Благодарим за обратната връзка.

1

Изтеглете OVA файла на вашата локална машина за по-късна употреба.

2

Използвайте инструмента за настройка на HDS, за да създадете ISO конфигурационен файл за възлите за хибридна защита на данните.

3

Настройте хибридната VM машина за защита на данните

Създайте виртуална машина от файла OVA и извършете първоначална конфигурация, като мрежови настройки.

Опцията за конфигуриране на мрежови настройки по време на внедряване на OVA е тествана с ESXi 6.5. Възможно е опцията да не е налична в по-ранните версии.

4

Влезте в конзолата на VM и задайте идентификационните данни за вход. Конфигурирайте мрежови настройки за възела, ако не сте ги конфигурирали по време на внедряването на OVA.

5

Конфигурирайте VM от ISO конфигурационен файл , който сте създали с инструмента за настройка на HDS.

6

Ако мрежовата среда изисква конфигурация на прокси сървър, посочете типа прокси, който ще използвате за възела, и добавете прокси сертификата към хранилището за доверие, ако е необходимо.

7

Регистрирайте VM с облака на Cisco Webex като възел за хибридна защита на данните.

8

Завършете настройката на клъстера.

9

Изпълнете пробна версия и преминете към производство (следваща глава)

Докато не започнете пробна версия, вашите възли генерират аларма, показваща, че вашата услуга все още не е активирана.

Изтеглете инсталационни файлове

В тази задача изтегляте OVA файл на вашата машина (не на сървърите, които сте настройвам като възли за хибридна защита на данните). Използвате този файл по-късно в процеса на инсталиране.

1

Влезте вhttps://admin.webex.com и след това щракнете Услуги .

2

В секцията Хибридни услуги намерете картата за защита на хибридни данни и след това щракнете Настройте .

Ако картата е деактивирана или не я виждате, свържете се с екипа на акаунта си или с партньорската си организация. Дайте им номера на вашата сметка и поискайте да активирате вашата организация за хибридна защита на данните. За да намерите номера на сметката, щракнете върху зъбното колело горе вдясно до името на вашата организация.

Можете също да изтеглите OVA по всяко време от Помощ раздел за Настройки страница. На картата за защита на хибридни данни щракнете Редактиране на настройките за да отворите страницата. След това щракнете Изтеглете софтуера за хибридна защита на данните в Помощ раздел.

По-старите версии на софтуерния пакет (OVA) няма да са съвместими с най-новите надстройки за хибридна защита на данните. Това може да доведе до проблеми при надграждане на приложението. Уверете се, че сте изтеглили най-новата версия на файла OVA.

3

Изберете не за да посочите, че все още не сте настройвам възела, и след това щракнете Следваща .

OVA файлът автоматично започва да се изтегля. Запазете файла на място на вашата машина.

4

По желание щракнете Отворете Ръководство за разгръщане за да проверите дали има налична по-нова версия на това ръководство.

Създайте ISO конфигурация за HDS хостовете

Процесът на настройка на хибридната защита на данните създава ISO файл. След това използвате ISO , за да конфигурирате вашия хост за хибридна защита на данни.

Преди да започнете

Инструментът за настройка на HDS работи като Docker контейнер на локална машина. За да получите достъп до него, стартирайте Docker на тази машина. Процесът на настройка изисква идентификационни данни на акаунт в Control Hub с пълни администраторски права за вашата организация.

Ако инструментът за настройка на HDS работи зад прокси във вашата среда, предоставете настройките на прокси сървъра (сървър, порт, идентификационни данни) чрез променливите на средата на Docker, когато извеждате Docker контейнера в стъпка 5 . Тази таблица дава някои възможни променливи на средата:

Описание	Променлива
HTTP прокси без удостоверяване	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS прокси без удостоверяване	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP прокси с удостоверяване	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS прокси с удостоверяване	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Конфигурационният ISO файл, който генерирате, съдържа главния ключ, криптиращ PostgreSQL или базата данни на Microsoft SQL Server. Имате нужда от последното копие на този файл всеки път, когато правите промени в конфигурацията, като тези:
- Данни за база данни
- Актуализации на сертификата
- Промени в политиката за оторизация
Ако планирате да шифровате връзките към базата данни, настройвам внедряването на PostgreSQL или SQL Server за TLS.

1

В командния ред на вашата машина въведете подходящата команда за вашата среда:

В редовна среда:

docker rmi ciscocitg/hds-setup:stable

В FedRAMP среди:

docker rmi ciscocitg/hds-setup-fedramp:stable

Тази стъпка почиства предишни изображения на инструмента за настройка на HDS. Ако няма предишни изображения, той връща грешка, която можете да игнорирате.

2

За да влизам в регистъра на изображенията на Docker, въведете следното:

docker login -u hdscustomersro

3

При подкана за парола въведете този хеш:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Изтеглете най-новото стабилно изображение за вашата среда:

В редовна среда:

docker pull ciscocitg/hds-setup:stable

В FedRAMP среди:

docker pull ciscocitg/hds-setup-fedramp:stable

5

Когато изтеглянето завърши, въведете подходящата команда за вашата среда:

В обикновени среди без прокси:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

В обикновени среди с HTTP прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

В обикновени среди с HTTPS прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

В FedRAMP среди без прокси:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

В FedRAMP среди с HTTP прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

В FedRAMP среди с HTTPS прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Когато контейнерът работи, виждате „Експресно слушане на сървър на порт 8080“.

6

Инструментът за настройка не поддържа свързване към localhost чрез http://localhost:8080 . Използвайтеhttp://127.0.0.1:8080 за да се свържете с локален хост.

Използвайте уеб браузър, за да отидете на локалния хост, http://127.0.0.1:8080 и въведете потребителско име на администратор на клиента за Control Hub при подкана.

Инструментът използва това първо въвеждане на потребителското име, за да зададе подходящата среда за този акаунт. След това инструментът показва стандартната подкана за вход.

7

Когато бъдете подканени, въведете вашите идентификационни данни за вход на администратор на клиента Control Hub и след това щракнете Влезте за да разрешите достъп до необходимите услуги за хибридна защита на данните.

8

На страницата за преглед на инструмента за настройка щракнете Започнете .

9

На ISO импортиране страница, имате следните опции:

не —Ако създавате първия си HDS възел, нямате ISO файл за качване.
да —Ако вече сте създали HDS възли, тогава избирате своя ISO файл в прегледа и го качвате.

10

Проверете дали вашият сертификат X.509 отговаря на изискванията в X.509 Изисквания за сертификат .

Ако никога досега не сте качвали сертификат, качете сертификата X.509, въведете паролата и щракнете Продължете .
Ако сертификатът ви е ОК, щракнете Продължете .
Ако вашият сертификат е изтекъл или искате да го замените, изберете не за Да продължите ли да използвате верига за сертификати и частен ключ от предишен ISO? . Качете нов сертификат X.509, въведете паролата и щракнете Продължете .

11

Въведете адреса на базата данни и акаунт за HDS за достъп до вашето ключово хранилище за данни:

Изберете своя Тип база данни ( PostgreSQL или Microsoft SQL Server ).

Ако изберете Microsoft SQL Server , получавате поле Тип на удостоверяването .
( Microsoft SQL Server само) Изберете своя Тип на удостоверяването :
- Основно удостоверяване : Имате нужда от име на профила в SQL Server в Потребителско име поле.
- Удостоверяване на Windows : Нуждаете се от акаунт в Windows във формата username@DOMAIN в Потребителско име поле.
Въведете адреса на сървър на база с данни във формуляра <hostname>:<port> или <IP-address>:<port>.

Пример:
dbhost.example.org:1433 или 198.51.100.17:1433

Можете да използвате IP адрес за основно удостоверяване, ако възлите не могат да използват DNS за разрешаване на името на хоста.

Ако използвате удостоверяване на Windows, трябва да въведете напълно квалифицирано име на домейн във формата dbhost.example.org:1433
Въведете Име на базата данни .
Въведете Потребителско име и парола на потребител с всички привилегии в базата данни за съхранение на ключове.

12

Изберете a TLS режим на връзка с база данни :

Режим

Описание

Предпочитайте TLS (опция по подразбиране)

HDS възлите не изискват TLS за свързване към сървъра на сървър на база с данни. Ако активирате TLS на сървъра на сървър на база с данни, възлите се опитват да установят криптирана връзка.

Изисквайте TLS

HDS възлите се свързват само ако сървърът на сървър на база с данни може да договаря TLS.

Изисквайте TLS и потвърдете подписващия сертификат

Този режим не е приложим за бази данни на SQL Server.

HDS възлите се свързват само ако сървърът на сървър на база с данни може да договаря TLS.
След установяване на TLS връзка, възелът сравнява подписващия сертификат от сървър на база с данни с сертифициращия орган в главен сертификат на базата данни . Ако не съвпадат, възелът прекратява връзката.

Използвайте главен сертификат на базата данни контрол под падащото меню, за да качите главен сертификат за тази опция.

Изисквайте TLS и проверете подписващия сертификат и името на хоста

HDS възлите се свързват само ако сървърът на сървър на база с данни може да договаря TLS.
След установяване на TLS връзка, възелът сравнява подписващия сертификат от сървър на база с данни с сертифициращия орган в главен сертификат на базата данни . Ако не съвпадат, възелът прекратява връзката.
Възлите също така проверяват дали името на хоста в сертификат на сървъра съвпада с името на хоста в Хост на базата данни и порт поле. Имената трябва да съвпадат точно, или възелът прекъсва връзката.

Използвайте главен сертификат на базата данни контрол под падащото меню, за да качите главен сертификат за тази опция.

Когато качите главен сертификат (ако е необходимо) и щракнете Продължете , инструментът за настройка на HDS тества TLS връзката към сървъра на сървър на база с данни. Инструментът също така проверява подписващия сертификат и името на хоста, ако е приложимо. Ако тестът е неуспешен, инструментът показва съобщение за грешка, описващо проблема. Можете да изберете дали да игнорирате грешката и да продължите с настройката. (Поради разликите в свързаността, HDS възлите може да са в състояние да установят TLS връзката, дори ако машината с инструмент за настройка на HDS не може успешно да я тества.)

13

На страницата System Logs конфигурирайте вашия Syslogd сървър:

Въведете URL на syslog сървъра.

Ако сървърът не е DNS-разрешим от възлите за вашия HDS клъстер, използвайте IP адрес в URL.

Пример:
udp://10.92.43.23:514 показва регистриране към хост Syslogd 10.92.43.23 на UDP порт 514.
Ако сте настройвам вашия сървър да използва TLS криптиране, проверете Вашият syslog сървър конфигуриран ли е за SSL криптиране? .

Ако поставите отметка в това поле за отметка, уверете се, че сте въвели TCP URL , като напр tcp://10.92.43.23:514.
От Изберете прекратяване на запис на syslog падащо меню изберете подходящата настройка за вашия ISO файл: Изберете или Newline се използва за Graylog и Rsyslog TCP
- Нулев байт -- \x00
- Нов ред -- \n —Изберете този избор за Graylog и Rsyslog TCP.
Щракнете върху Продължаване.

14

(По избор) Можете да промените стойност по подразбиране за някои параметри на връзката към базата данни в Разширени настройки . По принцип този параметър е единственият, който може да искате да промените:

app_datasource_connection_pool_maxSize: 10

15

Щракнете върху Продължете на Нулиране на паролата за сервизни акаунти екран.

Паролите за акаунти за услуги имат деветмесечен живот. Използвайте този екран, когато паролите ви изтичат или искате да ги нулирате, за да анулирате предишни ISO файлове.

16

Щракнете върху Изтеглете ISO файл . Запазете файла на място, което е лесно за намиране.

17

Направете резервно копие на ISO файла във вашата локална система.

Пазете резервното копие сигурно. Този файл съдържа главен ключ за шифроване за съдържанието на базата данни. Ограничете достъпа само до онези администратори на Hybrid Data Security, които трябва да направят промени в конфигурацията.

18

За да изключите инструмента за настройка, въведете CTRL+C.

Какво да направите след това

Архивирайте конфигурационния ISO файл. Нуждаете се от него, за да създадете повече възли за възстановяване или да направите промени в конфигурацията. Ако загубите всички копия на ISO файла, вие също сте загубили главния ключ. Възстановяването на ключовете от вашата база данни PostgreSQL или Microsoft SQL Server не е възможно.

Никога нямаме копие на този ключ и не можем да помогнем, ако го загубите.

Инсталирайте HDS Host OVA

Използвайте тази процедура, за да създадете виртуална машина от OVA файла.

1

Използвайте VMware vSphere клиента на вашия компютър, за да влезете във виртуалния хост ESXi.

2

Изберете Файл > Внедряване на OVF шаблон .

3

В съветника посочете местоположението на файла OVA, който сте изтеглили по-рано, и след това щракнете Следваща .

4

На Изберете име и папка страница, въведете a Име на виртуална машина за възела (например „HDS_ Нode_ 1"), изберете местоположение, където може да се намира разгръщането на възела на виртуална машина , и след това щракнете Следваща .

5

На Изберете изчислителен ресурс страница, изберете целевия изчислителен ресурс и след това щракнете Следваща .

Изпълнява се проверка за валидиране. След като приключи, се появяват подробностите за шаблона.

6

Проверете детайлите на шаблона и след това щракнете Следваща .

7

Ако бъдете помолени да изберете конфигурацията на ресурса на Конфигурация страница, щракнете 4 CPU и след това щракнете Следваща .

8

На Изберете място за съхранение страница, щракнете Следваща за да приемете дисковия формат по подразбиране и политиката за съхранение на VM .

9

На Изберете мрежи страница, изберете опцията за мрежа от списъка с записи, за да осигурите желаната свързаност към VM.

10

На Персонализирайте шаблона страница, конфигурирайте следните мрежови настройки:

Име на хост — Въведете FQDN (име на хост и домейн) или име на хост от една дума за възела.

Не е необходимо да задавате домейна да съвпада с домейна, който сте използвали за получаване на сертификата X.509.
За да осигурите успешна регистрация в облака, използвайте само малки букви в FQDN или името на хост, които сте задали за възела. Понастоящем изписването с главни букви не се поддържа.
Общата дължина на FQDN не трябва да надвишава 64 знака.

IP адрес — Въведете IP адрес за вътрешния интерфейс на възела.

Вашият възел трябва да има вътрешен IP адрес и DNS име. DHCP не се поддържа.
маска — Въведете адреса на маска на подмрежата в десетична нотация. например 255.255.255.0 .
Портал — Въведете IP адрес на шлюза. Шлюзът е мрежов възел, който служи като точка на достъп до друга мрежа.
DNS сървъри — Въведете разделен със запетая списък с DNS сървъри, които обработват преобразуването на имена на домейни в цифрови IP адреси. (Разрешени са до 4 DNS записа.)
NTP сървъри — Въведете NTP сървър на вашата организация или друг външен NTP сървър , който може да се използва във вашата организация. NTP сървърите по подразбиране може да не работят за всички предприятия. Можете също да използвате разделен със запетая списък, за да въведете множество NTP сървъри.

Разположете всички възли в една и съща подмрежа или VLAN, така че всички възли в клъстер да са достъпни от клиенти във вашата мрежа за административни цели.

Ако предпочитате, можете да пропуснете конфигурацията на мрежовите настройки и да следвате стъпките в Настройте хибридната VM машина за защита на данните за да конфигурирате настройките от конзолата на възела.

Опцията за конфигуриране на мрежови настройки по време на внедряване на OVA е тествана с ESXi 6.5. Възможно е опцията да не е налична в по-ранните версии.

11

Щракнете с десния бутон върху възела VM и след това изберете Мощност > Включване .

Софтуерът Hybrid Data Security се инсталира като гост на VM Host. Вече сте готови да влизам в конзолата и да конфигурирате възела.

Съвети за отстраняване на неизправности

Може да изпитате закъснение от няколко минути, преди да излязат контейнерите на възела. Съобщение за мостова защитна стена се появява на конзолата по време на първото стартиране, по време на което не можете да влизам.

Настройте хибридната VM машина за защита на данните

Използвайте тази процедура, за да влизам в конзолата за VM на възела на хибридната защита на данните за първи път и да зададете идентификационните данни за вход. Можете също да използвате конзолата, за да конфигурирате мрежови настройки за възела, ако не сте ги конфигурирали по време на внедряването на OVA.

1	В клиента VMware vSphere изберете своя VM възел за хибридна защита на данните и изберете Конзола раздел. VM се зарежда и се появява подкана за влизане. Ако подканата за влизане не се покаже, натиснете Въведете .
2	Използвайте следното потребителско име и парола по подразбиране, за да влизам и промените идентификационните данни: Вход: `admin` Парола: `cisco` Тъй като влизате във вашата VM за първи път, от вас се изисква да промените паролата на администратор.
3	Ако вече сте конфигурирали мрежови настройки в Инсталирайте HDS Host OVA , пропуснете останалата част от тази процедура. В противен случай в главно меню изберете Редактиране на конфигурация опция.
4	Настройте статична конфигурация с информация за IP адрес, маска, шлюз и DNS . Вашият възел трябва да има вътрешен IP адрес и DNS име. DHCP не се поддържа.
5	(По избор) Променете името на хоста, домейна или NTP сървър(ите), ако е необходимо, за да съответства на вашата мрежова политика. Не е необходимо да задавате домейна да съвпада с домейна, който сте използвали за получаване на сертификата X.509.
6	Запазете мрежова конфигурация и рестартирайте VM , така че промените да влязат в сила.

Качете и монтирайте ISO конфигурацията на HDS

Използвайте тази процедура, за да конфигурирате виртуална машина от ISO файла, който сте създали с инструмента за настройка на HDS.

Преди да започнете

Тъй като ISO файлът съдържа главния ключ, той трябва да бъде изложен само на базата на „необходимост да се знае“ за достъп от хибридните виртуални машини за защита на данните и всички администратори, които може да се наложи да направят промени. Уверете се, че само тези администратори имат достъп до хранилището на данни.

1

Качете ISO файла от вашия компютър:

В левия навигационен панел на клиента VMware vSphere щракнете върху ESXi сървъра.
В списъка Хардуер на раздела Конфигурация щракнете Съхранение .
В списъка Datastores щракнете с щраквам с десния бутон върху хранилището на данни за вашите VM и щракнете Преглед на Datastore .
Щракнете върху иконата за качване на файлове и след това щракнете върху Качване на файл .
Отидете до мястото, където сте изтеглили ISO файла на вашия компютър и щракнете Отвори .
Щракнете върху да за да приемете предупреждението за операцията за качване/изтегляне и затворете диалоговия прозорец за съхранение на данни.

2

Монтирайте ISO файла:

В левия навигационен панел на клиента VMware vSphere щракнете с щраквам с десния бутон върху VM и щракнете Редактиране на настройките .
Щракнете върху ОК за да приемете предупреждението за ограничени опции за редактиране.
Щракнете върху CD/DVD Drive 1, изберете опцията за монтиране от ISO файл на хранилище за данни и прегледайте мястото, където сте качили конфигурационния ISO файл.
Проверете Свързани и Свържете при включване .
Запазете промените и рестартирайте виртуална машина.

Какво да направите след това

Ако вашата ИТ политика изисква, можете по избор да демонтирате ISO файла, след като всички ваши възли приемат промените в конфигурацията. Виж (По избор) Демонтирайте ISO след HDS конфигурация за подробности.

Конфигурирайте HDS възел за прокси интеграция

Ако мрежовата среда изисква прокси, използвайте тази процедура, за да посочите типа прокси, който искате да интегрирате с Hybrid Data Security. Ако изберете прозрачно прокси за проверка или HTTPS изрично прокси, можете да използвате интерфейса на възела, за да качите и инсталирате главен сертификат. Можете също да проверите прокси връзката от интерфейса и да отстраните евентуални проблеми.

Преди да започнете

Виж Прокси поддръжка за преглед на поддържаните прокси опции.
Изисквания за прокси сървър

1	Въведете URL за настройка на HDS възел `https://[HDS Node IP or FQDN]/setup` в уеб браузър, въведете администраторските идентификационни данни, които сте настройвам за възела, и след това щракнете Влезте .
2	Отидете на Доверен магазин и прокси и след това изберете опция: Без прокси —Опция по опция по подразбиране, преди да интегрирате прокси. Не се изисква актуализация на сертификата. Прозрачен прокси без проверка — Възлите не са конфигурирани да използват конкретен адрес на прокси сървър и не трябва да изискват никакви промени, за да работят с неинспектиращ прокси сървър. Не се изисква актуализация на сертификата. Прозрачен инспектиращ прокси — Възлите не са конфигурирани да използват конкретен адрес на прокси сървър . Не са необходими промени в конфигурацията на HTTPS при внедряването на хибридна защита на данните, но HDS възлите се нуждаят от главен сертификат , така че да имат доверие на прокси сървъра. Проверяващите прокси сървъри обикновено се използват от ИТ за налагане на политики за това кои уебсайтове могат да бъдат посещавани и кои видове съдържание не са разрешени. Този тип прокси декриптира целия ви трафик (дори HTTPS). Изрично прокси —С изричен прокси, вие казвате на клиента (HDS възли) кой прокси сървър да използва и тази опция поддържа няколко типа удостоверяване. След като изберете тази опция, трябва да въведете следната информация: Прокси IP/ FQDN — Адрес, който може да се използва за достигане до прокси машината. Прокси порт —Номер на номер на порт , който проксито използва за прослушване на прокси трафик. Прокси протокол — Изберете http (преглежда и контролира всички заявки, които се получават от клиента) или https (предоставя канал към сървъра, а клиентът получава и валидира сертификата на сървъра). Изберете опция въз основа на това, което поддържа вашият прокси сървър . Тип на удостоверяването — Изберете измежду следните типове удостоверяване: Няма — не се изисква допълнително удостоверяване. Предлага се за HTTP или HTTPS прокси сървъри. Основен —Използва се за HTTP потребителски агент за предоставяне на потребителско име и парола при отправяне на заявка. Използва Base64 кодиране. Предлага се за HTTP или HTTPS прокси сървъри. Ако изберете тази опция, трябва също да въведете потребителско име и парола. Дайджест —Използва се за потвърждение на акаунта преди изпращане на чувствителна информация. Прилага хеш функция върху потребителското име и паролата преди изпращане по мрежата. Предлага се само за HTTPS прокси сървъри. Ако изберете тази опция, трябва също да въведете потребителско име и парола. Следвайте следващите стъпки за прозрачно прокси за проверка, HTTP изрично прокси с основно удостоверяване или HTTPS изрично прокси.
3	Щракнете върху Качете главен сертификат или сертификат за краен обект и след това отидете до a изберете главен сертификат за прокси сървъра. Сертификатът е качен, но все още не е инсталиран, защото трябва да рестартирате възела, за да инсталирате сертификата. Щракнете върху стрелката на шеврон до името на издателя на сертификата, за да получите повече подробности, или щракнете Изтрийте ако сте направили грешка и искате да качите отново файла.
4	Щракнете върху Проверете прокси връзката за да тествате връзка с мрежата между възела и проксито. Ако тестът на връзката е неуспешен, ще видите съобщение за грешка , което показва причината и как можете да коригирате проблема. Ако видите съобщение, че външната DNS резолюция не е била успешна, възелът не е успял да достигне до DNS сървър. Това условие се очаква в много изрични прокси конфигурации. Можете да продължите с настройката и възелът ще функционира в режим на Blocked External DNS Resolution. Ако смятате, че това е грешка, изпълнете тези стъпки и след това вижте Изключете Blocked External DNS Resolution Mode .
5	След като тестът на връзката премине, за изрично прокси, настроено само на https, включете превключвателя на Насочете всички заявки към порт 443/444 https от този възел през изричния прокси сървър . Тази настройка изисква 15 секунди, за да влезе в сила.
6	Щракнете върху Инсталирайте всички сертификати в Trust Store (появява се за HTTPS изричен прокси или прозрачен проверяващ прокси) или Рестартирайте (появява се за HTTP изрично прокси), прочетете подканата и след това щракнете Инсталирайте ако си готов. Възелът се рестартира в рамките на няколко минути.
7	След като възелът се рестартира, влизам отново, ако е необходимо, и след това отворете Общ преглед страница, за да проверите проверките за свързаност, за да се уверите, че всички са в зелено състояние. Проверката на прокси връзката тества само поддомейн на webex.com. Ако има проблеми със свързването, често срещан проблем е, че някои от облачните домейни, изброени в инструкциите за инсталиране, се блокират на прокси сървъра.

Регистрирайте първия възел в клъстера

Тази задача приема общия възел, който сте създали в Настройте хибридната VM машина за защита на данните , регистрира възела в облака Webex и го превръща в възел за хибридна защита на данните.

Когато регистрирате първия си възел, вие създавате клъстер, към който е присвоен възелът. Клъстерът съдържа един или повече възли, разположени за осигуряване на излишък.

Преди да започнете

След като започнете регистрацията на възел, трябва да го завършите в рамките на 60 минути или трябва да започнете отначало.
Уверете се, че всички блокиращи изскачащи прозорци във вашия браузър са деактивирани или че сте разрешили изключение за admin.webex.com.

1	Влезте в https://admin.webex.com.
2	От менюто в лявата част на екрана изберете Услуги .
3	В секцията Хибридни услуги намерете Hybrid Data Security и щракнете Настройте . Появява се страницата Register Hybrid Data Security Node.
4	Изберете да за да посочите, че сте настройвам възела и сте готови да го регистрирате, и след това щракнете Следваща .
5	В първото поле въведете име за клъстера, към който искате да присвоите своя възел за хибридна защита на данните. Препоръчваме ви да назовете клъстер въз основа на това къде се намират възлите на клъстера географски. Примери: "Сан Франциско" или "Ню Йорк" или "Далас"
6	Във второто поле въведете вътрешния IP адрес или напълно квалифицирано име на домейн (FQDN) на вашия възел и щракнете Следваща . Този IP адрес или FQDN трябва да съвпада с IP адрес или името на хоста и домейна, в който сте използвали Настройте хибридната VM машина за защита на данните . Появява се съобщение, което показва, че можете да регистрирате своя възел в Webex.
7	Щракнете върху Отидете на Node .
8	Щракнете върху Продължете в предупредително съобщение. След няколко минути ще бъдете пренасочени към тестовете за свързване на възел за услугите на Webex . Ако всички тестове са успешни, се появява страницата Разрешаване на достъп до възел за защита на хибридни данни. Там потвърждавате, че искате да дадете разрешения на вашата Webex организация за достъп до вашия възел.
9	Проверете Разрешете достъп до вашия възел за защита на хибридни данни квадратче за отметка и след това щракнете Продължете . Вашият акаунт е валидиран и съобщението „Регистрацията е завършена“ показва, че вашият възел вече е регистриран в облака на Webex .
10	Щракнете върху връзката или затворете раздела, за да се върнете към страницата за защита на хибридните данни на Control Hub. На Хибридна сигурност на данните страница, се показва новият клъстер, съдържащ възела, който сте регистрирали. Възелът автоматично ще изтегли най-новия софтуер от облака.

Създайте и регистрирайте още възли

За да добавите допълнителни възли към вашия клъстер, просто създавате допълнителни VM и монтирате същия конфигурационен ISO файл, след което регистрирате възела. Препоръчваме ви да имате поне 3 възела.

По това време резервните виртуални машини, в които сте създали Изпълнете предпоставките за хибридна защита на данните са резервни хостове, които се използват само в случай на възстановяване след срив; дотогава те не са регистрирани в системата. За подробности вж Възстановяване при бедствия с помощта на Център за данни в режим на готовност .

Преди да започнете

След като започнете регистрацията на възел, трябва да го завършите в рамките на 60 минути или трябва да започнете отначало.
Уверете се, че всички блокиращи изскачащи прозорци във вашия браузър са деактивирани или че сте разрешили изключение за admin.webex.com.

1	Създайте нова виртуална машина от OVA, като повторите стъпките в Инсталирайте HDS Host OVA .
2	Настройте първоначалната конфигурация на новата VM, като повторите стъпките в Настройте хибридната VM машина за защита на данните .
3	На новата VM повторете стъпките в Качете и монтирайте ISO конфигурацията на HDS .
4	Ако настройвате прокси за внедряването си, повторете стъпките в Конфигурирайте HDS възел за прокси интеграция както е необходимо за новия възел.
5	Регистрирайте възела. Вhttps://admin.webex.com , изберете Услуги от менюто в лявата част на екрана. В секцията Хибридни услуги намерете картата за защита на хибридни данни и щракнете Ресурси . Появява се страницата Ресурси за защита на хибридните данни. Щракнете върху Добавяне на ресурс . В първото поле изберете името на съществуващия си клъстер. Във второто поле въведете вътрешния IP адрес или напълно квалифицирано име на домейн (FQDN) на вашия възел и щракнете Следваща . Появява се съобщение, което показва, че можете да регистрирате своя възел в облака на Webex . Щракнете върху Отидете на Node . След няколко минути ще бъдете пренасочени към тестовете за свързване на възел за услугите на Webex . Ако всички тестове са успешни, се появява страницата Разрешаване на достъп до възел за защита на хибридни данни. Там потвърждавате, че искате да дадете разрешения на вашата организация за достъп до вашия възел. Проверете Разрешете достъп до вашия възел за защита на хибридни данни квадратче за отметка и след това щракнете Продължете . Вашият акаунт е валидиран и съобщението „Регистрацията е завършена“ показва, че вашият възел вече е регистриран в облака на Webex . Щракнете върху връзката или затворете раздела, за да се върнете към страницата за защита на хибридните данни на Control Hub. Вашият възел е регистриран. Имайте предвид, че докато не започнете пробна версия, вашите възли генерират аларма, показваща, че вашата услуга все още не е активирана.

Какво да направите след това

Изпълнете пробна версия и преминете към производство (следваща глава)

Изпълнете пробна версия и преминете към производство

Поток на задачата от пробна и производствена

След като настройвам клъстер за хибридна защита на данни, можете да стартирате пилотен, да добавите потребители към него и да започнете да го използвате за тестване и проверка на внедряването си в подготовка за преминаване към производство.

Преди да започнете

В тази задача изтегляте OVA файл на вашата машина (не на сървърите, които сте настроили като възли за хибридна сигурност на данните). Използвате този файл по-късно в процеса на инсталиране.

1	Ако е приложимо, синхронизирайте `HdsTrialGroup` групов обект. Ако вашата организация използва синхронизиране на директории за потребители, трябва да изберете `HdsTrialGroup` групов обект за синхронизиране с облака, преди да можете да започнете пробна версия. За инструкции вижте Ръководство за разгръщане на Cisco Directory Connector.
2	Активирайте пробна версия Започнете изпитание. Докато не изпълните тази задача, вашите възли генерират аларма, показваща, че услугата все още не е активирана.
3	Тествайте внедряването на вашата хибридна защита на данните Проверете дали ключовите заявки преминават към внедряването на вашата хибридна защита на данните.
4	Наблюдавайте здравето на хибридната защита на данните Проверете състоянието и настройвам известия по имейл за аларми.
5	Добавяне или премахване на потребители от вашия пробен период
6	Завършете пробната фаза с едно от следните действия: Преминете от пробна версия към производствена Прекратете пробния си период, без да преминете към производство

Активирайте пробна версия

Преди да започнете

Ако вашата организация използва синхронизиране на директории за потребители, трябва да изберете HdsTrialGroup групов обект за синхронизиране с облака, преди да можете да започнете пробна версия за вашата организация. За инструкции вижте Ръководство за разгръщане на Cisco Directory Connector.

1	Влезте вhttps://admin.webex.com и след това изберете Услуги .
2	Под Hybrid Data Security щракнете върху Настройки .
3	В секцията Състояние на услугата щракнете Започнете пробна версия . Състоянието на услугата се променя на пробен режим.
4	Щракнете върху Добавяне на потребители и въведете имейл адрес на един или повече потребители за пилотно използване на вашите възли за хибридна защита на данните за услуги за криптиране и индексиране. (Ако вашата организация използва синхронизиране на директории, използвайте Active Directory , за да управлявате пробната група, `HdsTrialGroup`.)

Тествайте внедряването на вашата хибридна защита на данните

Използвайте тази процедура, за да тествате сценарии за криптиране на хибридна защита на данните.

Преди да започнете

Настройте внедряването на хибридната защита на данните.
Активирайте пробната версия и добавете няколко пробни потребители.
Уверете се, че имате достъп до системния журнал, за да проверите дали ключовите заявки се предават към внедряването на хибридната защита на данните.

1

Ключовете за дадено пространство се задават от създателя на пространството. Влезте в приложението Webex като един от пилотните потребители и след това създайте пространство и поканете поне един пилотен потребител и един непилотен потребител.

Ако деактивирате внедряването на хибридна защита на данните, съдържанието в пространствата, които пилотните потребители създават, вече няма да бъде достъпно, след като кешираните от клиента копия на ключовете за криптиране бъдат заменени.

2

Изпращайте съобщения до новото пространство.

3

Проверете изхода на системния журнал, за да се уверите, че ключовите заявки преминават към вашето внедряване на хибридна защита на данните.

За да проверите дали потребител първо установява защитен канал към KMS, филтрирайте kms.data.method=create и kms.data.type=EPHEMERAL_KEY_COLLECTION:

Трябва да намерите запис като следния (идентификаторите, съкратени за четливост):

2020-07-21 17:35:34.562 (+0000) INFO  KMS [pool-14-thread-1] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms://hds2.org5.portun.us/statickeys/3[~]0 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=EPHEMERAL_KEY_COLLECTION, 
kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2

За да проверите за потребител, който иска съществуващ ключ от KMS, филтрирайте kms.data.method=retrieve и kms.data.type=KEY:

Трябва да намерите запис като:

2020-07-21 17:44:19.889 (+0000) INFO  KMS [pool-14-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=retrieve, 
kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriHost=ciscospark.com, kms.data.type=KEY, 
kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b

За да проверите за потребител, който иска създаване на нов KMS ключ, филтрирайте kms.data.method=create и kms.data.type=KEY_COLLECTION:

Трябва да намерите запис като:

2020-07-21 17:44:21.975 (+0000) INFO  KMS [pool-14-thread-33] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, 
kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, 
kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b

За да проверите за потребител, който иска създаването на нов KMS Resource Object (KRO), когато се създаде пространство или друг защитен ресурс, филтрирайте върху kms.data.method=create и kms.data.type=RESOURCE_COLLECTION:

Трябва да намерите запис като:

2020-07-21 17:44:22.808 (+0000) INFO  KMS [pool-15-thread-1] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

Наблюдавайте здравето на хибридната защита на данните

индикатор на състоянието в Control Hub ви показва дали всичко е наред с внедряването на хибридната защита на данните. За по-проактивни сигнали, записвам се за известия по имейл. Ще бъдете уведомени, когато има аларми, засягащи услугата, или надстройки на софтуера.

1	В Контролен център , изберете Услуги от менюто в лявата част на екрана.
2	В секцията Хибридни услуги намерете Hybrid Data Security и щракнете Настройки . Появява се страницата Настройки за защита на хибридните данни.
3	В секцията Известия по Имейл въведете един или повече имейл адреси, разделени със запетаи, и натиснете Въведете .

Добавяне или премахване на потребители от вашия пробен период

След като активирате пробен период и сте добавили първоначалния набор от потребители на пробния период, можете да добавяте или премахвате членове на пробния период по всяко време, докато пробният период е активен.

Ако премахнете потребител от пробната версия, клиентът на потребителя ще поиска ключове и създаване на ключ от облачния KMS вместо от вашия KMS. Ако клиентът се нуждае от ключ, който се съхранява във вашия KMS, облачният KMS ще го извлече от името на потребителя.

Ако вашата организация използва синхронизиране на директории, използвайте Active Directory (вместо тази процедура), за да управлявате пробната група, HdsTrialGroup; можете да видите членовете на групата в Control Hub, но не можете да ги добавяте или премахвате.

1	Влезте в Control Hub и след това изберете Услуги .
2	Под Hybrid Data Security щракнете върху Настройки .
3	В секцията Пробен режим на зоната Състояние на услугата щракнете Добавяне на потребители , или щракнете преглед и редактиране за да премахнете потребителите от пробния период.
4	Въведете имейл адрес на един или повече потребители, които да добавите, или щракнете върху X чрез ИД на потребител , за да премахнете потребителя от пробната версия. След това щракнете Запазете .

Преминете от пробна версия към производствена

Когато сте доволни, че внедряването ви работи добре за пробните потребители, можете да преминете към производство. Когато преминете към производство, всички потребители в организацията ще използват вашия в помещението домейн за хибридна защита на данните за ключове за криптиране и други услуги от сферата на сигурността. Не можете да се върнете обратно към пробен режим от производство, освен ако не деактивирате услугата като част от възстановяване след срив. Повторното активиране на услугата изисква да настройвам нов пробен период.

1	Влезте в Control Hub и след това изберете Услуги .
2	Под Hybrid Data Security щракнете върху Настройки .
3	В секцията Състояние на услугата щракнете Преминете към Производство .
4	Потвърдете, че искате да преместите всичките си потребители в производствения режим.

Прекратете пробния си период, без да преминете към производство

Ако по време на пробния период решите да не продължите с внедряването на хибридната защита на данните, можете да деактивирате хибридната защита на данните, което приключва пробния период и премества пробните потребители обратно към услугите за сигурност на облачните данни. Потребителите на пробния период ще загубят достъп до данните, които са били криптирани по време на пробния период.

1	Влезте в Control Hub и след това изберете Услуги .
2	Под Hybrid Data Security щракнете върху Настройки .
3	В секцията Деактивиране щракнете Деактивирайте .
4	Потвърдете, че искате да деактивирате услугата и да прекратите пробния период.

Управлявайте внедряването на HDS

Управление на внедряването на HDS

Използвайте описаните тук задачи, за да управлявате внедряването на вашата хибридна защита на данните.

Задайте график за надграждане на клъстер

Софтуерните надстройки за хибридна защита на данните се извършват автоматично на ниво клъстер, което гарантира, че всички възли винаги работят с една и съща версия на софтуер. Надстройките се извършват според графика за надграждане на клъстера. Когато надстройката на софтуера стане налична, имате възможност да надстроите ръчно клъстера преди планираното време за надстройка. Можете да зададете конкретен график за надграждане или да използвате графика по подразбиране от 3:00 часа AM всеки ден Съединени щати: Америка/Лос Анджелис. Можете също да изберете да отложите предстояща надстройка, ако е необходимо.

За да зададете графика за надстройка:

1	Влезте в Контролен център .
2	На страницата Общ преглед под Хибридни услуги изберете Хибридна сигурност на данните .
3	На страницата Ресурси за защита на хибридни данни изберете клъстера.
4	В панела Преглед вдясно под Настройки на клъстера изберете името на клъстера.
5	На страницата Настройки, под Надстройка, изберете часа и часова зона за графика за надстройка. Забележка: Под часова зона се показва следващата налична дата и час за надстройка. Можете да отложите надстройката за следващия ден, ако е необходимо, като щракнете Отложете .

Променете конфигурацията на възела

Понякога може да се наложи да промените конфигурацията на вашия възел за хибридна защита на данните поради причина като:

Промяна на сертификати x.509 поради изтичане или други причини.

Не поддържаме промяна на име на домейн на сертификат. Домейнът трябва да съвпада с оригиналния домейн, използван за регистриране на клъстера.

Актуализиране на настройките на базата данни за промяна на реплика на базата данни PostgreSQL или Microsoft SQL Server.

Не поддържаме мигриране на данни от PostgreSQL към Microsoft SQL Server или по обратния начин. За да превключите средата на базата данни, започнете ново внедряване на хибридна защита на данните.

Създаване на нова конфигурация за подготовка на нов център за данни.

Също така, за целите на сигурността, Hybrid Data Security използва пароли за акаунт на услуга, които имат деветмесечен живот. След като инструментът за настройка на HDS генерира тези пароли, вие ги разгръщате във всеки от вашите HDS възли в ISO конфигурационния файл. Когато паролите на вашата организация изтичат, получавате известие от екипа на Webex да нулирате паролата за вашия акаунт на машината. (Имейлът включва текста „Използвайте API на акаунта на машината, за да актуализирате паролата.“) Ако вашите пароли все още не са изтекли, инструментът ви дава две опции:

Меко нулиране — И старата, и новата парола работят до 10 дни. Използвайте този период, за да замените постепенно ISO файла на възлите.
Твърдо нулиране —Старите пароли спират да работят незабавно.

Ако вашите пароли изтичат без нулиране, това се отразява на вашата HDS услуга, изисквайки незабавно твърдо нулиране и подмяна на ISO файла на всички възли.

Използвайте тази процедура, за да генерирате нов конфигурационен ISO файл и да го приложите към вашия клъстер.

Преди да започнете

Инструментът за настройка на HDS работи като Docker контейнер на локална машина. За да получите достъп до него, стартирайте Docker на тази машина. Процесът на настройка изисква идентификационни данни на акаунт в Control Hub с пълни администраторски права за вашата организация.

Ако инструментът за настройка на HDS работи зад прокси във вашата среда, предоставете настройките на прокси сървъра (сървър, порт, идентификационни данни) чрез променливите на средата на Docker, когато извеждате контейнера на Docker в 1.д . Тази таблица дава някои възможни променливи на средата:

Описание	Променлива
HTTP прокси без удостоверяване	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS прокси без удостоверяване	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP прокси с удостоверяване	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS прокси с удостоверяване	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Имате нужда от копие на текущия конфигурационен ISO файл, за да генерирате нова конфигурация. ISO съдържа главния ключ, криптиращ PostgreSQL или базата данни на Microsoft SQL Server. Имате нужда от ISO , когато правите промени в конфигурацията, включително идентификационни данни на базата данни, актуализации на сертификати или промени в политиката за оторизация.

1

Като използвате Docker на локална машина, стартирайте инструмента за настройка на HDS.

В командния ред на вашата машина въведете подходящата команда за вашата среда:

В редовна среда:

docker rmi ciscocitg/hds-setup:stable

В FedRAMP среди:

docker rmi ciscocitg/hds-setup-fedramp:stable

Тази стъпка почиства предишни изображения на инструмента за настройка на HDS. Ако няма предишни изображения, той връща грешка, която можете да игнорирате.

За да влизам в регистъра на изображенията на Docker, въведете следното:
```
docker login -u hdscustomersro
```
При подкана за парола въведете този хеш:
```
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
```

Изтеглете най-новото стабилно изображение за вашата среда:

В редовна среда:

docker pull ciscocitg/hds-setup:stable

В FedRAMP среди:

docker pull ciscocitg/hds-setup-fedramp:stable

Уверете се, че сте изтеглили най-новия инструмент за настройка за тази процедура. Версиите на инструмента, създадени преди 22 февруари 2018 г., нямат екрани за нулиране на паролата.

Когато изтеглянето завърши, въведете подходящата команда за вашата среда:

В обикновени среди без прокси:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

В обикновени среди с HTTP прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

В обикновени среди с HTTPSproxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

В FedRAMP среди без прокси:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

В FedRAMP среди с HTTP прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

В FedRAMP среди с HTTPS прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Когато контейнерът работи, виждате „Експресно слушане на сървър на порт 8080“.

Използвайте браузър, за да се свържете с локалния хост, http://127.0.0.1:8080.

Инструментът за настройка не поддържа свързване към localhost чрез http://localhost:8080 . Използвайтеhttp://127.0.0.1:8080 за да се свържете с локален хост.

Когато бъдете подканени, въведете вашите идентификационни данни за влизане в Control Hub и след това щракнете Приемам да продължи.
Импортирайте текущия конфигурационен ISO файл.
Следвайте подканите, за да завършите инструмента и да изтеглите актуализирания файл.

За да изключите инструмента за настройка, въведете CTRL+C.
Създайте резервно копие на актуализирания файл в друг център за данни.

2

Ако имате работещ само един HDS възел , създайте нов VM на възел за хибридна защита на данните и го регистрирайте с помощта на новия конфигурационен ISO файл. За по-подробни инструкции вж Създайте и регистрирайте още възли .

Инсталирайте HDS хост OVA.
Настройте HDS VM.
Монтирайте актуализирания конфигурационен файл.
Регистрирайте новия възел в Control Hub.

3

За съществуващи HDS възли, които изпълняват по-стария конфигурационен файл, монтирайте ISO файла. Изпълнете следната процедура на всеки възел на свой ред, като актуализирате всеки възел, преди да изключите следващия възел:

Изключете виртуална машина.
В левия навигационен панел на клиента VMware vSphere щракнете с щраквам с десния бутон върху VM и щракнете Редактиране на настройките .
Щракнете върху CD/DVD Drive 1, изберете опцията за монтиране от ISO файл и прегледайте мястото, където сте изтеглили новия конфигурационен ISO файл.
Проверете Свържете при включване .
Запазете промените си и включете виртуална машина.

4

Повторете стъпка 3, за да замените конфигурацията на всеки останал възел, който изпълнява старата конфигурация.

Изключете Blocked External DNS Resolution Mode

Когато регистрирате възел или проверявате прокси конфигурацията на възела, процесът тества търсенето на DNS и свързаността с облака на Cisco Webex . Ако DNS сървър на възела не може да разреши публични DNS имена, възелът автоматично преминава в режим на Blocked External DNS Resolution.

Ако вашите възли са в състояние да разрешават публични DNS имена чрез вътрешни DNS сървъри, можете да изключите този режим, като стартирате повторно теста за прокси връзка на всеки възел.

Преди да започнете

Уверете се, че вашите вътрешни DNS сървъри могат да разрешават публични DNS имена и че вашите възли могат да комуникират с тях.

1	В уеб браузър отворете интерфейса на възела на хибридната защита на данните (IP адрес/настройка, например,https://192.0.2.0/setup), въведете администраторските идентификационни данни, които сте настройвам за възела, и след това щракнете Влезте .
2	Отидете на Общ преглед (страницата по подразбиране). Когато е активирано, Блокирана външна DNS разделителна способност е настроен на да .
3	Отидете до Доверен магазин и прокси страница.
4	Щракнете върху Проверете прокси връзката . Ако видите съобщение, че външната DNS резолюция не е била успешна, възелът не е успял да достигне до DNS сървър и ще остане в този режим. В противен случай, след като рестартирате възела и се върнете към Общ преглед страница, Разделителната способност за блокиран външен DNS трябва да бъде зададена на не.

Какво да направите след това

Повторете теста на прокси връзката на всеки възел във вашия клъстер за хибридна защита на данните.

Премахване на възел

Използвайте тази процедура, за да премахнете възел за защита на хибридни данни от облака на Webex . След като премахнете възела от клъстера, изтрийте виртуална машина, за да предотвратите по-нататъшен достъп до вашите данни за сигурност.

1

Използвайте VMware vSphere клиента на вашия компютър, за да влезете във виртуалния хост на ESXi и да изключите виртуална машина.

2

Премахнете възела:

Влезте в Control Hub и след това изберете Услуги .
На картата за защита на хибридни данни щракнете Вижте всички за да се покаже страницата Ресурси за защита на хибридните данни.
Изберете своя клъстер, за да покажете неговия панел за преглед.
Щракнете върху Отворете списъка с възли .
В раздела Възли изберете възела, който искате да премахнете.
Щракнете върху Действия > Дерегистриране на възел .

3

В vSphere клиента изтрийте VM. (В левия навигационен панел щракнете с щраквам с десния бутон върху VM и щракнете Изтрийте .)

Ако не изтриете VM, не забравяйте да демонтирате конфигурационния ISO файл. Без ISO файла не можете да използвате VM за достъп до вашите данни за сигурност.

Възстановяване при бедствия с помощта на Център за данни в режим на готовност

Най-критичната услуга, която предоставя вашият клъстер за хибридна защита на данни, е създаването и съхранението на ключове, използвани за криптиране на съобщения и друго съдържание, съхранявано в облака на Webex . За всеки потребител в организацията, който е назначен към хибридна защита на данните, заявките за създаване на нови ключове се насочват към клъстера. Клъстерът е отговорен и за връщането на създадените от него ключове на всички потребители, упълномощени да ги извличат, например членове на пространство за разговор.

Тъй като клъстерът изпълнява критичната функция за предоставяне на тези ключове, наложително е клъстерът да продължи да работи и да се поддържат правилни резервни копия. Загубата на базата данни за хибридна защита на данните или на конфигурацията ISO , използвана за схемата, ще доведе до НЕВЪЗСТАНОВИМА ЗАГУБА на клиентско съдържание. Следните практики са задължителни за предотвратяване на такава загуба:

Ако бедствие причини внедряването на HDS в основния център за данни да стане недостъпно, следвайте тази процедура, за да преминете ръчно към резервния център за данни.

1

Стартирайте инструмента за настройка на HDS и следвайте стъпките, посочени в Създайте ISO конфигурация за HDS хостовете .

2

След като конфигурирате сървъра Syslogd, щракнете върху Разширени настройки

3

На Разширени настройки страница, добавете конфигурацията по-долу или премахнете passiveMode конфигурация, за да направи възела активен. Възелът може да обработва трафик, след като това е конфигурирано.


passiveMode: 'false'

4

Завършете процеса на конфигуриране и запазете ISO файла на място, което е лесно за намиране.

5

Направете резервно копие на ISO файла във вашата локална система. Пазете резервното копие сигурно. Този файл съдържа главен ключ за шифроване за съдържанието на базата данни. Ограничете достъпа само до онези администратори на Hybrid Data Security, които трябва да направят промени в конфигурацията.

6

В левия навигационен панел на клиента VMware vSphere щракнете с щраквам с десния бутон върху VM и щракнете Редактиране на настройките. .

7

Щракнете върху Редактиране на настройките > CD/ DVD устройство 1 и изберете Datastore ISO File.

Уверете се Свързани и Свържете при включване са проверени, така че актуализираните промени в конфигурацията да влязат в сила след стартиране на възлите.

8

Включете HDS възела и се уверете, че няма аларми за поне 15 минути.

9

Повторете процеса за всеки възел в център за данни в режим на готовност.

Проверете изхода на системния журнал, за да се уверите, че възлите на център за данни в режим на готовност не са в пасивен режим. „KMS, конфигуриран в пасивен режим“ не трябва да се появява в системните дневници.

Какво да направите след това

След отказ, ако основният център за данни стане отново активен, поставете център за данни в режим на готовност отново в пасивен режим, като следвате стъпките, описани в Настройте център за данни в режим на готовност за възстановяване при бедствия .

(По избор) Демонтирайте ISO след HDS конфигурация

Стандартната HDS конфигурация работи с монтиран ISO . Но някои клиенти предпочитат да не оставят ISO файловете непрекъснато монтирани. Можете да демонтирате ISO файла, след като всички HDS възли вземат новата конфигурация.

Все още използвате ISO файловете, за да правите промени в конфигурацията. Когато създавате нов ISO или актуализирате ISO чрез инструмента за настройка, трябва да монтирате актуализирания ISO на всичките си HDS възли. След като всичките ви възли приемат промените в конфигурацията, можете да демонтирате ISO отново с тази процедура.

Преди да започнете

Надстройте всичките си HDS възли до версия 2021.01.22.4720 или по-нова.

1	Изключете един от вашите HDS възли.
2	Във vCenter Server Appliance изберете HDS възела.
3	Изберете Редактиране на настройките > CD/ DVD устройство и премахнете отметката ISO файл на хранилище за данни .
4	Включете HDS възела и се уверете, че няма аларми за поне 20 минути.
5	Повторете последователно за всеки HDS възел.

Отстраняване на проблеми със сигурността на хибридните данни

Преглед на сигнали и отстраняване на неизправности

Разгръщането на хибридна защита на данните се счита за недостъпно, ако всички възли в клъстера са недостъпни или клъстерът работи толкова бавно, че изисква време за изчакване. Ако потребителите не могат да достигнат до вашия клъстер за защита на хибридни данни, те изпитват следните симптоми:

Не могат да се създават нови пространства (не може да се създадат нови ключове)
Съобщенията и заглавията на пространството не могат да се дешифрират за:
- Нови потребители, добавени към пространство (не могат да извлекат ключове)
- Съществуващи потребители в пространство, използващи нов клиент (не може да извлече ключове)
Съществуващите потребители в пространство ще продължат да работят успешно, докато техните клиенти имат кеш на ключовете за криптиране

Важно е правилно да наблюдавате своя клъстер за хибридна защита на данните и незабавно да адресирате всички предупреждения, за да избегнете прекъсване на услугата.

Предупреждения

Ако има проблем с настройката на хибридната защита на данните, Control Hub показва сигнали до администратора на организацията и изпраща имейли до конфигурирания имейл адрес. Сигналите обхващат много често срещани сценарии.

Таблица 1. Често срещани проблеми и стъпки за разрешаването им
Предупреждение	Действие
Грешка при достъп до локална база данни.	Проверете за грешки в базата данни или проблеми с локалната мрежа.
неуспешна връзка с локална база данни.	Проверете дали сървърът на сървър на база с данни е наличен и правилните идентификационни данни за акаунт на услуга са били използвани в конфигурацията на възел.
Грешка при достъп до облачна услуга.	Проверете дали възлите имат достъп до сървърите на Webex , както е посочено в Изисквания за външна свързаност .
Подновяване на регистрацията на облачна услуга.	Регистрацията в облачни услуги беше прекратена. Подновяването на регистрацията е в ход.
Регистрацията на облачна услуга отпадна.	Регистрацията в облачни услуги е прекратена. Услугата се изключва.
Услугата все още не е активирана.	Активирайте пробна версия или завършете преместването на пробната версия в производствен.
Конфигурираният домейн не съответства на сертификат на сървъра.	Уверете се, че вашият сертификат на сървъра съответства на конфигурирания домейн за активиране на услугата. Най-вероятната причина е, че CN на сертификата е наскоро променен и вече е различен от CN, който е бил използван по време на първоначалната настройка.
Удостоверяването на облачни услуги не бе успешно.	Проверете за точността и възможното изтичане на идентификационните данни за акаунт на услуга .
Неуспешно отваряне на файл с локално хранилище за ключове.	Проверете за целостта и точността на паролата във файла на локалното хранилище на ключове.
сертификат на сървъра е невалиден.	Проверете дата на изтичане на валидността or, shortened, дата на изтичане на сертификата на сървъра и потвърдете, че е издаден от доверен орган за сертификати.
Не може да се публикуват показатели.	Проверете достъпа на локалната мрежа до външни облачни услуги.
/media/configdrive/hds директорията не съществува.	Проверете конфигурацията за монтиране на ISO на виртуален хост. Проверете дали ISO файлът съществува, дали е конфигуриран да се монтира при рестартиране и че се монтира успешно.

Отстраняване на проблеми със сигурността на хибридните данни

Използвайте следните общи указания, когато отстранявате проблеми с Hybrid Data Security.

1	Прегледайте Control Hub за сигнали и коригирайте всички елементи, които намерите там.
2	Прегледайте изхода на syslog сървъра за активност от внедряването на хибридна защита на данните.
3	Контакт Поддръжка на Cisco .

Други бележки

Известни проблеми за сигурността на хибридните данни

Ако изключите своя клъстер за хибридна защита на данни (чрез го изтриете в Control Hub или като изключите всички възли), загубите своя конфигурационен ISO файл или загубите достъп до базата данни на хранилището на ключове, потребителите на вашето Webex App вече няма да могат да използват пространства под своите хора списък, които са създадени с ключове от вашия KMS. Това се отнася както за пробно, така и за производствено внедряване. Понастоящем нямаме решение или решение за този проблем и ви призоваваме да не изключвате вашите HDS услуги, след като те обработват активни потребителски акаунти.
Клиент, който има съществуваща ECDH връзка към KMS, поддържа тази връзка за определен период от време (вероятно един час). Когато потребителят стане член на пробна версия за хибридна защита на данните, клиентът на потребителя продължава да използва съществуващата ECDH връзка, докато не изтече. Като алтернатива, потребителят може да излизам отново в приложението Webex App, за да актуализира местоположението, с което приложението се свързва за ключове за криптиране.

Същото поведение се случва, когато преместите пробен период в производствен за организацията. Всички потребители без опит със съществуващи ECDH връзки към предишните услуги за сигурност на данните ще продължат да използват тези услуги, докато ECDH връзката не бъде предоговорена (чрез изчакване или чрез излизане и обратно).

Използвайте OpenSSL, за да генерирате PKCS12 файл

Преди да започнете

OpenSSL е един инструмент, който може да се използва за създаване на файла PKCS12 в правилния формат за зареждане в инструмента за настройка на HDS. Има и други начини да направите това и ние не подкрепяме или популяризираме един начин пред друг.
Ако решите да използвате OpenSSL, ние предоставяме тази процедура като насока, за да ви помогнем да създадете файл, който отговаря на изискванията на сертификата X.509 в X.509 Изисквания за сертификат . Разберете тези изисквания, преди да продължите.
Инсталирайте OpenSSL в поддържана среда. Вижhttps://www.openssl.org за софтуера и документацията.
Създайте частен ключ.
Започнете тази процедура, когато получите сертификат на сървъра от вашия орган за сертификати (CA).

1	Когато получите сертификат на сървъра от вашия CA, запазете го като `hdsnode.pem`.
2	Покажете сертификата като текст и проверете подробностите. `openssl x509 -text -noout -in hdsnode.pem`
3	Използвайте текстов редактор, за да създадете файл с пакет от сертификати, наречен `hdsnode-bundle.pem`. Пакетният файл трябва да включва сертификат на сървъра, всички междинни CA сертификати и сертификатите за основния CA във формат по-долу: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	Създайте .p12 файла с приятелското име `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Проверете подробностите за сертификат на сървъра . `openssl pkcs12 -in hdsnode.p12` Въведете парола при подкана, за да шифровате частния ключ, така че да бъде посочен в изхода. След това проверете дали частният ключ и първият сертификат включват редовете `friendlyName: kms-private-key`. Пример: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: <No Attributes> Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- <redacted> -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- <redacted> -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- <redacted> -----END CERTIFICATE-----

Какво да направите след това

Върнете се към Изпълнете предпоставките за хибридна защита на данните . Вие ще използвате hdsnode.p12 файл и паролата, която сте задали за него, в Създайте ISO конфигурация за HDS хостовете .

Можете да използвате повторно тези файлове, за да поискате нов сертификат, когато оригиналният сертификат изтече.

Трафик между HDS възлите и облака

Изходящ трафик за събиране на показатели

Възлите за хибридна защита на данните изпращат определени показатели към облака на Webex . Те включват системни метрики за макс. хеп, използван хеп, натоварване на CPU и брой нишки; метрики за синхронни и асинхронни нишки; показатели за сигнали, включващи праг на криптиращи връзки, латентност или дължина на опашката за заявки; метрики на хранилището за данни; и показатели за криптиране на връзката. Възлите изпращат криптиран ключов материал по извънлентов (отделен от заявката) канал.

Входящ трафик

Възлите за защита на хибридните данни получават следните типове входящ трафик от облака на Webex :

Заявки за криптиране от клиенти, които се насочват от услугата за криптиране
Надстройки на софтуера на възела

Конфигурирайте Squid прокси сървъри за хибридна защита на данните

Websocket не може да се свърже чрез Squid прокси

Squid прокси сървърите, които проверяват HTTPS трафика, могат да попречат на установяването на websocket ( wss:) връзки, които изисква Hybrid Data Security. Тези раздели дават насоки как да конфигурирате различни версии на Squid за игнориране wss: трафик за правилното функциониране на услугите.

Калмари 4 и 5

Добавете on_unsupported_protocol директива за squid.conf:

on_unsupported_protocol tunnel all

Калмари 3.5.27

Успешно тествахме хибридната защита на данните с добавени следните правила squid.conf. Тези правила подлежат на промяна, докато разработваме функции и актуализираме облака на Webex .

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Предговор

Нова и променена информация

Дата	Направени промени
01 октомври 2026	Добавена е мигриране на HDS възли между поддържаните хипервизори секция.
Септември 21, 2026	Добавена е поддръжка за хипервизора на Nutanix в изискванията за виртуален хост. Добавено е разгръщане и конфигуриране на HDS в секцията Nutanix. Актуализирани процедури в ръководството, за да включат инструкции за внедряване на Nutanix.
07 септември 2026	Добавена е поддръжка за хипервизора на Cisco Enterprise Network Function Virtualization Infrastructure Software (NFVIS) в изискванията за виртуален хост. Добавено е разгръщане и конфигуриране на HDS в секцията NFVIS. Актуализирани процедури в ръководството, за да включат инструкции за внедряване на NFVIS. Раздел Преместен център за данни в режим на готовност за възстановяване при бед ствия под Управление на внедряването на HDS.
Август 28, 2026	Добавено е критично предупреждение в Очак вания за внедряване на хибридна защита на данните, че миграцията от хибридна сигурност на данните към Webex cloud KMS не се поддържа и извеждането от експлоатация на HDS ще доведе до загуба на достъп до съществуващи криптирани данни.
29 юли 2026	Актуализиран е секцията Изиск вания за сертификат X.509, за да посочи, че се поддържат само RSA сертификати.
02 юли 2026	Добавена сек ция Деактивиране на облачните агенти.
23 юни 2026	Добавен е раздел за интерпретиране на HDS дневници и разбиране на етикетите на аген ти.
01 юни 2026	Добавена секция API за разработчици на HDS. Добавена е бележка в инструмента Run HDS Setup, използвайки секцията Podman Desktop.
16 април 2026	Акту ализирани изисквания за сървъра на база данни за добавяне на поддръжка за PostgreSQL версии 17 и 18.
25 март 2026	Актуализирана е паролата по подразбиране, използвана за влизане в VM възела Hybrid Data Security.
05 декември 2025	Актуализи рано Създайте конфигурационен ISO за HDS хостовете с правил ния текст на потребителския интерфейс на страницата System Logs и добавите инструкция за качване на корен сертификат syslog при конфигуриране на TLS криптиране.
08 май 2025	Актуализирани изисквания за виртуален хост, поток от задачи за внедряване на хибридна защита на данните и инсталирайте HDS Host OVA, за да добавите поддръжка на ESXi 8.0.
03 март 2025	Добавен е инструмент за настройка на Run HDS с помощта на секцията Podman Desktop. Добавена е бележка в изискванията на Docker Desktop, предоставяща на клиентите алтернативна опция с отворен код. Актуализи рано Създайте конфигурационен ISO за HDS хостовете и променете конфигурацията на въз ела с инструкции за използване на Podman Desktop за клиенти без лиценз за Docker Desktop.
30 януари 2025	Добавена е версия на SQL сървър 2022 към списъка с поддържани SQL сървъри в Изиск ванията на сървъра на база данни.
07 януари 2025	Актуализирани изисквания за виртуален хост, поток от задачи за внедряване на хибридна сигурност на данните и инсталирайте HDS Host OVA, за да покажете ново изискване на ESXi 7.0.
Октомври 20, 2023	Актуализирана информация в изискванията на сървъра на базата данни. Добавена настройка Център за данни в режим на готовност за възстановяване при бед ствие Актуализирана информация в Цент ъра за данни в режим на готовност за възстановяване при бед ствия и възстановяване при бедствия с помощта на Център за данни
Август 07, 2023	Добавена е бележка в Из тегляне на инсталационни файлове. Добавена е бележка в Създаване на конфигурация ISO за HDS хостовете и промяна на конфигурацията на възела.
23 май 2023	Изтрита информация от изискванията на сървъра на база данни, изискваща активиране на функция, като се свържете с екипа на акаунта. Актуализирана информация в изискванията за външна свързаност и добавена Канада към таблицата на CI хостове. Добавена е бележка в О чаквания за внедряване на хибридна сигурност на данните относно липсата на механизми за преместване на ключове обратно в облака.
Декември 06, 2022	Изображенията на инструмента за настройка на HDS вече се хостват в хранилището на `ciscocitg`dockerhub. Актуализи рано Създайте конфигурационен ISO за HDS хостовете и променете темите за конфигурация на въз лите, за да промените промените в командите.
Ноември 23, 2022	HDS възлите вече могат да използват удостоверяване на Windows срещу Microsoft SQL Server. Актуализирана е темата Изисквания на сървъра на база данни с допълнителни изисквания за този режим на удостоверяване. Актуализи рано Създайте конфигурационен ISO за HDS хостовете с процедурата за конфигуриране на удостоверяване на Windows на възлите. Актуализирана темата за изисквания на сървъра на база данни с нови минимално необходими версии (PostgreSQL 10).
Октомври 13, 2021	Docker Desktop трябва да стартира програма за настройка, преди да можете да инсталирате HDS възли. Вижте Изиск вания за работен плот на Docker.
Юни 24, 2021	Отбелязахме, че можете да използвате повторно файла с частен ключ и CSR, за да поискате друг сертификат. Вижте Използване на OpenSSL за генериране на PKCS12 файл за подробности.
30 април 2021	Промени изискването за VM за локално пространство на твърдия диск на 30 GB. Вижте И зисквания за виртуален хост за подробности.
Февруари 24, 2021	Инструментът за настройка на HDS вече може да работи зад прокси сървър. Вижте Създаване на конфигурационен ISO за HDS хостове за подробности.
февруари 2, 2021	HDS вече може да работи без монтиран ISO файл. Вижте (Незадължително) Отстраняване на ISO след конфигурация на HDS за подробности.
Януари 11, 2021	Добавена е информация за инструмента за настройка на HDS и прокси устройства за създаване на конфигурационен ISO за HDS хостовете.
Октомври 13, 2020	Актуал изирани инсталационни файлове за изтегл яне.
Октомври 8, 2020	Актуализи рано Създайте конфигурационен ISO за HDS хостовете и променете конфигурацията на възела с команди за FedRamp сред и.
Август 14, 2020	Актуализи рано Създайте конфигурационен ISO за HDS хостовете и променете конфигурацията на въз ела с промени в процеса на влизане.
Август 5, 2020	Актуализи рано Тествайте внедряването на хибридната сигурност на данните за промени в регистрационните съобщения. Актуализирани изисквания за виртуален хост, за да премахнете максималния брой хостове.
16 юни 2020	Актуализи рано Премахване на възел за промени в потребителския интерфейс на контролния център.
4 юни 2020	Актуализи рано Създайте конфигурационен ISO за HDS хостовете за промени в разширените настройки, които може да зададете.
29 май 2020	Актуализи рано Създайте конфигурационен ISO за HDS хостовете, за да покажете, че можете също да използвате TLS с бази данни на SQL Server, промени в потребителския интерфейс и други разяснения.
5 май 2020	Актуализирани изисквания за виртуален хост, за да се покаже ново изискване на ESXi 6.5.
април 21, 2020	Актуал изирани изисквания за външна свързаност с нови хостове на Americas CI.
април 1, 2020	Акту ализирани изисквания за външна свързаност с информация за регионалните CI хостове.
Февруари 20, 2020	Актуализи рано Създайте конфигурационен ISO за HDS хостовете с информация за новия опционален екран за раз ширени настройки в инструмента за настройка на HDS.
4 февруари 2020	Актуал изирани изисквания за прокси сървър.
Декември 16, 2019	Изясни изискването за режим на блокирана външна резолюция на DNS, за да работи в изискванията за прокси сървър.
Ноември 19, 2019	Добавена е информация за блокирания режим на външна резолюция на DNS в следните раздели: Поддръжка на прокси Конфигурирайте HDS възела за интеграция на прокси сървъри Изключете блокирания режим на външна резолюция на DNS
Ноември 8, 2019	Вече можете да конфигурирате мрежовите настройки за възел, докато внедрявате OVA, а не след това. Съответно се актуализират следните раздели: Поток от задачи за внедряване на хибридната сигурност Инсталирайте HDS хост OVA Настройте хибридната виртуална машина за защита на данните Опцията за конфигуриране на мрежовите настройки по време на в недряването на OVA е тествана с ESXi 6.5. Възможно е опцията да не е налична в по-ранни версии.
6 септември 2019	Добавен е SQL Server Standard към изискванията на сървъра на базата данни.
Август 29, 2019	Добавено е допълнение за конфигуриране на прокси сървъри на Squid за хибридна защита на данните с указания за конфигуриране на прокси сървъри на Squid, за да игнорират трафика на websocket за правилна работа.
Август 20, 2019	Добавени и актуализирани секции, за да покрият поддръжката на прокси сървъри за комуникации на възли за хибридна сигурност на данните към облака Webex. Поддръжка на прокси Изисквания за прокси сър Конфигурирайте HDS възела за интеграция на прокси сървъри За достъп само до съдържанието за поддръжка на прокси сървъри за съществуващо внедряване вижте помощната статия за поддръжка на прокси сървъри за хибридна защита на данните и Webex Video Mesh.
13 юни 2019	Актуализи ран пробен поток от задачи за производство с напомняне за синхронизиране на `HdsTrialGroup`груповия обект преди започване на пробна версия, ако организацията ви използва синхронизиране на директории.
Март 6, 2019	Преместени изисквания и предпоставки в отделна глава, Подгответе вашата среда. Добавен е преглед ът на потока на задачите за внедряване на хибридна сигурност на данните в главата Създаване на хибриден клъстер за сигурност на данните. Отбелязано е, че докато не започнете пробен период (като използвате инструкциите в следващата глава), вашите възли генерират аларма, показваща, че вашата услуга все още не е активирана. Добавен е потокът от задачи от пробната версия към производството в главата Стартирайте пробен период и преминете към производство.
Февруари 28, 2019	Коригирано е количеството локално пространство на твърдия диск на сървър, което трябва да отделите, когато подготвяте виртуалните хостове, които се превръщат в възли за хибридна сигурност на данните, от 50 GB до 20 GB, за да отразява размера на диска, който OVA създава.
26 февруари 2019	Хибридните възли за сигурност на данните вече поддържат криптирани връзки със сървъри за бази данни PostgreSQL и криптирани връзки за регистриране към сървър syslog, поддържащ TLS. Актуализи рано Създайте конфигурационен ISO за HDS хостовете с инструкции. Премахнати дестинационни URL адреси от таблицата „Изисквания за интернет свързаност за хибридни виртуални възли за сигурност на данните“. Таблицата сега се отнася до списъка, поддържан в таблицата „Допълнителни URL адреси за хибридни услуги на Webex Teams“ за мрежови изисквания за услугите на Webex Teams.
24 януари 2019	Хибридната защита на данните вече поддържа Microsoft SQL Server като база данни. SQL Server Always On (Винаги включени клъстери за превключване при неизправност и Винаги в групи за наличност) се поддържа от драйверите JDBC, които се използват в хибридна защита на данните. Добавено съдържание, свързано с внедряването със SQL Server. Поддръжката на Microsoft SQL Server е предназначена само за нови внедрявания на хибридна защита на данните. Понастоящем не поддържаме мигриране на данни от PostgreSQL към Microsoft SQL Server при съществуващо внедряване.
Ноември 5, 2018	Добавена е предварителна стъпка за почистване на всички съществуващи инстанции на docker hds в Съ здаване на конфигурация ISO за HDS хостовете и промяна на конфигура цията на възела. Актуализирана е стъпката на ключово ниво на достъп в Създаване на конфигурационен ISO за HDS хостовете, за да съответства на интерфейса.
19 октомври 2018	Разделете информацията за връзката на защитната стена на изисквания за възли и изисквания за конфигурация на ISO машина в Попълнете предпоставките за хибридна сигурност на данните.
31 юли 2018 г.	Добавен е порт 22 (SSH достъп) и информация за NAT и връзките на защитната стена, за да се изпълнят предпоставките за хибридна сигурност на данните.
21 май 2018	Променена терминология, за да отрази ребрандирането на Cisco Spark: Cisco Spark Hybrid Data Security вече е хибридна защита на данните. Приложението Cisco Spark вече е приложението Webex App. Облакът на Cisco Collaboraton вече е облакът Webex.
11 април 2018	Добавен център за данни в режим на готовност за възстановяване при бедст вия. Актуализи рано Попълнете предпоставките за хибридна сигурност на данните, за да посочите, че средата за архивиране трябва да бъде в различен център за данни. Актуализи рано възстановяване при бедствия с помощта на Център за данни в режим
22 февруари 2018	Добавена е информация за продължителността на живота на паролата за услужния акаунт 9 месеца и използване на инструмента за настройка на HDS за нулиране на паролите на акаунта в Съ здаване на конфигурация ISO за HDS хостовете и промяна на конфигу рацията на възела.
15 февруари 2018	В таблицата Изиск вания за сертификат X.509 е посочено, че сертификатът не може да бъде заместващ сертификат и че KMS използва домейна CN, а не всеки домейн, който е дефиниран в полетата x.509v3 SAN.
18 януари 2018	Добавено приложение, Трафик между HDS възлите и облака. Премахнат е разрешен проблем от Из вестни проблеми за хибридна сигурност на данните. Промени index.docker.io на .docker.io и добави.cloudfront.net към списъка с изисквания за TCP свързаност за HDS възлите в Попълнете предпоставките за хибридна сигурност на данните. Актуализирано Съз дайте конфигурационен ISO за HDS хостовете, за да посочите, че ако хостът на базата данни и сървърът на Syslogd не са разрешими с DNS от HDS възлите, трябва да ги конфигурирате с помощта на IP адреси.
2 ноември 2017	Изяснена синхронизация на директорията на HDStrialGroup. Фиксирани инструкции за качване на ISO конфигурационния файл за монтиране към VM възлите.
18 август 2017	Първо публикувано

Започнете с хибридна сигурност на данните

Преглед на хибридната сигурност на данните

От първия ден сигурността на данните е основният фокус при проектирането на Webex App. Крайъгълният камък на тази сигурност е криптирането на съдържание от край до край, активирано от клиентите на Webex App, взаимодействащи с услугата за управление на ключове (KMS). KMS отговаря за създаването и управлението на криптографските ключове, които клиентите използват за динамично криптиране и декриптиране на съобщения и файлове.

По подразбиране всички клиенти на Webex App получават криптиране от край до край с динамични ключове, съхранявани в облака KMS, в областта на сигурността на Cisco. Hybrid Data Security премества KMS и други функции, свързани със сигурността, във вашия корпоративен център за данни, така че никой освен вас не държи ключовете за вашето криптирано съдържание.

Архитектура на областта на сигурността

Облачната архитектура Webex разделя различните видове услуги в отделни сфери или доверие домейни, както е изобразено по-долу.

***Сфери на разделяне (без хибридна сигурност на данните)***

За да разберем допълнително хибридната сигурност на данните, нека първо да разгледаме този чист облачен случай, където Cisco предоставя всички функции в облачните си сфери. Услугата за самоличност, единственото място, където потребителите могат да бъдат пряко свързани с личната си информация, като имейл адрес, е логично и физически отделена от сферата на сигурността в центъра за данни Б. И двете от своя страна са отделни от сферата, където в крайна сметка се съхранява криптирано съдържание, в центъра за данни C.

В тази диаграма клиентът е приложението Webex, работещо на лаптопа на потребителя и се е удостоверило с услугата за самоличност. Когато потребителят състави съобщение за изпращане в интервал, се извършват следните стъпки:

Клиентът установява сигурна връзка с услугата за управление на ключове (KMS), след което изисква ключ за криптиране на съобщението. Сигурната връзка използва ECDH, а KMS криптира ключа с помощта на основен ключ AES-256.
Съобщението се криптира, преди да напусне клиента. Клиентът го изпраща до услугата за индексиране, която създава криптирани индекси за търсене, за да помогне при бъдещи търсения на съдържанието.
Криптираното съобщение се изпраща до службата за съответствие за проверка на съответствието.
Криптираното съобщение се съхранява в областта на съхранението.

Когато внедрявате хибридна защита на данните, премествате функциите на областта на защитата (KMS, индексиране и съответствие) в локалния център за данни. Другите облачни услуги, които съставляват Webex (включително съхранение на идентичност и съдържание), остават в сферата на Cisco.

Сътрудничество с други организации

Потребителите във вашата организация могат редовно да използват Webex App, за да си сътрудничат с външни участници в други организации. Когато някой от вашите потребители поиска ключ за пространство, което е собственост на вашата организация (защото е създадено от някой от вашите потребители), вашият KMS изпраща ключа до клиента през защитен канал от ECDH. Когато обаче друга организация притежава ключа за пространството, вашият KMS насочва заявката към облака Webex през отделен ECDH канал, за да получи ключа от съответния KMS и след това връща ключа на вашия потребител в оригиналния канал.

Услугата KMS, работеща на Org A, валидира връзките към KMSS в други организации, използ вайки x.509 PKI сертификати. Вижте Изисквания за хибридна сигурност на данните (в тази статия) за подробности относно генерирането на сертификат x.509, който да се използва при внедряването на хибридна защита на данните.

Очаквания за внедряване на хибридна сигурност на данните

Внедряването на хибридна сигурност на данните изисква значителна ангажираност на клиентите и осведоменост за рисковете, свързани с притежаването на ключове за криптиране.

За да внедрите хибридна защита на данните, трябва да предоставите:

Защитен център за данни в държава, която е поддържано място за Cisco Webex Teams плановете.
Оборудването, софтуерът и достъпът до мрежата, описани в И зисквания за хибридна сигурност на данните.

Пълната загуба или на конфигурационния ISO, който създавате за хибридна сигурност на данните, или на базата данни, която предоставяте, ще доведе до загуба на ключовете. Загубата на ключове пречи на потребителите да дешифрират пространствено съдържание и други криптирани данни в Webex App. Ако това се случи, можете да изградите ново внедряване, но ще бъде видимо само ново съдържание. За да избегнете загуба на достъп до данни, трябва:

Управлявайте архивирането и възстановяването на базата данни и конфигурацията ISO.
Бъдете готови да извършите бързо възстановяване при бедствие, ако възникне катастрофа, като например повреда на диска в базата данни или катастрофа в центъра за данни.

Миграцията от хибридна защита на данните (HDS) към Webex cloud KMS не се поддържа. Извеждането от експлоатация на HDS ще доведе до загуба на достъп до съдържание и данни, предварително криптирани с тези ключове. Трябва да запазите HDS, за да запазите достъпа до съществуващо криптирано съдържание.

Процес на настройка на високо ниво

Този документ обхваща настройката и управлението на внедряване на хибридна защита на данните:

На@@ стройване на хибридна сигурност на данните — това включва подготовка на необходимата инфраструктура и инсталиране на софтуер за хибридна защита на данните, тестване на внедряването ви с подгрупа потребители в пробен режим и, след като тестването приключи, преминаване към производство. Това преобразува цялата организация да използва вашия клъстер за хибридна защита на данните за функции за сигурност.
Фазите на настройка, проба и производство са разгледани подробно в следващите три глави.
Поддържайте внедряването на хибридна защита на данните — Облакът Webex автоматично осигурява текущи ъпгрейди. Вашият ИТ отдел може да предостави поддръжка от първо ниво за това внедряване и да ангажира поддръжката на Cisco, ако е необходимо. Можете да използвате екранни известия и да настроите имейл сигнали в Control Hub.
Разбиране на често срещаните сигнали, стъпките за отстраняване на неизправности и известни проблеми — Ако срещнете проблеми с внедряването или използването на хибридна защита на данните, последната глава от това ръководство и приложението Известни проблеми могат да ви помогнат да определите и отстраните проблема.

Модел за внедряване на хибридната сигурност

В рамките на вашия корпоративен център за данни внедрявате Hybrid Data Security като един клъстер от възли на отделни виртуални хостове. Възлите комуникират с облака Webex чрез защитени уеб сокети и защитен HTTP.

По време на инсталационния процес ние ви предоставяме OVA файла, за да настроите виртуалния уред на виртуалните машини, които предоставяте. Използвате инструмента за настройка на HDS, за да създадете персонализиран ISO файл за конфигурация на клъстера, който монтирате на всеки възел. Клъстерът за хибридна защита на данните използва предоставения от вас Syslogd сървър и база данни PostgreSQL или Microsoft SQL Server. (Конфигурирате данните за Syslogd и връзката с базата данни в инструмента за настройка на HDS.)

Модел за внедряване на хибридната сигурност

Минималният брой възли, които можете да имате в клъстера, е два. Препоръчваме поне три на клъстер. Наличието на множество възли гарантира, че услугата не се прекъсва по време на надстройка на софтуера или друга дейност по поддръжка на възел. (Облакът Webex надгражда само един възел наведнъж.)

Всички възли в клъстера имат достъп до една и съща ключова база данни и регистрират дейността на същия syslog сървър. Самите възли са без гражданство и обработват ключови заявки по кръгъл начин, както е указано от облака.

Възлите стават активни, когато ги регистрирате в Control Hub. За да извадите отделен възел от експлоатация, можете да го дерегистрирате и по-късно да го пререгистрирате, ако е необходимо.

Поддържаме само един клъстер на организация.

Пробен режим на хибридна сигурност на данните

След като настроите внедряване на хибридна защита на данните, първо го опитвате с набор от пилотни потребители. По време на пробния период тези потребители използват вашия локален домейн за хибридна защита на данните за криптиране на ключове и други услуги в областта на сигурността. Другите ви потребители продължават да използват облачната сигурност.

Ако решите да не продължите с внедряването по време на пробния период и да деактивирате услугата, пилотните потребители и всички потребители, с които са взаимодействали чрез създаване на нови пространства през пробния период, ще загубят достъп до съобщенията и съдържанието. Те ще видят „Това съобщение не може да бъде декриптирано“ в приложението Webex.

Ако сте доволни, че вашето внедряване работи добре за пробните потребители и сте готови да разширите хибридната сигурност на данните за всички ваши потребители, преместете внедряването към производство. Пилотните потребители продължават да имат достъп до ключовете, които са били използвани по време на проба. Не можете обаче да се движите напред-назад между производствения режим и оригиналния пробен период. Ако трябва да деактивирате услугата, например да извършите възстановяване при бедствие, когато активирате отново, трябва да започнете нова пробна версия и да настроите набора от пилотни потребители за новия пробен период, преди да се върнете към производствен режим. Дали потребителите запазват достъп до данни в този момент зависи от това дали успешно сте поддържали резервни копия на хранилището за ключови данни и конфигурационния файл ISO за възлите за хибридна защита на данните във вашия клъстер.

Поддръжка на прокси

Хибридната сигурност на данните поддържа ясни, прозрачни инспекционни и непроверяващи прокси служители. Можете да свържете тези прокси файлове с вашето внедряване, за да можете да защитите и наблюдавате трафика от предприятието към облака. Можете да използвате администраторски интерфейс на платформата на възлите за управление на сертификати и за проверка на цялостното състояние на свързаността, след като настроите прокси сървъра на възлите.

Хибридните възли за защита на данните поддържат следните опции за прокси сървъри:

Няма прокси — По подразбиране, ако не използвате конфигурацията за настройка на HDS възел Trust Store & Proxy, за да интегрирате прокси сървър. Не се изисква актуализация на сертификата.
Прозрачен прокси сървъ р без проверка — възлите не са конфигурирани да използват конкретен адрес на прокси сървъра и не трябва да изискват никакви промени, за да работят с прокси сървър, който не проверява. Не се изисква актуализация на сертификата.
Прозрачно тунелиране или проверка на прокси — възлите не са конфигурирани да използват конкретен адрес на прокси сървър. Не са необходими промени в конфигурацията на HTTP или HTTPS на възлите. Въпреки това, възлите се нуждаят от основен сертификат, така че да се доверят на прокси сървъра. Инспекционните прокси сървъри обикновено се използват от ИТ за налагане на политики по кои уебсайтове могат да бъдат посещавани и кои видове съдържание не са разрешени. Този тип прокси дешифрира целия ви трафик (дори HTTPS).
Изричен прокси сървър — С изричен прокси сървър ще кажете на възлите на HDS кой прокси сървър и схема за удостоверяване да използват. За да конфигурирате изричен прокси сървър, трябва да въведете следната информация за всеки възел:
1. Прокси IP/FQDN — Адрес, който може да се използва за достигане до прокси машината.
2. Про@@ кси порт — номер на порт, който прокси служителят използва за слушане на прокси трафик.
3. Прокси протокол — В зависимост от това какво поддържа вашият прокси сървър, изберете между следните протоколи:
  - HTTP—преглежда и контролира всички заявки, които клиентът изпраща.
  - Https — предоставя канал на сървъра. Клиентът получава и валидира сертификата на сървъра.
4. Тип удостоверяване — Изберете от следните типове удостоверяване:
  - Няма — Не се изисква допълнително удостоверяване.
    
    Предлага се, ако изберете HTTP или HTTPS като прокси протокол.
  - Основно — Използва се за HTTP потребителски агент за предоставяне на потребителско име и парола при подаване на заявка. Използва кодиране Base64.
    
    Предлага се, ако изберете HTTP или HTTPS като прокси протокол.
    
    Изисква да въведете потребителското име и паролата на всеки възел.
  - Digest — Използва се за потвърждаване на акаунта преди изпращане на чувствителна информация. Прилага хеш функция върху потребителското име и паролата преди изпращане през мрежата.
    
    Предлага се само ако изберете HTTPS като прокси протокол.
    
    Изисква да въведете потребителското име и паролата на всеки възел.

Пример за хибридни възли за сигурност на данните и прокси

Тази диаграма показва примерна връзка между хибридната сигурност на данните, мрежата и прокси сървъра. За опциите за прозрачна проверка и HTTPS изрично проверяващо прокси сърфиране, същият основен сертификат трябва да бъде инсталиран на прокси сървъра и на възлите за хибридна защита на данните.

