 8 GB pomnilnika RAM.

Poraba pomnilnika RAM je odvisna od števila hkratnih sej in vrst uporabljenih aplikacij.

Običajne vrednosti so naslednje:

  • Od 1 do 5 hkratnih uporabnikov: najmanj 2 GB pomnilnika RAM, priporočeno 4 GB.
  • Od 5 do 20 hkratnih uporabnikov: najmanj 4 GB pomnilnika RAM.
  • Za 20 ali več hkratnih uporabnikov: 8 GB pomnilnika RAM.

Upoštevajte, da lahko aplikacija RDP ali VNC brez agenta porabi do 400 MB na vsako zagnano aplikacijo.
Če se te vrste aplikacij intenzivno uporabljajo, priporočamo spremljanje porabe pomnilnika RAM, da lahko ustrezno prilagodite njegovo velikost.

Poraba pomnilnika RAM je odvisna od števila hkrati odprtih aplikacij HTML5.

Osnovni strežnik mora imeti za delovanje sistema 2 GB in še 50 MB za vsako hkratno aplikacijo HTML5.

Če je vloga HTML5 Gateway združena s strežnikom Edge Gateway, priporočeni količini pomnilnika RAM za strežnik Edge Gateway dodajte 50 MB za vsako hkratno aplikacijo HTML5.

Disk

Priporočamo particioniranje diska z LVM, kar zagotavlja večjo prilagodljivost, če je treba med uporabo spremeniti velikost računalnika.

Različne vrste strežnikov imajo različne vzorce uporabe diska, s prav tako različnimi količinami podatkov. Spodaj so informacije po vrsti strežnika:

Na tem strežniku se bo povečevala količina podatkov v naslednjih imenikih:

  • /var/log/: imenik z različnimi sistemskimi dnevniki.
  • /var/lib/postgresql/15/main/: imenik s podatki lokalne zbirke podatkov.
  • /var/ipdiva/: imenik s podatki, specifičnimi za izdelek.

Ločevanje različnih imenikov na ločene particije ni obvezno, je pa priporočljivo. Upoštevate lahko ta navodila:

Točka priklopa Možnosti Najmanjša velikost (GB)
/boot nosuid,nodev,noexec 1
/opt nosuid,nodev 1
/tmp nosuid,nodev 4
/srv nosuid,nodev 1
/home nosuid,nodev,noexec 6
/usr nodev 6
/var nosuid 5
/var/log nosuid,nodev,noexec 5
/var/tmp nosuid,nodev,noexec 2
swap Brez možnosti Odvisno od pomnilnika RAM (polovica manj)
/ Brez možnosti 2 GB ali več, odvisno od razpoložljivega prostora na disku

Primer

Za strežnik s 4 GB pomnilnika RAM (ki zahteva 2 GB prostora swap) je pri zgornjem particioniranju potrebnega najmanj 35 GB prostora na disku.

Na tem strežniku se bo povečevala količina podatkov v naslednjih imenikih:

  • /var/log/: imenik z različnimi sistemskimi dnevniki.
  • /var/lib/ipdiva/carerecord/recording/: imenik z arhivi, ki se trenutno snemajo; gre torej za imenik za začasno shranjevanje.
  • /var/lib/ipdiva/carerecord/archives/: privzeti imenik z grafičnimi arhivi izdelka.
  • /var/ipdiva/care/sshrecord/: privzeti imenik z negrafičnimi (SSH) arhivi izdelka.

Ločevanje različnih imenikov na ločene particije ni obvezno, je pa priporočljivo. Upoštevate lahko ta navodila:

Točka priklopa Možnosti Najmanjša velikost (GB)
/boot nosuid,nodev,noexec 1
/opt nosuid,nodev 1
/tmp nosuid,nodev 4
/srv nosuid,nodev 1
/home nosuid,nodev,noexec 6
/usr nodev 6
/var nosuid,nodev 5
/var/log nosuid,nodev,noexec 5
/var/tmp nosuid,nodev,noexec 2
swap Brez možnosti Odvisno od pomnilnika RAM (polovica manj)
/ Brez možnosti 2 GB ali več, odvisno od razpoložljivega prostora na disku

Primer

Za strežnik s 4 GB pomnilnika RAM (ki zahteva 2 GB prostora swap) je pri zgornjem particioniranju potrebnega najmanj 35 GB prostora na disku.

