Skoči na vsebino

Predpogoji za platformo CyberElements Bastion Standalone

Računalnik

Za namestitev CyberElements Bastion lahko uporabite fizične in navidezne računalnike.
Izdelek ne izvaja nobene virtualizacije, zato pri navideznih računalnikih ni treba omogočiti možnosti vgnezdene virtualizacije.

OS

CyberElements Bastion deluje na 64-bitnih računalnikih s sistemom Debian 12 (Bookworm).
Priporočamo uporabo računalnikov brez grafičnega vmesnika in omejitev nameščenih komponent na strežnik SSH.

CPU

Procesor s 4 jedri zadošča za večino primerov uporabe izdelka.

RAM

Pozor

Spodaj navedene vrednosti pomnilnika RAM so zgolj okvirne, saj na porabo pomnilnika RAM vpliva veliko spremenljivk (uporabljene funkcije izdelka ali elementi, nameščeni na računalniku vzporedno z izdelkom).

Poraba pomnilnika RAM je na splošno odvisna od števila hkratnih uporabnikov, ki jih platforma lahko sprejme:

  • Od 1 do 5 hkratnih uporabnikov: najmanj 2 GB pomnilnika RAM, priporočeno 4 GB.
  • Od 5 do 20 hkratnih uporabnikov: najmanj 4 GB pomnilnika RAM.
  • Za 20 ali več hkratnih uporabnikov: najmanj 8 GB pomnilnika RAM.

Poraba pomnilnika RAM je odvisna od števila hkratnih sej in vrst uporabljenih aplikacij.

Običajne vrednosti so naslednje:

  • Od 1 do 5 hkratnih uporabnikov: najmanj 2 GB pomnilnika RAM, priporočeno 4 GB.
  • Od 5 do 20 hkratnih uporabnikov: najmanj 4 GB pomnilnika RAM.
  • Za 20 ali več hkratnih uporabnikov: 8 GB pomnilnika RAM.

Upoštevajte, da lahko aplikacija RDP ali VNC brez agenta porabi do 400 MB na vsako zagnano aplikacijo.
Če se te vrste aplikacij intenzivno uporabljajo, priporočamo spremljanje porabe pomnilnika RAM, da lahko ustrezno prilagodite njegovo velikost.

Poraba pomnilnika RAM je odvisna od števila hkrati odprtih aplikacij HTML5.

Osnovni strežnik mora imeti za delovanje sistema 2 GB in še 50 MB za vsako hkratno aplikacijo HTML5.

Če je vloga HTML5 Gateway združena s strežnikom Edge Gateway, priporočeni količini pomnilnika RAM za strežnik Edge Gateway dodajte 50 MB za vsako hkratno aplikacijo HTML5.

Disk

Priporočamo particioniranje diska z LVM, kar zagotavlja večjo prilagodljivost, če je treba med uporabo spremeniti velikost računalnika.

Različne vrste strežnikov imajo različne vzorce uporabe diska, s prav tako različnimi količinami podatkov. Spodaj so informacije po vrsti strežnika:

Na tem strežniku se bo povečevala količina podatkov v naslednjih imenikih:

  • /var/log/: imenik z različnimi sistemskimi dnevniki.
  • /var/lib/postgresql/15/main/: imenik s podatki lokalne zbirke podatkov.
  • /var/ipdiva/: imenik s podatki, specifičnimi za izdelek.

Ločevanje različnih imenikov na ločene particije ni obvezno, je pa priporočljivo. Upoštevate lahko ta navodila:

Točka priklopa Možnosti Najmanjša velikost (GB)
/boot nosuid,nodev,noexec 1
/opt nosuid,nodev 1
/tmp nosuid,nodev 4
/srv nosuid,nodev 1
/home nosuid,nodev,noexec 6
/usr nodev 6
/var nosuid 5
/var/log nosuid,nodev,noexec 5
/var/tmp nosuid,nodev,noexec 2
swap Brez možnosti Odvisno od pomnilnika RAM (polovica manj)
/ Brez možnosti 2 GB ali več, odvisno od razpoložljivega prostora na disku

Primer

Za strežnik s 4 GB pomnilnika RAM (ki zahteva 2 GB prostora swap) je pri zgornjem particioniranju potrebnega najmanj 35 GB prostora na disku.