Блокиран режим на външна DNS разделителна способност (изрични конфигурации на прокси

Когато регистрирате възел или проверите конфигурацията на прокси сървъра на възела, процесът тества търсенето на DNS и свързаността с Cisco Webex облака. При внедрявания с изрични прокси конфигурации, които не позволяват външна DNS разделителна способност за вътрешни клиенти, ако възелът не може да запитва DNS сървърите, той автоматично преминава в режим на блокирана външна DNS резолюция. В този режим могат да продължат регистрацията на възли и други тестове за прокси свързаност.

Подгответе околната среда

Изисквания за хибридна сигурност на данните

Cisco WebexИзисквания за лиценз

За да внедрите хибридна защита на данните:

Трябва да имате Pro Pack заCisco Webex Control Hub. (Вижте https://www.cisco.com/go/pro-pack.)

Изисквания за работен плот Docker

Преди да инсталирате вашите HDS възли, се нуждаете от Docker Desktop, за да стартирате програма за настройка. Docker наскоро актуализира своя лицензионен модел. Вашата организация може да изисква платен абонамент за Docker Desktop. За подробности вижте публикацията в блога на Docker, "Docker актуализира и разширява абонаментите ни за продукти“.

Клиентите без лиценз Docker Desktop могат да използват инструмент за управление на контейнери с отворен код като Podman Desktop за стартиране, управление и създаване на контейнери. Вижте Стар тиране на инструмента за настройка на HDS с помощта на Podman Desktop за подроб ности.

X.509 Изисквания за сертификат

Сертификатната верига трябва да отговаря на следните изисквания:

Таблица 1. Изисквания за сертификат X.509 за внедряване на хибридна сигурност на данните
Изискване	Детайли
Подписано от дов Certificate Authority ерен (CA)	По подразбиране се доверяваме на CA в списъка на Mozilla (с изключение на WoSign и StartCom) на адрес https://wiki.mozilla.org/CA:IncludedCAs.
Носи име на домейн с общо име (CN), което идентифицира вашето внедряване на хибридна защита на данните Не е заместващ сертификат	Не е необходимо CN да е достъпен или да е домакин на живо. Препоръчваме ви да използвате име, което отразява вашата организация, например, `hds.company.com`. КН не трябва да съдържа * (заместващ знак). CN се използва за проверка на възлите за хибридна сигурност на данните към клиенти на Webex App. Всички възли за хибридна защита на данните във вашия клъстер използват един и същ сертификат. Вашият KMS се идентифицира с помощта на домейна CN, а не всеки домейн, който е дефиниран в полетата x.509v3 SAN. След като регистрирате възел с този сертификат, ние не подкрепяме промяна на името на домейна CN. Изберете домейн, който може да се прилага както за пробните, така и за производствените внедрявания.
Не-SHA1 подпис	Софтуерът KMS не поддържа SHA1 подписи за валидиране на връзки към KMS на други организации.
Форматиран като защитен с парола PKCS #12 файл Използвайте приятелското име на, `kms-private-key`за да маркирате сертификата, личния ключ и всички междинни сертификати, които да качите.	Можете да използвате конвертор като OpenSSL, за да промените формата на сертификата си. Ще трябва да въведете паролата, когато стартирате инструмента за настройка на HDS.
Поддържан алгоритъм	Поддържат се само RSA сертификати.

Софтуерът KMS не налага използването на ключове или разширени ограничения за използване на ключове. Някои органи за сертифициране изискват за всеки сертификат да се прилагат ограничения за използване на разширени ключове, като например удостоверяване на сървъра. Добре е да използвате удостоверяването на сървъра или други настройки.

Изисквания за виртуален хост

Виртуалните хостове, които ще настроите като възли за хибридна защита на данните във вашия клъстер, имат следните изисквания:

Най-малко два отделни хоста (препоръчват се 3), разположени в един и същ защитен център за данни
Поддържани хипервизори:
- VMware ESXi 7.0 или 8.0.
- Софтуер за инфраструктура за виртуализация на корпоративните мрежови функции на Cisco (NFVIS) версия 26.2.1.
- Nutanix AOS 7.5.x с Nutanix AHV 11.0.x.
Минимум 4 VCPU, 8 GB основна памет, 30 GB локално място на твърдия диск на сървър.

Изисквания към сървъра на

Създайте нова база данни за съхранение на ключове. Не използвайте базата данни по подразбиране. Приложенията HDS, когато са инсталирани, създават схемата на базата данни.

Има две опции за сървър на база данни. Изискванията за всеки от тях са следните:

Таблица 2. Изисквания на сървъра на база данни по тип база данни
ПостгреSQL	Microsoft SQL сървър
PostgreSQL 14, 15, 16, 17 или 18, инсталиран и работещ.	Инсталиран е SQL Server 2016, 2017, 2019 или 2022 (корпоративен или стандартен). SQL Server 2016 изисква сервизен пакет 2 и кумулативна актуализация 2 или по-нова версия.
Минимум 8 VCPU, 16-GB основна памет, достатъчно място на твърдия диск и мониторинг, за да сте сигурни, че не е превишено (2-TB се препоръчва, ако искате да стартирате базата данни за дълго време, без да е необходимо да увеличавате съхранението)	Минимум 8 VCPU, 16-GB основна памет, достатъчно място на твърдия диск и мониторинг, за да сте сигурни, че не е превишено (2-TB се препоръчва, ако искате да стартирате базата данни за дълго време, без да е необходимо да увеличавате съхранението)

Софтуерът HDS понастоящем инсталира следните версии на драйвери за комуникация със сървъра на базата данни:

ПостгреSQL

Microsoft SQL сървър

Драйвер за постгрес JDBC 42.2.5

SQL сървър JDBC драйвер 4.6

Тази версия на драйвера поддържа SQL Server Always On (Al ways On Failover клъстерни инстанции и групи за наличност Always On).

Допълнителни изисквания за удостоверяване на Windows срещу Microsoft SQL Server

Ако искате HDS възлите да използват удостоверяване на Windows, за да получат достъп до вашата база данни за ключове на Microsoft SQL Server, тогава се нуждаете от следната конфигурация във вашата среда:

HDS възлите, Active Directory инфраструктурата и MS SQL Server трябва да бъдат синхронизирани с NTP.
Профилът в Windows, който предоставяте на HDS възлите, трябва да има достъп за четене/запис до базата данни.
DNS сървърите, които предоставяте на HDS възлите, трябва да могат да разрешат вашия център за разпределение на ключове (KDC).
Можете да регистрирате екземпляра на HDS базата данни на вашия Microsoft SQL Server като основно име на услугата (SPN) на вашия. Active Directory Вижте Р егистриране на основно име на услугата за Kerberos Connections.

Инструментът за настройка на HDS, HDS стартерът и локалният KMS трябва да използват удостоверяване на Windows за достъп до базата данни за ключодържатели. Те използват подробностите от вашата ISO конфигурация, за да конструират SPN, когато искат достъп с удостоверяване на Kerberos.

Изисквания за външна връзка

Конфигурирайте защитната стена, за да позволите следната свързаност за HDS приложенията:

Приложение	Протокол	Пристанище	Посока от приложението	Дестинация
Хибридни възли за сигурност на данните	TCP	443	Изходящи HTTPS и WSS	Webex сървъри: .wbx2.com .цископарк.com Всички хостове за обща идентичност Други URL адреси, които са изброени за хибридна сигурност на данните в таблицата Доп ълнителни URL адреси за хибридни услуги на Webex за мреж ови изисквания за услугите на Webex
Инструмент за настройка на HDS	TCP	443	Изходящ HTTPS	*.wbx2.com Всички хостове за обща идентичност хб.докер.com

Хибридните възли за сигурност на данните работят с превод на мрежов достъп (NAT) или зад защитна стена, стига NAT или защитната стена да позволяват необходимите изходящи връзки към дестинациите на домейна в предходната таблица. За връзки, които влизат към възлите за хибридна сигурност на данните, не трябва да се виждат портове от интернет. В рамките на вашия център за данни клиентите се нуждаят от достъп до възлите за хибридна защита на данните на TCP портове 443 и 22 за административни цели.

URL адресите за хостовете за обща идентичност (CI) са специфични за региона. Това са настоящите CI хостове:

Регион	Общи URL адреси на хост за самоличност
Америка	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Европейски съюз	https://idbroker-eu.webex.com https://identity-eu.webex.com
Канада	https://idbroker-ca.webex.com https://identity-ca.webex.com
Сингапур	https://idbroker-sg.webex.com https://identity-sg.webex.com
Обединени арабски емирства	https://idbroker-ae.webex.com https://identity-ae.webex.com

Изисквания за прокси сър

Официално поддържаме следните прокси решения, които могат да се интегрират с вашите възли за хибридна сигурност на данните.
- Прозрачен прокси — Уред за уеб сигурност на Cisco (WSA).
- Изричен прокси-калмари.
  
  Прокси сървърите на Squid, които проверяват HTTPS трафика, могат да попречат на установяването на websocket (wss:) връзки. За да заобиколите този проблем, вижте Конфигу риране на прокси сървъри на Squid за хибридна защита на данните.
Поддържаме следните комбинации от типове удостоверяване за изрични прокси сървъри:
- Няма удостоверяване с HTTP или HTTPS
- Основно удостоверяване с HTTP или HTTPS
- Дигестиране на удостоверяване само с HTTPS
За прозрачен прокси сървър за проверка или HTTPS прокси сървър трябва да имате копие от основния сертификат на прокси сървъра. Инструкциите за внедряване в това ръководство ви казват как да качите копието в надеждните магазини на възловете за хибридна защита на данните.
Мрежата, хостваща HDS възлите, трябва да бъде конфигурирана да принуждава изходящия TCP трафик на порт 443 да се маршрутизира през прокси сървъра.
Прокси сървърите, които проверяват уеб трафика, могат да пречат на връзките с уеб сокета. Ако възникне този проблем, заобикалянето (без проверката) на трафика към wbx2.comи ciscospark.comще реши проблема.

Попълнете предпоставките за хибридна сигурност на данните

Използвайте този контролен списък, за да сте сигурни, че сте готови да инсталирате и конфигурирате вашия клъстер за хибридна защита на данните.

1	Уверете сеCisco Webex Control Hub, че вашата организация на Webex е активирана за Pro Pack и получете идентификационните данни на акаунт с пълни администраторски права на организацията. Свържете се с вашия партньор на Cisco или мениджър на акаунти за помощ с този процес.
2	Изберете име на домейн за вашето HDS внедряване (например `hds.company.com`) и получете верига на сертификати, съдържаща сертификат X.509, частен ключ и всякакви междинни сертификати. Сертификатната верига трябва да отговаря на изискванията в изискванията за сертификат X.509.
3	Подгответе идентични виртуални хостове, които ще настроите като възли за хибридна защита на данните във вашия клъстер. Имате нужда от поне два отделни хоста (препоръчват се 3), разположени в един и същ защитен център за данни, които отговарят на изискванията в изискванията за виртуален хост.
4	Подгответе сървъра за база данни, който ще действа като хранилище за ключови данни за клъстера, в съответствие с изискванията на сървъра на базата данни. Сървърът на базата данни трябва да бъде колокиран в защитения център за данни с виртуалните хостове. Създайте база данни за съхранение на ключове. (Трябва да създадете тази база данни - не използвайте базата данни по подразбиране. Приложенията HDS, когато са инсталирани, създават схемата на базата данни.) Съберете подробностите, които възлите ще използват за комуникация със сървъра на базата данни: името на хоста или IP адреса (хост) и порта името на базата данни (dbname) за съхранение на ключове потребителското име и паролата на потребител с всички привилегии в базата данни за съхранение на ключове
5	За бързо възстановяване при бедствие настройте среда за архивиране в различен център за данни. Средата за архивиране отразява производствената среда на виртуални машини и сървър за резервни бази данни. Например, ако производството има 3 виртуални виртуални устройства, работещи с HDS възли, резервната среда трябва да има 3 виртуални виртуални устройства.
6	Настройте хост на syslog за събиране на дневници от възлите в клъстера. Съберете неговия мрежов адрес и syslog порт (по подразбиране е UDP 514).
7	Създайте политика за защитено архивиране за възлите за хибридна защита на данните, сървъра на базата данни и хоста на syslog. Като минимум, за да предотвратите невъзстановима загуба на данни, трябва да архивирате базата данни и конфигурационния ISO файл, генериран за възлите за хибридна сигурност на данните. Тъй като възлите за хибридна сигурност на данните съхраняват ключовете, използвани при криптиране и декриптиране на съдържание, неподдържането на оперативно внедряване ще доведе до НЕВЪЗСТАНОВИМА ЗАГУБА на това съдържание. Клиентите на Webex App кешират ключовете си, така че прекъсването може да не се забележи веднага, но ще стане очевидно с течение на времето. Въпреки че временните прекъсвания са невъзможни за предотвратяване, те могат да бъдат възстановими. Въпреки това, пълната загуба (няма налични резервни копия) нито на базата данни, нито на конфигурационния ISO файл ще доведе до невъзстановими клиентски данни. Очаква се операторите на възлите за хибридна сигурност на данните да поддържат чести резервни копия на базата данни и конфигурационния ISO файл и да бъдат готови да възстановят центъра за данни за хибридна сигурност на данните, ако възникне катастрофална повреда.
8	Уверете се, че конфигурацията на защитната стена ви позволява свързаност за вашите възли за хибридна защита на данните, както е посочено в Изискванията за вън шна
9	Инсталирайте Docker (https://www.docker.com) на всяка локална машина, работеща с поддържана операционна система (Microsoft Windows10 Professional или Enterprise 64-битова или Mac OSX Yosemite 10.10.3 или по-нова версия) с уеб браузър, който има достъп до нея на http://127.0.0.1:8080. Използвате екземпляра Docker, за да изтеглите и стартирате инструмента за настройка на HDS, който изгражда информацията за локалната конфигурация за всички възли за хибридна защита на данните. Вашата организация може да се нуждае от лиценз за Docker Desktop. Вижте И зисквания за работния плот на Docker за повече информация. За да инсталирате и стартирате инструмента за настройка на HDS, локалната машина трябва да има свързаността, описана в Изиск ванията за външна свързаност.
10	Ако интегрирате прокси сървър с хибридна защита на данните, уверете се, че той отговаря на изискванията на прокси сървъра.
11	Ако организацията ви използва синхронизиране на директории, създайте група в Active Directory `HdsTrialGroup`извикани и добавете пилотни потребители. Пробната група може да има до 250 потребители. Обек `HdsTrialGroup`тът трябва да бъде синхронизиран с облака, преди да можете да започнете пробна версия за вашата организация. За да синхронизирате групов обект, изберете го в менюто Кон фигурация на Directory Connector > Избор на обект. (За подробни инструкции вижте Ръководството за внедряване на Cisco Directory Connector. ) Клавишите за дадено пространство се задават от създателя на пространството. Когато избирате пилотни потребители, имайте предвид, че ако решите да деактивирате окончателно внедряването на Hybrid Data Security, всички потребители губят достъп до съдържание в пространствата, създадени от пилотните потребители. Загубата става очевидна веднага щом приложенията на потребителите обновят кешираните си копия на съдържанието.

Създаване на хибриден клъстер за сигурност на данните

Поток от задачи за внедряване на хибридната сигурност

Преди да започнете

1	Изтеглете инсталационни файлове Изтеглете OVA файла на вашата локална машина за по-късна употреба.
2	Създайте конфигурационен ISO за HDS хостовете Използвайте инструмента за настройка на HDS, за да създадете ISO конфигурационен файл за възлите за хибридна защита на данните.
3	Инсталирайте HDS хост OVA Създайте виртуална машина от файла OVA и извършете първоначална конфигурация. Конфигурирането на мрежовите настройки по време на внедряването на OVA се поддържа само на ESXi 7.0 и 8.0. За внедряването на NFVIS вижте Инсталиране на HD S хост OVA на NFVIS. За внедряването на Nutanix вижте Инсталиране на HDS Host OVA на Nutanix
4	Настройте хибридната виртуална машина за защита на данните Влезте в конзолата на VM и задайте идентификационните данни за влизане. Конфигури райте мрежовите настройки за възела, ако не сте ги конфигурирали по време на внедр яването на OVA. За внедряването на NFVIS вижте Настройване на виртуалната машина за хибридна защита на данните на NFVIS. За внедряването на Nutanix вижте Създаване на хибридна виртуална машина за защита на данните на Nutanix
5	Качване и монтиране на HDS конфигурация ISO Конфигурирайте виртуалната виртуална машина от конфигурационния файл ISO, който сте създали с инструмента за настройка на HDS. За внедряването на NFVIS вижте Качване и монтиране на ISO за конфигурация на HD S. За внедряването на Nutanix вижте Качване и монтиране на ISO за конфигурация на HDS
6	Конфигурирайте HDS възела за интеграция на прокси сървъри Ако мрежовата среда изисква конфигурация на прокси сървъра, посочете типа прокси сървър, който ще използвате за възела, и добавете прокси сертификата към магазина за доверие, ако е необходимо.
7	Регистрирайте първия възел в клъстера Регистрирайте виртуалната машина с Cisco Webex облака като възел за хибридна сигурност на данните.
8	Създаване и регистриране на още възли Завършете настройката на клъстера.
9	Докато не започнете пробен период, вашите възли генерират аларма, показваща, че услугата ви все още не е активирана.

Изтеглете инсталационни файлове

1	Влезте в https://admin.webex.com и след това щракнете върху У слуги.
2	В секцията Хибридни услуги намерете картата за хибридна защита на данните и след това щракнете върху Настройка. Ако кар тата е деактивирана или не я виждате, свържете се с екипа по акаунта си или партньорската организация. Дайте им номера на акаунта си и помолете да активи рате вашата организация за хибридна сигурност на данните. За да намерите номера на акаунта, щракнете върху зъб ното колело в горния десен ъгъл, до името на вашата организация. Можете също да изтеглите OVA по всяко време от секцията По мо щ на страницата На стройки. На картата за хибридна защита на данните щракнете върху Ре дактиране на настройките, за да отворите страницата. След това щракнете върху Из тегляне на софтуера за хибридна защита на данните в секцията По мощ. По-старите версии на софтуерния пакет (OVA) няма да бъдат съвместими с най-новите ъпгрейди за хибридна сигурност на данните. Това може да доведе до проблеми при надграждане на приложението. Уверете се, че сте изтеглили най-новата версия на файла OVA.
3	Изберете Не, за да посо чите, че все още не сте настроили възела, след което щ ракнете върху Напред. OVA файлът автоматично започва да се изтегля. Запазете файла на място на вашето устройство.
4	По желание щракнете върху Отваряне на ръководството за внедряване, за да проверите дали има по-късна версия на това ръководство.

Създайте конфигурационен ISO за HDS хостовете

Процесът на настройка на хибридна защита на данните създава ISO файл. След това използвате ISO, за да конфигурирате вашия хост за хибридна защита на данните.

Преди да започнете

Инструментът за настройка на HDS работи като контейнер Docker на локална машина. За да получите достъп до него, стартирайте Docker на тази машина. Процесът на настройка изисква идентификационните данни на акаунт в Control Hub с пълни администраторски права за вашата организация.

Ако нямате лиценз за Docker Desktop, можете да използвате Podman Desktop, за да стартирате инструмента за настройка на HDS за стъпки от 1 до 5 в процедурата по-долу. Вижте Стар тиране на инструмента за настройка на HDS с помощта на Podman Desktop за подроб ности.

Ако инструментът за настройка на HDS работи зад прокси сървър във вашата среда, предоставете настройките на прокси сървъра (сървър, порт, идентификационни данни) чрез променливите на средата на Docker, когато извеждате контейнера Docker в стъпка 5. Тази таблица дава някои възможни променливи на средата:

Описание

Променлива

HTTP прокси без удостоверяване

GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

HTTPS прокси без удостоверяване

GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

HTTP прокси с удостоверяване

GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS прокси с удостоверяване

GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Конфигурационният ISO файл, който генерирате, съдържа главния ключ, криптиращ базата данни PostgreSQL или Microsoft SQL Server. Нуждаете се от най-новото копие на този файл всеки път, когато правите промени в конфигурацията, като следните:
- Идентификационни данни
- Актуализации на сертификатите
- Промени в политиката за оторизация
Ако планирате да криптирате връзки с база данни, настройте внедряването на PostgreSQL или SQL Server за TLS.

1

В командния ред на вашата машина въведете съответната команда за вашата среда:

В редовни среди:

docker rmi ciscocitg/hds-setup:stable

В средите на FedRAMP:

docker rmi ciscocitg/hds-setup-fedramp:stable

Тази стъпка почиства предишните изображения на инструмента за настройка на HDS. Ако няма предишни изображения, той връща грешка, която можете да игнорирате.

2

За да влезете в регистъра на изображенията на Docker, въведете следното:

docker login -u hdscustomersro

3

В подкана за парола въведете този хеш:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Изтеглете най-новото стабилно изображение за вашата среда:

В редовни среди:

docker pull ciscocitg/hds-setup:stable

В средите на FedRAMP:

docker pull ciscocitg/hds-setup-fedramp:stable

5

Когато изтеглянето завърши, въведете съответната команда за вашата среда:

В обикновени среди без прокси сървър:
```
docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable
```

В обикновени среди с HTTP прокси сървър:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

В обикновени среди с HTTPS прокси сървър:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

В среда на FedRAMP без прокси сървър:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

В среда на FedRAMP с HTTP прокси сървър:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

В среда на FedRAMP с HTTPS прокси сървър:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Когато контейнерът работи, виждате „Експресно слушане на сървъра на порт 8080“.

6

Инструментът за настройка не поддържа свързване с localhost чрез http://localhost:8080. Използвайте http://127.0.0.1:8080, за да се свържете с localhost.

Използвайте уеб браузър, за да отидете на localhost http://127.0.0.1:8080, и въведете потребителското име за администратора на клиента за Control Hub в подканата.

Инструментът използва това първо въвеждане на потребителското име, за да зададе подходящата среда за този акаунт. След това инструментът показва стандартния подкана за влизане.

7

Когато бъдете подканени, въведете идентификационните данни за влизане на администратора на клиента на Control Hub и след това щ ракнете върху Вход, за да разрешите достъп до необходимите услуги за хибридна защита на данните.

8

На страницата Преглед на инструмента за настройка щрак нете върху Започване.

9

На страницата Импортиране на ISO имате следните опции:

Не — Ако създавате първия си HDS възел, нямате ISO файл за качване.
Да — Ако вече сте създали HDS възли, изберете вашия ISO файл в браузъра и го качвате.

10

Проверете дали вашият сертификат X.509 отговаря на изискванията в изискванията за сертификат X.50 9.

Ако никога преди не сте качвали сертификат, качете сертификата X.509, въведете паролата и щракнете върху Продължи.
Ако вашият сертификат е OK, щракнете върху Продължи.
Ако вашият сертификат е изтекъл или искате да го замените, изберете Не за Продължаване да използвате веригата за сертификати HDS и частен ключ от предишния ISO? . Качете нов сертификат X.509, въведете паролата и щракнете върху Продължи.

11

Въведете адреса на базата данни и акаунта за HDS, за да получите достъп до вашата ключова база данни:

Изберете вашия тип база данни (PostgreSQL или Microsoft SQL Server).

Ако изберете Microsoft SQL Server, ще получите поле Тип удостоверяване.
(Само Microsoft SQL Server) Изберете вашия тип удостоверяване:
- Основно удостоверяване: Имате нужда от име на локален акаунт на SQL Server в полето Потребителско име.
- Удостоверяване на Windows: Имате нужда от акаунт в Windows във формата username@DOMAINв полето Потребителско име.
Въведете адреса на сървъра на базата данни във формуля <hostname>:<port>ра или <IP-address>:<port>.

Пример:
dbhost.example.org:1433или 198.51.100.17:1433

Можете да използвате IP адрес за основно удостоверяване, ако възлите не могат да използват DNS за разрешаване на името на хоста.

Ако използвате удостоверяване на Windows, трябва да въведете напълно квалифицирано име на домейн във формата dbhost.example.org:1433
Въведете името на базата данни.
Въведете потребителското име и парол ата на потребител с всички привилегии в базата данни за съхранение на ключове.

12

Изберете режим на свързване с база данни TLS:

Режим	Описание
Предпочитайте TLS (опция по подразбиране)	HDS възлите не изискват TLS за свързване към сървъра на базата данни. Ако активирате TLS на сървъра на базата данни, възлите се опитват да създадат криптирана връзка.
Изисквайте TLS	HDS възлите се свързват само ако сървърът на базата данни може да договаря TLS.
Изисквайте TLS и проверете подписващия сертификат	Този режим не е приложим за бази данни на SQL Server. HDS възлите се свързват само ако сървърът на базата данни може да договаря TLS. След установяване на TLS връзка възелът сравнява подписващия сертификат от сървъра на базата данни с органа за сертификат в основния сертификат на базата данни. Ако не съвпадат, възелът прекратява връзката. Използвайте контролата за основен сертификат за база данни под падащото меню, за да качите основния сертификат за тази опция.
Изисквайте TLS и проверете подписващия сертификат и името на хоста	HDS възлите се свързват само ако сървърът на базата данни може да договаря TLS. След установяване на TLS връзка възелът сравнява подписващия сертификат от сървъра на базата данни с органа за сертификат в основния сертификат на базата данни. Ако не съвпадат, възелът прекратява връзката. Възлите също така проверяват дали името на хоста в сертификата на сървъра съвпада с името на хоста в полето хост и порт на база данни. Имената трябва да съвпадат точно или възелът прекратява връзката. Използвайте контролата за основен сертификат за база данни под падащото меню, за да качите основния сертификат за тази опция.

Когато качите основния сертификат (ако е необходимо) и щракнете върху Прод ължи, инструментът за настройка на HDS тества връзката TLS със сървъра на базата данни. Инструментът също проверява подписващия сертификат и името на хоста, ако е приложимо. Ако тестът не успее, инструментът показва съобщение за грешка, описващо проблема. Можете да изберете дали да игнорирате грешката и да продължите с настройката. (Поради разликите в свързаността HDS възлите може да могат да установят TLS връзката, дори ако машината за настройка на HDS не може успешно да я тества.)

13

На страницата Системни дневници конфигурирайте вашия Syslogd сървър:

Въведете URL адреса на сървъра syslog.

Ако сървърът не се разрешава с DNS от възлите за вашия HDS клъстер, използвайте IP адрес в URL адреса.

Пример:
udp://10.92.43.23:514показва регистриране към Syslogd хост 10.92.43.23 на UDP порт 514.
Ако настроите сървъра си да използва TLS криптиране, проверете Конфигуриран ли е сървърът ви за TLS преговаряване/ръкостискане?

Ако поставите отметка в това квадратче, уверете се, че сте въвели TCP URL адрес tcp://10.92.43.23:514, като например, и качете основния сертификат на syslog.
От падащото меню Избор на прекратяване на записа syslog изберете подходящата настройка за вашия ISO файл: Изберете или Newline се използва за Graylog и Rsyslog TCP
- Нулев байт --\ x00
- Нов ред --\ n —Изберете този избор за Graylog и Rsyslog TCP.
Щракнете върху Продъл жи.

14

(Незадължително) Можете да промените стойността по подразбиране за някои параметри за връзка с база данни в Раз ширени настройки. Обикновено този параметър е единственият, който може да искате да промените:

app_datasource_connection_pool_maxSize: 10

15

Щракнете върху Прод ължи на ек рана Нулиране на паролата за услуги.

Паролите за сервизни акаунти имат деветмесечен живот. Използвайте този екран, когато паролите ви наближават изтичане или искате да ги нулирате, за да анулирате предишните ISO файлове.

16

Щракнете върху Изтегляне на ISO файл. Запазете файла на място, което е лесно да се намери.

17

Направете резервно копие на ISO файла на вашата локална система.

Поддържайте резервното копие защитено. Този файл съдържа основен ключ за криптиране за съдържанието на базата данни. Ограничете достъпа само до онези администратори за хибридна защита на данните, които трябва да правят промени в конфигурацията.

18

За да изключите инструмента за настройка, въведете CTRL+C.

Какво да правя по-нататък

Архивирайте конфигурационния ISO файл. Нуждаете се от него, за да създадете повече възли за възстановяване или да направите промени в конфигурацията. Ако загубите всички копия на ISO файла, сте загубили и главния ключ. Възстановяването на ключовете от вашата база данни PostgreSQL или Microsoft SQL Server не е възможно.

Никога нямаме копие на този ключ и не можем да помогнем, ако го загубите.

Инсталирайте HDS хост OVA

Използвайте тази процедура, за да създадете виртуална машина от файла OVA.

Ако инсталирате HDS на NFVIS хипервизор, вижте секцията Инсталиране на HD S хост OVA на NFVIS.

Ако инсталирате HDS на хипервизор на Nutanix, вижте секцията Инсталиране на HDS хост OVA на Nutanix.

1	Използвайте VMware vSphere клиента на вашия компютър, за да влезете във виртуалния хост ESXi.
2	Изберете Файл > Разгъ ване на OVF шаблон.
3	В съветника посочете местоположението на OVA файла, който сте изтеглили по-рано, и след това щракнете върху Напред.
4	На страницата Избор на име и папка въведете име на Виртуална машина за възела (например "HDS_Node_1„), изберете място, където може да се намира внедряването на възела на виртуалната машина и след това щракнете върху На пред.
5	На страницата Из бор на ресурс за изчисление изберете дестинационния изчислителен ресурс и след това щракнете върху Напред. Изпълнява се проверка за валидиране. След като приключи, се появяват подробностите за шаблона.
6	Проверете подробностите за шаблона и след това щракнете върху На пред.
7	Ако бъдете помолени да изберете конфигурацията на ресурса на страницата Конфигу ра ция, щракнете върху 4 CPU и след това щракнете върху Напред.
8	На страницата Избор на съхранение щ ракнете върху Напред, за да приемете дисковия формат по подразбиране и правилата за съхранение на VM.
9	На страницата Из бор на мрежи изберете опцията мрежа от списъка с записи, за да осигурите желаната свързаност към VM.
10	На страницата Пер сонализиране на шаблона конфигурирайте следните мрежови настройки: Име на хоста — Въведете FQDN (име на хост и домейн) или име на хост с една дума за възела. Не е необходимо да задавате домейна да съответства на домейна, който сте използвали за получаване на сертификата X.509. За да осигурите успешна регистрация в облака, използвайте само малки букви в FQDN или името на хоста, които сте задали за възела. Понастоящем капитализацията не се поддържа. Общата дължина на FQDN не трябва да надвишава 64 знака. IP адрес — Въведете IP адреса за вътрешния интерфейс на възела. Вашият възел трябва да има вътрешен IP адрес и DNS име. DHCP не се поддържа. Маска — Въведете адреса на маската на подмрежата в точковата десетична нотация. Например, 255.255.255.0. Шлюз — Въведете IP адреса на шлюза. Шлюзът е мрежов възел, който служи като точка за достъп до друга мрежа. DNS сървъри — Въведете списък с DNS сървъри, разделен със запетаи, които се справят с превода на имена на домейни на цифрови IP адреси. (Допускат се до 4 DNS записа.) NTP сървъри — Въведете NTP сървъра на вашата организация или друг външен NTP сървър, който може да се използва във вашата организация. NTP сървърите по подразбиране може да не работят за всички предприятия. Можете също да използвате списък, разделен със запетаи, за да въведете няколко NTP сървъра. Разгънете всички възли в една и съща подмрежа или VLAN, така че всички възли в клъстера да са достъпни от клиенти във вашата мрежа за административни цели. Ако е предпочитано, можете да пропуснете конфигурацията на мрежовите настройки и да следвате стъпките в Настройване на виртуалната машина за хибридна защита на данните, за да конфигурирате настройките от конзолата на възела. Опцията за конфигуриране на мрежовите настройки по време на внедряването на OVA е тествана с ESXi 7.0 и 8.0. Възможно е опцията да не е налична в по-ранни версии.
11	Щракнете с десния бутон върху възела VM и след това изберете Захран ване > Включване. Софтуерът за хибридна защита на данните се инсталира като гост на VM хост. Вече сте готови да влезете в конзолата и да конфигурирате възела. Съвети за отстраняване Може да изпитате забавяне от няколко минути, преди да се появят контейнерите на възли. По време на първото зареждане на конзолата се появява съобщение на мостовата защитна стена, по време на което не можете да влезете.

Настройте хибридната виртуална машина за защита на данните

Използвайте тази процедура, за да влезете за първи път в конзолата на VM възела Hybrid Data Security и да зададете идентификационните данни за влизане. Можете също да използвате конзолата, за да конфигурирате мрежовите настройки за възела, ако не сте ги конфигурирали по време на внедряването на OVA.

Ако внедрявате HDS на NFVIS хипервизор, вижте раздела Настройване на хибридна виртуална машина за защита на данните в NFVIS.

Ако внедрявате HDS на хипервизор на Nutanix, вижте раздела Съ здаване на хибридна виртуална машина за сигурност на данни на Nutanix.

1	В клиента VMware vSphere изберете вашия VM възел за хибридна защита на данните и изберете раздела Конз ола. VM стартира и се появява подкана за вход. Ако подканата за влизане не се показва, натиснете Enter.
2	Използвайте следното потребителско име и парола по подразбиране, за да влезете и да промените идентификационните данни: Вход: `admin` Парола: `ciscosystems` Тъй като влизате в виртуалната си виртуална машина за първи път, трябва да промените паролата на администратора.
3	Ако вече сте конфигурирали мрежовите настройки в Инсталиране на HDS Host OVA, пропуснете останалата част от тази процедура. В противен случай в главното меню изберете опцията Реда ктиране на конфигура цията.
4	Настройте статична конфигурация с IP адрес, маска, шлюз и DNS информация. Вашият възел трябва да има вътрешен IP адрес и DNS име. DHCP не се поддържа.
5	(Незадължително) Променете името на хоста, домейна или NTP сървъра (ите), ако е необходимо, за да съответства на мрежовите правила. Не е необходимо да задавате домейна да съответства на домейна, който сте използвали за получаване на сертификата X.509.
6	Запазете мрежовата конфигурация и рестартирайте VM, така че промените да влязат в сила.

Качване и монтиране на HDS конфигурация ISO

Използвайте тази процедура, за да конфигурирате виртуалната машина от ISO файла, който сте създали с инструмента за настройка на HDS.

Ако инсталирате HDS на NFVIS хипервизор, вижте секцията Качване и монтиране на ISO конфигурация на HD S.

Ако инсталирате HDS на хипервизор на Nutanix, вижте секцията Качване и монтиране на ISO конфигурация на HD S.

Преди да започнете

Тъй като ISO файлът съдържа главния ключ, той трябва да бъде изложен само на база „необходимост да се знае“, за достъп от виртуалните виртуални машини за хибридна сигурност на данните и всички администратори, които може да се наложи да направят промени. Уверете се, че само тези администратори имат достъп до системата на данни.

1

Качете ISO файла от вашия компютър:

В левия навигационен екран на клиента VMware vSphere кликнете върху сървъра ESXi.
В списъка Хардуер в раздела Конфигурация щракнете върху Съ хранение.
В списъка Datastores щракнете с десния бутон върху базата данни за вашите виртуални машини и щракнете върху Преглед на Datastore.
Щракнете върху иконата Качване на файлове и след това щракнете върху Ка чване на файл.
Прегледайте мястото, където сте изтеглили ISO файла на компютъра си, и щракнете върху Отвори.
Щракнете върху Да, за да приемете предупреждението за операцията за качване/изтегляне и затворете диалоговия прозорец за данни.

2

Монтирайте ISO файла:

В левия навигационен екран на клиента VMware vSphere кликнете с десния бутон върху виртуалната машина и щракнете върху Ре да ктиране на настройките.
Щракнете върху OK, за да приемете предупреждението за ограничени опции за редактиране.
Щракнете CD/DVD Drive 1, изберете опцията за монтиране от ISO файл на база данни и прегледайте мястото, където сте качили конфигурационния ISO файл.
Проверете Свър зани и Свържете при включено захран ване.
Запазете промените си и рестартирайте виртуалната машина.

Какво да правя по-нататък

Ако вашата ИТ политика изисква, можете по желание да деинсталирате ISO файла, след като всички ваши възли вземат промените в конфигурацията. Вижте (Незадължително) Отстраняване на ISO след конфигурация на HDS за подробности.

Конфигурирайте HDS възела за интеграция на прокси сървъри

Ако мрежовата среда изисква прокси сървър, използвайте тази процедура, за да посочите типа прокси сървър, който искате да интегрирате с хибридна защита на данните. Ако изберете прозрачен прокси сървър за проверка или HTTPS прокси сървър, можете да използвате интерфейса на възела, за да качите и инсталирате основния сертификат. Можете също да проверите прокси връзката от интерфейса и да отстраните евентуални проблеми.

Преди да започнете

Вижте Поддръжка на прокси сървъри за преглед на поддържаните опции за прокси сървъри.
Изисквания за прокси сър

1	Въведете URL адреса за настройка на HDS възела `https://[HDS Node IP or FQDN]/setup`в уеб браузър, въведете идентификационните данни за администратора, които сте настроили за възела, и след това щракнете върху Вход.
2	Отидете в Trust Store & Proxy и след това изберете опция: Без прокси — опцията по подразбиране, преди да интегрирате прокси сървър. Не се изисква актуализация на сертификата. Прозрачен прокси сървър без проверка — възлите не са конфигурирани да използват конкретен адрес на прокси сървър и не трябва да изискват никакви промени, за да работят с прокси сървър, който не проверява. Не се изисква актуализация на сертификата. Прозрачен прокси сър вър за проверка — възлите не са конфигурирани да използват конкретен адрес на прокси сървър. Не са необходими промени в конфигурацията на HTTPS при внедряването на Hybrid Data Security, но HDS възлите се нуждаят от основен сертификат, за да се доверят на прокси сървъра. Инспекционните прокси сървъри обикновено се използват от ИТ за налагане на политики по кои уебсайтове могат да бъдат посещавани и кои видове съдържание не са разрешени. Този тип прокси дешифрира целия ви трафик (дори HTTPS). Изричен прокси сървър — С изричен прокси сървър казвате на клиента (HDS възли) кой прокси сървър да използва и тази опция поддържа няколко типа удостоверяване. След като изберете тази опция, трябва да въведете следната информация: Прокси IP/FQDN — Адрес, който може да се използва за достигане до прокси машината. Про@@ кси порт — номер на порт, който прокси служителят използва за слушане на прокси трафик. Прокси протокол — Изберете http (преглежда и контролира всички заявки, получени от клиента) или https (предоставя канал към сървъра и клиентът получава и валидира сертификата на сървъра). Изберете опция въз основа на това, което поддържа вашият прокси сървър. Тип удостоверяване — Изберете от следните типове удостоверяване: Няма — Не се изисква допълнително удостоверяване. Предлага се за HTTP или HTTPS прокси сървъри. Основно — Използва се за HTTP потребителски агент за предоставяне на потребителско име и парола при подаване на заявка. Използва кодиране Base64. Предлага се за HTTP или HTTPS прокси сървъри. Ако изберете тази опция, трябва също да въведете потребителското име и паролата. Digest — Използва се за потвърждаване на акаунта преди изпращане на чувствителна информация. Прилага хеш функция върху потребителското име и паролата преди изпращане през мрежата. Предлага се само за HTTPS прокси сървъри. Ако изберете тази опция, трябва също да въведете потребителското име и паролата. Следвайте следващите стъпки за прозрачен прокси сървър за проверка, HTTP прокси сървър с основно удостоверяване или HTTPS прокси сървър.
3	Щракнете върху Качване на основен сертификат или сертификат за край но образувание и след това преминете към избор на основния сертификат за прокси сървъра. Сертификатът е качен, но все още не е инсталиран, защото трябва да рестартирате възела, за да инсталирате сертификата. Щракнете върху стрелката на шеврона до името на издателя на сертификата, за да получите повече подробности, или щракнете върху Из три ване, ако сте допуснали грешка и искате да качите файла отново.
4	Щракнете върху Проверка на прокси връз ката, за да тествате мрежовата свързаност между възела и прокси сървъра. Ако тестът за връзка не успее, ще видите съобщение за грешка, което показва причината и как можете да коригирате проблема. Ако видите съобщение, че външната DNS резолюция не е била успешна, възелът не е успял да достигне DNS сървъра. Това условие се очаква в много явни прокси конфигурации. Можете да продължите с настройката и възелът ще функционира в режим на блокирана външна DNS резолюция. Ако смятате, че това е грешка, изпълнете тези стъпки и след това вижте Из ключване на режим на блокирана външна резолюция на DNS.
5	След като теста за връзка премине, за изричен прокси сървър, зададен само на https, включете превключвателя на Мар шрутирайте всички заявки за https на порт 443/444 от този възел през изричния прокси сървър. Тази настройка изисква 15 секунди, за да влезе в сила.
6	Щракнете върху Инсталиране на всички сертификати в магазина за довери е (показва се за HTTPS прокси сървъри или прозрачен прокси сървър за проверка) или Рестартирайте (показва се за изричен HTTP прокси сървър), прочетете подкана и след това щракнете върху Инст алиране, ако сте готови. Възелът се рестартира в рамките на няколко минути.
7	След като възелът се рестартира, влезте отново, ако е необходимо, и след това отворете страницата Пре глед, за да проверите проверките за свързаност, за да се уверите, че всички те са в зелено състояние. Проверката на прокси връзката тества само поддомейн на webex.com. Ако има проблеми със свързаността, често срещан проблем е, че някои от облачните домейни, изброени в инструкциите за инсталиране, се блокират в прокси сървъра.

Регистрирайте първия възел в клъстера

Тази задача взема общия възел, който сте създали в Настрой ване на хибридната виртуална машина за сигурност на данните, регистрира възела с облака Webex и го превръща в възел за хибридна защита на данните.

Когато регистрирате първия си възел, създавате клъстер, към който е присвоен възелът. Клъстерът съдържа един или повече възли, разположени за осигуряване на резервиране.

Преди да започнете

След като започнете регистрацията на възел, трябва да го завършите в рамките на 60 минути или трябва да започнете отначало.
Уверете се, че всички блокери на изскачащи прозорци във вашия браузър са деактивирани или че разрешавате изключение за admin.webex.com.

1	Влезте в https://admin.webex.com.
2	От менюто от лявата страна на екрана изберете У слуги.
3	В секцията Хибридни услуги намерете Хибридна защита на данните и щракнете върху Настройка. Появява се страницата Регистрирайте хибридния възел за сигурност на данните.
4	Изберете Да, за да посочите, че сте настроили възела и сте готови да го регистрирате, след което щракнете върху Напред.
5	В първото поле въведете име за клъстера, към който искате да зададете своя възел за хибридна защита на данните. Препоръчваме ви да назовете клъстер въз основа на това къде се намират географски възлите на клъстера. Примери: „Сан Франциско“ или „Ню Йорк“ или „Далас“
6	Във второто поле въведете вътрешния IP адрес или напълно квалифицирано име на домейн (FQDN) на вашия възел и щракнете върху Напред. Този IP адрес или FQDN трябва да съответства на IP адреса или името на хоста и домейна, които сте използвали в Настройване на виртуалната машина за хибридна защита на данните. Появява се съобщение, показващо, че можете да регистрирате своя възел в Webex.
7	Щракнете върху Отиди в възел.
8	Щракнете върху Прод ължи в предупредителното съобщение. След няколко минути сте пренасочени към тестовете за свързаност на възлите за услугите на Webex. Ако всички тестове са успешни, се появява страницата Разрешаване на достъп до хибридни възли за сигурност на данните. Там потвърждавате, че искате да дадете разрешения на вашата организация Webex за достъп до вашия възел.
9	Поставете отметка в квадратчето Разрешаване на достъп до вашия хибриден възел за сигурност на данните и след това щракнете върху Продължи. Вашият акаунт е валидиран и съобщението „Регистрацията е завършена“ показва, че вашият възел вече е регистриран в облака Webex.
10	Щракнете върху връзката или затворете раздела, за да се върнете към страницата за хибридна защита на данните на контролния център. На страницата Хи бридна защита на данните се показва новият клъстер, съдържащ регистрирания от вас възел. Възелът автоматично ще изтегли най-новия софтуер от облака.

Създаване и регистриране на още възли

За да добавите допълнителни възли към вашия клъстер, просто създавате допълнителни виртуални машини и монтирате същия конфигурационен ISO файл, след което регистрирате възела. Препоръчваме ви да имате поне 3 възела.

Понастоящем резервните виртуални машини, които сте създали в „Завършване на предпоставките за хибридна сигурност на данните“, са хостове в режим на готовност, които се използват само в случай на възстановяване при бедствие; дотогава те не са регистрирани в системата. За подробности вижте Възстанов яване при бедствие с помощта на Център за данни в режим на готовност.

Преди да започнете

След като започнете регистрацията на възел, трябва да го завършите в рамките на 60 минути или трябва да започнете отначало.
Уверете се, че всички блокери на изскачащи прозорци във вашия браузър са деактивирани или че разрешавате изключение за admin.webex.com.

1	Създайте нова виртуална машина от OVA, повтаряйки стъпките в Инсталиране на HDS Host OVA.
2	Настройте първоначалната конфигурация на новата VM, повтаря йки стъпките в Настройване на хибридната виртуална машина за защита на данните.
3	На новата виртуална виртуална машина повторете стъпките в Качване и монтирайте ISO за конфигурация на HDS.
4	Ако настройвате прокси сървър за вашето внедряване, повторете стъпките в Конфигу риране на HDS възела за интеграция на прокси сървъри, както е необходимо за новия възел.
5	Регистрирайте възела. В https://admin.webex.com изберете У слуги от менюто от лявата страна на екрана. В секцията Хибридни услуги намерете картата за хибридна защита на данните и щракнете върху Ресурси. Появява се страницата Хибридни ресурси за сигурност на данните. Щракнете върху Добавяне на ресурс. В първото поле изберете името на съществуващия си клъстер. Във второто поле въведете вътрешния IP адрес или напълно квалифицирано име на домейн (FQDN) на вашия възел и щракнете върху Напред. Появява се съобщение, показващо, че можете да регистрирате своя възел в облака Webex. Щракнете върху Отиди в възел. След няколко минути сте пренасочени към тестовете за свързаност на възлите за услугите на Webex. Ако всички тестове са успешни, се появява страницата Разрешаване на достъп до хибридни възли за сигурност на данните. Там потвърждавате, че искате да дадете разрешения на вашата организация за достъп до вашия възел. Поставете отметка в квадратчето Разрешаване на достъп до вашия хибриден възел за сигурност на данните и след това щракнете върху Продължи. Вашият акаунт е валидиран и съобщението „Регистрацията е завършена“ показва, че вашият възел вече е регистриран в облака Webex. Щракнете върху връзката или затворете раздела, за да се върнете към страницата за хибридна защита на данните на контролния център. Вашият възел е регистриран. Имайте предвид, че докато не започнете пробна версия, вашите възли генерират аларма, показваща, че услугата ви все още не е активирана.

Какво да правя по-нататък

Стартирайте пробна версия и преминете към производство (следваща глава)

Стартирайте пробен период и преминете към производство

Проба към производствения поток от задачи

След като настроите клъстер за хибридна сигурност на данните, можете да стартирате пилотен проект, да добавите потребители към него и да започнете да го използвате за тестване и проверка на внедряването си в подготовката за преминаване към производство.

Преди да започнете

Създаване на хибриден клъстер за сигурност на данните

1	Ако е приложимо, синхронизирайте обекта на `HdsTrialGroup`групата. Ако организацията ви използва синхронизиране на директории за потребители, трябва да изберете `HdsTrialGroup`груповия обект за синхронизиране с облака, преди да можете да започнете пробна версия. За инструкции вижте Ръководството за внедряване на Cisco Directory Connector.
2	Активирайте пробната версия Започнете процес. Докато не изпълните тази задача, вашите възли генерират аларма, показваща, че услугата все още не е активирана.
3	Тествайте внедряването на хибридната сигурност на данните Проверете дали ключовите заявки се предават към вашето внедряване на хибридна защита на данните.
4	Мониторирайте здравето на хибридната сигурност на данните Проверете състоянието и настройте известия по имейл за аларми.
5	Добавяне или премахване на потребители от пробния период
6	Завършете пробната фаза с едно от следните действия: Преминаване от пробно към производство Прекратете пробния си период, без да преминете към производство

Активирайте пробната версия

Преди да започнете

Ако организацията ви използва синхронизиране на директории за потребители, трябва да изберете обекта на HdsTrialGroupгрупата за синхронизиране с облака, преди да можете да започнете пробна версия за вашата организация. За инструкции вижте Ръководството за внедряване на Cisco Directory Connector.

1	Влезте в https://admin.webex.com и след това изберете У слуги.
2	Под Хибридна защита на данните щракнете върху На стройки.
3	В секцията Състояние на услугата щракнете върху Стартиране на пробната версия. Състоянието на услугата се променя в пробен режим.
4	Щракнете върху Добавяне на потребители и въведете имейл адреса на един или повече потребители, за да използвате вашите възли за хибридна защита на данните за услуги за криптиране и индексиране. (Ако организацията ви използва синхронизиране на директории, използвайте Active Directory за управление на пробната група `HdsTrialGroup`.)

Тествайте внедряването на хибридната сигурност на данните

Използвайте тази процедура, за да тествате сценарии за криптиране на хибридна защита на данните.

Преди да започнете

Настройте внедряването на хибридна защита на данните.
Активирайте пробната версия и добавете няколко пробни потребители.
Уверете се, че имате достъп до syslog, за да проверите дали ключовите заявки се предават към вашето внедряване на хибридна защита на данните.

1

Клавишите за дадено пространство се задават от създателя на пространството. Влезте в приложението Webex като един от пилотните потребители и след това създайте пространство и поканете поне един пилотен потребител и един потребител, който не е пилот.

Ако деактивирате внедряването на хибридна защита на данните, съдържанието в пространствата, които пилотните потребители създават, вече не е достъпно, след като бъдат заменени кешираните от клиента копия на ключовете за криптиране.

2

Изпращайте съобщения в новото пространство.

3

Проверете изхода на syslog, за да проверите дали ключовите заявки се предават към вашето внедряване на хибридна защита на данните.

За да проверите дали потребител първо установява защитен канал към KMS, филтрирайте kms.data.method=createи: kms.data.type=EPHEMERAL_KEY_COLLECTION

Трябва да намерите запис като следния (идентификаторите са съкратени за четливост):

2020-07-21 17:35:34.562 (+0000) INFO  KMS [pool-14-thread-1] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms://hds2.org5.portun.us/statickeys/3[~]0 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=EPHEMERAL_KEY_COLLECTION, 
kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2

За да проверите дали потребител иска съществуващ ключ от KMS, филтрирайте kms.data.method=retrieveи: kms.data.type=KEY

Трябва да намерите запис като:

2020-07-21 17:44:19.889 (+0000) INFO  KMS [pool-14-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=retrieve, 
kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriHost=ciscospark.com, kms.data.type=KEY, 
kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b

За да проверите дали потребител иска създаването на нов KMS ключ, филтрирайте kms.data.method=createи: kms.data.type=KEY_COLLECTION

Трябва да намерите запис като:

2020-07-21 17:44:21.975 (+0000) INFO  KMS [pool-14-thread-33] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, 
kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, 
kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b

За да проверите дали потребител иска създаването на нов ресурсен обект на KMS (KRO) при създаването на пространство или друг защитен ресурс, филтрирайте и: kms.data.method=createkms.data.type=RESOURCE_COLLECTION

Трябва да намерите запис като:

2020-07-21 17:44:22.808 (+0000) INFO  KMS [pool-15-thread-1] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

Тълкуване на HDS дневници и разбиране на етикетите на агенти

HDS дневниците предоставят подробна информация относно заявките за KMS. Тези дневници включват различни полета, които помагат да се идентифицира естеството на заявката и свързаната с нея самоличност. Разбирането на тези области е от съществено значение за правилното тълкуване на дейностите и надеждните вътрешни операции.

Терминология

За да се гарантира яснота при прегледа на HDS дневниците, е важно да разберете следните термини:

Срок	Определение
Сервизен акаунт	Идентичност на услугата, която позволява на услугите на Webex да извършват оторизирани действия сигурно.
Агент	Идентичност на услужния субект или услужен акаунт, използван за извършване на автоматизирани операции в HDS средата.
Етикет на агента	Маркер, включен в дневниците на HDS, който идентифицира конкретния източник и тип на входяща заявка, позволявайки ефективен одит на контрола на достъпа.
Делегиран достъп	Оторизиран сервизен акаунт, който прави заявка за конкретен потреб ител, в рамките на разрешенията на този потребител. Появява се като заявка за делеги ране: `agent -> userid`.

Терминът „агент“ в този контекст се отнася конкретно до идентичността на HDS услугата. Те не са свързани с агентите, задвижвани от AI, използвани в други функции на Webex.

Искането се връч ва само когато произхожда от:

удостоверен потребител във вашата организация или
ака унт за услуги, който се намира във вашата организация и е оторизиран от нея.

Преглед на полетата за дневници

Поле	Какво представлява
Времева марка	Дата и час на операцията.
kms.data.метод	Извършена операция KMS (например извличане).
kms.data.orgld	Идентификатор на организацията.
KMS.Data.HttpUserАгент	Клиентът или службата, която прави заявката.
WEBEX_TRACKINGID	Уникален идентификатор за проследяване на заявката.
КМС.Дата.УриХост/кмс.дата.ури	Домакинът и ресурсът, насочен към заявката.
kms.дата.userld	Самоличността, изпълняваща заявката, включително етикет на агента.
км.отговор.успех	Показва дали искането е успяло.

Видове заявки - Бърза справка

Етикет в дневника	Етикет на агента	Какво представлява	Типични операции
Тип потребител: UserAgent	Потребителски агент	Надежден акаунт за услуги, свързан с потребителски работен процес, обхванат от вашата организация.	Създаване/управление на ключове за потребителски процес.
o-агент <id>-> потребител <id>	Организационен агент	Надеждна услуга на ниво орган, използващ делегиран достъп.	Извличане на данни от Webex от служителя за съответствие, интеграции на календари.
c-агент <id>-> потребител <id>	Облачен агент	Услуга на Webex, изпълняваща делегирана заявка за конкретен потребител.	Сканиране на вируси, визуализация на съдържанието, транскрипти.
c-агент <id>	Облачен агент	Услуга на Webex, изпълняваща делегирана заявка.	ECDHE/сесийни ключове.
UUID на крайния потребител	-	Удостовереният краен потребител, взаимодействащ с HDS.	Потребител извлича собствения си ключ.

Видове заявки - В детайли

Етикетите на агентите категоризират източника на заявката и помагат при определянето на подходящия контрол на достъпа. Следващите примери демонстрират множество типове заявки и свързаните с тях етикети на агенти.

Потребителски агент (UserAgent):

Това са надеждни акаунти за услуги на Webex, свързани с конкретни потребителски работни потоци и са обхванати от организацията на клиентите. Те обикновено се използват, когато дадена услуга създава и управлява ключове от името на работния процес на потребителя.

Примерен дневник:
```
2026-06-18 10:58:14.405 (+0000) INFO  KMS [pool-21-thread-110] - User: b[~]4 User Type: userAgent WEBEX_TRACKINGID=MsftPresence_6[~]9, kms.data.method=create, kms.merc.id=5[~]8, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=b[~]4, kms.data.orgId=null, kms.data.uri=/resources, kms.data.userId=3[~]6, kms.data.httpUserAgent=<Webex service>
```
Ключов индикатор: Примерният дневник показва потребителски агент (userAgent), извършващ операции за събиране на ресурси за услуга Webex.
Организационен агент (о-агент):

Тези надеждни акаунти за услуги на Webex са упълномощени да извършват делегирани операции от името на потребителите в рамките на HDS. В обхвата на организацията на клиентите, тези акаунти изпълняват операции на ниво организация. Тази функционалност поддържа няколко функции, като например позволяване на служителите по съответствие да търсят и извличат комуникационни данни на Webex - осигурявайки организационно съответствие с регулаторните стандарти, стандартите за сигурност и поверителност на данните.

Примерен дневник:
```
2026-06-18 11:24:53.034 (+0000) INFO  KMS [pool-19-thread-118] - WEBEX_TRACKINGID=ccc_8[~]c, kms.data.method=retrieve, kms.merc.id=2[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]2, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/d[~]7, kms.data.userId=o-agent 9[~]c -> userid 4[~]b, kms.data.httpUserAgent=<Webex service>
```
Ключов индикатор: Примерният дневник показва орган агент (o-agent 9[~]c), който извлича ключ от името на потребителя (4[~]b) за услуга Webex.
Облачен агент (c-агент):
Тези надеждни акаунти за услуги на Webex са упълномощени да извършват операции на HDS чрез делегиран достъп от името на потребител. Те поддържат основни функции - като записи след среща, транскрипти, сканиране срещу злонамерен софтуер и визуализации на файлове, които подобряват цялостното потребителско изживяване.

Докато облачните агенти могат да бъдат деактивирани чрез промяна на ISO, клиентите трябва да са наясно, че това ще доведе до загуба на функционалности, като записи след среща, преписи, визуализации на файлове и автоматизирано сканиране срещу злонамерен софтуер в Webex App Spaces. За повече информация вижте раздела Де активиране на облачните агенти.

Примерен дневник:
```
2026-06-18 11:27:59.388 (+0000) INFO  KMS [pool-19-thread-56] - WEBEX_TRACKINGID=CLIENT_2[~]e, kms.data.method=retrieve, kms.merc.id=b[~]c, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=0[~]6, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/e[~]e, kms.data.userId=c-agent b[~]c -> userid 9[~]c, kms.data.httpUserAgent=<Webex service>
```
Ключов индикатор: Примерният дневник показва облачен агент (c-agent b[~]c), който извлича ключ за съдържание от името на потребителя (9[~]c).

Директно взаимодействие на крайния потреб ител:

Удостоверен потребител, взаимодействащ директно с HDS.

Примерен дневник:

2026-06-18 11:29:39.858 (+0000) INFO  KMS [pool-19-thread-141] - kms.data.method=retrieve, kms.merc.id=a[~]d, kms.merc.sync=false, kms.data.orgId=null, kms.data.httpUserAgent=<Webex service>, WEBEX_TRACKINGID=CLIENT_7[~]e, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]a, kms.response.destination=https://wdm-a.wbx2.com/wdm/api/v1/devices/1[~]e, kms.response.resourceuri=null, kms.data.uri=kms://hds2.org5.portun.us/keys/b[~]b, kms.data.userId=c[~]f, kms.response.success=true

Ключов индикатор: Примерният дневник показва краен потребител (c[~]f), който извлича ключ и взаимодейства директно с HDS.

Мониторирайте здравето на хибридната сигурност на данните

Индикатор за състоянието в Control Hub ви показва дали всичко е наред с внедряването на хибридна защита на данните. За по-активно предупреждение се регистрирайте за известия по имейл. Ще бъдете уведомени, когато има въздействащи на услугата аларми или надстройки на софтуера.

1	В Control Hub изберете У слуги от менюто от лявата страна на екрана.
2	В секцията Хибридни услуги намерете Хибридна защита на данните и щракнете върху На стройки. Появява се страницата Настройки за хибридна защита на данните.
3	В секцията Известия по имейл въведете един или повече имейл адреса, разделени със запетаи, и натиснете Enter.

Добавяне или премахване на потребители от пробния период

След като активирате пробен период и добавите първоначалния набор от пробни потребители, можете да добавяте или премахвате пробни членове по всяко време, докато пробната версия е активна.

Ако премахнете потребител от пробната версия, клиентът на потребителя ще поиска създаване на ключове и ключове от облачния KMS вместо вашия KMS. Ако клиентът се нуждае от ключ, който се съхранява във вашия KMS, облачният KMS ще го изтегли от името на потребителя.

Ако организацията ви използва синхронизиране на директории, използвайте Active Directory (вместо тази процедура) за управление на пробната група HdsTrialGroup; можете да преглеждате членовете на групата в Control Hub, но не можете да ги добавяте или премахвате.

1	Влезте в Контролен център и след това изберете У слуги.
2	Под Хибридна защита на данните щракнете върху На стройки.
3	В раздела Пробен режим в областта Състояние на услугата щракнете върху Добавяне на потребители или щракнете върху преглед и редактиране, за да премахнете потребителите от пробната версия.
4	Въведете имейл адреса на един или повече потребители, които да добавите, или щракнете върху X от потребителски идентификатор, за да премахнете потребителя от пробната версия. След това щракнете върху Запаз ване.

Преминаване от пробно към производство

Когато сте доволни, че вашето внедряване работи добре за пробните потребители, можете да преминете към производство. Когато преминете към производство, всички потребители в организацията ще използват вашия локален домейн за хибридна защита на данните за криптиране на ключове и други услуги в областта на сигурността. Не можете да се върнете в пробен режим от производството, освен ако не деактивирате услугата като част от възстановяването при бедствие. Повторното активиране на услугата изисква да настроите нова пробна версия.

1	Влезте в Контролен център и след това изберете У слуги.
2	Под Хибридна защита на данните щракнете върху На стройки.
3	В секцията Състояние на услугата щракнете върху Преместване към продукция.
4	Потвърдете, че искате да преместите всичките си потребители в производство.

Прекратете пробния си период, без да преминете към производство

Ако по време на пробния период решите да не продължавате с внедряването на хибридна защита на данните, можете да деактивирате Hybrid Data Security, която приключва пробния период и премества пробните потребители обратно към услугите за сигурност на данните в облака. Потребителите на пробния период ще загубят достъп до данните, които са били криптирани по време на пробния период.

1	Влезте в Контролен център и след това изберете У слуги.
2	Под Хибридна защита на данните щракнете върху На стройки.
3	В секцията Деактивиране щракнете върху Де активиране.
4	Потвърдете, че искате да деактивирате услугата и да прекратите пробната версия.

Управление на вашето HDS внедряване

Управление на внедряването на HDS

Използвайте описаните тук задачи, за да управлявате внедряването на хибридна защита на данните.

Задаване на график за надграждане на

Софтуерните надстройки за хибридна сигурност на данните се извършват автоматично на ниво клъстер, което гарантира, че всички възли винаги работят с една и съща софтуерна версия. Надстройките се извършват съгласно графика за надграждане на клъстера. Когато стане налична надстройка на софтуера, имате възможност ръчно да надстроите клъстера преди планираното време за надстройване. Можете да зададете конкретен график за надстройване или да използвате графика по подразбиране от 3:00 сутринта Daily Съединени щати: Америка/Лос Анджелис. Можете също да изберете да отложите предстоящо надстройване, ако е необходимо.

За да зададете графика за надстройване:

1	Влезте в контролния център.
2	На страницата Общ преглед под Хибридни услуги изберете Хи бридна защита на данните.
3	На страницата Хибридни ресурси за сигурност на данните изберете клъстера.
4	В панела Общ преглед вдясно, под Настройки на клъстера изберете името на клъстера.
5	На страницата Настройки под Надстройване изберете часовата и часовата зона за графика за надстройване. Забележ ка: Под часовата зона се показва следващата налична дата и час на надстройка. Можете да отложите надстройката до следващия ден, ако е необходимо, като щракнете върху От ложи.

Промяна на конфигурацията на възела

Понякога може да се наложи да промените конфигурацията на вашия възел за хибридна защита на данните по причина като:

Промяна на x.509 сертификати поради изтичане на годност или други причини.

Не подкрепяме промяна на името на домейна CN на сертификат. Домейнът трябва да съответства на оригиналния домейн, използван за регистрация на клъстера.
Актуализиране на настройките на базата данни за промяна в копие на базата данни PostgreSQL или Microsoft SQL Server.

Ние не поддържаме мигриране на данни от PostgreSQL към Microsoft SQL Server или обратното. За да превключите средата на базата данни, започнете ново в недряване на хибридна защита на данните.
Създаване на нова конфигурация за подготовка на нов център за данни.

Също така, за целите на сигурността, Hybrid Data Security използва пароли за сервизни акаунти, които имат деветмесечен живот. След като инструментът за настройка на HDS генерира тези пароли, вие ги разгръщате във всеки от вашите HDS възли в конфигура ционния файл ISO. Когато паролите на организацията ви наближават изтичането, получавате известие от екипа на Webex за нулиране на паролата за вашия машинен акаунт. (Имейлът включва текста „Използвайте API на машинния акаунт, за да актуализирате паролата.“) Ако паролите ви все още не са изтекли, инструментът ви дава две опции:

Меко нули ране — Старите и новите пароли работят до 10 дни. Използвайте този период, за да замените ISO файла на възлите постепенно.
Твърдо нули ране — Старите пароли спират да работят веднага.

Ако паролите ви изтичат без нулиране, това се отразява на вашата HDS услуга, което изисква незабавно твърдо нулиране и подмяна на ISO файла във всички възли.

Използвайте тази процедура, за да генерирате нов конфигурационен ISO файл и да го приложите към вашия клъстер.

Преди да започнете

Инструментът за настройка на HDS работи като контейнер Docker на локална машина. За да получите достъп до него, стартирайте Docker на тази машина. Процесът на настройка изисква идентификационните данни на акаунт в Control Hub с пълни администраторски права за вашата организация.

Ако нямате лиценз за Docker Desktop, можете да използвате Podman Desktop, за да стартирате инструмента за настройка на HDS за стъпки 1.a до 1.e в процедурата по-долу. Вижте Стар тиране на инструмента за настройка на HDS с помощта на Podman Desktop за подроб ности.

Ако инструментът за настройка на HDS работи зад прокси сървър във вашата среда, предоставете настройките на прокси сървъра (сървър, порт, идентификационни данни) чрез променливите на средата на Docker, когато извеждате контейнера Docker в 1.e. Тази таблица дава някои възможни променливи на средата:

Описание	Променлива
HTTP прокси без удостоверяване	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS прокси без удостоверяване	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP прокси с удостоверяване	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS прокси с удостоверяване	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Имате нужда от копие на текущия конфигурационен ISO файл, за да генерирате нова конфигурация. ISO съдържа главния ключ, криптиращ базата данни PostgreSQL или Microsoft SQL Server. ISO се нуждаете, когато правите промени в конфигурацията, включително идентификационни данни за базата данни, актуализации на сертификати или промени в правилата за оторизация.

1	Използвайки Docker на локална машина, стартирайте инструмента за настройка на HDS. В командния ред на вашата машина въведете съответната команда за вашата среда: В редовни среди: `docker rmi ciscocitg/hds-setup:stable` В средите на FedRAMP: `docker rmi ciscocitg/hds-setup-fedramp:stable` Тази стъпка почиства предишните изображения на инструмента за настройка на HDS. Ако няма предишни изображения, той връща грешка, която можете да игнорирате. За да влезете в регистъра на изображенията на Docker, въведете следното: `docker login -u hdscustomersro` В подкана за парола въведете този хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Изтеглете най-новото стабилно изображение за вашата среда: В редовни среди: `docker pull ciscocitg/hds-setup:stable` В средите на FedRAMP: `docker pull ciscocitg/hds-setup-fedramp:stable` Уверете се, че сте изтеглили най-новия инструмент за настройка за тази процедура. Версиите на инструмента, създадени преди 22 февруари 2018 г., нямат екрани за нулиране на паролата. Когато изтеглянето завърши, въведете съответната команда за вашата среда: В обикновени среди без прокси сървър: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` В обикновени среди с HTTP прокси сървър: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` В обикновени среди с HTTPSProxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` В среда на FedRAMP без прокси сървър: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` В среда на FedRAMP с HTTP прокси сървър: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` В среда на FedRAMP с HTTPS прокси сървър: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Когато контейнерът работи, виждате „Експресно слушане на сървъра на порт 8080“. Използвайте браузър, за да се свържете с localhost, `http://127.0.0.1:8080`. Инструментът за настройка не поддържа свързване с localhost чрез http://localhost:8080. Използвайте http://127.0.0.1:8080, за да се свържете с localhost. Когато бъдете подканени, въведете идентификационните данни за влизане на клиенти на Control Hub и след това щракнете върху При емам, за да продължите. Импортирайте текущия конфигурационен ISO файл. Следвайте указанията, за да завършите инструмента и да изтеглите актуализирания файл. За да изключите инструмента за настройка, въведете `CTRL+C`. Създайте резервно копие на актуализирания файл в друг център за данни.
2	Ако имате работещ само един HDS възел, съз дайте нов VM възел за хибридна защита на данните и го регистрирайте с помощта на новия конфигурационен ISO файл. За по- подробни инструкции вижте Съ здаване и регистриране на още възли. Инсталирайте HDS хост OVA. Настройте HDS VM. Монтирайте актуализирания конфигурационен файл. Регистрирайте новия възел в Control Hub.
3	За съществуващите HDS възли, които изпълняват по-стария конфигурационен файл, монтирайте ISO файла. Изпълнете следната процедура на всеки възел на свой ред, като актуализирате всеки възел, преди да изключите следващия възел: За внедряване на VMware: Изключете виртуалната машина HDS. В клиента VMware vSphere изберете виртуалната машина HDS. Щракнете с десния бутон върху виртуалната машина и изберете Ре дактиране на настройките Изберете CD/DVD устройство 1. Ако в момента е прикачен ISO файл, отделете го, преди да продължите. Изберете Datastore ISO File и след това изберете новия конфигурационен ISO файл. Изберете Свър зани и С вързване при включено захран ване. Запазете промените и захранвайте виртуалната машина. За разполагане на NFVIS: Отидете в Конфигурация > Виртуална машина > Изображения > Хранилище на изображения и качете новия конфигурационен ISO файл в хранили щето на изображения NFVIS. Отворете Кон фигурация > Виртуална машина > Управ ление и изберете HDS виртуалната машина. Изключете виртуалната машина HDS и изчакайте, докато състоянието й се промени на Изключ ване. Отворе те CD-ROM устройства. Ако в момента е прикачен ISO файл, отделете го и проверете дали не остава прикачен ISO файл. Изберете При ка чи и след това изберете новокачения конфигурационен ISO файл. Завършете операцията и проверете дали новият конфигурационен ISO файл е посочен. Стартирайте виртуалната машина HDS. За внедряване на Nutanix: В Prism Central отидете на Инфраструктура > Из числяване > Изображения. Изберете Добавяне на изображение. Под Източник на изображение изберете Файл с изображ ения и след това изберете Добавяне на файл. Изберете новата конфигурация ISO и проверете дали Type е зададен на ISO. Попълнете избора на местоположение за целевия клъстер и завършете качването. Отидете в Инфраструктура > Изчисляване > VM и изберете приложимата HDS VM. В раздела Обобщение на вирту алната машина изберете Опера ции за захранване > Изключване на за хранването и изчакайте, докато виртуалната машина бъде напълно спряна. Отворете раздела Дис кове на VM. Ако е прикачен стар ISO за конфигурация, изберете само неговия запис на CD-ROM и щракнете върху Изтриване. В раздела Д ис кове, ако полето Източ ник е празно за записи на виртуален диск, изберете съответните квадратчета за отметка и щракнете върху Из три ване. Изберете При качване на диск и конфигурирайте следните стойности: Тип: CD- ROM Операция: Клониране от изображение Поставяне на диска: Съ щият клъстер Изображение: Новокачена конфигурация ISO Тип шина: SATA Запазете конфигурацията и потвърдете, че новият ISO се появява като прикачения CD-ROM на виртуалната машина. В раздела Об общение на виртуалната машина изберете Опера ции за захранване > Включване. Потвърдете, че не се появяват аларми поне 15 минути.
4	Повторете стъпка 3, за да замените конфигурацията на всеки останал възел, който изпълнява старата конфигурация.

Изключете блокирания режим на външна резолюция на DNS

Когато регистрирате възел или проверите конфигурацията на прокси сървъра на възела, процесът тества търсенето на DNS и свързаността с Cisco Webex облака. Ако DNS сървърът на възела не може да разреши публични DNS имена, възелът автоматично преминава в режим на блокирана външна DNS резолюция.

Ако вашите възли са в състояние да разрешават публични DNS имена чрез вътрешни DNS сървъри, можете да изключите този режим, като стартирате отново теста за прокси връзка на всеки възел.

Преди да започнете

Уверете се, че вашите вътрешни DNS сървъри могат да разрешават публични DNS имена и че вашите възли могат да комуникират с тях.

1	В уеб браузър отворете интерфейса на възела Hybrid Data Security (IP адрес/настройка, например https://192.0.2.0/setup), въведете идентификационните данни за администратора, които сте настроили за възела, и след това щракнете върху Вход.
2	Отидете на Преглед (страницата по подразбиране). Когато е активирана, блокираната външна DNS резолюция е зададена на Да.
3	Отидете на страницата Trust Store & Proxy.
4	Щракнете върху Проверете прокси връз ката. Ако видите съобщение, че външната DNS резолюция не е била успешна, възелът не е успял да достигне DNS сървъра и ще остане в този режим. В противен случай, след като рестартирате възела и се върнете към страницата Пре глед, блокираната външна DNS резолюция трябва да бъде зададена на No.

Какво да правя по-нататък

Повторете теста за прокси връзка на всеки възел във вашия клъстер за хибридна защита на данните.

Премахване на възел

Използвайте тази процедура, за да премахнете възел за хибридна защита на данните от облака Webex. След като премахнете възела от клъстера, изтрийте виртуалната машина, за да предотвратите по-нататъшен достъп до вашите данни за сигурност.

1

Използвайте интерфейса за управление на хипервизора във вашето внедряване, за да намерите и изключите HDS виртуалната машина.

2

Премахнете възела:

Влезте в Контролен център и след това изберете У слуги.
На картата за хибридна защита на данните щракнете върху Преглед на всички, за да се покаже страницата Хибридни ресурси за сигурност на данните.
Изберете вашия клъстер, за да се покаже панела за преглед.
Щракнете върху Отваряне на списък с възли.
В раздела Възли изберете възела, който искате да премахнете.
Щракнете върху Дейст вия > Отписване на възел.

3

Използвайки интерфейса за управление на хипервизора във вашето внедряване, намерете и изтрийте виртуалната машина HDS.

Ако не изтриете виртуалната виртуална машина, не забравяйте да премахнете конфигурационния ISO файл. Без ISO файла не можете да използвате виртуалната машина за достъп до данните си за сигурност.

Център за данни в готовност за възстановяване при бедствия

По време на внедряването настройвате защитен център за данни в режим на готовност. В случай на бедствие в центъра за данни, можете ръчно да провалите внедряването си в центъра за данни в режим на готовност.

Базите данни на активните центрове за данни и центровете за данни в режим на готовност са синхронизирани помежду си, което ще сведе до минимум времето, необходимо за извършване на превключването при превключване. ISO файлът на центъра за данни в режим на готовност се актуализира с допълнителни конфигурации, които гарантират, че възлите са регистрирани в организацията, но няма да обработват трафика. Следователно възлите на центъра за данни в режим на готовност винаги остават актуални с най-новата версия на софтуера HDS.

Активните възли за хибридна защита на данните трябва винаги да са в същия център за данни като активния сървър на база данни.

Настройка на Центъра за данни в режим на готовност за възстановяване

Следвайте стъпките по-долу, за да конфигурирате ISO файла на центъра за данни в режим на готовност:

Преди да започнете

Центърът за данни в режим на готовност трябва да отразява производствената среда на виртуални компютри и резервна база данни PostgreSQL или Microsoft SQL Server. Например, ако производството има 3 виртуални виртуални устройства, работещи с HDS възли, резервната среда трябва да има 3 виртуални виртуални устройства. (Вижте Център за данни в режим на готовност за възстановяване при бед ствия за преглед на този модел за прекъсване при неизправност.)
Уверете се, че синхронизирането на базата данни е активирано между базата данни от активни и пасивни клъстерни възли.

1	Стартирайте инструмента за настройка на HDS и следвайте стъпките, споменати в Съ здаване на конфигурация ISO за HDS хостовете. ISO файлът трябва да бъде копие на оригиналния ISO файл на основния център за данни, върху който трябва да се извършват следните актуализации на конфигурацията.
2	След като конфигурирате сървъра Syslogd, кликнете върху Разширени настройки
3	На страницата Раз ширени настройки добавете конфигурацията по-долу, за да поставите възела в пасивен режим. В този режим възелът ще бъде регистриран в организацията и свързан към облака, но няма да обработва никакъв трафик. `passiveMode: 'true'`
4	Завършете процеса на конфигуриране и запазете ISO файла на място, което е лесно да се намери.
5	Направете резервно копие на ISO файла на вашата локална система. Поддържайте резервното копие защитено. Този файл съдържа основен ключ за криптиране за съдържанието на базата данни. Ограничете достъпа само до онези администратори за хибридна защита на данните, които трябва да правят промени в конфигурацията.
6	Монтирайте конфигурационния ISO файл: Преди да монтирате новата конфигурация ISO: Изключете HDS възела. Проверете дали в момента не е прикачен ISO файл. Ако е прикачен ISO файл, отделете го, преди да продължите. За внедряване на VMware: В клиента VMware vSphere изберете виртуалната машина HDS. Щракнете с десния бутон върху виртуалната машина и изберете Ре дактиране на настройките Изберете CD/DVD устройство 1. Изберете Datastore ISO File и след това изберете новия конфигурационен ISO файл. Уверете се, че са избрани С вързване и Свързване при включ ено захранване. Запазете промените. За разполагане на NFVIS: Отидете в Конфигурация > Виртуална машина > Изображения > Хранилище на изображения и качете новия конфигурационен ISO файл в хранили щето на изображения NFVIS. Отворете Кон фигурация > Виртуална машина > Управ ление и изберете HDS виртуалната машина. Отворе те CD-ROM устройства и прове рете дали в момента не е прикачен ISO файл. Изберете При ка чи и след това изберете новокачения конфигурационен ISO файл. Завършете операцията и проверете дали новият конфигурационен ISO файл е прикачен. За внедряване на Nutanix: В Prism Central отидете на Инфраструктура > Из числяване > Изображения. Изберете Добавяне на изображение. Под Източник на изображение изберете Файл с изображ ения и след това изберете Добавяне на файл. Изберете новата конфигурация ISO и проверете дали Type е зададен на ISO. Попълнете избора на местоположение за целевия клъстер и завършете качването. Отидете в Инфраструктура > Изчисляване > VM и изберете приложимата HDS VM. В раздела Обобщение на вирту алната машина изберете Опера ции за захранване > Изключване на за хранването и изчакайте, докато виртуалната машина бъде напълно спряна. Отворете раздела Дис кове на VM. Ако е прикачен стар ISO за конфигурация, изберете само неговия запис на CD-ROM и щракнете върху Изтриване. В раздела Д ис кове, ако полето Източ ник е празно за записи на виртуален диск, изберете съответните квадратчета за отметка и щракнете върху Из три ване. Изберете При качване на диск и конфигурирайте следните стойности: Тип: CD- ROM Операция: Клониране от изображение Поставяне на диска: Съ щият клъстер Изображение: Новокачена конфигурация ISO Тип шина: SATA Запазете конфигурацията и потвърдете, че новият ISO се появява като прикачения CD-ROM на виртуалната машина.
7	Включете HDS възела и се уверете, че няма аларми поне 15 минути.
8	Повторете процеса за всеки възел в центъра за данни в режим на готовност. Проверете syslogs, за да проверите дали възлите са в пасивен режим. Трябва да можете да видите съобщението „KMS конфигуриран в пасивен режим“ в syslogs.

Какво да правя по-нататък

След като конфигурирате passiveModeв ISO файла и го запазите, можете да създадете друго копие на ISO файла без passiveModeконфигурацията и да го запазите на сигурно място. Това копие на ISO файла без passiveModeконфигуриран може да помогне при бърз процес на прекъсване при неизправност по време на възстановяване при бедствие. Вижте Въз становяване при бедствия с помощта на Център за данни в режим на готовност за подробна процедура за прекъсване при

Възстановяване при бедствие с помощта на Център за данни в режим

Най-критичната услуга, която вашият клъстер за хибридна сигурност на данните предоставя, е създаването и съхраняването на ключове, използвани за криптиране на съобщения и друго съдържание, съхранявано в облака Webex. За всеки потребител в организацията, който е назначен към Hybrid Data Security, нови заявки за създаване на ключове се насочват към клъстера. Клъстерът отговаря и за връщането на създадените от него ключове на всички потребители, упълномощени да ги извлекат, например членове на пространство за разговор.

Тъй като клъстерът изпълнява критичната функция за предоставяне на тези ключове, е наложително клъстерът да продължи да работи и да се поддържат правилните резервни копия. Загубата на базата данни за хибридна сигурност на данните или на конфигурацията ISO, използвана за схемата, ще доведе до НЕВЪЗСТАНОВИМА ЗАГУБА на клиентско съдържание. Следните практики са задължителни за предотвратяване на такава загуба:

Ако бедствие причини внедряването на HDS в първичния център за данни да стане недостъпно, следвайте тази процедура за ръчно превключване в центъра за данни в режим на готовност.

1	Стартирайте инструмента за настройка на HDS и следвайте стъпките, споменати в Съ здаване на конфигурация ISO за HDS хостовете.
2	След като конфигурирате сървъра Syslogd, кликнете върху Разширени настройки
3	На страницата Раз ширени настройки добавете конфигурацията по-долу или премахнете `passiveMode`конфигурацията, за да направите възела активен. Възелът може да се справи с трафика, след като това е конфигурирано. `passiveMode: 'false'`
4	Завършете процеса на конфигуриране и запазете ISO файла на място, което е лесно да се намери.
5	Направете резервно копие на ISO файла на вашата локална система. Поддържайте резервното копие защитено. Този файл съдържа основен ключ за криптиране за съдържанието на базата данни. Ограничете достъпа само до онези администратори за хибридна защита на данните, които трябва да правят промени в конфигурацията.
6	Монтирайте конфигурационния ISO файл: Преди да монтирате новата конфигурация ISO: Изключете HDS възела. Проверете дали в момента не е прикачен ISO файл. Ако е прикачен ISO файл, отделете го, преди да продължите. За внедряване на VMware: В клиента VMware vSphere изберете виртуалната машина HDS. Щракнете с десния бутон върху виртуалната машина и изберете Ре дактиране на настройките Изберете CD/DVD устройство 1. Изберете Datastore ISO File и след това изберете новия конфигурационен ISO файл. Уверете се, че са избрани С вързване и Свързване при включ ено захранване. Запазете промените. За разполагане на NFVIS: Отидете в Конфигурация > Виртуална машина > Изображения > Хранилище на изображения и качете новия конфигурационен ISO файл в хранили щето на изображения NFVIS. Отворете Кон фигурация > Виртуална машина > Управ ление и изберете HDS виртуалната машина. Отворе те CD-ROM устройства и прове рете дали в момента не е прикачен ISO файл. Изберете При ка чи и след това изберете новокачения конфигурационен ISO файл. Завършете операцията и проверете дали новият конфигурационен ISO файл е прикачен. За внедряване на Nutanix: В Prism Central отидете на Инфраструктура > Из числяване > Изображения. Изберете Добавяне на изображение. Под Източник на изображение изберете Файл с изображ ения и след това изберете Добавяне на файл. Изберете новата конфигурация ISO и проверете дали Type е зададен на ISO. Попълнете избора на местоположение за целевия клъстер и завършете качването. Отидете в Инфраструктура > Изчисляване > VM и изберете приложимата HDS VM. В раздела Обобщение на вирту алната машина изберете Опера ции за захранване > Изключване на за хранването и изчакайте, докато виртуалната машина бъде напълно спряна. Отворете раздела Дис кове на VM. Ако е прикачен стар ISO за конфигурация, изберете само неговия запис на CD-ROM и щракнете върху Изтриване. В раздела Д ис кове, ако полето Източ ник е празно за записи на виртуален диск, изберете съответните квадратчета за отметка и щракнете върху Из три ване. Изберете При качване на диск и конфигурирайте следните стойности: Тип: CD- ROM Операция: Клониране от изображение Поставяне на диска: Съ щият клъстер Изображение: Новокачена конфигурация ISO Тип шина: SATA Запазете конфигурацията и потвърдете, че новият ISO се появява като прикачения CD-ROM на виртуалната машина.
7	Включете HDS възела и се уверете, че няма аларми поне 15 минути.
8	Повторете процеса за всеки възел в центъра за данни в режим на готовност. Проверете изхода на syslog, за да проверите дали възлите на центъра за данни в режим на готовност не са в пасивен режим. „KMS конфигуриран в пасивен режим“ не трябва да се появява в сислоговете.

Какво да правя по-нататък

След превключване при неизправност, ако първичният център за данни стане активен отново, поставете центъра за данни в режим на готовност отново в пасивен режим, като следвате стъпките, описани в Настрой ка на центъра за данни в режим на готовност за възстановяване при бед ствие.

(Незадължително) Отстранете ISO след конфигурация на HDS

Стандартната HDS конфигурация работи с монтиран ISO. Но някои клиенти предпочитат да не оставят ISO файлове непрекъснато монтирани. Можете да деинсталирате ISO файла, след като всички HDS възли вземат новата конфигурация.

Все още използвате ISO файловете, за да правите промени в конфигурацията. Когато създавате нов ISO или актуализирате ISO чрез инструмента за настройка, трябва да монтирате актуализирания ISO на всички ваши HDS възли. След като всичките ви възли са взели промените в конфигурацията, можете да деинсталирате ISO отново с тази процедура.

Преди да започнете

Надстройте всички ваши HDS възли до версия 2025.06.02.6983 или по-нова.

Отделете конфигурационния ISO файл.