Vendar močno priporočamo, da za začasne ali dolgoročne grafične arhive točki priklopa /var dodelite več prostora na disku, razen če so arhivi shranjeni zunaj.

Na tem strežniku se bo povečevala količina podatkov v naslednjih imenikih:

  • /var/log/: imenik z različnimi sistemskimi dnevniki.
  • /home/systanciahtml5share/: imenik za začasno shranjevanje datotek, izmenjanih z aplikacijami HTML5.

Ločevanje različnih imenikov na ločene particije ni obvezno, je pa priporočljivo. Upoštevate lahko ta navodila:

Točka priklopa Možnosti Najmanjša velikost (GB)
/boot nosuid,nodev,noexec 1
/opt nosuid,nodev 1
/tmp nosuid,nodev 4
/srv nosuid,nodev 1
/home nosuid,nodev,noexec 6
/usr nodev 6
/var nosuid,nodev 5
/var/log nosuid,nodev,noexec 5
/var/tmp nosuid,nodev,noexec 2
swap Brez možnosti Odvisno od pomnilnika RAM (polovica manj)
/ Brez možnosti 2 GB ali več, odvisno od razpoložljivega prostora na disku

Primer

Za strežnik s 4 GB pomnilnika RAM (ki zahteva 2 GB prostora swap) je pri zgornjem particioniranju potrebnega najmanj 35 GB prostora na disku.

Omrežje

Platforma CyberElements Bastion Cluster potrebuje:

  • 2 dejanska naslova IP na strežnik Mediation Controller (na istem omrežnem vmesniku)
  • 3 navidezni naslovi IP za delovanje gruče
  • 1 naslov IP na računalnik Edge Gateway ali HTML5 Gateway

Dodatne informacije

Dejanski in navidezni naslovi IP strežnikov Mediation Controller morajo biti vsi v istem podomrežju.

Nezdružljivosti pri uporabi navideznih naslovov IP

Za navidezne naslove IP se uravnoteženje obremenitve upravlja z IPVS (IP Virtual Server).
Za pravilno delovanje uravnoteženja obremenitve mora biti izpolnjenih več predpogojev:

  • Onemogočite funkcije Reverse Path Forwarding (RPF) za strežnike Mediation Controller in naslove IP, ki jih uporabljajo ti računalniki.
  • Strežnikom Mediation Controller v VMware dodelite omrežno kartico E1000E namesto VMXNET3.

Strežniki Mediation Controller so običajno v DMZ, lahko pa so tudi v zasebni DMZ ali gostujejo v javnem oblaku. To je odvisno od primera uporabe platforme (na primer: oddaljeni dostop za ponudnike storitev ali zaščita notranjega dostopa do zaščitenih območij).

Strežniki Edge Gateway so običajno v omrežju LAN, v omrežjih VLAN, ki jim omogočajo komunikacijo s ciljnimi viri.

Strežnike HTML5 Gateway je mogoče namestiti v omrežje LAN ali v DMZ. Ta dokumentacija predvideva namestitev komponente HTML5 Gateway na strežnike Edge Gateway, tj. v omrežje LAN.

Da bi lažje razlikovali različne naslove računalnikov, so v dokumentaciji poimenovani takole:

Ime naslova IP Pomen
RIP_MED_WEB_MASTER Glavni naslov IP strežnika Mediation Controller MASTER, ki omogoča dostop do spletnih konzol.
RIP_MED_WEB_SLAVE Glavni naslov IP strežnika Mediation Controller SLAVE, ki omogoča dostop do spletnih konzol.
RIP_MED_SSL_MASTER Drugi naslov IP strežnika Mediation Controller MASTER, ki ga uporablja komponenta SSL Router.
RIP_MED_SSL_SLAVE Drugi naslov IP strežnika Mediation Controller SLAVE, ki ga uporablja komponenta SSL Router.
VIP_MED_WEB Navidezni naslov IP gruče Mediation Controller, ki omogoča dostop do spletnih konzol.
VIP_MED_SSL Navidezni naslov IP gruče Mediation Controller, ki omogoča dostop do komponente SSL Router.
VIP_MED_ZEO Navidezni naslov IP gruče Mediation Controller, ki omogoča dostop do notranje konfiguracijske zbirke podatkov izdelka.
IP_GW Naslov IP strežnika Edge Gateway.
IP_HTML5_GW Naslov IP strežnika HTML5 Gateway.