Na tem strežniku se bo povečevala količina podatkov v naslednjih imenikih:

  • /var/log/: imenik z različnimi sistemskimi dnevniki.
  • /var/lib/ipdiva/carerecord/recording/: imenik z arhivi, ki se trenutno snemajo; gre torej za imenik za začasno shranjevanje.
  • /var/lib/ipdiva/carerecord/archives/: privzeti imenik z grafičnimi arhivi izdelka.
  • /var/ipdiva/care/sshrecord/: privzeti imenik z negrafičnimi (SSH) arhivi izdelka.

Ločevanje različnih imenikov na ločene particije ni obvezno, je pa priporočljivo. Upoštevate lahko ta navodila:

Točka priklopa Možnosti Najmanjša velikost (GB)
/boot nosuid,nodev,noexec 1
/opt nosuid,nodev 1
/tmp nosuid,nodev 4
/srv nosuid,nodev 1
/home nosuid,nodev,noexec 6
/usr nodev 6
/var nosuid,nodev 5
/var/log nosuid,nodev,noexec 5
/var/tmp nosuid,nodev,noexec 2
swap Brez možnosti Odvisno od pomnilnika RAM (polovica manj)
/ Brez možnosti 2 GB ali več, odvisno od razpoložljivega prostora na disku

Primer

Za strežnik s 4 GB pomnilnika RAM (ki zahteva 2 GB prostora swap) je pri zgornjem particioniranju potrebnega najmanj 35 GB prostora na disku.

Vendar močno priporočamo, da za začasne ali dolgoročne grafične arhive točki priklopa /var dodelite več prostora na disku, razen če so arhivi shranjeni zunaj.

Na tem strežniku se bo povečevala količina podatkov v naslednjih imenikih:

  • /var/log/: imenik z različnimi sistemskimi dnevniki.
  • /home/systanciahtml5share/: imenik za začasno shranjevanje datotek, izmenjanih z aplikacijami HTML5.

Ločevanje različnih imenikov na ločene particije ni obvezno, je pa priporočljivo. Upoštevate lahko ta navodila:

Točka priklopa Možnosti Najmanjša velikost (GB)
/boot nosuid,nodev,noexec 1
/opt nosuid,nodev 1
/tmp nosuid,nodev 4
/srv nosuid,nodev 1
/home nosuid,nodev,noexec 6
/usr nodev 6
/var nosuid,nodev 5
/var/log nosuid,nodev,noexec 5
/var/tmp nosuid,nodev,noexec 2
swap Brez možnosti Odvisno od pomnilnika RAM (polovica manj)
/ Brez možnosti 2 GB ali več, odvisno od razpoložljivega prostora na disku

Primer

Za strežnik s 4 GB pomnilnika RAM (ki zahteva 2 GB prostora swap) je pri zgornjem particioniranju potrebnega najmanj 35 GB prostora na disku.

Omrežje

Platforma CyberElements Bastion Standalone bo zahtevala:

  • 2 naslova IP za strežnik Mediation Controller (na istem omrežnem vmesniku)
  • 1 naslov IP na računalnik Edge Gateway ali HTML5 Gateway

Strežnik Mediation Controller je običajno nameščen v DMZ, lahko pa je nameščen tudi v zasebnem DMZ ali gostovan v javnem oblaku. To je odvisno od primera uporabe platforme (na primer: oddaljeni dostop za ponudnike storitev ali zaščita notranjega dostopa do zaščitenih območij).

Strežniki Edge Gateway so običajno v omrežju LAN, v omrežjih VLAN, ki jim omogočajo komunikacijo s ciljnimi viri.