За внедряване на VMware:

Изключете един HDS възел.
В клиента VMware vSphere изберете виртуалната машина HDS.
Щракнете с десния бутон върху виртуалната машина и изберете Ре дактиране на настройките
Изберете CD/DVD устройство 1 и отделете монтирания конфигурационен ISO файл.
Изчист ете Connec ted и Connect при включено захран ване и след това запазете промените.
Включете HDS възела и проверете дали не се появяват аларми поне 20 минути.
Повторете тези стъпки за останалите HDS възли, един по един.

За разполагане на NFVIS:

Отворете Кон фигурация > Виртуална машина > Управ ление и изберете една HDS виртуална машина.
Изключете виртуалната виртуална машина и изчакайте, докато състоянието му се промени на Shutdown.
Отворе те CD-ROM устройства.
Изберете прикачения конфигурационен ISO файл и щракнете върху От страняване.
Проверете дали ISO файлът вече не е прикачен към виртуалната машина.
Стартирайте възела HDS и проверете дали не се появяват аларми поне 20 минути.
Повторете тези стъпки за останалите HDS възли, един по един.

За внедряване на Nutanix:

Отидете в Инфраструктура > Изчисляване > VM и изберете една HDS виртуална машина.
В раздела Обобщение на вирту алната машина изберете Опера ции за захранване > Изключване на за хранването и изчакайте, докато виртуалната машина бъде напълно спряна.
Отворете раздел а Д искове на виртуалната виртуална машина.
Изберете конфигурационния ISO запис, чийто тип е CD-ROM.
Щракнете върху Изхвърли.
Потвърдете, че конфигурацията ISO вече не е монтирана.
В раздела Об общение на виртуалната машина изберете Опера ции за захранване > Включване.
Потвърдете, че не се появяват аларми поне 15 минути.
Повторете тези стъпки за останалите HDS възли, един по един.

Отстраняване на неизправности при хибридна сигурност

Преглед на сигнали и отстраняване на неизправности

Внедряването на хибридна защита на данните се счита за недостъпно, ако всички възли в клъстера са недостъпни или клъстерът работи толкова бавно, че изисква изтичане на времето. Ако потребителите не могат да достигнат до вашия клъстер за хибридна защита на данните, те изпитват следните симптоми:

Нови пространства не могат да бъдат създадени (не могат да се създадат нови ключове)
Съобщенията и заглавията на пространствата не успяват да се дешифрират за:
- Нови потребители добавени към интервал (не могат да изтеглят клавиши)
- Съществуващи потребители в пространство, използващи нов клиент (не могат да изтеглят ключове)
Съществуващите потребители в дадено пространство ще продължат да работят успешно, стига клиентите им да имат кеш на ключовете за криптиране

Важно е правилно да наблюдавате своя кластер за хибридна сигурност на данните и да адресирате незабавно всички сигнали, за да избегнете прекъсване на услугата.

Предупреждения

Ако има проблем с настройката за хибридна защита на данните, Control Hub показва сигнали до администратора на организацията и изпраща имейли до конфигурирания имейл адрес. Сигналите обхващат много често срещани сценарии.

Таблица 1. Общи проблеми и стъпки за тяхното разрешаване
Предупреждение	Действие
Неуспех в достъпа до локална база данни.	Проверете за грешки в базата данни или проблеми с локалната мрежа.
Неизправност на връзката с локална база данни.	Проверете дали сървърът на базата данни е наличен и правилните идентификационни данни за акаунта на услугата са били използвани в конфигурацията на възела.
Неуспех в достъпа до облачна услуга.	Проверете дали възлите имат достъп до сървърите на Webex, както е посочено в Изисквания за външна свързаност.
Подновяване на регистрацията на облачни услуги.	Регистрацията за облачни услуги беше отменена. В ход е подновяване на регистрацията.
Регистрацията на облачни услуги отпадна.	Регистрацията към облачни услуги е прекратена. Службата спира.
Услугата все още не е активирана.	Активирайте пробен период или завършете преместването на пробния период към производство.
Конфигурираният домейн не съвпада със сървърния сертификат.	Уверете се, че вашият сървър съответства на конфигурирания домейн за активиране на услугата Най-вероятната причина е, че сертификатът CN наскоро беше променен и сега е различен от КН, използван по време на първоначалната настройка.
Неуспешно удостоверяване в облачни услуги.	Проверете за точност и евентуално изтичане на идентификационните данни на сметката за услуги
Неуспешно отваряне на локален файл за съхранение на ключове.	Проверете за целостта и точността на паролата в локалния файл за съхранение на ключове.
Сертификатът за локален сървър е невалиден.	Проверете датата на изтичане на сертификата на сървъра и потвърдете, че той е издаден от доверен човекCertificate Authority.
Не може да се публикуват показатели.	Проверете достъпа на локалната мрежа до външни облачни услуги.
/media/configdrive/hds директория не съществува.	Проверете конфигурацията за монтиране на ISO на виртуален хост. Проверете дали ISO файлът съществува, дали е конфигуриран да се монтира при рестартиране и дали се монтира успешно.

Отстраняване на неизправности при хибридна сигурност

Използвайте следните общи указания, когато отстранявате проблеми със защитата на хибридните данни.

1	Прегледайте Control Hub за всякакви сигнали и поправете всички елементи, които намерите там.
2	Прегледайте изхода на syslog сървъра за активност от внедряването на Hybrid Data Security.
3	Свържете се с поддръжката на Cisco.

HDS API за разработчици

API за разработчици на HDS са начин за извличане на данни за анализ и наблюдение, както и за отстраняване на неизправности при внедряването на HDS чрез портала за разработчици на Webex. API са достъпни на адрес https://developer.webex.com/messaging/docs/api/v1/hds.

Други бележки

Известни проблеми за хибридната сигурност на данните

Ако изключите своя кластер за хибридна защита на данните (като го изтриете в Control Hub или изключите всички възли), загубите конфигурационния си ISO файл или загубите достъп до базата данни на магазина за ключове, потребителите на Webex App вече не могат да използват интервали в списъка „Хора“, създадени с ключове от вашия KMS. Това се отнася както за пробните, така и за производствените внедрявания. Понастоящем нямаме заобикаляне или решение за този проблем и ви призоваваме да не изключвате HDS услугите си, след като те обработват активни потребителски акаунти.
Клиент, който има съществуваща ECDH връзка към KMS, поддържа тази връзка за определен период от време (вероятно един час). Когато потребителят стане член на пробна версия на Hybrid Data Security, клиентът на потребителя продължава да използва съществуващата ECDH връзка, докато срокът му изтече. Като алтернатива потребителят може да излезе и да се върне в приложението Webex App, за да актуализира местоположението, с което приложението се свързва за ключове за криптиране.

Същото поведение се случва, когато преместите пробен период в производство за организацията. Всички потребители, които не са пробни, със съществуващи ECDH връзки към предишните услуги за сигурност на данните ще продължат да използват тези услуги, докато връзката ECDH бъде предоговорена (чрез тайм-аут или чрез излизане и обратно влизане).

Внедряване и конфигуриране на HDS на NFVIS

Следвайте процедурите по-долу, за да разгърнете HDS на NFVIS хипервизор. Процесът включва инсталиране на HDS OVA, настройка на VM, монтиране на конфигурационната ISO и проверка на внедряването.

Инсталирайте HDS хост OVA на NFVIS

Преди да започнете

Попълнете предпоставките за хибридна сигурност на данните и изтеглете най-новите HDS OVA. Преименувайте файла, като използвате формата hds-<DD-MMM-YYYY>.ovaза проследяване; например hds-26-aug-2026.ova.
Създайте ISO за конфигурация HDS и го съхранявайте сигурно. ISO съдържа главния ключ за криптиране.
Съберете статичния IP адрес на възела, маската на подмрежата, шлюза, DNS сървъра, NTP сървъра и името на мрежата NFVIS.
Потвърдете, че имате достъп до администратора на NFVIS и достатъчен капацитет за разпределяне на поне 4 видеопроцесора, 8 GB памет и 30 GB място за съхранение на HDS възел.

1	Влезте в интерфейса NFVIS и отидете в Кон фигурация > Виртуална машина > Изображения > Хранилище на изображ ения.
2	Изберете опцията LOCAL и качете вашия преименуван HDS OVA файл (например hds-26-авг-2026.ova).
3	Задайте типа на натоварване на VM на извикване и типа на VM на ECP/VIDEO MESH, след което изберете Качване на файл.
4	Следете напредъка на качването до завършване.
5	Потвърдете, че качената OVA е маркирана като активна и че NFVIS успешно е създала свързания персонализиран OVA профил.

Настройте хибридната виртуална машина за сигурност на данни на NFVIS

1	Отворете Кон фигурация > Разгъ ване и изберете ECP/VIDEO MESH от менюто Избор на виртуална машина.
2	Въведете уникално име на VM, изберете предварително каченото HDS изображение и изберете съответния персонализиран OVA профил в секцията Подробности за внедряването.
3	Изберете DE PLY и изчакайте известието за успешно внедряване.
4	Отворете Кон фигурация > Виртуална машина > Управ ление, за да проверите дали новата HDS VM е активна.
5	Върнете се в Конфигурация > Внедряване, изберете HDS VM и използвайте падащия списък М режови интерфейси, за да го прикачите към необходимата WAN мрежа.
6	Изберете DE PLY, за да приложите промените в мрежовата конфигурация.

Качване и монтиране на HDS конфигурация ISO

1	Уверете се, че HDS конфигурационният ISO файл е качен в хранилището на изображения чрез Кон фигурация > Виртуална машина > Изображения > Хранилище на изображ ения, преди да продължите.
2	Отворете терминала за HDS VM чрез Кон фигурация > Виртуална машина > Управ ление и извършете първоначалното влизане, като използвате идентификационните данни по подразбиране. `Username: admin` `Password: ciscosystems`
3	Променете идентификационните данни на администратора при подкана.
4	Конфигурирайте статичния IP адрес на възела, маската на подмрежата, шлюза, DNS и NTP настройките, като използвате опцията Реда ктиране на конфигурацията.
5	Изключете HDS VM, за да улесните процеса на монтаж.
6	Отворете менюто за действие на VM, изберете CD-ROM и изберете ISO за конфигурация на HDS, за да го прикачите към VM.
7	Включете виртуалната машина и проверете дали тя започва успешно с монтираната конфигурация ISO.

Какво да правя по-нататък

Ако е необходимо, продължете с Кон фигуриране на възела за интеграция на прокси сървъри и след това продължете към Регистриране на първия възел в клъстера.

Разгънете и конфигурирайте HDS на Nutanix

Следвайте процедурите по-долу, за да разгърнете HDS на хипервизор на Nutanix. Процесът включва инсталиране на HDS OVA, настройка на VM, монтиране на конфигурационната ISO и проверка на внедряването.

Инсталирайте HDS Host OVA на Nutanix

Използвайте тази процедура, за да импортирате HDS OVA файла в Nutanix.

1	Изтеглете най-новата HDS OVA.
2	В Prism Central отидете на Инф раструктура > Изчисляване > OVA.
3	Изберете Ка чване на OVA.
4	Изберете източника на OVA и изберете целевия клъстер.
5	Дайте на качената OVA уникално и разпознаваемо име. Включете версията или датата на качване, за да могат администраторите да я различават от по-старите версии на OVA.
6	Завършете качването.
7	В списъка OVA проверете дали Форматът на диска се показва като VMDK.

Създайте хибридна виртуална машина за сигурност на данни на Nutanix

Използвайте тази процедура, за да създадете виртуалната машина HDS.

1	В Prism Central отидете на Инф раструктура > Изчисляване > OVA.
2	Изберете успешно качения HDS OVA.
3	Изберете Раз гъване като VM.
4	Въведете уникално, разпознаваемо име на VM и изберете целевия клъстер.
5	Проверете дали OVA е попълнил следните свойства на VM: 4 видеопроцесора 8 GB памет
6	Щракнете върху На пред. Отваря се съветникът за ресурси.
7	В табли цата Ресурси > Дискове проверете дали прикаченият диск е с размер 30 GB.
8	Прикачете правилната подмрежа или VLAN, като използвате опцията При качване към подмрежа и задайте състоянието на мрежовата връзка на Свързано. Ако съветникът съдържа празен мрежов запис или запис по подразбиране, показ ващ Не е намерена мрежа за VM мрежа, премахнете този запис. Невалидният запис може да попречи на съветника да продължи дори след като е прикачена правилната подмрежа.
9	Изберете UEFI като режим BIOS и щракнете върху Напред. Отваря се съветникът за управление.
10	Оставете категори ите празни, освен ако организацията не изисква категориите.
11	Изберете подходящата часова зона.
12	Изберете Без персонализиране на картата за персонализиране на гост ите и щракнете върху Напред.
13	Прегледайте настройките и изберете Съ здаване на VM.

Качване и монтиране на HDS конфигурация ISO

1	В Prism Central отидете на Инф раструктура > Изчисляване > ВМС.
2	Изберете внедрената HDS VM. В раздела Обобщ ение изберете Опера ции за захранване > Включване. Изчакайте няколко минути, докато VM стартира.
3	Щракнете върху Стартиране на конзола. Извършете първоначалното влизане, като използвате идентификационните данни по подразбиране. `Username: admin` `Password: ciscosystems`
4	Променете идентификационните данни на администратора при подкана.
5	Конфигурирайте статичния IP адрес на възела, маската на подмрежата, шлюза, DNS и NTP настройките, като използвате опцията Реда ктиране на конфигурацията.
6	Изключете HDS VM, преди да прикрепите ISO. Отидете в Инфраструктура > Изчисляване > VM и изберете приложимата HDS VM. В раздела Об общение изберете Операции за за хранване > Изключване на захран ването и изчакайте, докато виртуалната машина бъде напълно спряна.
7	Отворете раздела Дис кове на VM.
8	Ако е прикачен стар ISO за конфигурация, изберете само неговия запис на CD-ROM и щракнете върху Изтриване. В раздела Д ис кове, ако полето Източ ник е празно за записи на виртуален диск, изберете съответните квадратчета за отметка и щракнете върху Из три ване.
9	Изберете При качване на диск и конфигурирайте следните стойности: Тип: CD- ROM Операция: Клониране от изображение Поставяне на диска: Съ щият клъстер Изображение: Новокачена конфигурация ISO Тип шина: SATA
10	Запазете конфигурацията и потвърдете, че новият ISO се появява като прикачения CD-ROM на виртуалната машина.
11	В раздела Об общ ение на виртуалната машина изберете Опера ции за захранване > Включване и се уверете, че няма аларми поне 15 минути.

Какво да правя по-нататък

Ако е необходимо, продължете с Кон фигуриране на възела за интеграция на прокси сървъри и след това продължете към Регистриране на първия възел в клъстера.

Мигриране на HDS възли между поддържаните хипервизори

Използвайте тази процедура, за да преместите HDS възли от един поддържан хипервизор в друг. Съществуващите HDS виртуални машини не се мигрират директно между хипервизори. Вместо това разгърнете заместващи възли на целевия хипервизор и ги регистрирайте със съществуващия или новия HDS клъстер.

Преди да започнете

Архивирайте HDS базата данни и текущата конфигурация ISO.
Потвърдете, че целевият хипервизор и виртуалните хостове отговарят на изискванията за внедряване на HDS.
Проверете дали съществуващият HDS клъстер е здрав и дали останалите възли могат да продължат да обработват трафика, докато заменяте възел.
Определете дали всеки заместващ възел ще използва повторно IP адреса на изходния възел и FQDN или ще използва нови мрежови настройки.
Използвайте текущата конфигурация ISO и съществуващата HDS база данни за заместващите възли.

Ако преместването променя и активния център за данни, сървъра на база данни или конфигурацията на HDS, вижте Промяна на конфигурацията на въз ела и центъра за данни в режим на готовност за възстановяване при бед ствия, преди да продължите.

1	Изберете един HDS възел на източника на хипервизора, който да замените. Оставете всички останали възли работещи и регистрирани.
2	Подгответе мрежовата конфигурация за заместващия възел: Ако използвате повторно IP адреса на изходния възел и FQDN, изключете изходната виртуална машина и дерегистрирайте възела, преди да включите заместващия възел онлайн. Ако използвате нов IP адрес или FQDN, оставете изходния възел работещ и регистриран, докато внедрявате и потвърждавате заместващия възел. Не стартирайте изходните и заместващите възли едновременно, ако използват една и съща мрежова конфигурация.
3	Създайте и конфигурирайте заместващата VM на целевия хипервизор. Използвайте най-новите HDS OVA и следвайте приложимите процедури за внедряване за този хипервизор.
4	Конфигурирайте мрежовите настройки на заместващата VM според конфигурацията, избрана в стъпка 2. Следвайте инструкциите за настройка на целевия хипервизор.
5	Прикачете текущата конфигурация на HDS ISO. Ако вашето внедряване използва прокси сървър, конфигурирайте прокси и хранилището за доверие, както е описано в Кон фигуриране на HDS възела за интеграция на прокси сър
6	Регистрирайте заместващия възел със съществуващия клъстер или нов клъстер. Вижте Създаване и регистриране на още възли.
7	Потвърдете, че възелът за подмяна е здрав, свързан с облака Webex и обработва HDS трафика. Разрешете всички аларми, преди да продължите.
8	Ако изходният възел все още работи, защото подмяната използва нова мрежова конфигурация, изключете и премахнете регистрацията на изходния възел. Вижте Премахване на възел.
9	Повторете тези стъпки за всеки останал възел на източника на хипервизора. Не заменяйте друг възел, докато клъстерът не е здрав.
10	След като всички възли за подмяна са стабилни и връщането вече не се изисква, изтрийте оригиналните виртуални машини от източника на хипервизора. Ако запазите оригинални виртуални машини временно, дръжте я изключена и изключете конфигурацията му ISO.

Какво да правя по-нататък

След като регистрирате подменните възли, потвърдете, че те са здрави и че внедряването на HDS обработва трафика. Ако внедряването е здравословно, премахнете всички изходни възли, които все още са регистрирани в оригиналния хипервизор. Ако е приложимо, следвайте стъпките по-горе, за да замените възлите в настройката за възстановяване при бедствие.

Стартирайте инструмента за настройка на HDS с помощта на Podman Desktop

Podman е безплатен инструмент за управление на контейнери с отворен код, който предоставя начин за стартиране, управление и създаване на контейнери. Podman Desktop може да бъде изтеглен от https://podman-desktop.io/downloads.

Инструментът за настройка на HDS работи като контейнер Docker на локална машина. За да получите достъп до него, изтеглете и стартирайте Podman на тази машина. Процесът на настройка изисква идентификационните данни на акаунт в Control Hub с пълни администраторски права за вашата организация.

Ако инструментът за настройка на HDS работи зад прокси сървър във вашата среда, предоставете настройките на прокси сървъра (сървър, порт, идентификационни данни) чрез променливите на средата на Docker, когато извеждате контейнера Docker в стъпка 5. Тази таблица дава някои възможни променливи на средата:

Описание	Променлива
HTTP прокси без удостоверяване	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS прокси без удостоверяване	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP прокси с удостоверяване	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS прокси с удостоверяване	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Конфигурационният ISO файл, който генерирате, съдържа главния ключ, криптиращ базата данни PostgreSQL или Microsoft SQL Server. Нуждаете се от най-новото копие на този файл всеки път, когато правите промени в конфигурацията, като следните:
- Идентификационни данни
- Актуализации на сертификатите
- Промени в политиката за оторизация
Ако планирате да криптирате връзки с база данни, настройте внедряването на PostgreSQL или SQL Server за TLS.

Процесът на настройка на хибридна защита на данните създава ISO файл. След това използвате ISO, за да конфигурирате вашия хост за хибридна защита на данните.

podman rmi ciscocitg/hds-setup:stable  
podman login docker.io -u hdscustomersro
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
podman pull ciscocitg/hds-setup:stable
podman run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

Какво да правя по-нататък

Следвайте останалите стъпки в Съ здаване на конфигурация ISO за HDS хостовете или Промяна на конфигурацията на въз ела, за да създадете или промените ISO конфигурация.

Деактивирайте облачните агенти

Облачните агенти (c-agent) са надеждни акаунти за услуги на Webex, които извършват операции на HDS чрез делегиран достъп от името на потребител, за да подобрят цялостното потребителско изживяване. Деактивирането на облачните агенти блокира услугите на Webex от достъп до локални HDS ключове.

Деактивирането на облачните агенти ще доведе до загуба на функции като записи след срещата, преписи, визуализации на файлове и автоматизирано сканиране срещу злонамерен софтуер в Webex App Spaces.

Следвайте стъпките по-долу, за да деактивирате облачните агенти за внедряването на HDS.

1	Стартирайте инструмента за настройка на HDS и следвайте стъпките, споменати в Съ здаване на конфигурация ISO за HDS хостовете. ISO файлът трябва да бъде копие на оригиналния ISO файл на основния център за данни, върху който трябва да се извършват следните актуализации на конфигурацията.
2	След като конфигурирате сървъра Syslogd, кликнете върху Разширени настройки.
3	На страницата Раз ширени настройки добавете конфигурацията по-долу, за да деактивирате облачните агенти. Това ще гарантира, че облачните агенти нямат право да обработват HDS трафика. `cloudAgentUpdateEnabled: 'false'`
4	Завършете процеса на конфигуриране и запазете ISO файла на място, което е лесно да се намери.
5	Направете резервно копие на ISO файла на вашата локална система. Поддържайте резервното копие защитено. Този файл съдържа основен ключ за криптиране за съдържанието на базата данни. Ограничете достъпа само до онези администратори за хибридна защита на данните, които трябва да правят промени в конфигурацията.
6	Монтирайте конфигурационния ISO файл: Преди да монтирате новата конфигурация ISO: Изключете HDS възела. Проверете дали в момента не е прикачен ISO файл. Ако е прикачен ISO файл, отделете го, преди да продължите. За внедряване на VMware: В клиента VMware vSphere изберете виртуалната машина HDS. Щракнете с десния бутон върху виртуалната машина и изберете Ре дактиране на настройките Изберете CD/DVD устройство 1. Изберете Datastore ISO File и след това изберете новия конфигурационен ISO файл. Уверете се, че са избрани С вързване и Свързване при включ ено захранване. Запазете промените. За разполагане на NFVIS: Отидете в Конфигурация > Виртуална машина > Изображения > Хранилище на изображения и качете новия конфигурационен ISO файл в хранили щето на изображения NFVIS. Отворете Кон фигурация > Виртуална машина > Управ ление и изберете HDS виртуалната машина. Отворе те CD-ROM устройства и прове рете дали в момента не е прикачен ISO файл. Изберете При ка чи и след това изберете новокачения конфигурационен ISO файл. Завършете операцията и проверете дали новият конфигурационен ISO файл е прикачен. За внедряване на Nutanix: В Prism Central отидете на Инфраструктура > Из числяване > Изображения. Изберете Добавяне на изображение. Под Източник на изображение изберете Файл с изображ ения и след това изберете Добавяне на файл. Изберете новата конфигурация ISO и проверете дали Type е зададен на ISO. Попълнете избора на местоположение за целевия клъстер и завършете качването. Отидете в Инфраструктура > Изчисляване > VM и изберете приложимата HDS VM. В раздела Обобщение на вирту алната машина изберете Опера ции за захранване > Изключване на за хранването и изчакайте, докато виртуалната машина бъде напълно спряна. Отворете раздела Дис кове на VM. Ако е прикачен стар ISO за конфигурация, изберете само неговия запис на CD-ROM и щракнете върху Изтриване. В раздела Д ис кове, ако полето Източ ник е празно за записи на виртуален диск, изберете съответните квадратчета за отметка и щракнете върху Из три ване. Изберете При качване на диск и конфигурирайте следните стойности: Тип: CD- ROM Операция: Клониране от изображение Поставяне на диска: Съ щият клъстер Изображение: Новокачена конфигурация ISO Тип шина: SATA Запазете конфигурацията и потвърдете, че новият ISO се появява като прикачения CD-ROM на виртуалната машина.
7	Включете HDS възела и се уверете, че няма аларми поне 15 минути.
8	Повторете процеса за всеки възел във вашето разполагане на HDS. Проверете дали облачните агенти са деактивирани, като проверите syslogs за следния запис: „Актуализацията на облачния агент е деактивирана“.

Използвайте OpenSSL за генериране на PKCS12 файл

Преди да започнете

OpenSSL е един инструмент, който може да се използва за създаване на файла PKCS12 в правилния формат за зареждане в инструмента за настройка на HDS. Има и други начини да се направи това и ние не подкрепяме или насърчаваме един път пред друг.
Ако решите да използвате OpenSSL, ние предоставяме тази процедура като насоки, за да ви помогнем да създадете файл, който отговаря на изискванията за сертификат X.509 в изискванията за сертификат X.509. Разберете тези изисквания, преди да продължите.
Инсталирайте OpenSSL в поддържана среда. Вижте https://www.openssl.org за софтуера и документацията.
Създайте частен ключ.
Започнете тази процедура, когато получите сертификата на сървъра от вашия Certificate Authority (CA).

1	Когато получите сертификата на сървъра от вашия CA, запазете го като `hdsnode.pem`.
2	Покажете сертификата като текст и проверете подробностите. `openssl x509 -text -noout -in hdsnode.pem`
3	Използвайте текстов редактор, за да създадете файл с пакет от сертификати, наречен `hdsnode-bundle.pem`. Пакетният файл трябва да включва сървърния сертификат, всички междинни CA сертификати и основните CA сертификати във формата по-долу: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	Създайте файла .p12 с приятелското име. `kms-private-key` `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Проверете подробностите за сертификата на сървъра. `openssl pkcs12 -in hdsnode.p12` Въведете парола в подканата за криптиране на частния ключ, така че да е посочен в изхода. След това проверете дали частният ключ и първият сертификат включват редовете `friendlyName: kms-private-key`. Пример: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: <No Attributes> Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- <redacted> -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- <redacted> -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- <redacted> -----END CERTIFICATE-----

Какво да правя по-нататък

Върнете се към Попълнете предпоставките за хибридна сигурност на данните. Ще използвате hdsnode.p12файла и паролата, която сте задали за него, в Съ здаване на конфигурация ISO за HDS хостовете.

Можете да използвате повторно тези файлове, за да поискате нов сертификат, когато оригиналният сертификат изтече.

Трафик между възлите на HDS и облака

Трафик за събиране на изходящи показатели

Хибридните възли за сигурност на данните изпращат определени показатели към облака Webex. Те включват системни показатели за куп макс, използван куп, натоварване на процесора и брой нишки; метрики за синхронни и асинхронни нишки; показатели за сигнали, включващи праг на криптиращи връзки, латентност или дължина на опашката на заявката; показатели на системата на данни; и показатели за криптиране на връзката. Възлите изпращат криптиран ключов материал по канал извън обхвата (отделен от заявката).

Входящ трафик

Хибридните възли за сигурност на данните получават следните видове входящ трафик от облака Webex:

Заявки за криптиране от клиенти, които се насочват от услугата за криптиране
Надстройки на софтуера на възела

Конфигурирайте прокси сървъри на Squid за хибридна сигурност на данните

Websocket не може да се свърже чрез Squid Proxy

Прокси сървърите на Squid, които проверяват HTTPS трафика, могат да попречат на установяването на websocket (wss:) връзки, които изисква Hybrid Data Security. Тези раздели дават насоки как да конфигурирате различни версии на Squid, за да игнорирате wss:трафика за правилното функциониране на услугите.

Калмари 4 и 5

Добавете on_unsupported_protocolдирективата към squid.conf:

on_unsupported_protocol tunnel all

Калмари 3.5.27

Успешно тествахме хибридна сигурност на данните с добавени следните правила squid.conf. Тези правила подлежат на промяна, докато разработваме функции и актуализираме облака Webex.

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Предговор

Нова и променена информация

Дата

Направени промени

20 октомври 2023 г

Актуализирана информация в Изисквания за сървър на база данни .
Добавено Настройте център за данни в режим на готовност за възстановяване при бедствия .
Актуализирана информация в Център за данни в режим на готовност за възстановяване при бедствия и Възстановяване при бедствия с помощта на Център за данни в режим на готовност .

07 август 2023 г

Добавена бележка в Изтеглете инсталационни файлове .
Добавена бележка в Създайте ISO конфигурация за HDS хостовете и Променете конфигурацията на възела .

23 май 2023 г

Изтрита информация от Изисквания за сървър на база данни да поискате функция да бъде активирана, като се свържете с екипа на акаунта.
Актуализирана информация в Изисквания за външна свързаност и добави Канада към таблицата с хостове на CI.
Добавена бележка в Очаквания за внедряване на хибридна защита на данните относно липсата на механизми за преместване на ключове обратно в облака.

06 декември 2022 г

Изображенията на HDS Setup Tool вече се хостват в ciscocitg хранилище на dockerhub.
Актуализиран Създайте ISO конфигурация за HDS хостовете и Променете конфигурацията на възела теми за отразяване на промените в командите.

23 ноември 2022 г

HDS възлите вече могат да използват удостоверяване на Windows срещу Microsoft SQL Server.

Актуализиран Изисквания за сървър на база данни тема с допълнителни изисквания за този режим на удостоверяване.

Актуализиран Създайте ISO конфигурация за HDS хостовете с процедурата за конфигуриране на удостоверяване на Windows на възлите.
Актуализиран Изисквания за сървър на база данни тема с нови минимално необходими версии (PostgreSQL 10).

13 октомври 2021 г

Docker Desktop трябва да стартира програма за настройка, преди да можете да инсталирате HDS възли. Виж Изисквания за работния плот на Docker .

24 юни 2021 г

Отбелязано е, че можете да използвате повторно файла с частен ключ и CSR , за да поискате друг сертификат. Виж Използвайте OpenSSL, за да генерирате PKCS12 файл за подробности.

30 април 2021 г.

Променено изискването за VM за локално пространство на твърдия диск на 30 GB. Виж Изисквания за виртуален хост за подробности.

24 февруари 2021 г

HDS Setup Tool вече може да работи зад прокси. Виж Създайте ISO конфигурация за HDS хостовете за подробности.

2 февруари 2021 г

HDS вече може да работи без монтиран ISO файл. Виж (По избор) Демонтирайте ISO след HDS конфигурация за подробности.

11 януари 2021 г

Добавена информация за инструмента за настройка на HDS и прокси сървърите към Създайте ISO конфигурация за HDS хостовете .

13 октомври 2020 г

Актуализиран Изтеглете инсталационни файлове .

08 октомври 2020 г.

Актуализиран Създайте ISO конфигурация за HDS хостовете и Променете конфигурацията на възела с команди за FedRAMP среди.

14 август 2020 г

Актуализиран Създайте ISO конфигурация за HDS хостовете и Променете конфигурацията на възела с промени в процеса на влизане.

5 август 2020 г

Актуализиран Тествайте внедряването на вашата хибридна защита на данните за промени в регистрационните съобщения.

Актуализиран Изисквания за виртуален хост за премахване на максимален брой хостове.

16 юни 2020 г

Актуализиран Премахване на възел за промени в потребителския интерфейс на Control Hub.

4 юни 2020 г

Актуализиран Създайте ISO конфигурация за HDS хостовете за промени в разширените настройки, които може да зададете.

29 май 2020 г

Актуализиран Създайте ISO конфигурация за HDS хостовете за да покажете, че можете също да използвате TLS с бази данни на SQL Server, промени в потребителския интерфейс и други разяснения.

5 май 2020 г

Актуализиран Изисквания за виртуален хост да покаже новото изискване на ESXi 6.5.

21 април 2020 г

Актуализиран Изисквания за външна свързаност с нови хостове на Америка CI.

1 април 2020 г.

Актуализиран Изисквания за външна свързаност с информация за регионалните CI хостове.

20 февруари 2020 г Актуализиран Създайте ISO конфигурация за HDS хостовете с информация за нов опционален екран с разширени настройки в инструмента за настройка на HDS.

4 февруари 2020 г Актуализиран Изисквания за прокси сървър .

16 декември 2019 г. Изяснява се изискването за работа в режим на разделяне на блокиран външен DNS Изисквания за прокси сървър .

19 ноември 2019 г

Добавена информация за Blocked External DNS Resolution Mode в следните раздели:

Прокси поддръжка
Конфигурирайте HDS възел за прокси интеграция
Изключете Blocked External DNS Resolution Mode

8 ноември 2019 г

Вече можете да конфигурирате мрежови настройки за възел, докато разгръщате OVA, а не след това.

Актуализирани съответно следните раздели:

Поток на задачи за внедряване на хибридна защита на данните
Инсталирайте HDS Host OVA
Настройте хибридната VM машина за защита на данните

Опцията за конфигуриране на мрежови настройки по време на внедряване на OVA е тествана с ESXi 6.5. Възможно е опцията да не е налична в по-ранните версии.

6 септември 2019 г

Добавен SQL Server Standard към Изисквания за сървър на база данни .

Август 29, 2019 Добавено Конфигурирайте Squid прокси сървъри за хибридна защита на данните приложение с насоки за конфигуриране на Squid прокси сървъри за игнориране на трафика от websocket за правилна работа.

20 август 2019 г

Добавени и актуализирани секции, за да покрият поддръжката на прокси за комуникации на възел за хибридна защита на данните към облака на Webex .

Прокси поддръжка
Изисквания за прокси сървър
Конфигурирайте HDS възел за прокси интеграция

За достъп само до съдържанието за поддръжка на прокси за съществуващо внедряване, вижте Прокси поддръжка за хибридна защита на данните и Webex Video Mesh помощна статия.

13 юни 2019 г Актуализиран Поток на задачата от пробна и производствена с напомняне за синхронизиране на HdsTrialGroup групов обект преди стартиране на пробна версия, ако вашата организация използва синхронизиране на директории.

6 март 2019 г

Изискванията и предпоставките са преместени в отделна глава, Подгответе вашата среда .
Добавен Поток на задачи за внедряване на хибридна защита на данните преглед в главата Създайте хибриден клъстер за сигурност на данните .

Отбелязано е, че докато не започнете пробна версия (като използвате инструкциите в следващата глава), вашите възли генерират аларма, показваща, че вашата услуга все още не е активирана.
Добавен Поток на задачата от пробна и производствена в главата Изпълнете пробна версия и преминете към производство .

Февруари 28, 2019

Коригирано е количеството локално пространство на твърдия диск на сървър, което трябва да заделите, когато подготвяте виртуалните хостове, които стават възли за хибридна защита на данните, от 50-GB на 20-GB, за да отразите размера на диска, който OVA създава.

26 февруари 2019 г.

Възлите за хибридна защита на данните вече поддържат криптирани връзки със сървъри на база данни PostgreSQL и криптирани връзки за регистриране към TLS-способен syslog сървър. Актуализиран Създайте ISO конфигурация за HDS хостовете с инструкции.
Премахнати целеви URL адреси от таблицата „Изисквания за интернет свързаност за хибридни виртуални машини за защита на данни“. Таблицата вече се отнася до списъка, поддържан в таблицата „Допълнителни URL адреси за хибридни услуги на Webex Teams“ на Мрежови изисквания за услугите на Webex Teams .

24 януари 2019 г

Hybrid Data Security вече поддържа Microsoft SQL Server като база данни. SQL Server Always On (Always On Failover Clusters и Always on Availability Groups) се поддържа от JDBC драйверите, които се използват в Hybrid Data Security. Добавено съдържание, свързано с внедряването със SQL Server.

Поддръжката на Microsoft SQL Server е предназначена само за нови разполагания на хибридната защита на данните. Понастоящем не поддържаме мигриране на данни от PostgreSQL към Microsoft SQL Server в съществуващо разполагане.

5 ноември 2018 г

Добавена е предварителна стъпка за почистване на всички съществуващи екземпляри на docker hds Създайте ISO конфигурация за HDS хостовете и Променете конфигурацията на възела .
Актуализирана стъпка за ниво на достъп до ключ Създайте ISO конфигурация за HDS хостовете за да съответства на интерфейса.

19 октомври 2018 г

Разделете информацията за връзката на защитната стена в изисквания за възел и изисквания за ISO конфигурация на машината Изпълнете предпоставките за хибридна защита на данните .

31 юли 2018 г

Добавен е порт 22 (SSH достъп) и информация за връзките на NAT и защитната стена Изпълнете предпоставките за хибридна защита на данните .

21 май 2018 г.

Променена терминология, за да отрази ребрандирането на Cisco Spark:

Cisco Spark Hybrid Data Security вече е Hybrid Data Security.
Приложението Cisco Spark вече е приложението Webex App.
Облакът на Cisco Collaboraton вече е облакът на Webex .

11 април 2018 г

Добавено Център за данни в режим на готовност за възстановяване при бедствия .
Актуализиран Изпълнете предпоставките за хибридна защита на данните за да посочите, че средата за архивиране трябва да бъде в различен център за данни.
Актуализиран Възстановяване при бедствия с помощта на Център за данни в режим на готовност .

22 февруари 2018 г

Добавена е информация за паролата за акаунт на услуга 9-месечен живот и използване на инструмента за настройка на HDS за нулиране на паролите за акаунт на услуга , в Създайте ISO конфигурация за HDS хостовете и Променете конфигурацията на възела .

15 февруари 2018

В X.509 Изисквания за сертификат таблица, посочи, че сертификатът не може да бъде сертификат с заместващ знак и че KMS използва домейна CN, а не всеки домейн, който е дефиниран в полетата на x.509v3 SAN.

18 януари 2018

Добавено приложение, Трафик между HDS възлите и облака .
Премахнат разрешен проблем от Известни проблеми за сигурността на хибридните данни .
Променен index.docker.io на *.docker.io и добавен *.cloudfront.net към списъка с изисквания за TCP свързаност за HDS възлите в Изпълнете предпоставките за хибридна защита на данните .
Актуализиран Създайте ISO конфигурация за HDS хостовете за да посочите, че ако хостът на базата данни и сървърът Syslogd не са DNS-разрешими от HDS възлите, трябва да ги конфигурирате с помощта на IP адреси.

2 ноември 2017 г

Изяснена синхронизация на директории на HdsTrialGroup.
Фиксирани инструкции за качване на ISO конфигурационен файл за монтиране към VM възлите.

18 август 2017 г

Публикувано за първи път

Започнете с хибридна защита на данните

Преглед на сигурността на хибридните данни

От първия ден сигурността на данните е основният фокус при проектирането на Webex App. Крайъгълният камък на тази сигурност е криптирането на съдържание от край до край, активирано от клиентите на Webex App, взаимодействащи с услугата за управление на ключове (KMS). KMS отговаря за създаването и управлението на криптографските ключове, които клиентите използват за динамично криптиране и декриптиране на съобщения и файлове.

По подразбиране всички клиенти на Webex App получават криптиране от край до край с динамични ключове, съхранявани в облачния KMS, в сферата на сигурността на Cisco. Hybrid Data Security премества KMS и други функции, свързани със сигурността, във вашия корпоративни данни , така че никой освен вас не държи ключовете за вашето криптирано съдържание.

Архитектура на сферата на сигурността

Облачната архитектура на Webex разделя различни видове услуги в отделни сфери или домейни на доверие, както е показано по-долу.

За да разберем по-добре хибридната защита на данните, нека първо разгледаме този чист облачен случай, където Cisco предоставя всички функции в своите облачни сфери. Услугата за самоличност, единственото място, където потребителите могат да бъдат пряко свързани с тяхната лична информация, като имейл адрес, е логически и физически отделена от сферата на сигурността в център за данни B. И двете от своя страна са отделени от сферата, където в крайна сметка се съхранява криптирано съдържание , в център за данни C.

В тази диаграма клиентът е приложението Webex , което се изпълнява на лаптоп на потребителя и е удостоверено с услугата за самоличност. Когато потребителят състави съобщение, което да изпрати до пространство, се изпълняват следните стъпки:

Клиентът установява защитена връзка с услугата за управление на ключове (KMS), след което иска ключ за криптиране на съобщението. защитена връзка използва ECDH, а KMS криптира ключа с помощта на главен ключ AES-256.
Съобщението е криптирано, преди да напусне клиента. Клиентът го изпраща до услугата за индексиране, която създава криптирани индекси за търсене, за да помогне при бъдещи търсения на съдържанието.
Шифрованото съобщение се изпраща до службата за съответствие за проверка на съответствието.
Шифрованото съобщение се съхранява в областта на съхранение.

Когато внедрите Hybrid Data Security, вие премествате функциите на областта на сигурността (KMS, индексиране и съответствие) във вашия в помещението център за данни. Другите облачни услуги, които съставляват Webex (включително самоличност и съхранение на съдържание), остават в сферата на Cisco.

Сътрудничество с други организации

Потребителите във вашата организация може редовно да използват приложението Webex , за да си сътрудничат с външни участници в други организации. Когато един от вашите потребители поиска ключ за пространство, което е собственост на вашата организация (защото е създадено от един от вашите потребители), вашият KMS изпраща ключа на клиента по защитен канал от ECDH. Въпреки това, когато друга организация притежава ключа за пространството, вашият KMS насочва заявката към облака на Webex през отделен ECDH канал, за да получи ключа от съответния KMS, и след това връща ключа на вашия потребител в оригиналния канал.

Услугата KMS, работеща в организация A, валидира връзките към KMS в други организации, използвайки x.509 PKI сертификати. Виж Подгответе вашата среда за подробности относно генерирането на сертификат x.509, който да използвате с внедряването на хибридната защита на данните.

Очаквания за внедряване на хибридна защита на данните

Внедряването на хибридна защита на данните изисква значителна ангажираност на клиента и осъзнаване на рисковете, които идват от притежаването на ключове за криптиране.

За да внедрите хибридна защита на данните, трябва да предоставите:

Сигурен център за данни в държава, която е a поддържано местоположение за плановете на Cisco Webex Teams .
Оборудването, софтуерът и достъпът до мрежата, описани в Подгответе вашата среда .

Пълната загуба на ISO конфигурацията, която създавате за Hybrid Data Security, или на базата данни, която предоставяте, ще доведе до загуба на ключовете. Загубата на ключ не позволява на потребителите да декриптират космическо съдържание и други криптирани данни в приложението Webex . Ако това се случи, можете да създадете ново внедряване, но ще се вижда само ново съдържание. За да избегнете загуба на достъп до данните, трябва:

Управлявайте архивирането и възстановяването на базата данни и ISO конфигурацията.
Бъдете готови да извършите бързо възстановяване след възстановяване след срив, ако възникне катастрофа, като повреда на диска на базата данни или катастрофа в център за данни за данни.

Няма механизъм за преместване на ключове обратно в облака след внедряване на HDS.

Процес на настройка на високо ниво

Този документ обхваща настройката и управлението на внедряване на хибридна защита на данните:

Настройте хибридна защита на данните —Това включва подготовка на необходимата инфраструктура и инсталиране на софтуер за хибридна защита на данните, тестване на внедряването ви с подгрупа потребители в пробен режим и, след като тестването приключи, преминаване към производство. Това преобразува цялата организация да използва вашия клъстер за хибридна защита на данните за функции за сигурност.
Фазите на настройка, тестване и производство са разгледани подробно в следващите три глави.
Поддържайте внедряването на хибридната защита на данните —Облакът Webex автоматично предоставя текущи надстройки. Вашият ИТ отдел може да осигури поддръжка от първо ниво за това внедряване и да ангажира Поддръжка на Cisco , ако е необходимо. Можете да използвате известия на екрана и да настройвам базирани на имейл сигнали в Control Hub.
Разберете общи сигнали, стъпки за отстраняване на неизправности и известни проблеми —Ако срещнете проблеми с внедряването или използването на хибридна защита на данните, последната глава от това ръководство и приложението Известни проблеми може да ви помогнат да определите и отстраните проблема.

Модел за внедряване на хибридна защита на данните

В рамките на вашия корпоративни данни вие внедрявате хибридна защита на данните като единичен клъстер от възли на отделни виртуални хостове. Възлите комуникират с облака Webex чрез защитени уебсокети и защитен HTTP.

По време на инсталационния процес ви предоставяме OVA файла, за да настройвам виртуалното устройство на предоставените от вас виртуални машини. Използвате инструмента за настройка на HDS, за да създадете ISO файл за персонализирана конфигурация на клъстер, който монтирате на всеки възел. Клъстерът за хибридна защита на данни използва предоставения от вас Syslogd сървър и база данни PostgreSQL или Microsoft SQL Server. (Конфигурирате данните за Syslogd и връзката към базата данни в инструмента за настройка на HDS.)

Модел за внедряване на хибридна защита на данните

Минималният брой възли, които можете да имате в клъстер, е два. Препоръчваме поне три, а вие можете да имате до пет. Наличието на множество възли гарантира, че услугата няма да бъде прекъсната по време на надграждане на софтуер или друга дейност по поддръжка на възел. (Облакът Webex надгражда само един възел в даден момент.)

Всички възли в клъстер имат достъп до едно и също ключово хранилище за данни и регистрират активността на един и същ сървър на системния журнал. Самите възли са без състояние и обработват ключови заявки по кръгова система, както е указано от облака.

Възлите стават активни, когато ги регистрирате в Control Hub. За да извадите отделен възел от експлоатация, можете да го дерегистрирате и по-късно да го регистрирате отново, ако е необходимо.

Ние поддържаме само един клъстер на организация.

Пробен режим за хибридна защита на данните

След като настроите внедряване на хибридна защита на данните, първо го изпробвате с набор от пилотни потребители. По време на пробния период тези потребители използват вашия в помещението домейн за хибридна защита на данните за ключове за криптиране и други услуги от сферата на сигурността. Другите ви потребители продължават да използват сферата на сигурността в облака.

Ако решите да не продължите с внедряването по време на пробния период и деактивирате услугата, пилотните потребители и всички потребители, с които са взаимодействали чрез създаване на нови пространства по време на пробния период, ще загубят достъп до съобщенията и съдържанието. Те ще видят „Това съобщение не може да бъде декриптирано“ в приложението Webex .

Ако сте доволни, че внедряването ви работи добре за пробните потребители и сте готови да разширите хибридната защита на данните за всичките си потребители, премествате внедряването в производствена. Пилотните потребители продължават да имат достъп до ключовете, които са били използвани по време на пробния период. Въпреки това, не можете да се движите напред-назад между производствения режим и първоначалния пробен период. Ако трябва да деактивирате услугата, като например да извършите възстановяване след възстановяване след срив, когато активирате повторно, трябва да започнете нова пробна версия и да настройвам набора от пилотни потребители за новия пробен период, преди да се върнете обратно към производствен режим. Дали потребителите ще запазят достъп до данни в този момент зависи от това дали сте поддържали успешно резервни копия на ключовото хранилище на данни и ISO конфигурационен файл за възлите за хибридна защита на данните във вашия клъстер.

Център за данни в режим на готовност за възстановяване при бедствия

По време на внедряването вие настройвам защитен център за данни в режим на готовност. В случай на бедствие в център за данни , можете ръчно да провалите внедряването си в център за данни в готовност.

Базите данни на активния и резервния центрове за данни са синхронизирани една с друга, което ще сведе до минимум времето, необходимо за извършване на отказ. ISO файлът на център за данни в режим на готовност се актуализира с допълнителни конфигурации, които гарантират, че възлите са регистрирани в организацията, но няма да обработват трафика. Следователно възлите на център за данни в режим на готовност винаги остават актуални с най-новата версия на HDS софтуера.

Активните възли за хибридна защита на данни трябва винаги да са в същия център за данни като активния сървър на база с данни.

Настройте център за данни в режим на готовност за възстановяване при бедствия

Следвайте стъпките по-долу, за да конфигурирате ISO файла на център за данни в режим на готовност:

Преди да започнете

Центърът за център за данни в готовност трябва да отразява производствената среда на VM и резервна база данни PostgreSQL или Microsoft SQL Server. Например, ако производството има 3 VM, работещи с HDS възли, средата за архивиране трябва да има 3 VM. (Виж Център за данни в режим на готовност за възстановяване при бедствия за преглед на този модел на отказ.)
Уверете се, че синхронизирането на базата данни е активирано между базата данни с активни и пасивни възли на клъстер.

1

Стартирайте инструмента за настройка на HDS и следвайте стъпките, посочени в Създайте ISO конфигурация за HDS хостовете .

ISO файлът трябва да бъде копие на оригиналния ISO файл на основния център за данни, върху който трябва да се направят следните актуализации на конфигурацията.

2

След като конфигурирате сървъра Syslogd, щракнете върху Разширени настройки

3

На Разширени настройки страница, добавете конфигурацията по-долу, за да поставите възела в пасивен режим. В този режим възелът ще бъде регистриран в организацията и ще бъде свързан към облака, но няма да обработва никакъв трафик.


passiveMode: 'true'

4

Завършете процеса на конфигуриране и запазете ISO файла на място, което е лесно за намиране.

5

Направете резервно копие на ISO файла във вашата локална система. Пазете резервното копие сигурно. Този файл съдържа главен ключ за шифроване за съдържанието на базата данни. Ограничете достъпа само до онези администратори на Hybrid Data Security, които трябва да направят промени в конфигурацията.

6

В левия навигационен панел на клиента VMware vSphere щракнете с щраквам с десния бутон върху VM и щракнете Редактиране на настройките. .

7

Щракнете върху Редактиране на настройките > CD/ DVD устройство 1 и изберете Datastore ISO File.

Уверете се Свързани и Свържете при включване са проверени, така че актуализираните промени в конфигурацията да влязат в сила след стартиране на възлите.

8

Включете HDS възела и се уверете, че няма аларми за поне 15 минути.

9

Повторете процеса за всеки възел в център за данни в режим на готовност.

Проверете системните журнали, за да проверите дали възлите са в пасивен режим. Трябва да можете да видите съобщението „KMS конфигуриран в пасивен режим“ в системните дневници.

Какво да направите след това

След конфигуриране passiveMode в ISO файла и го запишете, можете да създадете друго копие на ISO файла без passiveMode конфигурация и я запазете на сигурно място. Това копие на ISO файла без passiveMode configured може да помогне за бърз процес на отказ по време на възстановяване след срив. Виж Възстановяване при бедствия с помощта на Център за данни в режим на готовност за подробната процедура за отказване.

Прокси поддръжка

Hybrid Data Security поддържа изрични, прозрачни инспектиращи и непроверяващи прокси сървъри. Можете да свържете тези прокси сървъри към вашето внедряване, така че да можете да защитите и наблюдавате трафика от предприятието към облака. Можете да използвате интерфейс за администратор на платформата на възлите за управление на сертификати и за проверка на цялостното състояние на свързаност, след като настройвам прокси сървъра на възлите.

Възлите за защита на хибридните данни поддържат следните прокси опции:

Без прокси —По подразбиране, ако не използвате настройката на HDS възел Trust Store & Proxy конфигурация за интегриране на прокси. Не се изисква актуализация на сертификата.
Прозрачен неинспектиращ прокси — Възлите не са конфигурирани да използват конкретен адрес на прокси сървър и не трябва да изискват никакви промени, за да работят с неинспектиращ прокси сървър. Не се изисква актуализация на сертификата.
Прозрачно тунелиране или проверка на прокси — Възлите не са конфигурирани да използват конкретен адрес на прокси сървър . Не са необходими промени в конфигурацията на HTTP или HTTPS на възлите. Възлите обаче се нуждаят от главен сертификат , така че да имат доверие на проксито. Проверяващите прокси сървъри обикновено се използват от ИТ за налагане на политики за това кои уебсайтове могат да бъдат посещавани и кои видове съдържание не са разрешени. Този тип прокси декриптира целия ви трафик (дори HTTPS).
Изрично прокси —С изричен прокси вие казвате на HDS възлите кой прокси сървър и схема за удостоверяване да използват. За да конфигурирате изрично прокси, трябва да въведете следната информация на всеки възел:
1. Прокси IP/ FQDN — Адрес, който може да се използва за достигане до прокси машината.
2. Прокси порт —Номер на номер на порт , който проксито използва за прослушване на прокси трафик.
3. Прокси протокол — В зависимост от това какво поддържа вашият прокси сървър , изберете между следните протоколи:
  - HTTP – Преглежда и контролира всички заявки, които клиентът изпраща.
  - HTTPS – Предоставя канал към сървъра. Клиентът получава и валидира сертификата на сървъра.
4. Тип на удостоверяването — Изберете измежду следните типове удостоверяване:
  - Няма — не се изисква допълнително удостоверяване.
    
    Достъпно, ако изберете HTTP или HTTPS като прокси протокол.
  - Основен —Използва се за HTTP потребителски агент за предоставяне на потребителско име и парола при отправяне на заявка. Използва Base64 кодиране.
    
    Достъпно, ако изберете HTTP или HTTPS като прокси протокол.
    
    Изисква да въведете потребителско име и парола на всеки възел.
  - Дайджест —Използва се за потвърждение на акаунта преди изпращане на чувствителна информация. Прилага хеш функция върху потребителското име и паролата преди изпращане по мрежата.
    
    Достъпно само ако изберете HTTPS като прокси протокол.
    
    Изисква да въведете потребителско име и парола на всеки възел.

Пример за хибридни възли за защита на данни и прокси

Тази диаграма показва примерна връзка между хибридната защита на данните, мрежата и прокси сървъра. За опциите за прозрачна проверка и HTTPS изрична проверка на прокси сървъра, един и същ главен сертификат трябва да бъде инсталиран на прокси сървъра и на възлите за хибридна защита на данните.

Блокиран режим на разделителна способност на външен DNS (изрични прокси конфигурации)

Когато регистрирате възел или проверявате прокси конфигурацията на възела, процесът тества търсенето на DNS и свързаността с облака на Cisco Webex . При разгръщания с изрични прокси конфигурации, които не позволяват външна DNS резолюция за вътрешни клиенти, ако възелът не може да запита DNS сървърите, той автоматично преминава в режим на блокирана външна DNS разделителна способност. В този режим могат да продължат регистрацията на възел и други тестове за прокси свързаност.

Подгответе вашата среда

Изисквания за хибридна сигурност на данните

Изисквания за лиценз на Cisco Webex

За да внедрите хибридна защита на данните:

Трябва да имате Pro Pack за Cisco Webex Control Hub. (Вижhttps://www.cisco.com/go/pro-pack .)

Изисквания за работния плот на Docker

Преди да инсталирате своите HDS възли, имате нужда от Docker Desktop, за да стартирате програма за настройка. Docker наскоро актуализира своя модел на лицензиране. Вашата организация може да изисква платен абонамент за Docker Desktop. За подробности вижте публикацията в блога на Docker, " Docker актуализира и разширява нашите абонаменти за продукти ".

X.509 Изисквания за сертификат

верига за сертификати трябва да отговаря на следните изисквания:

Таблица 1. Изисквания за сертификат X.509 за внедряване на хибридна защита на данни
Изискване	Подробности
Подписано от доверен орган за сертификати (CA)	По подразбиране ние вярваме на CA в списъка на Mozilla (с изключение на WoSign и StartCom) наhttps://wiki.mozilla.org/CA:IncludedCAs .
Носи име на име на домейн с общо име (CN), което идентифицира вашето внедряване на хибридна защита на данните Не е заместващ сертификат	CN не е необходимо да е достъпен или да е домакин на живо. Препоръчваме ви да използвате име, което отразява вашата организация, напр. `hds.company.com`. CN не трябва да съдържа * (уместен знак). CN се използва за проверка на възлите за хибридна защита на данните към клиентите на Webex App. Всички възли за хибридна защита на данните във вашия клъстер използват един и същ сертификат. Вашият KMS се идентифицира с помощта на домейна CN, а не всеки домейн, който е дефиниран в полетата на x.509v3 SAN. След като сте регистрирали възел с този сертификат, ние не поддържаме промяна на име на домейн. Изберете домейн, който може да се прилага както за пробното, така и за производственото внедряване.
Не-SHA1 подпис	Софтуерът KMS не поддържа SHA1 подписи за валидиране на връзки с KMS на други организации.
Форматиран като защитен с парола файл PKCS #12 Използвайте приятелското име на `kms-private-key` за да маркирате сертификата, частния ключ и всички междинни сертификати за качване.	Можете да използвате конвертор като OpenSSL, за да промените формата на вашия сертификат. Ще трябва да въведете паролата, когато стартирате инструмента за настройка на HDS.

Софтуерът KMS не налага използването на ключове или разширените ограничения за използване на ключове. Някои сертифициращи органи изискват разширените ограничения за използване на ключ да се прилагат към всеки сертификат, като например удостоверяване на сървъра. Добре е да използвате удостоверяването на сървъра или други настройки.

Изисквания за виртуален хост

Виртуалните хостове, които ще настройвам като възли за хибридна защита на данните във вашия клъстер, имат следните изисквания:

Най-малко два отделни хоста (препоръчани 3), разположени в един и същ защитен център за данни
VMware ESXi 6.5 (или по-нова версия) е инсталиран и работи.

Трябва да надстроите, ако имате по-ранна версия на ESXi.
Минимум 4 vCPU, 8 GB основна памет, 30 GB локално пространство на твърдия диск на сървър

Изисквания за сървър на база данни

Създайте нова база данни за съхранение на ключове. Не използвайте базата данни по подразбиране. Приложенията HDS, когато са инсталирани, създават схемата на базата данни.

Има две опции за сървър на база с данни. Изискванията за всеки са както следва:

Таблица 2. Изисквания към сървъра за бази данни по тип база данни

PostgreSQL

Microsoft SQL Server

PostgreSQL 14, 15 или 16, инсталиран и работещ.

Инсталиран SQL Server 2016, 2017 или 2019 (Enterprise или Standard).

SQL Server 2016 изисква Service Pack 2 и Кумулативна актуализация 2 или по-нова версия.

Минимум 8 vCPU, 16 GB основна памет, достатъчно място на твърдия диск и наблюдение, за да се гарантира, че няма превишаване (препоръчва се 2 TB, ако искате да работите с базата данни за дълго време, без да е необходимо да увеличавате паметта)

Софтуерът HDS в момента инсталира следните версии на драйвери за комуникация със сървъра на сървър на база с данни:

PostgreSQL

Microsoft SQL Server

Postgres JDBC драйвер 42.2.5

SQL Server JDBC драйвер 4.6

Тази версия на драйвера поддържа SQL Server Always On ( Винаги включен екземпляр на клъстер при отказ и Групи за наличност Always On ).

Допълнителни изисквания за удостоверяване на Windows срещу Microsoft SQL Server

Ако искате HDS възлите да използват удостоверяване на Windows, за да получат достъп до вашата база данни за ключове на Microsoft SQL Server, тогава имате нужда от следната конфигурация във вашата среда:

HDS възлите, инфраструктурата на Active Directory и MS SQL Server трябва да бъдат синхронизирани с NTP.
Windows акаунтът, който предоставяте на HDS възлите, трябва да има достъп за четене/запис до базата данни.
DNS сървърите, които предоставяте на HDS възлите, трябва да могат да разрешат вашия център за разпространение на ключове (KDC).
Можете да регистрирате екземпляра на база данни HDS на вашия Microsoft SQL Server като име на принципал на услуга (SPN) във вашата Active Directory. Виж Регистрирайте главно име на услуга за връзки с Kerberos .

Инструментът за настройка на HDS, HDS стартерът и локалният KMS трябва да използват удостоверяване на Windows за достъп до базата данни на хранилището за ключове. Те използват детайлите от вашата ISO конфигурация, за да конструират SPN, когато искат достъп с удостоверяване на Kerberos.

Изисквания за външна свързаност

Конфигурирайте вашата защитна стена, за да разрешите следната свързаност за HDS приложенията:

Приложение	Протокол	Порт	Упътване от ап	Дестинация
Възли за хибридна защита на данните	TCP	443	Изходящ HTTPS и WSS	Webex сървъри: .wbx2.com .ciscospark.com Всички хостове за обща идентичност Други URL адреси, които са изброени за хибридна защита на данните в Допълнителни URL адреси за хибридни услуги на Webex таблица на Мрежови изисквания за услугите на Webex
Инструмент за настройка на HDS	TCP	443	Изходящ HTTPS	*.wbx2.com Всички хостове за обща идентичност hub.docker.com

Възлите за хибридна защита на данните работят с транслация на мрежов достъп (NAT) или зад защитна стена, стига NAT или защитната стена да позволяват необходимите изходящи връзки към дестинациите на домейна в предходната таблица. За връзки, които отиват към възлите за хибридна защита на данните, не трябва да се виждат портове от интернет. В рамките на вашия център за данни клиентите се нуждаят от достъп до възлите за хибридна защита на данните на TCP портове 443 и 22 за административни цели.

URL адресите за хостовете за обща идентичност (CI) са специфични за региона. Това са текущите CI хостове:

Регион	Общи URL адреси на хост за самоличност
Северна и Южна Америка	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Европейски съюз	https://idbroker-eu.webex.com https://identity-eu.webex.com
Канада	https://idbroker-ca.webex.com https://identity-ca.webex.com

Изисквания за прокси сървър

Ние официално поддържаме следните прокси решения, които могат да се интегрират с вашите възли за хибридна защита на данните.

Прозрачен прокси — Cisco интернет Security Appliance (WSA).

Изрично прокси – Squid.

Squid прокси сървърите, които проверяват HTTPS трафика, могат да попречат на установяването на websocket (wss:) връзки. За да заобиколите този проблем, вж Конфигурирайте Squid прокси сървъри за хибридна защита на данните .

Поддържаме следните комбинации от типове удостоверяване за изрични прокси сървъри:
- Няма удостоверяване с HTTP или HTTPS
- Основно удостоверяване с HTTP или HTTPS
- Дайджест удостоверяване само с HTTPS
За прозрачно проверяващо прокси или HTTPS изрично прокси, трябва да имате копие на главен сертификат на проксито. Инструкциите за внедряване в това ръководство ви казват как да качите копието в хранилищата за доверие на възлите за хибридна защита на данните.
Мрежата, хостваща HDS възлите, трябва да бъде конфигурирана да принуди изходящия TCP трафик към порт 443 да се маршрутизира през прокси сървъра.
Прокси сървърите, които проверяват уеб трафика, могат да попречат на връзките на уеб сокет. Ако възникне този проблем, заобикаляне (без проверка) на трафика към wbx2.com и ciscospark.com ще реши проблема.

Изпълнете предпоставките за хибридна защита на данните

Използвайте този контролен списък, за да се уверите, че сте готови да инсталирате и конфигурирате своя клъстер за хибридна защита на данните.

1

Уверете се, че вашата организация Webex е активирана за Pro Pack за Cisco Webex Control Hub и получете идентификационните данни за акаунт с пълни администраторски права на организация. Свържете се с вашия партньор на Cisco или мениджър на акаунт за помощ с този процес.

2

Изберете име на домейн за внедряването на HDS (например hds.company.com) и да получите верига за сертификати, съдържаща сертификат X.509, частен ключ и всякакви междинни сертификати. верига за сертификати трябва да отговаря на изискванията в X.509 Изисквания за сертификат .

3

Подгответе идентични виртуални хостове, които ще настройвам като възли за хибридна защита на данните във вашия клъстер. Имате нужда от поне два отделни хоста (3 препоръчани), разположени в един и същ защитен център за данни, които отговарят на изискванията в Изисквания за виртуален хост .

4

Подгответе сървър на база с данни , който ще действа като хранилище на данни за клъстера, според Изисквания за сървър на база данни . Сървърът на сървър на база с данни трябва да бъде разположен в защитения център за данни с виртуалните хостове.

Създайте база данни за съхранение на ключове. (Трябва да създадете тази база данни - не използвайте базата данни по подразбиране. Приложенията HDS, когато са инсталирани, създават схемата на базата данни.)
Съберете подробностите, които възлите ще използват за комуникация със сървъра на сървър на база с данни:
- име на домакина или IP адрес (хост) и порта
- името на базата данни (dbname) за съхранение на ключове
- потребителското име и паролата на потребител с всички привилегии в базата данни за съхранение на ключове

5

За бързо възстановяване след срив, настройвам среда за архивиране в различен център за данни. Архивната среда отразява производствената среда на виртуални машини и сървър за архивиране на сървър на база с данни. Например, ако производството има 3 VM, работещи с HDS възли, средата за архивиране трябва да има 3 VM.

6

Настройте хост на syslog за събиране на регистрационни файлове от възлите в клъстера. Съберете неговия мрежов адрес и порт на системния журнал (по подразбиране е UDP 514).

7

Създайте защитена политика за архивиране за възлите за хибридна защита на данните, сървър на база с данни и хоста на системния журнал. Като минимум, за да предотвратите невъзстановима загуба на данни, трябва да архивирате базата данни и конфигурационния ISO файл, генериран за възлите за хибридна защита на данните.

Тъй като възлите за защита на хибридните данни съхраняват ключовете, използвани за криптиране и декриптиране на съдържание, неспособността да се поддържа оперативно внедряване ще доведе до НЕВЪЗСТАНОВИМА ЗАГУБА от това съдържание.

Клиентите на Webex App кешират своите ключове, така че прекъсването може да не се забележи веднага, но ще стане очевидно с времето. Докато временните прекъсвания са невъзможни за предотвратяване, те са възстановими. Въпреки това, пълната загуба (няма налични резервни копия) на базата данни или конфигурационния ISO файл ще доведе до невъзстановими клиентски данни. Очаква се операторите на възлите за хибридна защита на данни да поддържат чести архиви на базата данни и конфигурационния ISO файл и да бъдат готови да изградят отново център за данни, ако възникне катастрофална повреда.

8

Уверете се, че конфигурацията на защитната ви стена позволява свързаност за вашите възли за хибридна защита на данните, както е посочено в Изисквания за външна свързаност .

9

Инсталирайте Docker (https://www.docker.com ) на всяка локална машина, работеща с поддържана операционна система (Microsoft Windows 10 Professional или Enterprise 64-битова, или Mac OSX Yosemite 10.10.3 или по-нова) с уеб браузър, който има достъп до нея на http://127.0.0.1:8080.

Използвате екземпляра на Docker, за да изтеглите и стартирате инструмента за настройка на HDS, който изгражда информация за конфигуриране за всички възли за защита на хибридните данни. Вашата организация може да се нуждае от лиценз за Docker Desktop. Виж Изисквания за работния плот на Docker за повече информация.

За да инсталирате и стартирате инструмента за настройка на HDS, локалната машина трябва да има очертана свързаност Изисквания за външна свързаност .

10

Ако интегрирате прокси с Hybrid Data Security, уверете се, че отговаря на Изисквания за прокси сървър .

11

Ако вашата организация използва синхронизиране на директории, създайте група в Active Directory , наречена HdsTrialGroup и добавете пилотни потребители. Пробната група може да има до 250 потребители. На HdsTrialGroup обектът трябва да бъде синхронизиран с облака, преди да можете да започнете пробна версия за вашата организация. За да синхронизирате групов обект, изберете го в конектора на директория Конфигурация > Избор на обект меню. (За подробни инструкции вижте Ръководство за разгръщане на Cisco Directory Connector. )

Ключовете за дадено пространство се задават от създателя на пространството. Когато избирате пилотни потребители, имайте предвид, че ако решите да деактивирате за постоянно внедряването на Hybrid Data Security, всички потребители губят достъп до съдържание в пространствата, създадени от пилотните потребители. Загубата става очевидна веднага щом приложенията на потребителите обновят своите кеширани копия на съдържанието.

Създайте хибриден клъстер за сигурност на данните

Поток на задачи за внедряване на хибридна защита на данните

Преди да започнете

1

Изтеглете OVA файла на вашата локална машина за по-късна употреба.

2

Използвайте инструмента за настройка на HDS, за да създадете ISO конфигурационен файл за възлите за хибридна защита на данните.

3

Настройте хибридната VM машина за защита на данните

Създайте виртуална машина от файла OVA и извършете първоначална конфигурация, като мрежови настройки.

Опцията за конфигуриране на мрежови настройки по време на внедряване на OVA е тествана с ESXi 6.5. Възможно е опцията да не е налична в по-ранните версии.

4

Влезте в конзолата на VM и задайте идентификационните данни за вход. Конфигурирайте мрежови настройки за възела, ако не сте ги конфигурирали по време на внедряването на OVA.

5

Конфигурирайте VM от ISO конфигурационен файл , който сте създали с инструмента за настройка на HDS.

6

Ако мрежовата среда изисква конфигурация на прокси сървър, посочете типа прокси, който ще използвате за възела, и добавете прокси сертификата към хранилището за доверие, ако е необходимо.

7

Регистрирайте VM с облака на Cisco Webex като възел за хибридна защита на данните.

8

Завършете настройката на клъстера.

9

Изпълнете пробна версия и преминете към производство (следваща глава)

Докато не започнете пробна версия, вашите възли генерират аларма, показваща, че вашата услуга все още не е активирана.

Изтеглете инсталационни файлове

В тази задача изтегляте OVA файл на вашата машина (не на сървърите, които сте настройвам като възли за хибридна защита на данните). Използвате този файл по-късно в процеса на инсталиране.

1

Влезте вhttps://admin.webex.com и след това щракнете Услуги .

2

В секцията Хибридни услуги намерете картата за защита на хибридни данни и след това щракнете Настройте .

Ако картата е деактивирана или не я виждате, свържете се с екипа на акаунта си или с партньорската си организация. Дайте им номера на вашата сметка и поискайте да активирате вашата организация за хибридна защита на данните. За да намерите номера на сметката, щракнете върху зъбното колело горе вдясно до името на вашата организация.

Можете също да изтеглите OVA по всяко време от Помощ раздел за Настройки страница. На картата за защита на хибридни данни щракнете Редактиране на настройките за да отворите страницата. След това щракнете Изтеглете софтуера за хибридна защита на данните в Помощ раздел.

По-старите версии на софтуерния пакет (OVA) няма да са съвместими с най-новите надстройки за хибридна защита на данните. Това може да доведе до проблеми при надграждане на приложението. Уверете се, че сте изтеглили най-новата версия на файла OVA.

3

Изберете не за да посочите, че все още не сте настройвам възела, и след това щракнете Следваща .

OVA файлът автоматично започва да се изтегля. Запазете файла на място на вашата машина.

4

По желание щракнете Отворете Ръководство за разгръщане за да проверите дали има налична по-нова версия на това ръководство.

Създайте ISO конфигурация за HDS хостовете

Процесът на настройка на хибридната защита на данните създава ISO файл. След това използвате ISO , за да конфигурирате вашия хост за хибридна защита на данни.

Преди да започнете

Инструментът за настройка на HDS работи като Docker контейнер на локална машина. За да получите достъп до него, стартирайте Docker на тази машина. Процесът на настройка изисква идентификационни данни на акаунт в Control Hub с пълни администраторски права за вашата организация.

Ако инструментът за настройка на HDS работи зад прокси във вашата среда, предоставете настройките на прокси сървъра (сървър, порт, идентификационни данни) чрез променливите на средата на Docker, когато извеждате Docker контейнера в стъпка 5 . Тази таблица дава някои възможни променливи на средата:

Описание	Променлива
HTTP прокси без удостоверяване	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS прокси без удостоверяване	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP прокси с удостоверяване	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS прокси с удостоверяване	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Конфигурационният ISO файл, който генерирате, съдържа главния ключ, криптиращ PostgreSQL или базата данни на Microsoft SQL Server. Имате нужда от последното копие на този файл всеки път, когато правите промени в конфигурацията, като тези:
- Данни за база данни
- Актуализации на сертификата
- Промени в политиката за оторизация
Ако планирате да шифровате връзките към базата данни, настройвам внедряването на PostgreSQL или SQL Server за TLS.

1

В командния ред на вашата машина въведете подходящата команда за вашата среда:

В редовна среда:

docker rmi ciscocitg/hds-setup:stable

В FedRAMP среди:

docker rmi ciscocitg/hds-setup-fedramp:stable

Тази стъпка почиства предишни изображения на инструмента за настройка на HDS. Ако няма предишни изображения, той връща грешка, която можете да игнорирате.

2

За да влизам в регистъра на изображенията на Docker, въведете следното:

docker login -u hdscustomersro

3

При подкана за парола въведете този хеш:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Изтеглете най-новото стабилно изображение за вашата среда:

В редовна среда:

docker pull ciscocitg/hds-setup:stable

В FedRAMP среди:

docker pull ciscocitg/hds-setup-fedramp:stable

5

Когато изтеглянето завърши, въведете подходящата команда за вашата среда:

В обикновени среди без прокси:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

В обикновени среди с HTTP прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

В обикновени среди с HTTPS прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

В FedRAMP среди без прокси:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

В FedRAMP среди с HTTP прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

В FedRAMP среди с HTTPS прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Когато контейнерът работи, виждате „Експресно слушане на сървър на порт 8080“.

6

Инструментът за настройка не поддържа свързване към localhost чрез http://localhost:8080 . Използвайтеhttp://127.0.0.1:8080 за да се свържете с локален хост.

Използвайте уеб браузър, за да отидете на локалния хост, http://127.0.0.1:8080 и въведете потребителско име на администратор на клиента за Control Hub при подкана.

Инструментът използва това първо въвеждане на потребителското име, за да зададе подходящата среда за този акаунт. След това инструментът показва стандартната подкана за вход.

7

Когато бъдете подканени, въведете вашите идентификационни данни за вход на администратор на клиента Control Hub и след това щракнете Влезте за да разрешите достъп до необходимите услуги за хибридна защита на данните.

8

На страницата за преглед на инструмента за настройка щракнете Започнете .

9

На ISO импортиране страница, имате следните опции:

не —Ако създавате първия си HDS възел, нямате ISO файл за качване.
да —Ако вече сте създали HDS възли, тогава избирате своя ISO файл в прегледа и го качвате.

10

Проверете дали вашият сертификат X.509 отговаря на изискванията в X.509 Изисквания за сертификат .

Ако никога досега не сте качвали сертификат, качете сертификата X.509, въведете паролата и щракнете Продължете .
Ако сертификатът ви е ОК, щракнете Продължете .
Ако вашият сертификат е изтекъл или искате да го замените, изберете не за Да продължите ли да използвате верига за сертификати и частен ключ от предишен ISO? . Качете нов сертификат X.509, въведете паролата и щракнете Продължете .

11

Въведете адреса на базата данни и акаунт за HDS за достъп до вашето ключово хранилище за данни:

Изберете своя Тип база данни ( PostgreSQL или Microsoft SQL Server ).

Ако изберете Microsoft SQL Server , получавате поле Тип на удостоверяването .
( Microsoft SQL Server само) Изберете своя Тип на удостоверяването :
- Основно удостоверяване : Имате нужда от име на профила в SQL Server в Потребителско име поле.
- Удостоверяване на Windows : Нуждаете се от акаунт в Windows във формата username@DOMAIN в Потребителско име поле.
Въведете адреса на сървър на база с данни във формуляра <hostname>:<port> или <IP-address>:<port>.

Пример:
dbhost.example.org:1433 или 198.51.100.17:1433

Можете да използвате IP адрес за основно удостоверяване, ако възлите не могат да използват DNS за разрешаване на името на хоста.

Ако използвате удостоверяване на Windows, трябва да въведете напълно квалифицирано име на домейн във формата dbhost.example.org:1433
Въведете Име на базата данни .
Въведете Потребителско име и парола на потребител с всички привилегии в базата данни за съхранение на ключове.

12

Изберете a TLS режим на връзка с база данни :

Режим

Описание

Предпочитайте TLS (опция по подразбиране)

HDS възлите не изискват TLS за свързване към сървъра на сървър на база с данни. Ако активирате TLS на сървъра на сървър на база с данни, възлите се опитват да установят криптирана връзка.

Изисквайте TLS

HDS възлите се свързват само ако сървърът на сървър на база с данни може да договаря TLS.

Изисквайте TLS и потвърдете подписващия сертификат

Този режим не е приложим за бази данни на SQL Server.

HDS възлите се свързват само ако сървърът на сървър на база с данни може да договаря TLS.
След установяване на TLS връзка, възелът сравнява подписващия сертификат от сървър на база с данни с сертифициращия орган в главен сертификат на базата данни . Ако не съвпадат, възелът прекратява връзката.

Използвайте главен сертификат на базата данни контрол под падащото меню, за да качите главен сертификат за тази опция.

Изисквайте TLS и проверете подписващия сертификат и името на хоста

HDS възлите се свързват само ако сървърът на сървър на база с данни може да договаря TLS.
След установяване на TLS връзка, възелът сравнява подписващия сертификат от сървър на база с данни с сертифициращия орган в главен сертификат на базата данни . Ако не съвпадат, възелът прекратява връзката.
Възлите също така проверяват дали името на хоста в сертификат на сървъра съвпада с името на хоста в Хост на базата данни и порт поле. Имената трябва да съвпадат точно, или възелът прекъсва връзката.

Използвайте главен сертификат на базата данни контрол под падащото меню, за да качите главен сертификат за тази опция.

Когато качите главен сертификат (ако е необходимо) и щракнете Продължете , инструментът за настройка на HDS тества TLS връзката към сървъра на сървър на база с данни. Инструментът също така проверява подписващия сертификат и името на хоста, ако е приложимо. Ако тестът е неуспешен, инструментът показва съобщение за грешка, описващо проблема. Можете да изберете дали да игнорирате грешката и да продължите с настройката. (Поради разликите в свързаността, HDS възлите може да са в състояние да установят TLS връзката, дори ако машината с инструмент за настройка на HDS не може успешно да я тества.)

13

На страницата System Logs конфигурирайте вашия Syslogd сървър:

Въведете URL на syslog сървъра.

Ако сървърът не е DNS-разрешим от възлите за вашия HDS клъстер, използвайте IP адрес в URL.

Пример:
udp://10.92.43.23:514 показва регистриране към хост Syslogd 10.92.43.23 на UDP порт 514.
Ако сте настройвам вашия сървър да използва TLS криптиране, проверете Вашият syslog сървър конфигуриран ли е за SSL криптиране? .

Ако поставите отметка в това поле за отметка, уверете се, че сте въвели TCP URL , като напр tcp://10.92.43.23:514.
От Изберете прекратяване на запис на syslog падащо меню изберете подходящата настройка за вашия ISO файл: Изберете или Newline се използва за Graylog и Rsyslog TCP
- Нулев байт -- \x00
- Нов ред -- \n —Изберете този избор за Graylog и Rsyslog TCP.
Щракнете върху Продължаване.

14

(По избор) Можете да промените стойност по подразбиране за някои параметри на връзката към базата данни в Разширени настройки . По принцип този параметър е единственият, който може да искате да промените:

app_datasource_connection_pool_maxSize: 10

15

Щракнете върху Продължете на Нулиране на паролата за сервизни акаунти екран.

Паролите за акаунти за услуги имат деветмесечен живот. Използвайте този екран, когато паролите ви изтичат или искате да ги нулирате, за да анулирате предишни ISO файлове.

16

Щракнете върху Изтеглете ISO файл . Запазете файла на място, което е лесно за намиране.

17

Направете резервно копие на ISO файла във вашата локална система.

Пазете резервното копие сигурно. Този файл съдържа главен ключ за шифроване за съдържанието на базата данни. Ограничете достъпа само до онези администратори на Hybrid Data Security, които трябва да направят промени в конфигурацията.

18

За да изключите инструмента за настройка, въведете CTRL+C.

Какво да направите след това

Архивирайте конфигурационния ISO файл. Нуждаете се от него, за да създадете повече възли за възстановяване или да направите промени в конфигурацията. Ако загубите всички копия на ISO файла, вие също сте загубили главния ключ. Възстановяването на ключовете от вашата база данни PostgreSQL или Microsoft SQL Server не е възможно.

Никога нямаме копие на този ключ и не можем да помогнем, ако го загубите.

Инсталирайте HDS Host OVA

Използвайте тази процедура, за да създадете виртуална машина от OVA файла.

1

Използвайте VMware vSphere клиента на вашия компютър, за да влезете във виртуалния хост ESXi.

2

Изберете Файл > Внедряване на OVF шаблон .

3

В съветника посочете местоположението на файла OVA, който сте изтеглили по-рано, и след това щракнете Следваща .

4

На Изберете име и папка страница, въведете a Име на виртуална машина за възела (например „HDS_ Нode_ 1"), изберете местоположение, където може да се намира разгръщането на възела на виртуална машина , и след това щракнете Следваща .

5

На Изберете изчислителен ресурс страница, изберете целевия изчислителен ресурс и след това щракнете Следваща .

Изпълнява се проверка за валидиране. След като приключи, се появяват подробностите за шаблона.

6

Проверете детайлите на шаблона и след това щракнете Следваща .

7

Ако бъдете помолени да изберете конфигурацията на ресурса на Конфигурация страница, щракнете 4 CPU и след това щракнете Следваща .

8

На Изберете място за съхранение страница, щракнете Следваща за да приемете дисковия формат по подразбиране и политиката за съхранение на VM .

9

На Изберете мрежи страница, изберете опцията за мрежа от списъка с записи, за да осигурите желаната свързаност към VM.

10

На Персонализирайте шаблона страница, конфигурирайте следните мрежови настройки:

Име на хост — Въведете FQDN (име на хост и домейн) или име на хост от една дума за възела.

Не е необходимо да задавате домейна да съвпада с домейна, който сте използвали за получаване на сертификата X.509.
За да осигурите успешна регистрация в облака, използвайте само малки букви в FQDN или името на хост, които сте задали за възела. Понастоящем изписването с главни букви не се поддържа.
Общата дължина на FQDN не трябва да надвишава 64 знака.

IP адрес — Въведете IP адрес за вътрешния интерфейс на възела.

Вашият възел трябва да има вътрешен IP адрес и DNS име. DHCP не се поддържа.
маска — Въведете адреса на маска на подмрежата в десетична нотация. например 255.255.255.0 .
Портал — Въведете IP адрес на шлюза. Шлюзът е мрежов възел, който служи като точка на достъп до друга мрежа.
DNS сървъри — Въведете разделен със запетая списък с DNS сървъри, които обработват преобразуването на имена на домейни в цифрови IP адреси. (Разрешени са до 4 DNS записа.)
NTP сървъри — Въведете NTP сървър на вашата организация или друг външен NTP сървър , който може да се използва във вашата организация. NTP сървърите по подразбиране може да не работят за всички предприятия. Можете също да използвате разделен със запетая списък, за да въведете множество NTP сървъри.

Разположете всички възли в една и съща подмрежа или VLAN, така че всички възли в клъстер да са достъпни от клиенти във вашата мрежа за административни цели.

Ако предпочитате, можете да пропуснете конфигурацията на мрежовите настройки и да следвате стъпките в Настройте хибридната VM машина за защита на данните за да конфигурирате настройките от конзолата на възела.

Опцията за конфигуриране на мрежови настройки по време на внедряване на OVA е тествана с ESXi 6.5. Възможно е опцията да не е налична в по-ранните версии.

11

Щракнете с десния бутон върху възела VM и след това изберете Мощност > Включване .

Софтуерът Hybrid Data Security се инсталира като гост на VM Host. Вече сте готови да влизам в конзолата и да конфигурирате възела.

Съвети за отстраняване на неизправности

Може да изпитате закъснение от няколко минути, преди да излязат контейнерите на възела. Съобщение за мостова защитна стена се появява на конзолата по време на първото стартиране, по време на което не можете да влизам.

Настройте хибридната VM машина за защита на данните

Използвайте тази процедура, за да влизам в конзолата за VM на възела на хибридната защита на данните за първи път и да зададете идентификационните данни за вход. Можете също да използвате конзолата, за да конфигурирате мрежови настройки за възела, ако не сте ги конфигурирали по време на внедряването на OVA.

1	В клиента VMware vSphere изберете своя VM възел за хибридна защита на данните и изберете Конзола раздел. VM се зарежда и се появява подкана за влизане. Ако подканата за влизане не се покаже, натиснете Въведете .
2	Използвайте следното потребителско име и парола по подразбиране, за да влизам и промените идентификационните данни: Вход: `admin` Парола: `cisco` Тъй като влизате във вашата VM за първи път, от вас се изисква да промените паролата на администратор.
3	Ако вече сте конфигурирали мрежови настройки в Инсталирайте HDS Host OVA , пропуснете останалата част от тази процедура. В противен случай в главно меню изберете Редактиране на конфигурация опция.
4	Настройте статична конфигурация с информация за IP адрес, маска, шлюз и DNS . Вашият възел трябва да има вътрешен IP адрес и DNS име. DHCP не се поддържа.
5	(По избор) Променете името на хоста, домейна или NTP сървър(ите), ако е необходимо, за да съответства на вашата мрежова политика. Не е необходимо да задавате домейна да съвпада с домейна, който сте използвали за получаване на сертификата X.509.
6	Запазете мрежова конфигурация и рестартирайте VM , така че промените да влязат в сила.

Качете и монтирайте ISO конфигурацията на HDS

Използвайте тази процедура, за да конфигурирате виртуална машина от ISO файла, който сте създали с инструмента за настройка на HDS.

Преди да започнете

Тъй като ISO файлът съдържа главния ключ, той трябва да бъде изложен само на базата на „необходимост да се знае“ за достъп от хибридните виртуални машини за защита на данните и всички администратори, които може да се наложи да направят промени. Уверете се, че само тези администратори имат достъп до хранилището на данни.

1

Качете ISO файла от вашия компютър:

В левия навигационен панел на клиента VMware vSphere щракнете върху ESXi сървъра.
В списъка Хардуер на раздела Конфигурация щракнете Съхранение .
В списъка Datastores щракнете с щраквам с десния бутон върху хранилището на данни за вашите VM и щракнете Преглед на Datastore .
Щракнете върху иконата за качване на файлове и след това щракнете върху Качване на файл .
Отидете до мястото, където сте изтеглили ISO файла на вашия компютър и щракнете Отвори .
Щракнете върху да за да приемете предупреждението за операцията за качване/изтегляне и затворете диалоговия прозорец за съхранение на данни.