Informacije

Podatki o tokovih predpostavljajo, da so strežniki Mediation Controller v DMZ, strežniki Edge Gateway, ki delujejo tudi kot HTML5 Gateway, pa v omrežju LAN.

Naslovi IP strežnika Mediation Controller so lahko javni naslovi IP, ki so neposredno dodeljeni strežniku Mediation Controller, ali javni naslovi IP, ki so prek NAT preslikani v zasebne naslove IP (priporočeno).

Izvor Cilj Ciljna vrata Opombe
Delovna postaja uporabnika VIP_MED_WEB TCP 443 (pri uporabi standardnih vrat) Omogoča dostop do spletnih konzol in aplikacij, ki se izvajajo neposredno v brskalniku.
Delovna postaja uporabnika VIP_MED_SSL TCP 443 (pri uporabi standardnih vrat) Vzpostavitev tunela TLS za šifriranje toka, ki poteka prek odjemalca CyberElements Bastion.
IP_GW VIP_MED_WEB TCP 443 (pri uporabi standardnih vrat) Če je komponenta Edge Gateway v oddaljenem omrežju. Povezava s sistemom pairinga za Edge Gateway.
IP_GW VIP_MED_SSL TCP 443 (pri uporabi standardnih vrat) Če je komponenta Edge Gateway v oddaljenem omrežju. Povezava s komponento SSL Router za vzpostavitev tunela TLSv1.3 in usmerjanje komunikacije izdelka prek njega.
Izvor Cilj Ciljna vrata Opombe
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 Skladišča Debian TCP 80 Potrebno za namestitev odvisnosti za CyberElements Bastion in za sprotno posodabljanje sistema. Dokumentacija in navidezne naprave uporabljajo ftp.fr.debian.org in security.debian.org.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 packages.microsoft.com TCP 443 Skladišče Microsoft za namestitev in posodabljanje gonilnikov MS SQL. Potrebno le, če želite dostop do zbirke podatkov MS SQL (navidezne naprave že vsebujejo gonilnike MS SQL).
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 Časovni strežnik NTP UDP 123 Izbirno, če mora strežnik sinhronizirati uro s strežnikom v DMZ. Privzeto se uporabljajo skupine strežnikov Debian: 0.debian.pool.ntp.org, 1.debian.pool.ntp.org, 2.debian.pool.ntp.org in 3.debian.pool.ntp.org.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 Strežnik SMTP TCP 25, 465, 587 Potrebno, če je treba za pošiljanje e-pošte uporabiti strežnik SMTP, ki je v omrežju WAN.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 Strežnik DNS UDP 53 Potrebno za razreševanje DNS. Lahko je v omrežju WAN ali v DMZ.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 api.neomia.ai TCP 443 (Izbirno) Povezava z API-ji izdelka MFA z vedenjsko biometrijo Neomia Pulse.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 EU: keepersecurity.eu
US: keepersecurity.com
AU: keepersecurity.com.au
CA: keepersecurity.ca
JP: keepersecurity.jp		 TCP 443 (Izbirno) Povezava s trezorjem Keeper EPM glede na njegovo lokacijo.
Izvor Cilj Ciljna vrata Opombe
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 Časovni strežnik NTP UDP 123 Če mora strežnik sinhronizirati uro s strežnikom v DMZ.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 Strežnik SMTP TCP 25, 465, 587 Potrebno, če je treba za pošiljanje e-pošte uporabiti strežnik SMTP, ki je v DMZ.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 Strežnik zbirke podatkov TCP 1433, 5432 ali katera koli druga vrata po meri Potrebno, če želite uporabiti zunanjo zbirko podatkov v DMZ.
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 Strežnik DNS UDP 53 Potrebno za razreševanje DNS. Lahko je v DMZ ali v omrežju WAN.