Strežnike HTML5 Gateway je mogoče namestiti v omrežje LAN ali v DMZ. Ta dokumentacija predvideva namestitev komponente HTML5 Gateway na strežnik Edge Gateway, torej v omrežje LAN.

Da bi lažje razlikovali različne naslove računalnikov, so v dokumentaciji poimenovani takole:

Ime naslova IP Pomen
IP_MED_WEB Primarni naslov IP strežnika Mediation Controller, ki omogoča dostop do spletnih konzol.
IP_MED_SSL Drugi naslov IP strežnika Mediation Controller, ki ga uporablja komponenta SSL Router.
IP_GW Naslov IP strežnika Edge Gateway.
IP_HTML5_GW Naslov IP strežnika HTML5 Gateway.

Informacije

Prikazane informacije o tokovih predpostavljajo, da je strežnik Mediation Controller v DMZ in da ima strežnik Edge Gateway, ki je v omrežju LAN, tudi vlogo HTML5 Gateway.

Naslovi IP strežnika Mediation Controller so lahko javni naslovi IP, ki so neposredno dodeljeni strežniku Mediation Controller, ali javni naslovi IP, ki so prek NAT preslikani v zasebne naslove IP (priporočeno).

Izvor Cilj Ciljna vrata Opombe
Delovna postaja uporabnika IP_MED_WEB TCP 443 (če uporabljate standardna vrata) Omogoča dostop do spletnih konzol in aplikacij, ki se izvajajo neposredno v brskalniku.
Delovna postaja uporabnika IP_MED_SSL TCP 443 (če uporabljate standardna vrata) Vzpostavitev tunela TLS za šifriranje toka, ki poteka prek odjemalca CyberElements Bastion.
IP_GW IP_MED_WEB TCP 443 (če uporabljate standardna vrata) Ko je komponenta Edge Gateway v oddaljenem omrežju. Povezava s sistemom pairinga komponente Edge Gateway.
IP_GW IP_MED_SSL TCP 443 (če uporabljate standardna vrata) Ko je komponenta Edge Gateway v oddaljenem omrežju. Povezava s komponento SSL Router za vzpostavitev tunela TLSv1.3 in usmerjanje komunikacije izdelka prek njega.
Izvor Cilj Ciljna vrata Opombe
IP_MED_WEB Skladišča Debian TCP 80 Potrebno za namestitev odvisnosti CyberElements Bastion in posodabljanje sistema. Dokumentacija in navidezne naprave uporabljajo ftp.fr.debian.org in security.debian.org.
IP_MED_WEB packages.microsoft.com TCP 443 Skladišče Microsoft za namestitev in posodabljanje gonilnikov MS SQL. Potrebno samo, če želite dostop do zbirke podatkov MS SQL (navidezne naprave imajo gonilnike MS SQL).
IP_MED_WEB Časovni strežnik NTP UDP 123 Izbirno, če mora strežnik sinhronizirati svojo uro s strežnikom v DMZ. Privzeto se uporabljajo skupine strežnikov Debian: 0.debian.pool.ntp.org, 1.debian.pool.ntp.org, 2.debian.pool.ntp.org in 3.debian.pool.ntp.org.
IP_MED_WEB Strežnik SMTP TCP 25, 465, 587 Potrebno, če je treba za pošiljanje e-poštnih sporočil uporabiti strežnik SMTP, ki je v omrežju WAN.
IP_MED_WEB Strežnik DNS UDP 53 Potrebno za razreševanje imen DNS. Lahko je v omrežju WAN ali v DMZ.
IP_MED_WEB api.neomia.ai TCP 443 (Izbirno) Povezava z vmesniki API izdelka MFA z vedenjsko biometrijo Neomia Pulse.
IP_MED_WEB EU: keepersecurity.eu
US: keepersecurity.com
AU: keepersecurity.com.au
CA: keepersecurity.ca
JP: keepersecurity.jp		 TCP 443 (Izbirno) Povezava s trezorjem Keeper EPM glede na njegovo lokacijo.
Izvor Cilj Ciljna vrata Opombe
IP_MED_WEB Časovni strežnik NTP UDP 123 Če mora strežnik sinhronizirati svojo uro s strežnikom v DMZ.
IP_MED_WEB Strežnik SMTP TCP 25, 465, 587 Potrebno, če je treba za pošiljanje e-poštnih sporočil uporabiti strežnik SMTP, ki je v DMZ.
IP_MED_WEB Strežnik zbirke podatkov TCP 1433, 5432 ali katera koli druga vrata po meri Potrebno, če želite uporabiti zunanjo zbirko podatkov, ki je v DMZ.