2

Монтирайте ISO файла:

В левия навигационен панел на клиента VMware vSphere щракнете с щраквам с десния бутон върху VM и щракнете Редактиране на настройките .
Щракнете върху ОК за да приемете предупреждението за ограничени опции за редактиране.
Щракнете върху CD/DVD Drive 1, изберете опцията за монтиране от ISO файл на хранилище за данни и прегледайте мястото, където сте качили конфигурационния ISO файл.
Проверете Свързани и Свържете при включване .
Запазете промените и рестартирайте виртуална машина.

Какво да направите след това

Ако вашата ИТ политика изисква, можете по избор да демонтирате ISO файла, след като всички ваши възли приемат промените в конфигурацията. Виж (По избор) Демонтирайте ISO след HDS конфигурация за подробности.

Конфигурирайте HDS възел за прокси интеграция

Ако мрежовата среда изисква прокси, използвайте тази процедура, за да посочите типа прокси, който искате да интегрирате с Hybrid Data Security. Ако изберете прозрачно прокси за проверка или HTTPS изрично прокси, можете да използвате интерфейса на възела, за да качите и инсталирате главен сертификат. Можете също да проверите прокси връзката от интерфейса и да отстраните евентуални проблеми.

Преди да започнете

Виж Прокси поддръжка за преглед на поддържаните прокси опции.
Изисквания за прокси сървър

1	Въведете URL за настройка на HDS възел `https://[HDS Node IP or FQDN]/setup` в уеб браузър, въведете администраторските идентификационни данни, които сте настройвам за възела, и след това щракнете Влезте .
2	Отидете на Доверен магазин и прокси и след това изберете опция: Без прокси —Опция по опция по подразбиране, преди да интегрирате прокси. Не се изисква актуализация на сертификата. Прозрачен прокси без проверка — Възлите не са конфигурирани да използват конкретен адрес на прокси сървър и не трябва да изискват никакви промени, за да работят с неинспектиращ прокси сървър. Не се изисква актуализация на сертификата. Прозрачен инспектиращ прокси — Възлите не са конфигурирани да използват конкретен адрес на прокси сървър . Не са необходими промени в конфигурацията на HTTPS при внедряването на хибридна защита на данните, но HDS възлите се нуждаят от главен сертификат , така че да имат доверие на прокси сървъра. Проверяващите прокси сървъри обикновено се използват от ИТ за налагане на политики за това кои уебсайтове могат да бъдат посещавани и кои видове съдържание не са разрешени. Този тип прокси декриптира целия ви трафик (дори HTTPS). Изрично прокси —С изричен прокси, вие казвате на клиента (HDS възли) кой прокси сървър да използва и тази опция поддържа няколко типа удостоверяване. След като изберете тази опция, трябва да въведете следната информация: Прокси IP/ FQDN — Адрес, който може да се използва за достигане до прокси машината. Прокси порт —Номер на номер на порт , който проксито използва за прослушване на прокси трафик. Прокси протокол — Изберете http (преглежда и контролира всички заявки, които се получават от клиента) или https (предоставя канал към сървъра, а клиентът получава и валидира сертификата на сървъра). Изберете опция въз основа на това, което поддържа вашият прокси сървър . Тип на удостоверяването — Изберете измежду следните типове удостоверяване: Няма — не се изисква допълнително удостоверяване. Предлага се за HTTP или HTTPS прокси сървъри. Основен —Използва се за HTTP потребителски агент за предоставяне на потребителско име и парола при отправяне на заявка. Използва Base64 кодиране. Предлага се за HTTP или HTTPS прокси сървъри. Ако изберете тази опция, трябва също да въведете потребителско име и парола. Дайджест —Използва се за потвърждение на акаунта преди изпращане на чувствителна информация. Прилага хеш функция върху потребителското име и паролата преди изпращане по мрежата. Предлага се само за HTTPS прокси сървъри. Ако изберете тази опция, трябва също да въведете потребителско име и парола. Следвайте следващите стъпки за прозрачно прокси за проверка, HTTP изрично прокси с основно удостоверяване или HTTPS изрично прокси.
3	Щракнете върху Качете главен сертификат или сертификат за краен обект и след това отидете до a изберете главен сертификат за прокси сървъра. Сертификатът е качен, но все още не е инсталиран, защото трябва да рестартирате възела, за да инсталирате сертификата. Щракнете върху стрелката на шеврон до името на издателя на сертификата, за да получите повече подробности, или щракнете Изтрийте ако сте направили грешка и искате да качите отново файла.
4	Щракнете върху Проверете прокси връзката за да тествате връзка с мрежата между възела и проксито. Ако тестът на връзката е неуспешен, ще видите съобщение за грешка , което показва причината и как можете да коригирате проблема. Ако видите съобщение, че външната DNS резолюция не е била успешна, възелът не е успял да достигне до DNS сървър. Това условие се очаква в много изрични прокси конфигурации. Можете да продължите с настройката и възелът ще функционира в режим на Blocked External DNS Resolution. Ако смятате, че това е грешка, изпълнете тези стъпки и след това вижте Изключете Blocked External DNS Resolution Mode .
5	След като тестът на връзката премине, за изрично прокси, настроено само на https, включете превключвателя на Насочете всички заявки към порт 443/444 https от този възел през изричния прокси сървър . Тази настройка изисква 15 секунди, за да влезе в сила.
6	Щракнете върху Инсталирайте всички сертификати в Trust Store (появява се за HTTPS изричен прокси или прозрачен проверяващ прокси) или Рестартирайте (появява се за HTTP изрично прокси), прочетете подканата и след това щракнете Инсталирайте ако си готов. Възелът се рестартира в рамките на няколко минути.
7	След като възелът се рестартира, влизам отново, ако е необходимо, и след това отворете Общ преглед страница, за да проверите проверките за свързаност, за да се уверите, че всички са в зелено състояние. Проверката на прокси връзката тества само поддомейн на webex.com. Ако има проблеми със свързването, често срещан проблем е, че някои от облачните домейни, изброени в инструкциите за инсталиране, се блокират на прокси сървъра.

Регистрирайте първия възел в клъстера

Тази задача приема общия възел, който сте създали в Настройте хибридната VM машина за защита на данните , регистрира възела в облака Webex и го превръща в възел за хибридна защита на данните.

Когато регистрирате първия си възел, вие създавате клъстер, към който е присвоен възелът. Клъстерът съдържа един или повече възли, разположени за осигуряване на излишък.

Преди да започнете

След като започнете регистрацията на възел, трябва да го завършите в рамките на 60 минути или трябва да започнете отначало.
Уверете се, че всички блокиращи изскачащи прозорци във вашия браузър са деактивирани или че сте разрешили изключение за admin.webex.com.

1	Влезте в https://admin.webex.com.
2	От менюто в лявата част на екрана изберете Услуги .
3	В секцията Хибридни услуги намерете Hybrid Data Security и щракнете Настройте . Появява се страницата Register Hybrid Data Security Node.
4	Изберете да за да посочите, че сте настройвам възела и сте готови да го регистрирате, и след това щракнете Следваща .
5	В първото поле въведете име за клъстера, към който искате да присвоите своя възел за хибридна защита на данните. Препоръчваме ви да назовете клъстер въз основа на това къде се намират възлите на клъстера географски. Примери: "Сан Франциско" или "Ню Йорк" или "Далас"
6	Във второто поле въведете вътрешния IP адрес или напълно квалифицирано име на домейн (FQDN) на вашия възел и щракнете Следваща . Този IP адрес или FQDN трябва да съвпада с IP адрес или името на хоста и домейна, в който сте използвали Настройте хибридната VM машина за защита на данните . Появява се съобщение, което показва, че можете да регистрирате своя възел в Webex.
7	Щракнете върху Отидете на Node .
8	Щракнете върху Продължете в предупредително съобщение. След няколко минути ще бъдете пренасочени към тестовете за свързване на възел за услугите на Webex . Ако всички тестове са успешни, се появява страницата Разрешаване на достъп до възел за защита на хибридни данни. Там потвърждавате, че искате да дадете разрешения на вашата Webex организация за достъп до вашия възел.
9	Проверете Разрешете достъп до вашия възел за защита на хибридни данни квадратче за отметка и след това щракнете Продължете . Вашият акаунт е валидиран и съобщението „Регистрацията е завършена“ показва, че вашият възел вече е регистриран в облака на Webex .
10	Щракнете върху връзката или затворете раздела, за да се върнете към страницата за защита на хибридните данни на Control Hub. На Хибридна сигурност на данните страница, се показва новият клъстер, съдържащ възела, който сте регистрирали. Възелът автоматично ще изтегли най-новия софтуер от облака.

Създайте и регистрирайте още възли

За да добавите допълнителни възли към вашия клъстер, просто създавате допълнителни VM и монтирате същия конфигурационен ISO файл, след което регистрирате възела. Препоръчваме ви да имате поне 3 възела.

По това време резервните виртуални машини, в които сте създали Изпълнете предпоставките за хибридна защита на данните са резервни хостове, които се използват само в случай на възстановяване след срив; дотогава те не са регистрирани в системата. За подробности вж Възстановяване при бедствия с помощта на Център за данни в режим на готовност .

Преди да започнете

След като започнете регистрацията на възел, трябва да го завършите в рамките на 60 минути или трябва да започнете отначало.
Уверете се, че всички блокиращи изскачащи прозорци във вашия браузър са деактивирани или че сте разрешили изключение за admin.webex.com.

1	Създайте нова виртуална машина от OVA, като повторите стъпките в Инсталирайте HDS Host OVA .
2	Настройте първоначалната конфигурация на новата VM, като повторите стъпките в Настройте хибридната VM машина за защита на данните .
3	На новата VM повторете стъпките в Качете и монтирайте ISO конфигурацията на HDS .
4	Ако настройвате прокси за внедряването си, повторете стъпките в Конфигурирайте HDS възел за прокси интеграция както е необходимо за новия възел.
5	Регистрирайте възела. Вhttps://admin.webex.com , изберете Услуги от менюто в лявата част на екрана. В секцията Хибридни услуги намерете картата за защита на хибридни данни и щракнете Ресурси . Появява се страницата Ресурси за защита на хибридните данни. Щракнете върху Добавяне на ресурс . В първото поле изберете името на съществуващия си клъстер. Във второто поле въведете вътрешния IP адрес или напълно квалифицирано име на домейн (FQDN) на вашия възел и щракнете Следваща . Появява се съобщение, което показва, че можете да регистрирате своя възел в облака на Webex . Щракнете върху Отидете на Node . След няколко минути ще бъдете пренасочени към тестовете за свързване на възел за услугите на Webex . Ако всички тестове са успешни, се появява страницата Разрешаване на достъп до възел за защита на хибридни данни. Там потвърждавате, че искате да дадете разрешения на вашата организация за достъп до вашия възел. Проверете Разрешете достъп до вашия възел за защита на хибридни данни квадратче за отметка и след това щракнете Продължете . Вашият акаунт е валидиран и съобщението „Регистрацията е завършена“ показва, че вашият възел вече е регистриран в облака на Webex . Щракнете върху връзката или затворете раздела, за да се върнете към страницата за защита на хибридните данни на Control Hub. Вашият възел е регистриран. Имайте предвид, че докато не започнете пробна версия, вашите възли генерират аларма, показваща, че вашата услуга все още не е активирана.

Какво да направите след това

Изпълнете пробна версия и преминете към производство (следваща глава)

Изпълнете пробна версия и преминете към производство

Поток на задачата от пробна и производствена

След като настройвам клъстер за хибридна защита на данни, можете да стартирате пилотен, да добавите потребители към него и да започнете да го използвате за тестване и проверка на внедряването си в подготовка за преминаване към производство.

Преди да започнете

1	Ако е приложимо, синхронизирайте `HdsTrialGroup` групов обект. Ако вашата организация използва синхронизиране на директории за потребители, трябва да изберете `HdsTrialGroup` групов обект за синхронизиране с облака, преди да можете да започнете пробна версия. За инструкции вижте Ръководство за разгръщане на Cisco Directory Connector.
2	Активирайте пробна версия Започнете изпитание. Докато не изпълните тази задача, вашите възли генерират аларма, показваща, че услугата все още не е активирана.
3	Тествайте внедряването на вашата хибридна защита на данните Проверете дали ключовите заявки преминават към внедряването на вашата хибридна защита на данните.
4	Наблюдавайте здравето на хибридната защита на данните Проверете състоянието и настройвам известия по имейл за аларми.
5	Добавяне или премахване на потребители от вашия пробен период
6	Завършете пробната фаза с едно от следните действия: Преминете от пробна версия към производствена Прекратете пробния си период, без да преминете към производство

Активирайте пробна версия

Преди да започнете

Ако вашата организация използва синхронизиране на директории за потребители, трябва да изберете HdsTrialGroup групов обект за синхронизиране с облака, преди да можете да започнете пробна версия за вашата организация. За инструкции вижте Ръководство за разгръщане на Cisco Directory Connector.

1	Влезте вhttps://admin.webex.com и след това изберете Услуги .
2	Под Hybrid Data Security щракнете върху Настройки .
3	В секцията Състояние на услугата щракнете Започнете пробна версия . Състоянието на услугата се променя на пробен режим.
4	Щракнете върху Добавяне на потребители и въведете имейл адрес на един или повече потребители за пилотно използване на вашите възли за хибридна защита на данните за услуги за криптиране и индексиране. (Ако вашата организация използва синхронизиране на директории, използвайте Active Directory , за да управлявате пробната група, `HdsTrialGroup`.)

Тествайте внедряването на вашата хибридна защита на данните

Използвайте тази процедура, за да тествате сценарии за криптиране на хибридна защита на данните.

Преди да започнете

Настройте внедряването на хибридната защита на данните.
Активирайте пробната версия и добавете няколко пробни потребители.
Уверете се, че имате достъп до системния журнал, за да проверите дали ключовите заявки се предават към внедряването на хибридната защита на данните.

1

Ключовете за дадено пространство се задават от създателя на пространството. Влезте в приложението Webex като един от пилотните потребители и след това създайте пространство и поканете поне един пилотен потребител и един непилотен потребител.

Ако деактивирате внедряването на хибридна защита на данните, съдържанието в пространствата, които пилотните потребители създават, вече няма да бъде достъпно, след като кешираните от клиента копия на ключовете за криптиране бъдат заменени.

2

Изпращайте съобщения до новото пространство.

3

Проверете изхода на системния журнал, за да се уверите, че ключовите заявки преминават към вашето внедряване на хибридна защита на данните.

За да проверите дали потребител първо установява защитен канал към KMS, филтрирайте kms.data.method=create и kms.data.type=EPHEMERAL_KEY_COLLECTION:

Трябва да намерите запис като следния (идентификаторите, съкратени за четливост):

2020-07-21 17:35:34.562 (+0000) INFO  KMS [pool-14-thread-1] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms://hds2.org5.portun.us/statickeys/3[~]0 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=EPHEMERAL_KEY_COLLECTION, 
kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2

За да проверите за потребител, който иска съществуващ ключ от KMS, филтрирайте kms.data.method=retrieve и kms.data.type=KEY:

Трябва да намерите запис като:

2020-07-21 17:44:19.889 (+0000) INFO  KMS [pool-14-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=retrieve, 
kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriHost=ciscospark.com, kms.data.type=KEY, 
kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b

За да проверите за потребител, който иска създаване на нов KMS ключ, филтрирайте kms.data.method=create и kms.data.type=KEY_COLLECTION:

Трябва да намерите запис като:

2020-07-21 17:44:21.975 (+0000) INFO  KMS [pool-14-thread-33] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, 
kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, 
kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b

За да проверите за потребител, който иска създаването на нов KMS Resource Object (KRO), когато се създаде пространство или друг защитен ресурс, филтрирайте върху kms.data.method=create и kms.data.type=RESOURCE_COLLECTION:

Трябва да намерите запис като:

2020-07-21 17:44:22.808 (+0000) INFO  KMS [pool-15-thread-1] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

Наблюдавайте здравето на хибридната защита на данните

индикатор на състоянието в Control Hub ви показва дали всичко е наред с внедряването на хибридната защита на данните. За по-проактивни сигнали, записвам се за известия по имейл. Ще бъдете уведомени, когато има аларми, засягащи услугата, или надстройки на софтуера.

1	В Контролен център , изберете Услуги от менюто в лявата част на екрана.
2	В секцията Хибридни услуги намерете Hybrid Data Security и щракнете Настройки . Появява се страницата Настройки за защита на хибридните данни.
3	В секцията Известия по Имейл въведете един или повече имейл адреси, разделени със запетаи, и натиснете Въведете .

Добавяне или премахване на потребители от вашия пробен период

След като активирате пробен период и сте добавили първоначалния набор от потребители на пробния период, можете да добавяте или премахвате членове на пробния период по всяко време, докато пробният период е активен.

Ако премахнете потребител от пробната версия, клиентът на потребителя ще поиска ключове и създаване на ключ от облачния KMS вместо от вашия KMS. Ако клиентът се нуждае от ключ, който се съхранява във вашия KMS, облачният KMS ще го извлече от името на потребителя.

Ако вашата организация използва синхронизиране на директории, използвайте Active Directory (вместо тази процедура), за да управлявате пробната група, HdsTrialGroup; можете да видите членовете на групата в Control Hub, но не можете да ги добавяте или премахвате.

1	Влезте в Control Hub и след това изберете Услуги .
2	Под Hybrid Data Security щракнете върху Настройки .
3	В секцията Пробен режим на зоната Състояние на услугата щракнете Добавяне на потребители , или щракнете преглед и редактиране за да премахнете потребителите от пробния период.
4	Въведете имейл адрес на един или повече потребители, които да добавите, или щракнете върху X чрез ИД на потребител , за да премахнете потребителя от пробната версия. След това щракнете Запазете .

Преминете от пробна версия към производствена

Когато сте доволни, че внедряването ви работи добре за пробните потребители, можете да преминете към производство. Когато преминете към производство, всички потребители в организацията ще използват вашия в помещението домейн за хибридна защита на данните за ключове за криптиране и други услуги от сферата на сигурността. Не можете да се върнете обратно към пробен режим от производство, освен ако не деактивирате услугата като част от възстановяване след срив. Повторното активиране на услугата изисква да настройвам нов пробен период.

1	Влезте в Control Hub и след това изберете Услуги .
2	Под Hybrid Data Security щракнете върху Настройки .
3	В секцията Състояние на услугата щракнете Преминете към Производство .
4	Потвърдете, че искате да преместите всичките си потребители в производствения режим.

Прекратете пробния си период, без да преминете към производство

Ако по време на пробния период решите да не продължите с внедряването на хибридната защита на данните, можете да деактивирате хибридната защита на данните, което приключва пробния период и премества пробните потребители обратно към услугите за сигурност на облачните данни. Потребителите на пробния период ще загубят достъп до данните, които са били криптирани по време на пробния период.

1	Влезте в Control Hub и след това изберете Услуги .
2	Под Hybrid Data Security щракнете върху Настройки .
3	В секцията Деактивиране щракнете Деактивирайте .
4	Потвърдете, че искате да деактивирате услугата и да прекратите пробния период.

Управлявайте внедряването на HDS

Управление на внедряването на HDS

Използвайте описаните тук задачи, за да управлявате внедряването на вашата хибридна защита на данните.

Задайте график за надграждане на клъстер

Софтуерните надстройки за хибридна защита на данните се извършват автоматично на ниво клъстер, което гарантира, че всички възли винаги работят с една и съща версия на софтуер. Надстройките се извършват според графика за надграждане на клъстера. Когато надстройката на софтуера стане налична, имате възможност да надстроите ръчно клъстера преди планираното време за надстройка. Можете да зададете конкретен график за надграждане или да използвате графика по подразбиране от 3:00 часа AM всеки ден Съединени щати: Америка/Лос Анджелис. Можете също да изберете да отложите предстояща надстройка, ако е необходимо.

За да зададете графика за надстройка:

1	Влезте в Контролен център .
2	На страницата Общ преглед под Хибридни услуги изберете Хибридна сигурност на данните .
3	На страницата Ресурси за защита на хибридни данни изберете клъстера.
4	В панела Преглед вдясно под Настройки на клъстера изберете името на клъстера.
5	На страницата Настройки, под Надстройка, изберете часа и часова зона за графика за надстройка. Забележка: Под часова зона се показва следващата налична дата и час за надстройка. Можете да отложите надстройката за следващия ден, ако е необходимо, като щракнете Отложете .

Променете конфигурацията на възела

Понякога може да се наложи да промените конфигурацията на вашия възел за хибридна защита на данните поради причина като:

Промяна на сертификати x.509 поради изтичане или други причини.

Не поддържаме промяна на име на домейн на сертификат. Домейнът трябва да съвпада с оригиналния домейн, използван за регистриране на клъстера.

Актуализиране на настройките на базата данни за промяна на реплика на базата данни PostgreSQL или Microsoft SQL Server.

Не поддържаме мигриране на данни от PostgreSQL към Microsoft SQL Server или по обратния начин. За да превключите средата на базата данни, започнете ново внедряване на хибридна защита на данните.

Създаване на нова конфигурация за подготовка на нов център за данни.

Също така, за целите на сигурността, Hybrid Data Security използва пароли за акаунт на услуга, които имат деветмесечен живот. След като инструментът за настройка на HDS генерира тези пароли, вие ги разгръщате във всеки от вашите HDS възли в ISO конфигурационния файл. Когато паролите на вашата организация изтичат, получавате известие от екипа на Webex да нулирате паролата за вашия акаунт на машината. (Имейлът включва текста „Използвайте API на акаунта на машината, за да актуализирате паролата.“) Ако вашите пароли все още не са изтекли, инструментът ви дава две опции:

Меко нулиране — И старата, и новата парола работят до 10 дни. Използвайте този период, за да замените постепенно ISO файла на възлите.
Твърдо нулиране —Старите пароли спират да работят незабавно.

Ако вашите пароли изтичат без нулиране, това се отразява на вашата HDS услуга, изисквайки незабавно твърдо нулиране и подмяна на ISO файла на всички възли.

Използвайте тази процедура, за да генерирате нов конфигурационен ISO файл и да го приложите към вашия клъстер.

Преди да започнете

Инструментът за настройка на HDS работи като Docker контейнер на локална машина. За да получите достъп до него, стартирайте Docker на тази машина. Процесът на настройка изисква идентификационни данни на акаунт в Control Hub с пълни администраторски права за вашата организация.

Ако инструментът за настройка на HDS работи зад прокси във вашата среда, предоставете настройките на прокси сървъра (сървър, порт, идентификационни данни) чрез променливите на средата на Docker, когато извеждате контейнера на Docker в 1.д . Тази таблица дава някои възможни променливи на средата:

Описание	Променлива
HTTP прокси без удостоверяване	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS прокси без удостоверяване	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP прокси с удостоверяване	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS прокси с удостоверяване	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Имате нужда от копие на текущия конфигурационен ISO файл, за да генерирате нова конфигурация. ISO съдържа главния ключ, криптиращ PostgreSQL или базата данни на Microsoft SQL Server. Имате нужда от ISO , когато правите промени в конфигурацията, включително идентификационни данни на базата данни, актуализации на сертификати или промени в политиката за оторизация.

1

Като използвате Docker на локална машина, стартирайте инструмента за настройка на HDS.

В командния ред на вашата машина въведете подходящата команда за вашата среда:

В редовна среда:

docker rmi ciscocitg/hds-setup:stable

В FedRAMP среди:

docker rmi ciscocitg/hds-setup-fedramp:stable

Тази стъпка почиства предишни изображения на инструмента за настройка на HDS. Ако няма предишни изображения, той връща грешка, която можете да игнорирате.

За да влизам в регистъра на изображенията на Docker, въведете следното:
```
docker login -u hdscustomersro
```
При подкана за парола въведете този хеш:
```
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
```

Изтеглете най-новото стабилно изображение за вашата среда:

В редовна среда:

docker pull ciscocitg/hds-setup:stable

В FedRAMP среди:

docker pull ciscocitg/hds-setup-fedramp:stable

Уверете се, че сте изтеглили най-новия инструмент за настройка за тази процедура. Версиите на инструмента, създадени преди 22 февруари 2018 г., нямат екрани за нулиране на паролата.

Когато изтеглянето завърши, въведете подходящата команда за вашата среда:

В обикновени среди без прокси:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

В обикновени среди с HTTP прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

В обикновени среди с HTTPSproxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

В FedRAMP среди без прокси:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

В FedRAMP среди с HTTP прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

В FedRAMP среди с HTTPS прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Когато контейнерът работи, виждате „Експресно слушане на сървър на порт 8080“.

Използвайте браузър, за да се свържете с локалния хост, http://127.0.0.1:8080.

Инструментът за настройка не поддържа свързване към localhost чрез http://localhost:8080 . Използвайтеhttp://127.0.0.1:8080 за да се свържете с локален хост.

Когато бъдете подканени, въведете вашите идентификационни данни за влизане в Control Hub и след това щракнете Приемам да продължи.
Импортирайте текущия конфигурационен ISO файл.
Следвайте подканите, за да завършите инструмента и да изтеглите актуализирания файл.

За да изключите инструмента за настройка, въведете CTRL+C.
Създайте резервно копие на актуализирания файл в друг център за данни.

2

Ако имате работещ само един HDS възел , създайте нов VM на възел за хибридна защита на данните и го регистрирайте с помощта на новия конфигурационен ISO файл. За по-подробни инструкции вж Създайте и регистрирайте още възли .

Инсталирайте HDS хост OVA.
Настройте HDS VM.
Монтирайте актуализирания конфигурационен файл.
Регистрирайте новия възел в Control Hub.

3

За съществуващи HDS възли, които изпълняват по-стария конфигурационен файл, монтирайте ISO файла. Изпълнете следната процедура на всеки възел на свой ред, като актуализирате всеки възел, преди да изключите следващия възел:

Изключете виртуална машина.
В левия навигационен панел на клиента VMware vSphere щракнете с щраквам с десния бутон върху VM и щракнете Редактиране на настройките .
Щракнете върху CD/DVD Drive 1, изберете опцията за монтиране от ISO файл и прегледайте мястото, където сте изтеглили новия конфигурационен ISO файл.
Проверете Свържете при включване .
Запазете промените си и включете виртуална машина.

4

Повторете стъпка 3, за да замените конфигурацията на всеки останал възел, който изпълнява старата конфигурация.

Изключете Blocked External DNS Resolution Mode

Когато регистрирате възел или проверявате прокси конфигурацията на възела, процесът тества търсенето на DNS и свързаността с облака на Cisco Webex . Ако DNS сървър на възела не може да разреши публични DNS имена, възелът автоматично преминава в режим на Blocked External DNS Resolution.

Ако вашите възли са в състояние да разрешават публични DNS имена чрез вътрешни DNS сървъри, можете да изключите този режим, като стартирате повторно теста за прокси връзка на всеки възел.

Преди да започнете

Уверете се, че вашите вътрешни DNS сървъри могат да разрешават публични DNS имена и че вашите възли могат да комуникират с тях.

1	В уеб браузър отворете интерфейса на възела на хибридната защита на данните (IP адрес/настройка, например,https://192.0.2.0/setup), въведете администраторските идентификационни данни, които сте настройвам за възела, и след това щракнете Влезте .
2	Отидете на Общ преглед (страницата по подразбиране). Когато е активирано, Блокирана външна DNS разделителна способност е настроен на да .
3	Отидете до Доверен магазин и прокси страница.
4	Щракнете върху Проверете прокси връзката . Ако видите съобщение, че външната DNS резолюция не е била успешна, възелът не е успял да достигне до DNS сървър и ще остане в този режим. В противен случай, след като рестартирате възела и се върнете към Общ преглед страница, Разделителната способност за блокиран външен DNS трябва да бъде зададена на не.

Какво да направите след това

Повторете теста на прокси връзката на всеки възел във вашия клъстер за хибридна защита на данните.

Премахване на възел

Използвайте тази процедура, за да премахнете възел за защита на хибридни данни от облака на Webex . След като премахнете възела от клъстера, изтрийте виртуална машина, за да предотвратите по-нататъшен достъп до вашите данни за сигурност.

1

Използвайте VMware vSphere клиента на вашия компютър, за да влезете във виртуалния хост на ESXi и да изключите виртуална машина.

2

Премахнете възела:

Влезте в Control Hub и след това изберете Услуги .
На картата за защита на хибридни данни щракнете Вижте всички за да се покаже страницата Ресурси за защита на хибридните данни.
Изберете своя клъстер, за да покажете неговия панел за преглед.
Щракнете върху Отворете списъка с възли .
В раздела Възли изберете възела, който искате да премахнете.
Щракнете върху Действия > Дерегистриране на възел .

3

В vSphere клиента изтрийте VM. (В левия навигационен панел щракнете с щраквам с десния бутон върху VM и щракнете Изтрийте .)

Ако не изтриете VM, не забравяйте да демонтирате конфигурационния ISO файл. Без ISO файла не можете да използвате VM за достъп до вашите данни за сигурност.

Възстановяване при бедствия с помощта на Център за данни в режим на готовност

Най-критичната услуга, която предоставя вашият клъстер за хибридна защита на данни, е създаването и съхранението на ключове, използвани за криптиране на съобщения и друго съдържание, съхранявано в облака на Webex . За всеки потребител в организацията, който е назначен към хибридна защита на данните, заявките за създаване на нови ключове се насочват към клъстера. Клъстерът е отговорен и за връщането на създадените от него ключове на всички потребители, упълномощени да ги извличат, например членове на пространство за разговор.

Тъй като клъстерът изпълнява критичната функция за предоставяне на тези ключове, наложително е клъстерът да продължи да работи и да се поддържат правилни резервни копия. Загубата на базата данни за хибридна защита на данните или на конфигурацията ISO , използвана за схемата, ще доведе до НЕВЪЗСТАНОВИМА ЗАГУБА на клиентско съдържание. Следните практики са задължителни за предотвратяване на такава загуба:

Ако бедствие причини внедряването на HDS в основния център за данни да стане недостъпно, следвайте тази процедура, за да преминете ръчно към резервния център за данни.

1

Стартирайте инструмента за настройка на HDS и следвайте стъпките, посочени в Създайте ISO конфигурация за HDS хостовете .

2

След като конфигурирате сървъра Syslogd, щракнете върху Разширени настройки

3

На Разширени настройки страница, добавете конфигурацията по-долу или премахнете passiveMode конфигурация, за да направи възела активен. Възелът може да обработва трафик, след като това е конфигурирано.


passiveMode: 'false'

4

Завършете процеса на конфигуриране и запазете ISO файла на място, което е лесно за намиране.

5

Направете резервно копие на ISO файла във вашата локална система. Пазете резервното копие сигурно. Този файл съдържа главен ключ за шифроване за съдържанието на базата данни. Ограничете достъпа само до онези администратори на Hybrid Data Security, които трябва да направят промени в конфигурацията.

6

В левия навигационен панел на клиента VMware vSphere щракнете с щраквам с десния бутон върху VM и щракнете Редактиране на настройките. .

7

Щракнете върху Редактиране на настройките > CD/ DVD устройство 1 и изберете Datastore ISO File.

Уверете се Свързани и Свържете при включване са проверени, така че актуализираните промени в конфигурацията да влязат в сила след стартиране на възлите.

8

Включете HDS възела и се уверете, че няма аларми за поне 15 минути.

9

Повторете процеса за всеки възел в център за данни в режим на готовност.

Проверете изхода на системния журнал, за да се уверите, че възлите на център за данни в режим на готовност не са в пасивен режим. „KMS, конфигуриран в пасивен режим“ не трябва да се появява в системните дневници.

Какво да направите след това

След отказ, ако основният център за данни стане отново активен, поставете център за данни в режим на готовност отново в пасивен режим, като следвате стъпките, описани в Настройте център за данни в режим на готовност за възстановяване при бедствия .

(По избор) Демонтирайте ISO след HDS конфигурация

Стандартната HDS конфигурация работи с монтиран ISO . Но някои клиенти предпочитат да не оставят ISO файловете непрекъснато монтирани. Можете да демонтирате ISO файла, след като всички HDS възли вземат новата конфигурация.

Все още използвате ISO файловете, за да правите промени в конфигурацията. Когато създавате нов ISO или актуализирате ISO чрез инструмента за настройка, трябва да монтирате актуализирания ISO на всичките си HDS възли. След като всичките ви възли приемат промените в конфигурацията, можете да демонтирате ISO отново с тази процедура.

Преди да започнете

Надстройте всичките си HDS възли до версия 2021.01.22.4720 или по-нова.

1	Изключете един от вашите HDS възли.
2	Във vCenter Server Appliance изберете HDS възела.
3	Изберете Редактиране на настройките > CD/ DVD устройство и премахнете отметката ISO файл на хранилище за данни .
4	Включете HDS възела и се уверете, че няма аларми за поне 20 минути.
5	Повторете последователно за всеки HDS възел.

Отстраняване на проблеми със сигурността на хибридните данни

Преглед на сигнали и отстраняване на неизправности

Разгръщането на хибридна защита на данните се счита за недостъпно, ако всички възли в клъстера са недостъпни или клъстерът работи толкова бавно, че изисква време за изчакване. Ако потребителите не могат да достигнат до вашия клъстер за защита на хибридни данни, те изпитват следните симптоми:

Не могат да се създават нови пространства (не може да се създадат нови ключове)
Съобщенията и заглавията на пространството не могат да се дешифрират за:
- Нови потребители, добавени към пространство (не могат да извлекат ключове)
- Съществуващи потребители в пространство, използващи нов клиент (не може да извлече ключове)
Съществуващите потребители в пространство ще продължат да работят успешно, докато техните клиенти имат кеш на ключовете за криптиране

Важно е правилно да наблюдавате своя клъстер за хибридна защита на данните и незабавно да адресирате всички предупреждения, за да избегнете прекъсване на услугата.

Предупреждения

Ако има проблем с настройката на хибридната защита на данните, Control Hub показва сигнали до администратора на организацията и изпраща имейли до конфигурирания имейл адрес. Сигналите обхващат много често срещани сценарии.

Таблица 1. Често срещани проблеми и стъпки за разрешаването им
Предупреждение	Действие
Грешка при достъп до локална база данни.	Проверете за грешки в базата данни или проблеми с локалната мрежа.
неуспешна връзка с локална база данни.	Проверете дали сървърът на сървър на база с данни е наличен и правилните идентификационни данни за акаунт на услуга са били използвани в конфигурацията на възел.
Грешка при достъп до облачна услуга.	Проверете дали възлите имат достъп до сървърите на Webex , както е посочено в Изисквания за външна свързаност .
Подновяване на регистрацията на облачна услуга.	Регистрацията в облачни услуги беше прекратена. Подновяването на регистрацията е в ход.
Регистрацията на облачна услуга отпадна.	Регистрацията в облачни услуги е прекратена. Услугата се изключва.
Услугата все още не е активирана.	Активирайте пробна версия или завършете преместването на пробната версия в производствен.
Конфигурираният домейн не съответства на сертификат на сървъра.	Уверете се, че вашият сертификат на сървъра съответства на конфигурирания домейн за активиране на услугата. Най-вероятната причина е, че CN на сертификата е наскоро променен и вече е различен от CN, който е бил използван по време на първоначалната настройка.
Удостоверяването на облачни услуги не бе успешно.	Проверете за точността и възможното изтичане на идентификационните данни за акаунт на услуга .
Неуспешно отваряне на файл с локално хранилище за ключове.	Проверете за целостта и точността на паролата във файла на локалното хранилище на ключове.
сертификат на сървъра е невалиден.	Проверете дата на изтичане на валидността or, shortened, дата на изтичане на сертификата на сървъра и потвърдете, че е издаден от доверен орган за сертификати.
Не може да се публикуват показатели.	Проверете достъпа на локалната мрежа до външни облачни услуги.
/media/configdrive/hds директорията не съществува.	Проверете конфигурацията за монтиране на ISO на виртуален хост. Проверете дали ISO файлът съществува, дали е конфигуриран да се монтира при рестартиране и че се монтира успешно.

Отстраняване на проблеми със сигурността на хибридните данни

Използвайте следните общи указания, когато отстранявате проблеми с Hybrid Data Security.

1	Прегледайте Control Hub за сигнали и коригирайте всички елементи, които намерите там.
2	Прегледайте изхода на syslog сървъра за активност от внедряването на хибридна защита на данните.
3	Контакт Поддръжка на Cisco .

Други бележки

Известни проблеми за сигурността на хибридните данни

Ако изключите своя клъстер за хибридна защита на данни (чрез го изтриете в Control Hub или като изключите всички възли), загубите своя конфигурационен ISO файл или загубите достъп до базата данни на хранилището на ключове, потребителите на вашето Webex App вече няма да могат да използват пространства под своите хора списък, които са създадени с ключове от вашия KMS. Това се отнася както за пробно, така и за производствено внедряване. Понастоящем нямаме решение или решение за този проблем и ви призоваваме да не изключвате вашите HDS услуги, след като те обработват активни потребителски акаунти.
Клиент, който има съществуваща ECDH връзка към KMS, поддържа тази връзка за определен период от време (вероятно един час). Когато потребителят стане член на пробна версия за хибридна защита на данните, клиентът на потребителя продължава да използва съществуващата ECDH връзка, докато не изтече. Като алтернатива, потребителят може да излизам отново в приложението Webex App, за да актуализира местоположението, с което приложението се свързва за ключове за криптиране.

Същото поведение се случва, когато преместите пробен период в производствен за организацията. Всички потребители без опит със съществуващи ECDH връзки към предишните услуги за сигурност на данните ще продължат да използват тези услуги, докато ECDH връзката не бъде предоговорена (чрез изчакване или чрез излизане и обратно).

Използвайте OpenSSL, за да генерирате PKCS12 файл

Преди да започнете

OpenSSL е един инструмент, който може да се използва за създаване на файла PKCS12 в правилния формат за зареждане в инструмента за настройка на HDS. Има и други начини да направите това и ние не подкрепяме или популяризираме един начин пред друг.
Ако решите да използвате OpenSSL, ние предоставяме тази процедура като насока, за да ви помогнем да създадете файл, който отговаря на изискванията на сертификата X.509 в X.509 Изисквания за сертификат . Разберете тези изисквания, преди да продължите.
Инсталирайте OpenSSL в поддържана среда. Вижhttps://www.openssl.org за софтуера и документацията.
Създайте частен ключ.
Започнете тази процедура, когато получите сертификат на сървъра от вашия орган за сертификати (CA).

1	Когато получите сертификат на сървъра от вашия CA, запазете го като `hdsnode.pem`.
2	Покажете сертификата като текст и проверете подробностите. `openssl x509 -text -noout -in hdsnode.pem`
3	Използвайте текстов редактор, за да създадете файл с пакет от сертификати, наречен `hdsnode-bundle.pem`. Пакетният файл трябва да включва сертификат на сървъра, всички междинни CA сертификати и сертификатите за основния CA във формат по-долу: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	Създайте .p12 файла с приятелското име `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Проверете подробностите за сертификат на сървъра . `openssl pkcs12 -in hdsnode.p12` Въведете парола при подкана, за да шифровате частния ключ, така че да бъде посочен в изхода. След това проверете дали частният ключ и първият сертификат включват редовете `friendlyName: kms-private-key`. Пример: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: <No Attributes> Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- <redacted> -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- <redacted> -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- <redacted> -----END CERTIFICATE-----

Какво да направите след това

Върнете се към Изпълнете предпоставките за хибридна защита на данните . Вие ще използвате hdsnode.p12 файл и паролата, която сте задали за него, в Създайте ISO конфигурация за HDS хостовете .

Можете да използвате повторно тези файлове, за да поискате нов сертификат, когато оригиналният сертификат изтече.

Трафик между HDS възлите и облака

Изходящ трафик за събиране на показатели

Възлите за хибридна защита на данните изпращат определени показатели към облака на Webex . Те включват системни метрики за макс. хеп, използван хеп, натоварване на CPU и брой нишки; метрики за синхронни и асинхронни нишки; показатели за сигнали, включващи праг на криптиращи връзки, латентност или дължина на опашката за заявки; метрики на хранилището за данни; и показатели за криптиране на връзката. Възлите изпращат криптиран ключов материал по извънлентов (отделен от заявката) канал.

Входящ трафик

Възлите за защита на хибридните данни получават следните типове входящ трафик от облака на Webex :

Заявки за криптиране от клиенти, които се насочват от услугата за криптиране
Надстройки на софтуера на възела

Конфигурирайте Squid прокси сървъри за хибридна защита на данните

Websocket не може да се свърже чрез Squid прокси

Squid прокси сървърите, които проверяват HTTPS трафика, могат да попречат на установяването на websocket ( wss:) връзки, които изисква Hybrid Data Security. Тези раздели дават насоки как да конфигурирате различни версии на Squid за игнориране wss: трафик за правилното функциониране на услугите.

Калмари 4 и 5

Добавете on_unsupported_protocol директива за squid.conf:

on_unsupported_protocol tunnel all

Калмари 3.5.27

Успешно тествахме хибридната защита на данните с добавени следните правила squid.conf. Тези правила подлежат на промяна, докато разработваме функции и актуализираме облака на Webex .

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Предговор

Нова и променена информация

Дата

Направени промени

20 октомври 2023 г

Актуализирана информация в Изисквания за сървър на база данни .
Добавено Настройте център за данни в режим на готовност за възстановяване при бедствия .
Актуализирана информация в Център за данни в режим на готовност за възстановяване при бедствия и Възстановяване при бедствия с помощта на Център за данни в режим на готовност .

07 август 2023 г

Добавена бележка в Изтеглете инсталационни файлове .
Добавена бележка в Създайте ISO конфигурация за HDS хостовете и Променете конфигурацията на възела .

23 май 2023 г

Изтрита информация от Изисквания за сървър на база данни да поискате функция да бъде активирана, като се свържете с екипа на акаунта.
Актуализирана информация в Изисквания за външна свързаност и добави Канада към таблицата с хостове на CI.
Добавена бележка в Очаквания за внедряване на хибридна защита на данните относно липсата на механизми за преместване на ключове обратно в облака.

06 декември 2022 г

Изображенията на HDS Setup Tool вече се хостват в ciscocitg хранилище на dockerhub.
Актуализиран Създайте ISO конфигурация за HDS хостовете и Променете конфигурацията на възела теми за отразяване на промените в командите.

23 ноември 2022 г

HDS възлите вече могат да използват удостоверяване на Windows срещу Microsoft SQL Server.

Актуализиран Изисквания за сървър на база данни тема с допълнителни изисквания за този режим на удостоверяване.

Актуализиран Създайте ISO конфигурация за HDS хостовете с процедурата за конфигуриране на удостоверяване на Windows на възлите.
Актуализиран Изисквания за сървър на база данни тема с нови минимално необходими версии (PostgreSQL 10).

13 октомври 2021 г

Docker Desktop трябва да стартира програма за настройка, преди да можете да инсталирате HDS възли. Виж Изисквания за работния плот на Docker .

24 юни 2021 г

Отбелязано е, че можете да използвате повторно файла с частен ключ и CSR , за да поискате друг сертификат. Виж Използвайте OpenSSL, за да генерирате PKCS12 файл за подробности.

30 април 2021 г.

Променено изискването за VM за локално пространство на твърдия диск на 30 GB. Виж Изисквания за виртуален хост за подробности.

24 февруари 2021 г

HDS Setup Tool вече може да работи зад прокси. Виж Създайте ISO конфигурация за HDS хостовете за подробности.

2 февруари 2021 г

HDS вече може да работи без монтиран ISO файл. Виж (По избор) Демонтирайте ISO след HDS конфигурация за подробности.

11 януари 2021 г

Добавена информация за инструмента за настройка на HDS и прокси сървърите към Създайте ISO конфигурация за HDS хостовете .

13 октомври 2020 г

Актуализиран Изтеглете инсталационни файлове .

08 октомври 2020 г.

Актуализиран Създайте ISO конфигурация за HDS хостовете и Променете конфигурацията на възела с команди за FedRAMP среди.

14 август 2020 г

Актуализиран Създайте ISO конфигурация за HDS хостовете и Променете конфигурацията на възела с промени в процеса на влизане.

5 август 2020 г

Актуализиран Тествайте внедряването на вашата хибридна защита на данните за промени в регистрационните съобщения.

Актуализиран Изисквания за виртуален хост за премахване на максимален брой хостове.

16 юни 2020 г

Актуализиран Премахване на възел за промени в потребителския интерфейс на Control Hub.

4 юни 2020 г

Актуализиран Създайте ISO конфигурация за HDS хостовете за промени в разширените настройки, които може да зададете.

29 май 2020 г

Актуализиран Създайте ISO конфигурация за HDS хостовете за да покажете, че можете също да използвате TLS с бази данни на SQL Server, промени в потребителския интерфейс и други разяснения.

5 май 2020 г

Актуализиран Изисквания за виртуален хост да покаже новото изискване на ESXi 6.5.

21 април 2020 г

Актуализиран Изисквания за външна свързаност с нови хостове на Америка CI.

1 април 2020 г.

Актуализиран Изисквания за външна свързаност с информация за регионалните CI хостове.

20 февруари 2020 г Актуализиран Създайте ISO конфигурация за HDS хостовете с информация за нов опционален екран с разширени настройки в инструмента за настройка на HDS.

4 февруари 2020 г Актуализиран Изисквания за прокси сървър .

16 декември 2019 г. Изяснява се изискването за работа в режим на разделяне на блокиран външен DNS Изисквания за прокси сървър .

19 ноември 2019 г

Добавена информация за Blocked External DNS Resolution Mode в следните раздели:

Прокси поддръжка
Конфигурирайте HDS възел за прокси интеграция
Изключете Blocked External DNS Resolution Mode

8 ноември 2019 г

Вече можете да конфигурирате мрежови настройки за възел, докато разгръщате OVA, а не след това.

Актуализирани съответно следните раздели:

Поток на задачи за внедряване на хибридна защита на данните
Инсталирайте HDS Host OVA
Настройте хибридната VM машина за защита на данните

Опцията за конфигуриране на мрежови настройки по време на внедряване на OVA е тествана с ESXi 6.5. Възможно е опцията да не е налична в по-ранните версии.

6 септември 2019 г

Добавен SQL Server Standard към Изисквания за сървър на база данни .

Август 29, 2019 Добавено Конфигурирайте Squid прокси сървъри за хибридна защита на данните приложение с насоки за конфигуриране на Squid прокси сървъри за игнориране на трафика от websocket за правилна работа.

20 август 2019 г

Добавени и актуализирани секции, за да покрият поддръжката на прокси за комуникации на възел за хибридна защита на данните към облака на Webex .

Прокси поддръжка
Изисквания за прокси сървър
Конфигурирайте HDS възел за прокси интеграция

За достъп само до съдържанието за поддръжка на прокси за съществуващо внедряване, вижте Прокси поддръжка за хибридна защита на данните и Webex Video Mesh помощна статия.

13 юни 2019 г Актуализиран Поток на задачата от пробна и производствена с напомняне за синхронизиране на HdsTrialGroup групов обект преди стартиране на пробна версия, ако вашата организация използва синхронизиране на директории.

6 март 2019 г

Изискванията и предпоставките са преместени в отделна глава, Подгответе вашата среда .
Добавен Поток на задачи за внедряване на хибридна защита на данните преглед в главата Създайте хибриден клъстер за сигурност на данните .

Отбелязано е, че докато не започнете пробна версия (като използвате инструкциите в следващата глава), вашите възли генерират аларма, показваща, че вашата услуга все още не е активирана.
Добавен Поток на задачата от пробна и производствена в главата Изпълнете пробна версия и преминете към производство .

Февруари 28, 2019

Коригирано е количеството локално пространство на твърдия диск на сървър, което трябва да заделите, когато подготвяте виртуалните хостове, които стават възли за хибридна защита на данните, от 50-GB на 20-GB, за да отразите размера на диска, който OVA създава.

26 февруари 2019 г.

Възлите за хибридна защита на данните вече поддържат криптирани връзки със сървъри на база данни PostgreSQL и криптирани връзки за регистриране към TLS-способен syslog сървър. Актуализиран Създайте ISO конфигурация за HDS хостовете с инструкции.
Премахнати целеви URL адреси от таблицата „Изисквания за интернет свързаност за хибридни виртуални машини за защита на данни“. Таблицата вече се отнася до списъка, поддържан в таблицата „Допълнителни URL адреси за хибридни услуги на Webex Teams“ на Мрежови изисквания за услугите на Webex Teams .

24 януари 2019 г

Hybrid Data Security вече поддържа Microsoft SQL Server като база данни. SQL Server Always On (Always On Failover Clusters и Always on Availability Groups) се поддържа от JDBC драйверите, които се използват в Hybrid Data Security. Добавено съдържание, свързано с внедряването със SQL Server.

Поддръжката на Microsoft SQL Server е предназначена само за нови разполагания на хибридната защита на данните. Понастоящем не поддържаме мигриране на данни от PostgreSQL към Microsoft SQL Server в съществуващо разполагане.

5 ноември 2018 г

Добавена е предварителна стъпка за почистване на всички съществуващи екземпляри на docker hds Създайте ISO конфигурация за HDS хостовете и Променете конфигурацията на възела .
Актуализирана стъпка за ниво на достъп до ключ Създайте ISO конфигурация за HDS хостовете за да съответства на интерфейса.

19 октомври 2018 г

Разделете информацията за връзката на защитната стена в изисквания за възел и изисквания за ISO конфигурация на машината Изпълнете предпоставките за хибридна защита на данните .

31 юли 2018 г

Добавен е порт 22 (SSH достъп) и информация за връзките на NAT и защитната стена Изпълнете предпоставките за хибридна защита на данните .

21 май 2018 г.

Променена терминология, за да отрази ребрандирането на Cisco Spark:

Cisco Spark Hybrid Data Security вече е Hybrid Data Security.
Приложението Cisco Spark вече е приложението Webex App.
Облакът на Cisco Collaboraton вече е облакът на Webex .

11 април 2018 г

Добавено Център за данни в режим на готовност за възстановяване при бедствия .
Актуализиран Изпълнете предпоставките за хибридна защита на данните за да посочите, че средата за архивиране трябва да бъде в различен център за данни.
Актуализиран Възстановяване при бедствия с помощта на Център за данни в режим на готовност .

22 февруари 2018 г

Добавена е информация за паролата за акаунт на услуга 9-месечен живот и използване на инструмента за настройка на HDS за нулиране на паролите за акаунт на услуга , в Създайте ISO конфигурация за HDS хостовете и Променете конфигурацията на възела .

15 февруари 2018

В X.509 Изисквания за сертификат таблица, посочи, че сертификатът не може да бъде сертификат с заместващ знак и че KMS използва домейна CN, а не всеки домейн, който е дефиниран в полетата на x.509v3 SAN.

18 януари 2018

Добавено приложение, Трафик между HDS възлите и облака .
Премахнат разрешен проблем от Известни проблеми за сигурността на хибридните данни .
Променен index.docker.io на *.docker.io и добавен *.cloudfront.net към списъка с изисквания за TCP свързаност за HDS възлите в Изпълнете предпоставките за хибридна защита на данните .
Актуализиран Създайте ISO конфигурация за HDS хостовете за да посочите, че ако хостът на базата данни и сървърът Syslogd не са DNS-разрешими от HDS възлите, трябва да ги конфигурирате с помощта на IP адреси.

2 ноември 2017 г

Изяснена синхронизация на директории на HdsTrialGroup.
Фиксирани инструкции за качване на ISO конфигурационен файл за монтиране към VM възлите.

18 август 2017 г

Публикувано за първи път

Започнете с хибридна защита на данните

Преглед на сигурността на хибридните данни

От първия ден сигурността на данните е основният фокус при проектирането на Webex App. Крайъгълният камък на тази сигурност е криптирането на съдържание от край до край, активирано от клиентите на Webex App, взаимодействащи с услугата за управление на ключове (KMS). KMS отговаря за създаването и управлението на криптографските ключове, които клиентите използват за динамично криптиране и декриптиране на съобщения и файлове.

По подразбиране всички клиенти на Webex App получават криптиране от край до край с динамични ключове, съхранявани в облачния KMS, в сферата на сигурността на Cisco. Hybrid Data Security премества KMS и други функции, свързани със сигурността, във вашия корпоративни данни , така че никой освен вас не държи ключовете за вашето криптирано съдържание.

Архитектура на сферата на сигурността

Облачната архитектура на Webex разделя различни видове услуги в отделни сфери или домейни на доверие, както е показано по-долу.

За да разберем по-добре хибридната защита на данните, нека първо разгледаме този чист облачен случай, където Cisco предоставя всички функции в своите облачни сфери. Услугата за самоличност, единственото място, където потребителите могат да бъдат пряко свързани с тяхната лична информация, като имейл адрес, е логически и физически отделена от сферата на сигурността в център за данни B. И двете от своя страна са отделени от сферата, където в крайна сметка се съхранява криптирано съдържание , в център за данни C.

В тази диаграма клиентът е приложението Webex , което се изпълнява на лаптоп на потребителя и е удостоверено с услугата за самоличност. Когато потребителят състави съобщение, което да изпрати до пространство, се изпълняват следните стъпки:

Клиентът установява защитена връзка с услугата за управление на ключове (KMS), след което иска ключ за криптиране на съобщението. защитена връзка използва ECDH, а KMS криптира ключа с помощта на главен ключ AES-256.
Съобщението е криптирано, преди да напусне клиента. Клиентът го изпраща до услугата за индексиране, която създава криптирани индекси за търсене, за да помогне при бъдещи търсения на съдържанието.
Шифрованото съобщение се изпраща до службата за съответствие за проверка на съответствието.
Шифрованото съобщение се съхранява в областта на съхранение.

Когато внедрите Hybrid Data Security, вие премествате функциите на областта на сигурността (KMS, индексиране и съответствие) във вашия в помещението център за данни. Другите облачни услуги, които съставляват Webex (включително самоличност и съхранение на съдържание), остават в сферата на Cisco.

Сътрудничество с други организации

Потребителите във вашата организация може редовно да използват приложението Webex , за да си сътрудничат с външни участници в други организации. Когато един от вашите потребители поиска ключ за пространство, което е собственост на вашата организация (защото е създадено от един от вашите потребители), вашият KMS изпраща ключа на клиента по защитен канал от ECDH. Въпреки това, когато друга организация притежава ключа за пространството, вашият KMS насочва заявката към облака на Webex през отделен ECDH канал, за да получи ключа от съответния KMS, и след това връща ключа на вашия потребител в оригиналния канал.

Услугата KMS, работеща в организация A, валидира връзките към KMS в други организации, използвайки x.509 PKI сертификати. Виж Подгответе вашата среда за подробности относно генерирането на сертификат x.509, който да използвате с внедряването на хибридната защита на данните.

Очаквания за внедряване на хибридна защита на данните

Внедряването на хибридна защита на данните изисква значителна ангажираност на клиента и осъзнаване на рисковете, които идват от притежаването на ключове за криптиране.

За да внедрите хибридна защита на данните, трябва да предоставите:

Сигурен център за данни в държава, която е a поддържано местоположение за плановете на Cisco Webex Teams .
Оборудването, софтуерът и достъпът до мрежата, описани в Подгответе вашата среда .

Пълната загуба на ISO конфигурацията, която създавате за Hybrid Data Security, или на базата данни, която предоставяте, ще доведе до загуба на ключовете. Загубата на ключ не позволява на потребителите да декриптират космическо съдържание и други криптирани данни в приложението Webex . Ако това се случи, можете да създадете ново внедряване, но ще се вижда само ново съдържание. За да избегнете загуба на достъп до данните, трябва:

Управлявайте архивирането и възстановяването на базата данни и ISO конфигурацията.
Бъдете готови да извършите бързо възстановяване след възстановяване след срив, ако възникне катастрофа, като повреда на диска на базата данни или катастрофа в център за данни за данни.

Няма механизъм за преместване на ключове обратно в облака след внедряване на HDS.

Процес на настройка на високо ниво

Този документ обхваща настройката и управлението на внедряване на хибридна защита на данните:

Настройте хибридна защита на данните —Това включва подготовка на необходимата инфраструктура и инсталиране на софтуер за хибридна защита на данните, тестване на внедряването ви с подгрупа потребители в пробен режим и, след като тестването приключи, преминаване към производство. Това преобразува цялата организация да използва вашия клъстер за хибридна защита на данните за функции за сигурност.
Фазите на настройка, тестване и производство са разгледани подробно в следващите три глави.
Поддържайте внедряването на хибридната защита на данните —Облакът Webex автоматично предоставя текущи надстройки. Вашият ИТ отдел може да осигури поддръжка от първо ниво за това внедряване и да ангажира Поддръжка на Cisco , ако е необходимо. Можете да използвате известия на екрана и да настройвам базирани на имейл сигнали в Control Hub.
Разберете общи сигнали, стъпки за отстраняване на неизправности и известни проблеми —Ако срещнете проблеми с внедряването или използването на хибридна защита на данните, последната глава от това ръководство и приложението Известни проблеми може да ви помогнат да определите и отстраните проблема.

Модел за внедряване на хибридна защита на данните

В рамките на вашия корпоративни данни вие внедрявате хибридна защита на данните като единичен клъстер от възли на отделни виртуални хостове. Възлите комуникират с облака Webex чрез защитени уебсокети и защитен HTTP.

По време на инсталационния процес ви предоставяме OVA файла, за да настройвам виртуалното устройство на предоставените от вас виртуални машини. Използвате инструмента за настройка на HDS, за да създадете ISO файл за персонализирана конфигурация на клъстер, който монтирате на всеки възел. Клъстерът за хибридна защита на данни използва предоставения от вас Syslogd сървър и база данни PostgreSQL или Microsoft SQL Server. (Конфигурирате данните за Syslogd и връзката към базата данни в инструмента за настройка на HDS.)

Модел за внедряване на хибридна защита на данните

Минималният брой възли, които можете да имате в клъстер, е два. Препоръчваме поне три, а вие можете да имате до пет. Наличието на множество възли гарантира, че услугата няма да бъде прекъсната по време на надграждане на софтуер или друга дейност по поддръжка на възел. (Облакът Webex надгражда само един възел в даден момент.)

Всички възли в клъстер имат достъп до едно и също ключово хранилище за данни и регистрират активността на един и същ сървър на системния журнал. Самите възли са без състояние и обработват ключови заявки по кръгова система, както е указано от облака.

Възлите стават активни, когато ги регистрирате в Control Hub. За да извадите отделен възел от експлоатация, можете да го дерегистрирате и по-късно да го регистрирате отново, ако е необходимо.

Ние поддържаме само един клъстер на организация.

Пробен режим за хибридна защита на данните

След като настроите внедряване на хибридна защита на данните, първо го изпробвате с набор от пилотни потребители. По време на пробния период тези потребители използват вашия в помещението домейн за хибридна защита на данните за ключове за криптиране и други услуги от сферата на сигурността. Другите ви потребители продължават да използват сферата на сигурността в облака.

Ако решите да не продължите с внедряването по време на пробния период и деактивирате услугата, пилотните потребители и всички потребители, с които са взаимодействали чрез създаване на нови пространства по време на пробния период, ще загубят достъп до съобщенията и съдържанието. Те ще видят „Това съобщение не може да бъде декриптирано“ в приложението Webex .

Ако сте доволни, че внедряването ви работи добре за пробните потребители и сте готови да разширите хибридната защита на данните за всичките си потребители, премествате внедряването в производствена. Пилотните потребители продължават да имат достъп до ключовете, които са били използвани по време на пробния период. Въпреки това, не можете да се движите напред-назад между производствения режим и първоначалния пробен период. Ако трябва да деактивирате услугата, като например да извършите възстановяване след възстановяване след срив, когато активирате повторно, трябва да започнете нова пробна версия и да настройвам набора от пилотни потребители за новия пробен период, преди да се върнете обратно към производствен режим. Дали потребителите ще запазят достъп до данни в този момент зависи от това дали сте поддържали успешно резервни копия на ключовото хранилище на данни и ISO конфигурационен файл за възлите за хибридна защита на данните във вашия клъстер.

Център за данни в режим на готовност за възстановяване при бедствия

По време на внедряването вие настройвам защитен център за данни в режим на готовност. В случай на бедствие в център за данни , можете ръчно да провалите внедряването си в център за данни в готовност.

Базите данни на активния и резервния центрове за данни са синхронизирани една с друга, което ще сведе до минимум времето, необходимо за извършване на отказ. ISO файлът на център за данни в режим на готовност се актуализира с допълнителни конфигурации, които гарантират, че възлите са регистрирани в организацията, но няма да обработват трафика. Следователно възлите на център за данни в режим на готовност винаги остават актуални с най-новата версия на HDS софтуера.

Активните възли за хибридна защита на данни трябва винаги да са в същия център за данни като активния сървър на база с данни.

Настройте център за данни в режим на готовност за възстановяване при бедствия

Следвайте стъпките по-долу, за да конфигурирате ISO файла на център за данни в режим на готовност:

Преди да започнете

Центърът за център за данни в готовност трябва да отразява производствената среда на VM и резервна база данни PostgreSQL или Microsoft SQL Server. Например, ако производството има 3 VM, работещи с HDS възли, средата за архивиране трябва да има 3 VM. (Виж Център за данни в режим на готовност за възстановяване при бедствия за преглед на този модел на отказ.)
Уверете се, че синхронизирането на базата данни е активирано между базата данни с активни и пасивни възли на клъстер.

1

Стартирайте инструмента за настройка на HDS и следвайте стъпките, посочени в Създайте ISO конфигурация за HDS хостовете .

ISO файлът трябва да бъде копие на оригиналния ISO файл на основния център за данни, върху който трябва да се направят следните актуализации на конфигурацията.

2

След като конфигурирате сървъра Syslogd, щракнете върху Разширени настройки

3

На Разширени настройки страница, добавете конфигурацията по-долу, за да поставите възела в пасивен режим. В този режим възелът ще бъде регистриран в организацията и ще бъде свързан към облака, но няма да обработва никакъв трафик.


passiveMode: 'true'

4

Завършете процеса на конфигуриране и запазете ISO файла на място, което е лесно за намиране.

5

Направете резервно копие на ISO файла във вашата локална система. Пазете резервното копие сигурно. Този файл съдържа главен ключ за шифроване за съдържанието на базата данни. Ограничете достъпа само до онези администратори на Hybrid Data Security, които трябва да направят промени в конфигурацията.

6

В левия навигационен панел на клиента VMware vSphere щракнете с щраквам с десния бутон върху VM и щракнете Редактиране на настройките. .

7

Щракнете върху Редактиране на настройките > CD/ DVD устройство 1 и изберете Datastore ISO File.

Уверете се Свързани и Свържете при включване са проверени, така че актуализираните промени в конфигурацията да влязат в сила след стартиране на възлите.

8

Включете HDS възела и се уверете, че няма аларми за поне 15 минути.

9

Повторете процеса за всеки възел в център за данни в режим на готовност.

Проверете системните журнали, за да проверите дали възлите са в пасивен режим. Трябва да можете да видите съобщението „KMS конфигуриран в пасивен режим“ в системните дневници.

Какво да направите след това

След конфигуриране passiveMode в ISO файла и го запишете, можете да създадете друго копие на ISO файла без passiveMode конфигурация и я запазете на сигурно място. Това копие на ISO файла без passiveMode configured може да помогне за бърз процес на отказ по време на възстановяване след срив. Виж Възстановяване при бедствия с помощта на Център за данни в режим на готовност за подробната процедура за отказване.

Прокси поддръжка

Hybrid Data Security поддържа изрични, прозрачни инспектиращи и непроверяващи прокси сървъри. Можете да свържете тези прокси сървъри към вашето внедряване, така че да можете да защитите и наблюдавате трафика от предприятието към облака. Можете да използвате интерфейс за администратор на платформата на възлите за управление на сертификати и за проверка на цялостното състояние на свързаност, след като настройвам прокси сървъра на възлите.

Възлите за защита на хибридните данни поддържат следните прокси опции:

Без прокси —По подразбиране, ако не използвате настройката на HDS възел Trust Store & Proxy конфигурация за интегриране на прокси. Не се изисква актуализация на сертификата.
Прозрачен неинспектиращ прокси — Възлите не са конфигурирани да използват конкретен адрес на прокси сървър и не трябва да изискват никакви промени, за да работят с неинспектиращ прокси сървър. Не се изисква актуализация на сертификата.
Прозрачно тунелиране или проверка на прокси — Възлите не са конфигурирани да използват конкретен адрес на прокси сървър . Не са необходими промени в конфигурацията на HTTP или HTTPS на възлите. Възлите обаче се нуждаят от главен сертификат , така че да имат доверие на проксито. Проверяващите прокси сървъри обикновено се използват от ИТ за налагане на политики за това кои уебсайтове могат да бъдат посещавани и кои видове съдържание не са разрешени. Този тип прокси декриптира целия ви трафик (дори HTTPS).
Изрично прокси —С изричен прокси вие казвате на HDS възлите кой прокси сървър и схема за удостоверяване да използват. За да конфигурирате изрично прокси, трябва да въведете следната информация на всеки възел:
1. Прокси IP/ FQDN — Адрес, който може да се използва за достигане до прокси машината.
2. Прокси порт —Номер на номер на порт , който проксито използва за прослушване на прокси трафик.
3. Прокси протокол — В зависимост от това какво поддържа вашият прокси сървър , изберете между следните протоколи:
  - HTTP – Преглежда и контролира всички заявки, които клиентът изпраща.
  - HTTPS – Предоставя канал към сървъра. Клиентът получава и валидира сертификата на сървъра.
4. Тип на удостоверяването — Изберете измежду следните типове удостоверяване:
  - Няма — не се изисква допълнително удостоверяване.
    
    Достъпно, ако изберете HTTP или HTTPS като прокси протокол.
  - Основен —Използва се за HTTP потребителски агент за предоставяне на потребителско име и парола при отправяне на заявка. Използва Base64 кодиране.
    
    Достъпно, ако изберете HTTP или HTTPS като прокси протокол.
    
    Изисква да въведете потребителско име и парола на всеки възел.
  - Дайджест —Използва се за потвърждение на акаунта преди изпращане на чувствителна информация. Прилага хеш функция върху потребителското име и паролата преди изпращане по мрежата.
    
    Достъпно само ако изберете HTTPS като прокси протокол.
    
    Изисква да въведете потребителско име и парола на всеки възел.

Пример за хибридни възли за защита на данни и прокси

Тази диаграма показва примерна връзка между хибридната защита на данните, мрежата и прокси сървъра. За опциите за прозрачна проверка и HTTPS изрична проверка на прокси сървъра, един и същ главен сертификат трябва да бъде инсталиран на прокси сървъра и на възлите за хибридна защита на данните.

Блокиран режим на разделителна способност на външен DNS (изрични прокси конфигурации)

Когато регистрирате възел или проверявате прокси конфигурацията на възела, процесът тества търсенето на DNS и свързаността с облака на Cisco Webex . При разгръщания с изрични прокси конфигурации, които не позволяват външна DNS резолюция за вътрешни клиенти, ако възелът не може да запита DNS сървърите, той автоматично преминава в режим на блокирана външна DNS разделителна способност. В този режим могат да продължат регистрацията на възел и други тестове за прокси свързаност.

Подгответе вашата среда

Изисквания за хибридна сигурност на данните

Изисквания за лиценз на Cisco Webex

За да внедрите хибридна защита на данните:

Трябва да имате Pro Pack за Cisco Webex Control Hub. (Вижhttps://www.cisco.com/go/pro-pack .)

Изисквания за работния плот на Docker

Преди да инсталирате своите HDS възли, имате нужда от Docker Desktop, за да стартирате програма за настройка. Docker наскоро актуализира своя модел на лицензиране. Вашата организация може да изисква платен абонамент за Docker Desktop. За подробности вижте публикацията в блога на Docker, " Docker актуализира и разширява нашите абонаменти за продукти ".

X.509 Изисквания за сертификат

верига за сертификати трябва да отговаря на следните изисквания:

Таблица 1. Изисквания за сертификат X.509 за внедряване на хибридна защита на данни
Изискване	Подробности
Подписано от доверен орган за сертификати (CA)	По подразбиране ние вярваме на CA в списъка на Mozilla (с изключение на WoSign и StartCom) наhttps://wiki.mozilla.org/CA:IncludedCAs .
Носи име на име на домейн с общо име (CN), което идентифицира вашето внедряване на хибридна защита на данните Не е заместващ сертификат	CN не е необходимо да е достъпен или да е домакин на живо. Препоръчваме ви да използвате име, което отразява вашата организация, напр. `hds.company.com`. CN не трябва да съдържа * (уместен знак). CN се използва за проверка на възлите за хибридна защита на данните към клиентите на Webex App. Всички възли за хибридна защита на данните във вашия клъстер използват един и същ сертификат. Вашият KMS се идентифицира с помощта на домейна CN, а не всеки домейн, който е дефиниран в полетата на x.509v3 SAN. След като сте регистрирали възел с този сертификат, ние не поддържаме промяна на име на домейн. Изберете домейн, който може да се прилага както за пробното, така и за производственото внедряване.
Не-SHA1 подпис	Софтуерът KMS не поддържа SHA1 подписи за валидиране на връзки с KMS на други организации.
Форматиран като защитен с парола файл PKCS #12 Използвайте приятелското име на `kms-private-key` за да маркирате сертификата, частния ключ и всички междинни сертификати за качване.	Можете да използвате конвертор като OpenSSL, за да промените формата на вашия сертификат. Ще трябва да въведете паролата, когато стартирате инструмента за настройка на HDS.

Софтуерът KMS не налага използването на ключове или разширените ограничения за използване на ключове. Някои сертифициращи органи изискват разширените ограничения за използване на ключ да се прилагат към всеки сертификат, като например удостоверяване на сървъра. Добре е да използвате удостоверяването на сървъра или други настройки.

Изисквания за виртуален хост

Виртуалните хостове, които ще настройвам като възли за хибридна защита на данните във вашия клъстер, имат следните изисквания:

Най-малко два отделни хоста (препоръчани 3), разположени в един и същ защитен център за данни
VMware ESXi 6.5 (или по-нова версия) е инсталиран и работи.

Трябва да надстроите, ако имате по-ранна версия на ESXi.
Минимум 4 vCPU, 8 GB основна памет, 30 GB локално пространство на твърдия диск на сървър

Изисквания за сървър на база данни

Създайте нова база данни за съхранение на ключове. Не използвайте базата данни по подразбиране. Приложенията HDS, когато са инсталирани, създават схемата на базата данни.

Има две опции за сървър на база с данни. Изискванията за всеки са както следва:

Таблица 2. Изисквания към сървъра за бази данни по тип база данни

PostgreSQL

Microsoft SQL Server

PostgreSQL 14, 15 или 16, инсталиран и работещ.

Инсталиран SQL Server 2016, 2017 или 2019 (Enterprise или Standard).

SQL Server 2016 изисква Service Pack 2 и Кумулативна актуализация 2 или по-нова версия.

Минимум 8 vCPU, 16 GB основна памет, достатъчно място на твърдия диск и наблюдение, за да се гарантира, че няма превишаване (препоръчва се 2 TB, ако искате да работите с базата данни за дълго време, без да е необходимо да увеличавате паметта)

Софтуерът HDS в момента инсталира следните версии на драйвери за комуникация със сървъра на сървър на база с данни:

PostgreSQL

Microsoft SQL Server

Postgres JDBC драйвер 42.2.5

SQL Server JDBC драйвер 4.6

Тази версия на драйвера поддържа SQL Server Always On ( Винаги включен екземпляр на клъстер при отказ и Групи за наличност Always On ).

Допълнителни изисквания за удостоверяване на Windows срещу Microsoft SQL Server

Ако искате HDS възлите да използват удостоверяване на Windows, за да получат достъп до вашата база данни за ключове на Microsoft SQL Server, тогава имате нужда от следната конфигурация във вашата среда:

HDS възлите, инфраструктурата на Active Directory и MS SQL Server трябва да бъдат синхронизирани с NTP.
Windows акаунтът, който предоставяте на HDS възлите, трябва да има достъп за четене/запис до базата данни.
DNS сървърите, които предоставяте на HDS възлите, трябва да могат да разрешат вашия център за разпространение на ключове (KDC).
Можете да регистрирате екземпляра на база данни HDS на вашия Microsoft SQL Server като име на принципал на услуга (SPN) във вашата Active Directory. Виж Регистрирайте главно име на услуга за връзки с Kerberos .

Инструментът за настройка на HDS, HDS стартерът и локалният KMS трябва да използват удостоверяване на Windows за достъп до базата данни на хранилището за ключове. Те използват детайлите от вашата ISO конфигурация, за да конструират SPN, когато искат достъп с удостоверяване на Kerberos.

Изисквания за външна свързаност

Конфигурирайте вашата защитна стена, за да разрешите следната свързаност за HDS приложенията:

Приложение	Протокол	Порт	Упътване от ап	Дестинация
Възли за хибридна защита на данните	TCP	443	Изходящ HTTPS и WSS	Webex сървъри: .wbx2.com .ciscospark.com Всички хостове за обща идентичност Други URL адреси, които са изброени за хибридна защита на данните в Допълнителни URL адреси за хибридни услуги на Webex таблица на Мрежови изисквания за услугите на Webex
Инструмент за настройка на HDS	TCP	443	Изходящ HTTPS	*.wbx2.com Всички хостове за обща идентичност hub.docker.com

Възлите за хибридна защита на данните работят с транслация на мрежов достъп (NAT) или зад защитна стена, стига NAT или защитната стена да позволяват необходимите изходящи връзки към дестинациите на домейна в предходната таблица. За връзки, които отиват към възлите за хибридна защита на данните, не трябва да се виждат портове от интернет. В рамките на вашия център за данни клиентите се нуждаят от достъп до възлите за хибридна защита на данните на TCP портове 443 и 22 за административни цели.

URL адресите за хостовете за обща идентичност (CI) са специфични за региона. Това са текущите CI хостове:

Регион	Общи URL адреси на хост за самоличност
Северна и Южна Америка	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Европейски съюз	https://idbroker-eu.webex.com https://identity-eu.webex.com
Канада	https://idbroker-ca.webex.com https://identity-ca.webex.com

Изисквания за прокси сървър

Ние официално поддържаме следните прокси решения, които могат да се интегрират с вашите възли за хибридна защита на данните.

Прозрачен прокси — Cisco интернет Security Appliance (WSA).

Изрично прокси – Squid.

Squid прокси сървърите, които проверяват HTTPS трафика, могат да попречат на установяването на websocket (wss:) връзки. За да заобиколите този проблем, вж Конфигурирайте Squid прокси сървъри за хибридна защита на данните .

Поддържаме следните комбинации от типове удостоверяване за изрични прокси сървъри:
- Няма удостоверяване с HTTP или HTTPS
- Основно удостоверяване с HTTP или HTTPS
- Дайджест удостоверяване само с HTTPS
За прозрачно проверяващо прокси или HTTPS изрично прокси, трябва да имате копие на главен сертификат на проксито. Инструкциите за внедряване в това ръководство ви казват как да качите копието в хранилищата за доверие на възлите за хибридна защита на данните.
Мрежата, хостваща HDS възлите, трябва да бъде конфигурирана да принуди изходящия TCP трафик към порт 443 да се маршрутизира през прокси сървъра.
Прокси сървърите, които проверяват уеб трафика, могат да попречат на връзките на уеб сокет. Ако възникне този проблем, заобикаляне (без проверка) на трафика към wbx2.com и ciscospark.com ще реши проблема.

Изпълнете предпоставките за хибридна защита на данните

Използвайте този контролен списък, за да се уверите, че сте готови да инсталирате и конфигурирате своя клъстер за хибридна защита на данните.

1

Уверете се, че вашата организация Webex е активирана за Pro Pack за Cisco Webex Control Hub и получете идентификационните данни за акаунт с пълни администраторски права на организация. Свържете се с вашия партньор на Cisco или мениджър на акаунт за помощ с този процес.

2

Изберете име на домейн за внедряването на HDS (например hds.company.com) и да получите верига за сертификати, съдържаща сертификат X.509, частен ключ и всякакви междинни сертификати. верига за сертификати трябва да отговаря на изискванията в X.509 Изисквания за сертификат .

3

Подгответе идентични виртуални хостове, които ще настройвам като възли за хибридна защита на данните във вашия клъстер. Имате нужда от поне два отделни хоста (3 препоръчани), разположени в един и същ защитен център за данни, които отговарят на изискванията в Изисквания за виртуален хост .

4

Подгответе сървър на база с данни , който ще действа като хранилище на данни за клъстера, според Изисквания за сървър на база данни . Сървърът на сървър на база с данни трябва да бъде разположен в защитения център за данни с виртуалните хостове.

Създайте база данни за съхранение на ключове. (Трябва да създадете тази база данни - не използвайте базата данни по подразбиране. Приложенията HDS, когато са инсталирани, създават схемата на базата данни.)
Съберете подробностите, които възлите ще използват за комуникация със сървъра на сървър на база с данни:
- име на домакина или IP адрес (хост) и порта
- името на базата данни (dbname) за съхранение на ключове
- потребителското име и паролата на потребител с всички привилегии в базата данни за съхранение на ключове

5

За бързо възстановяване след срив, настройвам среда за архивиране в различен център за данни. Архивната среда отразява производствената среда на виртуални машини и сървър за архивиране на сървър на база с данни. Например, ако производството има 3 VM, работещи с HDS възли, средата за архивиране трябва да има 3 VM.

6

Настройте хост на syslog за събиране на регистрационни файлове от възлите в клъстера. Съберете неговия мрежов адрес и порт на системния журнал (по подразбиране е UDP 514).

7

Създайте защитена политика за архивиране за възлите за хибридна защита на данните, сървър на база с данни и хоста на системния журнал. Като минимум, за да предотвратите невъзстановима загуба на данни, трябва да архивирате базата данни и конфигурационния ISO файл, генериран за възлите за хибридна защита на данните.

Тъй като възлите за защита на хибридните данни съхраняват ключовете, използвани за криптиране и декриптиране на съдържание, неспособността да се поддържа оперативно внедряване ще доведе до НЕВЪЗСТАНОВИМА ЗАГУБА от това съдържание.

Клиентите на Webex App кешират своите ключове, така че прекъсването може да не се забележи веднага, но ще стане очевидно с времето. Докато временните прекъсвания са невъзможни за предотвратяване, те са възстановими. Въпреки това, пълната загуба (няма налични резервни копия) на базата данни или конфигурационния ISO файл ще доведе до невъзстановими клиентски данни. Очаква се операторите на възлите за хибридна защита на данни да поддържат чести архиви на базата данни и конфигурационния ISO файл и да бъдат готови да изградят отново център за данни, ако възникне катастрофална повреда.

8

Уверете се, че конфигурацията на защитната ви стена позволява свързаност за вашите възли за хибридна защита на данните, както е посочено в Изисквания за външна свързаност .

9

Инсталирайте Docker (https://www.docker.com ) на всяка локална машина, работеща с поддържана операционна система (Microsoft Windows 10 Professional или Enterprise 64-битова, или Mac OSX Yosemite 10.10.3 или по-нова) с уеб браузър, който има достъп до нея на http://127.0.0.1:8080.

Използвате екземпляра на Docker, за да изтеглите и стартирате инструмента за настройка на HDS, който изгражда информация за конфигуриране за всички възли за защита на хибридните данни. Вашата организация може да се нуждае от лиценз за Docker Desktop. Виж Изисквания за работния плот на Docker за повече информация.

За да инсталирате и стартирате инструмента за настройка на HDS, локалната машина трябва да има очертана свързаност Изисквания за външна свързаност .

10

Ако интегрирате прокси с Hybrid Data Security, уверете се, че отговаря на Изисквания за прокси сървър .

11

Ако вашата организация използва синхронизиране на директории, създайте група в Active Directory , наречена HdsTrialGroup и добавете пилотни потребители. Пробната група може да има до 250 потребители. На HdsTrialGroup обектът трябва да бъде синхронизиран с облака, преди да можете да започнете пробна версия за вашата организация. За да синхронизирате групов обект, изберете го в конектора на директория Конфигурация > Избор на обект меню. (За подробни инструкции вижте Ръководство за разгръщане на Cisco Directory Connector. )

Ключовете за дадено пространство се задават от създателя на пространството. Когато избирате пилотни потребители, имайте предвид, че ако решите да деактивирате за постоянно внедряването на Hybrid Data Security, всички потребители губят достъп до съдържание в пространствата, създадени от пилотните потребители. Загубата става очевидна веднага щом приложенията на потребителите обновят своите кеширани копия на съдържанието.

Създайте хибриден клъстер за сигурност на данните

Поток на задачи за внедряване на хибридна защита на данните

Преди да започнете

1

Изтеглете OVA файла на вашата локална машина за по-късна употреба.

2

Използвайте инструмента за настройка на HDS, за да създадете ISO конфигурационен файл за възлите за хибридна защита на данните.

3

Настройте хибридната VM машина за защита на данните

Създайте виртуална машина от файла OVA и извършете първоначална конфигурация, като мрежови настройки.

Опцията за конфигуриране на мрежови настройки по време на внедряване на OVA е тествана с ESXi 6.5. Възможно е опцията да не е налична в по-ранните версии.

4

Влезте в конзолата на VM и задайте идентификационните данни за вход. Конфигурирайте мрежови настройки за възела, ако не сте ги конфигурирали по време на внедряването на OVA.

5

Конфигурирайте VM от ISO конфигурационен файл , който сте създали с инструмента за настройка на HDS.

6

Ако мрежовата среда изисква конфигурация на прокси сървър, посочете типа прокси, който ще използвате за възела, и добавете прокси сертификата към хранилището за доверие, ако е необходимо.

7

Регистрирайте VM с облака на Cisco Webex като възел за хибридна защита на данните.

8

Завършете настройката на клъстера.

9

Изпълнете пробна версия и преминете към производство (следваща глава)

Докато не започнете пробна версия, вашите възли генерират аларма, показваща, че вашата услуга все още не е активирана.

Изтеглете инсталационни файлове

В тази задача изтегляте OVA файл на вашата машина (не на сървърите, които сте настройвам като възли за хибридна защита на данните). Използвате този файл по-късно в процеса на инсталиране.

1

Влезте вhttps://admin.webex.com и след това щракнете Услуги .

2

В секцията Хибридни услуги намерете картата за защита на хибридни данни и след това щракнете Настройте .

Ако картата е деактивирана или не я виждате, свържете се с екипа на акаунта си или с партньорската си организация. Дайте им номера на вашата сметка и поискайте да активирате вашата организация за хибридна защита на данните. За да намерите номера на сметката, щракнете върху зъбното колело горе вдясно до името на вашата организация.

Можете също да изтеглите OVA по всяко време от Помощ раздел за Настройки страница. На картата за защита на хибридни данни щракнете Редактиране на настройките за да отворите страницата. След това щракнете Изтеглете софтуера за хибридна защита на данните в Помощ раздел.

По-старите версии на софтуерния пакет (OVA) няма да са съвместими с най-новите надстройки за хибридна защита на данните. Това може да доведе до проблеми при надграждане на приложението. Уверете се, че сте изтеглили най-новата версия на файла OVA.

3

Изберете не за да посочите, че все още не сте настройвам възела, и след това щракнете Следваща .

OVA файлът автоматично започва да се изтегля. Запазете файла на място на вашата машина.

4

По желание щракнете Отворете Ръководство за разгръщане за да проверите дали има налична по-нова версия на това ръководство.

Създайте ISO конфигурация за HDS хостовете

Процесът на настройка на хибридната защита на данните създава ISO файл. След това използвате ISO , за да конфигурирате вашия хост за хибридна защита на данни.

Преди да започнете

Инструментът за настройка на HDS работи като Docker контейнер на локална машина. За да получите достъп до него, стартирайте Docker на тази машина. Процесът на настройка изисква идентификационни данни на акаунт в Control Hub с пълни администраторски права за вашата организация.

Ако инструментът за настройка на HDS работи зад прокси във вашата среда, предоставете настройките на прокси сървъра (сървър, порт, идентификационни данни) чрез променливите на средата на Docker, когато извеждате Docker контейнера в стъпка 5 . Тази таблица дава някои възможни променливи на средата:

Описание	Променлива
HTTP прокси без удостоверяване	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS прокси без удостоверяване	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP прокси с удостоверяване	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS прокси с удостоверяване	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Конфигурационният ISO файл, който генерирате, съдържа главния ключ, криптиращ PostgreSQL или базата данни на Microsoft SQL Server. Имате нужда от последното копие на този файл всеки път, когато правите промени в конфигурацията, като тези:
- Данни за база данни
- Актуализации на сертификата
- Промени в политиката за оторизация
Ако планирате да шифровате връзките към базата данни, настройвам внедряването на PostgreSQL или SQL Server за TLS.

1

В командния ред на вашата машина въведете подходящата команда за вашата среда:

В редовна среда:

docker rmi ciscocitg/hds-setup:stable

В FedRAMP среди:

docker rmi ciscocitg/hds-setup-fedramp:stable

Тази стъпка почиства предишни изображения на инструмента за настройка на HDS. Ако няма предишни изображения, той връща грешка, която можете да игнорирате.