Dodatne informacije

Strežnika Mediation Controller morata imeti možnost medsebojne komunikacije z vseh svojih naslovov in na vse svoje naslove, ne glede na protokol.

Izvor Cilj Ciljna vrata Opombe
IP_GW Skladišča Debian TCP 80 Potrebno za namestitev odvisnosti za CyberElements Bastion in za sprotno posodabljanje sistema. Dokumentacija in navidezne naprave uporabljajo ftp.fr.debian.org in security.debian.org.
IP_GW Strežnik DNS UDP 53 Potrebno za razreševanje DNS. Izbirno, če je strežnik DNS na voljo v omrežju LAN ali v DMZ.
IP_GW Časovni strežnik NTP UDP 123 Izbirno, če mora strežnik sinhronizirati uro s strežnikom v omrežju LAN ali v DMZ. Privzeto se uporabljajo skupine strežnikov Debian: 0.debian.pool.ntp.org, 1.debian.pool.ntp.org, 2.debian.pool.ntp.org in 3.debian.pool.ntp.org.
IP_GW Ponudnik storitev SMS TCP 443 (Izbirno) Povezava z API-ji ponudnikov storitev SMS, ki jih podpira CyberElements Bastion.
Izvor(i) Cilj Ciljna vrata Opombe
IP_GW
IP_HTML5_GW		 VIP_MED_WEB
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 TCP 443 (pri uporabi standardnih vrat) Povezava s sistemom pairinga za Edge Gateway.
IP_GW
IP_HTML5_GW		 VIP_MED_SSL
RIP_MED_SSL_MASTER
RIP_MED_SSL_SLAVE		 TCP 443 (pri uporabi standardnih vrat) Povezava s komponento SSL Router za vzpostavitev tunela TLSv1.3 in usmerjanje komunikacije izdelka prek njega.
Delovna postaja odjemalca VIP_MED_WEB
RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 TCP 443 (pri uporabi standardnih vrat) Povezava z različnimi spletnimi konzolami izdelka.
Delovna postaja odjemalca VIP_MED_SSL
RIP_MED_SSL_MASTER
RIP_MED_SSL_SLAVE		 TCP 443 (pri uporabi standardnih vrat) Vzpostavitev tunela TLS za šifriranje toka, ki poteka prek odjemalca CyberElements Bastion.
Delovna postaja skrbnika RIP_MED_WEB_MASTER
RIP_MED_WEB_SLAVE		 TCP 22 Povezava SSH s strežnikom Mediation Controller.
Izvor Cilj Ciljna vrata Opombe
IP_GW Strežnik DNS UDP 53 Potrebno za razreševanje DNS. Izbirno, če se uporablja strežnik DNS v omrežju WAN ali v DMZ.
IP_GW Strežniki LDAP ali AD TCP 389 ali 636 Povezava rešitve CyberElements Bastion s strežnikom LDAP ali AD.
IP_GW Strežniki AD TCP 139 in 445 Rotacija gesel računov AD; uporablja se le, če rotacija prek LDAPS ni mogoča.
IP_GW Strežniki RDP TCP/UDP 3389 (pri uporabi standardnih vrat) Povezava rešitve CyberElements Bastion s strežniki RDP.
IP_GW Strežniki SSH TCP 22 (pri uporabi standardnih vrat) Povezava rešitve CyberElements Bastion s strežniki SSH.
IP_GW Strežniki VNC TCP 5900 (pri uporabi standardnih vrat) Povezava rešitve CyberElements Bastion s strežniki VNC.
IP_GW Spletni strežniki TCP 80 ali 443 (pri uporabi standardnih vrat) Povezava rešitve CyberElements Bastion s spletnimi strežniki.
IP_GW Strežniki Citrix Storefront TCP 443 (pri uporabi standardnih vrat) Povezava rešitve CyberElements Bastion s strežniki Citrix Storefront.
IP_GW Aplikacijski strežniki Citrix TCP 1494 Povezava rešitve CyberElements Bastion z aplikacijskimi strežniki Citrix (zagon aplikacije ali namizja z odjemalcem ICA).
IP_GW Datotečni strežniki TCP 139 in 445 Povezava rešitve CyberElements Bastion z datotečnimi strežniki.
IP_GW Strežnik zbirke podatkov TCP 1433, 5432 ali katera koli druga vrata po meri Potrebno, če želite uporabiti zunanjo zbirko podatkov v omrežju LAN (na primer za premestitev zbirke podatkov Vault).
IP_GW Strežniki RDP TCP 139 in 445 Uvedba agenta za snemanje prek skrbniške konzole.
Delovna postaja odjemalca IP_GW TCP [vrata, ki jih določi skrbnik] Povezava za neposredni dostop SSH.
Delovna postaja odjemalca IP_GW TCP 3389 Povezava za neposredni dostop RDP.
Strežniki RDP IP_GW TCP 8443 Povezava med agentom za snemanje in komponento Edge Gateway za prenos posnetka uporabniške seje.
Delovna postaja skrbnika IP_GW TCP 22 Povezava SSH s strežnikom Edge Gateway.