IP_MED_WEB Strežnik DNS UDP 53 Potrebno za razreševanje imen DNS. Lahko je v DMZ ali v omrežju WAN.
Izvor Cilj Ciljna vrata Opombe
IP_GW Skladišča Debian TCP 80 Potrebno za namestitev odvisnosti CyberElements Bastion in posodabljanje sistema. Dokumentacija in navidezne naprave uporabljajo ftp.fr.debian.org in security.debian.org.
IP_GW Strežnik DNS UDP 53 Potrebno za razreševanje DNS. Izbirno, če je strežnik DNS na voljo v omrežju LAN ali v DMZ.
IP_GW Časovni strežnik NTP UDP 123 Izbirno, če mora strežnik sinhronizirati uro s strežnikom v omrežju LAN ali v DMZ. Privzeto se uporabljajo skupine strežnikov Debian: 0.debian.pool.ntp.org, 1.debian.pool.ntp.org, 2.debian.pool.ntp.org in 3.debian.pool.ntp.org.
IP_GW Ponudnik storitev SMS TCP 443 (Izbirno) Povezava z API-ji ponudnikov storitev SMS, ki jih podpira CyberElements Bastion.
Izvor(i) Cilj(i) Ciljna vrata Opombe
IP_GW
IP_HTML5_GW		 IP_MED_WEB TCP 443 (če uporabljate standardna vrata) Povezava s sistemom pairinga komponente Edge Gateway.
IP_GW
IP_HTML5_GW		 IP_MED_SSL TCP 443 (če uporabljate standardna vrata) Povezava s komponento SSL Router za vzpostavitev tunela TLSv1.3 in usmerjanje komunikacije izdelka prek njega.
Delovna postaja odjemalca IP_MED_WEB TCP 443 (če uporabljate standardna vrata) Povezava z različnimi spletnimi konzolami izdelka.
Delovna postaja odjemalca IP_MED_SSL TCP 443 (če uporabljate standardna vrata) Vzpostavitev tunela TLS za šifriranje toka, ki poteka prek odjemalca CyberElements Bastion.
Delovna postaja skrbnika IP_MED_WEB TCP 22 Povezava SSH s strežnikom Mediation Controller.
Izvor Cilj Ciljna vrata Opombe
IP_GW Strežnik DNS UDP 53 Potrebno za razreševanje imen DNS. Izbirno, če se uporablja strežnik DNS v omrežju WAN ali v DMZ.
IP_GW Strežniki LDAP ali AD TCP 389 ali 636 Povezava CyberElements Bastion s strežnikom LDAP ali AD.
IP_GW Strežniki AD TCP 139 in 445 Rotacija gesel računov AD; uporablja se samo, če rotacija prek LDAPS ni mogoča.
IP_GW Strežniki RDP TCP/UDP 3389 (če uporabljate standardna vrata) Povezava iz CyberElements Bastion s strežniki RDP.
IP_GW Strežniki SSH TCP 22 (pri uporabi standardnih vrat) Povezava rešitve CyberElements Bastion s strežniki SSH.
IP_GW Strežniki VNC TCP 5900 (pri uporabi standardnih vrat) Povezava rešitve CyberElements Bastion s strežniki VNC.
IP_GW Spletni strežniki TCP 80 ali 443 (če uporabljate standardna vrata) Povezava iz CyberElements Bastion s spletnimi strežniki.
IP_GW Strežniki Citrix Storefront TCP 443 (pri uporabi standardnih vrat) Povezava rešitve CyberElements Bastion s strežniki Citrix Storefront.
IP_GW Aplikacijski strežniki Citrix TCP 1494 Povezava rešitve CyberElements Bastion z aplikacijskimi strežniki Citrix (zagon aplikacije ali namizja z odjemalcem ICA).
IP_GW Datotečni strežniki TCP 139 in 445 Povezava rešitve CyberElements Bastion z datotečnimi strežniki.
IP_GW Strežnik zbirke podatkov TCP 1433, 5432 ali katera koli druga vrata po meri Potrebno, če želite uporabiti zunanjo zbirko podatkov v omrežju LAN (na primer za premestitev zbirke podatkov Vault).
IP_GW Strežniki RDP TCP 139 in 445 Uvedba agenta za snemanje prek skrbniške konzole.
Delovna postaja odjemalca IP_GW TCP [vrata, ki jih določi skrbnik] Povezava za neposredni dostop SSH.
Delovna postaja odjemalca IP_GW TCP 3389 Povezava za neposredni dostop RDP.
Strežniki RDP IP_GW TCP 8443 Povezava med agentom za snemanje in komponento Edge Gateway za prenos posnetka uporabniške seje.
Delovna postaja skrbnika IP_GW TCP 22 Povezava SSH s strežnikom Edge Gateway.