2

За да влизам в регистъра на изображенията на Docker, въведете следното:

docker login -u hdscustomersro

3

При подкана за парола въведете този хеш:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Изтеглете най-новото стабилно изображение за вашата среда:

В редовна среда:

docker pull ciscocitg/hds-setup:stable

В FedRAMP среди:

docker pull ciscocitg/hds-setup-fedramp:stable

5

Когато изтеглянето завърши, въведете подходящата команда за вашата среда:

В обикновени среди без прокси:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

В обикновени среди с HTTP прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

В обикновени среди с HTTPS прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

В FedRAMP среди без прокси:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

В FedRAMP среди с HTTP прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

В FedRAMP среди с HTTPS прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Когато контейнерът работи, виждате „Експресно слушане на сървър на порт 8080“.

6

Инструментът за настройка не поддържа свързване към localhost чрез http://localhost:8080 . Използвайтеhttp://127.0.0.1:8080 за да се свържете с локален хост.

Използвайте уеб браузър, за да отидете на локалния хост, http://127.0.0.1:8080 и въведете потребителско име на администратор на клиента за Control Hub при подкана.

Инструментът използва това първо въвеждане на потребителското име, за да зададе подходящата среда за този акаунт. След това инструментът показва стандартната подкана за вход.

7

Когато бъдете подканени, въведете вашите идентификационни данни за вход на администратор на клиента Control Hub и след това щракнете Влезте за да разрешите достъп до необходимите услуги за хибридна защита на данните.

8

На страницата за преглед на инструмента за настройка щракнете Започнете .

9

На ISO импортиране страница, имате следните опции:

не —Ако създавате първия си HDS възел, нямате ISO файл за качване.
да —Ако вече сте създали HDS възли, тогава избирате своя ISO файл в прегледа и го качвате.

10

Проверете дали вашият сертификат X.509 отговаря на изискванията в X.509 Изисквания за сертификат .

Ако никога досега не сте качвали сертификат, качете сертификата X.509, въведете паролата и щракнете Продължете .
Ако сертификатът ви е ОК, щракнете Продължете .
Ако вашият сертификат е изтекъл или искате да го замените, изберете не за Да продължите ли да използвате верига за сертификати и частен ключ от предишен ISO? . Качете нов сертификат X.509, въведете паролата и щракнете Продължете .

11

Въведете адреса на базата данни и акаунт за HDS за достъп до вашето ключово хранилище за данни:

Изберете своя Тип база данни ( PostgreSQL или Microsoft SQL Server ).

Ако изберете Microsoft SQL Server , получавате поле Тип на удостоверяването .
( Microsoft SQL Server само) Изберете своя Тип на удостоверяването :
- Основно удостоверяване : Имате нужда от име на профила в SQL Server в Потребителско име поле.
- Удостоверяване на Windows : Нуждаете се от акаунт в Windows във формата username@DOMAIN в Потребителско име поле.
Въведете адреса на сървър на база с данни във формуляра <hostname>:<port> или <IP-address>:<port>.

Пример:
dbhost.example.org:1433 или 198.51.100.17:1433

Можете да използвате IP адрес за основно удостоверяване, ако възлите не могат да използват DNS за разрешаване на името на хоста.

Ако използвате удостоверяване на Windows, трябва да въведете напълно квалифицирано име на домейн във формата dbhost.example.org:1433
Въведете Име на базата данни .
Въведете Потребителско име и парола на потребител с всички привилегии в базата данни за съхранение на ключове.

12

Изберете a TLS режим на връзка с база данни :

Режим

Описание

Предпочитайте TLS (опция по подразбиране)

HDS възлите не изискват TLS за свързване към сървъра на сървър на база с данни. Ако активирате TLS на сървъра на сървър на база с данни, възлите се опитват да установят криптирана връзка.

Изисквайте TLS

HDS възлите се свързват само ако сървърът на сървър на база с данни може да договаря TLS.

Изисквайте TLS и потвърдете подписващия сертификат

Този режим не е приложим за бази данни на SQL Server.

HDS възлите се свързват само ако сървърът на сървър на база с данни може да договаря TLS.
След установяване на TLS връзка, възелът сравнява подписващия сертификат от сървър на база с данни с сертифициращия орган в главен сертификат на базата данни . Ако не съвпадат, възелът прекратява връзката.

Използвайте главен сертификат на базата данни контрол под падащото меню, за да качите главен сертификат за тази опция.

Изисквайте TLS и проверете подписващия сертификат и името на хоста

HDS възлите се свързват само ако сървърът на сървър на база с данни може да договаря TLS.
След установяване на TLS връзка, възелът сравнява подписващия сертификат от сървър на база с данни с сертифициращия орган в главен сертификат на базата данни . Ако не съвпадат, възелът прекратява връзката.
Възлите също така проверяват дали името на хоста в сертификат на сървъра съвпада с името на хоста в Хост на базата данни и порт поле. Имената трябва да съвпадат точно, или възелът прекъсва връзката.

Използвайте главен сертификат на базата данни контрол под падащото меню, за да качите главен сертификат за тази опция.

Когато качите главен сертификат (ако е необходимо) и щракнете Продължете , инструментът за настройка на HDS тества TLS връзката към сървъра на сървър на база с данни. Инструментът също така проверява подписващия сертификат и името на хоста, ако е приложимо. Ако тестът е неуспешен, инструментът показва съобщение за грешка, описващо проблема. Можете да изберете дали да игнорирате грешката и да продължите с настройката. (Поради разликите в свързаността, HDS възлите може да са в състояние да установят TLS връзката, дори ако машината с инструмент за настройка на HDS не може успешно да я тества.)

13

На страницата System Logs конфигурирайте вашия Syslogd сървър:

Въведете URL на syslog сървъра.

Ако сървърът не е DNS-разрешим от възлите за вашия HDS клъстер, използвайте IP адрес в URL.

Пример:
udp://10.92.43.23:514 показва регистриране към хост Syslogd 10.92.43.23 на UDP порт 514.
Ако сте настройвам вашия сървър да използва TLS криптиране, проверете Вашият syslog сървър конфигуриран ли е за SSL криптиране? .

Ако поставите отметка в това поле за отметка, уверете се, че сте въвели TCP URL , като напр tcp://10.92.43.23:514.
От Изберете прекратяване на запис на syslog падащо меню изберете подходящата настройка за вашия ISO файл: Изберете или Newline се използва за Graylog и Rsyslog TCP
- Нулев байт -- \x00
- Нов ред -- \n —Изберете този избор за Graylog и Rsyslog TCP.
Щракнете върху Продължаване.

14

(По избор) Можете да промените стойност по подразбиране за някои параметри на връзката към базата данни в Разширени настройки . По принцип този параметър е единственият, който може да искате да промените:

app_datasource_connection_pool_maxSize: 10

15

Щракнете върху Продължете на Нулиране на паролата за сервизни акаунти екран.

Паролите за акаунти за услуги имат деветмесечен живот. Използвайте този екран, когато паролите ви изтичат или искате да ги нулирате, за да анулирате предишни ISO файлове.

16

Щракнете върху Изтеглете ISO файл . Запазете файла на място, което е лесно за намиране.

17

Направете резервно копие на ISO файла във вашата локална система.

Пазете резервното копие сигурно. Този файл съдържа главен ключ за шифроване за съдържанието на базата данни. Ограничете достъпа само до онези администратори на Hybrid Data Security, които трябва да направят промени в конфигурацията.

18

За да изключите инструмента за настройка, въведете CTRL+C.

Какво да направите след това

Архивирайте конфигурационния ISO файл. Нуждаете се от него, за да създадете повече възли за възстановяване или да направите промени в конфигурацията. Ако загубите всички копия на ISO файла, вие също сте загубили главния ключ. Възстановяването на ключовете от вашата база данни PostgreSQL или Microsoft SQL Server не е възможно.

Никога нямаме копие на този ключ и не можем да помогнем, ако го загубите.

Инсталирайте HDS Host OVA

Използвайте тази процедура, за да създадете виртуална машина от OVA файла.

1

Използвайте VMware vSphere клиента на вашия компютър, за да влезете във виртуалния хост ESXi.

2

Изберете Файл > Внедряване на OVF шаблон .

3

В съветника посочете местоположението на файла OVA, който сте изтеглили по-рано, и след това щракнете Следваща .

4

На Изберете име и папка страница, въведете a Име на виртуална машина за възела (например „HDS_ Нode_ 1"), изберете местоположение, където може да се намира разгръщането на възела на виртуална машина , и след това щракнете Следваща .

5

На Изберете изчислителен ресурс страница, изберете целевия изчислителен ресурс и след това щракнете Следваща .

Изпълнява се проверка за валидиране. След като приключи, се появяват подробностите за шаблона.

6

Проверете детайлите на шаблона и след това щракнете Следваща .

7

Ако бъдете помолени да изберете конфигурацията на ресурса на Конфигурация страница, щракнете 4 CPU и след това щракнете Следваща .

8

На Изберете място за съхранение страница, щракнете Следваща за да приемете дисковия формат по подразбиране и политиката за съхранение на VM .

9

На Изберете мрежи страница, изберете опцията за мрежа от списъка с записи, за да осигурите желаната свързаност към VM.

10

На Персонализирайте шаблона страница, конфигурирайте следните мрежови настройки:

Име на хост — Въведете FQDN (име на хост и домейн) или име на хост от една дума за възела.

Не е необходимо да задавате домейна да съвпада с домейна, който сте използвали за получаване на сертификата X.509.
За да осигурите успешна регистрация в облака, използвайте само малки букви в FQDN или името на хост, които сте задали за възела. Понастоящем изписването с главни букви не се поддържа.
Общата дължина на FQDN не трябва да надвишава 64 знака.

IP адрес — Въведете IP адрес за вътрешния интерфейс на възела.

Вашият възел трябва да има вътрешен IP адрес и DNS име. DHCP не се поддържа.
маска — Въведете адреса на маска на подмрежата в десетична нотация. например 255.255.255.0 .
Портал — Въведете IP адрес на шлюза. Шлюзът е мрежов възел, който служи като точка на достъп до друга мрежа.
DNS сървъри — Въведете разделен със запетая списък с DNS сървъри, които обработват преобразуването на имена на домейни в цифрови IP адреси. (Разрешени са до 4 DNS записа.)
NTP сървъри — Въведете NTP сървър на вашата организация или друг външен NTP сървър , който може да се използва във вашата организация. NTP сървърите по подразбиране може да не работят за всички предприятия. Можете също да използвате разделен със запетая списък, за да въведете множество NTP сървъри.

Разположете всички възли в една и съща подмрежа или VLAN, така че всички възли в клъстер да са достъпни от клиенти във вашата мрежа за административни цели.

Ако предпочитате, можете да пропуснете конфигурацията на мрежовите настройки и да следвате стъпките в Настройте хибридната VM машина за защита на данните за да конфигурирате настройките от конзолата на възела.

Опцията за конфигуриране на мрежови настройки по време на внедряване на OVA е тествана с ESXi 6.5. Възможно е опцията да не е налична в по-ранните версии.

11

Щракнете с десния бутон върху възела VM и след това изберете Мощност > Включване .

Софтуерът Hybrid Data Security се инсталира като гост на VM Host. Вече сте готови да влизам в конзолата и да конфигурирате възела.

Съвети за отстраняване на неизправности

Може да изпитате закъснение от няколко минути, преди да излязат контейнерите на възела. Съобщение за мостова защитна стена се появява на конзолата по време на първото стартиране, по време на което не можете да влизам.

Настройте хибридната VM машина за защита на данните

Използвайте тази процедура, за да влизам в конзолата за VM на възела на хибридната защита на данните за първи път и да зададете идентификационните данни за вход. Можете също да използвате конзолата, за да конфигурирате мрежови настройки за възела, ако не сте ги конфигурирали по време на внедряването на OVA.

1	В клиента VMware vSphere изберете своя VM възел за хибридна защита на данните и изберете Конзола раздел. VM се зарежда и се появява подкана за влизане. Ако подканата за влизане не се покаже, натиснете Въведете .
2	Използвайте следното потребителско име и парола по подразбиране, за да влизам и промените идентификационните данни: Вход: `admin` Парола: `cisco` Тъй като влизате във вашата VM за първи път, от вас се изисква да промените паролата на администратор.
3	Ако вече сте конфигурирали мрежови настройки в Инсталирайте HDS Host OVA , пропуснете останалата част от тази процедура. В противен случай в главно меню изберете Редактиране на конфигурация опция.
4	Настройте статична конфигурация с информация за IP адрес, маска, шлюз и DNS . Вашият възел трябва да има вътрешен IP адрес и DNS име. DHCP не се поддържа.
5	(По избор) Променете името на хоста, домейна или NTP сървър(ите), ако е необходимо, за да съответства на вашата мрежова политика. Не е необходимо да задавате домейна да съвпада с домейна, който сте използвали за получаване на сертификата X.509.
6	Запазете мрежова конфигурация и рестартирайте VM , така че промените да влязат в сила.

Качете и монтирайте ISO конфигурацията на HDS

Използвайте тази процедура, за да конфигурирате виртуална машина от ISO файла, който сте създали с инструмента за настройка на HDS.

Преди да започнете

Тъй като ISO файлът съдържа главния ключ, той трябва да бъде изложен само на базата на „необходимост да се знае“ за достъп от хибридните виртуални машини за защита на данните и всички администратори, които може да се наложи да направят промени. Уверете се, че само тези администратори имат достъп до хранилището на данни.

1

Качете ISO файла от вашия компютър:

В левия навигационен панел на клиента VMware vSphere щракнете върху ESXi сървъра.
В списъка Хардуер на раздела Конфигурация щракнете Съхранение .
В списъка Datastores щракнете с щраквам с десния бутон върху хранилището на данни за вашите VM и щракнете Преглед на Datastore .
Щракнете върху иконата за качване на файлове и след това щракнете върху Качване на файл .
Отидете до мястото, където сте изтеглили ISO файла на вашия компютър и щракнете Отвори .
Щракнете върху да за да приемете предупреждението за операцията за качване/изтегляне и затворете диалоговия прозорец за съхранение на данни.

2

Монтирайте ISO файла:

В левия навигационен панел на клиента VMware vSphere щракнете с щраквам с десния бутон върху VM и щракнете Редактиране на настройките .
Щракнете върху ОК за да приемете предупреждението за ограничени опции за редактиране.
Щракнете върху CD/DVD Drive 1, изберете опцията за монтиране от ISO файл на хранилище за данни и прегледайте мястото, където сте качили конфигурационния ISO файл.
Проверете Свързани и Свържете при включване .
Запазете промените и рестартирайте виртуална машина.

Какво да направите след това

Ако вашата ИТ политика изисква, можете по избор да демонтирате ISO файла, след като всички ваши възли приемат промените в конфигурацията. Виж (По избор) Демонтирайте ISO след HDS конфигурация за подробности.

Конфигурирайте HDS възел за прокси интеграция

Ако мрежовата среда изисква прокси, използвайте тази процедура, за да посочите типа прокси, който искате да интегрирате с Hybrid Data Security. Ако изберете прозрачно прокси за проверка или HTTPS изрично прокси, можете да използвате интерфейса на възела, за да качите и инсталирате главен сертификат. Можете също да проверите прокси връзката от интерфейса и да отстраните евентуални проблеми.

Преди да започнете

Виж Прокси поддръжка за преглед на поддържаните прокси опции.
Изисквания за прокси сървър

1	Въведете URL за настройка на HDS възел `https://[HDS Node IP or FQDN]/setup` в уеб браузър, въведете администраторските идентификационни данни, които сте настройвам за възела, и след това щракнете Влезте .
2	Отидете на Доверен магазин и прокси и след това изберете опция: Без прокси —Опция по опция по подразбиране, преди да интегрирате прокси. Не се изисква актуализация на сертификата. Прозрачен прокси без проверка — Възлите не са конфигурирани да използват конкретен адрес на прокси сървър и не трябва да изискват никакви промени, за да работят с неинспектиращ прокси сървър. Не се изисква актуализация на сертификата. Прозрачен инспектиращ прокси — Възлите не са конфигурирани да използват конкретен адрес на прокси сървър . Не са необходими промени в конфигурацията на HTTPS при внедряването на хибридна защита на данните, но HDS възлите се нуждаят от главен сертификат , така че да имат доверие на прокси сървъра. Проверяващите прокси сървъри обикновено се използват от ИТ за налагане на политики за това кои уебсайтове могат да бъдат посещавани и кои видове съдържание не са разрешени. Този тип прокси декриптира целия ви трафик (дори HTTPS). Изрично прокси —С изричен прокси, вие казвате на клиента (HDS възли) кой прокси сървър да използва и тази опция поддържа няколко типа удостоверяване. След като изберете тази опция, трябва да въведете следната информация: Прокси IP/ FQDN — Адрес, който може да се използва за достигане до прокси машината. Прокси порт —Номер на номер на порт , който проксито използва за прослушване на прокси трафик. Прокси протокол — Изберете http (преглежда и контролира всички заявки, които се получават от клиента) или https (предоставя канал към сървъра, а клиентът получава и валидира сертификата на сървъра). Изберете опция въз основа на това, което поддържа вашият прокси сървър . Тип на удостоверяването — Изберете измежду следните типове удостоверяване: Няма — не се изисква допълнително удостоверяване. Предлага се за HTTP или HTTPS прокси сървъри. Основен —Използва се за HTTP потребителски агент за предоставяне на потребителско име и парола при отправяне на заявка. Използва Base64 кодиране. Предлага се за HTTP или HTTPS прокси сървъри. Ако изберете тази опция, трябва също да въведете потребителско име и парола. Дайджест —Използва се за потвърждение на акаунта преди изпращане на чувствителна информация. Прилага хеш функция върху потребителското име и паролата преди изпращане по мрежата. Предлага се само за HTTPS прокси сървъри. Ако изберете тази опция, трябва също да въведете потребителско име и парола. Следвайте следващите стъпки за прозрачно прокси за проверка, HTTP изрично прокси с основно удостоверяване или HTTPS изрично прокси.
3	Щракнете върху Качете главен сертификат или сертификат за краен обект и след това отидете до a изберете главен сертификат за прокси сървъра. Сертификатът е качен, но все още не е инсталиран, защото трябва да рестартирате възела, за да инсталирате сертификата. Щракнете върху стрелката на шеврон до името на издателя на сертификата, за да получите повече подробности, или щракнете Изтрийте ако сте направили грешка и искате да качите отново файла.
4	Щракнете върху Проверете прокси връзката за да тествате връзка с мрежата между възела и проксито. Ако тестът на връзката е неуспешен, ще видите съобщение за грешка , което показва причината и как можете да коригирате проблема. Ако видите съобщение, че външната DNS резолюция не е била успешна, възелът не е успял да достигне до DNS сървър. Това условие се очаква в много изрични прокси конфигурации. Можете да продължите с настройката и възелът ще функционира в режим на Blocked External DNS Resolution. Ако смятате, че това е грешка, изпълнете тези стъпки и след това вижте Изключете Blocked External DNS Resolution Mode .
5	След като тестът на връзката премине, за изрично прокси, настроено само на https, включете превключвателя на Насочете всички заявки към порт 443/444 https от този възел през изричния прокси сървър . Тази настройка изисква 15 секунди, за да влезе в сила.
6	Щракнете върху Инсталирайте всички сертификати в Trust Store (появява се за HTTPS изричен прокси или прозрачен проверяващ прокси) или Рестартирайте (появява се за HTTP изрично прокси), прочетете подканата и след това щракнете Инсталирайте ако си готов. Възелът се рестартира в рамките на няколко минути.
7	След като възелът се рестартира, влизам отново, ако е необходимо, и след това отворете Общ преглед страница, за да проверите проверките за свързаност, за да се уверите, че всички са в зелено състояние. Проверката на прокси връзката тества само поддомейн на webex.com. Ако има проблеми със свързването, често срещан проблем е, че някои от облачните домейни, изброени в инструкциите за инсталиране, се блокират на прокси сървъра.

Регистрирайте първия възел в клъстера

Тази задача приема общия възел, който сте създали в Настройте хибридната VM машина за защита на данните , регистрира възела в облака Webex и го превръща в възел за хибридна защита на данните.

Когато регистрирате първия си възел, вие създавате клъстер, към който е присвоен възелът. Клъстерът съдържа един или повече възли, разположени за осигуряване на излишък.

Преди да започнете

След като започнете регистрацията на възел, трябва да го завършите в рамките на 60 минути или трябва да започнете отначало.
Уверете се, че всички блокиращи изскачащи прозорци във вашия браузър са деактивирани или че сте разрешили изключение за admin.webex.com.

1	Влезте в https://admin.webex.com.
2	От менюто в лявата част на екрана изберете Услуги .
3	В секцията Хибридни услуги намерете Hybrid Data Security и щракнете Настройте . Появява се страницата Register Hybrid Data Security Node.
4	Изберете да за да посочите, че сте настройвам възела и сте готови да го регистрирате, и след това щракнете Следваща .
5	В първото поле въведете име за клъстера, към който искате да присвоите своя възел за хибридна защита на данните. Препоръчваме ви да назовете клъстер въз основа на това къде се намират възлите на клъстера географски. Примери: "Сан Франциско" или "Ню Йорк" или "Далас"
6	Във второто поле въведете вътрешния IP адрес или напълно квалифицирано име на домейн (FQDN) на вашия възел и щракнете Следваща . Този IP адрес или FQDN трябва да съвпада с IP адрес или името на хоста и домейна, в който сте използвали Настройте хибридната VM машина за защита на данните . Появява се съобщение, което показва, че можете да регистрирате своя възел в Webex.
7	Щракнете върху Отидете на Node .
8	Щракнете върху Продължете в предупредително съобщение. След няколко минути ще бъдете пренасочени към тестовете за свързване на възел за услугите на Webex . Ако всички тестове са успешни, се появява страницата Разрешаване на достъп до възел за защита на хибридни данни. Там потвърждавате, че искате да дадете разрешения на вашата Webex организация за достъп до вашия възел.
9	Проверете Разрешете достъп до вашия възел за защита на хибридни данни квадратче за отметка и след това щракнете Продължете . Вашият акаунт е валидиран и съобщението „Регистрацията е завършена“ показва, че вашият възел вече е регистриран в облака на Webex .
10	Щракнете върху връзката или затворете раздела, за да се върнете към страницата за защита на хибридните данни на Control Hub. На Хибридна сигурност на данните страница, се показва новият клъстер, съдържащ възела, който сте регистрирали. Възелът автоматично ще изтегли най-новия софтуер от облака.

Създайте и регистрирайте още възли

За да добавите допълнителни възли към вашия клъстер, просто създавате допълнителни VM и монтирате същия конфигурационен ISO файл, след което регистрирате възела. Препоръчваме ви да имате поне 3 възела.

По това време резервните виртуални машини, в които сте създали Изпълнете предпоставките за хибридна защита на данните са резервни хостове, които се използват само в случай на възстановяване след срив; дотогава те не са регистрирани в системата. За подробности вж Възстановяване при бедствия с помощта на Център за данни в режим на готовност .

Преди да започнете

След като започнете регистрацията на възел, трябва да го завършите в рамките на 60 минути или трябва да започнете отначало.
Уверете се, че всички блокиращи изскачащи прозорци във вашия браузър са деактивирани или че сте разрешили изключение за admin.webex.com.

1	Създайте нова виртуална машина от OVA, като повторите стъпките в Инсталирайте HDS Host OVA .
2	Настройте първоначалната конфигурация на новата VM, като повторите стъпките в Настройте хибридната VM машина за защита на данните .
3	На новата VM повторете стъпките в Качете и монтирайте ISO конфигурацията на HDS .
4	Ако настройвате прокси за внедряването си, повторете стъпките в Конфигурирайте HDS възел за прокси интеграция както е необходимо за новия възел.
5	Регистрирайте възела. Вhttps://admin.webex.com , изберете Услуги от менюто в лявата част на екрана. В секцията Хибридни услуги намерете картата за защита на хибридни данни и щракнете Ресурси . Появява се страницата Ресурси за защита на хибридните данни. Щракнете върху Добавяне на ресурс . В първото поле изберете името на съществуващия си клъстер. Във второто поле въведете вътрешния IP адрес или напълно квалифицирано име на домейн (FQDN) на вашия възел и щракнете Следваща . Появява се съобщение, което показва, че можете да регистрирате своя възел в облака на Webex . Щракнете върху Отидете на Node . След няколко минути ще бъдете пренасочени към тестовете за свързване на възел за услугите на Webex . Ако всички тестове са успешни, се появява страницата Разрешаване на достъп до възел за защита на хибридни данни. Там потвърждавате, че искате да дадете разрешения на вашата организация за достъп до вашия възел. Проверете Разрешете достъп до вашия възел за защита на хибридни данни квадратче за отметка и след това щракнете Продължете . Вашият акаунт е валидиран и съобщението „Регистрацията е завършена“ показва, че вашият възел вече е регистриран в облака на Webex . Щракнете върху връзката или затворете раздела, за да се върнете към страницата за защита на хибридните данни на Control Hub. Вашият възел е регистриран. Имайте предвид, че докато не започнете пробна версия, вашите възли генерират аларма, показваща, че вашата услуга все още не е активирана.

Какво да направите след това

Изпълнете пробна версия и преминете към производство (следваща глава)

Изпълнете пробна версия и преминете към производство

Поток на задачата от пробна и производствена

След като настройвам клъстер за хибридна защита на данни, можете да стартирате пилотен, да добавите потребители към него и да започнете да го използвате за тестване и проверка на внедряването си в подготовка за преминаване към производство.

Преди да започнете

1	Ако е приложимо, синхронизирайте `HdsTrialGroup` групов обект. Ако вашата организация използва синхронизиране на директории за потребители, трябва да изберете `HdsTrialGroup` групов обект за синхронизиране с облака, преди да можете да започнете пробна версия. За инструкции вижте Ръководство за разгръщане на Cisco Directory Connector.
2	Активирайте пробна версия Започнете изпитание. Докато не изпълните тази задача, вашите възли генерират аларма, показваща, че услугата все още не е активирана.
3	Тествайте внедряването на вашата хибридна защита на данните Проверете дали ключовите заявки преминават към внедряването на вашата хибридна защита на данните.
4	Наблюдавайте здравето на хибридната защита на данните Проверете състоянието и настройвам известия по имейл за аларми.
5	Добавяне или премахване на потребители от вашия пробен период
6	Завършете пробната фаза с едно от следните действия: Преминете от пробна версия към производствена Прекратете пробния си период, без да преминете към производство

Активирайте пробна версия

Преди да започнете

Ако вашата организация използва синхронизиране на директории за потребители, трябва да изберете HdsTrialGroup групов обект за синхронизиране с облака, преди да можете да започнете пробна версия за вашата организация. За инструкции вижте Ръководство за разгръщане на Cisco Directory Connector.

1	Влезте вhttps://admin.webex.com и след това изберете Услуги .
2	Под Hybrid Data Security щракнете върху Настройки .
3	В секцията Състояние на услугата щракнете Започнете пробна версия . Състоянието на услугата се променя на пробен режим.
4	Щракнете върху Добавяне на потребители и въведете имейл адрес на един или повече потребители за пилотно използване на вашите възли за хибридна защита на данните за услуги за криптиране и индексиране. (Ако вашата организация използва синхронизиране на директории, използвайте Active Directory , за да управлявате пробната група, `HdsTrialGroup`.)

Тествайте внедряването на вашата хибридна защита на данните

Използвайте тази процедура, за да тествате сценарии за криптиране на хибридна защита на данните.

Преди да започнете

Настройте внедряването на хибридната защита на данните.
Активирайте пробната версия и добавете няколко пробни потребители.
Уверете се, че имате достъп до системния журнал, за да проверите дали ключовите заявки се предават към внедряването на хибридната защита на данните.

1

Ключовете за дадено пространство се задават от създателя на пространството. Влезте в приложението Webex като един от пилотните потребители и след това създайте пространство и поканете поне един пилотен потребител и един непилотен потребител.

Ако деактивирате внедряването на хибридна защита на данните, съдържанието в пространствата, които пилотните потребители създават, вече няма да бъде достъпно, след като кешираните от клиента копия на ключовете за криптиране бъдат заменени.

2

Изпращайте съобщения до новото пространство.

3

Проверете изхода на системния журнал, за да се уверите, че ключовите заявки преминават към вашето внедряване на хибридна защита на данните.

За да проверите дали потребител първо установява защитен канал към KMS, филтрирайте kms.data.method=create и kms.data.type=EPHEMERAL_KEY_COLLECTION:

Трябва да намерите запис като следния (идентификаторите, съкратени за четливост):

2020-07-21 17:35:34.562 (+0000) INFO  KMS [pool-14-thread-1] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms://hds2.org5.portun.us/statickeys/3[~]0 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=EPHEMERAL_KEY_COLLECTION, 
kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2

За да проверите за потребител, който иска съществуващ ключ от KMS, филтрирайте kms.data.method=retrieve и kms.data.type=KEY:

Трябва да намерите запис като:

2020-07-21 17:44:19.889 (+0000) INFO  KMS [pool-14-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=retrieve, 
kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriHost=ciscospark.com, kms.data.type=KEY, 
kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b

За да проверите за потребител, който иска създаване на нов KMS ключ, филтрирайте kms.data.method=create и kms.data.type=KEY_COLLECTION:

Трябва да намерите запис като:

2020-07-21 17:44:21.975 (+0000) INFO  KMS [pool-14-thread-33] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, 
kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, 
kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b

За да проверите за потребител, който иска създаването на нов KMS Resource Object (KRO), когато се създаде пространство или друг защитен ресурс, филтрирайте върху kms.data.method=create и kms.data.type=RESOURCE_COLLECTION:

Трябва да намерите запис като:

2020-07-21 17:44:22.808 (+0000) INFO  KMS [pool-15-thread-1] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

Наблюдавайте здравето на хибридната защита на данните

индикатор на състоянието в Control Hub ви показва дали всичко е наред с внедряването на хибридната защита на данните. За по-проактивни сигнали, записвам се за известия по имейл. Ще бъдете уведомени, когато има аларми, засягащи услугата, или надстройки на софтуера.

1	В Контролен център , изберете Услуги от менюто в лявата част на екрана.
2	В секцията Хибридни услуги намерете Hybrid Data Security и щракнете Настройки . Появява се страницата Настройки за защита на хибридните данни.
3	В секцията Известия по Имейл въведете един или повече имейл адреси, разделени със запетаи, и натиснете Въведете .

Добавяне или премахване на потребители от вашия пробен период

След като активирате пробен период и сте добавили първоначалния набор от потребители на пробния период, можете да добавяте или премахвате членове на пробния период по всяко време, докато пробният период е активен.

Ако премахнете потребител от пробната версия, клиентът на потребителя ще поиска ключове и създаване на ключ от облачния KMS вместо от вашия KMS. Ако клиентът се нуждае от ключ, който се съхранява във вашия KMS, облачният KMS ще го извлече от името на потребителя.

Ако вашата организация използва синхронизиране на директории, използвайте Active Directory (вместо тази процедура), за да управлявате пробната група, HdsTrialGroup; можете да видите членовете на групата в Control Hub, но не можете да ги добавяте или премахвате.

1	Влезте в Control Hub и след това изберете Услуги .
2	Под Hybrid Data Security щракнете върху Настройки .
3	В секцията Пробен режим на зоната Състояние на услугата щракнете Добавяне на потребители , или щракнете преглед и редактиране за да премахнете потребителите от пробния период.
4	Въведете имейл адрес на един или повече потребители, които да добавите, или щракнете върху X чрез ИД на потребител , за да премахнете потребителя от пробната версия. След това щракнете Запазете .

Преминете от пробна версия към производствена

Когато сте доволни, че внедряването ви работи добре за пробните потребители, можете да преминете към производство. Когато преминете към производство, всички потребители в организацията ще използват вашия в помещението домейн за хибридна защита на данните за ключове за криптиране и други услуги от сферата на сигурността. Не можете да се върнете обратно към пробен режим от производство, освен ако не деактивирате услугата като част от възстановяване след срив. Повторното активиране на услугата изисква да настройвам нов пробен период.

1	Влезте в Control Hub и след това изберете Услуги .
2	Под Hybrid Data Security щракнете върху Настройки .
3	В секцията Състояние на услугата щракнете Преминете към Производство .
4	Потвърдете, че искате да преместите всичките си потребители в производствения режим.

Прекратете пробния си период, без да преминете към производство

Ако по време на пробния период решите да не продължите с внедряването на хибридната защита на данните, можете да деактивирате хибридната защита на данните, което приключва пробния период и премества пробните потребители обратно към услугите за сигурност на облачните данни. Потребителите на пробния период ще загубят достъп до данните, които са били криптирани по време на пробния период.

1	Влезте в Control Hub и след това изберете Услуги .
2	Под Hybrid Data Security щракнете върху Настройки .
3	В секцията Деактивиране щракнете Деактивирайте .
4	Потвърдете, че искате да деактивирате услугата и да прекратите пробния период.

Управлявайте внедряването на HDS

Управление на внедряването на HDS

Използвайте описаните тук задачи, за да управлявате внедряването на вашата хибридна защита на данните.

Задайте график за надграждане на клъстер

Софтуерните надстройки за хибридна защита на данните се извършват автоматично на ниво клъстер, което гарантира, че всички възли винаги работят с една и съща версия на софтуер. Надстройките се извършват според графика за надграждане на клъстера. Когато надстройката на софтуера стане налична, имате възможност да надстроите ръчно клъстера преди планираното време за надстройка. Можете да зададете конкретен график за надграждане или да използвате графика по подразбиране от 3:00 часа AM всеки ден Съединени щати: Америка/Лос Анджелис. Можете също да изберете да отложите предстояща надстройка, ако е необходимо.

За да зададете графика за надстройка:

1	Влезте в Контролен център .
2	На страницата Общ преглед под Хибридни услуги изберете Хибридна сигурност на данните .
3	На страницата Ресурси за защита на хибридни данни изберете клъстера.
4	В панела Преглед вдясно под Настройки на клъстера изберете името на клъстера.
5	На страницата Настройки, под Надстройка, изберете часа и часова зона за графика за надстройка. Забележка: Под часова зона се показва следващата налична дата и час за надстройка. Можете да отложите надстройката за следващия ден, ако е необходимо, като щракнете Отложете .

Променете конфигурацията на възела

Понякога може да се наложи да промените конфигурацията на вашия възел за хибридна защита на данните поради причина като:

Промяна на сертификати x.509 поради изтичане или други причини.

Не поддържаме промяна на име на домейн на сертификат. Домейнът трябва да съвпада с оригиналния домейн, използван за регистриране на клъстера.

Актуализиране на настройките на базата данни за промяна на реплика на базата данни PostgreSQL или Microsoft SQL Server.

Не поддържаме мигриране на данни от PostgreSQL към Microsoft SQL Server или по обратния начин. За да превключите средата на базата данни, започнете ново внедряване на хибридна защита на данните.

Създаване на нова конфигурация за подготовка на нов център за данни.

Също така, за целите на сигурността, Hybrid Data Security използва пароли за акаунт на услуга, които имат деветмесечен живот. След като инструментът за настройка на HDS генерира тези пароли, вие ги разгръщате във всеки от вашите HDS възли в ISO конфигурационния файл. Когато паролите на вашата организация изтичат, получавате известие от екипа на Webex да нулирате паролата за вашия акаунт на машината. (Имейлът включва текста „Използвайте API на акаунта на машината, за да актуализирате паролата.“) Ако вашите пароли все още не са изтекли, инструментът ви дава две опции:

Меко нулиране — И старата, и новата парола работят до 10 дни. Използвайте този период, за да замените постепенно ISO файла на възлите.
Твърдо нулиране —Старите пароли спират да работят незабавно.

Ако вашите пароли изтичат без нулиране, това се отразява на вашата HDS услуга, изисквайки незабавно твърдо нулиране и подмяна на ISO файла на всички възли.

Използвайте тази процедура, за да генерирате нов конфигурационен ISO файл и да го приложите към вашия клъстер.

Преди да започнете

Инструментът за настройка на HDS работи като Docker контейнер на локална машина. За да получите достъп до него, стартирайте Docker на тази машина. Процесът на настройка изисква идентификационни данни на акаунт в Control Hub с пълни администраторски права за вашата организация.

Ако инструментът за настройка на HDS работи зад прокси във вашата среда, предоставете настройките на прокси сървъра (сървър, порт, идентификационни данни) чрез променливите на средата на Docker, когато извеждате контейнера на Docker в 1.д . Тази таблица дава някои възможни променливи на средата:

Описание	Променлива
HTTP прокси без удостоверяване	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS прокси без удостоверяване	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP прокси с удостоверяване	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS прокси с удостоверяване	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Имате нужда от копие на текущия конфигурационен ISO файл, за да генерирате нова конфигурация. ISO съдържа главния ключ, криптиращ PostgreSQL или базата данни на Microsoft SQL Server. Имате нужда от ISO , когато правите промени в конфигурацията, включително идентификационни данни на базата данни, актуализации на сертификати или промени в политиката за оторизация.

1

Като използвате Docker на локална машина, стартирайте инструмента за настройка на HDS.

В командния ред на вашата машина въведете подходящата команда за вашата среда:

В редовна среда:

docker rmi ciscocitg/hds-setup:stable

В FedRAMP среди:

docker rmi ciscocitg/hds-setup-fedramp:stable

Тази стъпка почиства предишни изображения на инструмента за настройка на HDS. Ако няма предишни изображения, той връща грешка, която можете да игнорирате.

За да влизам в регистъра на изображенията на Docker, въведете следното:
```
docker login -u hdscustomersro
```
При подкана за парола въведете този хеш:
```
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
```

Изтеглете най-новото стабилно изображение за вашата среда:

В редовна среда:

docker pull ciscocitg/hds-setup:stable

В FedRAMP среди:

docker pull ciscocitg/hds-setup-fedramp:stable

Уверете се, че сте изтеглили най-новия инструмент за настройка за тази процедура. Версиите на инструмента, създадени преди 22 февруари 2018 г., нямат екрани за нулиране на паролата.

Когато изтеглянето завърши, въведете подходящата команда за вашата среда:

В обикновени среди без прокси:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

В обикновени среди с HTTP прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

В обикновени среди с HTTPSproxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

В FedRAMP среди без прокси:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

В FedRAMP среди с HTTP прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

В FedRAMP среди с HTTPS прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Когато контейнерът работи, виждате „Експресно слушане на сървър на порт 8080“.

Използвайте браузър, за да се свържете с локалния хост, http://127.0.0.1:8080.

Инструментът за настройка не поддържа свързване към localhost чрез http://localhost:8080 . Използвайтеhttp://127.0.0.1:8080 за да се свържете с локален хост.

Когато бъдете подканени, въведете вашите идентификационни данни за влизане в Control Hub и след това щракнете Приемам да продължи.
Импортирайте текущия конфигурационен ISO файл.
Следвайте подканите, за да завършите инструмента и да изтеглите актуализирания файл.

За да изключите инструмента за настройка, въведете CTRL+C.
Създайте резервно копие на актуализирания файл в друг център за данни.

2

Ако имате работещ само един HDS възел , създайте нов VM на възел за хибридна защита на данните и го регистрирайте с помощта на новия конфигурационен ISO файл. За по-подробни инструкции вж Създайте и регистрирайте още възли .

Инсталирайте HDS хост OVA.
Настройте HDS VM.
Монтирайте актуализирания конфигурационен файл.
Регистрирайте новия възел в Control Hub.

3

За съществуващи HDS възли, които изпълняват по-стария конфигурационен файл, монтирайте ISO файла. Изпълнете следната процедура на всеки възел на свой ред, като актуализирате всеки възел, преди да изключите следващия възел:

Изключете виртуална машина.
В левия навигационен панел на клиента VMware vSphere щракнете с щраквам с десния бутон върху VM и щракнете Редактиране на настройките .
Щракнете върху CD/DVD Drive 1, изберете опцията за монтиране от ISO файл и прегледайте мястото, където сте изтеглили новия конфигурационен ISO файл.
Проверете Свържете при включване .
Запазете промените си и включете виртуална машина.

4

Повторете стъпка 3, за да замените конфигурацията на всеки останал възел, който изпълнява старата конфигурация.

Изключете Blocked External DNS Resolution Mode

Когато регистрирате възел или проверявате прокси конфигурацията на възела, процесът тества търсенето на DNS и свързаността с облака на Cisco Webex . Ако DNS сървър на възела не може да разреши публични DNS имена, възелът автоматично преминава в режим на Blocked External DNS Resolution.

Ако вашите възли са в състояние да разрешават публични DNS имена чрез вътрешни DNS сървъри, можете да изключите този режим, като стартирате повторно теста за прокси връзка на всеки възел.

Преди да започнете

Уверете се, че вашите вътрешни DNS сървъри могат да разрешават публични DNS имена и че вашите възли могат да комуникират с тях.

1	В уеб браузър отворете интерфейса на възела на хибридната защита на данните (IP адрес/настройка, например,https://192.0.2.0/setup), въведете администраторските идентификационни данни, които сте настройвам за възела, и след това щракнете Влезте .
2	Отидете на Общ преглед (страницата по подразбиране). Когато е активирано, Блокирана външна DNS разделителна способност е настроен на да .
3	Отидете до Доверен магазин и прокси страница.
4	Щракнете върху Проверете прокси връзката . Ако видите съобщение, че външната DNS резолюция не е била успешна, възелът не е успял да достигне до DNS сървър и ще остане в този режим. В противен случай, след като рестартирате възела и се върнете към Общ преглед страница, Разделителната способност за блокиран външен DNS трябва да бъде зададена на не.

Какво да направите след това

Повторете теста на прокси връзката на всеки възел във вашия клъстер за хибридна защита на данните.

Премахване на възел

Използвайте тази процедура, за да премахнете възел за защита на хибридни данни от облака на Webex . След като премахнете възела от клъстера, изтрийте виртуална машина, за да предотвратите по-нататъшен достъп до вашите данни за сигурност.

1

Използвайте VMware vSphere клиента на вашия компютър, за да влезете във виртуалния хост на ESXi и да изключите виртуална машина.

2

Премахнете възела:

Влезте в Control Hub и след това изберете Услуги .
На картата за защита на хибридни данни щракнете Вижте всички за да се покаже страницата Ресурси за защита на хибридните данни.
Изберете своя клъстер, за да покажете неговия панел за преглед.
Щракнете върху Отворете списъка с възли .
В раздела Възли изберете възела, който искате да премахнете.
Щракнете върху Действия > Дерегистриране на възел .

3

В vSphere клиента изтрийте VM. (В левия навигационен панел щракнете с щраквам с десния бутон върху VM и щракнете Изтрийте .)

Ако не изтриете VM, не забравяйте да демонтирате конфигурационния ISO файл. Без ISO файла не можете да използвате VM за достъп до вашите данни за сигурност.

Възстановяване при бедствия с помощта на Център за данни в режим на готовност

Най-критичната услуга, която предоставя вашият клъстер за хибридна защита на данни, е създаването и съхранението на ключове, използвани за криптиране на съобщения и друго съдържание, съхранявано в облака на Webex . За всеки потребител в организацията, който е назначен към хибридна защита на данните, заявките за създаване на нови ключове се насочват към клъстера. Клъстерът е отговорен и за връщането на създадените от него ключове на всички потребители, упълномощени да ги извличат, например членове на пространство за разговор.

Тъй като клъстерът изпълнява критичната функция за предоставяне на тези ключове, наложително е клъстерът да продължи да работи и да се поддържат правилни резервни копия. Загубата на базата данни за хибридна защита на данните или на конфигурацията ISO , използвана за схемата, ще доведе до НЕВЪЗСТАНОВИМА ЗАГУБА на клиентско съдържание. Следните практики са задължителни за предотвратяване на такава загуба:

Ако бедствие причини внедряването на HDS в основния център за данни да стане недостъпно, следвайте тази процедура, за да преминете ръчно към резервния център за данни.

1

Стартирайте инструмента за настройка на HDS и следвайте стъпките, посочени в Създайте ISO конфигурация за HDS хостовете .

2

След като конфигурирате сървъра Syslogd, щракнете върху Разширени настройки

3

На Разширени настройки страница, добавете конфигурацията по-долу или премахнете passiveMode конфигурация, за да направи възела активен. Възелът може да обработва трафик, след като това е конфигурирано.


passiveMode: 'false'

4

Завършете процеса на конфигуриране и запазете ISO файла на място, което е лесно за намиране.

5

Направете резервно копие на ISO файла във вашата локална система. Пазете резервното копие сигурно. Този файл съдържа главен ключ за шифроване за съдържанието на базата данни. Ограничете достъпа само до онези администратори на Hybrid Data Security, които трябва да направят промени в конфигурацията.

6

В левия навигационен панел на клиента VMware vSphere щракнете с щраквам с десния бутон върху VM и щракнете Редактиране на настройките. .

7

Щракнете върху Редактиране на настройките > CD/ DVD устройство 1 и изберете Datastore ISO File.

Уверете се Свързани и Свържете при включване са проверени, така че актуализираните промени в конфигурацията да влязат в сила след стартиране на възлите.

8

Включете HDS възела и се уверете, че няма аларми за поне 15 минути.

9

Повторете процеса за всеки възел в център за данни в режим на готовност.

Проверете изхода на системния журнал, за да се уверите, че възлите на център за данни в режим на готовност не са в пасивен режим. „KMS, конфигуриран в пасивен режим“ не трябва да се появява в системните дневници.

Какво да направите след това

След отказ, ако основният център за данни стане отново активен, поставете център за данни в режим на готовност отново в пасивен режим, като следвате стъпките, описани в Настройте център за данни в режим на готовност за възстановяване при бедствия .

(По избор) Демонтирайте ISO след HDS конфигурация

Стандартната HDS конфигурация работи с монтиран ISO . Но някои клиенти предпочитат да не оставят ISO файловете непрекъснато монтирани. Можете да демонтирате ISO файла, след като всички HDS възли вземат новата конфигурация.

Все още използвате ISO файловете, за да правите промени в конфигурацията. Когато създавате нов ISO или актуализирате ISO чрез инструмента за настройка, трябва да монтирате актуализирания ISO на всичките си HDS възли. След като всичките ви възли приемат промените в конфигурацията, можете да демонтирате ISO отново с тази процедура.

Преди да започнете

Надстройте всичките си HDS възли до версия 2021.01.22.4720 или по-нова.

1	Изключете един от вашите HDS възли.
2	Във vCenter Server Appliance изберете HDS възела.
3	Изберете Редактиране на настройките > CD/ DVD устройство и премахнете отметката ISO файл на хранилище за данни .
4	Включете HDS възела и се уверете, че няма аларми за поне 20 минути.
5	Повторете последователно за всеки HDS възел.

Отстраняване на проблеми със сигурността на хибридните данни

Преглед на сигнали и отстраняване на неизправности

Разгръщането на хибридна защита на данните се счита за недостъпно, ако всички възли в клъстера са недостъпни или клъстерът работи толкова бавно, че изисква време за изчакване. Ако потребителите не могат да достигнат до вашия клъстер за защита на хибридни данни, те изпитват следните симптоми:

Не могат да се създават нови пространства (не може да се създадат нови ключове)
Съобщенията и заглавията на пространството не могат да се дешифрират за:
- Нови потребители, добавени към пространство (не могат да извлекат ключове)
- Съществуващи потребители в пространство, използващи нов клиент (не може да извлече ключове)
Съществуващите потребители в пространство ще продължат да работят успешно, докато техните клиенти имат кеш на ключовете за криптиране

Важно е правилно да наблюдавате своя клъстер за хибридна защита на данните и незабавно да адресирате всички предупреждения, за да избегнете прекъсване на услугата.

Предупреждения

Ако има проблем с настройката на хибридната защита на данните, Control Hub показва сигнали до администратора на организацията и изпраща имейли до конфигурирания имейл адрес. Сигналите обхващат много често срещани сценарии.

Таблица 1. Често срещани проблеми и стъпки за разрешаването им
Предупреждение	Действие
Грешка при достъп до локална база данни.	Проверете за грешки в базата данни или проблеми с локалната мрежа.
неуспешна връзка с локална база данни.	Проверете дали сървърът на сървър на база с данни е наличен и правилните идентификационни данни за акаунт на услуга са били използвани в конфигурацията на възел.
Грешка при достъп до облачна услуга.	Проверете дали възлите имат достъп до сървърите на Webex , както е посочено в Изисквания за външна свързаност .
Подновяване на регистрацията на облачна услуга.	Регистрацията в облачни услуги беше прекратена. Подновяването на регистрацията е в ход.
Регистрацията на облачна услуга отпадна.	Регистрацията в облачни услуги е прекратена. Услугата се изключва.
Услугата все още не е активирана.	Активирайте пробна версия или завършете преместването на пробната версия в производствен.
Конфигурираният домейн не съответства на сертификат на сървъра.	Уверете се, че вашият сертификат на сървъра съответства на конфигурирания домейн за активиране на услугата. Най-вероятната причина е, че CN на сертификата е наскоро променен и вече е различен от CN, който е бил използван по време на първоначалната настройка.
Удостоверяването на облачни услуги не бе успешно.	Проверете за точността и възможното изтичане на идентификационните данни за акаунт на услуга .
Неуспешно отваряне на файл с локално хранилище за ключове.	Проверете за целостта и точността на паролата във файла на локалното хранилище на ключове.
сертификат на сървъра е невалиден.	Проверете дата на изтичане на валидността or, shortened, дата на изтичане на сертификата на сървъра и потвърдете, че е издаден от доверен орган за сертификати.
Не може да се публикуват показатели.	Проверете достъпа на локалната мрежа до външни облачни услуги.
/media/configdrive/hds директорията не съществува.	Проверете конфигурацията за монтиране на ISO на виртуален хост. Проверете дали ISO файлът съществува, дали е конфигуриран да се монтира при рестартиране и че се монтира успешно.

Отстраняване на проблеми със сигурността на хибридните данни

Използвайте следните общи указания, когато отстранявате проблеми с Hybrid Data Security.

1	Прегледайте Control Hub за сигнали и коригирайте всички елементи, които намерите там.
2	Прегледайте изхода на syslog сървъра за активност от внедряването на хибридна защита на данните.
3	Контакт Поддръжка на Cisco .

Други бележки

Известни проблеми за сигурността на хибридните данни

Ако изключите своя клъстер за хибридна защита на данни (чрез го изтриете в Control Hub или като изключите всички възли), загубите своя конфигурационен ISO файл или загубите достъп до базата данни на хранилището на ключове, потребителите на вашето Webex App вече няма да могат да използват пространства под своите хора списък, които са създадени с ключове от вашия KMS. Това се отнася както за пробно, така и за производствено внедряване. Понастоящем нямаме решение или решение за този проблем и ви призоваваме да не изключвате вашите HDS услуги, след като те обработват активни потребителски акаунти.
Клиент, който има съществуваща ECDH връзка към KMS, поддържа тази връзка за определен период от време (вероятно един час). Когато потребителят стане член на пробна версия за хибридна защита на данните, клиентът на потребителя продължава да използва съществуващата ECDH връзка, докато не изтече. Като алтернатива, потребителят може да излизам отново в приложението Webex App, за да актуализира местоположението, с което приложението се свързва за ключове за криптиране.

Същото поведение се случва, когато преместите пробен период в производствен за организацията. Всички потребители без опит със съществуващи ECDH връзки към предишните услуги за сигурност на данните ще продължат да използват тези услуги, докато ECDH връзката не бъде предоговорена (чрез изчакване или чрез излизане и обратно).

Използвайте OpenSSL, за да генерирате PKCS12 файл

Преди да започнете

OpenSSL е един инструмент, който може да се използва за създаване на файла PKCS12 в правилния формат за зареждане в инструмента за настройка на HDS. Има и други начини да направите това и ние не подкрепяме или популяризираме един начин пред друг.
Ако решите да използвате OpenSSL, ние предоставяме тази процедура като насока, за да ви помогнем да създадете файл, който отговаря на изискванията на сертификата X.509 в X.509 Изисквания за сертификат . Разберете тези изисквания, преди да продължите.
Инсталирайте OpenSSL в поддържана среда. Вижhttps://www.openssl.org за софтуера и документацията.
Създайте частен ключ.
Започнете тази процедура, когато получите сертификат на сървъра от вашия орган за сертификати (CA).

1	Когато получите сертификат на сървъра от вашия CA, запазете го като `hdsnode.pem`.
2	Покажете сертификата като текст и проверете подробностите. `openssl x509 -text -noout -in hdsnode.pem`
3	Използвайте текстов редактор, за да създадете файл с пакет от сертификати, наречен `hdsnode-bundle.pem`. Пакетният файл трябва да включва сертификат на сървъра, всички междинни CA сертификати и сертификатите за основния CA във формат по-долу: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	Създайте .p12 файла с приятелското име `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Проверете подробностите за сертификат на сървъра . `openssl pkcs12 -in hdsnode.p12` Въведете парола при подкана, за да шифровате частния ключ, така че да бъде посочен в изхода. След това проверете дали частният ключ и първият сертификат включват редовете `friendlyName: kms-private-key`. Пример: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: <No Attributes> Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- <redacted> -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- <redacted> -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- <redacted> -----END CERTIFICATE-----

Какво да направите след това

Върнете се към Изпълнете предпоставките за хибридна защита на данните . Вие ще използвате hdsnode.p12 файл и паролата, която сте задали за него, в Създайте ISO конфигурация за HDS хостовете .

Можете да използвате повторно тези файлове, за да поискате нов сертификат, когато оригиналният сертификат изтече.

Трафик между HDS възлите и облака

Изходящ трафик за събиране на показатели

Възлите за хибридна защита на данните изпращат определени показатели към облака на Webex . Те включват системни метрики за макс. хеп, използван хеп, натоварване на CPU и брой нишки; метрики за синхронни и асинхронни нишки; показатели за сигнали, включващи праг на криптиращи връзки, латентност или дължина на опашката за заявки; метрики на хранилището за данни; и показатели за криптиране на връзката. Възлите изпращат криптиран ключов материал по извънлентов (отделен от заявката) канал.

Входящ трафик

Възлите за защита на хибридните данни получават следните типове входящ трафик от облака на Webex :

Заявки за криптиране от клиенти, които се насочват от услугата за криптиране
Надстройки на софтуера на възела

Конфигурирайте Squid прокси сървъри за хибридна защита на данните

Websocket не може да се свърже чрез Squid прокси

Squid прокси сървърите, които проверяват HTTPS трафика, могат да попречат на установяването на websocket ( wss:) връзки, които изисква Hybrid Data Security. Тези раздели дават насоки как да конфигурирате различни версии на Squid за игнориране wss: трафик за правилното функциониране на услугите.

Калмари 4 и 5

Добавете on_unsupported_protocol директива за squid.conf:

on_unsupported_protocol tunnel all

Калмари 3.5.27

Успешно тествахме хибридната защита на данните с добавени следните правила squid.conf. Тези правила подлежат на промяна, докато разработваме функции и актуализираме облака на Webex .

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Предговор

Нова и променена информация

Дата

Направени промени

20 октомври 2023 г

Актуализирана информация в Изисквания за сървър на база данни .
Добавено Настройте център за данни в режим на готовност за възстановяване при бедствия .
Актуализирана информация в Център за данни в режим на готовност за възстановяване при бедствия и Възстановяване при бедствия с помощта на Център за данни в режим на готовност .

07 август 2023 г

Добавена бележка в Изтеглете инсталационни файлове .
Добавена бележка в Създайте ISO конфигурация за HDS хостовете и Променете конфигурацията на възела .

23 май 2023 г

Изтрита информация от Изисквания за сървър на база данни да поискате функция да бъде активирана, като се свържете с екипа на акаунта.
Актуализирана информация в Изисквания за външна свързаност и добави Канада към таблицата с хостове на CI.
Добавена бележка в Очаквания за внедряване на хибридна защита на данните относно липсата на механизми за преместване на ключове обратно в облака.

06 декември 2022 г

Изображенията на HDS Setup Tool вече се хостват в ciscocitg хранилище на dockerhub.
Актуализиран Създайте ISO конфигурация за HDS хостовете и Променете конфигурацията на възела теми за отразяване на промените в командите.

23 ноември 2022 г

HDS възлите вече могат да използват удостоверяване на Windows срещу Microsoft SQL Server.

Актуализиран Изисквания за сървър на база данни тема с допълнителни изисквания за този режим на удостоверяване.

Актуализиран Създайте ISO конфигурация за HDS хостовете с процедурата за конфигуриране на удостоверяване на Windows на възлите.
Актуализиран Изисквания за сървър на база данни тема с нови минимално необходими версии (PostgreSQL 10).

13 октомври 2021 г

Docker Desktop трябва да стартира програма за настройка, преди да можете да инсталирате HDS възли. Виж Изисквания за работния плот на Docker .

24 юни 2021 г

Отбелязано е, че можете да използвате повторно файла с частен ключ и CSR , за да поискате друг сертификат. Виж Използвайте OpenSSL, за да генерирате PKCS12 файл за подробности.

30 април 2021 г.

Променено изискването за VM за локално пространство на твърдия диск на 30 GB. Виж Изисквания за виртуален хост за подробности.

24 февруари 2021 г

HDS Setup Tool вече може да работи зад прокси. Виж Създайте ISO конфигурация за HDS хостовете за подробности.

2 февруари 2021 г

HDS вече може да работи без монтиран ISO файл. Виж (По избор) Демонтирайте ISO след HDS конфигурация за подробности.

11 януари 2021 г

Добавена информация за инструмента за настройка на HDS и прокси сървърите към Създайте ISO конфигурация за HDS хостовете .

13 октомври 2020 г

Актуализиран Изтеглете инсталационни файлове .

08 октомври 2020 г.

Актуализиран Създайте ISO конфигурация за HDS хостовете и Променете конфигурацията на възела с команди за FedRAMP среди.

14 август 2020 г

Актуализиран Създайте ISO конфигурация за HDS хостовете и Променете конфигурацията на възела с промени в процеса на влизане.

5 август 2020 г

Актуализиран Тествайте внедряването на вашата хибридна защита на данните за промени в регистрационните съобщения.

Актуализиран Изисквания за виртуален хост за премахване на максимален брой хостове.

16 юни 2020 г

Актуализиран Премахване на възел за промени в потребителския интерфейс на Control Hub.

4 юни 2020 г

Актуализиран Създайте ISO конфигурация за HDS хостовете за промени в разширените настройки, които може да зададете.

29 май 2020 г

Актуализиран Създайте ISO конфигурация за HDS хостовете за да покажете, че можете също да използвате TLS с бази данни на SQL Server, промени в потребителския интерфейс и други разяснения.

5 май 2020 г

Актуализиран Изисквания за виртуален хост да покаже новото изискване на ESXi 6.5.

21 април 2020 г

Актуализиран Изисквания за външна свързаност с нови хостове на Америка CI.

1 април 2020 г.

Актуализиран Изисквания за външна свързаност с информация за регионалните CI хостове.

20 февруари 2020 г Актуализиран Създайте ISO конфигурация за HDS хостовете с информация за нов опционален екран с разширени настройки в инструмента за настройка на HDS.

4 февруари 2020 г Актуализиран Изисквания за прокси сървър .

16 декември 2019 г. Изяснява се изискването за работа в режим на разделяне на блокиран външен DNS Изисквания за прокси сървър .

19 ноември 2019 г

Добавена информация за Blocked External DNS Resolution Mode в следните раздели:

Прокси поддръжка
Конфигурирайте HDS възел за прокси интеграция
Изключете Blocked External DNS Resolution Mode

8 ноември 2019 г

Вече можете да конфигурирате мрежови настройки за възел, докато разгръщате OVA, а не след това.

Актуализирани съответно следните раздели:

Поток на задачи за внедряване на хибридна защита на данните
Инсталирайте HDS Host OVA
Настройте хибридната VM машина за защита на данните

Опцията за конфигуриране на мрежови настройки по време на внедряване на OVA е тествана с ESXi 6.5. Възможно е опцията да не е налична в по-ранните версии.

6 септември 2019 г

Добавен SQL Server Standard към Изисквания за сървър на база данни .

Август 29, 2019 Добавено Конфигурирайте Squid прокси сървъри за хибридна защита на данните приложение с насоки за конфигуриране на Squid прокси сървъри за игнориране на трафика от websocket за правилна работа.

20 август 2019 г

Добавени и актуализирани секции, за да покрият поддръжката на прокси за комуникации на възел за хибридна защита на данните към облака на Webex .

Прокси поддръжка
Изисквания за прокси сървър
Конфигурирайте HDS възел за прокси интеграция

За достъп само до съдържанието за поддръжка на прокси за съществуващо внедряване, вижте Прокси поддръжка за хибридна защита на данните и Webex Video Mesh помощна статия.

13 юни 2019 г Актуализиран Поток на задачата от пробна и производствена с напомняне за синхронизиране на HdsTrialGroup групов обект преди стартиране на пробна версия, ако вашата организация използва синхронизиране на директории.

6 март 2019 г

Изискванията и предпоставките са преместени в отделна глава, Подгответе вашата среда .
Добавен Поток на задачи за внедряване на хибридна защита на данните преглед в главата Създайте хибриден клъстер за сигурност на данните .

Отбелязано е, че докато не започнете пробна версия (като използвате инструкциите в следващата глава), вашите възли генерират аларма, показваща, че вашата услуга все още не е активирана.
Добавен Поток на задачата от пробна и производствена в главата Изпълнете пробна версия и преминете към производство .

Февруари 28, 2019

Коригирано е количеството локално пространство на твърдия диск на сървър, което трябва да заделите, когато подготвяте виртуалните хостове, които стават възли за хибридна защита на данните, от 50-GB на 20-GB, за да отразите размера на диска, който OVA създава.

26 февруари 2019 г.

Възлите за хибридна защита на данните вече поддържат криптирани връзки със сървъри на база данни PostgreSQL и криптирани връзки за регистриране към TLS-способен syslog сървър. Актуализиран Създайте ISO конфигурация за HDS хостовете с инструкции.
Премахнати целеви URL адреси от таблицата „Изисквания за интернет свързаност за хибридни виртуални машини за защита на данни“. Таблицата вече се отнася до списъка, поддържан в таблицата „Допълнителни URL адреси за хибридни услуги на Webex Teams“ на Мрежови изисквания за услугите на Webex Teams .

24 януари 2019 г

Hybrid Data Security вече поддържа Microsoft SQL Server като база данни. SQL Server Always On (Always On Failover Clusters и Always on Availability Groups) се поддържа от JDBC драйверите, които се използват в Hybrid Data Security. Добавено съдържание, свързано с внедряването със SQL Server.

Поддръжката на Microsoft SQL Server е предназначена само за нови разполагания на хибридната защита на данните. Понастоящем не поддържаме мигриране на данни от PostgreSQL към Microsoft SQL Server в съществуващо разполагане.

5 ноември 2018 г

Добавена е предварителна стъпка за почистване на всички съществуващи екземпляри на docker hds Създайте ISO конфигурация за HDS хостовете и Променете конфигурацията на възела .
Актуализирана стъпка за ниво на достъп до ключ Създайте ISO конфигурация за HDS хостовете за да съответства на интерфейса.

19 октомври 2018 г

Разделете информацията за връзката на защитната стена в изисквания за възел и изисквания за ISO конфигурация на машината Изпълнете предпоставките за хибридна защита на данните .

31 юли 2018 г

Добавен е порт 22 (SSH достъп) и информация за връзките на NAT и защитната стена Изпълнете предпоставките за хибридна защита на данните .

21 май 2018 г.

Променена терминология, за да отрази ребрандирането на Cisco Spark:

Cisco Spark Hybrid Data Security вече е Hybrid Data Security.
Приложението Cisco Spark вече е приложението Webex App.
Облакът на Cisco Collaboraton вече е облакът на Webex .

11 април 2018 г

Добавено Център за данни в режим на готовност за възстановяване при бедствия .
Актуализиран Изпълнете предпоставките за хибридна защита на данните за да посочите, че средата за архивиране трябва да бъде в различен център за данни.
Актуализиран Възстановяване при бедствия с помощта на Център за данни в режим на готовност .

22 февруари 2018 г

Добавена е информация за паролата за акаунт на услуга 9-месечен живот и използване на инструмента за настройка на HDS за нулиране на паролите за акаунт на услуга , в Създайте ISO конфигурация за HDS хостовете и Променете конфигурацията на възела .

15 февруари 2018

В X.509 Изисквания за сертификат таблица, посочи, че сертификатът не може да бъде сертификат с заместващ знак и че KMS използва домейна CN, а не всеки домейн, който е дефиниран в полетата на x.509v3 SAN.

18 януари 2018

Добавено приложение, Трафик между HDS възлите и облака .
Премахнат разрешен проблем от Известни проблеми за сигурността на хибридните данни .
Променен index.docker.io на *.docker.io и добавен *.cloudfront.net към списъка с изисквания за TCP свързаност за HDS възлите в Изпълнете предпоставките за хибридна защита на данните .
Актуализиран Създайте ISO конфигурация за HDS хостовете за да посочите, че ако хостът на базата данни и сървърът Syslogd не са DNS-разрешими от HDS възлите, трябва да ги конфигурирате с помощта на IP адреси.

2 ноември 2017 г

Изяснена синхронизация на директории на HdsTrialGroup.
Фиксирани инструкции за качване на ISO конфигурационен файл за монтиране към VM възлите.

18 август 2017 г

Публикувано за първи път

Започнете с хибридна защита на данните

Преглед на сигурността на хибридните данни

От първия ден сигурността на данните е основният фокус при проектирането на Webex App. Крайъгълният камък на тази сигурност е криптирането на съдържание от край до край, активирано от клиентите на Webex App, взаимодействащи с услугата за управление на ключове (KMS). KMS отговаря за създаването и управлението на криптографските ключове, които клиентите използват за динамично криптиране и декриптиране на съобщения и файлове.

По подразбиране всички клиенти на Webex App получават криптиране от край до край с динамични ключове, съхранявани в облачния KMS, в сферата на сигурността на Cisco. Hybrid Data Security премества KMS и други функции, свързани със сигурността, във вашия корпоративни данни , така че никой освен вас не държи ключовете за вашето криптирано съдържание.

Архитектура на сферата на сигурността

Облачната архитектура на Webex разделя различни видове услуги в отделни сфери или домейни на доверие, както е показано по-долу.

За да разберем по-добре хибридната защита на данните, нека първо разгледаме този чист облачен случай, където Cisco предоставя всички функции в своите облачни сфери. Услугата за самоличност, единственото място, където потребителите могат да бъдат пряко свързани с тяхната лична информация, като имейл адрес, е логически и физически отделена от сферата на сигурността в център за данни B. И двете от своя страна са отделени от сферата, където в крайна сметка се съхранява криптирано съдържание , в център за данни C.

В тази диаграма клиентът е приложението Webex , което се изпълнява на лаптоп на потребителя и е удостоверено с услугата за самоличност. Когато потребителят състави съобщение, което да изпрати до пространство, се изпълняват следните стъпки:

Клиентът установява защитена връзка с услугата за управление на ключове (KMS), след което иска ключ за криптиране на съобщението. защитена връзка използва ECDH, а KMS криптира ключа с помощта на главен ключ AES-256.
Съобщението е криптирано, преди да напусне клиента. Клиентът го изпраща до услугата за индексиране, която създава криптирани индекси за търсене, за да помогне при бъдещи търсения на съдържанието.
Шифрованото съобщение се изпраща до службата за съответствие за проверка на съответствието.
Шифрованото съобщение се съхранява в областта на съхранение.

Когато внедрите Hybrid Data Security, вие премествате функциите на областта на сигурността (KMS, индексиране и съответствие) във вашия в помещението център за данни. Другите облачни услуги, които съставляват Webex (включително самоличност и съхранение на съдържание), остават в сферата на Cisco.

Сътрудничество с други организации

Потребителите във вашата организация може редовно да използват приложението Webex , за да си сътрудничат с външни участници в други организации. Когато един от вашите потребители поиска ключ за пространство, което е собственост на вашата организация (защото е създадено от един от вашите потребители), вашият KMS изпраща ключа на клиента по защитен канал от ECDH. Въпреки това, когато друга организация притежава ключа за пространството, вашият KMS насочва заявката към облака на Webex през отделен ECDH канал, за да получи ключа от съответния KMS, и след това връща ключа на вашия потребител в оригиналния канал.

Услугата KMS, работеща в организация A, валидира връзките към KMS в други организации, използвайки x.509 PKI сертификати. Виж Подгответе вашата среда за подробности относно генерирането на сертификат x.509, който да използвате с внедряването на хибридната защита на данните.

Очаквания за внедряване на хибридна защита на данните

Внедряването на хибридна защита на данните изисква значителна ангажираност на клиента и осъзнаване на рисковете, които идват от притежаването на ключове за криптиране.

За да внедрите хибридна защита на данните, трябва да предоставите:

Сигурен център за данни в държава, която е a поддържано местоположение за плановете на Cisco Webex Teams .
Оборудването, софтуерът и достъпът до мрежата, описани в Подгответе вашата среда .

Пълната загуба на ISO конфигурацията, която създавате за Hybrid Data Security, или на базата данни, която предоставяте, ще доведе до загуба на ключовете. Загубата на ключ не позволява на потребителите да декриптират космическо съдържание и други криптирани данни в приложението Webex . Ако това се случи, можете да създадете ново внедряване, но ще се вижда само ново съдържание. За да избегнете загуба на достъп до данните, трябва:

Управлявайте архивирането и възстановяването на базата данни и ISO конфигурацията.
Бъдете готови да извършите бързо възстановяване след възстановяване след срив, ако възникне катастрофа, като повреда на диска на базата данни или катастрофа в център за данни за данни.

Няма механизъм за преместване на ключове обратно в облака след внедряване на HDS.

Процес на настройка на високо ниво

Този документ обхваща настройката и управлението на внедряване на хибридна защита на данните:

Настройте хибридна защита на данните —Това включва подготовка на необходимата инфраструктура и инсталиране на софтуер за хибридна защита на данните, тестване на внедряването ви с подгрупа потребители в пробен режим и, след като тестването приключи, преминаване към производство. Това преобразува цялата организация да използва вашия клъстер за хибридна защита на данните за функции за сигурност.
Фазите на настройка, тестване и производство са разгледани подробно в следващите три глави.
Поддържайте внедряването на хибридната защита на данните —Облакът Webex автоматично предоставя текущи надстройки. Вашият ИТ отдел може да осигури поддръжка от първо ниво за това внедряване и да ангажира Поддръжка на Cisco , ако е необходимо. Можете да използвате известия на екрана и да настройвам базирани на имейл сигнали в Control Hub.
Разберете общи сигнали, стъпки за отстраняване на неизправности и известни проблеми —Ако срещнете проблеми с внедряването или използването на хибридна защита на данните, последната глава от това ръководство и приложението Известни проблеми може да ви помогнат да определите и отстраните проблема.

Модел за внедряване на хибридна защита на данните

В рамките на вашия корпоративни данни вие внедрявате хибридна защита на данните като единичен клъстер от възли на отделни виртуални хостове. Възлите комуникират с облака Webex чрез защитени уебсокети и защитен HTTP.

По време на инсталационния процес ви предоставяме OVA файла, за да настройвам виртуалното устройство на предоставените от вас виртуални машини. Използвате инструмента за настройка на HDS, за да създадете ISO файл за персонализирана конфигурация на клъстер, който монтирате на всеки възел. Клъстерът за хибридна защита на данни използва предоставения от вас Syslogd сървър и база данни PostgreSQL или Microsoft SQL Server. (Конфигурирате данните за Syslogd и връзката към базата данни в инструмента за настройка на HDS.)

Модел за внедряване на хибридна защита на данните

Минималният брой възли, които можете да имате в клъстер, е два. Препоръчваме поне три, а вие можете да имате до пет. Наличието на множество възли гарантира, че услугата няма да бъде прекъсната по време на надграждане на софтуер или друга дейност по поддръжка на възел. (Облакът Webex надгражда само един възел в даден момент.)

Всички възли в клъстер имат достъп до едно и също ключово хранилище за данни и регистрират активността на един и същ сървър на системния журнал. Самите възли са без състояние и обработват ключови заявки по кръгова система, както е указано от облака.

Възлите стават активни, когато ги регистрирате в Control Hub. За да извадите отделен възел от експлоатация, можете да го дерегистрирате и по-късно да го регистрирате отново, ако е необходимо.

Ние поддържаме само един клъстер на организация.

Пробен режим за хибридна защита на данните

След като настроите внедряване на хибридна защита на данните, първо го изпробвате с набор от пилотни потребители. По време на пробния период тези потребители използват вашия в помещението домейн за хибридна защита на данните за ключове за криптиране и други услуги от сферата на сигурността. Другите ви потребители продължават да използват сферата на сигурността в облака.

Ако решите да не продължите с внедряването по време на пробния период и деактивирате услугата, пилотните потребители и всички потребители, с които са взаимодействали чрез създаване на нови пространства по време на пробния период, ще загубят достъп до съобщенията и съдържанието. Те ще видят „Това съобщение не може да бъде декриптирано“ в приложението Webex .

Ако сте доволни, че внедряването ви работи добре за пробните потребители и сте готови да разширите хибридната защита на данните за всичките си потребители, премествате внедряването в производствена. Пилотните потребители продължават да имат достъп до ключовете, които са били използвани по време на пробния период. Въпреки това, не можете да се движите напред-назад между производствения режим и първоначалния пробен период. Ако трябва да деактивирате услугата, като например да извършите възстановяване след възстановяване след срив, когато активирате повторно, трябва да започнете нова пробна версия и да настройвам набора от пилотни потребители за новия пробен период, преди да се върнете обратно към производствен режим. Дали потребителите ще запазят достъп до данни в този момент зависи от това дали сте поддържали успешно резервни копия на ключовото хранилище на данни и ISO конфигурационен файл за възлите за хибридна защита на данните във вашия клъстер.

Център за данни в режим на готовност за възстановяване при бедствия

По време на внедряването вие настройвам защитен център за данни в режим на готовност. В случай на бедствие в център за данни , можете ръчно да провалите внедряването си в център за данни в готовност.

Базите данни на активния и резервния центрове за данни са синхронизирани една с друга, което ще сведе до минимум времето, необходимо за извършване на отказ. ISO файлът на център за данни в режим на готовност се актуализира с допълнителни конфигурации, които гарантират, че възлите са регистрирани в организацията, но няма да обработват трафика. Следователно възлите на център за данни в режим на готовност винаги остават актуални с най-новата версия на HDS софтуера.

Активните възли за хибридна защита на данни трябва винаги да са в същия център за данни като активния сървър на база с данни.

Настройте център за данни в режим на готовност за възстановяване при бедствия

Следвайте стъпките по-долу, за да конфигурирате ISO файла на център за данни в режим на готовност:

Преди да започнете

Центърът за център за данни в готовност трябва да отразява производствената среда на VM и резервна база данни PostgreSQL или Microsoft SQL Server. Например, ако производството има 3 VM, работещи с HDS възли, средата за архивиране трябва да има 3 VM. (Виж Център за данни в режим на готовност за възстановяване при бедствия за преглед на този модел на отказ.)
Уверете се, че синхронизирането на базата данни е активирано между базата данни с активни и пасивни възли на клъстер.

1

Стартирайте инструмента за настройка на HDS и следвайте стъпките, посочени в Създайте ISO конфигурация за HDS хостовете .

ISO файлът трябва да бъде копие на оригиналния ISO файл на основния център за данни, върху който трябва да се направят следните актуализации на конфигурацията.

2

След като конфигурирате сървъра Syslogd, щракнете върху Разширени настройки

3

На Разширени настройки страница, добавете конфигурацията по-долу, за да поставите възела в пасивен режим. В този режим възелът ще бъде регистриран в организацията и ще бъде свързан към облака, но няма да обработва никакъв трафик.


passiveMode: 'true'

4

Завършете процеса на конфигуриране и запазете ISO файла на място, което е лесно за намиране.

5

Направете резервно копие на ISO файла във вашата локална система. Пазете резервното копие сигурно. Този файл съдържа главен ключ за шифроване за съдържанието на базата данни. Ограничете достъпа само до онези администратори на Hybrid Data Security, които трябва да направят промени в конфигурацията.

6

В левия навигационен панел на клиента VMware vSphere щракнете с щраквам с десния бутон върху VM и щракнете Редактиране на настройките. .

7

Щракнете върху Редактиране на настройките > CD/ DVD устройство 1 и изберете Datastore ISO File.

Уверете се Свързани и Свържете при включване са проверени, така че актуализираните промени в конфигурацията да влязат в сила след стартиране на възлите.

8

Включете HDS възела и се уверете, че няма аларми за поне 15 минути.

9

Повторете процеса за всеки възел в център за данни в режим на готовност.

Проверете системните журнали, за да проверите дали възлите са в пасивен режим. Трябва да можете да видите съобщението „KMS конфигуриран в пасивен режим“ в системните дневници.

Какво да направите след това

След конфигуриране passiveMode в ISO файла и го запишете, можете да създадете друго копие на ISO файла без passiveMode конфигурация и я запазете на сигурно място. Това копие на ISO файла без passiveMode configured може да помогне за бърз процес на отказ по време на възстановяване след срив. Виж Възстановяване при бедствия с помощта на Център за данни в режим на готовност за подробната процедура за отказване.

Прокси поддръжка

Hybrid Data Security поддържа изрични, прозрачни инспектиращи и непроверяващи прокси сървъри. Можете да свържете тези прокси сървъри към вашето внедряване, така че да можете да защитите и наблюдавате трафика от предприятието към облака. Можете да използвате интерфейс за администратор на платформата на възлите за управление на сертификати и за проверка на цялостното състояние на свързаност, след като настройвам прокси сървъра на възлите.

Възлите за защита на хибридните данни поддържат следните прокси опции:

Без прокси —По подразбиране, ако не използвате настройката на HDS възел Trust Store & Proxy конфигурация за интегриране на прокси. Не се изисква актуализация на сертификата.
Прозрачен неинспектиращ прокси — Възлите не са конфигурирани да използват конкретен адрес на прокси сървър и не трябва да изискват никакви промени, за да работят с неинспектиращ прокси сървър. Не се изисква актуализация на сертификата.
Прозрачно тунелиране или проверка на прокси — Възлите не са конфигурирани да използват конкретен адрес на прокси сървър . Не са необходими промени в конфигурацията на HTTP или HTTPS на възлите. Възлите обаче се нуждаят от главен сертификат , така че да имат доверие на проксито. Проверяващите прокси сървъри обикновено се използват от ИТ за налагане на политики за това кои уебсайтове могат да бъдат посещавани и кои видове съдържание не са разрешени. Този тип прокси декриптира целия ви трафик (дори HTTPS).
Изрично прокси —С изричен прокси вие казвате на HDS възлите кой прокси сървър и схема за удостоверяване да използват. За да конфигурирате изрично прокси, трябва да въведете следната информация на всеки възел:
1. Прокси IP/ FQDN — Адрес, който може да се използва за достигане до прокси машината.
2. Прокси порт —Номер на номер на порт , който проксито използва за прослушване на прокси трафик.
3. Прокси протокол — В зависимост от това какво поддържа вашият прокси сървър , изберете между следните протоколи:
  - HTTP – Преглежда и контролира всички заявки, които клиентът изпраща.
  - HTTPS – Предоставя канал към сървъра. Клиентът получава и валидира сертификата на сървъра.
4. Тип на удостоверяването — Изберете измежду следните типове удостоверяване:
  - Няма — не се изисква допълнително удостоверяване.
    
    Достъпно, ако изберете HTTP или HTTPS като прокси протокол.
  - Основен —Използва се за HTTP потребителски агент за предоставяне на потребителско име и парола при отправяне на заявка. Използва Base64 кодиране.
    
    Достъпно, ако изберете HTTP или HTTPS като прокси протокол.
    
    Изисква да въведете потребителско име и парола на всеки възел.
  - Дайджест —Използва се за потвърждение на акаунта преди изпращане на чувствителна информация. Прилага хеш функция върху потребителското име и паролата преди изпращане по мрежата.
    
    Достъпно само ако изберете HTTPS като прокси протокол.
    
    Изисква да въведете потребителско име и парола на всеки възел.

Пример за хибридни възли за защита на данни и прокси

Тази диаграма показва примерна връзка между хибридната защита на данните, мрежата и прокси сървъра. За опциите за прозрачна проверка и HTTPS изрична проверка на прокси сървъра, един и същ главен сертификат трябва да бъде инсталиран на прокси сървъра и на възлите за хибридна защита на данните.

Блокиран режим на разделителна способност на външен DNS (изрични прокси конфигурации)

Когато регистрирате възел или проверявате прокси конфигурацията на възела, процесът тества търсенето на DNS и свързаността с облака на Cisco Webex . При разгръщания с изрични прокси конфигурации, които не позволяват външна DNS резолюция за вътрешни клиенти, ако възелът не може да запита DNS сървърите, той автоматично преминава в режим на блокирана външна DNS разделителна способност. В този режим могат да продължат регистрацията на възел и други тестове за прокси свързаност.

Подгответе вашата среда

Изисквания за хибридна сигурност на данните

Изисквания за лиценз на Cisco Webex

За да внедрите хибридна защита на данните:

Трябва да имате Pro Pack за Cisco Webex Control Hub. (Вижhttps://www.cisco.com/go/pro-pack .)

Изисквания за работния плот на Docker

Преди да инсталирате своите HDS възли, имате нужда от Docker Desktop, за да стартирате програма за настройка. Docker наскоро актуализира своя модел на лицензиране. Вашата организация може да изисква платен абонамент за Docker Desktop. За подробности вижте публикацията в блога на Docker, " Docker актуализира и разширява нашите абонаменти за продукти ".

X.509 Изисквания за сертификат

верига за сертификати трябва да отговаря на следните изисквания:

Таблица 1. Изисквания за сертификат X.509 за внедряване на хибридна защита на данни
Изискване	Подробности
Подписано от доверен орган за сертификати (CA)	По подразбиране ние вярваме на CA в списъка на Mozilla (с изключение на WoSign и StartCom) наhttps://wiki.mozilla.org/CA:IncludedCAs .
Носи име на име на домейн с общо име (CN), което идентифицира вашето внедряване на хибридна защита на данните Не е заместващ сертификат	CN не е необходимо да е достъпен или да е домакин на живо. Препоръчваме ви да използвате име, което отразява вашата организация, напр. `hds.company.com`. CN не трябва да съдържа * (уместен знак). CN се използва за проверка на възлите за хибридна защита на данните към клиентите на Webex App. Всички възли за хибридна защита на данните във вашия клъстер използват един и същ сертификат. Вашият KMS се идентифицира с помощта на домейна CN, а не всеки домейн, който е дефиниран в полетата на x.509v3 SAN. След като сте регистрирали възел с този сертификат, ние не поддържаме промяна на име на домейн. Изберете домейн, който може да се прилага както за пробното, така и за производственото внедряване.
Не-SHA1 подпис	Софтуерът KMS не поддържа SHA1 подписи за валидиране на връзки с KMS на други организации.
Форматиран като защитен с парола файл PKCS #12 Използвайте приятелското име на `kms-private-key` за да маркирате сертификата, частния ключ и всички междинни сертификати за качване.	Можете да използвате конвертор като OpenSSL, за да промените формата на вашия сертификат. Ще трябва да въведете паролата, когато стартирате инструмента за настройка на HDS.

Софтуерът KMS не налага използването на ключове или разширените ограничения за използване на ключове. Някои сертифициращи органи изискват разширените ограничения за използване на ключ да се прилагат към всеки сертификат, като например удостоверяване на сървъра. Добре е да използвате удостоверяването на сървъра или други настройки.

Изисквания за виртуален хост

Виртуалните хостове, които ще настройвам като възли за хибридна защита на данните във вашия клъстер, имат следните изисквания:

Най-малко два отделни хоста (препоръчани 3), разположени в един и същ защитен център за данни
VMware ESXi 6.5 (или по-нова версия) е инсталиран и работи.

Трябва да надстроите, ако имате по-ранна версия на ESXi.
Минимум 4 vCPU, 8 GB основна памет, 30 GB локално пространство на твърдия диск на сървър

Изисквания за сървър на база данни

Създайте нова база данни за съхранение на ключове. Не използвайте базата данни по подразбиране. Приложенията HDS, когато са инсталирани, създават схемата на базата данни.

Има две опции за сървър на база с данни. Изискванията за всеки са както следва:

Таблица 2. Изисквания към сървъра за бази данни по тип база данни

PostgreSQL

Microsoft SQL Server

PostgreSQL 14, 15 или 16, инсталиран и работещ.

Инсталиран SQL Server 2016, 2017 или 2019 (Enterprise или Standard).

SQL Server 2016 изисква Service Pack 2 и Кумулативна актуализация 2 или по-нова версия.

Минимум 8 vCPU, 16 GB основна памет, достатъчно място на твърдия диск и наблюдение, за да се гарантира, че няма превишаване (препоръчва се 2 TB, ако искате да работите с базата данни за дълго време, без да е необходимо да увеличавате паметта)

Софтуерът HDS в момента инсталира следните версии на драйвери за комуникация със сървъра на сървър на база с данни:

PostgreSQL

Microsoft SQL Server

Postgres JDBC драйвер 42.2.5

SQL Server JDBC драйвер 4.6

Тази версия на драйвера поддържа SQL Server Always On ( Винаги включен екземпляр на клъстер при отказ и Групи за наличност Always On ).