Zbirka podatkov

CyberElements Bastion za delovanje uporablja različne zbirke podatkov.

  1. Konfiguracijska zbirka podatkov sistema. V tej zbirki podatkov so shranjene vse nastavitve skrbniškega vmesnika /system, imenovati se mora default.

    Pozor!

    Zbirko podatkov default morate ustvariti, preden se povežete z rešitvijo CyberElements Bastion (samodejno se ne ustvari).

  2. Konfiguracijska zbirka podatkov organizacije. Vsaka organizacija, ustvarjena na strežniku Mediation Controller, potrebuje ločeno zbirko podatkov, ki vsebuje vse nastavitve in dnevnike organizacije.

  3. Zbirka podatkov Vault. Za vsako ustvarjeno organizacijo se ustvari posebna zbirka podatkov za Vault izdelka, ki je privzeto shranjena na strežniku Mediation Controller. To zbirko podatkov je mogoče premestiti v omrežje LAN, če ima komponenta Edge Gateway dostop do nje.

Pri uporabi zunanjih zbirk podatkov (običajni primer pri arhitekturi Cluster) so podprte naslednje vrste zbirk podatkov:

Licenca

Strežnik Mediation Controller za delovanje potrebuje licenco.
Licenco lahko pridobite pri družbi Systancia z naslednjim obrazcem za zahtevo za licenco: Zahtevajte licenco

Potrdila

CyberElements Bastion za notranjo komunikacijo uporablja šifriranje TLS, za zaščito spletnega dostopa pa HTTPS, zato so potrebna različna potrdila x509. Spodnji podatki povzemajo različna zahtevana potrdila, njihov namen in minimalne nastavitve.

Varnostna omejitev potrdila

Ne glede na uporabljeno potrdilo zagotovite, da je skladno z varnostno ravnjo 2 knjižnice OpenSSL, ki jo lahko povzamemo takole:

  • Potrdilo in potrdila njegovih overiteljev potrdil morajo imeti zasebni ključ dolžine vsaj 2048 bitov pri šifriranju RSA, DSA in DH; ključi eliptičnih krivulj (ECC) morajo imeti vsaj 224 bitov.
  • Podpis potrdila ne sme biti MD5 ali SHA-1 (prednostno SHA-512).

Ta strežnik uporablja pet različnih potrdil:

  • Spletno potrdilo za omogočanje protokola HTTPS.
  • Potrdilo za komponento SSL Router, ki je odgovorna za vzpostavljanje tunelov TLS in usmerjanje prometa med njimi.
  • Potrdilo za komponento Watchdog, ki je odgovorna za nadzor pravilnega delovanja komponente SSL Router.
  • Potrdilo za odjemalca CyberElements Bastion, ki mu omogoča povezavo s komponento SSL Router in vzpostavitev tunela TLSv1.3.
  • Potrdilo za medstrežniško izmenjavo med strežnikoma Mediation Controller (samo za strežnik SLAVE).

Spletno potrdilo

Priporočilo

Spletno potrdilo naj po možnosti izda javni overitelj potrdil (CA), ki velja za zaupanja vrednega.
Tako uporabniki brez dodatnih ukrepov ne bodo prejemali nobenih alarmov, povezanih z uporabljenim potrdilom (če je veljavno in pokriva ime, s katerim je uporabnik vzpostavil povezavo). Uporaba potrdila, ki ga izda notranja infrastruktura PKI, zahteva uvedbo potrdila CA na uporabniških delovnih postajah.