Zbirka podatkov

CyberElements Bastion za delovanje uporablja različne zbirke podatkov.

  1. Zbirka podatkov za konfiguracijo sistema. V tej zbirki podatkov so shranjene vse nastavitve skrbniškega vmesnika /system. Pri namestitvi Standalone to zbirko podatkov ustvari in upravlja neposredno izdelek s strežnikom PostgreSQL, nameščenim na strežniku Mediation Controller.
  2. Zbirka podatkov za konfiguracijo organizacije. Vsaka organizacija, ustvarjena na strežniku Mediation Controller, bo potrebovala ločeno zbirko podatkov z vsemi nastavitvami in dnevniki organizacije. Ta zbirka podatkov običajno gostuje na strežniku Mediation Controller in v njegovi lokalni zbirki podatkov PostgreSQL, lahko pa jo premaknete tudi v DMZ ali LAN.
  3. Zbirka podatkov Vault. Vsaka ustvarjena organizacija sproži ustvarjanje posebne zbirke podatkov za Vault izdelka, ki je privzeto shranjena na strežniku Mediation Controller. To zbirko podatkov je mogoče prenesti v omrežje LAN, če lahko do nje dostopa komponenta Edge Gateway.

Pri uporabi zunanjih zbirk podatkov so podprte naslednje vrste zbirk podatkov:

Licenca

Strežnik Mediation Controller za delovanje potrebuje licenco.
Licenco lahko pridobite pri družbi Systancia z naslednjim obrazcem za zahtevo za licenco: Zahtevajte licenco

Potrdila

CyberElements Bastion za notranjo komunikacijo uporablja šifriranje TLS, za zaščito spletnega dostopa pa HTTPS, zato so potrebna različna potrdila x509. Spodnji podatki povzemajo različna zahtevana potrdila, njihov namen in minimalne nastavitve.

Varnostna omejitev potrdila

Ne glede na uporabljeno potrdilo zagotovite, da je skladno z varnostno ravnjo 2 knjižnice OpenSSL, ki jo lahko povzamemo takole:

  • Potrdilo in potrdila njegovih overiteljev potrdil morajo imeti zasebni ključ dolžine vsaj 2048 bitov pri šifriranju RSA, DSA in DH; ključi eliptičnih krivulj (ECC) morajo imeti vsaj 224 bitov.
  • Podpis potrdila ne sme biti MD5 ali SHA-1 (prednostno SHA-512).