Допълнителни изисквания за удостоверяване на Windows срещу Microsoft SQL Server

Ако искате HDS възлите да използват удостоверяване на Windows, за да получат достъп до вашата база данни за ключове на Microsoft SQL Server, тогава имате нужда от следната конфигурация във вашата среда:

HDS възлите, инфраструктурата на Active Directory и MS SQL Server трябва да бъдат синхронизирани с NTP.
Windows акаунтът, който предоставяте на HDS възлите, трябва да има достъп за четене/запис до базата данни.
DNS сървърите, които предоставяте на HDS възлите, трябва да могат да разрешат вашия център за разпространение на ключове (KDC).
Можете да регистрирате екземпляра на база данни HDS на вашия Microsoft SQL Server като име на принципал на услуга (SPN) във вашата Active Directory. Виж Регистрирайте главно име на услуга за връзки с Kerberos .

Инструментът за настройка на HDS, HDS стартерът и локалният KMS трябва да използват удостоверяване на Windows за достъп до базата данни на хранилището за ключове. Те използват детайлите от вашата ISO конфигурация, за да конструират SPN, когато искат достъп с удостоверяване на Kerberos.

Изисквания за външна свързаност

Конфигурирайте вашата защитна стена, за да разрешите следната свързаност за HDS приложенията:

Приложение	Протокол	Порт	Упътване от ап	Дестинация
Възли за хибридна защита на данните	TCP	443	Изходящ HTTPS и WSS	Webex сървъри: .wbx2.com .ciscospark.com Всички хостове за обща идентичност Други URL адреси, които са изброени за хибридна защита на данните в Допълнителни URL адреси за хибридни услуги на Webex таблица на Мрежови изисквания за услугите на Webex
Инструмент за настройка на HDS	TCP	443	Изходящ HTTPS	*.wbx2.com Всички хостове за обща идентичност hub.docker.com

Възлите за хибридна защита на данните работят с транслация на мрежов достъп (NAT) или зад защитна стена, стига NAT или защитната стена да позволяват необходимите изходящи връзки към дестинациите на домейна в предходната таблица. За връзки, които отиват към възлите за хибридна защита на данните, не трябва да се виждат портове от интернет. В рамките на вашия център за данни клиентите се нуждаят от достъп до възлите за хибридна защита на данните на TCP портове 443 и 22 за административни цели.

URL адресите за хостовете за обща идентичност (CI) са специфични за региона. Това са текущите CI хостове:

Регион	Общи URL адреси на хост за самоличност
Северна и Южна Америка	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Европейски съюз	https://idbroker-eu.webex.com https://identity-eu.webex.com
Канада	https://idbroker-ca.webex.com https://identity-ca.webex.com

Изисквания за прокси сървър

Ние официално поддържаме следните прокси решения, които могат да се интегрират с вашите възли за хибридна защита на данните.

Прозрачен прокси — Cisco интернет Security Appliance (WSA).

Изрично прокси – Squid.

Squid прокси сървърите, които проверяват HTTPS трафика, могат да попречат на установяването на websocket (wss:) връзки. За да заобиколите този проблем, вж Конфигурирайте Squid прокси сървъри за хибридна защита на данните .

Поддържаме следните комбинации от типове удостоверяване за изрични прокси сървъри:
- Няма удостоверяване с HTTP или HTTPS
- Основно удостоверяване с HTTP или HTTPS
- Дайджест удостоверяване само с HTTPS
За прозрачно проверяващо прокси или HTTPS изрично прокси, трябва да имате копие на главен сертификат на проксито. Инструкциите за внедряване в това ръководство ви казват как да качите копието в хранилищата за доверие на възлите за хибридна защита на данните.
Мрежата, хостваща HDS възлите, трябва да бъде конфигурирана да принуди изходящия TCP трафик към порт 443 да се маршрутизира през прокси сървъра.
Прокси сървърите, които проверяват уеб трафика, могат да попречат на връзките на уеб сокет. Ако възникне този проблем, заобикаляне (без проверка) на трафика към wbx2.com и ciscospark.com ще реши проблема.

Изпълнете предпоставките за хибридна защита на данните

Използвайте този контролен списък, за да се уверите, че сте готови да инсталирате и конфигурирате своя клъстер за хибридна защита на данните.

1

Уверете се, че вашата организация Webex е активирана за Pro Pack за Cisco Webex Control Hub и получете идентификационните данни за акаунт с пълни администраторски права на организация. Свържете се с вашия партньор на Cisco или мениджър на акаунт за помощ с този процес.

2

Изберете име на домейн за внедряването на HDS (например hds.company.com) и да получите верига за сертификати, съдържаща сертификат X.509, частен ключ и всякакви междинни сертификати. верига за сертификати трябва да отговаря на изискванията в X.509 Изисквания за сертификат .

3

Подгответе идентични виртуални хостове, които ще настройвам като възли за хибридна защита на данните във вашия клъстер. Имате нужда от поне два отделни хоста (3 препоръчани), разположени в един и същ защитен център за данни, които отговарят на изискванията в Изисквания за виртуален хост .

4

Подгответе сървър на база с данни , който ще действа като хранилище на данни за клъстера, според Изисквания за сървър на база данни . Сървърът на сървър на база с данни трябва да бъде разположен в защитения център за данни с виртуалните хостове.

Създайте база данни за съхранение на ключове. (Трябва да създадете тази база данни - не използвайте базата данни по подразбиране. Приложенията HDS, когато са инсталирани, създават схемата на базата данни.)
Съберете подробностите, които възлите ще използват за комуникация със сървъра на сървър на база с данни:
- име на домакина или IP адрес (хост) и порта
- името на базата данни (dbname) за съхранение на ключове
- потребителското име и паролата на потребител с всички привилегии в базата данни за съхранение на ключове

5

За бързо възстановяване след срив, настройвам среда за архивиране в различен център за данни. Архивната среда отразява производствената среда на виртуални машини и сървър за архивиране на сървър на база с данни. Например, ако производството има 3 VM, работещи с HDS възли, средата за архивиране трябва да има 3 VM.

6

Настройте хост на syslog за събиране на регистрационни файлове от възлите в клъстера. Съберете неговия мрежов адрес и порт на системния журнал (по подразбиране е UDP 514).

7

Създайте защитена политика за архивиране за възлите за хибридна защита на данните, сървър на база с данни и хоста на системния журнал. Като минимум, за да предотвратите невъзстановима загуба на данни, трябва да архивирате базата данни и конфигурационния ISO файл, генериран за възлите за хибридна защита на данните.

Тъй като възлите за защита на хибридните данни съхраняват ключовете, използвани за криптиране и декриптиране на съдържание, неспособността да се поддържа оперативно внедряване ще доведе до НЕВЪЗСТАНОВИМА ЗАГУБА от това съдържание.

Клиентите на Webex App кешират своите ключове, така че прекъсването може да не се забележи веднага, но ще стане очевидно с времето. Докато временните прекъсвания са невъзможни за предотвратяване, те са възстановими. Въпреки това, пълната загуба (няма налични резервни копия) на базата данни или конфигурационния ISO файл ще доведе до невъзстановими клиентски данни. Очаква се операторите на възлите за хибридна защита на данни да поддържат чести архиви на базата данни и конфигурационния ISO файл и да бъдат готови да изградят отново център за данни, ако възникне катастрофална повреда.

8

Уверете се, че конфигурацията на защитната ви стена позволява свързаност за вашите възли за хибридна защита на данните, както е посочено в Изисквания за външна свързаност .

9

Инсталирайте Docker (https://www.docker.com ) на всяка локална машина, работеща с поддържана операционна система (Microsoft Windows 10 Professional или Enterprise 64-битова, или Mac OSX Yosemite 10.10.3 или по-нова) с уеб браузър, който има достъп до нея на http://127.0.0.1:8080.

Използвате екземпляра на Docker, за да изтеглите и стартирате инструмента за настройка на HDS, който изгражда информация за конфигуриране за всички възли за защита на хибридните данни. Вашата организация може да се нуждае от лиценз за Docker Desktop. Виж Изисквания за работния плот на Docker за повече информация.

За да инсталирате и стартирате инструмента за настройка на HDS, локалната машина трябва да има очертана свързаност Изисквания за външна свързаност .

10

Ако интегрирате прокси с Hybrid Data Security, уверете се, че отговаря на Изисквания за прокси сървър .

11

Ако вашата организация използва синхронизиране на директории, създайте група в Active Directory , наречена HdsTrialGroup и добавете пилотни потребители. Пробната група може да има до 250 потребители. На HdsTrialGroup обектът трябва да бъде синхронизиран с облака, преди да можете да започнете пробна версия за вашата организация. За да синхронизирате групов обект, изберете го в конектора на директория Конфигурация > Избор на обект меню. (За подробни инструкции вижте Ръководство за разгръщане на Cisco Directory Connector. )

Ключовете за дадено пространство се задават от създателя на пространството. Когато избирате пилотни потребители, имайте предвид, че ако решите да деактивирате за постоянно внедряването на Hybrid Data Security, всички потребители губят достъп до съдържание в пространствата, създадени от пилотните потребители. Загубата става очевидна веднага щом приложенията на потребителите обновят своите кеширани копия на съдържанието.

Създайте хибриден клъстер за сигурност на данните

Поток на задачи за внедряване на хибридна защита на данните

Преди да започнете

1

Изтеглете OVA файла на вашата локална машина за по-късна употреба.

2

Използвайте инструмента за настройка на HDS, за да създадете ISO конфигурационен файл за възлите за хибридна защита на данните.

3

Настройте хибридната VM машина за защита на данните

Създайте виртуална машина от файла OVA и извършете първоначална конфигурация, като мрежови настройки.

Опцията за конфигуриране на мрежови настройки по време на внедряване на OVA е тествана с ESXi 6.5. Възможно е опцията да не е налична в по-ранните версии.

4

Влезте в конзолата на VM и задайте идентификационните данни за вход. Конфигурирайте мрежови настройки за възела, ако не сте ги конфигурирали по време на внедряването на OVA.

5

Конфигурирайте VM от ISO конфигурационен файл , който сте създали с инструмента за настройка на HDS.

6

Ако мрежовата среда изисква конфигурация на прокси сървър, посочете типа прокси, който ще използвате за възела, и добавете прокси сертификата към хранилището за доверие, ако е необходимо.

7

Регистрирайте VM с облака на Cisco Webex като възел за хибридна защита на данните.

8

Завършете настройката на клъстера.

9

Изпълнете пробна версия и преминете към производство (следваща глава)

Докато не започнете пробна версия, вашите възли генерират аларма, показваща, че вашата услуга все още не е активирана.

Изтеглете инсталационни файлове

В тази задача изтегляте OVA файл на вашата машина (не на сървърите, които сте настройвам като възли за хибридна защита на данните). Използвате този файл по-късно в процеса на инсталиране.

1

Влезте вhttps://admin.webex.com и след това щракнете Услуги .

2

В секцията Хибридни услуги намерете картата за защита на хибридни данни и след това щракнете Настройте .

Ако картата е деактивирана или не я виждате, свържете се с екипа на акаунта си или с партньорската си организация. Дайте им номера на вашата сметка и поискайте да активирате вашата организация за хибридна защита на данните. За да намерите номера на сметката, щракнете върху зъбното колело горе вдясно до името на вашата организация.

Можете също да изтеглите OVA по всяко време от Помощ раздел за Настройки страница. На картата за защита на хибридни данни щракнете Редактиране на настройките за да отворите страницата. След това щракнете Изтеглете софтуера за хибридна защита на данните в Помощ раздел.

По-старите версии на софтуерния пакет (OVA) няма да са съвместими с най-новите надстройки за хибридна защита на данните. Това може да доведе до проблеми при надграждане на приложението. Уверете се, че сте изтеглили най-новата версия на файла OVA.

3

Изберете не за да посочите, че все още не сте настройвам възела, и след това щракнете Следваща .

OVA файлът автоматично започва да се изтегля. Запазете файла на място на вашата машина.

4

По желание щракнете Отворете Ръководство за разгръщане за да проверите дали има налична по-нова версия на това ръководство.

Създайте ISO конфигурация за HDS хостовете

Процесът на настройка на хибридната защита на данните създава ISO файл. След това използвате ISO , за да конфигурирате вашия хост за хибридна защита на данни.

Преди да започнете

Инструментът за настройка на HDS работи като Docker контейнер на локална машина. За да получите достъп до него, стартирайте Docker на тази машина. Процесът на настройка изисква идентификационни данни на акаунт в Control Hub с пълни администраторски права за вашата организация.

Ако инструментът за настройка на HDS работи зад прокси във вашата среда, предоставете настройките на прокси сървъра (сървър, порт, идентификационни данни) чрез променливите на средата на Docker, когато извеждате Docker контейнера в стъпка 5 . Тази таблица дава някои възможни променливи на средата:

Описание	Променлива
HTTP прокси без удостоверяване	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS прокси без удостоверяване	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP прокси с удостоверяване	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS прокси с удостоверяване	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Конфигурационният ISO файл, който генерирате, съдържа главния ключ, криптиращ PostgreSQL или базата данни на Microsoft SQL Server. Имате нужда от последното копие на този файл всеки път, когато правите промени в конфигурацията, като тези:
- Данни за база данни
- Актуализации на сертификата
- Промени в политиката за оторизация
Ако планирате да шифровате връзките към базата данни, настройвам внедряването на PostgreSQL или SQL Server за TLS.

1

В командния ред на вашата машина въведете подходящата команда за вашата среда:

В редовна среда:

docker rmi ciscocitg/hds-setup:stable

В FedRAMP среди:

docker rmi ciscocitg/hds-setup-fedramp:stable

Тази стъпка почиства предишни изображения на инструмента за настройка на HDS. Ако няма предишни изображения, той връща грешка, която можете да игнорирате.

2

За да влизам в регистъра на изображенията на Docker, въведете следното:

docker login -u hdscustomersro

3

При подкана за парола въведете този хеш:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Изтеглете най-новото стабилно изображение за вашата среда:

В редовна среда:

docker pull ciscocitg/hds-setup:stable

В FedRAMP среди:

docker pull ciscocitg/hds-setup-fedramp:stable

5

Когато изтеглянето завърши, въведете подходящата команда за вашата среда:

В обикновени среди без прокси:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

В обикновени среди с HTTP прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

В обикновени среди с HTTPS прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

В FedRAMP среди без прокси:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

В FedRAMP среди с HTTP прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

В FedRAMP среди с HTTPS прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Когато контейнерът работи, виждате „Експресно слушане на сървър на порт 8080“.

6

Инструментът за настройка не поддържа свързване към localhost чрез http://localhost:8080 . Използвайтеhttp://127.0.0.1:8080 за да се свържете с локален хост.

Използвайте уеб браузър, за да отидете на локалния хост, http://127.0.0.1:8080 и въведете потребителско име на администратор на клиента за Control Hub при подкана.

Инструментът използва това първо въвеждане на потребителското име, за да зададе подходящата среда за този акаунт. След това инструментът показва стандартната подкана за вход.

7

Когато бъдете подканени, въведете вашите идентификационни данни за вход на администратор на клиента Control Hub и след това щракнете Влезте за да разрешите достъп до необходимите услуги за хибридна защита на данните.

8

На страницата за преглед на инструмента за настройка щракнете Започнете .

9

На ISO импортиране страница, имате следните опции:

не —Ако създавате първия си HDS възел, нямате ISO файл за качване.
да —Ако вече сте създали HDS възли, тогава избирате своя ISO файл в прегледа и го качвате.

10

Проверете дали вашият сертификат X.509 отговаря на изискванията в X.509 Изисквания за сертификат .

Ако никога досега не сте качвали сертификат, качете сертификата X.509, въведете паролата и щракнете Продължете .
Ако сертификатът ви е ОК, щракнете Продължете .
Ако вашият сертификат е изтекъл или искате да го замените, изберете не за Да продължите ли да използвате верига за сертификати и частен ключ от предишен ISO? . Качете нов сертификат X.509, въведете паролата и щракнете Продължете .

11

Въведете адреса на базата данни и акаунт за HDS за достъп до вашето ключово хранилище за данни:

Изберете своя Тип база данни ( PostgreSQL или Microsoft SQL Server ).

Ако изберете Microsoft SQL Server , получавате поле Тип на удостоверяването .
( Microsoft SQL Server само) Изберете своя Тип на удостоверяването :
- Основно удостоверяване : Имате нужда от име на профила в SQL Server в Потребителско име поле.
- Удостоверяване на Windows : Нуждаете се от акаунт в Windows във формата username@DOMAIN в Потребителско име поле.
Въведете адреса на сървър на база с данни във формуляра <hostname>:<port> или <IP-address>:<port>.

Пример:
dbhost.example.org:1433 или 198.51.100.17:1433

Можете да използвате IP адрес за основно удостоверяване, ако възлите не могат да използват DNS за разрешаване на името на хоста.

Ако използвате удостоверяване на Windows, трябва да въведете напълно квалифицирано име на домейн във формата dbhost.example.org:1433
Въведете Име на базата данни .
Въведете Потребителско име и парола на потребител с всички привилегии в базата данни за съхранение на ключове.

12

Изберете a TLS режим на връзка с база данни :

Режим

Описание

Предпочитайте TLS (опция по подразбиране)

HDS възлите не изискват TLS за свързване към сървъра на сървър на база с данни. Ако активирате TLS на сървъра на сървър на база с данни, възлите се опитват да установят криптирана връзка.

Изисквайте TLS

HDS възлите се свързват само ако сървърът на сървър на база с данни може да договаря TLS.

Изисквайте TLS и потвърдете подписващия сертификат

Този режим не е приложим за бази данни на SQL Server.

HDS възлите се свързват само ако сървърът на сървър на база с данни може да договаря TLS.
След установяване на TLS връзка, възелът сравнява подписващия сертификат от сървър на база с данни с сертифициращия орган в главен сертификат на базата данни . Ако не съвпадат, възелът прекратява връзката.

Използвайте главен сертификат на базата данни контрол под падащото меню, за да качите главен сертификат за тази опция.

Изисквайте TLS и проверете подписващия сертификат и името на хоста

HDS възлите се свързват само ако сървърът на сървър на база с данни може да договаря TLS.
След установяване на TLS връзка, възелът сравнява подписващия сертификат от сървър на база с данни с сертифициращия орган в главен сертификат на базата данни . Ако не съвпадат, възелът прекратява връзката.
Възлите също така проверяват дали името на хоста в сертификат на сървъра съвпада с името на хоста в Хост на базата данни и порт поле. Имената трябва да съвпадат точно, или възелът прекъсва връзката.

Използвайте главен сертификат на базата данни контрол под падащото меню, за да качите главен сертификат за тази опция.

Когато качите главен сертификат (ако е необходимо) и щракнете Продължете , инструментът за настройка на HDS тества TLS връзката към сървъра на сървър на база с данни. Инструментът също така проверява подписващия сертификат и името на хоста, ако е приложимо. Ако тестът е неуспешен, инструментът показва съобщение за грешка, описващо проблема. Можете да изберете дали да игнорирате грешката и да продължите с настройката. (Поради разликите в свързаността, HDS възлите може да са в състояние да установят TLS връзката, дори ако машината с инструмент за настройка на HDS не може успешно да я тества.)

13

На страницата System Logs конфигурирайте вашия Syslogd сървър:

Въведете URL на syslog сървъра.

Ако сървърът не е DNS-разрешим от възлите за вашия HDS клъстер, използвайте IP адрес в URL.

Пример:
udp://10.92.43.23:514 показва регистриране към хост Syslogd 10.92.43.23 на UDP порт 514.
Ако сте настройвам вашия сървър да използва TLS криптиране, проверете Вашият syslog сървър конфигуриран ли е за SSL криптиране? .

Ако поставите отметка в това поле за отметка, уверете се, че сте въвели TCP URL , като напр tcp://10.92.43.23:514.
От Изберете прекратяване на запис на syslog падащо меню изберете подходящата настройка за вашия ISO файл: Изберете или Newline се използва за Graylog и Rsyslog TCP
- Нулев байт -- \x00
- Нов ред -- \n —Изберете този избор за Graylog и Rsyslog TCP.
Щракнете върху Продължаване.

14

(По избор) Можете да промените стойност по подразбиране за някои параметри на връзката към базата данни в Разширени настройки . По принцип този параметър е единственият, който може да искате да промените:

app_datasource_connection_pool_maxSize: 10

15

Щракнете върху Продължете на Нулиране на паролата за сервизни акаунти екран.

Паролите за акаунти за услуги имат деветмесечен живот. Използвайте този екран, когато паролите ви изтичат или искате да ги нулирате, за да анулирате предишни ISO файлове.

16

Щракнете върху Изтеглете ISO файл . Запазете файла на място, което е лесно за намиране.

17

Направете резервно копие на ISO файла във вашата локална система.

Пазете резервното копие сигурно. Този файл съдържа главен ключ за шифроване за съдържанието на базата данни. Ограничете достъпа само до онези администратори на Hybrid Data Security, които трябва да направят промени в конфигурацията.

18

За да изключите инструмента за настройка, въведете CTRL+C.

Какво да направите след това

Архивирайте конфигурационния ISO файл. Нуждаете се от него, за да създадете повече възли за възстановяване или да направите промени в конфигурацията. Ако загубите всички копия на ISO файла, вие също сте загубили главния ключ. Възстановяването на ключовете от вашата база данни PostgreSQL или Microsoft SQL Server не е възможно.

Никога нямаме копие на този ключ и не можем да помогнем, ако го загубите.

Инсталирайте HDS Host OVA

Използвайте тази процедура, за да създадете виртуална машина от OVA файла.

1

Използвайте VMware vSphere клиента на вашия компютър, за да влезете във виртуалния хост ESXi.

2

Изберете Файл > Внедряване на OVF шаблон .

3

В съветника посочете местоположението на файла OVA, който сте изтеглили по-рано, и след това щракнете Следваща .

4

На Изберете име и папка страница, въведете a Име на виртуална машина за възела (например „HDS_ Нode_ 1"), изберете местоположение, където може да се намира разгръщането на възела на виртуална машина , и след това щракнете Следваща .

5

На Изберете изчислителен ресурс страница, изберете целевия изчислителен ресурс и след това щракнете Следваща .

Изпълнява се проверка за валидиране. След като приключи, се появяват подробностите за шаблона.

6

Проверете детайлите на шаблона и след това щракнете Следваща .

7

Ако бъдете помолени да изберете конфигурацията на ресурса на Конфигурация страница, щракнете 4 CPU и след това щракнете Следваща .

8

На Изберете място за съхранение страница, щракнете Следваща за да приемете дисковия формат по подразбиране и политиката за съхранение на VM .

9

На Изберете мрежи страница, изберете опцията за мрежа от списъка с записи, за да осигурите желаната свързаност към VM.

10

На Персонализирайте шаблона страница, конфигурирайте следните мрежови настройки:

Име на хост — Въведете FQDN (име на хост и домейн) или име на хост от една дума за възела.

Не е необходимо да задавате домейна да съвпада с домейна, който сте използвали за получаване на сертификата X.509.
За да осигурите успешна регистрация в облака, използвайте само малки букви в FQDN или името на хост, които сте задали за възела. Понастоящем изписването с главни букви не се поддържа.
Общата дължина на FQDN не трябва да надвишава 64 знака.

IP адрес — Въведете IP адрес за вътрешния интерфейс на възела.

Вашият възел трябва да има вътрешен IP адрес и DNS име. DHCP не се поддържа.
маска — Въведете адреса на маска на подмрежата в десетична нотация. например 255.255.255.0 .
Портал — Въведете IP адрес на шлюза. Шлюзът е мрежов възел, който служи като точка на достъп до друга мрежа.
DNS сървъри — Въведете разделен със запетая списък с DNS сървъри, които обработват преобразуването на имена на домейни в цифрови IP адреси. (Разрешени са до 4 DNS записа.)
NTP сървъри — Въведете NTP сървър на вашата организация или друг външен NTP сървър , който може да се използва във вашата организация. NTP сървърите по подразбиране може да не работят за всички предприятия. Можете също да използвате разделен със запетая списък, за да въведете множество NTP сървъри.

Разположете всички възли в една и съща подмрежа или VLAN, така че всички възли в клъстер да са достъпни от клиенти във вашата мрежа за административни цели.

Ако предпочитате, можете да пропуснете конфигурацията на мрежовите настройки и да следвате стъпките в Настройте хибридната VM машина за защита на данните за да конфигурирате настройките от конзолата на възела.

Опцията за конфигуриране на мрежови настройки по време на внедряване на OVA е тествана с ESXi 6.5. Възможно е опцията да не е налична в по-ранните версии.

11

Щракнете с десния бутон върху възела VM и след това изберете Мощност > Включване .

Софтуерът Hybrid Data Security се инсталира като гост на VM Host. Вече сте готови да влизам в конзолата и да конфигурирате възела.

Съвети за отстраняване на неизправности

Може да изпитате закъснение от няколко минути, преди да излязат контейнерите на възела. Съобщение за мостова защитна стена се появява на конзолата по време на първото стартиране, по време на което не можете да влизам.

Настройте хибридната VM машина за защита на данните

Използвайте тази процедура, за да влизам в конзолата за VM на възела на хибридната защита на данните за първи път и да зададете идентификационните данни за вход. Можете също да използвате конзолата, за да конфигурирате мрежови настройки за възела, ако не сте ги конфигурирали по време на внедряването на OVA.

1	В клиента VMware vSphere изберете своя VM възел за хибридна защита на данните и изберете Конзола раздел. VM се зарежда и се появява подкана за влизане. Ако подканата за влизане не се покаже, натиснете Въведете .
2	Използвайте следното потребителско име и парола по подразбиране, за да влизам и промените идентификационните данни: Вход: `admin` Парола: `cisco` Тъй като влизате във вашата VM за първи път, от вас се изисква да промените паролата на администратор.
3	Ако вече сте конфигурирали мрежови настройки в Инсталирайте HDS Host OVA , пропуснете останалата част от тази процедура. В противен случай в главно меню изберете Редактиране на конфигурация опция.
4	Настройте статична конфигурация с информация за IP адрес, маска, шлюз и DNS . Вашият възел трябва да има вътрешен IP адрес и DNS име. DHCP не се поддържа.
5	(По избор) Променете името на хоста, домейна или NTP сървър(ите), ако е необходимо, за да съответства на вашата мрежова политика. Не е необходимо да задавате домейна да съвпада с домейна, който сте използвали за получаване на сертификата X.509.
6	Запазете мрежова конфигурация и рестартирайте VM , така че промените да влязат в сила.

Качете и монтирайте ISO конфигурацията на HDS

Използвайте тази процедура, за да конфигурирате виртуална машина от ISO файла, който сте създали с инструмента за настройка на HDS.

Преди да започнете

Тъй като ISO файлът съдържа главния ключ, той трябва да бъде изложен само на базата на „необходимост да се знае“ за достъп от хибридните виртуални машини за защита на данните и всички администратори, които може да се наложи да направят промени. Уверете се, че само тези администратори имат достъп до хранилището на данни.

1

Качете ISO файла от вашия компютър:

В левия навигационен панел на клиента VMware vSphere щракнете върху ESXi сървъра.
В списъка Хардуер на раздела Конфигурация щракнете Съхранение .
В списъка Datastores щракнете с щраквам с десния бутон върху хранилището на данни за вашите VM и щракнете Преглед на Datastore .
Щракнете върху иконата за качване на файлове и след това щракнете върху Качване на файл .
Отидете до мястото, където сте изтеглили ISO файла на вашия компютър и щракнете Отвори .
Щракнете върху да за да приемете предупреждението за операцията за качване/изтегляне и затворете диалоговия прозорец за съхранение на данни.

2

Монтирайте ISO файла:

В левия навигационен панел на клиента VMware vSphere щракнете с щраквам с десния бутон върху VM и щракнете Редактиране на настройките .
Щракнете върху ОК за да приемете предупреждението за ограничени опции за редактиране.
Щракнете върху CD/DVD Drive 1, изберете опцията за монтиране от ISO файл на хранилище за данни и прегледайте мястото, където сте качили конфигурационния ISO файл.
Проверете Свързани и Свържете при включване .
Запазете промените и рестартирайте виртуална машина.

Какво да направите след това

Ако вашата ИТ политика изисква, можете по избор да демонтирате ISO файла, след като всички ваши възли приемат промените в конфигурацията. Виж (По избор) Демонтирайте ISO след HDS конфигурация за подробности.

Конфигурирайте HDS възел за прокси интеграция

Ако мрежовата среда изисква прокси, използвайте тази процедура, за да посочите типа прокси, който искате да интегрирате с Hybrid Data Security. Ако изберете прозрачно прокси за проверка или HTTPS изрично прокси, можете да използвате интерфейса на възела, за да качите и инсталирате главен сертификат. Можете също да проверите прокси връзката от интерфейса и да отстраните евентуални проблеми.

Преди да започнете

Виж Прокси поддръжка за преглед на поддържаните прокси опции.
Изисквания за прокси сървър

1	Въведете URL за настройка на HDS възел `https://[HDS Node IP or FQDN]/setup` в уеб браузър, въведете администраторските идентификационни данни, които сте настройвам за възела, и след това щракнете Влезте .
2	Отидете на Доверен магазин и прокси и след това изберете опция: Без прокси —Опция по опция по подразбиране, преди да интегрирате прокси. Не се изисква актуализация на сертификата. Прозрачен прокси без проверка — Възлите не са конфигурирани да използват конкретен адрес на прокси сървър и не трябва да изискват никакви промени, за да работят с неинспектиращ прокси сървър. Не се изисква актуализация на сертификата. Прозрачен инспектиращ прокси — Възлите не са конфигурирани да използват конкретен адрес на прокси сървър . Не са необходими промени в конфигурацията на HTTPS при внедряването на хибридна защита на данните, но HDS възлите се нуждаят от главен сертификат , така че да имат доверие на прокси сървъра. Проверяващите прокси сървъри обикновено се използват от ИТ за налагане на политики за това кои уебсайтове могат да бъдат посещавани и кои видове съдържание не са разрешени. Този тип прокси декриптира целия ви трафик (дори HTTPS). Изрично прокси —С изричен прокси, вие казвате на клиента (HDS възли) кой прокси сървър да използва и тази опция поддържа няколко типа удостоверяване. След като изберете тази опция, трябва да въведете следната информация: Прокси IP/ FQDN — Адрес, който може да се използва за достигане до прокси машината. Прокси порт —Номер на номер на порт , който проксито използва за прослушване на прокси трафик. Прокси протокол — Изберете http (преглежда и контролира всички заявки, които се получават от клиента) или https (предоставя канал към сървъра, а клиентът получава и валидира сертификата на сървъра). Изберете опция въз основа на това, което поддържа вашият прокси сървър . Тип на удостоверяването — Изберете измежду следните типове удостоверяване: Няма — не се изисква допълнително удостоверяване. Предлага се за HTTP или HTTPS прокси сървъри. Основен —Използва се за HTTP потребителски агент за предоставяне на потребителско име и парола при отправяне на заявка. Използва Base64 кодиране. Предлага се за HTTP или HTTPS прокси сървъри. Ако изберете тази опция, трябва също да въведете потребителско име и парола. Дайджест —Използва се за потвърждение на акаунта преди изпращане на чувствителна информация. Прилага хеш функция върху потребителското име и паролата преди изпращане по мрежата. Предлага се само за HTTPS прокси сървъри. Ако изберете тази опция, трябва също да въведете потребителско име и парола. Следвайте следващите стъпки за прозрачно прокси за проверка, HTTP изрично прокси с основно удостоверяване или HTTPS изрично прокси.
3	Щракнете върху Качете главен сертификат или сертификат за краен обект и след това отидете до a изберете главен сертификат за прокси сървъра. Сертификатът е качен, но все още не е инсталиран, защото трябва да рестартирате възела, за да инсталирате сертификата. Щракнете върху стрелката на шеврон до името на издателя на сертификата, за да получите повече подробности, или щракнете Изтрийте ако сте направили грешка и искате да качите отново файла.
4	Щракнете върху Проверете прокси връзката за да тествате връзка с мрежата между възела и проксито. Ако тестът на връзката е неуспешен, ще видите съобщение за грешка , което показва причината и как можете да коригирате проблема. Ако видите съобщение, че външната DNS резолюция не е била успешна, възелът не е успял да достигне до DNS сървър. Това условие се очаква в много изрични прокси конфигурации. Можете да продължите с настройката и възелът ще функционира в режим на Blocked External DNS Resolution. Ако смятате, че това е грешка, изпълнете тези стъпки и след това вижте Изключете Blocked External DNS Resolution Mode .
5	След като тестът на връзката премине, за изрично прокси, настроено само на https, включете превключвателя на Насочете всички заявки към порт 443/444 https от този възел през изричния прокси сървър . Тази настройка изисква 15 секунди, за да влезе в сила.
6	Щракнете върху Инсталирайте всички сертификати в Trust Store (появява се за HTTPS изричен прокси или прозрачен проверяващ прокси) или Рестартирайте (появява се за HTTP изрично прокси), прочетете подканата и след това щракнете Инсталирайте ако си готов. Възелът се рестартира в рамките на няколко минути.
7	След като възелът се рестартира, влизам отново, ако е необходимо, и след това отворете Общ преглед страница, за да проверите проверките за свързаност, за да се уверите, че всички са в зелено състояние. Проверката на прокси връзката тества само поддомейн на webex.com. Ако има проблеми със свързването, често срещан проблем е, че някои от облачните домейни, изброени в инструкциите за инсталиране, се блокират на прокси сървъра.

Регистрирайте първия възел в клъстера

Тази задача приема общия възел, който сте създали в Настройте хибридната VM машина за защита на данните , регистрира възела в облака Webex и го превръща в възел за хибридна защита на данните.

Когато регистрирате първия си възел, вие създавате клъстер, към който е присвоен възелът. Клъстерът съдържа един или повече възли, разположени за осигуряване на излишък.

Преди да започнете

След като започнете регистрацията на възел, трябва да го завършите в рамките на 60 минути или трябва да започнете отначало.
Уверете се, че всички блокиращи изскачащи прозорци във вашия браузър са деактивирани или че сте разрешили изключение за admin.webex.com.

1	Влезте в https://admin.webex.com.
2	От менюто в лявата част на екрана изберете Услуги .
3	В секцията Хибридни услуги намерете Hybrid Data Security и щракнете Настройте . Появява се страницата Register Hybrid Data Security Node.
4	Изберете да за да посочите, че сте настройвам възела и сте готови да го регистрирате, и след това щракнете Следваща .
5	В първото поле въведете име за клъстера, към който искате да присвоите своя възел за хибридна защита на данните. Препоръчваме ви да назовете клъстер въз основа на това къде се намират възлите на клъстера географски. Примери: "Сан Франциско" или "Ню Йорк" или "Далас"
6	Във второто поле въведете вътрешния IP адрес или напълно квалифицирано име на домейн (FQDN) на вашия възел и щракнете Следваща . Този IP адрес или FQDN трябва да съвпада с IP адрес или името на хоста и домейна, в който сте използвали Настройте хибридната VM машина за защита на данните . Появява се съобщение, което показва, че можете да регистрирате своя възел в Webex.
7	Щракнете върху Отидете на Node .
8	Щракнете върху Продължете в предупредително съобщение. След няколко минути ще бъдете пренасочени към тестовете за свързване на възел за услугите на Webex . Ако всички тестове са успешни, се появява страницата Разрешаване на достъп до възел за защита на хибридни данни. Там потвърждавате, че искате да дадете разрешения на вашата Webex организация за достъп до вашия възел.
9	Проверете Разрешете достъп до вашия възел за защита на хибридни данни квадратче за отметка и след това щракнете Продължете . Вашият акаунт е валидиран и съобщението „Регистрацията е завършена“ показва, че вашият възел вече е регистриран в облака на Webex .
10	Щракнете върху връзката или затворете раздела, за да се върнете към страницата за защита на хибридните данни на Control Hub. На Хибридна сигурност на данните страница, се показва новият клъстер, съдържащ възела, който сте регистрирали. Възелът автоматично ще изтегли най-новия софтуер от облака.

Създайте и регистрирайте още възли

За да добавите допълнителни възли към вашия клъстер, просто създавате допълнителни VM и монтирате същия конфигурационен ISO файл, след което регистрирате възела. Препоръчваме ви да имате поне 3 възела.

По това време резервните виртуални машини, в които сте създали Изпълнете предпоставките за хибридна защита на данните са резервни хостове, които се използват само в случай на възстановяване след срив; дотогава те не са регистрирани в системата. За подробности вж Възстановяване при бедствия с помощта на Център за данни в режим на готовност .

Преди да започнете

След като започнете регистрацията на възел, трябва да го завършите в рамките на 60 минути или трябва да започнете отначало.
Уверете се, че всички блокиращи изскачащи прозорци във вашия браузър са деактивирани или че сте разрешили изключение за admin.webex.com.

1	Създайте нова виртуална машина от OVA, като повторите стъпките в Инсталирайте HDS Host OVA .
2	Настройте първоначалната конфигурация на новата VM, като повторите стъпките в Настройте хибридната VM машина за защита на данните .
3	На новата VM повторете стъпките в Качете и монтирайте ISO конфигурацията на HDS .
4	Ако настройвате прокси за внедряването си, повторете стъпките в Конфигурирайте HDS възел за прокси интеграция както е необходимо за новия възел.
5	Регистрирайте възела. Вhttps://admin.webex.com , изберете Услуги от менюто в лявата част на екрана. В секцията Хибридни услуги намерете картата за защита на хибридни данни и щракнете Ресурси . Появява се страницата Ресурси за защита на хибридните данни. Щракнете върху Добавяне на ресурс . В първото поле изберете името на съществуващия си клъстер. Във второто поле въведете вътрешния IP адрес или напълно квалифицирано име на домейн (FQDN) на вашия възел и щракнете Следваща . Появява се съобщение, което показва, че можете да регистрирате своя възел в облака на Webex . Щракнете върху Отидете на Node . След няколко минути ще бъдете пренасочени към тестовете за свързване на възел за услугите на Webex . Ако всички тестове са успешни, се появява страницата Разрешаване на достъп до възел за защита на хибридни данни. Там потвърждавате, че искате да дадете разрешения на вашата организация за достъп до вашия възел. Проверете Разрешете достъп до вашия възел за защита на хибридни данни квадратче за отметка и след това щракнете Продължете . Вашият акаунт е валидиран и съобщението „Регистрацията е завършена“ показва, че вашият възел вече е регистриран в облака на Webex . Щракнете върху връзката или затворете раздела, за да се върнете към страницата за защита на хибридните данни на Control Hub. Вашият възел е регистриран. Имайте предвид, че докато не започнете пробна версия, вашите възли генерират аларма, показваща, че вашата услуга все още не е активирана.

Какво да направите след това

Изпълнете пробна версия и преминете към производство (следваща глава)

Изпълнете пробна версия и преминете към производство

Поток на задачата от пробна и производствена

След като настройвам клъстер за хибридна защита на данни, можете да стартирате пилотен, да добавите потребители към него и да започнете да го използвате за тестване и проверка на внедряването си в подготовка за преминаване към производство.

Преди да започнете

1	Ако е приложимо, синхронизирайте `HdsTrialGroup` групов обект. Ако вашата организация използва синхронизиране на директории за потребители, трябва да изберете `HdsTrialGroup` групов обект за синхронизиране с облака, преди да можете да започнете пробна версия. За инструкции вижте Ръководство за разгръщане на Cisco Directory Connector.
2	Активирайте пробна версия Започнете изпитание. Докато не изпълните тази задача, вашите възли генерират аларма, показваща, че услугата все още не е активирана.
3	Тествайте внедряването на вашата хибридна защита на данните Проверете дали ключовите заявки преминават към внедряването на вашата хибридна защита на данните.
4	Наблюдавайте здравето на хибридната защита на данните Проверете състоянието и настройвам известия по имейл за аларми.
5	Добавяне или премахване на потребители от вашия пробен период
6	Завършете пробната фаза с едно от следните действия: Преминете от пробна версия към производствена Прекратете пробния си период, без да преминете към производство

Активирайте пробна версия

Преди да започнете

Ако вашата организация използва синхронизиране на директории за потребители, трябва да изберете HdsTrialGroup групов обект за синхронизиране с облака, преди да можете да започнете пробна версия за вашата организация. За инструкции вижте Ръководство за разгръщане на Cisco Directory Connector.

1	Влезте вhttps://admin.webex.com и след това изберете Услуги .
2	Под Hybrid Data Security щракнете върху Настройки .
3	В секцията Състояние на услугата щракнете Започнете пробна версия . Състоянието на услугата се променя на пробен режим.
4	Щракнете върху Добавяне на потребители и въведете имейл адрес на един или повече потребители за пилотно използване на вашите възли за хибридна защита на данните за услуги за криптиране и индексиране. (Ако вашата организация използва синхронизиране на директории, използвайте Active Directory , за да управлявате пробната група, `HdsTrialGroup`.)

Тествайте внедряването на вашата хибридна защита на данните

Използвайте тази процедура, за да тествате сценарии за криптиране на хибридна защита на данните.

Преди да започнете

Настройте внедряването на хибридната защита на данните.
Активирайте пробната версия и добавете няколко пробни потребители.
Уверете се, че имате достъп до системния журнал, за да проверите дали ключовите заявки се предават към внедряването на хибридната защита на данните.

1

Ключовете за дадено пространство се задават от създателя на пространството. Влезте в приложението Webex като един от пилотните потребители и след това създайте пространство и поканете поне един пилотен потребител и един непилотен потребител.

Ако деактивирате внедряването на хибридна защита на данните, съдържанието в пространствата, които пилотните потребители създават, вече няма да бъде достъпно, след като кешираните от клиента копия на ключовете за криптиране бъдат заменени.

2

Изпращайте съобщения до новото пространство.

3

Проверете изхода на системния журнал, за да се уверите, че ключовите заявки преминават към вашето внедряване на хибридна защита на данните.

За да проверите дали потребител първо установява защитен канал към KMS, филтрирайте kms.data.method=create и kms.data.type=EPHEMERAL_KEY_COLLECTION:

Трябва да намерите запис като следния (идентификаторите, съкратени за четливост):

2020-07-21 17:35:34.562 (+0000) INFO  KMS [pool-14-thread-1] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms://hds2.org5.portun.us/statickeys/3[~]0 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=EPHEMERAL_KEY_COLLECTION, 
kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2

За да проверите за потребител, който иска съществуващ ключ от KMS, филтрирайте kms.data.method=retrieve и kms.data.type=KEY:

Трябва да намерите запис като:

2020-07-21 17:44:19.889 (+0000) INFO  KMS [pool-14-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=retrieve, 
kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriHost=ciscospark.com, kms.data.type=KEY, 
kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b

За да проверите за потребител, който иска създаване на нов KMS ключ, филтрирайте kms.data.method=create и kms.data.type=KEY_COLLECTION:

Трябва да намерите запис като:

2020-07-21 17:44:21.975 (+0000) INFO  KMS [pool-14-thread-33] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, 
kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, 
kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b

За да проверите за потребител, който иска създаването на нов KMS Resource Object (KRO), когато се създаде пространство или друг защитен ресурс, филтрирайте върху kms.data.method=create и kms.data.type=RESOURCE_COLLECTION:

Трябва да намерите запис като:

2020-07-21 17:44:22.808 (+0000) INFO  KMS [pool-15-thread-1] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

Наблюдавайте здравето на хибридната защита на данните

индикатор на състоянието в Control Hub ви показва дали всичко е наред с внедряването на хибридната защита на данните. За по-проактивни сигнали, записвам се за известия по имейл. Ще бъдете уведомени, когато има аларми, засягащи услугата, или надстройки на софтуера.

1	В Контролен център , изберете Услуги от менюто в лявата част на екрана.
2	В секцията Хибридни услуги намерете Hybrid Data Security и щракнете Настройки . Появява се страницата Настройки за защита на хибридните данни.
3	В секцията Известия по Имейл въведете един или повече имейл адреси, разделени със запетаи, и натиснете Въведете .

Добавяне или премахване на потребители от вашия пробен период

След като активирате пробен период и сте добавили първоначалния набор от потребители на пробния период, можете да добавяте или премахвате членове на пробния период по всяко време, докато пробният период е активен.

Ако премахнете потребител от пробната версия, клиентът на потребителя ще поиска ключове и създаване на ключ от облачния KMS вместо от вашия KMS. Ако клиентът се нуждае от ключ, който се съхранява във вашия KMS, облачният KMS ще го извлече от името на потребителя.

Ако вашата организация използва синхронизиране на директории, използвайте Active Directory (вместо тази процедура), за да управлявате пробната група, HdsTrialGroup; можете да видите членовете на групата в Control Hub, но не можете да ги добавяте или премахвате.

1	Влезте в Control Hub и след това изберете Услуги .
2	Под Hybrid Data Security щракнете върху Настройки .
3	В секцията Пробен режим на зоната Състояние на услугата щракнете Добавяне на потребители , или щракнете преглед и редактиране за да премахнете потребителите от пробния период.
4	Въведете имейл адрес на един или повече потребители, които да добавите, или щракнете върху X чрез ИД на потребител , за да премахнете потребителя от пробната версия. След това щракнете Запазете .

Преминете от пробна версия към производствена

Когато сте доволни, че внедряването ви работи добре за пробните потребители, можете да преминете към производство. Когато преминете към производство, всички потребители в организацията ще използват вашия в помещението домейн за хибридна защита на данните за ключове за криптиране и други услуги от сферата на сигурността. Не можете да се върнете обратно към пробен режим от производство, освен ако не деактивирате услугата като част от възстановяване след срив. Повторното активиране на услугата изисква да настройвам нов пробен период.

1	Влезте в Control Hub и след това изберете Услуги .
2	Под Hybrid Data Security щракнете върху Настройки .
3	В секцията Състояние на услугата щракнете Преминете към Производство .
4	Потвърдете, че искате да преместите всичките си потребители в производствения режим.

Прекратете пробния си период, без да преминете към производство

Ако по време на пробния период решите да не продължите с внедряването на хибридната защита на данните, можете да деактивирате хибридната защита на данните, което приключва пробния период и премества пробните потребители обратно към услугите за сигурност на облачните данни. Потребителите на пробния период ще загубят достъп до данните, които са били криптирани по време на пробния период.

1	Влезте в Control Hub и след това изберете Услуги .
2	Под Hybrid Data Security щракнете върху Настройки .
3	В секцията Деактивиране щракнете Деактивирайте .
4	Потвърдете, че искате да деактивирате услугата и да прекратите пробния период.

Управлявайте внедряването на HDS

Управление на внедряването на HDS

Използвайте описаните тук задачи, за да управлявате внедряването на вашата хибридна защита на данните.

Задайте график за надграждане на клъстер

Софтуерните надстройки за хибридна защита на данните се извършват автоматично на ниво клъстер, което гарантира, че всички възли винаги работят с една и съща версия на софтуер. Надстройките се извършват според графика за надграждане на клъстера. Когато надстройката на софтуера стане налична, имате възможност да надстроите ръчно клъстера преди планираното време за надстройка. Можете да зададете конкретен график за надграждане или да използвате графика по подразбиране от 3:00 часа AM всеки ден Съединени щати: Америка/Лос Анджелис. Можете също да изберете да отложите предстояща надстройка, ако е необходимо.

За да зададете графика за надстройка:

1	Влезте в Контролен център .
2	На страницата Общ преглед под Хибридни услуги изберете Хибридна сигурност на данните .
3	На страницата Ресурси за защита на хибридни данни изберете клъстера.
4	В панела Преглед вдясно под Настройки на клъстера изберете името на клъстера.
5	На страницата Настройки, под Надстройка, изберете часа и часова зона за графика за надстройка. Забележка: Под часова зона се показва следващата налична дата и час за надстройка. Можете да отложите надстройката за следващия ден, ако е необходимо, като щракнете Отложете .

Променете конфигурацията на възела

Понякога може да се наложи да промените конфигурацията на вашия възел за хибридна защита на данните поради причина като:

Промяна на сертификати x.509 поради изтичане или други причини.

Не поддържаме промяна на име на домейн на сертификат. Домейнът трябва да съвпада с оригиналния домейн, използван за регистриране на клъстера.

Актуализиране на настройките на базата данни за промяна на реплика на базата данни PostgreSQL или Microsoft SQL Server.

Не поддържаме мигриране на данни от PostgreSQL към Microsoft SQL Server или по обратния начин. За да превключите средата на базата данни, започнете ново внедряване на хибридна защита на данните.

Създаване на нова конфигурация за подготовка на нов център за данни.

Също така, за целите на сигурността, Hybrid Data Security използва пароли за акаунт на услуга, които имат деветмесечен живот. След като инструментът за настройка на HDS генерира тези пароли, вие ги разгръщате във всеки от вашите HDS възли в ISO конфигурационния файл. Когато паролите на вашата организация изтичат, получавате известие от екипа на Webex да нулирате паролата за вашия акаунт на машината. (Имейлът включва текста „Използвайте API на акаунта на машината, за да актуализирате паролата.“) Ако вашите пароли все още не са изтекли, инструментът ви дава две опции:

Меко нулиране — И старата, и новата парола работят до 10 дни. Използвайте този период, за да замените постепенно ISO файла на възлите.
Твърдо нулиране —Старите пароли спират да работят незабавно.

Ако вашите пароли изтичат без нулиране, това се отразява на вашата HDS услуга, изисквайки незабавно твърдо нулиране и подмяна на ISO файла на всички възли.

Използвайте тази процедура, за да генерирате нов конфигурационен ISO файл и да го приложите към вашия клъстер.

Преди да започнете

Инструментът за настройка на HDS работи като Docker контейнер на локална машина. За да получите достъп до него, стартирайте Docker на тази машина. Процесът на настройка изисква идентификационни данни на акаунт в Control Hub с пълни администраторски права за вашата организация.

Ако инструментът за настройка на HDS работи зад прокси във вашата среда, предоставете настройките на прокси сървъра (сървър, порт, идентификационни данни) чрез променливите на средата на Docker, когато извеждате контейнера на Docker в 1.д . Тази таблица дава някои възможни променливи на средата:

Описание	Променлива
HTTP прокси без удостоверяване	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS прокси без удостоверяване	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP прокси с удостоверяване	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS прокси с удостоверяване	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Имате нужда от копие на текущия конфигурационен ISO файл, за да генерирате нова конфигурация. ISO съдържа главния ключ, криптиращ PostgreSQL или базата данни на Microsoft SQL Server. Имате нужда от ISO , когато правите промени в конфигурацията, включително идентификационни данни на базата данни, актуализации на сертификати или промени в политиката за оторизация.

1

Като използвате Docker на локална машина, стартирайте инструмента за настройка на HDS.

В командния ред на вашата машина въведете подходящата команда за вашата среда:

В редовна среда:

docker rmi ciscocitg/hds-setup:stable

В FedRAMP среди:

docker rmi ciscocitg/hds-setup-fedramp:stable

Тази стъпка почиства предишни изображения на инструмента за настройка на HDS. Ако няма предишни изображения, той връща грешка, която можете да игнорирате.

За да влизам в регистъра на изображенията на Docker, въведете следното:
```
docker login -u hdscustomersro
```
При подкана за парола въведете този хеш:
```
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
```

Изтеглете най-новото стабилно изображение за вашата среда:

В редовна среда:

docker pull ciscocitg/hds-setup:stable

В FedRAMP среди:

docker pull ciscocitg/hds-setup-fedramp:stable

Уверете се, че сте изтеглили най-новия инструмент за настройка за тази процедура. Версиите на инструмента, създадени преди 22 февруари 2018 г., нямат екрани за нулиране на паролата.

Когато изтеглянето завърши, въведете подходящата команда за вашата среда:

В обикновени среди без прокси:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

В обикновени среди с HTTP прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

В обикновени среди с HTTPSproxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

В FedRAMP среди без прокси:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

В FedRAMP среди с HTTP прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

В FedRAMP среди с HTTPS прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Когато контейнерът работи, виждате „Експресно слушане на сървър на порт 8080“.

Използвайте браузър, за да се свържете с локалния хост, http://127.0.0.1:8080.

Инструментът за настройка не поддържа свързване към localhost чрез http://localhost:8080 . Използвайтеhttp://127.0.0.1:8080 за да се свържете с локален хост.

Когато бъдете подканени, въведете вашите идентификационни данни за влизане в Control Hub и след това щракнете Приемам да продължи.
Импортирайте текущия конфигурационен ISO файл.
Следвайте подканите, за да завършите инструмента и да изтеглите актуализирания файл.

За да изключите инструмента за настройка, въведете CTRL+C.
Създайте резервно копие на актуализирания файл в друг център за данни.

2

Ако имате работещ само един HDS възел , създайте нов VM на възел за хибридна защита на данните и го регистрирайте с помощта на новия конфигурационен ISO файл. За по-подробни инструкции вж Създайте и регистрирайте още възли .

Инсталирайте HDS хост OVA.
Настройте HDS VM.
Монтирайте актуализирания конфигурационен файл.
Регистрирайте новия възел в Control Hub.

3

За съществуващи HDS възли, които изпълняват по-стария конфигурационен файл, монтирайте ISO файла. Изпълнете следната процедура на всеки възел на свой ред, като актуализирате всеки възел, преди да изключите следващия възел:

Изключете виртуална машина.
В левия навигационен панел на клиента VMware vSphere щракнете с щраквам с десния бутон върху VM и щракнете Редактиране на настройките .
Щракнете върху CD/DVD Drive 1, изберете опцията за монтиране от ISO файл и прегледайте мястото, където сте изтеглили новия конфигурационен ISO файл.
Проверете Свържете при включване .
Запазете промените си и включете виртуална машина.

4

Повторете стъпка 3, за да замените конфигурацията на всеки останал възел, който изпълнява старата конфигурация.

Изключете Blocked External DNS Resolution Mode

Когато регистрирате възел или проверявате прокси конфигурацията на възела, процесът тества търсенето на DNS и свързаността с облака на Cisco Webex . Ако DNS сървър на възела не може да разреши публични DNS имена, възелът автоматично преминава в режим на Blocked External DNS Resolution.

Ако вашите възли са в състояние да разрешават публични DNS имена чрез вътрешни DNS сървъри, можете да изключите този режим, като стартирате повторно теста за прокси връзка на всеки възел.

Преди да започнете

Уверете се, че вашите вътрешни DNS сървъри могат да разрешават публични DNS имена и че вашите възли могат да комуникират с тях.

1	В уеб браузър отворете интерфейса на възела на хибридната защита на данните (IP адрес/настройка, например,https://192.0.2.0/setup), въведете администраторските идентификационни данни, които сте настройвам за възела, и след това щракнете Влезте .
2	Отидете на Общ преглед (страницата по подразбиране). Когато е активирано, Блокирана външна DNS разделителна способност е настроен на да .
3	Отидете до Доверен магазин и прокси страница.
4	Щракнете върху Проверете прокси връзката . Ако видите съобщение, че външната DNS резолюция не е била успешна, възелът не е успял да достигне до DNS сървър и ще остане в този режим. В противен случай, след като рестартирате възела и се върнете към Общ преглед страница, Разделителната способност за блокиран външен DNS трябва да бъде зададена на не.

Какво да направите след това

Повторете теста на прокси връзката на всеки възел във вашия клъстер за хибридна защита на данните.

Премахване на възел

Използвайте тази процедура, за да премахнете възел за защита на хибридни данни от облака на Webex . След като премахнете възела от клъстера, изтрийте виртуална машина, за да предотвратите по-нататъшен достъп до вашите данни за сигурност.

1

Използвайте VMware vSphere клиента на вашия компютър, за да влезете във виртуалния хост на ESXi и да изключите виртуална машина.

2

Премахнете възела:

Влезте в Control Hub и след това изберете Услуги .
На картата за защита на хибридни данни щракнете Вижте всички за да се покаже страницата Ресурси за защита на хибридните данни.
Изберете своя клъстер, за да покажете неговия панел за преглед.
Щракнете върху Отворете списъка с възли .
В раздела Възли изберете възела, който искате да премахнете.
Щракнете върху Действия > Дерегистриране на възел .

3

В vSphere клиента изтрийте VM. (В левия навигационен панел щракнете с щраквам с десния бутон върху VM и щракнете Изтрийте .)

Ако не изтриете VM, не забравяйте да демонтирате конфигурационния ISO файл. Без ISO файла не можете да използвате VM за достъп до вашите данни за сигурност.

Възстановяване при бедствия с помощта на Център за данни в режим на готовност

Най-критичната услуга, която предоставя вашият клъстер за хибридна защита на данни, е създаването и съхранението на ключове, използвани за криптиране на съобщения и друго съдържание, съхранявано в облака на Webex . За всеки потребител в организацията, който е назначен към хибридна защита на данните, заявките за създаване на нови ключове се насочват към клъстера. Клъстерът е отговорен и за връщането на създадените от него ключове на всички потребители, упълномощени да ги извличат, например членове на пространство за разговор.

Тъй като клъстерът изпълнява критичната функция за предоставяне на тези ключове, наложително е клъстерът да продължи да работи и да се поддържат правилни резервни копия. Загубата на базата данни за хибридна защита на данните или на конфигурацията ISO , използвана за схемата, ще доведе до НЕВЪЗСТАНОВИМА ЗАГУБА на клиентско съдържание. Следните практики са задължителни за предотвратяване на такава загуба:

Ако бедствие причини внедряването на HDS в основния център за данни да стане недостъпно, следвайте тази процедура, за да преминете ръчно към резервния център за данни.

1

Стартирайте инструмента за настройка на HDS и следвайте стъпките, посочени в Създайте ISO конфигурация за HDS хостовете .

2

След като конфигурирате сървъра Syslogd, щракнете върху Разширени настройки

3

На Разширени настройки страница, добавете конфигурацията по-долу или премахнете passiveMode конфигурация, за да направи възела активен. Възелът може да обработва трафик, след като това е конфигурирано.


passiveMode: 'false'

4

Завършете процеса на конфигуриране и запазете ISO файла на място, което е лесно за намиране.

5

Направете резервно копие на ISO файла във вашата локална система. Пазете резервното копие сигурно. Този файл съдържа главен ключ за шифроване за съдържанието на базата данни. Ограничете достъпа само до онези администратори на Hybrid Data Security, които трябва да направят промени в конфигурацията.

6

В левия навигационен панел на клиента VMware vSphere щракнете с щраквам с десния бутон върху VM и щракнете Редактиране на настройките. .

7

Щракнете върху Редактиране на настройките > CD/ DVD устройство 1 и изберете Datastore ISO File.

Уверете се Свързани и Свържете при включване са проверени, така че актуализираните промени в конфигурацията да влязат в сила след стартиране на възлите.

8

Включете HDS възела и се уверете, че няма аларми за поне 15 минути.

9

Повторете процеса за всеки възел в център за данни в режим на готовност.

Проверете изхода на системния журнал, за да се уверите, че възлите на център за данни в режим на готовност не са в пасивен режим. „KMS, конфигуриран в пасивен режим“ не трябва да се появява в системните дневници.

Какво да направите след това

След отказ, ако основният център за данни стане отново активен, поставете център за данни в режим на готовност отново в пасивен режим, като следвате стъпките, описани в Настройте център за данни в режим на готовност за възстановяване при бедствия .

(По избор) Демонтирайте ISO след HDS конфигурация

Стандартната HDS конфигурация работи с монтиран ISO . Но някои клиенти предпочитат да не оставят ISO файловете непрекъснато монтирани. Можете да демонтирате ISO файла, след като всички HDS възли вземат новата конфигурация.

Все още използвате ISO файловете, за да правите промени в конфигурацията. Когато създавате нов ISO или актуализирате ISO чрез инструмента за настройка, трябва да монтирате актуализирания ISO на всичките си HDS възли. След като всичките ви възли приемат промените в конфигурацията, можете да демонтирате ISO отново с тази процедура.

Преди да започнете

Надстройте всичките си HDS възли до версия 2021.01.22.4720 или по-нова.

1	Изключете един от вашите HDS възли.
2	Във vCenter Server Appliance изберете HDS възела.
3	Изберете Редактиране на настройките > CD/ DVD устройство и премахнете отметката ISO файл на хранилище за данни .
4	Включете HDS възела и се уверете, че няма аларми за поне 20 минути.
5	Повторете последователно за всеки HDS възел.

Отстраняване на проблеми със сигурността на хибридните данни

Преглед на сигнали и отстраняване на неизправности

Разгръщането на хибридна защита на данните се счита за недостъпно, ако всички възли в клъстера са недостъпни или клъстерът работи толкова бавно, че изисква време за изчакване. Ако потребителите не могат да достигнат до вашия клъстер за защита на хибридни данни, те изпитват следните симптоми:

Не могат да се създават нови пространства (не може да се създадат нови ключове)
Съобщенията и заглавията на пространството не могат да се дешифрират за:
- Нови потребители, добавени към пространство (не могат да извлекат ключове)
- Съществуващи потребители в пространство, използващи нов клиент (не може да извлече ключове)
Съществуващите потребители в пространство ще продължат да работят успешно, докато техните клиенти имат кеш на ключовете за криптиране

Важно е правилно да наблюдавате своя клъстер за хибридна защита на данните и незабавно да адресирате всички предупреждения, за да избегнете прекъсване на услугата.

Предупреждения

Ако има проблем с настройката на хибридната защита на данните, Control Hub показва сигнали до администратора на организацията и изпраща имейли до конфигурирания имейл адрес. Сигналите обхващат много често срещани сценарии.

Таблица 1. Често срещани проблеми и стъпки за разрешаването им
Предупреждение	Действие
Грешка при достъп до локална база данни.	Проверете за грешки в базата данни или проблеми с локалната мрежа.
неуспешна връзка с локална база данни.	Проверете дали сървърът на сървър на база с данни е наличен и правилните идентификационни данни за акаунт на услуга са били използвани в конфигурацията на възел.
Грешка при достъп до облачна услуга.	Проверете дали възлите имат достъп до сървърите на Webex , както е посочено в Изисквания за външна свързаност .
Подновяване на регистрацията на облачна услуга.	Регистрацията в облачни услуги беше прекратена. Подновяването на регистрацията е в ход.
Регистрацията на облачна услуга отпадна.	Регистрацията в облачни услуги е прекратена. Услугата се изключва.
Услугата все още не е активирана.	Активирайте пробна версия или завършете преместването на пробната версия в производствен.
Конфигурираният домейн не съответства на сертификат на сървъра.	Уверете се, че вашият сертификат на сървъра съответства на конфигурирания домейн за активиране на услугата. Най-вероятната причина е, че CN на сертификата е наскоро променен и вече е различен от CN, който е бил използван по време на първоначалната настройка.
Удостоверяването на облачни услуги не бе успешно.	Проверете за точността и възможното изтичане на идентификационните данни за акаунт на услуга .
Неуспешно отваряне на файл с локално хранилище за ключове.	Проверете за целостта и точността на паролата във файла на локалното хранилище на ключове.
сертификат на сървъра е невалиден.	Проверете дата на изтичане на валидността or, shortened, дата на изтичане на сертификата на сървъра и потвърдете, че е издаден от доверен орган за сертификати.
Не може да се публикуват показатели.	Проверете достъпа на локалната мрежа до външни облачни услуги.
/media/configdrive/hds директорията не съществува.	Проверете конфигурацията за монтиране на ISO на виртуален хост. Проверете дали ISO файлът съществува, дали е конфигуриран да се монтира при рестартиране и че се монтира успешно.

Отстраняване на проблеми със сигурността на хибридните данни

Използвайте следните общи указания, когато отстранявате проблеми с Hybrid Data Security.

1	Прегледайте Control Hub за сигнали и коригирайте всички елементи, които намерите там.
2	Прегледайте изхода на syslog сървъра за активност от внедряването на хибридна защита на данните.
3	Контакт Поддръжка на Cisco .

Други бележки

Известни проблеми за сигурността на хибридните данни

Ако изключите своя клъстер за хибридна защита на данни (чрез го изтриете в Control Hub или като изключите всички възли), загубите своя конфигурационен ISO файл или загубите достъп до базата данни на хранилището на ключове, потребителите на вашето Webex App вече няма да могат да използват пространства под своите хора списък, които са създадени с ключове от вашия KMS. Това се отнася както за пробно, така и за производствено внедряване. Понастоящем нямаме решение или решение за този проблем и ви призоваваме да не изключвате вашите HDS услуги, след като те обработват активни потребителски акаунти.
Клиент, който има съществуваща ECDH връзка към KMS, поддържа тази връзка за определен период от време (вероятно един час). Когато потребителят стане член на пробна версия за хибридна защита на данните, клиентът на потребителя продължава да използва съществуващата ECDH връзка, докато не изтече. Като алтернатива, потребителят може да излизам отново в приложението Webex App, за да актуализира местоположението, с което приложението се свързва за ключове за криптиране.

Същото поведение се случва, когато преместите пробен период в производствен за организацията. Всички потребители без опит със съществуващи ECDH връзки към предишните услуги за сигурност на данните ще продължат да използват тези услуги, докато ECDH връзката не бъде предоговорена (чрез изчакване или чрез излизане и обратно).

Използвайте OpenSSL, за да генерирате PKCS12 файл

Преди да започнете

OpenSSL е един инструмент, който може да се използва за създаване на файла PKCS12 в правилния формат за зареждане в инструмента за настройка на HDS. Има и други начини да направите това и ние не подкрепяме или популяризираме един начин пред друг.
Ако решите да използвате OpenSSL, ние предоставяме тази процедура като насока, за да ви помогнем да създадете файл, който отговаря на изискванията на сертификата X.509 в X.509 Изисквания за сертификат . Разберете тези изисквания, преди да продължите.
Инсталирайте OpenSSL в поддържана среда. Вижhttps://www.openssl.org за софтуера и документацията.
Създайте частен ключ.
Започнете тази процедура, когато получите сертификат на сървъра от вашия орган за сертификати (CA).

1	Когато получите сертификат на сървъра от вашия CA, запазете го като `hdsnode.pem`.
2	Покажете сертификата като текст и проверете подробностите. `openssl x509 -text -noout -in hdsnode.pem`
3	Използвайте текстов редактор, за да създадете файл с пакет от сертификати, наречен `hdsnode-bundle.pem`. Пакетният файл трябва да включва сертификат на сървъра, всички междинни CA сертификати и сертификатите за основния CA във формат по-долу: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	Създайте .p12 файла с приятелското име `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Проверете подробностите за сертификат на сървъра . `openssl pkcs12 -in hdsnode.p12` Въведете парола при подкана, за да шифровате частния ключ, така че да бъде посочен в изхода. След това проверете дали частният ключ и първият сертификат включват редовете `friendlyName: kms-private-key`. Пример: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: <No Attributes> Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- <redacted> -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- <redacted> -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- <redacted> -----END CERTIFICATE-----

Какво да направите след това

Върнете се към Изпълнете предпоставките за хибридна защита на данните . Вие ще използвате hdsnode.p12 файл и паролата, която сте задали за него, в Създайте ISO конфигурация за HDS хостовете .

Можете да използвате повторно тези файлове, за да поискате нов сертификат, когато оригиналният сертификат изтече.

Трафик между HDS възлите и облака

Изходящ трафик за събиране на показатели

Възлите за хибридна защита на данните изпращат определени показатели към облака на Webex . Те включват системни метрики за макс. хеп, използван хеп, натоварване на CPU и брой нишки; метрики за синхронни и асинхронни нишки; показатели за сигнали, включващи праг на криптиращи връзки, латентност или дължина на опашката за заявки; метрики на хранилището за данни; и показатели за криптиране на връзката. Възлите изпращат криптиран ключов материал по извънлентов (отделен от заявката) канал.

Входящ трафик

Възлите за защита на хибридните данни получават следните типове входящ трафик от облака на Webex :

Заявки за криптиране от клиенти, които се насочват от услугата за криптиране
Надстройки на софтуера на възела

Конфигурирайте Squid прокси сървъри за хибридна защита на данните

Websocket не може да се свърже чрез Squid прокси

Squid прокси сървърите, които проверяват HTTPS трафика, могат да попречат на установяването на websocket ( wss:) връзки, които изисква Hybrid Data Security. Тези раздели дават насоки как да конфигурирате различни версии на Squid за игнориране wss: трафик за правилното функциониране на услугите.

Калмари 4 и 5

Добавете on_unsupported_protocol директива за squid.conf:

on_unsupported_protocol tunnel all

Калмари 3.5.27

Успешно тествахме хибридната защита на данните с добавени следните правила squid.conf. Тези правила подлежат на промяна, докато разработваме функции и актуализираме облака на Webex .

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Предговор

Нова и променена информация

Дата

Направени промени

20 октомври 2023 г

Актуализирана информация в Изисквания за сървър на база данни .
Добавено Настройте център за данни в режим на готовност за възстановяване при бедствия .
Актуализирана информация в Център за данни в режим на готовност за възстановяване при бедствия и Възстановяване при бедствия с помощта на Център за данни в режим на готовност .

07 август 2023 г

Добавена бележка в Изтеглете инсталационни файлове .
Добавена бележка в Създайте ISO конфигурация за HDS хостовете и Променете конфигурацията на възела .

23 май 2023 г

Изтрита информация от Изисквания за сървър на база данни да поискате функция да бъде активирана, като се свържете с екипа на акаунта.
Актуализирана информация в Изисквания за външна свързаност и добави Канада към таблицата с хостове на CI.
Добавена бележка в Очаквания за внедряване на хибридна защита на данните относно липсата на механизми за преместване на ключове обратно в облака.

06 декември 2022 г

Изображенията на HDS Setup Tool вече се хостват в ciscocitg хранилище на dockerhub.
Актуализиран Създайте ISO конфигурация за HDS хостовете и Променете конфигурацията на възела теми за отразяване на промените в командите.

23 ноември 2022 г

HDS възлите вече могат да използват удостоверяване на Windows срещу Microsoft SQL Server.

Актуализиран Изисквания за сървър на база данни тема с допълнителни изисквания за този режим на удостоверяване.

Актуализиран Създайте ISO конфигурация за HDS хостовете с процедурата за конфигуриране на удостоверяване на Windows на възлите.
Актуализиран Изисквания за сървър на база данни тема с нови минимално необходими версии (PostgreSQL 10).

13 октомври 2021 г

Docker Desktop трябва да стартира програма за настройка, преди да можете да инсталирате HDS възли. Виж Изисквания за работния плот на Docker .

24 юни 2021 г

Отбелязано е, че можете да използвате повторно файла с частен ключ и CSR , за да поискате друг сертификат. Виж Използвайте OpenSSL, за да генерирате PKCS12 файл за подробности.

30 април 2021 г.

Променено изискването за VM за локално пространство на твърдия диск на 30 GB. Виж Изисквания за виртуален хост за подробности.

24 февруари 2021 г

HDS Setup Tool вече може да работи зад прокси. Виж Създайте ISO конфигурация за HDS хостовете за подробности.

2 февруари 2021 г

HDS вече може да работи без монтиран ISO файл. Виж (По избор) Демонтирайте ISO след HDS конфигурация за подробности.

11 януари 2021 г

Добавена информация за инструмента за настройка на HDS и прокси сървърите към Създайте ISO конфигурация за HDS хостовете .

13 октомври 2020 г

Актуализиран Изтеглете инсталационни файлове .

08 октомври 2020 г.

Актуализиран Създайте ISO конфигурация за HDS хостовете и Променете конфигурацията на възела с команди за FedRAMP среди.

14 август 2020 г

Актуализиран Създайте ISO конфигурация за HDS хостовете и Променете конфигурацията на възела с промени в процеса на влизане.

5 август 2020 г

Актуализиран Тествайте внедряването на вашата хибридна защита на данните за промени в регистрационните съобщения.

Актуализиран Изисквания за виртуален хост за премахване на максимален брой хостове.

16 юни 2020 г

Актуализиран Премахване на възел за промени в потребителския интерфейс на Control Hub.

4 юни 2020 г

Актуализиран Създайте ISO конфигурация за HDS хостовете за промени в разширените настройки, които може да зададете.

29 май 2020 г

Актуализиран Създайте ISO конфигурация за HDS хостовете за да покажете, че можете също да използвате TLS с бази данни на SQL Server, промени в потребителския интерфейс и други разяснения.

5 май 2020 г

Актуализиран Изисквания за виртуален хост да покаже новото изискване на ESXi 6.5.

21 април 2020 г

Актуализиран Изисквания за външна свързаност с нови хостове на Америка CI.

1 април 2020 г.

Актуализиран Изисквания за външна свързаност с информация за регионалните CI хостове.

20 февруари 2020 г Актуализиран Създайте ISO конфигурация за HDS хостовете с информация за нов опционален екран с разширени настройки в инструмента за настройка на HDS.

4 февруари 2020 г Актуализиран Изисквания за прокси сървър .

16 декември 2019 г. Изяснява се изискването за работа в режим на разделяне на блокиран външен DNS Изисквания за прокси сървър .

19 ноември 2019 г

Добавена информация за Blocked External DNS Resolution Mode в следните раздели:

Прокси поддръжка
Конфигурирайте HDS възел за прокси интеграция
Изключете Blocked External DNS Resolution Mode

8 ноември 2019 г

Вече можете да конфигурирате мрежови настройки за възел, докато разгръщате OVA, а не след това.

Актуализирани съответно следните раздели:

Поток на задачи за внедряване на хибридна защита на данните
Инсталирайте HDS Host OVA
Настройте хибридната VM машина за защита на данните

Опцията за конфигуриране на мрежови настройки по време на внедряване на OVA е тествана с ESXi 6.5. Възможно е опцията да не е налична в по-ранните версии.

6 септември 2019 г

Добавен SQL Server Standard към Изисквания за сървър на база данни .

Август 29, 2019 Добавено Конфигурирайте Squid прокси сървъри за хибридна защита на данните приложение с насоки за конфигуриране на Squid прокси сървъри за игнориране на трафика от websocket за правилна работа.

20 август 2019 г

Добавени и актуализирани секции, за да покрият поддръжката на прокси за комуникации на възел за хибридна защита на данните към облака на Webex .

Прокси поддръжка
Изисквания за прокси сървър
Конфигурирайте HDS възел за прокси интеграция

За достъп само до съдържанието за поддръжка на прокси за съществуващо внедряване, вижте Прокси поддръжка за хибридна защита на данните и Webex Video Mesh помощна статия.

13 юни 2019 г Актуализиран Поток на задачата от пробна и производствена с напомняне за синхронизиране на HdsTrialGroup групов обект преди стартиране на пробна версия, ако вашата организация използва синхронизиране на директории.

6 март 2019 г

Изискванията и предпоставките са преместени в отделна глава, Подгответе вашата среда .
Добавен Поток на задачи за внедряване на хибридна защита на данните преглед в главата Създайте хибриден клъстер за сигурност на данните .

Отбелязано е, че докато не започнете пробна версия (като използвате инструкциите в следващата глава), вашите възли генерират аларма, показваща, че вашата услуга все още не е активирана.
Добавен Поток на задачата от пробна и производствена в главата Изпълнете пробна версия и преминете към производство .

Февруари 28, 2019

Коригирано е количеството локално пространство на твърдия диск на сървър, което трябва да заделите, когато подготвяте виртуалните хостове, които стават възли за хибридна защита на данните, от 50-GB на 20-GB, за да отразите размера на диска, който OVA създава.

26 февруари 2019 г.

Възлите за хибридна защита на данните вече поддържат криптирани връзки със сървъри на база данни PostgreSQL и криптирани връзки за регистриране към TLS-способен syslog сървър. Актуализиран Създайте ISO конфигурация за HDS хостовете с инструкции.
Премахнати целеви URL адреси от таблицата „Изисквания за интернет свързаност за хибридни виртуални машини за защита на данни“. Таблицата вече се отнася до списъка, поддържан в таблицата „Допълнителни URL адреси за хибридни услуги на Webex Teams“ на Мрежови изисквания за услугите на Webex Teams .

24 януари 2019 г

Hybrid Data Security вече поддържа Microsoft SQL Server като база данни. SQL Server Always On (Always On Failover Clusters и Always on Availability Groups) се поддържа от JDBC драйверите, които се използват в Hybrid Data Security. Добавено съдържание, свързано с внедряването със SQL Server.

Поддръжката на Microsoft SQL Server е предназначена само за нови разполагания на хибридната защита на данните. Понастоящем не поддържаме мигриране на данни от PostgreSQL към Microsoft SQL Server в съществуващо разполагане.

5 ноември 2018 г

Добавена е предварителна стъпка за почистване на всички съществуващи екземпляри на docker hds Създайте ISO конфигурация за HDS хостовете и Променете конфигурацията на възела .
Актуализирана стъпка за ниво на достъп до ключ Създайте ISO конфигурация за HDS хостовете за да съответства на интерфейса.

19 октомври 2018 г

Разделете информацията за връзката на защитната стена в изисквания за възел и изисквания за ISO конфигурация на машината Изпълнете предпоставките за хибридна защита на данните .

31 юли 2018 г

Добавен е порт 22 (SSH достъп) и информация за връзките на NAT и защитната стена Изпълнете предпоставките за хибридна защита на данните .

21 май 2018 г.

Променена терминология, за да отрази ребрандирането на Cisco Spark:

Cisco Spark Hybrid Data Security вече е Hybrid Data Security.
Приложението Cisco Spark вече е приложението Webex App.
Облакът на Cisco Collaboraton вече е облакът на Webex .

11 април 2018 г

Добавено Център за данни в режим на готовност за възстановяване при бедствия .
Актуализиран Изпълнете предпоставките за хибридна защита на данните за да посочите, че средата за архивиране трябва да бъде в различен център за данни.
Актуализиран Възстановяване при бедствия с помощта на Център за данни в режим на готовност .

22 февруари 2018 г

Добавена е информация за паролата за акаунт на услуга 9-месечен живот и използване на инструмента за настройка на HDS за нулиране на паролите за акаунт на услуга , в Създайте ISO конфигурация за HDS хостовете и Променете конфигурацията на възела .

15 февруари 2018

В X.509 Изисквания за сертификат таблица, посочи, че сертификатът не може да бъде сертификат с заместващ знак и че KMS използва домейна CN, а не всеки домейн, който е дефиниран в полетата на x.509v3 SAN.

18 януари 2018

Добавено приложение, Трафик между HDS възлите и облака .
Премахнат разрешен проблем от Известни проблеми за сигурността на хибридните данни .
Променен index.docker.io на *.docker.io и добавен *.cloudfront.net към списъка с изисквания за TCP свързаност за HDS възлите в Изпълнете предпоставките за хибридна защита на данните .
Актуализиран Създайте ISO конфигурация за HDS хостовете за да посочите, че ако хостът на базата данни и сървърът Syslogd не са DNS-разрешими от HDS възлите, трябва да ги конфигурирате с помощта на IP адреси.

2 ноември 2017 г

Изяснена синхронизация на директории на HdsTrialGroup.
Фиксирани инструкции за качване на ISO конфигурационен файл за монтиране към VM възлите.

18 август 2017 г

Публикувано за първи път

Започнете с хибридна защита на данните

Преглед на сигурността на хибридните данни

От първия ден сигурността на данните е основният фокус при проектирането на Webex App. Крайъгълният камък на тази сигурност е криптирането на съдържание от край до край, активирано от клиентите на Webex App, взаимодействащи с услугата за управление на ключове (KMS). KMS отговаря за създаването и управлението на криптографските ключове, които клиентите използват за динамично криптиране и декриптиране на съобщения и файлове.

По подразбиране всички клиенти на Webex App получават криптиране от край до край с динамични ключове, съхранявани в облачния KMS, в сферата на сигурността на Cisco. Hybrid Data Security премества KMS и други функции, свързани със сигурността, във вашия корпоративни данни , така че никой освен вас не държи ключовете за вашето криптирано съдържание.

Архитектура на сферата на сигурността

Облачната архитектура на Webex разделя различни видове услуги в отделни сфери или домейни на доверие, както е показано по-долу.

За да разберем по-добре хибридната защита на данните, нека първо разгледаме този чист облачен случай, където Cisco предоставя всички функции в своите облачни сфери. Услугата за самоличност, единственото място, където потребителите могат да бъдат пряко свързани с тяхната лична информация, като имейл адрес, е логически и физически отделена от сферата на сигурността в център за данни B. И двете от своя страна са отделени от сферата, където в крайна сметка се съхранява криптирано съдържание , в център за данни C.

В тази диаграма клиентът е приложението Webex , което се изпълнява на лаптоп на потребителя и е удостоверено с услугата за самоличност. Когато потребителят състави съобщение, което да изпрати до пространство, се изпълняват следните стъпки:

Клиентът установява защитена връзка с услугата за управление на ключове (KMS), след което иска ключ за криптиране на съобщението. защитена връзка използва ECDH, а KMS криптира ключа с помощта на главен ключ AES-256.
Съобщението е криптирано, преди да напусне клиента. Клиентът го изпраща до услугата за индексиране, която създава криптирани индекси за търсене, за да помогне при бъдещи търсения на съдържанието.
Шифрованото съобщение се изпраща до службата за съответствие за проверка на съответствието.
Шифрованото съобщение се съхранява в областта на съхранение.

Когато внедрите Hybrid Data Security, вие премествате функциите на областта на сигурността (KMS, индексиране и съответствие) във вашия в помещението център за данни. Другите облачни услуги, които съставляват Webex (включително самоличност и съхранение на съдържание), остават в сферата на Cisco.

Сътрудничество с други организации

Потребителите във вашата организация може редовно да използват приложението Webex , за да си сътрудничат с външни участници в други организации. Когато един от вашите потребители поиска ключ за пространство, което е собственост на вашата организация (защото е създадено от един от вашите потребители), вашият KMS изпраща ключа на клиента по защитен канал от ECDH. Въпреки това, когато друга организация притежава ключа за пространството, вашият KMS насочва заявката към облака на Webex през отделен ECDH канал, за да получи ключа от съответния KMS, и след това връща ключа на вашия потребител в оригиналния канал.

Услугата KMS, работеща в организация A, валидира връзките към KMS в други организации, използвайки x.509 PKI сертификати. Виж Подгответе вашата среда за подробности относно генерирането на сертификат x.509, който да използвате с внедряването на хибридната защита на данните.

Очаквания за внедряване на хибридна защита на данните

Внедряването на хибридна защита на данните изисква значителна ангажираност на клиента и осъзнаване на рисковете, които идват от притежаването на ключове за криптиране.

За да внедрите хибридна защита на данните, трябва да предоставите:

Сигурен център за данни в държава, която е a поддържано местоположение за плановете на Cisco Webex Teams .
Оборудването, софтуерът и достъпът до мрежата, описани в Подгответе вашата среда .

Пълната загуба на ISO конфигурацията, която създавате за Hybrid Data Security, или на базата данни, която предоставяте, ще доведе до загуба на ключовете. Загубата на ключ не позволява на потребителите да декриптират космическо съдържание и други криптирани данни в приложението Webex . Ако това се случи, можете да създадете ново внедряване, но ще се вижда само ново съдържание. За да избегнете загуба на достъп до данните, трябва:

Управлявайте архивирането и възстановяването на базата данни и ISO конфигурацията.
Бъдете готови да извършите бързо възстановяване след възстановяване след срив, ако възникне катастрофа, като повреда на диска на базата данни или катастрофа в център за данни за данни.

Няма механизъм за преместване на ключове обратно в облака след внедряване на HDS.

Процес на настройка на високо ниво

Този документ обхваща настройката и управлението на внедряване на хибридна защита на данните:

Настройте хибридна защита на данните —Това включва подготовка на необходимата инфраструктура и инсталиране на софтуер за хибридна защита на данните, тестване на внедряването ви с подгрупа потребители в пробен режим и, след като тестването приключи, преминаване към производство. Това преобразува цялата организация да използва вашия клъстер за хибридна защита на данните за функции за сигурност.
Фазите на настройка, тестване и производство са разгледани подробно в следващите три глави.
Поддържайте внедряването на хибридната защита на данните —Облакът Webex автоматично предоставя текущи надстройки. Вашият ИТ отдел може да осигури поддръжка от първо ниво за това внедряване и да ангажира Поддръжка на Cisco , ако е необходимо. Можете да използвате известия на екрана и да настройвам базирани на имейл сигнали в Control Hub.
Разберете общи сигнали, стъпки за отстраняване на неизправности и известни проблеми —Ако срещнете проблеми с внедряването или използването на хибридна защита на данните, последната глава от това ръководство и приложението Известни проблеми може да ви помогнат да определите и отстраните проблема.

Модел за внедряване на хибридна защита на данните

В рамките на вашия корпоративни данни вие внедрявате хибридна защита на данните като единичен клъстер от възли на отделни виртуални хостове. Възлите комуникират с облака Webex чрез защитени уебсокети и защитен HTTP.

По време на инсталационния процес ви предоставяме OVA файла, за да настройвам виртуалното устройство на предоставените от вас виртуални машини. Използвате инструмента за настройка на HDS, за да създадете ISO файл за персонализирана конфигурация на клъстер, който монтирате на всеки възел. Клъстерът за хибридна защита на данни използва предоставения от вас Syslogd сървър и база данни PostgreSQL или Microsoft SQL Server. (Конфигурирате данните за Syslogd и връзката към базата данни в инструмента за настройка на HDS.)