Spletno potrdilo mora za svoje atribute izpolnjevati naslednje omejitve:

  • Obdobje veljavnosti potrdila ne sme presegati 398 dni (13 mesecev).
  • Zgoščevalna funkcija, uporabljena za podpis, mora spadati v družino SHA-2; priporočamo SHA-512.
  • Potrdilo in potrdila njegovih overiteljev potrdil morajo imeti zasebni ključ dolžine vsaj 2048 bitov pri šifriranju RSA, DSA in DH; ključi eliptičnih krivulj (ECC) morajo imeti vsaj 224 bitov. Priporočamo velikost 4096 bitov za RSA in krivuljo ECDSA secp384r1 velikosti 384 bitov.
  • Vrednost atributa Common Name mora biti ime DNS (ali ime z nadomestnim znakom), za katero je potrdilo namenjeno.
  • Atribut Key Usage mora imeti vrednosti critical, digitalSignature in keyEncipherment.
  • Atribut Extended Key Usage mora imeti vrednost id-kp-serverAuth (OpenSSL uporablja vrednost serverAuth).
  • Atribut Subject Alternative Name mora vsebovati vsaj en vnos, ki ustreza primarnemu imenu DNS; dodate lahko druge vnose, ki pokrivajo druga imena DNS ali naslove IP.

Sprejeta oblika potrdila: P12 ali PEM (z dvema datotekama, eno za potrdilo in eno za zasebni ključ).

Potrdilo SSL Router

Potrdilo SSL Router mora za svoje atribute izpolnjevati naslednje omejitve:

  • Obdobje veljavnosti potrdila ne sme presegati 1095 dni (3 leta).
  • Zgoščevalna funkcija, uporabljena za podpis, mora spadati v družino SHA-2; priporočamo SHA-512.
  • Potrdilo in potrdila njegovih overiteljev potrdil morajo imeti zasebni ključ dolžine vsaj 2048 bitov pri šifriranju RSA, DSA in DH; ključi eliptičnih krivulj (ECC) morajo imeti vsaj 224 bitov. Priporočamo velikost 4096 bitov za RSA in krivuljo ECDSA secp384r1 velikosti 384 bitov.
  • Vrednost atributa Common Name mora biti naslov IP ali ime DNS, ki preusmerja na IP_MED_SSL.
  • Atribut Key Usage mora imeti vrednosti critical, digitalSignature in keyEncipherment.
  • Atribut Extended Key Usage mora imeti vrednost serverAuth.

Sprejeta oblika potrdila: P12.

Potrdilo Watchdog

Potrdilo Watchdog mora za svoje atribute izpolnjevati naslednje omejitve:

  • Obdobje veljavnosti potrdila ne sme presegati 1095 dni (3 leta).
  • Zgoščevalna funkcija, uporabljena za podpis, mora spadati v družino SHA-2; priporočamo SHA-512.
  • Potrdilo in potrdila njegovih overiteljev potrdil morajo imeti zasebni ključ dolžine vsaj 2048 bitov pri šifriranju RSA, DSA in DH; ključi eliptičnih krivulj (ECC) morajo imeti vsaj 224 bitov. Priporočamo velikost 4096 bitov za RSA in krivuljo ECDSA secp384r1 velikosti 384 bitov.
  • Atribut Common Name mora imeti za vrednost ime, ki identificira Watchdog, na primer „Watchdog“.
  • Atribut Key Usage mora imeti vrednosti critical in digitalSignature.
  • Atribut Extended Key Usage mora imeti vrednost clientAuth.

Sprejeta oblika potrdila: P12.