Ta strežnik uporablja štiri različna potrdila:

  • Spletno potrdilo za omogočanje protokola HTTPS.
  • Potrdilo za komponento SSL Router, ki je odgovorna za vzpostavljanje tunelov TLS in usmerjanje prometa med njimi.
  • Potrdilo za komponento Watchdog, ki je odgovorna za nadzor pravilnega delovanja komponente SSL Router.
  • Potrdilo za odjemalca CyberElements Bastion, ki mu omogoča povezavo s komponento SSL Router in vzpostavitev tunela TLSv1.3.

Spletno potrdilo

Priporočilo

Spletno potrdilo naj po možnosti izda javni overitelj potrdil (CA), ki velja za zaupanja vrednega.
Tako uporabniki brez dodatnih ukrepov ne bodo prejemali nobenih alarmov, povezanih z uporabljenim potrdilom (če je veljavno in pokriva ime, s katerim je uporabnik vzpostavil povezavo). Uporaba potrdila, ki ga izda notranja infrastruktura PKI, zahteva uvedbo potrdila CA na uporabniških delovnih postajah.

Spletno potrdilo mora za svoje atribute izpolnjevati naslednje omejitve:

  • Obdobje veljavnosti potrdila ne sme presegati 398 dni (13 mesecev).
  • Zgoščevalna funkcija, uporabljena za podpis, mora spadati v družino SHA-2; priporočamo SHA-512.
  • Potrdilo in potrdila njegovih overiteljev potrdil morajo imeti zasebni ključ dolžine vsaj 2048 bitov pri šifriranju RSA, DSA in DH; ključi eliptičnih krivulj (ECC) morajo imeti vsaj 224 bitov. Priporočamo velikost 4096 bitov za RSA in krivuljo ECDSA secp384r1 velikosti 384 bitov.
  • Vrednost atributa Common Name mora biti ime DNS (ali ime z nadomestnim znakom), za katero je potrdilo namenjeno.
  • Atribut Key Usage mora imeti vrednosti critical, digitalSignature in keyEncipherment.
  • Atribut Extended Key Usage mora imeti vrednost id-kp-serverAuth (OpenSSL uporablja vrednost serverAuth).
  • Atribut Subject Alternative Name mora vsebovati vsaj en vnos, ki ustreza primarnemu imenu DNS; dodate lahko druge vnose, ki pokrivajo druga imena DNS ali naslove IP.

Sprejeta oblika potrdila: P12 ali PEM (z dvema datotekama, eno za potrdilo in eno za zasebni ključ).

Potrdilo SSL Router

Potrdilo SSL Router mora za svoje atribute izpolnjevati naslednje omejitve:

  • Obdobje veljavnosti potrdila ne sme presegati 1095 dni (3 leta).
  • Zgoščevalna funkcija, uporabljena za podpis, mora spadati v družino SHA-2; priporočamo SHA-512.
  • Potrdilo in potrdila njegovih overiteljev potrdil morajo imeti zasebni ključ dolžine vsaj 2048 bitov pri šifriranju RSA, DSA in DH; ključi eliptičnih krivulj (ECC) morajo imeti vsaj 224 bitov. Priporočamo velikost 4096 bitov za RSA in krivuljo ECDSA secp384r1 velikosti 384 bitov.
  • Vrednost atributa Common Name mora biti naslov IP ali ime DNS, ki preusmerja na IP_MED_SSL.
  • Atribut Key Usage mora imeti vrednosti critical, digitalSignature in keyEncipherment.
  • Atribut Extended Key Usage mora imeti vrednost serverAuth.

Sprejeta oblika potrdila: P12.

Potrdilo Watchdog

Potrdilo Watchdog mora za svoje atribute izpolnjevati naslednje omejitve:

  • Obdobje veljavnosti potrdila ne sme presegati 1095 dni (3 leta).
  • Zgoščevalna funkcija, uporabljena za podpis, mora spadati v družino SHA-2; priporočamo SHA-512.
  • Potrdilo in potrdila njegovih overiteljev potrdil morajo imeti zasebni ključ dolžine vsaj 2048 bitov pri šifriranju RSA, DSA in DH; ključi eliptičnih krivulj (ECC) morajo imeti vsaj 224 bitov. Priporočamo velikost 4096 bitov za RSA in krivuljo ECDSA secp384r1 velikosti 384 bitov.
  • Atribut Common Name mora imeti za vrednost ime, ki identificira Watchdog, na primer „Watchdog“.
  • Atribut Key Usage mora imeti vrednosti critical in digitalSignature.
  • Atribut Extended Key Usage mora imeti vrednost clientAuth.