Модел за внедряване на хибридна защита на данните

Минималният брой възли, които можете да имате в клъстер, е два. Препоръчваме поне три, а вие можете да имате до пет. Наличието на множество възли гарантира, че услугата няма да бъде прекъсната по време на надграждане на софтуер или друга дейност по поддръжка на възел. (Облакът Webex надгражда само един възел в даден момент.)

Всички възли в клъстер имат достъп до едно и също ключово хранилище за данни и регистрират активността на един и същ сървър на системния журнал. Самите възли са без състояние и обработват ключови заявки по кръгова система, както е указано от облака.

Възлите стават активни, когато ги регистрирате в Control Hub. За да извадите отделен възел от експлоатация, можете да го дерегистрирате и по-късно да го регистрирате отново, ако е необходимо.

Ние поддържаме само един клъстер на организация.

Пробен режим за хибридна защита на данните

След като настроите внедряване на хибридна защита на данните, първо го изпробвате с набор от пилотни потребители. По време на пробния период тези потребители използват вашия в помещението домейн за хибридна защита на данните за ключове за криптиране и други услуги от сферата на сигурността. Другите ви потребители продължават да използват сферата на сигурността в облака.

Ако решите да не продължите с внедряването по време на пробния период и деактивирате услугата, пилотните потребители и всички потребители, с които са взаимодействали чрез създаване на нови пространства по време на пробния период, ще загубят достъп до съобщенията и съдържанието. Те ще видят „Това съобщение не може да бъде декриптирано“ в приложението Webex .

Ако сте доволни, че внедряването ви работи добре за пробните потребители и сте готови да разширите хибридната защита на данните за всичките си потребители, премествате внедряването в производствена. Пилотните потребители продължават да имат достъп до ключовете, които са били използвани по време на пробния период. Въпреки това, не можете да се движите напред-назад между производствения режим и първоначалния пробен период. Ако трябва да деактивирате услугата, като например да извършите възстановяване след възстановяване след срив, когато активирате повторно, трябва да започнете нова пробна версия и да настройвам набора от пилотни потребители за новия пробен период, преди да се върнете обратно към производствен режим. Дали потребителите ще запазят достъп до данни в този момент зависи от това дали сте поддържали успешно резервни копия на ключовото хранилище на данни и ISO конфигурационен файл за възлите за хибридна защита на данните във вашия клъстер.

Център за данни в режим на готовност за възстановяване при бедствия

По време на внедряването вие настройвам защитен център за данни в режим на готовност. В случай на бедствие в център за данни , можете ръчно да провалите внедряването си в център за данни в готовност.

Базите данни на активния и резервния центрове за данни са синхронизирани една с друга, което ще сведе до минимум времето, необходимо за извършване на отказ. ISO файлът на център за данни в режим на готовност се актуализира с допълнителни конфигурации, които гарантират, че възлите са регистрирани в организацията, но няма да обработват трафика. Следователно възлите на център за данни в режим на готовност винаги остават актуални с най-новата версия на HDS софтуера.

Активните възли за хибридна защита на данни трябва винаги да са в същия център за данни като активния сървър на база с данни.

Настройте център за данни в режим на готовност за възстановяване при бедствия

Следвайте стъпките по-долу, за да конфигурирате ISO файла на център за данни в режим на готовност:

Преди да започнете

Центърът за център за данни в готовност трябва да отразява производствената среда на VM и резервна база данни PostgreSQL или Microsoft SQL Server. Например, ако производството има 3 VM, работещи с HDS възли, средата за архивиране трябва да има 3 VM. (Виж Център за данни в режим на готовност за възстановяване при бедствия за преглед на този модел на отказ.)
Уверете се, че синхронизирането на базата данни е активирано между базата данни с активни и пасивни възли на клъстер.

1

Стартирайте инструмента за настройка на HDS и следвайте стъпките, посочени в Създайте ISO конфигурация за HDS хостовете .

ISO файлът трябва да бъде копие на оригиналния ISO файл на основния център за данни, върху който трябва да се направят следните актуализации на конфигурацията.

2

След като конфигурирате сървъра Syslogd, щракнете върху Разширени настройки

3

На Разширени настройки страница, добавете конфигурацията по-долу, за да поставите възела в пасивен режим. В този режим възелът ще бъде регистриран в организацията и ще бъде свързан към облака, но няма да обработва никакъв трафик.


passiveMode: 'true'

4

Завършете процеса на конфигуриране и запазете ISO файла на място, което е лесно за намиране.

5

Направете резервно копие на ISO файла във вашата локална система. Пазете резервното копие сигурно. Този файл съдържа главен ключ за шифроване за съдържанието на базата данни. Ограничете достъпа само до онези администратори на Hybrid Data Security, които трябва да направят промени в конфигурацията.

6

В левия навигационен панел на клиента VMware vSphere щракнете с щраквам с десния бутон върху VM и щракнете Редактиране на настройките. .

7

Щракнете върху Редактиране на настройките > CD/ DVD устройство 1 и изберете Datastore ISO File.

Уверете се Свързани и Свържете при включване са проверени, така че актуализираните промени в конфигурацията да влязат в сила след стартиране на възлите.

8

Включете HDS възела и се уверете, че няма аларми за поне 15 минути.

9

Повторете процеса за всеки възел в център за данни в режим на готовност.

Проверете системните журнали, за да проверите дали възлите са в пасивен режим. Трябва да можете да видите съобщението „KMS конфигуриран в пасивен режим“ в системните дневници.

Какво да направите след това

След конфигуриране passiveMode в ISO файла и го запишете, можете да създадете друго копие на ISO файла без passiveMode конфигурация и я запазете на сигурно място. Това копие на ISO файла без passiveMode configured може да помогне за бърз процес на отказ по време на възстановяване след срив. Виж Възстановяване при бедствия с помощта на Център за данни в режим на готовност за подробната процедура за отказване.

Прокси поддръжка

Hybrid Data Security поддържа изрични, прозрачни инспектиращи и непроверяващи прокси сървъри. Можете да свържете тези прокси сървъри към вашето внедряване, така че да можете да защитите и наблюдавате трафика от предприятието към облака. Можете да използвате интерфейс за администратор на платформата на възлите за управление на сертификати и за проверка на цялостното състояние на свързаност, след като настройвам прокси сървъра на възлите.

Възлите за защита на хибридните данни поддържат следните прокси опции:

Без прокси —По подразбиране, ако не използвате настройката на HDS възел Trust Store & Proxy конфигурация за интегриране на прокси. Не се изисква актуализация на сертификата.
Прозрачен неинспектиращ прокси — Възлите не са конфигурирани да използват конкретен адрес на прокси сървър и не трябва да изискват никакви промени, за да работят с неинспектиращ прокси сървър. Не се изисква актуализация на сертификата.
Прозрачно тунелиране или проверка на прокси — Възлите не са конфигурирани да използват конкретен адрес на прокси сървър . Не са необходими промени в конфигурацията на HTTP или HTTPS на възлите. Възлите обаче се нуждаят от главен сертификат , така че да имат доверие на проксито. Проверяващите прокси сървъри обикновено се използват от ИТ за налагане на политики за това кои уебсайтове могат да бъдат посещавани и кои видове съдържание не са разрешени. Този тип прокси декриптира целия ви трафик (дори HTTPS).
Изрично прокси —С изричен прокси вие казвате на HDS възлите кой прокси сървър и схема за удостоверяване да използват. За да конфигурирате изрично прокси, трябва да въведете следната информация на всеки възел:
1. Прокси IP/ FQDN — Адрес, който може да се използва за достигане до прокси машината.
2. Прокси порт —Номер на номер на порт , който проксито използва за прослушване на прокси трафик.
3. Прокси протокол — В зависимост от това какво поддържа вашият прокси сървър , изберете между следните протоколи:
  - HTTP – Преглежда и контролира всички заявки, които клиентът изпраща.
  - HTTPS – Предоставя канал към сървъра. Клиентът получава и валидира сертификата на сървъра.
4. Тип на удостоверяването — Изберете измежду следните типове удостоверяване:
  - Няма — не се изисква допълнително удостоверяване.
    
    Достъпно, ако изберете HTTP или HTTPS като прокси протокол.
  - Основен —Използва се за HTTP потребителски агент за предоставяне на потребителско име и парола при отправяне на заявка. Използва Base64 кодиране.
    
    Достъпно, ако изберете HTTP или HTTPS като прокси протокол.
    
    Изисква да въведете потребителско име и парола на всеки възел.
  - Дайджест —Използва се за потвърждение на акаунта преди изпращане на чувствителна информация. Прилага хеш функция върху потребителското име и паролата преди изпращане по мрежата.
    
    Достъпно само ако изберете HTTPS като прокси протокол.
    
    Изисква да въведете потребителско име и парола на всеки възел.

Пример за хибридни възли за защита на данни и прокси

Тази диаграма показва примерна връзка между хибридната защита на данните, мрежата и прокси сървъра. За опциите за прозрачна проверка и HTTPS изрична проверка на прокси сървъра, един и същ главен сертификат трябва да бъде инсталиран на прокси сървъра и на възлите за хибридна защита на данните.

Блокиран режим на разделителна способност на външен DNS (изрични прокси конфигурации)

Когато регистрирате възел или проверявате прокси конфигурацията на възела, процесът тества търсенето на DNS и свързаността с облака на Cisco Webex . При разгръщания с изрични прокси конфигурации, които не позволяват външна DNS резолюция за вътрешни клиенти, ако възелът не може да запита DNS сървърите, той автоматично преминава в режим на блокирана външна DNS разделителна способност. В този режим могат да продължат регистрацията на възел и други тестове за прокси свързаност.

Подгответе вашата среда

Изисквания за хибридна сигурност на данните

Изисквания за лиценз на Cisco Webex

За да внедрите хибридна защита на данните:

Трябва да имате Pro Pack за Cisco Webex Control Hub. (Вижhttps://www.cisco.com/go/pro-pack .)

Изисквания за работния плот на Docker

Преди да инсталирате своите HDS възли, имате нужда от Docker Desktop, за да стартирате програма за настройка. Docker наскоро актуализира своя модел на лицензиране. Вашата организация може да изисква платен абонамент за Docker Desktop. За подробности вижте публикацията в блога на Docker, " Docker актуализира и разширява нашите абонаменти за продукти ".

X.509 Изисквания за сертификат

верига за сертификати трябва да отговаря на следните изисквания:

Таблица 1. Изисквания за сертификат X.509 за внедряване на хибридна защита на данни
Изискване	Подробности
Подписано от доверен орган за сертификати (CA)	По подразбиране ние вярваме на CA в списъка на Mozilla (с изключение на WoSign и StartCom) наhttps://wiki.mozilla.org/CA:IncludedCAs .
Носи име на име на домейн с общо име (CN), което идентифицира вашето внедряване на хибридна защита на данните Не е заместващ сертификат	CN не е необходимо да е достъпен или да е домакин на живо. Препоръчваме ви да използвате име, което отразява вашата организация, напр. `hds.company.com`. CN не трябва да съдържа * (уместен знак). CN се използва за проверка на възлите за хибридна защита на данните към клиентите на Webex App. Всички възли за хибридна защита на данните във вашия клъстер използват един и същ сертификат. Вашият KMS се идентифицира с помощта на домейна CN, а не всеки домейн, който е дефиниран в полетата на x.509v3 SAN. След като сте регистрирали възел с този сертификат, ние не поддържаме промяна на име на домейн. Изберете домейн, който може да се прилага както за пробното, така и за производственото внедряване.
Не-SHA1 подпис	Софтуерът KMS не поддържа SHA1 подписи за валидиране на връзки с KMS на други организации.
Форматиран като защитен с парола файл PKCS #12 Използвайте приятелското име на `kms-private-key` за да маркирате сертификата, частния ключ и всички междинни сертификати за качване.	Можете да използвате конвертор като OpenSSL, за да промените формата на вашия сертификат. Ще трябва да въведете паролата, когато стартирате инструмента за настройка на HDS.

Софтуерът KMS не налага използването на ключове или разширените ограничения за използване на ключове. Някои сертифициращи органи изискват разширените ограничения за използване на ключ да се прилагат към всеки сертификат, като например удостоверяване на сървъра. Добре е да използвате удостоверяването на сървъра или други настройки.

Изисквания за виртуален хост

Виртуалните хостове, които ще настройвам като възли за хибридна защита на данните във вашия клъстер, имат следните изисквания:

Най-малко два отделни хоста (препоръчани 3), разположени в един и същ защитен център за данни
VMware ESXi 6.5 (или по-нова версия) е инсталиран и работи.

Трябва да надстроите, ако имате по-ранна версия на ESXi.
Минимум 4 vCPU, 8 GB основна памет, 30 GB локално пространство на твърдия диск на сървър

Изисквания за сървър на база данни

Създайте нова база данни за съхранение на ключове. Не използвайте базата данни по подразбиране. Приложенията HDS, когато са инсталирани, създават схемата на базата данни.

Има две опции за сървър на база с данни. Изискванията за всеки са както следва:

Таблица 2. Изисквания към сървъра за бази данни по тип база данни

PostgreSQL

Microsoft SQL Server

PostgreSQL 14, 15 или 16, инсталиран и работещ.

Инсталиран SQL Server 2016, 2017 или 2019 (Enterprise или Standard).

SQL Server 2016 изисква Service Pack 2 и Кумулативна актуализация 2 или по-нова версия.

Минимум 8 vCPU, 16 GB основна памет, достатъчно място на твърдия диск и наблюдение, за да се гарантира, че няма превишаване (препоръчва се 2 TB, ако искате да работите с базата данни за дълго време, без да е необходимо да увеличавате паметта)

Софтуерът HDS в момента инсталира следните версии на драйвери за комуникация със сървъра на сървър на база с данни:

PostgreSQL

Microsoft SQL Server

Postgres JDBC драйвер 42.2.5

SQL Server JDBC драйвер 4.6

Тази версия на драйвера поддържа SQL Server Always On ( Винаги включен екземпляр на клъстер при отказ и Групи за наличност Always On ).

Допълнителни изисквания за удостоверяване на Windows срещу Microsoft SQL Server

Ако искате HDS възлите да използват удостоверяване на Windows, за да получат достъп до вашата база данни за ключове на Microsoft SQL Server, тогава имате нужда от следната конфигурация във вашата среда:

HDS възлите, инфраструктурата на Active Directory и MS SQL Server трябва да бъдат синхронизирани с NTP.
Windows акаунтът, който предоставяте на HDS възлите, трябва да има достъп за четене/запис до базата данни.
DNS сървърите, които предоставяте на HDS възлите, трябва да могат да разрешат вашия център за разпространение на ключове (KDC).
Можете да регистрирате екземпляра на база данни HDS на вашия Microsoft SQL Server като име на принципал на услуга (SPN) във вашата Active Directory. Виж Регистрирайте главно име на услуга за връзки с Kerberos .

Инструментът за настройка на HDS, HDS стартерът и локалният KMS трябва да използват удостоверяване на Windows за достъп до базата данни на хранилището за ключове. Те използват детайлите от вашата ISO конфигурация, за да конструират SPN, когато искат достъп с удостоверяване на Kerberos.

Изисквания за външна свързаност

Конфигурирайте вашата защитна стена, за да разрешите следната свързаност за HDS приложенията:

Приложение	Протокол	Порт	Упътване от ап	Дестинация
Възли за хибридна защита на данните	TCP	443	Изходящ HTTPS и WSS	Webex сървъри: .wbx2.com .ciscospark.com Всички хостове за обща идентичност Други URL адреси, които са изброени за хибридна защита на данните в Допълнителни URL адреси за хибридни услуги на Webex таблица на Мрежови изисквания за услугите на Webex
Инструмент за настройка на HDS	TCP	443	Изходящ HTTPS	*.wbx2.com Всички хостове за обща идентичност hub.docker.com

Възлите за хибридна защита на данните работят с транслация на мрежов достъп (NAT) или зад защитна стена, стига NAT или защитната стена да позволяват необходимите изходящи връзки към дестинациите на домейна в предходната таблица. За връзки, които отиват към възлите за хибридна защита на данните, не трябва да се виждат портове от интернет. В рамките на вашия център за данни клиентите се нуждаят от достъп до възлите за хибридна защита на данните на TCP портове 443 и 22 за административни цели.

URL адресите за хостовете за обща идентичност (CI) са специфични за региона. Това са текущите CI хостове:

Регион	Общи URL адреси на хост за самоличност
Северна и Южна Америка	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Европейски съюз	https://idbroker-eu.webex.com https://identity-eu.webex.com
Канада	https://idbroker-ca.webex.com https://identity-ca.webex.com

Изисквания за прокси сървър

Ние официално поддържаме следните прокси решения, които могат да се интегрират с вашите възли за хибридна защита на данните.

Прозрачен прокси — Cisco интернет Security Appliance (WSA).

Изрично прокси – Squid.

Squid прокси сървърите, които проверяват HTTPS трафика, могат да попречат на установяването на websocket (wss:) връзки. За да заобиколите този проблем, вж Конфигурирайте Squid прокси сървъри за хибридна защита на данните .

Поддържаме следните комбинации от типове удостоверяване за изрични прокси сървъри:
- Няма удостоверяване с HTTP или HTTPS
- Основно удостоверяване с HTTP или HTTPS
- Дайджест удостоверяване само с HTTPS
За прозрачно проверяващо прокси или HTTPS изрично прокси, трябва да имате копие на главен сертификат на проксито. Инструкциите за внедряване в това ръководство ви казват как да качите копието в хранилищата за доверие на възлите за хибридна защита на данните.
Мрежата, хостваща HDS възлите, трябва да бъде конфигурирана да принуди изходящия TCP трафик към порт 443 да се маршрутизира през прокси сървъра.
Прокси сървърите, които проверяват уеб трафика, могат да попречат на връзките на уеб сокет. Ако възникне този проблем, заобикаляне (без проверка) на трафика към wbx2.com и ciscospark.com ще реши проблема.

Изпълнете предпоставките за хибридна защита на данните

Използвайте този контролен списък, за да се уверите, че сте готови да инсталирате и конфигурирате своя клъстер за хибридна защита на данните.

1

Уверете се, че вашата организация Webex е активирана за Pro Pack за Cisco Webex Control Hub и получете идентификационните данни за акаунт с пълни администраторски права на организация. Свържете се с вашия партньор на Cisco или мениджър на акаунт за помощ с този процес.

2

Изберете име на домейн за внедряването на HDS (например hds.company.com) и да получите верига за сертификати, съдържаща сертификат X.509, частен ключ и всякакви междинни сертификати. верига за сертификати трябва да отговаря на изискванията в X.509 Изисквания за сертификат .

3

Подгответе идентични виртуални хостове, които ще настройвам като възли за хибридна защита на данните във вашия клъстер. Имате нужда от поне два отделни хоста (3 препоръчани), разположени в един и същ защитен център за данни, които отговарят на изискванията в Изисквания за виртуален хост .

4

Подгответе сървър на база с данни , който ще действа като хранилище на данни за клъстера, според Изисквания за сървър на база данни . Сървърът на сървър на база с данни трябва да бъде разположен в защитения център за данни с виртуалните хостове.

Създайте база данни за съхранение на ключове. (Трябва да създадете тази база данни - не използвайте базата данни по подразбиране. Приложенията HDS, когато са инсталирани, създават схемата на базата данни.)
Съберете подробностите, които възлите ще използват за комуникация със сървъра на сървър на база с данни:
- име на домакина или IP адрес (хост) и порта
- името на базата данни (dbname) за съхранение на ключове
- потребителското име и паролата на потребител с всички привилегии в базата данни за съхранение на ключове

5

За бързо възстановяване след срив, настройвам среда за архивиране в различен център за данни. Архивната среда отразява производствената среда на виртуални машини и сървър за архивиране на сървър на база с данни. Например, ако производството има 3 VM, работещи с HDS възли, средата за архивиране трябва да има 3 VM.

6

Настройте хост на syslog за събиране на регистрационни файлове от възлите в клъстера. Съберете неговия мрежов адрес и порт на системния журнал (по подразбиране е UDP 514).

7

Създайте защитена политика за архивиране за възлите за хибридна защита на данните, сървър на база с данни и хоста на системния журнал. Като минимум, за да предотвратите невъзстановима загуба на данни, трябва да архивирате базата данни и конфигурационния ISO файл, генериран за възлите за хибридна защита на данните.

Тъй като възлите за защита на хибридните данни съхраняват ключовете, използвани за криптиране и декриптиране на съдържание, неспособността да се поддържа оперативно внедряване ще доведе до НЕВЪЗСТАНОВИМА ЗАГУБА от това съдържание.

Клиентите на Webex App кешират своите ключове, така че прекъсването може да не се забележи веднага, но ще стане очевидно с времето. Докато временните прекъсвания са невъзможни за предотвратяване, те са възстановими. Въпреки това, пълната загуба (няма налични резервни копия) на базата данни или конфигурационния ISO файл ще доведе до невъзстановими клиентски данни. Очаква се операторите на възлите за хибридна защита на данни да поддържат чести архиви на базата данни и конфигурационния ISO файл и да бъдат готови да изградят отново център за данни, ако възникне катастрофална повреда.

8

Уверете се, че конфигурацията на защитната ви стена позволява свързаност за вашите възли за хибридна защита на данните, както е посочено в Изисквания за външна свързаност .

9

Инсталирайте Docker (https://www.docker.com ) на всяка локална машина, работеща с поддържана операционна система (Microsoft Windows 10 Professional или Enterprise 64-битова, или Mac OSX Yosemite 10.10.3 или по-нова) с уеб браузър, който има достъп до нея на http://127.0.0.1:8080.

Използвате екземпляра на Docker, за да изтеглите и стартирате инструмента за настройка на HDS, който изгражда информация за конфигуриране за всички възли за защита на хибридните данни. Вашата организация може да се нуждае от лиценз за Docker Desktop. Виж Изисквания за работния плот на Docker за повече информация.

За да инсталирате и стартирате инструмента за настройка на HDS, локалната машина трябва да има очертана свързаност Изисквания за външна свързаност .

10

Ако интегрирате прокси с Hybrid Data Security, уверете се, че отговаря на Изисквания за прокси сървър .

11

Ако вашата организация използва синхронизиране на директории, създайте група в Active Directory , наречена HdsTrialGroup и добавете пилотни потребители. Пробната група може да има до 250 потребители. На HdsTrialGroup обектът трябва да бъде синхронизиран с облака, преди да можете да започнете пробна версия за вашата организация. За да синхронизирате групов обект, изберете го в конектора на директория Конфигурация > Избор на обект меню. (За подробни инструкции вижте Ръководство за разгръщане на Cisco Directory Connector. )

Ключовете за дадено пространство се задават от създателя на пространството. Когато избирате пилотни потребители, имайте предвид, че ако решите да деактивирате за постоянно внедряването на Hybrid Data Security, всички потребители губят достъп до съдържание в пространствата, създадени от пилотните потребители. Загубата става очевидна веднага щом приложенията на потребителите обновят своите кеширани копия на съдържанието.

Създайте хибриден клъстер за сигурност на данните

Поток на задачи за внедряване на хибридна защита на данните

Преди да започнете

1

Изтеглете OVA файла на вашата локална машина за по-късна употреба.

2

Използвайте инструмента за настройка на HDS, за да създадете ISO конфигурационен файл за възлите за хибридна защита на данните.

3

Настройте хибридната VM машина за защита на данните

Създайте виртуална машина от файла OVA и извършете първоначална конфигурация, като мрежови настройки.

Опцията за конфигуриране на мрежови настройки по време на внедряване на OVA е тествана с ESXi 6.5. Възможно е опцията да не е налична в по-ранните версии.

4

Влезте в конзолата на VM и задайте идентификационните данни за вход. Конфигурирайте мрежови настройки за възела, ако не сте ги конфигурирали по време на внедряването на OVA.

5

Конфигурирайте VM от ISO конфигурационен файл , който сте създали с инструмента за настройка на HDS.

6

Ако мрежовата среда изисква конфигурация на прокси сървър, посочете типа прокси, който ще използвате за възела, и добавете прокси сертификата към хранилището за доверие, ако е необходимо.

7

Регистрирайте VM с облака на Cisco Webex като възел за хибридна защита на данните.

8

Завършете настройката на клъстера.

9

Изпълнете пробна версия и преминете към производство (следваща глава)

Докато не започнете пробна версия, вашите възли генерират аларма, показваща, че вашата услуга все още не е активирана.

Изтеглете инсталационни файлове

В тази задача изтегляте OVA файл на вашата машина (не на сървърите, които сте настройвам като възли за хибридна защита на данните). Използвате този файл по-късно в процеса на инсталиране.

1

Влезте вhttps://admin.webex.com и след това щракнете Услуги .

2

В секцията Хибридни услуги намерете картата за защита на хибридни данни и след това щракнете Настройте .

Ако картата е деактивирана или не я виждате, свържете се с екипа на акаунта си или с партньорската си организация. Дайте им номера на вашата сметка и поискайте да активирате вашата организация за хибридна защита на данните. За да намерите номера на сметката, щракнете върху зъбното колело горе вдясно до името на вашата организация.

Можете също да изтеглите OVA по всяко време от Помощ раздел за Настройки страница. На картата за защита на хибридни данни щракнете Редактиране на настройките за да отворите страницата. След това щракнете Изтеглете софтуера за хибридна защита на данните в Помощ раздел.

По-старите версии на софтуерния пакет (OVA) няма да са съвместими с най-новите надстройки за хибридна защита на данните. Това може да доведе до проблеми при надграждане на приложението. Уверете се, че сте изтеглили най-новата версия на файла OVA.

3

Изберете не за да посочите, че все още не сте настройвам възела, и след това щракнете Следваща .

OVA файлът автоматично започва да се изтегля. Запазете файла на място на вашата машина.

4

По желание щракнете Отворете Ръководство за разгръщане за да проверите дали има налична по-нова версия на това ръководство.

Създайте ISO конфигурация за HDS хостовете

Процесът на настройка на хибридната защита на данните създава ISO файл. След това използвате ISO , за да конфигурирате вашия хост за хибридна защита на данни.

Преди да започнете

Инструментът за настройка на HDS работи като Docker контейнер на локална машина. За да получите достъп до него, стартирайте Docker на тази машина. Процесът на настройка изисква идентификационни данни на акаунт в Control Hub с пълни администраторски права за вашата организация.

Ако инструментът за настройка на HDS работи зад прокси във вашата среда, предоставете настройките на прокси сървъра (сървър, порт, идентификационни данни) чрез променливите на средата на Docker, когато извеждате Docker контейнера в стъпка 5 . Тази таблица дава някои възможни променливи на средата:

Описание	Променлива
HTTP прокси без удостоверяване	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS прокси без удостоверяване	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP прокси с удостоверяване	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS прокси с удостоверяване	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Конфигурационният ISO файл, който генерирате, съдържа главния ключ, криптиращ PostgreSQL или базата данни на Microsoft SQL Server. Имате нужда от последното копие на този файл всеки път, когато правите промени в конфигурацията, като тези:
- Данни за база данни
- Актуализации на сертификата
- Промени в политиката за оторизация
Ако планирате да шифровате връзките към базата данни, настройвам внедряването на PostgreSQL или SQL Server за TLS.

1

В командния ред на вашата машина въведете подходящата команда за вашата среда:

В редовна среда:

docker rmi ciscocitg/hds-setup:stable

В FedRAMP среди:

docker rmi ciscocitg/hds-setup-fedramp:stable

Тази стъпка почиства предишни изображения на инструмента за настройка на HDS. Ако няма предишни изображения, той връща грешка, която можете да игнорирате.

2

За да влизам в регистъра на изображенията на Docker, въведете следното:

docker login -u hdscustomersro

3

При подкана за парола въведете този хеш:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Изтеглете най-новото стабилно изображение за вашата среда:

В редовна среда:

docker pull ciscocitg/hds-setup:stable

В FedRAMP среди:

docker pull ciscocitg/hds-setup-fedramp:stable

5

Когато изтеглянето завърши, въведете подходящата команда за вашата среда:

В обикновени среди без прокси:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

В обикновени среди с HTTP прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

В обикновени среди с HTTPS прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

В FedRAMP среди без прокси:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

В FedRAMP среди с HTTP прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

В FedRAMP среди с HTTPS прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Когато контейнерът работи, виждате „Експресно слушане на сървър на порт 8080“.

6

Инструментът за настройка не поддържа свързване към localhost чрез http://localhost:8080 . Използвайтеhttp://127.0.0.1:8080 за да се свържете с локален хост.

Използвайте уеб браузър, за да отидете на локалния хост, http://127.0.0.1:8080 и въведете потребителско име на администратор на клиента за Control Hub при подкана.

Инструментът използва това първо въвеждане на потребителското име, за да зададе подходящата среда за този акаунт. След това инструментът показва стандартната подкана за вход.

7

Когато бъдете подканени, въведете вашите идентификационни данни за вход на администратор на клиента Control Hub и след това щракнете Влезте за да разрешите достъп до необходимите услуги за хибридна защита на данните.

8

На страницата за преглед на инструмента за настройка щракнете Започнете .

9

На ISO импортиране страница, имате следните опции:

не —Ако създавате първия си HDS възел, нямате ISO файл за качване.
да —Ако вече сте създали HDS възли, тогава избирате своя ISO файл в прегледа и го качвате.

10

Проверете дали вашият сертификат X.509 отговаря на изискванията в X.509 Изисквания за сертификат .

Ако никога досега не сте качвали сертификат, качете сертификата X.509, въведете паролата и щракнете Продължете .
Ако сертификатът ви е ОК, щракнете Продължете .
Ако вашият сертификат е изтекъл или искате да го замените, изберете не за Да продължите ли да използвате верига за сертификати и частен ключ от предишен ISO? . Качете нов сертификат X.509, въведете паролата и щракнете Продължете .

11

Въведете адреса на базата данни и акаунт за HDS за достъп до вашето ключово хранилище за данни:

Изберете своя Тип база данни ( PostgreSQL или Microsoft SQL Server ).

Ако изберете Microsoft SQL Server , получавате поле Тип на удостоверяването .
( Microsoft SQL Server само) Изберете своя Тип на удостоверяването :
- Основно удостоверяване : Имате нужда от име на профила в SQL Server в Потребителско име поле.
- Удостоверяване на Windows : Нуждаете се от акаунт в Windows във формата username@DOMAIN в Потребителско име поле.
Въведете адреса на сървър на база с данни във формуляра <hostname>:<port> или <IP-address>:<port>.

Пример:
dbhost.example.org:1433 или 198.51.100.17:1433

Можете да използвате IP адрес за основно удостоверяване, ако възлите не могат да използват DNS за разрешаване на името на хоста.

Ако използвате удостоверяване на Windows, трябва да въведете напълно квалифицирано име на домейн във формата dbhost.example.org:1433
Въведете Име на базата данни .
Въведете Потребителско име и парола на потребител с всички привилегии в базата данни за съхранение на ключове.

12

Изберете a TLS режим на връзка с база данни :

Режим

Описание

Предпочитайте TLS (опция по подразбиране)

HDS възлите не изискват TLS за свързване към сървъра на сървър на база с данни. Ако активирате TLS на сървъра на сървър на база с данни, възлите се опитват да установят криптирана връзка.

Изисквайте TLS

HDS възлите се свързват само ако сървърът на сървър на база с данни може да договаря TLS.

Изисквайте TLS и потвърдете подписващия сертификат

Този режим не е приложим за бази данни на SQL Server.

HDS възлите се свързват само ако сървърът на сървър на база с данни може да договаря TLS.
След установяване на TLS връзка, възелът сравнява подписващия сертификат от сървър на база с данни с сертифициращия орган в главен сертификат на базата данни . Ако не съвпадат, възелът прекратява връзката.

Използвайте главен сертификат на базата данни контрол под падащото меню, за да качите главен сертификат за тази опция.

Изисквайте TLS и проверете подписващия сертификат и името на хоста

HDS възлите се свързват само ако сървърът на сървър на база с данни може да договаря TLS.
След установяване на TLS връзка, възелът сравнява подписващия сертификат от сървър на база с данни с сертифициращия орган в главен сертификат на базата данни . Ако не съвпадат, възелът прекратява връзката.
Възлите също така проверяват дали името на хоста в сертификат на сървъра съвпада с името на хоста в Хост на базата данни и порт поле. Имената трябва да съвпадат точно, или възелът прекъсва връзката.

Използвайте главен сертификат на базата данни контрол под падащото меню, за да качите главен сертификат за тази опция.

Когато качите главен сертификат (ако е необходимо) и щракнете Продължете , инструментът за настройка на HDS тества TLS връзката към сървъра на сървър на база с данни. Инструментът също така проверява подписващия сертификат и името на хоста, ако е приложимо. Ако тестът е неуспешен, инструментът показва съобщение за грешка, описващо проблема. Можете да изберете дали да игнорирате грешката и да продължите с настройката. (Поради разликите в свързаността, HDS възлите може да са в състояние да установят TLS връзката, дори ако машината с инструмент за настройка на HDS не може успешно да я тества.)

13

На страницата System Logs конфигурирайте вашия Syslogd сървър:

Въведете URL на syslog сървъра.

Ако сървърът не е DNS-разрешим от възлите за вашия HDS клъстер, използвайте IP адрес в URL.

Пример:
udp://10.92.43.23:514 показва регистриране към хост Syslogd 10.92.43.23 на UDP порт 514.
Ако сте настройвам вашия сървър да използва TLS криптиране, проверете Вашият syslog сървър конфигуриран ли е за SSL криптиране? .

Ако поставите отметка в това поле за отметка, уверете се, че сте въвели TCP URL , като напр tcp://10.92.43.23:514.
От Изберете прекратяване на запис на syslog падащо меню изберете подходящата настройка за вашия ISO файл: Изберете или Newline се използва за Graylog и Rsyslog TCP
- Нулев байт -- \x00
- Нов ред -- \n —Изберете този избор за Graylog и Rsyslog TCP.
Щракнете върху Продължаване.

14

(По избор) Можете да промените стойност по подразбиране за някои параметри на връзката към базата данни в Разширени настройки . По принцип този параметър е единственият, който може да искате да промените:

app_datasource_connection_pool_maxSize: 10

15

Щракнете върху Продължете на Нулиране на паролата за сервизни акаунти екран.

Паролите за акаунти за услуги имат деветмесечен живот. Използвайте този екран, когато паролите ви изтичат или искате да ги нулирате, за да анулирате предишни ISO файлове.

16

Щракнете върху Изтеглете ISO файл . Запазете файла на място, което е лесно за намиране.

17

Направете резервно копие на ISO файла във вашата локална система.

Пазете резервното копие сигурно. Този файл съдържа главен ключ за шифроване за съдържанието на базата данни. Ограничете достъпа само до онези администратори на Hybrid Data Security, които трябва да направят промени в конфигурацията.

18

За да изключите инструмента за настройка, въведете CTRL+C.

Какво да направите след това

Архивирайте конфигурационния ISO файл. Нуждаете се от него, за да създадете повече възли за възстановяване или да направите промени в конфигурацията. Ако загубите всички копия на ISO файла, вие също сте загубили главния ключ. Възстановяването на ключовете от вашата база данни PostgreSQL или Microsoft SQL Server не е възможно.

Никога нямаме копие на този ключ и не можем да помогнем, ако го загубите.

Инсталирайте HDS Host OVA

Използвайте тази процедура, за да създадете виртуална машина от OVA файла.

1

Използвайте VMware vSphere клиента на вашия компютър, за да влезете във виртуалния хост ESXi.

2

Изберете Файл > Внедряване на OVF шаблон .

3

В съветника посочете местоположението на файла OVA, който сте изтеглили по-рано, и след това щракнете Следваща .

4

На Изберете име и папка страница, въведете a Име на виртуална машина за възела (например „HDS_ Нode_ 1"), изберете местоположение, където може да се намира разгръщането на възела на виртуална машина , и след това щракнете Следваща .

5

На Изберете изчислителен ресурс страница, изберете целевия изчислителен ресурс и след това щракнете Следваща .

Изпълнява се проверка за валидиране. След като приключи, се появяват подробностите за шаблона.

6

Проверете детайлите на шаблона и след това щракнете Следваща .

7

Ако бъдете помолени да изберете конфигурацията на ресурса на Конфигурация страница, щракнете 4 CPU и след това щракнете Следваща .

8

На Изберете място за съхранение страница, щракнете Следваща за да приемете дисковия формат по подразбиране и политиката за съхранение на VM .

9

На Изберете мрежи страница, изберете опцията за мрежа от списъка с записи, за да осигурите желаната свързаност към VM.

10

На Персонализирайте шаблона страница, конфигурирайте следните мрежови настройки:

Име на хост — Въведете FQDN (име на хост и домейн) или име на хост от една дума за възела.

Не е необходимо да задавате домейна да съвпада с домейна, който сте използвали за получаване на сертификата X.509.
За да осигурите успешна регистрация в облака, използвайте само малки букви в FQDN или името на хост, които сте задали за възела. Понастоящем изписването с главни букви не се поддържа.
Общата дължина на FQDN не трябва да надвишава 64 знака.

IP адрес — Въведете IP адрес за вътрешния интерфейс на възела.

Вашият възел трябва да има вътрешен IP адрес и DNS име. DHCP не се поддържа.
маска — Въведете адреса на маска на подмрежата в десетична нотация. например 255.255.255.0 .
Портал — Въведете IP адрес на шлюза. Шлюзът е мрежов възел, който служи като точка на достъп до друга мрежа.
DNS сървъри — Въведете разделен със запетая списък с DNS сървъри, които обработват преобразуването на имена на домейни в цифрови IP адреси. (Разрешени са до 4 DNS записа.)
NTP сървъри — Въведете NTP сървър на вашата организация или друг външен NTP сървър , който може да се използва във вашата организация. NTP сървърите по подразбиране може да не работят за всички предприятия. Можете също да използвате разделен със запетая списък, за да въведете множество NTP сървъри.

Разположете всички възли в една и съща подмрежа или VLAN, така че всички възли в клъстер да са достъпни от клиенти във вашата мрежа за административни цели.

Ако предпочитате, можете да пропуснете конфигурацията на мрежовите настройки и да следвате стъпките в Настройте хибридната VM машина за защита на данните за да конфигурирате настройките от конзолата на възела.

Опцията за конфигуриране на мрежови настройки по време на внедряване на OVA е тествана с ESXi 6.5. Възможно е опцията да не е налична в по-ранните версии.

11

Щракнете с десния бутон върху възела VM и след това изберете Мощност > Включване .

Софтуерът Hybrid Data Security се инсталира като гост на VM Host. Вече сте готови да влизам в конзолата и да конфигурирате възела.

Съвети за отстраняване на неизправности

Може да изпитате закъснение от няколко минути, преди да излязат контейнерите на възела. Съобщение за мостова защитна стена се появява на конзолата по време на първото стартиране, по време на което не можете да влизам.

Настройте хибридната VM машина за защита на данните

Използвайте тази процедура, за да влизам в конзолата за VM на възела на хибридната защита на данните за първи път и да зададете идентификационните данни за вход. Можете също да използвате конзолата, за да конфигурирате мрежови настройки за възела, ако не сте ги конфигурирали по време на внедряването на OVA.

1	В клиента VMware vSphere изберете своя VM възел за хибридна защита на данните и изберете Конзола раздел. VM се зарежда и се появява подкана за влизане. Ако подканата за влизане не се покаже, натиснете Въведете .
2	Използвайте следното потребителско име и парола по подразбиране, за да влизам и промените идентификационните данни: Вход: `admin` Парола: `cisco` Тъй като влизате във вашата VM за първи път, от вас се изисква да промените паролата на администратор.
3	Ако вече сте конфигурирали мрежови настройки в Инсталирайте HDS Host OVA , пропуснете останалата част от тази процедура. В противен случай в главно меню изберете Редактиране на конфигурация опция.
4	Настройте статична конфигурация с информация за IP адрес, маска, шлюз и DNS . Вашият възел трябва да има вътрешен IP адрес и DNS име. DHCP не се поддържа.
5	(По избор) Променете името на хоста, домейна или NTP сървър(ите), ако е необходимо, за да съответства на вашата мрежова политика. Не е необходимо да задавате домейна да съвпада с домейна, който сте използвали за получаване на сертификата X.509.
6	Запазете мрежова конфигурация и рестартирайте VM , така че промените да влязат в сила.

Качете и монтирайте ISO конфигурацията на HDS

Използвайте тази процедура, за да конфигурирате виртуална машина от ISO файла, който сте създали с инструмента за настройка на HDS.

Преди да започнете

Тъй като ISO файлът съдържа главния ключ, той трябва да бъде изложен само на базата на „необходимост да се знае“ за достъп от хибридните виртуални машини за защита на данните и всички администратори, които може да се наложи да направят промени. Уверете се, че само тези администратори имат достъп до хранилището на данни.

1

Качете ISO файла от вашия компютър:

В левия навигационен панел на клиента VMware vSphere щракнете върху ESXi сървъра.
В списъка Хардуер на раздела Конфигурация щракнете Съхранение .
В списъка Datastores щракнете с щраквам с десния бутон върху хранилището на данни за вашите VM и щракнете Преглед на Datastore .
Щракнете върху иконата за качване на файлове и след това щракнете върху Качване на файл .
Отидете до мястото, където сте изтеглили ISO файла на вашия компютър и щракнете Отвори .
Щракнете върху да за да приемете предупреждението за операцията за качване/изтегляне и затворете диалоговия прозорец за съхранение на данни.

2

Монтирайте ISO файла:

В левия навигационен панел на клиента VMware vSphere щракнете с щраквам с десния бутон върху VM и щракнете Редактиране на настройките .
Щракнете върху ОК за да приемете предупреждението за ограничени опции за редактиране.
Щракнете върху CD/DVD Drive 1, изберете опцията за монтиране от ISO файл на хранилище за данни и прегледайте мястото, където сте качили конфигурационния ISO файл.
Проверете Свързани и Свържете при включване .
Запазете промените и рестартирайте виртуална машина.

Какво да направите след това

Ако вашата ИТ политика изисква, можете по избор да демонтирате ISO файла, след като всички ваши възли приемат промените в конфигурацията. Виж (По избор) Демонтирайте ISO след HDS конфигурация за подробности.

Конфигурирайте HDS възел за прокси интеграция

Ако мрежовата среда изисква прокси, използвайте тази процедура, за да посочите типа прокси, който искате да интегрирате с Hybrid Data Security. Ако изберете прозрачно прокси за проверка или HTTPS изрично прокси, можете да използвате интерфейса на възела, за да качите и инсталирате главен сертификат. Можете също да проверите прокси връзката от интерфейса и да отстраните евентуални проблеми.

Преди да започнете

Виж Прокси поддръжка за преглед на поддържаните прокси опции.
Изисквания за прокси сървър

1	Въведете URL за настройка на HDS възел `https://[HDS Node IP or FQDN]/setup` в уеб браузър, въведете администраторските идентификационни данни, които сте настройвам за възела, и след това щракнете Влезте .
2	Отидете на Доверен магазин и прокси и след това изберете опция: Без прокси —Опция по опция по подразбиране, преди да интегрирате прокси. Не се изисква актуализация на сертификата. Прозрачен прокси без проверка — Възлите не са конфигурирани да използват конкретен адрес на прокси сървър и не трябва да изискват никакви промени, за да работят с неинспектиращ прокси сървър. Не се изисква актуализация на сертификата. Прозрачен инспектиращ прокси — Възлите не са конфигурирани да използват конкретен адрес на прокси сървър . Не са необходими промени в конфигурацията на HTTPS при внедряването на хибридна защита на данните, но HDS възлите се нуждаят от главен сертификат , така че да имат доверие на прокси сървъра. Проверяващите прокси сървъри обикновено се използват от ИТ за налагане на политики за това кои уебсайтове могат да бъдат посещавани и кои видове съдържание не са разрешени. Този тип прокси декриптира целия ви трафик (дори HTTPS). Изрично прокси —С изричен прокси, вие казвате на клиента (HDS възли) кой прокси сървър да използва и тази опция поддържа няколко типа удостоверяване. След като изберете тази опция, трябва да въведете следната информация: Прокси IP/ FQDN — Адрес, който може да се използва за достигане до прокси машината. Прокси порт —Номер на номер на порт , който проксито използва за прослушване на прокси трафик. Прокси протокол — Изберете http (преглежда и контролира всички заявки, които се получават от клиента) или https (предоставя канал към сървъра, а клиентът получава и валидира сертификата на сървъра). Изберете опция въз основа на това, което поддържа вашият прокси сървър . Тип на удостоверяването — Изберете измежду следните типове удостоверяване: Няма — не се изисква допълнително удостоверяване. Предлага се за HTTP или HTTPS прокси сървъри. Основен —Използва се за HTTP потребителски агент за предоставяне на потребителско име и парола при отправяне на заявка. Използва Base64 кодиране. Предлага се за HTTP или HTTPS прокси сървъри. Ако изберете тази опция, трябва също да въведете потребителско име и парола. Дайджест —Използва се за потвърждение на акаунта преди изпращане на чувствителна информация. Прилага хеш функция върху потребителското име и паролата преди изпращане по мрежата. Предлага се само за HTTPS прокси сървъри. Ако изберете тази опция, трябва също да въведете потребителско име и парола. Следвайте следващите стъпки за прозрачно прокси за проверка, HTTP изрично прокси с основно удостоверяване или HTTPS изрично прокси.
3	Щракнете върху Качете главен сертификат или сертификат за краен обект и след това отидете до a изберете главен сертификат за прокси сървъра. Сертификатът е качен, но все още не е инсталиран, защото трябва да рестартирате възела, за да инсталирате сертификата. Щракнете върху стрелката на шеврон до името на издателя на сертификата, за да получите повече подробности, или щракнете Изтрийте ако сте направили грешка и искате да качите отново файла.
4	Щракнете върху Проверете прокси връзката за да тествате връзка с мрежата между възела и проксито. Ако тестът на връзката е неуспешен, ще видите съобщение за грешка , което показва причината и как можете да коригирате проблема. Ако видите съобщение, че външната DNS резолюция не е била успешна, възелът не е успял да достигне до DNS сървър. Това условие се очаква в много изрични прокси конфигурации. Можете да продължите с настройката и възелът ще функционира в режим на Blocked External DNS Resolution. Ако смятате, че това е грешка, изпълнете тези стъпки и след това вижте Изключете Blocked External DNS Resolution Mode .
5	След като тестът на връзката премине, за изрично прокси, настроено само на https, включете превключвателя на Насочете всички заявки към порт 443/444 https от този възел през изричния прокси сървър . Тази настройка изисква 15 секунди, за да влезе в сила.
6	Щракнете върху Инсталирайте всички сертификати в Trust Store (появява се за HTTPS изричен прокси или прозрачен проверяващ прокси) или Рестартирайте (появява се за HTTP изрично прокси), прочетете подканата и след това щракнете Инсталирайте ако си готов. Възелът се рестартира в рамките на няколко минути.
7	След като възелът се рестартира, влизам отново, ако е необходимо, и след това отворете Общ преглед страница, за да проверите проверките за свързаност, за да се уверите, че всички са в зелено състояние. Проверката на прокси връзката тества само поддомейн на webex.com. Ако има проблеми със свързването, често срещан проблем е, че някои от облачните домейни, изброени в инструкциите за инсталиране, се блокират на прокси сървъра.

Регистрирайте първия възел в клъстера

Тази задача приема общия възел, който сте създали в Настройте хибридната VM машина за защита на данните , регистрира възела в облака Webex и го превръща в възел за хибридна защита на данните.

Когато регистрирате първия си възел, вие създавате клъстер, към който е присвоен възелът. Клъстерът съдържа един или повече възли, разположени за осигуряване на излишък.

Преди да започнете

След като започнете регистрацията на възел, трябва да го завършите в рамките на 60 минути или трябва да започнете отначало.
Уверете се, че всички блокиращи изскачащи прозорци във вашия браузър са деактивирани или че сте разрешили изключение за admin.webex.com.

1	Влезте в https://admin.webex.com.
2	От менюто в лявата част на екрана изберете Услуги .
3	В секцията Хибридни услуги намерете Hybrid Data Security и щракнете Настройте . Появява се страницата Register Hybrid Data Security Node.
4	Изберете да за да посочите, че сте настройвам възела и сте готови да го регистрирате, и след това щракнете Следваща .
5	В първото поле въведете име за клъстера, към който искате да присвоите своя възел за хибридна защита на данните. Препоръчваме ви да назовете клъстер въз основа на това къде се намират възлите на клъстера географски. Примери: "Сан Франциско" или "Ню Йорк" или "Далас"
6	Във второто поле въведете вътрешния IP адрес или напълно квалифицирано име на домейн (FQDN) на вашия възел и щракнете Следваща . Този IP адрес или FQDN трябва да съвпада с IP адрес или името на хоста и домейна, в който сте използвали Настройте хибридната VM машина за защита на данните . Появява се съобщение, което показва, че можете да регистрирате своя възел в Webex.
7	Щракнете върху Отидете на Node .
8	Щракнете върху Продължете в предупредително съобщение. След няколко минути ще бъдете пренасочени към тестовете за свързване на възел за услугите на Webex . Ако всички тестове са успешни, се появява страницата Разрешаване на достъп до възел за защита на хибридни данни. Там потвърждавате, че искате да дадете разрешения на вашата Webex организация за достъп до вашия възел.
9	Проверете Разрешете достъп до вашия възел за защита на хибридни данни квадратче за отметка и след това щракнете Продължете . Вашият акаунт е валидиран и съобщението „Регистрацията е завършена“ показва, че вашият възел вече е регистриран в облака на Webex .
10	Щракнете върху връзката или затворете раздела, за да се върнете към страницата за защита на хибридните данни на Control Hub. На Хибридна сигурност на данните страница, се показва новият клъстер, съдържащ възела, който сте регистрирали. Възелът автоматично ще изтегли най-новия софтуер от облака.

Създайте и регистрирайте още възли

За да добавите допълнителни възли към вашия клъстер, просто създавате допълнителни VM и монтирате същия конфигурационен ISO файл, след което регистрирате възела. Препоръчваме ви да имате поне 3 възела.

По това време резервните виртуални машини, в които сте създали Изпълнете предпоставките за хибридна защита на данните са резервни хостове, които се използват само в случай на възстановяване след срив; дотогава те не са регистрирани в системата. За подробности вж Възстановяване при бедствия с помощта на Център за данни в режим на готовност .

Преди да започнете

След като започнете регистрацията на възел, трябва да го завършите в рамките на 60 минути или трябва да започнете отначало.
Уверете се, че всички блокиращи изскачащи прозорци във вашия браузър са деактивирани или че сте разрешили изключение за admin.webex.com.

1	Създайте нова виртуална машина от OVA, като повторите стъпките в Инсталирайте HDS Host OVA .
2	Настройте първоначалната конфигурация на новата VM, като повторите стъпките в Настройте хибридната VM машина за защита на данните .
3	На новата VM повторете стъпките в Качете и монтирайте ISO конфигурацията на HDS .
4	Ако настройвате прокси за внедряването си, повторете стъпките в Конфигурирайте HDS възел за прокси интеграция както е необходимо за новия възел.
5	Регистрирайте възела. Вhttps://admin.webex.com , изберете Услуги от менюто в лявата част на екрана. В секцията Хибридни услуги намерете картата за защита на хибридни данни и щракнете Ресурси . Появява се страницата Ресурси за защита на хибридните данни. Щракнете върху Добавяне на ресурс . В първото поле изберете името на съществуващия си клъстер. Във второто поле въведете вътрешния IP адрес или напълно квалифицирано име на домейн (FQDN) на вашия възел и щракнете Следваща . Появява се съобщение, което показва, че можете да регистрирате своя възел в облака на Webex . Щракнете върху Отидете на Node . След няколко минути ще бъдете пренасочени към тестовете за свързване на възел за услугите на Webex . Ако всички тестове са успешни, се появява страницата Разрешаване на достъп до възел за защита на хибридни данни. Там потвърждавате, че искате да дадете разрешения на вашата организация за достъп до вашия възел. Проверете Разрешете достъп до вашия възел за защита на хибридни данни квадратче за отметка и след това щракнете Продължете . Вашият акаунт е валидиран и съобщението „Регистрацията е завършена“ показва, че вашият възел вече е регистриран в облака на Webex . Щракнете върху връзката или затворете раздела, за да се върнете към страницата за защита на хибридните данни на Control Hub. Вашият възел е регистриран. Имайте предвид, че докато не започнете пробна версия, вашите възли генерират аларма, показваща, че вашата услуга все още не е активирана.

Какво да направите след това

Изпълнете пробна версия и преминете към производство (следваща глава)

Изпълнете пробна версия и преминете към производство

Поток на задачата от пробна и производствена

След като настройвам клъстер за хибридна защита на данни, можете да стартирате пилотен, да добавите потребители към него и да започнете да го използвате за тестване и проверка на внедряването си в подготовка за преминаване към производство.

Преди да започнете

1	Ако е приложимо, синхронизирайте `HdsTrialGroup` групов обект. Ако вашата организация използва синхронизиране на директории за потребители, трябва да изберете `HdsTrialGroup` групов обект за синхронизиране с облака, преди да можете да започнете пробна версия. За инструкции вижте Ръководство за разгръщане на Cisco Directory Connector.
2	Активирайте пробна версия Започнете изпитание. Докато не изпълните тази задача, вашите възли генерират аларма, показваща, че услугата все още не е активирана.
3	Тествайте внедряването на вашата хибридна защита на данните Проверете дали ключовите заявки преминават към внедряването на вашата хибридна защита на данните.
4	Наблюдавайте здравето на хибридната защита на данните Проверете състоянието и настройвам известия по имейл за аларми.
5	Добавяне или премахване на потребители от вашия пробен период
6	Завършете пробната фаза с едно от следните действия: Преминете от пробна версия към производствена Прекратете пробния си период, без да преминете към производство

Активирайте пробна версия

Преди да започнете

Ако вашата организация използва синхронизиране на директории за потребители, трябва да изберете HdsTrialGroup групов обект за синхронизиране с облака, преди да можете да започнете пробна версия за вашата организация. За инструкции вижте Ръководство за разгръщане на Cisco Directory Connector.

1	Влезте вhttps://admin.webex.com и след това изберете Услуги .
2	Под Hybrid Data Security щракнете върху Настройки .
3	В секцията Състояние на услугата щракнете Започнете пробна версия . Състоянието на услугата се променя на пробен режим.
4	Щракнете върху Добавяне на потребители и въведете имейл адрес на един или повече потребители за пилотно използване на вашите възли за хибридна защита на данните за услуги за криптиране и индексиране. (Ако вашата организация използва синхронизиране на директории, използвайте Active Directory , за да управлявате пробната група, `HdsTrialGroup`.)

Тествайте внедряването на вашата хибридна защита на данните

Използвайте тази процедура, за да тествате сценарии за криптиране на хибридна защита на данните.

Преди да започнете

Настройте внедряването на хибридната защита на данните.
Активирайте пробната версия и добавете няколко пробни потребители.
Уверете се, че имате достъп до системния журнал, за да проверите дали ключовите заявки се предават към внедряването на хибридната защита на данните.

1

Ключовете за дадено пространство се задават от създателя на пространството. Влезте в приложението Webex като един от пилотните потребители и след това създайте пространство и поканете поне един пилотен потребител и един непилотен потребител.

Ако деактивирате внедряването на хибридна защита на данните, съдържанието в пространствата, които пилотните потребители създават, вече няма да бъде достъпно, след като кешираните от клиента копия на ключовете за криптиране бъдат заменени.

2

Изпращайте съобщения до новото пространство.

3

Проверете изхода на системния журнал, за да се уверите, че ключовите заявки преминават към вашето внедряване на хибридна защита на данните.

За да проверите дали потребител първо установява защитен канал към KMS, филтрирайте kms.data.method=create и kms.data.type=EPHEMERAL_KEY_COLLECTION:

Трябва да намерите запис като следния (идентификаторите, съкратени за четливост):

2020-07-21 17:35:34.562 (+0000) INFO  KMS [pool-14-thread-1] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms://hds2.org5.portun.us/statickeys/3[~]0 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=EPHEMERAL_KEY_COLLECTION, 
kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2

За да проверите за потребител, който иска съществуващ ключ от KMS, филтрирайте kms.data.method=retrieve и kms.data.type=KEY:

Трябва да намерите запис като:

2020-07-21 17:44:19.889 (+0000) INFO  KMS [pool-14-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=retrieve, 
kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriHost=ciscospark.com, kms.data.type=KEY, 
kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b

За да проверите за потребител, който иска създаване на нов KMS ключ, филтрирайте kms.data.method=create и kms.data.type=KEY_COLLECTION:

Трябва да намерите запис като:

2020-07-21 17:44:21.975 (+0000) INFO  KMS [pool-14-thread-33] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, 
kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, 
kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b

За да проверите за потребител, който иска създаването на нов KMS Resource Object (KRO), когато се създаде пространство или друг защитен ресурс, филтрирайте върху kms.data.method=create и kms.data.type=RESOURCE_COLLECTION:

Трябва да намерите запис като:

2020-07-21 17:44:22.808 (+0000) INFO  KMS [pool-15-thread-1] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

Наблюдавайте здравето на хибридната защита на данните

индикатор на състоянието в Control Hub ви показва дали всичко е наред с внедряването на хибридната защита на данните. За по-проактивни сигнали, записвам се за известия по имейл. Ще бъдете уведомени, когато има аларми, засягащи услугата, или надстройки на софтуера.

1	В Контролен център , изберете Услуги от менюто в лявата част на екрана.
2	В секцията Хибридни услуги намерете Hybrid Data Security и щракнете Настройки . Появява се страницата Настройки за защита на хибридните данни.
3	В секцията Известия по Имейл въведете един или повече имейл адреси, разделени със запетаи, и натиснете Въведете .

Добавяне или премахване на потребители от вашия пробен период

След като активирате пробен период и сте добавили първоначалния набор от потребители на пробния период, можете да добавяте или премахвате членове на пробния период по всяко време, докато пробният период е активен.

Ако премахнете потребител от пробната версия, клиентът на потребителя ще поиска ключове и създаване на ключ от облачния KMS вместо от вашия KMS. Ако клиентът се нуждае от ключ, който се съхранява във вашия KMS, облачният KMS ще го извлече от името на потребителя.

Ако вашата организация използва синхронизиране на директории, използвайте Active Directory (вместо тази процедура), за да управлявате пробната група, HdsTrialGroup; можете да видите членовете на групата в Control Hub, но не можете да ги добавяте или премахвате.

1	Влезте в Control Hub и след това изберете Услуги .
2	Под Hybrid Data Security щракнете върху Настройки .
3	В секцията Пробен режим на зоната Състояние на услугата щракнете Добавяне на потребители , или щракнете преглед и редактиране за да премахнете потребителите от пробния период.
4	Въведете имейл адрес на един или повече потребители, които да добавите, или щракнете върху X чрез ИД на потребител , за да премахнете потребителя от пробната версия. След това щракнете Запазете .

Преминете от пробна версия към производствена

Когато сте доволни, че внедряването ви работи добре за пробните потребители, можете да преминете към производство. Когато преминете към производство, всички потребители в организацията ще използват вашия в помещението домейн за хибридна защита на данните за ключове за криптиране и други услуги от сферата на сигурността. Не можете да се върнете обратно към пробен режим от производство, освен ако не деактивирате услугата като част от възстановяване след срив. Повторното активиране на услугата изисква да настройвам нов пробен период.

1	Влезте в Control Hub и след това изберете Услуги .
2	Под Hybrid Data Security щракнете върху Настройки .
3	В секцията Състояние на услугата щракнете Преминете към Производство .
4	Потвърдете, че искате да преместите всичките си потребители в производствения режим.

Прекратете пробния си период, без да преминете към производство

Ако по време на пробния период решите да не продължите с внедряването на хибридната защита на данните, можете да деактивирате хибридната защита на данните, което приключва пробния период и премества пробните потребители обратно към услугите за сигурност на облачните данни. Потребителите на пробния период ще загубят достъп до данните, които са били криптирани по време на пробния период.

1	Влезте в Control Hub и след това изберете Услуги .
2	Под Hybrid Data Security щракнете върху Настройки .
3	В секцията Деактивиране щракнете Деактивирайте .
4	Потвърдете, че искате да деактивирате услугата и да прекратите пробния период.

Управлявайте внедряването на HDS

Управление на внедряването на HDS

Използвайте описаните тук задачи, за да управлявате внедряването на вашата хибридна защита на данните.

Задайте график за надграждане на клъстер

Софтуерните надстройки за хибридна защита на данните се извършват автоматично на ниво клъстер, което гарантира, че всички възли винаги работят с една и съща версия на софтуер. Надстройките се извършват според графика за надграждане на клъстера. Когато надстройката на софтуера стане налична, имате възможност да надстроите ръчно клъстера преди планираното време за надстройка. Можете да зададете конкретен график за надграждане или да използвате графика по подразбиране от 3:00 часа AM всеки ден Съединени щати: Америка/Лос Анджелис. Можете също да изберете да отложите предстояща надстройка, ако е необходимо.

За да зададете графика за надстройка:

1	Влезте в Контролен център .
2	На страницата Общ преглед под Хибридни услуги изберете Хибридна сигурност на данните .
3	На страницата Ресурси за защита на хибридни данни изберете клъстера.
4	В панела Преглед вдясно под Настройки на клъстера изберете името на клъстера.
5	На страницата Настройки, под Надстройка, изберете часа и часова зона за графика за надстройка. Забележка: Под часова зона се показва следващата налична дата и час за надстройка. Можете да отложите надстройката за следващия ден, ако е необходимо, като щракнете Отложете .

Променете конфигурацията на възела

Понякога може да се наложи да промените конфигурацията на вашия възел за хибридна защита на данните поради причина като:

Промяна на сертификати x.509 поради изтичане или други причини.

Не поддържаме промяна на име на домейн на сертификат. Домейнът трябва да съвпада с оригиналния домейн, използван за регистриране на клъстера.

Актуализиране на настройките на базата данни за промяна на реплика на базата данни PostgreSQL или Microsoft SQL Server.

Не поддържаме мигриране на данни от PostgreSQL към Microsoft SQL Server или по обратния начин. За да превключите средата на базата данни, започнете ново внедряване на хибридна защита на данните.

Създаване на нова конфигурация за подготовка на нов център за данни.

Също така, за целите на сигурността, Hybrid Data Security използва пароли за акаунт на услуга, които имат деветмесечен живот. След като инструментът за настройка на HDS генерира тези пароли, вие ги разгръщате във всеки от вашите HDS възли в ISO конфигурационния файл. Когато паролите на вашата организация изтичат, получавате известие от екипа на Webex да нулирате паролата за вашия акаунт на машината. (Имейлът включва текста „Използвайте API на акаунта на машината, за да актуализирате паролата.“) Ако вашите пароли все още не са изтекли, инструментът ви дава две опции:

Меко нулиране — И старата, и новата парола работят до 10 дни. Използвайте този период, за да замените постепенно ISO файла на възлите.
Твърдо нулиране —Старите пароли спират да работят незабавно.

Ако вашите пароли изтичат без нулиране, това се отразява на вашата HDS услуга, изисквайки незабавно твърдо нулиране и подмяна на ISO файла на всички възли.

Използвайте тази процедура, за да генерирате нов конфигурационен ISO файл и да го приложите към вашия клъстер.

Преди да започнете

Инструментът за настройка на HDS работи като Docker контейнер на локална машина. За да получите достъп до него, стартирайте Docker на тази машина. Процесът на настройка изисква идентификационни данни на акаунт в Control Hub с пълни администраторски права за вашата организация.

Ако инструментът за настройка на HDS работи зад прокси във вашата среда, предоставете настройките на прокси сървъра (сървър, порт, идентификационни данни) чрез променливите на средата на Docker, когато извеждате контейнера на Docker в 1.д . Тази таблица дава някои възможни променливи на средата:

Описание	Променлива
HTTP прокси без удостоверяване	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS прокси без удостоверяване	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP прокси с удостоверяване	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS прокси с удостоверяване	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Имате нужда от копие на текущия конфигурационен ISO файл, за да генерирате нова конфигурация. ISO съдържа главния ключ, криптиращ PostgreSQL или базата данни на Microsoft SQL Server. Имате нужда от ISO , когато правите промени в конфигурацията, включително идентификационни данни на базата данни, актуализации на сертификати или промени в политиката за оторизация.

1

Като използвате Docker на локална машина, стартирайте инструмента за настройка на HDS.

В командния ред на вашата машина въведете подходящата команда за вашата среда:

В редовна среда:

docker rmi ciscocitg/hds-setup:stable

В FedRAMP среди:

docker rmi ciscocitg/hds-setup-fedramp:stable

Тази стъпка почиства предишни изображения на инструмента за настройка на HDS. Ако няма предишни изображения, той връща грешка, която можете да игнорирате.

За да влизам в регистъра на изображенията на Docker, въведете следното:
```
docker login -u hdscustomersro
```
При подкана за парола въведете този хеш:
```
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
```

Изтеглете най-новото стабилно изображение за вашата среда:

В редовна среда:

docker pull ciscocitg/hds-setup:stable

В FedRAMP среди:

docker pull ciscocitg/hds-setup-fedramp:stable

Уверете се, че сте изтеглили най-новия инструмент за настройка за тази процедура. Версиите на инструмента, създадени преди 22 февруари 2018 г., нямат екрани за нулиране на паролата.

Когато изтеглянето завърши, въведете подходящата команда за вашата среда:

В обикновени среди без прокси:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

В обикновени среди с HTTP прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

В обикновени среди с HTTPSproxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

В FedRAMP среди без прокси:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

В FedRAMP среди с HTTP прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

В FedRAMP среди с HTTPS прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Когато контейнерът работи, виждате „Експресно слушане на сървър на порт 8080“.

Използвайте браузър, за да се свържете с локалния хост, http://127.0.0.1:8080.

Инструментът за настройка не поддържа свързване към localhost чрез http://localhost:8080 . Използвайтеhttp://127.0.0.1:8080 за да се свържете с локален хост.

Когато бъдете подканени, въведете вашите идентификационни данни за влизане в Control Hub и след това щракнете Приемам да продължи.
Импортирайте текущия конфигурационен ISO файл.
Следвайте подканите, за да завършите инструмента и да изтеглите актуализирания файл.

За да изключите инструмента за настройка, въведете CTRL+C.
Създайте резервно копие на актуализирания файл в друг център за данни.

2

Ако имате работещ само един HDS възел , създайте нов VM на възел за хибридна защита на данните и го регистрирайте с помощта на новия конфигурационен ISO файл. За по-подробни инструкции вж Създайте и регистрирайте още възли .

Инсталирайте HDS хост OVA.
Настройте HDS VM.
Монтирайте актуализирания конфигурационен файл.
Регистрирайте новия възел в Control Hub.

3

За съществуващи HDS възли, които изпълняват по-стария конфигурационен файл, монтирайте ISO файла. Изпълнете следната процедура на всеки възел на свой ред, като актуализирате всеки възел, преди да изключите следващия възел:

Изключете виртуална машина.
В левия навигационен панел на клиента VMware vSphere щракнете с щраквам с десния бутон върху VM и щракнете Редактиране на настройките .
Щракнете върху CD/DVD Drive 1, изберете опцията за монтиране от ISO файл и прегледайте мястото, където сте изтеглили новия конфигурационен ISO файл.
Проверете Свържете при включване .
Запазете промените си и включете виртуална машина.

4

Повторете стъпка 3, за да замените конфигурацията на всеки останал възел, който изпълнява старата конфигурация.

Изключете Blocked External DNS Resolution Mode

Когато регистрирате възел или проверявате прокси конфигурацията на възела, процесът тества търсенето на DNS и свързаността с облака на Cisco Webex . Ако DNS сървър на възела не може да разреши публични DNS имена, възелът автоматично преминава в режим на Blocked External DNS Resolution.

Ако вашите възли са в състояние да разрешават публични DNS имена чрез вътрешни DNS сървъри, можете да изключите този режим, като стартирате повторно теста за прокси връзка на всеки възел.

Преди да започнете

Уверете се, че вашите вътрешни DNS сървъри могат да разрешават публични DNS имена и че вашите възли могат да комуникират с тях.

1	В уеб браузър отворете интерфейса на възела на хибридната защита на данните (IP адрес/настройка, например,https://192.0.2.0/setup), въведете администраторските идентификационни данни, които сте настройвам за възела, и след това щракнете Влезте .
2	Отидете на Общ преглед (страницата по подразбиране). Когато е активирано, Блокирана външна DNS разделителна способност е настроен на да .
3	Отидете до Доверен магазин и прокси страница.
4	Щракнете върху Проверете прокси връзката . Ако видите съобщение, че външната DNS резолюция не е била успешна, възелът не е успял да достигне до DNS сървър и ще остане в този режим. В противен случай, след като рестартирате възела и се върнете към Общ преглед страница, Разделителната способност за блокиран външен DNS трябва да бъде зададена на не.

Какво да направите след това

Повторете теста на прокси връзката на всеки възел във вашия клъстер за хибридна защита на данните.

Премахване на възел

Използвайте тази процедура, за да премахнете възел за защита на хибридни данни от облака на Webex . След като премахнете възела от клъстера, изтрийте виртуална машина, за да предотвратите по-нататъшен достъп до вашите данни за сигурност.

1

Използвайте VMware vSphere клиента на вашия компютър, за да влезете във виртуалния хост на ESXi и да изключите виртуална машина.

2

Премахнете възела:

Влезте в Control Hub и след това изберете Услуги .
На картата за защита на хибридни данни щракнете Вижте всички за да се покаже страницата Ресурси за защита на хибридните данни.
Изберете своя клъстер, за да покажете неговия панел за преглед.
Щракнете върху Отворете списъка с възли .
В раздела Възли изберете възела, който искате да премахнете.
Щракнете върху Действия > Дерегистриране на възел .

3

В vSphere клиента изтрийте VM. (В левия навигационен панел щракнете с щраквам с десния бутон върху VM и щракнете Изтрийте .)

Ако не изтриете VM, не забравяйте да демонтирате конфигурационния ISO файл. Без ISO файла не можете да използвате VM за достъп до вашите данни за сигурност.

Възстановяване при бедствия с помощта на Център за данни в режим на готовност

Най-критичната услуга, която предоставя вашият клъстер за хибридна защита на данни, е създаването и съхранението на ключове, използвани за криптиране на съобщения и друго съдържание, съхранявано в облака на Webex . За всеки потребител в организацията, който е назначен към хибридна защита на данните, заявките за създаване на нови ключове се насочват към клъстера. Клъстерът е отговорен и за връщането на създадените от него ключове на всички потребители, упълномощени да ги извличат, например членове на пространство за разговор.

Тъй като клъстерът изпълнява критичната функция за предоставяне на тези ключове, наложително е клъстерът да продължи да работи и да се поддържат правилни резервни копия. Загубата на базата данни за хибридна защита на данните или на конфигурацията ISO , използвана за схемата, ще доведе до НЕВЪЗСТАНОВИМА ЗАГУБА на клиентско съдържание. Следните практики са задължителни за предотвратяване на такава загуба:

Ако бедствие причини внедряването на HDS в основния център за данни да стане недостъпно, следвайте тази процедура, за да преминете ръчно към резервния център за данни.

1

Стартирайте инструмента за настройка на HDS и следвайте стъпките, посочени в Създайте ISO конфигурация за HDS хостовете .

2

След като конфигурирате сървъра Syslogd, щракнете върху Разширени настройки

3

На Разширени настройки страница, добавете конфигурацията по-долу или премахнете passiveMode конфигурация, за да направи възела активен. Възелът може да обработва трафик, след като това е конфигурирано.


passiveMode: 'false'

4

Завършете процеса на конфигуриране и запазете ISO файла на място, което е лесно за намиране.

5

Направете резервно копие на ISO файла във вашата локална система. Пазете резервното копие сигурно. Този файл съдържа главен ключ за шифроване за съдържанието на базата данни. Ограничете достъпа само до онези администратори на Hybrid Data Security, които трябва да направят промени в конфигурацията.

6

В левия навигационен панел на клиента VMware vSphere щракнете с щраквам с десния бутон върху VM и щракнете Редактиране на настройките. .

7

Щракнете върху Редактиране на настройките > CD/ DVD устройство 1 и изберете Datastore ISO File.

Уверете се Свързани и Свържете при включване са проверени, така че актуализираните промени в конфигурацията да влязат в сила след стартиране на възлите.

8

Включете HDS възела и се уверете, че няма аларми за поне 15 минути.

9

Повторете процеса за всеки възел в център за данни в режим на готовност.

Проверете изхода на системния журнал, за да се уверите, че възлите на център за данни в режим на готовност не са в пасивен режим. „KMS, конфигуриран в пасивен режим“ не трябва да се появява в системните дневници.

Какво да направите след това

След отказ, ако основният център за данни стане отново активен, поставете център за данни в режим на готовност отново в пасивен режим, като следвате стъпките, описани в Настройте център за данни в режим на готовност за възстановяване при бедствия .

(По избор) Демонтирайте ISO след HDS конфигурация

Стандартната HDS конфигурация работи с монтиран ISO . Но някои клиенти предпочитат да не оставят ISO файловете непрекъснато монтирани. Можете да демонтирате ISO файла, след като всички HDS възли вземат новата конфигурация.

Все още използвате ISO файловете, за да правите промени в конфигурацията. Когато създавате нов ISO или актуализирате ISO чрез инструмента за настройка, трябва да монтирате актуализирания ISO на всичките си HDS възли. След като всичките ви възли приемат промените в конфигурацията, можете да демонтирате ISO отново с тази процедура.

Преди да започнете

Надстройте всичките си HDS възли до версия 2021.01.22.4720 или по-нова.

1	Изключете един от вашите HDS възли.
2	Във vCenter Server Appliance изберете HDS възела.
3	Изберете Редактиране на настройките > CD/ DVD устройство и премахнете отметката ISO файл на хранилище за данни .
4	Включете HDS възела и се уверете, че няма аларми за поне 20 минути.
5	Повторете последователно за всеки HDS възел.

Отстраняване на проблеми със сигурността на хибридните данни

Преглед на сигнали и отстраняване на неизправности

Разгръщането на хибридна защита на данните се счита за недостъпно, ако всички възли в клъстера са недостъпни или клъстерът работи толкова бавно, че изисква време за изчакване. Ако потребителите не могат да достигнат до вашия клъстер за защита на хибридни данни, те изпитват следните симптоми:

Не могат да се създават нови пространства (не може да се създадат нови ключове)
Съобщенията и заглавията на пространството не могат да се дешифрират за:
- Нови потребители, добавени към пространство (не могат да извлекат ключове)
- Съществуващи потребители в пространство, използващи нов клиент (не може да извлече ключове)
Съществуващите потребители в пространство ще продължат да работят успешно, докато техните клиенти имат кеш на ключовете за криптиране

Важно е правилно да наблюдавате своя клъстер за хибридна защита на данните и незабавно да адресирате всички предупреждения, за да избегнете прекъсване на услугата.

Предупреждения

Ако има проблем с настройката на хибридната защита на данните, Control Hub показва сигнали до администратора на организацията и изпраща имейли до конфигурирания имейл адрес. Сигналите обхващат много често срещани сценарии.

Таблица 1. Често срещани проблеми и стъпки за разрешаването им
Предупреждение	Действие
Грешка при достъп до локална база данни.	Проверете за грешки в базата данни или проблеми с локалната мрежа.
неуспешна връзка с локална база данни.	Проверете дали сървърът на сървър на база с данни е наличен и правилните идентификационни данни за акаунт на услуга са били използвани в конфигурацията на възел.
Грешка при достъп до облачна услуга.	Проверете дали възлите имат достъп до сървърите на Webex , както е посочено в Изисквания за външна свързаност .
Подновяване на регистрацията на облачна услуга.	Регистрацията в облачни услуги беше прекратена. Подновяването на регистрацията е в ход.
Регистрацията на облачна услуга отпадна.	Регистрацията в облачни услуги е прекратена. Услугата се изключва.
Услугата все още не е активирана.	Активирайте пробна версия или завършете преместването на пробната версия в производствен.
Конфигурираният домейн не съответства на сертификат на сървъра.	Уверете се, че вашият сертификат на сървъра съответства на конфигурирания домейн за активиране на услугата. Най-вероятната причина е, че CN на сертификата е наскоро променен и вече е различен от CN, който е бил използван по време на първоначалната настройка.
Удостоверяването на облачни услуги не бе успешно.	Проверете за точността и възможното изтичане на идентификационните данни за акаунт на услуга .
Неуспешно отваряне на файл с локално хранилище за ключове.	Проверете за целостта и точността на паролата във файла на локалното хранилище на ключове.
сертификат на сървъра е невалиден.	Проверете дата на изтичане на валидността or, shortened, дата на изтичане на сертификата на сървъра и потвърдете, че е издаден от доверен орган за сертификати.
Не може да се публикуват показатели.	Проверете достъпа на локалната мрежа до външни облачни услуги.
/media/configdrive/hds директорията не съществува.	Проверете конфигурацията за монтиране на ISO на виртуален хост. Проверете дали ISO файлът съществува, дали е конфигуриран да се монтира при рестартиране и че се монтира успешно.

Отстраняване на проблеми със сигурността на хибридните данни

Използвайте следните общи указания, когато отстранявате проблеми с Hybrid Data Security.

1	Прегледайте Control Hub за сигнали и коригирайте всички елементи, които намерите там.
2	Прегледайте изхода на syslog сървъра за активност от внедряването на хибридна защита на данните.
3	Контакт Поддръжка на Cisco .

Други бележки

Известни проблеми за сигурността на хибридните данни

Ако изключите своя клъстер за хибридна защита на данни (чрез го изтриете в Control Hub или като изключите всички възли), загубите своя конфигурационен ISO файл или загубите достъп до базата данни на хранилището на ключове, потребителите на вашето Webex App вече няма да могат да използват пространства под своите хора списък, които са създадени с ключове от вашия KMS. Това се отнася както за пробно, така и за производствено внедряване. Понастоящем нямаме решение или решение за този проблем и ви призоваваме да не изключвате вашите HDS услуги, след като те обработват активни потребителски акаунти.
Клиент, който има съществуваща ECDH връзка към KMS, поддържа тази връзка за определен период от време (вероятно един час). Когато потребителят стане член на пробна версия за хибридна защита на данните, клиентът на потребителя продължава да използва съществуващата ECDH връзка, докато не изтече. Като алтернатива, потребителят може да излизам отново в приложението Webex App, за да актуализира местоположението, с което приложението се свързва за ключове за криптиране.

Същото поведение се случва, когато преместите пробен период в производствен за организацията. Всички потребители без опит със съществуващи ECDH връзки към предишните услуги за сигурност на данните ще продължат да използват тези услуги, докато ECDH връзката не бъде предоговорена (чрез изчакване или чрез излизане и обратно).

Използвайте OpenSSL, за да генерирате PKCS12 файл

Преди да започнете

OpenSSL е един инструмент, който може да се използва за създаване на файла PKCS12 в правилния формат за зареждане в инструмента за настройка на HDS. Има и други начини да направите това и ние не подкрепяме или популяризираме един начин пред друг.
Ако решите да използвате OpenSSL, ние предоставяме тази процедура като насока, за да ви помогнем да създадете файл, който отговаря на изискванията на сертификата X.509 в X.509 Изисквания за сертификат . Разберете тези изисквания, преди да продължите.
Инсталирайте OpenSSL в поддържана среда. Вижhttps://www.openssl.org за софтуера и документацията.
Създайте частен ключ.
Започнете тази процедура, когато получите сертификат на сървъра от вашия орган за сертификати (CA).

1	Когато получите сертификат на сървъра от вашия CA, запазете го като `hdsnode.pem`.
2	Покажете сертификата като текст и проверете подробностите. `openssl x509 -text -noout -in hdsnode.pem`
3	Използвайте текстов редактор, за да създадете файл с пакет от сертификати, наречен `hdsnode-bundle.pem`. Пакетният файл трябва да включва сертификат на сървъра, всички междинни CA сертификати и сертификатите за основния CA във формат по-долу: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	Създайте .p12 файла с приятелското име `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Проверете подробностите за сертификат на сървъра . `openssl pkcs12 -in hdsnode.p12` Въведете парола при подкана, за да шифровате частния ключ, така че да бъде посочен в изхода. След това проверете дали частният ключ и първият сертификат включват редовете `friendlyName: kms-private-key`. Пример: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: <No Attributes> Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- <redacted> -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- <redacted> -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- <redacted> -----END CERTIFICATE-----

Какво да направите след това

Върнете се към Изпълнете предпоставките за хибридна защита на данните . Вие ще използвате hdsnode.p12 файл и паролата, която сте задали за него, в Създайте ISO конфигурация за HDS хостовете .

Можете да използвате повторно тези файлове, за да поискате нов сертификат, когато оригиналният сертификат изтече.

Трафик между HDS възлите и облака

Изходящ трафик за събиране на показатели

Възлите за хибридна защита на данните изпращат определени показатели към облака на Webex . Те включват системни метрики за макс. хеп, използван хеп, натоварване на CPU и брой нишки; метрики за синхронни и асинхронни нишки; показатели за сигнали, включващи праг на криптиращи връзки, латентност или дължина на опашката за заявки; метрики на хранилището за данни; и показатели за криптиране на връзката. Възлите изпращат криптиран ключов материал по извънлентов (отделен от заявката) канал.

Входящ трафик

Възлите за защита на хибридните данни получават следните типове входящ трафик от облака на Webex :

Заявки за криптиране от клиенти, които се насочват от услугата за криптиране
Надстройки на софтуера на възела

Конфигурирайте Squid прокси сървъри за хибридна защита на данните

Websocket не може да се свърже чрез Squid прокси

Squid прокси сървърите, които проверяват HTTPS трафика, могат да попречат на установяването на websocket ( wss:) връзки, които изисква Hybrid Data Security. Тези раздели дават насоки как да конфигурирате различни версии на Squid за игнориране wss: трафик за правилното функциониране на услугите.

Калмари 4 и 5

Добавете on_unsupported_protocol директива за squid.conf:

on_unsupported_protocol tunnel all

Калмари 3.5.27

Успешно тествахме хибридната защита на данните с добавени следните правила squid.conf. Тези правила подлежат на промяна, докато разработваме функции и актуализираме облака на Webex .

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Предговор

Нова и променена информация

Дата

Направени промени

20 октомври 2023 г

Актуализирана информация в Изисквания за сървър на база данни .
Добавено Настройте център за данни в режим на готовност за възстановяване при бедствия .
Актуализирана информация в Център за данни в режим на готовност за възстановяване при бедствия и Възстановяване при бедствия с помощта на Център за данни в режим на готовност .

07 август 2023 г

Добавена бележка в Изтеглете инсталационни файлове .
Добавена бележка в Създайте ISO конфигурация за HDS хостовете и Променете конфигурацията на възела .

23 май 2023 г

Изтрита информация от Изисквания за сървър на база данни да поискате функция да бъде активирана, като се свържете с екипа на акаунта.
Актуализирана информация в Изисквания за външна свързаност и добави Канада към таблицата с хостове на CI.
Добавена бележка в Очаквания за внедряване на хибридна защита на данните относно липсата на механизми за преместване на ключове обратно в облака.

06 декември 2022 г

Изображенията на HDS Setup Tool вече се хостват в ciscocitg хранилище на dockerhub.
Актуализиран Създайте ISO конфигурация за HDS хостовете и Променете конфигурацията на възела теми за отразяване на промените в командите.

23 ноември 2022 г

HDS възлите вече могат да използват удостоверяване на Windows срещу Microsoft SQL Server.

Актуализиран Изисквания за сървър на база данни тема с допълнителни изисквания за този режим на удостоверяване.

Актуализиран Създайте ISO конфигурация за HDS хостовете с процедурата за конфигуриране на удостоверяване на Windows на възлите.
Актуализиран Изисквания за сървър на база данни тема с нови минимално необходими версии (PostgreSQL 10).

13 октомври 2021 г

Docker Desktop трябва да стартира програма за настройка, преди да можете да инсталирате HDS възли. Виж Изисквания за работния плот на Docker .

24 юни 2021 г

Отбелязано е, че можете да използвате повторно файла с частен ключ и CSR , за да поискате друг сертификат. Виж Използвайте OpenSSL, за да генерирате PKCS12 файл за подробности.

30 април 2021 г.

Променено изискването за VM за локално пространство на твърдия диск на 30 GB. Виж Изисквания за виртуален хост за подробности.

24 февруари 2021 г

HDS Setup Tool вече може да работи зад прокси. Виж Създайте ISO конфигурация за HDS хостовете за подробности.

2 февруари 2021 г

HDS вече може да работи без монтиран ISO файл. Виж (По избор) Демонтирайте ISO след HDS конфигурация за подробности.

11 януари 2021 г

Добавена информация за инструмента за настройка на HDS и прокси сървърите към Създайте ISO конфигурация за HDS хостовете .

13 октомври 2020 г

Актуализиран Изтеглете инсталационни файлове .

08 октомври 2020 г.

Актуализиран Създайте ISO конфигурация за HDS хостовете и Променете конфигурацията на възела с команди за FedRAMP среди.

14 август 2020 г

Актуализиран Създайте ISO конфигурация за HDS хостовете и Променете конфигурацията на възела с промени в процеса на влизане.