Potrdilo odjemalca CyberElements Bastion

Potrdilo odjemalca CyberElements Bastion mora pri svojih atributih upoštevati naslednje omejitve:

  • Obdobje veljavnosti potrdila ne sme presegati 1095 dni (3 leta).
  • Zgoščevalna funkcija, uporabljena za podpis, mora spadati v družino SHA-2; priporočamo SHA-512.
  • Potrdilo in potrdila njegovih overiteljev potrdil morajo imeti zasebni ključ dolžine vsaj 2048 bitov pri šifriranju RSA, DSA in DH; ključi eliptičnih krivulj (ECC) morajo imeti vsaj 224 bitov. Priporočamo velikost 4096 bitov za RSA in krivuljo ECDSA secp384r1 velikosti 384 bitov.
  • Atribut Common Name mora imeti za vrednost identifikacijsko ime odjemalca, na primer „cyberelements-cleanroom-client“.
  • Atribut Key Usage mora imeti vrednosti critical in digitalSignature.
  • Atribut Extended Key Usage mora imeti vrednost clientAuth.

Sprejeta oblika potrdila: P12 z geslom, dolgim vsaj 8 alfanumeričnih znakov (posebni znaki, črke z diakritičnimi znamenji ali vezaji niso podprti).

Medstrežniško potrdilo

Medstrežniško potrdilo CyberElements Bastion mora pri svojih atributih upoštevati naslednje omejitve:

  • Obdobje veljavnosti potrdila ne sme presegati 1095 dni (3 leta).
  • Zgoščevalna funkcija, uporabljena za podpis, mora spadati v družino SHA-2; priporočamo SHA-512.
  • Potrdilo in potrdila njegovih overiteljev potrdil morajo imeti zasebni ključ dolžine vsaj 2048 bitov pri šifriranju RSA, DSA in DH; ključi eliptičnih krivulj (ECC) morajo imeti vsaj 224 bitov. Priporočamo velikost 4096 bitov za RSA in krivuljo ECDSA secp384r1 velikosti 384 bitov.
  • Atribut Common Name mora imeti za vrednost identifikacijsko ime, na primer „interserver-cleanroom“.
  • Atribut Key Usage mora imeti vrednosti critical in digitalSignature.
  • Atribut Extended Key Usage mora imeti vrednost clientAuth.

Sprejeta oblika potrdila: P12 z geslom, dolgim vsaj 8 znakov, brez posebnih znakov.

Ta strežnik uporablja dve različni potrdili:

  • Potrdilo za preverjanje pristnosti komponente Edge Gateway pri komponenti SSL Router.
  • Potrdilo za storitev za snemanje, da se lahko agenti za snemanje povežejo z njo.

Informacije

Strežnik Edge Gateway ima lahko več primerkov Edge Gateway, za kar je potrebnih toliko potrdil, kolikor je primerkov Edge Gateway (razen v posebnem primeru arhitekture Cluster).

Strežnik Edge Gateway pa ima le eno storitev za snemanje, zato bo potrebno le eno potrdilo na računalnik.

Potrdilo Edge Gateway

Potrdilo Edge Gateway mora za svoje atribute izpolnjevati naslednje omejitve:

  • Obdobje veljavnosti potrdila ne sme presegati 1095 dni (3 leta).
  • Zgoščevalna funkcija, uporabljena za podpis, mora spadati v družino SHA-2; priporočamo SHA-512.
  • Potrdilo in potrdila njegovih overiteljev potrdil morajo imeti zasebni ključ dolžine vsaj 2048 bitov pri šifriranju RSA, DSA in DH; ključi eliptičnih krivulj (ECC) morajo imeti vsaj 224 bitov. Priporočamo velikost 4096 bitov za RSA in krivuljo ECDSA secp384r1 velikosti 384 bitov.
  • Atribut Common Name mora imeti vrednost, ki identificira logično komponento Edge Gateway. To ime ima naslednjo obliko <GW_NAME>@<ORGANIZATION_NAME>, pri čemer <GW_NAME> ustreza imenu komponente Edge Gateway (kot je vneseno v skrbniški konzoli), <ORGANIZATION_NAME> pa ustreza imenu organizacije, s katero se bo komponenta Edge Gateway povezala.
  • Atribut Key Usage mora imeti vrednosti critical in digitalSignature.
  • Atribut Extended Key Usage mora imeti vrednost clientAuth.

Sprejeta oblika potrdila: P12.