Sprejeta oblika potrdila: P12.

Potrdilo odjemalca CyberElements Bastion

Potrdilo odjemalca CyberElements Bastion mora pri svojih atributih upoštevati naslednje omejitve:

  • Obdobje veljavnosti potrdila ne sme presegati 1095 dni (3 leta).
  • Zgoščevalna funkcija, uporabljena za podpis, mora spadati v družino SHA-2; priporočamo SHA-512.
  • Potrdilo in potrdila njegovih overiteljev potrdil morajo imeti zasebni ključ dolžine vsaj 2048 bitov pri šifriranju RSA, DSA in DH; ključi eliptičnih krivulj (ECC) morajo imeti vsaj 224 bitov. Priporočamo velikost 4096 bitov za RSA in krivuljo ECDSA secp384r1 velikosti 384 bitov.
  • Atribut Common Name mora imeti za vrednost identifikacijsko ime odjemalca, na primer „cyberelements-cleanroom-client“.
  • Atribut Key Usage mora imeti vrednosti critical in digitalSignature.
  • Atribut Extended Key Usage mora imeti vrednost clientAuth.

Sprejeta oblika potrdila: P12 z geslom, dolgim vsaj 8 alfanumeričnih znakov (posebni znaki, črke z diakritičnimi znamenji ali vezaji niso podprti).

Ta strežnik uporablja dve različni potrdili:

  • Eno potrdilo za preverjanje pristnosti komponente Edge Gateway pri komponenti SSL Router.
  • Potrdilo za storitev za snemanje, da se lahko agenti za snemanje povežejo z njo.

Informacije

Strežnik Edge Gateway ima lahko več primerkov Edge Gateway, za kar je potrebnih toliko potrdil, kolikor je primerkov Edge Gateway (razen v posebnem primeru arhitekture Cluster).

Strežnik Edge Gateway pa ima le eno storitev za snemanje, zato bo potrebno le eno potrdilo na računalnik.

Potrdilo komponente Edge Gateway

Potrdilo Edge Gateway mora za svoje atribute izpolnjevati naslednje omejitve:

  • Obdobje veljavnosti potrdila ne sme presegati 1095 dni (3 leta).
  • Zgoščevalna funkcija, uporabljena za podpis, mora spadati v družino SHA-2; priporočamo SHA-512.
  • Potrdilo in potrdila njegovih overiteljev potrdil morajo imeti zasebni ključ dolžine vsaj 2048 bitov pri šifriranju RSA, DSA in DH; ključi eliptičnih krivulj (ECC) morajo imeti vsaj 224 bitov. Priporočamo velikost 4096 bitov za RSA in krivuljo ECDSA secp384r1 velikosti 384 bitov.
  • Atribut Common Name mora imeti vrednost, ki identificira logično komponento Edge Gateway. To ime ima naslednjo obliko <GW_NAME>@<ORGANIZATION_NAME>, pri čemer <GW_NAME> ustreza imenu komponente Edge Gateway (kot je vneseno v skrbniški konzoli), <ORGANIZATION_NAME> pa ustreza imenu organizacije, s katero se bo komponenta Edge Gateway povezala.
  • Atribut Key Usage mora imeti vrednosti critical in digitalSignature.
  • Atribut Extended Key Usage mora imeti vrednost clientAuth.

Sprejeta oblika potrdila: P12.

Potrdilo storitve za snemanje

Potrdilo storitve za snemanje mora za svoje atribute upoštevati naslednje omejitve:

  • Obdobje veljavnosti potrdila ne sme presegati 1095 dni (3 leta).
  • Zgoščevalna funkcija, uporabljena za podpis, mora spadati v družino SHA-2; priporočamo SHA-512.
  • Potrdilo in potrdila njegovih overiteljev potrdil morajo imeti zasebni ključ dolžine vsaj 2048 bitov pri šifriranju RSA, DSA in DH; ključi eliptičnih krivulj (ECC) morajo imeti vsaj 224 bitov. Priporočamo velikost 4096 bitov za RSA in krivuljo ECDSA secp384r1 velikosti 384 bitov.
  • Vrednost atributa Common Name mora biti ime FQDN ali vsaj ime računalnika s komponento Edge Gateway.
  • Atribut Key Usage mora imeti vrednosti critical, digitalSignature in keyEncipherment.
  • Atribut Extended Key Usage mora imeti vrednost serverAuth.

Sprejeta oblika potrdila: P12.

Ta strežnik uporablja eno samo potrdilo: tisto za preverjanje pristnosti komponente HTML5 Gateway pri komponenti SSL Router.

Informacije

Strežnik HTML5 Gateway ima lahko več instanc HTML5 Gateway, kar zahteva toliko potrdil, kolikor je instanc HTML5 Gateway (razen v posebnem primeru arhitekture Cluster).

Potrdilo HTML5 Gateway

Potrdilo komponente HTML5 Gateway mora za svoje atribute upoštevati naslednje omejitve:

  • Obdobje veljavnosti potrdila ne sme presegati 1095 dni (3 leta).
  • Zgoščevalna funkcija, uporabljena za podpis, mora spadati v družino SHA-2; priporočamo SHA-512.
  • Potrdilo in potrdila njegovih overiteljev potrdil morajo imeti zasebni ključ dolžine vsaj 2048 bitov pri šifriranju RSA, DSA in DH; ključi eliptičnih krivulj (ECC) morajo imeti vsaj 224 bitov. Priporočamo velikost 4096 bitov za RSA in krivuljo ECDSA secp384r1 velikosti 384 bitov.
  • Atribut Common Name mora imeti vrednost, ki identificira logično komponento Edge Gateway. To ime ima naslednjo obliko <HTML5_GW_NAME>@<ORGANIZATION_NAME>, pri čemer <HTML5_GW_NAME> ustreza imenu komponente Edge Gateway (kot je vneseno v skrbniški konzoli), <ORGANIZATION_NAME> pa ustreza imenu organizacije, s katero se bo komponenta Edge Gateway povezala.
  • Atribut Key Usage mora imeti vrednosti critical in digitalSignature.
  • Atribut Extended Key Usage mora imeti vrednost clientAuth.

Sprejeta oblika potrdila: P12.

Za delovanje neposrednega dostopa agent za snemanje pri neposrednem dostopu uporablja potrdilo, s katerim preveri svojo pristnost pri storitvi za snemanje komponente Edge Gateway.

Potrdilo mora za svoje atribute upoštevati naslednje omejitve:

  • Obdobje veljavnosti potrdila ne sme presegati 1095 dni (3 leta).
  • Zgoščevalna funkcija, uporabljena za podpis, mora spadati v družino SHA-2; priporočamo SHA-512.
  • Potrdilo in potrdila njegovih overiteljev potrdil morajo imeti zasebni ključ dolžine vsaj 2048 bitov pri šifriranju RSA, DSA in DH; ključi eliptičnih krivulj (ECC) morajo imeti vsaj 224 bitov. Priporočamo velikost 4096 bitov za RSA in krivuljo ECDSA secp384r1 velikosti 384 bitov.
  • Atribut Common Name mora imeti za vrednost kratko ime, FQDN ali katero koli drugo ime, ki bo enolično identificiralo računalnik. To ime se uporablja za identifikacijo in sledenje dejanjem, izvedenim v računalniku.
  • Atribut Key Usage mora imeti vrednosti critical in digitalSignature.
  • Atribut Extended Key Usage mora imeti vrednost clientAuth.

Sprejeta oblika potrdila: P12.