Potrdilo storitve za snemanje

Potrdilo storitve za snemanje mora za svoje atribute upoštevati naslednje omejitve:

  • Obdobje veljavnosti potrdila ne sme presegati 1095 dni (3 leta).
  • Zgoščevalna funkcija, uporabljena za podpis, mora spadati v družino SHA-2; priporočamo SHA-512.
  • Potrdilo in potrdila njegovih overiteljev potrdil morajo imeti zasebni ključ dolžine vsaj 2048 bitov pri šifriranju RSA, DSA in DH; ključi eliptičnih krivulj (ECC) morajo imeti vsaj 224 bitov. Priporočamo velikost 4096 bitov za RSA in krivuljo ECDSA secp384r1 velikosti 384 bitov.
  • Vrednost atributa Common Name mora biti ime FQDN ali vsaj ime računalnika s komponento Edge Gateway.
  • Atribut Key Usage mora imeti vrednosti critical, digitalSignature in keyEncipherment.
  • Atribut Extended Key Usage mora imeti vrednost serverAuth.

Sprejeta oblika potrdila: P12.

Ta strežnik uporablja eno samo potrdilo: tisto za preverjanje pristnosti komponente HTML5 Gateway pri komponenti SSL Router.

Informacije

Strežnik HTML5 Gateway ima lahko več primerkov HTML5 Gateway, za kar je potrebnih toliko potrdil, kolikor je primerkov HTML5 Gateway (razen v posebnem primeru arhitekture Cluster).

Potrdilo HTML5 Gateway

Potrdilo komponente HTML5 Gateway mora za svoje atribute upoštevati naslednje omejitve:

  • Obdobje veljavnosti potrdila ne sme presegati 1095 dni (3 leta).
  • Zgoščevalna funkcija, uporabljena za podpis, mora spadati v družino SHA-2; priporočamo SHA-512.
  • Potrdilo in potrdila njegovih overiteljev potrdil morajo imeti zasebni ključ dolžine vsaj 2048 bitov pri šifriranju RSA, DSA in DH; ključi eliptičnih krivulj (ECC) morajo imeti vsaj 224 bitov. Priporočamo velikost 4096 bitov za RSA in krivuljo ECDSA secp384r1 velikosti 384 bitov.
  • Atribut Common Name mora imeti vrednost, ki identificira logično komponento Edge Gateway. To ime ima naslednjo obliko <HTML5_GW_NAME>@<ORGANIZATION_NAME>, pri čemer <HTML5_GW_NAME> ustreza imenu komponente Edge Gateway (kot je vneseno v skrbniški konzoli), <ORGANIZATION_NAME> pa ustreza imenu organizacije, s katero se bo komponenta Edge Gateway povezala.
  • Atribut Key Usage mora imeti vrednosti critical in digitalSignature.
  • Atribut Extended Key Usage mora imeti vrednost clientAuth.

Sprejeta oblika potrdila: P12.

Za delovanje neposrednega dostopa agent za snemanje pri neposrednem dostopu uporablja potrdilo, s katerim preveri svojo pristnost pri storitvi za snemanje komponente Edge Gateway.

Potrdilo mora za svoje atribute upoštevati naslednje omejitve:

  • Obdobje veljavnosti potrdila ne sme presegati 1095 dni (3 leta).
  • Zgoščevalna funkcija, uporabljena za podpis, mora spadati v družino SHA-2; priporočamo SHA-512.
  • Potrdilo in potrdila njegovih overiteljev potrdil morajo imeti zasebni ključ dolžine vsaj 2048 bitov pri šifriranju RSA, DSA in DH; ključi eliptičnih krivulj (ECC) morajo imeti vsaj 224 bitov. Priporočamo velikost 4096 bitov za RSA in krivuljo ECDSA secp384r1 velikosti 384 bitov.
  • Atribut Common Name mora imeti za vrednost kratko ime, FQDN ali katero koli drugo ime, ki bo enolično identificiralo računalnik. To ime se uporablja za identifikacijo in sledenje dejanjem, izvedenim v računalniku.
  • Atribut Key Usage mora imeti vrednosti critical in digitalSignature.
  • Atribut Extended Key Usage mora imeti vrednost clientAuth.

Sprejeta oblika potrdila: P12.