5 август 2020 г

Актуализиран Тествайте внедряването на вашата хибридна защита на данните за промени в регистрационните съобщения.

Актуализиран Изисквания за виртуален хост за премахване на максимален брой хостове.

16 юни 2020 г

Актуализиран Премахване на възел за промени в потребителския интерфейс на Control Hub.

4 юни 2020 г

Актуализиран Създайте ISO конфигурация за HDS хостовете за промени в разширените настройки, които може да зададете.

29 май 2020 г

Актуализиран Създайте ISO конфигурация за HDS хостовете за да покажете, че можете също да използвате TLS с бази данни на SQL Server, промени в потребителския интерфейс и други разяснения.

5 май 2020 г

Актуализиран Изисквания за виртуален хост да покаже новото изискване на ESXi 6.5.

21 април 2020 г

Актуализиран Изисквания за външна свързаност с нови хостове на Америка CI.

1 април 2020 г.

Актуализиран Изисквания за външна свързаност с информация за регионалните CI хостове.

20 февруари 2020 г Актуализиран Създайте ISO конфигурация за HDS хостовете с информация за нов опционален екран с разширени настройки в инструмента за настройка на HDS.

4 февруари 2020 г Актуализиран Изисквания за прокси сървър .

16 декември 2019 г. Изяснява се изискването за работа в режим на разделяне на блокиран външен DNS Изисквания за прокси сървър .

19 ноември 2019 г

Добавена информация за Blocked External DNS Resolution Mode в следните раздели:

Прокси поддръжка
Конфигурирайте HDS възел за прокси интеграция
Изключете Blocked External DNS Resolution Mode

8 ноември 2019 г

Вече можете да конфигурирате мрежови настройки за възел, докато разгръщате OVA, а не след това.

Актуализирани съответно следните раздели:

Поток на задачи за внедряване на хибридна защита на данните
Инсталирайте HDS Host OVA
Настройте хибридната VM машина за защита на данните

Опцията за конфигуриране на мрежови настройки по време на внедряване на OVA е тествана с ESXi 6.5. Възможно е опцията да не е налична в по-ранните версии.

6 септември 2019 г

Добавен SQL Server Standard към Изисквания за сървър на база данни .

Август 29, 2019 Добавено Конфигурирайте Squid прокси сървъри за хибридна защита на данните приложение с насоки за конфигуриране на Squid прокси сървъри за игнориране на трафика от websocket за правилна работа.

20 август 2019 г

Добавени и актуализирани секции, за да покрият поддръжката на прокси за комуникации на възел за хибридна защита на данните към облака на Webex .

Прокси поддръжка
Изисквания за прокси сървър
Конфигурирайте HDS възел за прокси интеграция

За достъп само до съдържанието за поддръжка на прокси за съществуващо внедряване, вижте Прокси поддръжка за хибридна защита на данните и Webex Video Mesh помощна статия.

13 юни 2019 г Актуализиран Поток на задачата от пробна и производствена с напомняне за синхронизиране на HdsTrialGroup групов обект преди стартиране на пробна версия, ако вашата организация използва синхронизиране на директории.

6 март 2019 г

Изискванията и предпоставките са преместени в отделна глава, Подгответе вашата среда .
Добавен Поток на задачи за внедряване на хибридна защита на данните преглед в главата Създайте хибриден клъстер за сигурност на данните .

Отбелязано е, че докато не започнете пробна версия (като използвате инструкциите в следващата глава), вашите възли генерират аларма, показваща, че вашата услуга все още не е активирана.
Добавен Поток на задачата от пробна и производствена в главата Изпълнете пробна версия и преминете към производство .

Февруари 28, 2019

Коригирано е количеството локално пространство на твърдия диск на сървър, което трябва да заделите, когато подготвяте виртуалните хостове, които стават възли за хибридна защита на данните, от 50-GB на 20-GB, за да отразите размера на диска, който OVA създава.

26 февруари 2019 г.

Възлите за хибридна защита на данните вече поддържат криптирани връзки със сървъри на база данни PostgreSQL и криптирани връзки за регистриране към TLS-способен syslog сървър. Актуализиран Създайте ISO конфигурация за HDS хостовете с инструкции.
Премахнати целеви URL адреси от таблицата „Изисквания за интернет свързаност за хибридни виртуални машини за защита на данни“. Таблицата вече се отнася до списъка, поддържан в таблицата „Допълнителни URL адреси за хибридни услуги на Webex Teams“ на Мрежови изисквания за услугите на Webex Teams .

24 януари 2019 г

Hybrid Data Security вече поддържа Microsoft SQL Server като база данни. SQL Server Always On (Always On Failover Clusters и Always on Availability Groups) се поддържа от JDBC драйверите, които се използват в Hybrid Data Security. Добавено съдържание, свързано с внедряването със SQL Server.

Поддръжката на Microsoft SQL Server е предназначена само за нови разполагания на хибридната защита на данните. Понастоящем не поддържаме мигриране на данни от PostgreSQL към Microsoft SQL Server в съществуващо разполагане.

5 ноември 2018 г

Добавена е предварителна стъпка за почистване на всички съществуващи екземпляри на docker hds Създайте ISO конфигурация за HDS хостовете и Променете конфигурацията на възела .
Актуализирана стъпка за ниво на достъп до ключ Създайте ISO конфигурация за HDS хостовете за да съответства на интерфейса.

19 октомври 2018 г

Разделете информацията за връзката на защитната стена в изисквания за възел и изисквания за ISO конфигурация на машината Изпълнете предпоставките за хибридна защита на данните .

31 юли 2018 г

Добавен е порт 22 (SSH достъп) и информация за връзките на NAT и защитната стена Изпълнете предпоставките за хибридна защита на данните .

21 май 2018 г.

Променена терминология, за да отрази ребрандирането на Cisco Spark:

Cisco Spark Hybrid Data Security вече е Hybrid Data Security.
Приложението Cisco Spark вече е приложението Webex App.
Облакът на Cisco Collaboraton вече е облакът на Webex .

11 април 2018 г

Добавено Център за данни в режим на готовност за възстановяване при бедствия .
Актуализиран Изпълнете предпоставките за хибридна защита на данните за да посочите, че средата за архивиране трябва да бъде в различен център за данни.
Актуализиран Възстановяване при бедствия с помощта на Център за данни в режим на готовност .

22 февруари 2018 г

Добавена е информация за паролата за акаунт на услуга 9-месечен живот и използване на инструмента за настройка на HDS за нулиране на паролите за акаунт на услуга , в Създайте ISO конфигурация за HDS хостовете и Променете конфигурацията на възела .

15 февруари 2018

В X.509 Изисквания за сертификат таблица, посочи, че сертификатът не може да бъде сертификат с заместващ знак и че KMS използва домейна CN, а не всеки домейн, който е дефиниран в полетата на x.509v3 SAN.

18 януари 2018

Добавено приложение, Трафик между HDS възлите и облака .
Премахнат разрешен проблем от Известни проблеми за сигурността на хибридните данни .
Променен index.docker.io на *.docker.io и добавен *.cloudfront.net към списъка с изисквания за TCP свързаност за HDS възлите в Изпълнете предпоставките за хибридна защита на данните .
Актуализиран Създайте ISO конфигурация за HDS хостовете за да посочите, че ако хостът на базата данни и сървърът Syslogd не са DNS-разрешими от HDS възлите, трябва да ги конфигурирате с помощта на IP адреси.

2 ноември 2017 г

Изяснена синхронизация на директории на HdsTrialGroup.
Фиксирани инструкции за качване на ISO конфигурационен файл за монтиране към VM възлите.

18 август 2017 г

Публикувано за първи път

Започнете с хибридна защита на данните

Преглед на сигурността на хибридните данни

От първия ден сигурността на данните е основният фокус при проектирането на Webex App. Крайъгълният камък на тази сигурност е криптирането на съдържание от край до край, активирано от клиентите на Webex App, взаимодействащи с услугата за управление на ключове (KMS). KMS отговаря за създаването и управлението на криптографските ключове, които клиентите използват за динамично криптиране и декриптиране на съобщения и файлове.

По подразбиране всички клиенти на Webex App получават криптиране от край до край с динамични ключове, съхранявани в облачния KMS, в сферата на сигурността на Cisco. Hybrid Data Security премества KMS и други функции, свързани със сигурността, във вашия корпоративни данни , така че никой освен вас не държи ключовете за вашето криптирано съдържание.

Архитектура на сферата на сигурността

Облачната архитектура на Webex разделя различни видове услуги в отделни сфери или домейни на доверие, както е показано по-долу.

За да разберем по-добре хибридната защита на данните, нека първо разгледаме този чист облачен случай, където Cisco предоставя всички функции в своите облачни сфери. Услугата за самоличност, единственото място, където потребителите могат да бъдат пряко свързани с тяхната лична информация, като имейл адрес, е логически и физически отделена от сферата на сигурността в център за данни B. И двете от своя страна са отделени от сферата, където в крайна сметка се съхранява криптирано съдържание , в център за данни C.

В тази диаграма клиентът е приложението Webex , което се изпълнява на лаптоп на потребителя и е удостоверено с услугата за самоличност. Когато потребителят състави съобщение, което да изпрати до пространство, се изпълняват следните стъпки:

Клиентът установява защитена връзка с услугата за управление на ключове (KMS), след което иска ключ за криптиране на съобщението. защитена връзка използва ECDH, а KMS криптира ключа с помощта на главен ключ AES-256.
Съобщението е криптирано, преди да напусне клиента. Клиентът го изпраща до услугата за индексиране, която създава криптирани индекси за търсене, за да помогне при бъдещи търсения на съдържанието.
Шифрованото съобщение се изпраща до службата за съответствие за проверка на съответствието.
Шифрованото съобщение се съхранява в областта на съхранение.

Когато внедрите Hybrid Data Security, вие премествате функциите на областта на сигурността (KMS, индексиране и съответствие) във вашия в помещението център за данни. Другите облачни услуги, които съставляват Webex (включително самоличност и съхранение на съдържание), остават в сферата на Cisco.

Сътрудничество с други организации

Потребителите във вашата организация може редовно да използват приложението Webex , за да си сътрудничат с външни участници в други организации. Когато един от вашите потребители поиска ключ за пространство, което е собственост на вашата организация (защото е създадено от един от вашите потребители), вашият KMS изпраща ключа на клиента по защитен канал от ECDH. Въпреки това, когато друга организация притежава ключа за пространството, вашият KMS насочва заявката към облака на Webex през отделен ECDH канал, за да получи ключа от съответния KMS, и след това връща ключа на вашия потребител в оригиналния канал.

Услугата KMS, работеща в организация A, валидира връзките към KMS в други организации, използвайки x.509 PKI сертификати. Виж Подгответе вашата среда за подробности относно генерирането на сертификат x.509, който да използвате с внедряването на хибридната защита на данните.

Очаквания за внедряване на хибридна защита на данните

Внедряването на хибридна защита на данните изисква значителна ангажираност на клиента и осъзнаване на рисковете, които идват от притежаването на ключове за криптиране.

За да внедрите хибридна защита на данните, трябва да предоставите:

Сигурен център за данни в държава, която е a поддържано местоположение за плановете на Cisco Webex Teams .
Оборудването, софтуерът и достъпът до мрежата, описани в Подгответе вашата среда .

Пълната загуба на ISO конфигурацията, която създавате за Hybrid Data Security, или на базата данни, която предоставяте, ще доведе до загуба на ключовете. Загубата на ключ не позволява на потребителите да декриптират космическо съдържание и други криптирани данни в приложението Webex . Ако това се случи, можете да създадете ново внедряване, но ще се вижда само ново съдържание. За да избегнете загуба на достъп до данните, трябва:

Управлявайте архивирането и възстановяването на базата данни и ISO конфигурацията.
Бъдете готови да извършите бързо възстановяване след възстановяване след срив, ако възникне катастрофа, като повреда на диска на базата данни или катастрофа в център за данни за данни.

Няма механизъм за преместване на ключове обратно в облака след внедряване на HDS.

Процес на настройка на високо ниво

Този документ обхваща настройката и управлението на внедряване на хибридна защита на данните:

Настройте хибридна защита на данните —Това включва подготовка на необходимата инфраструктура и инсталиране на софтуер за хибридна защита на данните, тестване на внедряването ви с подгрупа потребители в пробен режим и, след като тестването приключи, преминаване към производство. Това преобразува цялата организация да използва вашия клъстер за хибридна защита на данните за функции за сигурност.
Фазите на настройка, тестване и производство са разгледани подробно в следващите три глави.
Поддържайте внедряването на хибридната защита на данните —Облакът Webex автоматично предоставя текущи надстройки. Вашият ИТ отдел може да осигури поддръжка от първо ниво за това внедряване и да ангажира Поддръжка на Cisco , ако е необходимо. Можете да използвате известия на екрана и да настройвам базирани на имейл сигнали в Control Hub.
Разберете общи сигнали, стъпки за отстраняване на неизправности и известни проблеми —Ако срещнете проблеми с внедряването или използването на хибридна защита на данните, последната глава от това ръководство и приложението Известни проблеми може да ви помогнат да определите и отстраните проблема.

Модел за внедряване на хибридна защита на данните

В рамките на вашия корпоративни данни вие внедрявате хибридна защита на данните като единичен клъстер от възли на отделни виртуални хостове. Възлите комуникират с облака Webex чрез защитени уебсокети и защитен HTTP.

По време на инсталационния процес ви предоставяме OVA файла, за да настройвам виртуалното устройство на предоставените от вас виртуални машини. Използвате инструмента за настройка на HDS, за да създадете ISO файл за персонализирана конфигурация на клъстер, който монтирате на всеки възел. Клъстерът за хибридна защита на данни използва предоставения от вас Syslogd сървър и база данни PostgreSQL или Microsoft SQL Server. (Конфигурирате данните за Syslogd и връзката към базата данни в инструмента за настройка на HDS.)

Модел за внедряване на хибридна защита на данните

Минималният брой възли, които можете да имате в клъстер, е два. Препоръчваме поне три, а вие можете да имате до пет. Наличието на множество възли гарантира, че услугата няма да бъде прекъсната по време на надграждане на софтуер или друга дейност по поддръжка на възел. (Облакът Webex надгражда само един възел в даден момент.)

Всички възли в клъстер имат достъп до едно и също ключово хранилище за данни и регистрират активността на един и същ сървър на системния журнал. Самите възли са без състояние и обработват ключови заявки по кръгова система, както е указано от облака.

Възлите стават активни, когато ги регистрирате в Control Hub. За да извадите отделен възел от експлоатация, можете да го дерегистрирате и по-късно да го регистрирате отново, ако е необходимо.

Ние поддържаме само един клъстер на организация.

Пробен режим за хибридна защита на данните

След като настроите внедряване на хибридна защита на данните, първо го изпробвате с набор от пилотни потребители. По време на пробния период тези потребители използват вашия в помещението домейн за хибридна защита на данните за ключове за криптиране и други услуги от сферата на сигурността. Другите ви потребители продължават да използват сферата на сигурността в облака.

Ако решите да не продължите с внедряването по време на пробния период и деактивирате услугата, пилотните потребители и всички потребители, с които са взаимодействали чрез създаване на нови пространства по време на пробния период, ще загубят достъп до съобщенията и съдържанието. Те ще видят „Това съобщение не може да бъде декриптирано“ в приложението Webex .

Ако сте доволни, че внедряването ви работи добре за пробните потребители и сте готови да разширите хибридната защита на данните за всичките си потребители, премествате внедряването в производствена. Пилотните потребители продължават да имат достъп до ключовете, които са били използвани по време на пробния период. Въпреки това, не можете да се движите напред-назад между производствения режим и първоначалния пробен период. Ако трябва да деактивирате услугата, като например да извършите възстановяване след възстановяване след срив, когато активирате повторно, трябва да започнете нова пробна версия и да настройвам набора от пилотни потребители за новия пробен период, преди да се върнете обратно към производствен режим. Дали потребителите ще запазят достъп до данни в този момент зависи от това дали сте поддържали успешно резервни копия на ключовото хранилище на данни и ISO конфигурационен файл за възлите за хибридна защита на данните във вашия клъстер.

Център за данни в режим на готовност за възстановяване при бедствия

По време на внедряването вие настройвам защитен център за данни в режим на готовност. В случай на бедствие в център за данни , можете ръчно да провалите внедряването си в център за данни в готовност.

Базите данни на активния и резервния центрове за данни са синхронизирани една с друга, което ще сведе до минимум времето, необходимо за извършване на отказ. ISO файлът на център за данни в режим на готовност се актуализира с допълнителни конфигурации, които гарантират, че възлите са регистрирани в организацията, но няма да обработват трафика. Следователно възлите на център за данни в режим на готовност винаги остават актуални с най-новата версия на HDS софтуера.

Активните възли за хибридна защита на данни трябва винаги да са в същия център за данни като активния сървър на база с данни.

Настройте център за данни в режим на готовност за възстановяване при бедствия

Следвайте стъпките по-долу, за да конфигурирате ISO файла на център за данни в режим на готовност:

Преди да започнете

Центърът за център за данни в готовност трябва да отразява производствената среда на VM и резервна база данни PostgreSQL или Microsoft SQL Server. Например, ако производството има 3 VM, работещи с HDS възли, средата за архивиране трябва да има 3 VM. (Виж Център за данни в режим на готовност за възстановяване при бедствия за преглед на този модел на отказ.)
Уверете се, че синхронизирането на базата данни е активирано между базата данни с активни и пасивни възли на клъстер.

1

Стартирайте инструмента за настройка на HDS и следвайте стъпките, посочени в Създайте ISO конфигурация за HDS хостовете .

ISO файлът трябва да бъде копие на оригиналния ISO файл на основния център за данни, върху който трябва да се направят следните актуализации на конфигурацията.

2

След като конфигурирате сървъра Syslogd, щракнете върху Разширени настройки

3

На Разширени настройки страница, добавете конфигурацията по-долу, за да поставите възела в пасивен режим. В този режим възелът ще бъде регистриран в организацията и ще бъде свързан към облака, но няма да обработва никакъв трафик.


passiveMode: 'true'

4

Завършете процеса на конфигуриране и запазете ISO файла на място, което е лесно за намиране.

5

Направете резервно копие на ISO файла във вашата локална система. Пазете резервното копие сигурно. Този файл съдържа главен ключ за шифроване за съдържанието на базата данни. Ограничете достъпа само до онези администратори на Hybrid Data Security, които трябва да направят промени в конфигурацията.

6

В левия навигационен панел на клиента VMware vSphere щракнете с щраквам с десния бутон върху VM и щракнете Редактиране на настройките. .

7

Щракнете върху Редактиране на настройките > CD/ DVD устройство 1 и изберете Datastore ISO File.

Уверете се Свързани и Свържете при включване са проверени, така че актуализираните промени в конфигурацията да влязат в сила след стартиране на възлите.

8

Включете HDS възела и се уверете, че няма аларми за поне 15 минути.

9

Повторете процеса за всеки възел в център за данни в режим на готовност.

Проверете системните журнали, за да проверите дали възлите са в пасивен режим. Трябва да можете да видите съобщението „KMS конфигуриран в пасивен режим“ в системните дневници.

Какво да направите след това

След конфигуриране passiveMode в ISO файла и го запишете, можете да създадете друго копие на ISO файла без passiveMode конфигурация и я запазете на сигурно място. Това копие на ISO файла без passiveMode configured може да помогне за бърз процес на отказ по време на възстановяване след срив. Виж Възстановяване при бедствия с помощта на Център за данни в режим на готовност за подробната процедура за отказване.

Прокси поддръжка

Hybrid Data Security поддържа изрични, прозрачни инспектиращи и непроверяващи прокси сървъри. Можете да свържете тези прокси сървъри към вашето внедряване, така че да можете да защитите и наблюдавате трафика от предприятието към облака. Можете да използвате интерфейс за администратор на платформата на възлите за управление на сертификати и за проверка на цялостното състояние на свързаност, след като настройвам прокси сървъра на възлите.

Възлите за защита на хибридните данни поддържат следните прокси опции:

Без прокси —По подразбиране, ако не използвате настройката на HDS възел Trust Store & Proxy конфигурация за интегриране на прокси. Не се изисква актуализация на сертификата.
Прозрачен неинспектиращ прокси — Възлите не са конфигурирани да използват конкретен адрес на прокси сървър и не трябва да изискват никакви промени, за да работят с неинспектиращ прокси сървър. Не се изисква актуализация на сертификата.
Прозрачно тунелиране или проверка на прокси — Възлите не са конфигурирани да използват конкретен адрес на прокси сървър . Не са необходими промени в конфигурацията на HTTP или HTTPS на възлите. Възлите обаче се нуждаят от главен сертификат , така че да имат доверие на проксито. Проверяващите прокси сървъри обикновено се използват от ИТ за налагане на политики за това кои уебсайтове могат да бъдат посещавани и кои видове съдържание не са разрешени. Този тип прокси декриптира целия ви трафик (дори HTTPS).
Изрично прокси —С изричен прокси вие казвате на HDS възлите кой прокси сървър и схема за удостоверяване да използват. За да конфигурирате изрично прокси, трябва да въведете следната информация на всеки възел:
1. Прокси IP/ FQDN — Адрес, който може да се използва за достигане до прокси машината.
2. Прокси порт —Номер на номер на порт , който проксито използва за прослушване на прокси трафик.
3. Прокси протокол — В зависимост от това какво поддържа вашият прокси сървър , изберете между следните протоколи:
  - HTTP – Преглежда и контролира всички заявки, които клиентът изпраща.
  - HTTPS – Предоставя канал към сървъра. Клиентът получава и валидира сертификата на сървъра.
4. Тип на удостоверяването — Изберете измежду следните типове удостоверяване:
  - Никаква — Не се изисква допълнително удостоверяване.
    
    Достъпно, ако изберете HTTP или HTTPS като прокси протокол.
  - Основен —Използва се за HTTP потребителски агент за предоставяне на потребителско име и парола при отправяне на заявка. Използва Base64 кодиране.
    
    Достъпно, ако изберете HTTP или HTTPS като прокси протокол.
    
    Изисква да въведете потребителско име и парола на всеки възел.
  - Дайджест —Използва се за потвърждение на акаунта преди изпращане на чувствителна информация. Прилага хеш функция върху потребителското име и паролата преди изпращане по мрежата.
    
    Достъпно само ако изберете HTTPS като прокси протокол.
    
    Изисква да въведете потребителско име и парола на всеки възел.

Пример за хибридни възли за защита на данни и прокси

Тази диаграма показва примерна връзка между хибридната защита на данните, мрежата и прокси сървъра. За опциите за прозрачна проверка и HTTPS изрична проверка на прокси сървъра, един и същ главен сертификат трябва да бъде инсталиран на прокси сървъра и на възлите за хибридна защита на данните.

Блокиран режим на разделителна способност на външен DNS (изрични прокси конфигурации)

Когато регистрирате възел или проверявате прокси конфигурацията на възела, процесът тества търсенето на DNS и свързаността с облака на Cisco Webex . При разгръщания с изрични прокси конфигурации, които не позволяват външна DNS резолюция за вътрешни клиенти, ако възелът не може да запита DNS сървърите, той автоматично преминава в режим на блокирана външна DNS разделителна способност. В този режим могат да продължат регистрацията на възел и други тестове за прокси свързаност.

Подгответе средата си

Изисквания за хибридна сигурност на данните

Изисквания за лиценз на Cisco Webex

За да внедрите хибридна защита на данните:

Трябва да имате Pro Pack за Cisco Webex Control Hub. (Вижhttps://www.cisco.com/go/pro-pack .)

Изисквания за работния плот на Docker

Преди да инсталирате своите HDS възли, имате нужда от Docker Desktop, за да стартирате програма за настройка. Docker наскоро актуализира своя модел на лицензиране. Вашата организация може да изисква платен абонамент за Docker Desktop. За подробности вижте публикацията в блога на Docker, " Docker актуализира и разширява нашите абонаменти за продукти ".

X.509 Изисквания за сертификат

верига за сертификати трябва да отговаря на следните изисквания:

Таблица 1. Изисквания за сертификат X.509 за внедряване на хибридна защита на данни
Изискване	Подробности
Подписано от доверен орган за сертификати (CA)	По подразбиране ние вярваме на CA в списъка на Mozilla (с изключение на WoSign и StartCom) наhttps://wiki.mozilla.org/CA:IncludedCAs .
Носи име на име на домейн с общо име (CN), което идентифицира вашето внедряване на хибридна защита на данните Не е заместващ сертификат	CN не е необходимо да е достъпен или да е домакин на живо. Препоръчваме ви да използвате име, което отразява вашата организация, напр. `hds.company.com`. CN не трябва да съдържа * (уместен знак). CN се използва за проверка на възлите за хибридна защита на данните към клиентите на Webex App. Всички възли за хибридна защита на данните във вашия клъстер използват един и същ сертификат. Вашият KMS се идентифицира с помощта на домейна CN, а не всеки домейн, който е дефиниран в полетата на x.509v3 SAN. След като сте регистрирали възел с този сертификат, ние не поддържаме промяна на име на домейн. Изберете домейн, който може да се прилага както за пробното, така и за производственото внедряване.
Не-SHA1 подпис	Софтуерът KMS не поддържа SHA1 подписи за валидиране на връзки към KMS на други организации.
Форматиран като защитен с парола файл PKCS #12 Използвайте приятелското име на `kms-private-key` за да маркирате сертификата, частния ключ и всички междинни сертификати за качване.	Можете да използвате конвертор като OpenSSL, за да промените формата на вашия сертификат. Ще трябва да въведете паролата, когато стартирате инструмента за настройка на HDS.

Софтуерът KMS не налага използването на ключове или разширените ограничения за използване на ключове. Някои сертифициращи органи изискват разширените ограничения за използване на ключ да се прилагат към всеки сертификат, като например удостоверяване на сървъра. Добре е да използвате удостоверяването на сървъра или други настройки.

Изисквания за виртуален хост

Виртуалните хостове, които ще настройвам като възли за хибридна защита на данните във вашия клъстер, имат следните изисквания:

Най-малко два отделни хоста (препоръчани 3), разположени в един и същ защитен център за данни
VMware ESXi 6.5 (или по-нова версия) е инсталиран и работи.

Трябва да надстроите, ако имате по-ранна версия на ESXi.
Минимум 4 vCPU, 8 GB основна памет, 30 GB локално пространство на твърдия диск на сървър

Изисквания за сървър на база данни

Създайте нова база данни за съхранение на ключове. Не използвайте базата данни по подразбиране. Приложенията HDS, когато са инсталирани, създават схемата на базата данни.

Има две опции за сървър на база с данни. Изискванията за всеки са както следва:

Таблица 2. Изисквания към сървъра за бази данни по тип база данни

PostgreSQL

Microsoft SQL Server

PostgreSQL 14, 15 или 16, инсталиран и работещ.

Инсталиран SQL Server 2016, 2017 или 2019 (Enterprise или Standard).

SQL Server 2016 изисква Service Pack 2 и Кумулативна актуализация 2 или по-нова версия.

Минимум 8 vCPU, 16 GB основна памет, достатъчно място на твърдия диск и наблюдение, за да се гарантира, че няма превишаване (препоръчва се 2 TB, ако искате да работите с базата данни за дълго време, без да е необходимо да увеличавате паметта)

Софтуерът HDS в момента инсталира следните версии на драйвери за комуникация със сървъра на сървър на база с данни:

PostgreSQL

Microsoft SQL Server

Postgres JDBC драйвер 42.2.5

SQL Server JDBC драйвер 4.6

Тази версия на драйвера поддържа SQL Server Always On ( Винаги включен екземпляр на клъстер при отказ и Групи за наличност Always On ).

Допълнителни изисквания за удостоверяване на Windows срещу Microsoft SQL Server

Ако искате HDS възлите да използват удостоверяване на Windows, за да получат достъп до вашата база данни за ключове на Microsoft SQL Server, тогава имате нужда от следната конфигурация във вашата среда:

HDS възлите, инфраструктурата на Active Directory и MS SQL Server трябва да бъдат синхронизирани с NTP.
Windows акаунтът, който предоставяте на HDS възлите, трябва да има достъп за четене/запис до базата данни.
DNS сървърите, които предоставяте на HDS възлите, трябва да могат да разрешат вашия център за разпространение на ключове (KDC).
Можете да регистрирате екземпляра на база данни HDS на вашия Microsoft SQL Server като име на принципал на услуга (SPN) във вашата Active Directory. Виж Регистрирайте главно име на услуга за връзки с Kerberos .

Инструментът за настройка на HDS, HDS стартерът и локалният KMS трябва да използват удостоверяване на Windows за достъп до базата данни на хранилището за ключове. Те използват детайлите от вашата ISO конфигурация, за да конструират SPN, когато искат достъп с удостоверяване на Kerberos.

Изисквания за външна свързаност

Конфигурирайте вашата защитна стена, за да разрешите следната свързаност за HDS приложенията:

Приложение	Протокол	Порт	Упътване от ап	Дестинация
Възли за хибридна защита на данните	TCP	443	Изходящ HTTPS и WSS	Webex сървъри: .wbx2.com .ciscospark.com Всички хостове за обща идентичност Други URL адреси, които са изброени за хибридна защита на данните в Допълнителни URL адреси за хибридни услуги на Webex таблица на Мрежови изисквания за услугите на Webex
Инструмент за настройка на HDS	TCP	443	Изходящ HTTPS	*.wbx2.com Всички хостове за обща идентичност hub.docker.com

Възлите за хибридна защита на данните работят с транслация на мрежов достъп (NAT) или зад защитна стена, стига NAT или защитната стена да позволяват необходимите изходящи връзки към дестинациите на домейна в предходната таблица. За връзки, които отиват към възлите за хибридна защита на данните, не трябва да се виждат портове от интернет. В рамките на вашия център за данни клиентите се нуждаят от достъп до възлите за хибридна защита на данните на TCP портове 443 и 22 за административни цели.

URL адресите за хостовете за обща идентичност (CI) са специфични за региона. Това са текущите CI хостове:

Регион	Общи URL адреси на хост за самоличност
Северна и Южна Америка	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Европейски съюз	https://idbroker-eu.webex.com https://identity-eu.webex.com
Канада	https://idbroker-ca.webex.com https://identity-ca.webex.com

Изисквания за прокси сървър

Ние официално поддържаме следните прокси решения, които могат да се интегрират с вашите възли за хибридна защита на данните.

Прозрачен прокси — Cisco интернет Security Appliance (WSA).

Изрично прокси – Squid.

Squid прокси сървърите, които проверяват HTTPS трафика, могат да попречат на установяването на websocket (wss:) връзки. За да заобиколите този проблем, вж Конфигурирайте Squid прокси сървъри за хибридна защита на данните .

Поддържаме следните комбинации от типове удостоверяване за изрични прокси сървъри:
- Няма удостоверяване с HTTP или HTTPS
- Основно удостоверяване с HTTP или HTTPS
- Дайджест удостоверяване само с HTTPS
За прозрачно проверяващо прокси или HTTPS изрично прокси, трябва да имате копие на главен сертификат на проксито. Инструкциите за внедряване в това ръководство ви казват как да качите копието в хранилищата за доверие на възлите за хибридна защита на данните.
Мрежата, хостваща HDS възлите, трябва да бъде конфигурирана да принуди изходящия TCP трафик към порт 443 да се маршрутизира през прокси сървъра.
Прокси сървърите, които проверяват уеб трафика, могат да попречат на връзките на уеб сокет. Ако възникне този проблем, заобикаляне (без проверка) на трафика към wbx2.com и ciscospark.com ще реши проблема.

Изпълнете предпоставките за хибридна защита на данните

Използвайте този контролен списък, за да се уверите, че сте готови да инсталирате и конфигурирате своя клъстер за хибридна защита на данните.

1

Уверете се, че вашата организация Webex е активирана за Pro Pack за Cisco Webex Control Hub и получете идентификационните данни за акаунт с пълни администраторски права на организация. Свържете се с вашия партньор на Cisco или мениджър на акаунт за помощ с този процес.

2

Изберете име на домейн за внедряването на HDS (например hds.company.com) и да получите верига за сертификати, съдържаща сертификат X.509, частен ключ и всякакви междинни сертификати. верига за сертификати трябва да отговаря на изискванията в X.509 Изисквания за сертификат .

3

Подгответе идентични виртуални хостове, които ще настройвам като възли за хибридна защита на данните във вашия клъстер. Имате нужда от поне два отделни хоста (3 препоръчани), разположени в един и същ защитен център за данни, които отговарят на изискванията в Изисквания за виртуален хост .

4

Подгответе сървър на база с данни , който ще действа като хранилище на данни за клъстера, според Изисквания за сървър на база данни . Сървърът на сървър на база с данни трябва да бъде разположен в защитения център за данни с виртуалните хостове.

Създайте база данни за съхранение на ключове. (Трябва да създадете тази база данни - не използвайте базата данни по подразбиране. Приложенията HDS, когато са инсталирани, създават схемата на базата данни.)
Съберете подробностите, които възлите ще използват за комуникация със сървъра на сървър на база с данни:
- име на домакина или IP адрес (хост) и порта
- името на базата данни (dbname) за съхранение на ключове
- потребителското име и паролата на потребител с всички привилегии в базата данни за съхранение на ключове

5

За бързо възстановяване след срив, настройвам среда за архивиране в различен център за данни. Архивната среда отразява производствената среда на виртуални машини и сървър за архивиране на сървър на база с данни. Например, ако производството има 3 VM, работещи с HDS възли, средата за архивиране трябва да има 3 VM.

6

Настройте хост на syslog за събиране на регистрационни файлове от възлите в клъстера. Съберете неговия мрежов адрес и порт на системния журнал (по подразбиране е UDP 514).

7

Създайте защитена политика за архивиране за възлите за хибридна защита на данните, сървър на база с данни и хоста на системния журнал. Като минимум, за да предотвратите невъзстановима загуба на данни, трябва да архивирате базата данни и конфигурационния ISO файл, генериран за възлите за хибридна защита на данните.

Тъй като възлите за защита на хибридните данни съхраняват ключовете, използвани за криптиране и декриптиране на съдържание, неспособността да се поддържа оперативно внедряване ще доведе до НЕВЪЗСТАНОВИМА ЗАГУБА от това съдържание.

Клиентите на Webex App кешират своите ключове, така че прекъсването може да не се забележи веднага, но ще стане очевидно с времето. Докато временните прекъсвания са невъзможни за предотвратяване, те са възстановими. Въпреки това, пълната загуба (няма налични резервни копия) на базата данни или конфигурационния ISO файл ще доведе до невъзстановими клиентски данни. Очаква се операторите на възлите за хибридна защита на данни да поддържат чести архиви на базата данни и конфигурационния ISO файл и да бъдат готови да изградят отново център за данни, ако възникне катастрофална повреда.

8

Уверете се, че конфигурацията на защитната ви стена позволява свързаност за вашите възли за хибридна защита на данните, както е посочено в Изисквания за външна свързаност .

9

Инсталирайте Docker (https://www.docker.com ) на всяка локална машина, работеща с поддържана операционна система (Microsoft Windows 10 Professional или Enterprise 64-битова, или Mac OSX Yosemite 10.10.3 или по-нова) с уеб браузър, който има достъп до нея на http://127.0.0.1:8080.

Използвате екземпляра на Docker, за да изтеглите и стартирате инструмента за настройка на HDS, който изгражда информация за конфигуриране за всички възли за защита на хибридните данни. Вашата организация може да се нуждае от лиценз за Docker Desktop. Виж Изисквания за работния плот на Docker за повече информация.

За да инсталирате и стартирате инструмента за настройка на HDS, локалната машина трябва да има очертана свързаност Изисквания за външна свързаност .

10

Ако интегрирате прокси с Hybrid Data Security, уверете се, че отговаря на Изисквания за прокси сървър .

11

Ако вашата организация използва синхронизиране на директории, създайте група в Active Directory , наречена HdsTrialGroup и добавете пилотни потребители. Пробната група може да има до 250 потребители. На HdsTrialGroup обектът трябва да бъде синхронизиран с облака, преди да можете да започнете пробна версия за вашата организация. За да синхронизирате групов обект, изберете го в конектора на директория Конфигурация > Избор на обект меню. (За подробни инструкции вижте Ръководство за разгръщане на Cisco Directory Connector. )

Ключовете за дадено пространство се задават от създателя на пространството. Когато избирате пилотни потребители, имайте предвид, че ако решите да деактивирате за постоянно внедряването на Hybrid Data Security, всички потребители губят достъп до съдържание в пространствата, създадени от пилотните потребители. Загубата става очевидна веднага щом приложенията на потребителите обновят своите кеширани копия на съдържанието.

Създайте хибриден клъстер за сигурност на данните

Поток на задачи за внедряване на хибридна защита на данните

Преди да започнете

1

Изтеглете OVA файла на вашата локална машина за по-късна употреба.

2

Използвайте инструмента за настройка на HDS, за да създадете ISO конфигурационен файл за възлите за хибридна защита на данните.

3

Настройте хибридната VM машина за защита на данните

Създайте виртуална машина от файла OVA и извършете първоначална конфигурация, като мрежови настройки.

Опцията за конфигуриране на мрежови настройки по време на внедряване на OVA е тествана с ESXi 6.5. Възможно е опцията да не е налична в по-ранните версии.

4

Влезте в конзолата на VM и задайте идентификационните данни за вход. Конфигурирайте мрежови настройки за възела, ако не сте ги конфигурирали по време на внедряването на OVA.

5

Конфигурирайте VM от ISO конфигурационен файл , който сте създали с инструмента за настройка на HDS.

6

Ако мрежовата среда изисква конфигурация на прокси сървър, посочете типа прокси, който ще използвате за възела, и добавете прокси сертификата към хранилището за доверие, ако е необходимо.

7

Регистрирайте VM с облака на Cisco Webex като възел за хибридна защита на данните.

8

Завършете настройката на клъстера.

9

Изпълнете пробна версия и преминете към производство (следваща глава)

Докато не започнете пробна версия, вашите възли генерират аларма, показваща, че вашата услуга все още не е активирана.

Изтеглете инсталационни файлове

В тази задача изтегляте OVA файл на вашата машина (не на сървърите, които сте настройвам като възли за хибридна защита на данните). Използвате този файл по-късно в процеса на инсталиране.

1

Влезте вhttps://admin.webex.com и след това щракнете Услуги .

2

В секцията Хибридни услуги намерете картата за защита на хибридни данни и след това щракнете Настройте .

Ако картата е деактивирана или не я виждате, свържете се с екипа на акаунта си или с партньорската си организация. Дайте им номера на вашата сметка и поискайте да активирате вашата организация за хибридна защита на данните. За да намерите номера на сметката, щракнете върху зъбното колело горе вдясно до името на вашата организация.

Можете също да изтеглите OVA по всяко време от Помощ раздел за Настройки страница. На картата за защита на хибридни данни щракнете Редактиране на настройките за да отворите страницата. След това щракнете Изтеглете софтуера за хибридна защита на данните в Помощ раздел.

По-старите версии на софтуерния пакет (OVA) няма да са съвместими с най-новите надстройки за хибридна защита на данните. Това може да доведе до проблеми при надграждане на приложението. Уверете се, че сте изтеглили най-новата версия на файла OVA.

3

Изберете не за да посочите, че все още не сте настройвам възела, и след това щракнете Следваща .

OVA файлът автоматично започва да се изтегля. Запазете файла на място на вашата машина.

4

По желание щракнете Отворете Ръководство за разгръщане за да проверите дали има налична по-нова версия на това ръководство.

Създайте ISO конфигурация за HDS хостовете

Процесът на настройка на хибридната защита на данните създава ISO файл. След това използвате ISO , за да конфигурирате вашия хост за хибридна защита на данни.

Преди да започнете

Инструментът за настройка на HDS работи като Docker контейнер на локална машина. За да получите достъп до него, стартирайте Docker на тази машина. Процесът на настройка изисква идентификационни данни на акаунт в Control Hub с пълни администраторски права за вашата организация.

Ако инструментът за настройка на HDS работи зад прокси във вашата среда, предоставете настройките на прокси сървъра (сървър, порт, идентификационни данни) чрез променливите на средата на Docker, когато извеждате Docker контейнера в стъпка 5 . Тази таблица дава някои възможни променливи на средата:

Описание	Променлива
HTTP прокси без удостоверяване	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS прокси без удостоверяване	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP прокси с удостоверяване	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS прокси с удостоверяване	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Конфигурационният ISO файл, който генерирате, съдържа главния ключ, криптиращ PostgreSQL или базата данни на Microsoft SQL Server. Имате нужда от последното копие на този файл всеки път, когато правите промени в конфигурацията, като тези:
- Данни за база данни
- Актуализации на сертификата
- Промени в политиката за оторизация
Ако планирате да шифровате връзките към базата данни, настройвам внедряването на PostgreSQL или SQL Server за TLS.

1

В командния ред на вашата машина въведете подходящата команда за вашата среда:

В редовна среда:

docker rmi ciscocitg/hds-setup:stable

В FedRAMP среди:

docker rmi ciscocitg/hds-setup-fedramp:stable

Тази стъпка почиства предишни изображения на инструмента за настройка на HDS. Ако няма предишни изображения, той връща грешка, която можете да игнорирате.

2

За да влизам в регистъра на изображенията на Docker, въведете следното:

docker login -u hdscustomersro

3

При подкана за парола въведете този хеш:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Изтеглете най-новото стабилно изображение за вашата среда:

В редовна среда:

docker pull ciscocitg/hds-setup:stable

В FedRAMP среди:

docker pull ciscocitg/hds-setup-fedramp:stable

5

Когато изтеглянето завърши, въведете подходящата команда за вашата среда:

В обикновени среди без прокси:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

В обикновени среди с HTTP прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

В обикновени среди с HTTPS прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

В FedRAMP среди без прокси:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

В FedRAMP среди с HTTP прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

В FedRAMP среди с HTTPS прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Когато контейнерът работи, виждате „Експресно слушане на сървър на порт 8080“.

6

Инструментът за настройка не поддържа свързване към localhost чрез http://localhost:8080 . Използвайтеhttp://127.0.0.1:8080 за да се свържете с локален хост.

Използвайте уеб браузър, за да отидете на локалния хост, http://127.0.0.1:8080 и въведете потребителско име на администратор на клиента за Control Hub при подкана.

Инструментът използва това първо въвеждане на потребителското име, за да зададе подходящата среда за този акаунт. След това инструментът показва стандартната подкана за вход.

7

Когато бъдете подканени, въведете вашите идентификационни данни за вход на администратор на клиента Control Hub и след това щракнете Влезте за да разрешите достъп до необходимите услуги за хибридна защита на данните.

8

На страницата за преглед на инструмента за настройка щракнете Започнете .

9

На ISO импортиране страница, имате следните опции:

не —Ако създавате първия си HDS възел, нямате ISO файл за качване.
да —Ако вече сте създали HDS възли, тогава избирате своя ISO файл в прегледа и го качвате.

10

Проверете дали вашият сертификат X.509 отговаря на изискванията в X.509 Изисквания за сертификат .

Ако никога досега не сте качвали сертификат, качете сертификата X.509, въведете паролата и щракнете Продължете .
Ако сертификатът ви е ОК, щракнете Продължете .
Ако вашият сертификат е изтекъл или искате да го замените, изберете не за Да продължите ли да използвате верига за сертификати и частен ключ от предишен ISO? . Качете нов сертификат X.509, въведете паролата и щракнете Продължете .

11

Въведете адреса на базата данни и акаунт за HDS за достъп до вашето ключово хранилище за данни:

Изберете своя Тип база данни ( PostgreSQL или Microsoft SQL Server ).

Ако изберете Microsoft SQL Server , получавате поле Тип на удостоверяването .
( Microsoft SQL Server само) Изберете своя Тип на удостоверяването :
- Основно удостоверяване : Имате нужда от име на профила в SQL Server в Потребителско име поле.
- Удостоверяване на Windows : Нуждаете се от акаунт в Windows във формата username@DOMAIN в Потребителско име поле.
Въведете адреса на сървър на база с данни във формуляра <hostname>:<port> или <IP-address>:<port>.

Пример:
dbhost.example.org:1433 или 198.51.100.17:1433

Можете да използвате IP адрес за основно удостоверяване, ако възлите не могат да използват DNS за разрешаване на името на хоста.

Ако използвате удостоверяване на Windows, трябва да въведете напълно квалифицирано име на домейн във формата dbhost.example.org:1433
Въведете Име на базата данни .
Въведете Потребителско име и парола на потребител с всички привилегии в базата данни за съхранение на ключове.

12

Изберете a TLS режим на връзка с база данни :

Режим

Описание

Предпочитайте TLS (опция по подразбиране)

HDS възлите не изискват TLS за свързване към сървъра на сървър на база с данни. Ако активирате TLS на сървъра на сървър на база с данни, възлите се опитват да установят криптирана връзка.

Изисквайте TLS

HDS възлите се свързват само ако сървърът на сървър на база с данни може да договаря TLS.

Изисквайте TLS и потвърдете подписващия сертификат

Този режим не е приложим за бази данни на SQL Server.

HDS възлите се свързват само ако сървърът на сървър на база с данни може да договаря TLS.
След установяване на TLS връзка, възелът сравнява подписващия сертификат от сървър на база с данни с сертифициращия орган в главен сертификат на базата данни . Ако не съвпадат, възелът прекратява връзката.

Използвайте главен сертификат на базата данни контрол под падащото меню, за да качите главен сертификат за тази опция.

Изисквайте TLS и проверете подписващия сертификат и името на хоста

HDS възлите се свързват само ако сървърът на сървър на база с данни може да договаря TLS.
След установяване на TLS връзка, възелът сравнява подписващия сертификат от сървър на база с данни с сертифициращия орган в главен сертификат на базата данни . Ако не съвпадат, възелът прекратява връзката.
Възлите също така проверяват дали името на хоста в сертификат на сървъра съвпада с името на хоста в Хост на базата данни и порт поле. Имената трябва да съвпадат точно, или възелът прекъсва връзката.

Използвайте главен сертификат на базата данни контрол под падащото меню, за да качите главен сертификат за тази опция.

Когато качите главен сертификат (ако е необходимо) и щракнете Продължете , инструментът за настройка на HDS тества TLS връзката към сървъра на сървър на база с данни. Инструментът също така проверява подписващия сертификат и името на хоста, ако е приложимо. Ако тестът е неуспешен, инструментът показва съобщение за грешка, описващо проблема. Можете да изберете дали да игнорирате грешката и да продължите с настройката. (Поради разликите в свързаността, HDS възлите може да са в състояние да установят TLS връзката, дори ако машината с инструмент за настройка на HDS не може успешно да я тества.)

13

На страницата System Logs конфигурирайте вашия Syslogd сървър:

Въведете URL на syslog сървъра.

Ако сървърът не е DNS-разрешим от възлите за вашия HDS клъстер, използвайте IP адрес в URL.

Пример:
udp://10.92.43.23:514 показва регистриране към хост Syslogd 10.92.43.23 на UDP порт 514.
Ако сте настройвам вашия сървър да използва TLS криптиране, проверете Вашият syslog сървър конфигуриран ли е за SSL криптиране? .

Ако поставите отметка в това поле за отметка, уверете се, че сте въвели TCP URL , като напр tcp://10.92.43.23:514.
От Изберете прекратяване на запис на syslog падащо меню изберете подходящата настройка за вашия ISO файл: Изберете или Newline се използва за Graylog и Rsyslog TCP
- Нулев байт -- \x00
- Нов ред -- \n —Изберете този избор за Graylog и Rsyslog TCP.
Щракнете върху Продължаване.

14

(По избор) Можете да промените стойност по подразбиране за някои параметри на връзката към базата данни в Разширени настройки . По принцип този параметър е единственият, който може да искате да промените:

app_datasource_connection_pool_maxSize: 10

15

Щракнете върху Продължете на Нулиране на паролата за сервизни акаунти екран.

Паролите за акаунти за услуги имат деветмесечен живот. Използвайте този екран, когато паролите ви изтичат или искате да ги нулирате, за да анулирате предишни ISO файлове.

16

Щракнете върху Изтеглете ISO файл . Запазете файла на място, което е лесно за намиране.

17

Направете резервно копие на ISO файла във вашата локална система.

Пазете резервното копие сигурно. Този файл съдържа главен ключ за шифроване за съдържанието на базата данни. Ограничете достъпа само до онези администратори на Hybrid Data Security, които трябва да направят промени в конфигурацията.

18

За да изключите инструмента за настройка, въведете CTRL+C.

Какво да направите след това

Архивирайте конфигурационния ISO файл. Нуждаете се от него, за да създадете повече възли за възстановяване или да направите промени в конфигурацията. Ако загубите всички копия на ISO файла, вие също сте загубили главния ключ. Възстановяването на ключовете от вашата база данни PostgreSQL или Microsoft SQL Server не е възможно.

Никога нямаме копие на този ключ и не можем да помогнем, ако го загубите.

Инсталирайте HDS Host OVA

Използвайте тази процедура, за да създадете виртуална машина от OVA файла.

1

Използвайте VMware vSphere клиента на вашия компютър, за да влезете във виртуалния хост ESXi.

2

Изберете Файл > Внедряване на OVF шаблон .

3

В съветника посочете местоположението на файла OVA, който сте изтеглили по-рано, и след това щракнете Следваща .

4

На Изберете име и папка страница, въведете a Име на виртуална машина за възела (например „HDS_ Нode_ 1"), изберете местоположение, където може да се намира разгръщането на възела на виртуална машина , и след това щракнете Следваща .

5

На Изберете изчислителен ресурс страница, изберете целевия изчислителен ресурс и след това щракнете Следваща .

Изпълнява се проверка за валидиране. След като приключи, се появяват подробностите за шаблона.

6

Проверете детайлите на шаблона и след това щракнете Следваща .

7

Ако бъдете помолени да изберете конфигурацията на ресурса на Конфигурация страница, щракнете 4 CPU и след това щракнете Следваща .

8

На Изберете място за съхранение страница, щракнете Следваща за да приемете дисковия формат по подразбиране и политиката за съхранение на VM .

9

На Изберете мрежи страница, изберете опцията за мрежа от списъка с записи, за да осигурите желаната свързаност към VM.

10

На Персонализирайте шаблона страница, конфигурирайте следните мрежови настройки:

Име на хост — Въведете FQDN (име на хост и домейн) или име на хост от една дума за възела.

Не е необходимо да задавате домейна да съвпада с домейна, който сте използвали за получаване на сертификата X.509.
За да осигурите успешна регистрация в облака, използвайте само малки букви в FQDN или името на хост, които сте задали за възела. Понастоящем изписването с главни букви не се поддържа.
Общата дължина на FQDN не трябва да надвишава 64 знака.

IP адрес — Въведете IP адрес за вътрешния интерфейс на възела.

Вашият възел трябва да има вътрешен IP адрес и DNS име. DHCP не се поддържа.
маска — Въведете адреса на маска на подмрежата в десетична нотация. например 255.255.255.0 .
Портал — Въведете IP адрес на шлюза. Шлюзът е мрежов възел, който служи като точка на достъп до друга мрежа.
DNS сървъри — Въведете разделен със запетая списък с DNS сървъри, които обработват преобразуването на имена на домейни в цифрови IP адреси. (Разрешени са до 4 DNS записа.)
NTP сървъри — Въведете NTP сървър на вашата организация или друг външен NTP сървър , който може да се използва във вашата организация. NTP сървърите по подразбиране може да не работят за всички предприятия. Можете също да използвате разделен със запетая списък, за да въведете множество NTP сървъри.

Разположете всички възли в една и съща подмрежа или VLAN, така че всички възли в клъстер да са достъпни от клиенти във вашата мрежа за административни цели.

Ако предпочитате, можете да пропуснете конфигурацията на мрежовите настройки и да следвате стъпките в Настройте хибридната VM машина за защита на данните за да конфигурирате настройките от конзолата на възела.

Опцията за конфигуриране на мрежови настройки по време на внедряване на OVA е тествана с ESXi 6.5. Възможно е опцията да не е налична в по-ранните версии.

11

Щракнете с десния бутон върху възела VM и след това изберете Мощност > Включване .

Софтуерът Hybrid Data Security се инсталира като гост на VM Host. Вече сте готови да влизам в конзолата и да конфигурирате възела.

Съвети за отстраняване на неизправности

Може да изпитате закъснение от няколко минути, преди да излязат контейнерите на възела. Съобщение за мостова защитна стена се появява на конзолата по време на първото стартиране, по време на което не можете да влизам.

Настройте хибридната VM машина за защита на данните

Използвайте тази процедура, за да влизам в конзолата за VM на възела на хибридната защита на данните за първи път и да зададете идентификационните данни за вход. Можете също да използвате конзолата, за да конфигурирате мрежови настройки за възела, ако не сте ги конфигурирали по време на внедряването на OVA.

1	В клиента VMware vSphere изберете своя VM възел за хибридна защита на данните и изберете Конзола раздел. VM се зарежда и се появява подкана за влизане. Ако подканата за влизане не се покаже, натиснете Въведете .
2	Използвайте следното потребителско име и парола по подразбиране, за да влизам и промените идентификационните данни: Вход: `admin` Парола: `cisco` Тъй като влизате във вашата VM за първи път, от вас се изисква да промените паролата на администратор.
3	Ако вече сте конфигурирали мрежови настройки в Инсталирайте HDS Host OVA , пропуснете останалата част от тази процедура. В противен случай в главно меню изберете Редактиране на конфигурация опция.
4	Настройте статична конфигурация с информация за IP адрес, маска, шлюз и DNS . Вашият възел трябва да има вътрешен IP адрес и DNS име. DHCP не се поддържа.
5	(По избор) Променете името на хоста, домейна или NTP сървър(ите), ако е необходимо, за да съответства на вашата мрежова политика. Не е необходимо да задавате домейна да съвпада с домейна, който сте използвали за получаване на сертификата X.509.
6	Запазете мрежова конфигурация и рестартирайте VM , така че промените да влязат в сила.

Качете и монтирайте ISO конфигурацията на HDS

Използвайте тази процедура, за да конфигурирате виртуална машина от ISO файла, който сте създали с инструмента за настройка на HDS.

Преди да започнете

Тъй като ISO файлът съдържа главния ключ, той трябва да бъде изложен само на базата на „необходимост да се знае“ за достъп от хибридните виртуални машини за защита на данните и всички администратори, които може да се наложи да направят промени. Уверете се, че само тези администратори имат достъп до хранилището на данни.

1

Качете ISO файла от вашия компютър:

В левия навигационен панел на клиента VMware vSphere щракнете върху ESXi сървъра.
В списъка Хардуер на раздела Конфигурация щракнете Съхранение .
В списъка Datastores щракнете с щраквам с десния бутон върху хранилището на данни за вашите VM и щракнете Преглед на Datastore .
Щракнете върху иконата за качване на файлове и след това щракнете върху Качване на файл .
Отидете до мястото, където сте изтеглили ISO файла на вашия компютър и щракнете Отвори .
Щракнете върху да за да приемете предупреждението за операцията за качване/изтегляне и затворете диалоговия прозорец за съхранение на данни.

2

Монтирайте ISO файла:

В левия навигационен панел на клиента VMware vSphere щракнете с щраквам с десния бутон върху VM и щракнете Редактиране на настройките .
Щракнете върху ОК за да приемете предупреждението за ограничени опции за редактиране.
Щракнете върху CD/DVD Drive 1, изберете опцията за монтиране от ISO файл на хранилище за данни и прегледайте мястото, където сте качили конфигурационния ISO файл.
Проверете Свързани и Свържете при включване .
Запазете промените и рестартирайте виртуална машина.

Какво да направите след това

Ако вашата ИТ политика изисква, можете по избор да демонтирате ISO файла, след като всички ваши възли приемат промените в конфигурацията. Виж (По избор) Демонтирайте ISO след HDS конфигурация за подробности.

Конфигурирайте HDS възел за прокси интеграция

Ако мрежовата среда изисква прокси, използвайте тази процедура, за да посочите типа прокси, който искате да интегрирате с Hybrid Data Security. Ако изберете прозрачно прокси за проверка или HTTPS изрично прокси, можете да използвате интерфейса на възела, за да качите и инсталирате главен сертификат. Можете също да проверите прокси връзката от интерфейса и да отстраните евентуални проблеми.

Преди да започнете

Виж Прокси поддръжка за преглед на поддържаните прокси опции.
Изисквания за прокси сървър

1	Въведете URL за настройка на HDS възел `https://[HDS Node IP or FQDN]/setup` в уеб браузър, въведете администраторските идентификационни данни, които сте настройвам за възела, и след това щракнете Влезте .
2	Отидете на Доверен магазин и прокси и след това изберете опция: Без прокси —Опция по опция по подразбиране, преди да интегрирате прокси. Не се изисква актуализация на сертификата. Прозрачен прокси без проверка — Възлите не са конфигурирани да използват конкретен адрес на прокси сървър и не трябва да изискват никакви промени, за да работят с неинспектиращ прокси сървър. Не се изисква актуализация на сертификата. Прозрачен инспектиращ прокси — Възлите не са конфигурирани да използват конкретен адрес на прокси сървър . Не са необходими промени в конфигурацията на HTTPS при внедряването на хибридна защита на данните, но HDS възлите се нуждаят от главен сертификат , така че да имат доверие на прокси сървъра. Проверяващите прокси сървъри обикновено се използват от ИТ за налагане на политики за това кои уебсайтове могат да бъдат посещавани и кои видове съдържание не са разрешени. Този тип прокси декриптира целия ви трафик (дори HTTPS). Изрично прокси —С изричен прокси, вие казвате на клиента (HDS възли) кой прокси сървър да използва и тази опция поддържа няколко типа удостоверяване. След като изберете тази опция, трябва да въведете следната информация: Прокси IP/ FQDN — Адрес, който може да се използва за достигане до прокси машината. Прокси порт —Номер на номер на порт , който проксито използва за прослушване на прокси трафик. Прокси протокол — Изберете http (преглежда и контролира всички заявки, които се получават от клиента) или https (предоставя канал към сървъра, а клиентът получава и валидира сертификата на сървъра). Изберете опция въз основа на това, което поддържа вашият прокси сървър . Тип на удостоверяването — Изберете измежду следните типове удостоверяване: Никаква — Не се изисква допълнително удостоверяване. Предлага се за HTTP или HTTPS прокси сървъри. Основен —Използва се за HTTP потребителски агент за предоставяне на потребителско име и парола при отправяне на заявка. Използва Base64 кодиране. Предлага се за HTTP или HTTPS прокси сървъри. Ако изберете тази опция, трябва също да въведете потребителско име и парола. Дайджест —Използва се за потвърждение на акаунта преди изпращане на чувствителна информация. Прилага хеш функция върху потребителското име и паролата преди изпращане по мрежата. Предлага се само за HTTPS прокси сървъри. Ако изберете тази опция, трябва също да въведете потребителско име и парола. Следвайте следващите стъпки за прозрачно прокси за проверка, HTTP изрично прокси с основно удостоверяване или HTTPS изрично прокси.
3	Щракнете върху Качете главен сертификат или сертификат за краен обект и след това отидете до a изберете главен сертификат за прокси сървъра. Сертификатът е качен, но все още не е инсталиран, защото трябва да рестартирате възела, за да инсталирате сертификата. Щракнете върху стрелката на шеврон до името на издателя на сертификата, за да получите повече подробности, или щракнете Изтрийте ако сте направили грешка и искате да качите отново файла.
4	Щракнете върху Проверете прокси връзката за да тествате връзка с мрежата между възела и проксито. Ако тестът на връзката е неуспешен, ще видите съобщение за грешка , което показва причината и как можете да коригирате проблема. Ако видите съобщение, че външната DNS резолюция не е била успешна, възелът не е успял да достигне до DNS сървър. Това условие се очаква в много изрични прокси конфигурации. Можете да продължите с настройката и възелът ще функционира в режим на Blocked External DNS Resolution. Ако смятате, че това е грешка, изпълнете тези стъпки и след това вижте Изключете Blocked External DNS Resolution Mode .
5	След като тестът на връзката премине, за изрично прокси, настроено само на https, включете превключвателя на Насочете всички заявки към порт 443/444 https от този възел през изричния прокси сървър . Тази настройка изисква 15 секунди, за да влезе в сила.
6	Щракнете върху Инсталирайте всички сертификати в Trust Store (появява се за HTTPS изричен прокси или прозрачен проверяващ прокси) или Рестартирайте (появява се за HTTP изрично прокси), прочетете подканата и след това щракнете Инсталирайте ако си готов. Възелът се рестартира в рамките на няколко минути.
7	След като възелът се рестартира, влизам отново, ако е необходимо, и след това отворете Общ преглед страница, за да проверите проверките за свързаност, за да се уверите, че всички са в зелено състояние. Проверката на прокси връзката тества само поддомейн на webex.com. Ако има проблеми със свързването, често срещан проблем е, че някои от облачните домейни, изброени в инструкциите за инсталиране, се блокират на прокси сървъра.

Регистрирайте първия възел в клъстера

Тази задача приема общия възел, който сте създали в Настройте хибридната VM машина за защита на данните , регистрира възела в облака Webex и го превръща в възел за хибридна защита на данните.

Когато регистрирате първия си възел, вие създавате клъстер, към който е присвоен възелът. Клъстерът съдържа един или повече възли, разположени за осигуряване на излишък.

Преди да започнете

След като започнете регистрацията на възел, трябва да го завършите в рамките на 60 минути или трябва да започнете отначало.
Уверете се, че всички блокиращи изскачащи прозорци във вашия браузър са деактивирани или че сте разрешили изключение за admin.webex.com.

1	Влезте в https://admin.webex.com.
2	От менюто в лявата част на екрана изберете Услуги .
3	В секцията Хибридни услуги намерете Hybrid Data Security и щракнете Настройте . Появява се страницата Register Hybrid Data Security Node.
4	Изберете да за да посочите, че сте настройвам възела и сте готови да го регистрирате, и след това щракнете Следваща .
5	В първото поле въведете име за клъстера, към който искате да присвоите своя възел за хибридна защита на данните. Препоръчваме ви да назовете клъстер въз основа на това къде се намират възлите на клъстера географски. Примери: "Сан Франциско" или "Ню Йорк" или "Далас"
6	Във второто поле въведете вътрешния IP адрес или напълно квалифицирано име на домейн (FQDN) на вашия възел и щракнете Следваща . Този IP адрес или FQDN трябва да съвпада с IP адрес или името на хоста и домейна, в който сте използвали Настройте хибридната VM машина за защита на данните . Появява се съобщение, което показва, че можете да регистрирате своя възел в Webex.
7	Щракнете върху Отидете на Node .
8	Щракнете върху Продължете в предупредително съобщение. След няколко минути ще бъдете пренасочени към тестовете за свързване на възел за услугите на Webex . Ако всички тестове са успешни, се появява страницата Разрешаване на достъп до възел за защита на хибридни данни. Там потвърждавате, че искате да дадете разрешения на вашата Webex организация за достъп до вашия възел.
9	Проверете Разрешете достъп до вашия възел за защита на хибридни данни квадратче за отметка и след това щракнете Продължете . Вашият акаунт е валидиран и съобщението „Регистрацията е завършена“ показва, че вашият възел вече е регистриран в облака на Webex .
10	Щракнете върху връзката или затворете раздела, за да се върнете към страницата за защита на хибридните данни на Control Hub. На Хибридна сигурност на данните страница, се показва новият клъстер, съдържащ възела, който сте регистрирали. Възелът автоматично ще изтегли най-новия софтуер от облака.

Създайте и регистрирайте още възли

За да добавите допълнителни възли към вашия клъстер, просто създавате допълнителни VM и монтирате същия конфигурационен ISO файл, след което регистрирате възела. Препоръчваме ви да имате поне 3 възела.

По това време резервните виртуални машини, в които сте създали Изпълнете предпоставките за хибридна защита на данните са резервни хостове, които се използват само в случай на възстановяване след срив; дотогава те не са регистрирани в системата. За подробности вж Възстановяване при бедствия с помощта на Център за данни в режим на готовност .

Преди да започнете

След като започнете регистрацията на възел, трябва да го завършите в рамките на 60 минути или трябва да започнете отначало.
Уверете се, че всички блокиращи изскачащи прозорци във вашия браузър са деактивирани или че сте разрешили изключение за admin.webex.com.

1	Създайте нова виртуална машина от OVA, като повторите стъпките в Инсталирайте HDS Host OVA .
2	Настройте първоначалната конфигурация на новата VM, като повторите стъпките в Настройте хибридната VM машина за защита на данните .
3	На новата VM повторете стъпките в Качете и монтирайте ISO конфигурацията на HDS .
4	Ако настройвате прокси за внедряването си, повторете стъпките в Конфигурирайте HDS възел за прокси интеграция както е необходимо за новия възел.
5	Регистрирайте възела. Вhttps://admin.webex.com , изберете Услуги от менюто в лявата част на екрана. В секцията Хибридни услуги намерете картата за защита на хибридни данни и щракнете Ресурси . Появява се страницата Ресурси за защита на хибридните данни. Щракнете върху Добавяне на ресурс . В първото поле изберете името на съществуващия си клъстер. Във второто поле въведете вътрешния IP адрес или напълно квалифицирано име на домейн (FQDN) на вашия възел и щракнете Следваща . Появява се съобщение, което показва, че можете да регистрирате своя възел в облака на Webex . Щракнете върху Отидете на Node . След няколко минути ще бъдете пренасочени към тестовете за свързване на възел за услугите на Webex . Ако всички тестове са успешни, се появява страницата Разрешаване на достъп до възел за защита на хибридни данни. Там потвърждавате, че искате да дадете разрешения на вашата организация за достъп до вашия възел. Проверете Разрешете достъп до вашия възел за защита на хибридни данни квадратче за отметка и след това щракнете Продължете . Вашият акаунт е валидиран и съобщението „Регистрацията е завършена“ показва, че вашият възел вече е регистриран в облака на Webex . Щракнете върху връзката или затворете раздела, за да се върнете към страницата за защита на хибридните данни на Control Hub. Вашият възел е регистриран. Имайте предвид, че докато не започнете пробна версия, вашите възли генерират аларма, показваща, че вашата услуга все още не е активирана.

Какво да направите след това

Изпълнете пробна версия и преминете към производство (следваща глава)

Изпълнете пробна версия и преминете към производство

Поток на задачата от пробна и производствена

След като настройвам клъстер за хибридна защита на данни, можете да стартирате пилотен, да добавите потребители към него и да започнете да го използвате за тестване и проверка на внедряването си в подготовка за преминаване към производство.

Преди да започнете

В тази задача изтегляте OVA файл на вашата машина (не на сървърите, които сте настроили като възли за хибридна сигурност на данните). Използвате този файл по-късно в процеса на инсталиране.

1	Ако е приложимо, синхронизирайте `HdsTrialGroup` групов обект. Ако вашата организация използва синхронизиране на директории за потребители, трябва да изберете `HdsTrialGroup` групов обект за синхронизиране с облака, преди да можете да започнете пробна версия. За инструкции вижте Ръководство за разгръщане на Cisco Directory Connector.
2	Активирайте пробна версия Започнете изпитание. Докато не изпълните тази задача, вашите възли генерират аларма, показваща, че услугата все още не е активирана.
3	Тествайте внедряването на вашата хибридна защита на данните Проверете дали ключовите заявки преминават към внедряването на вашата хибридна защита на данните.
4	Наблюдавайте здравето на хибридната защита на данните Проверете състоянието и настройвам известия по имейл за аларми.
5	Добавяне или премахване на потребители от вашия пробен период
6	Завършете пробната фаза с едно от следните действия: Преминете от пробна версия към производствена Прекратете пробния си период, без да преминете към производство

Активирайте пробна версия

Преди да започнете

Ако вашата организация използва синхронизиране на директории за потребители, трябва да изберете HdsTrialGroup групов обект за синхронизиране с облака, преди да можете да започнете пробна версия за вашата организация. За инструкции вижте Ръководство за разгръщане на Cisco Directory Connector.

1	Влезте вhttps://admin.webex.com и след това изберете Услуги .
2	Под Hybrid Data Security щракнете върху Настройки .
3	В секцията Състояние на услугата щракнете Започнете пробна версия . Състоянието на услугата се променя на пробен режим.
4	Щракнете върху Добавяне на потребители и въведете имейл адрес на един или повече потребители за пилотно използване на вашите възли за хибридна защита на данните за услуги за криптиране и индексиране. (Ако вашата организация използва синхронизиране на директории, използвайте Active Directory , за да управлявате пробната група, `HdsTrialGroup`.)

Тествайте внедряването на вашата хибридна защита на данните

Използвайте тази процедура, за да тествате сценарии за криптиране на хибридна защита на данните.

Преди да започнете

Настройте внедряването на хибридната защита на данните.
Активирайте пробната версия и добавете няколко пробни потребители.
Уверете се, че имате достъп до системния журнал, за да проверите дали ключовите заявки се предават към внедряването на хибридната защита на данните.

1

Ключовете за дадено пространство се задават от създателя на пространството. Влезте в приложението Webex като един от пилотните потребители и след това създайте пространство и поканете поне един пилотен потребител и един непилотен потребител.

Ако деактивирате внедряването на хибридна защита на данните, съдържанието в пространствата, които пилотните потребители създават, вече няма да бъде достъпно, след като кешираните от клиента копия на ключовете за криптиране бъдат заменени.

2

Изпращайте съобщения до новото пространство.

3

Проверете изхода на системния журнал, за да се уверите, че ключовите заявки преминават към вашето внедряване на хибридна защита на данните.

За да проверите дали потребител първо установява защитен канал към KMS, филтрирайте kms.data.method=create и kms.data.type=EPHEMERAL_KEY_COLLECTION:

Трябва да намерите запис като следния (идентификаторите, съкратени за четливост):

2020-07-21 17:35:34.562 (+0000) INFO  KMS [pool-14-thread-1] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms://hds2.org5.portun.us/statickeys/3[~]0 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=EPHEMERAL_KEY_COLLECTION, 
kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2

За да проверите за потребител, който иска съществуващ ключ от KMS, филтрирайте kms.data.method=retrieve и kms.data.type=KEY:

Трябва да намерите запис като:

2020-07-21 17:44:19.889 (+0000) INFO  KMS [pool-14-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=retrieve, 
kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriHost=ciscospark.com, kms.data.type=KEY, 
kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b

За да проверите за потребител, който иска създаване на нов KMS ключ, филтрирайте kms.data.method=create и kms.data.type=KEY_COLLECTION:

Трябва да намерите запис като:

2020-07-21 17:44:21.975 (+0000) INFO  KMS [pool-14-thread-33] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, 
kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, 
kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b

За да проверите за потребител, който иска създаването на нов KMS Resource Object (KRO), когато се създаде пространство или друг защитен ресурс, филтрирайте върху kms.data.method=create и kms.data.type=RESOURCE_COLLECTION:

Трябва да намерите запис като:

2020-07-21 17:44:22.808 (+0000) INFO  KMS [pool-15-thread-1] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

Наблюдавайте здравето на хибридната защита на данните

индикатор на състоянието в Control Hub ви показва дали всичко е наред с внедряването на хибридната защита на данните. За по-проактивни сигнали, записвам се за известия по имейл. Ще бъдете уведомени, когато има аларми, засягащи услугата, или надстройки на софтуера.

1	В Контролен център , изберете Услуги от менюто в лявата част на екрана.
2	В секцията Хибридни услуги намерете Hybrid Data Security и щракнете Настройки . Появява се страницата Настройки за защита на хибридните данни.
3	В секцията Известия по Имейл въведете един или повече имейл адреси, разделени със запетаи, и натиснете Въведете .

Добавяне или премахване на потребители от вашия пробен период

След като активирате пробен период и сте добавили първоначалния набор от потребители на пробния период, можете да добавяте или премахвате членове на пробния период по всяко време, докато пробният период е активен.

Ако премахнете потребител от пробната версия, клиентът на потребителя ще поиска ключове и създаване на ключ от облачния KMS вместо от вашия KMS. Ако клиентът се нуждае от ключ, който се съхранява във вашия KMS, облачният KMS ще го извлече от името на потребителя.

Ако вашата организация използва синхронизиране на директории, използвайте Active Directory (вместо тази процедура), за да управлявате пробната група, HdsTrialGroup; можете да видите членовете на групата в Control Hub, но не можете да ги добавяте или премахвате.

1	Влезте в Control Hub и след това изберете Услуги .
2	Под Hybrid Data Security щракнете върху Настройки .
3	В секцията Пробен режим на зоната Състояние на услугата щракнете Добавяне на потребители , или щракнете преглед и редактиране за да премахнете потребителите от пробния период.
4	Въведете имейл адрес на един или повече потребители, които да добавите, или щракнете върху X чрез ИД на потребител , за да премахнете потребителя от пробната версия. След това щракнете Запазете .

Преминете от пробна версия към производствена

Когато сте доволни, че внедряването ви работи добре за пробните потребители, можете да преминете към производство. Когато преминете към производство, всички потребители в организацията ще използват вашия в помещението домейн за хибридна защита на данните за ключове за криптиране и други услуги от сферата на сигурността. Не можете да се върнете обратно към пробен режим от производство, освен ако не деактивирате услугата като част от възстановяване след срив. Повторното активиране на услугата изисква да настройвам нов пробен период.

1	Влезте в Control Hub и след това изберете Услуги .
2	Под Hybrid Data Security щракнете върху Настройки .
3	В секцията Състояние на услугата щракнете Преминете към Производство .
4	Потвърдете, че искате да преместите всичките си потребители в производствения режим.

Прекратете пробния си период, без да преминете към производство

Ако по време на пробния период решите да не продължите с внедряването на хибридната защита на данните, можете да деактивирате хибридната защита на данните, което приключва пробния период и премества пробните потребители обратно към услугите за сигурност на облачните данни. Потребителите на пробния период ще загубят достъп до данните, които са били криптирани по време на пробния период.

1	Влезте в Control Hub и след това изберете Услуги .
2	Под Hybrid Data Security щракнете върху Настройки .
3	В секцията Деактивиране щракнете Деактивирайте .
4	Потвърдете, че искате да деактивирате услугата и да прекратите пробния период.

Управлявайте внедряването на HDS

Управление на внедряването на HDS

Използвайте описаните тук задачи, за да управлявате внедряването на вашата хибридна защита на данните.

Задайте график за надграждане на клъстер

Софтуерните надстройки за хибридна защита на данните се извършват автоматично на ниво клъстер, което гарантира, че всички възли винаги работят с една и съща версия на софтуер. Надстройките се извършват според графика за надграждане на клъстера. Когато надстройката на софтуера стане налична, имате възможност да надстроите ръчно клъстера преди планираното време за надстройка. Можете да зададете конкретен график за надграждане или да използвате графика по подразбиране от 3:00 часа AM всеки ден Съединени щати: Америка/Лос Анджелис. Можете също да изберете да отложите предстояща надстройка, ако е необходимо.

За да зададете графика за надстройка:

1	Влезте в Control Hub.
2	На страницата Общ преглед под Хибридни услуги изберете Хибридна сигурност на данните .
3	На страницата Ресурси за защита на хибридни данни изберете клъстера.
4	В панела Преглед вдясно под Настройки на клъстера изберете името на клъстера.
5	На страницата Настройки, под Надстройка, изберете часа и часова зона за графика за надстройка. Забележка: Под часова зона се показва следващата налична дата и час за надстройка. Можете да отложите надстройката за следващия ден, ако е необходимо, като щракнете Отложете .

Променете конфигурацията на възела

Понякога може да се наложи да промените конфигурацията на вашия възел за хибридна защита на данните поради причина като:

Промяна на сертификати x.509 поради изтичане или други причини.

Не поддържаме промяна на име на домейн на сертификат. Домейнът трябва да съвпада с оригиналния домейн, използван за регистриране на клъстера.

Актуализиране на настройките на базата данни за промяна на реплика на базата данни PostgreSQL или Microsoft SQL Server.

Не поддържаме мигриране на данни от PostgreSQL към Microsoft SQL Server или по обратния начин. За да превключите средата на базата данни, започнете ново внедряване на хибридна защита на данните.

Създаване на нова конфигурация за подготовка на нов център за данни.

Също така, за целите на сигурността, Hybrid Data Security използва пароли за акаунт на услуга, които имат деветмесечен живот. След като инструментът за настройка на HDS генерира тези пароли, вие ги разгръщате във всеки от вашите HDS възли в ISO конфигурационния файл. Когато паролите на вашата организация изтичат, получавате известие от екипа на Webex да нулирате паролата за вашия акаунт на машината. (Имейлът включва текста „Използвайте API на акаунта на машината, за да актуализирате паролата.“) Ако вашите пароли все още не са изтекли, инструментът ви дава две опции:

Меко нулиране — И старата, и новата парола работят до 10 дни. Използвайте този период, за да замените постепенно ISO файла на възлите.
Твърдо нулиране —Старите пароли спират да работят незабавно.

Ако вашите пароли изтичат без нулиране, това се отразява на вашата HDS услуга, изисквайки незабавно твърдо нулиране и подмяна на ISO файла на всички възли.

Използвайте тази процедура, за да генерирате нов конфигурационен ISO файл и да го приложите към вашия клъстер.

Преди да започнете

Инструментът за настройка на HDS работи като Docker контейнер на локална машина. За да получите достъп до него, стартирайте Docker на тази машина. Процесът на настройка изисква идентификационни данни на акаунт в Control Hub с пълни администраторски права за вашата организация.

Ако инструментът за настройка на HDS работи зад прокси във вашата среда, предоставете настройките на прокси сървъра (сървър, порт, идентификационни данни) чрез променливите на средата на Docker, когато извеждате контейнера на Docker в 1.д . Тази таблица дава някои възможни променливи на средата:

Описание	Променлива
HTTP прокси без удостоверяване	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS прокси без удостоверяване	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP прокси с удостоверяване	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS прокси с удостоверяване	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Имате нужда от копие на текущия конфигурационен ISO файл, за да генерирате нова конфигурация. ISO съдържа главния ключ, криптиращ PostgreSQL или базата данни на Microsoft SQL Server. Имате нужда от ISO , когато правите промени в конфигурацията, включително идентификационни данни на базата данни, актуализации на сертификати или промени в политиката за оторизация.

1

Като използвате Docker на локална машина, стартирайте инструмента за настройка на HDS.

В командния ред на вашата машина въведете подходящата команда за вашата среда:

В редовна среда:

docker rmi ciscocitg/hds-setup:stable

В FedRAMP среди:

docker rmi ciscocitg/hds-setup-fedramp:stable

Тази стъпка почиства предишни изображения на инструмента за настройка на HDS. Ако няма предишни изображения, той връща грешка, която можете да игнорирате.

За да влизам в регистъра на изображенията на Docker, въведете следното:
```
docker login -u hdscustomersro
```
При подкана за парола въведете този хеш:
```
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
```

Изтеглете най-новото стабилно изображение за вашата среда:

В редовна среда:

docker pull ciscocitg/hds-setup:stable

В FedRAMP среди:

docker pull ciscocitg/hds-setup-fedramp:stable

Уверете се, че сте изтеглили най-новия инструмент за настройка за тази процедура. Версиите на инструмента, създадени преди 22 февруари 2018 г., нямат екрани за нулиране на паролата.

Когато изтеглянето завърши, въведете подходящата команда за вашата среда:

В обикновени среди без прокси:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

В обикновени среди с HTTP прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

В обикновени среди с HTTPSproxy:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

В FedRAMP среди без прокси:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

В FedRAMP среди с HTTP прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

В FedRAMP среди с HTTPS прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Когато контейнерът работи, виждате „Експресно слушане на сървър на порт 8080“.

Използвайте браузър, за да се свържете с локалния хост, http://127.0.0.1:8080.

Инструментът за настройка не поддържа свързване към localhost чрез http://localhost:8080 . Използвайтеhttp://127.0.0.1:8080 за да се свържете с локален хост.

Когато бъдете подканени, въведете вашите идентификационни данни за влизане в Control Hub и след това щракнете Приемам да продължи.
Импортирайте текущия конфигурационен ISO файл.
Следвайте подканите, за да завършите инструмента и да изтеглите актуализирания файл.

За да изключите инструмента за настройка, въведете CTRL+C.
Създайте резервно копие на актуализирания файл в друг център за данни.

2

Ако имате работещ само един HDS възел , създайте нов VM на възел за хибридна защита на данните и го регистрирайте с помощта на новия конфигурационен ISO файл. За по-подробни инструкции вж Създайте и регистрирайте още възли .

Инсталирайте HDS хост OVA.
Настройте HDS VM.
Монтирайте актуализирания конфигурационен файл.
Регистрирайте новия възел в Control Hub.

3

За съществуващи HDS възли, които изпълняват по-стария конфигурационен файл, монтирайте ISO файла. Изпълнете следната процедура на всеки възел на свой ред, като актуализирате всеки възел, преди да изключите следващия възел:

Изключете виртуална машина.
В левия навигационен панел на клиента VMware vSphere щракнете с щраквам с десния бутон върху VM и щракнете Редактиране на настройките .
Щракнете върху CD/DVD Drive 1, изберете опцията за монтиране от ISO файл и прегледайте мястото, където сте изтеглили новия конфигурационен ISO файл.
Проверете Свържете при включване .
Запазете промените си и включете виртуална машина.

4

Повторете стъпка 3, за да замените конфигурацията на всеки останал възел, който изпълнява старата конфигурация.

Изключете Blocked External DNS Resolution Mode

Когато регистрирате възел или проверявате прокси конфигурацията на възела, процесът тества търсенето на DNS и свързаността с облака на Cisco Webex . Ако DNS сървър на възела не може да разреши публични DNS имена, възелът автоматично преминава в режим на Blocked External DNS Resolution.

Ако вашите възли са в състояние да разрешават публични DNS имена чрез вътрешни DNS сървъри, можете да изключите този режим, като стартирате повторно теста за прокси връзка на всеки възел.

Преди да започнете

Уверете се, че вашите вътрешни DNS сървъри могат да разрешават публични DNS имена и че вашите възли могат да комуникират с тях.

1	В уеб браузър отворете интерфейса на възела на хибридната защита на данните (IP адрес/настройка, например,https://192.0.2.0/setup), въведете администраторските идентификационни данни, които сте настройвам за възела, и след това щракнете Влезте .
2	Отидете на Общ преглед (страницата по подразбиране). Когато е активирано, Блокирана външна DNS разделителна способност е настроен на да .
3	Отидете до Доверен магазин и прокси страница.
4	Щракнете върху Проверете прокси връзката . Ако видите съобщение, че външната DNS резолюция не е била успешна, възелът не е успял да достигне до DNS сървър и ще остане в този режим. В противен случай, след като рестартирате възела и се върнете към Общ преглед страница, Разделителната способност за блокиран външен DNS трябва да бъде зададена на не.

Какво да направите след това

Повторете теста на прокси връзката на всеки възел във вашия клъстер за хибридна защита на данните.

Премахване на възел

Използвайте тази процедура, за да премахнете възел за защита на хибридни данни от облака на Webex . След като премахнете възела от клъстера, изтрийте виртуална машина, за да предотвратите по-нататъшен достъп до вашите данни за сигурност.

1

Използвайте VMware vSphere клиента на вашия компютър, за да влезете във виртуалния хост на ESXi и да изключите виртуална машина.

2

Премахнете възела:

Влезте в Control Hub и след това изберете Услуги .
На картата за защита на хибридни данни щракнете Вижте всички за да се покаже страницата Ресурси за защита на хибридните данни.
Изберете своя клъстер, за да покажете неговия панел за преглед.
Щракнете върху Отворете списъка с възли .
В раздела Възли изберете възела, който искате да премахнете.
Щракнете върху Действия > Дерегистриране на възел .

3

В vSphere клиента изтрийте VM. (В левия навигационен панел щракнете с щраквам с десния бутон върху VM и щракнете Изтрийте .)

Ако не изтриете VM, не забравяйте да демонтирате конфигурационния ISO файл. Без ISO файла не можете да използвате VM за достъп до вашите данни за сигурност.

Възстановяване при бедствия с помощта на Център за данни в режим на готовност

Най-критичната услуга, която предоставя вашият клъстер за хибридна защита на данни, е създаването и съхранението на ключове, използвани за криптиране на съобщения и друго съдържание, съхранявано в облака на Webex . За всеки потребител в организацията, който е назначен към хибридна защита на данните, заявките за създаване на нови ключове се насочват към клъстера. Клъстерът е отговорен и за връщането на създадените от него ключове на всички потребители, упълномощени да ги извличат, например членове на пространство за разговор.

Тъй като клъстерът изпълнява критичната функция за предоставяне на тези ключове, наложително е клъстерът да продължи да работи и да се поддържат правилни резервни копия. Загубата на базата данни за хибридна защита на данните или на конфигурацията ISO , използвана за схемата, ще доведе до НЕВЪЗСТАНОВИМА ЗАГУБА на клиентско съдържание. Следните практики са задължителни за предотвратяване на такава загуба:

Ако бедствие причини внедряването на HDS в основния център за данни да стане недостъпно, следвайте тази процедура, за да преминете ръчно към резервния център за данни.

1

Стартирайте инструмента за настройка на HDS и следвайте стъпките, посочени в Създайте ISO конфигурация за HDS хостовете .

2

След като конфигурирате сървъра Syslogd, щракнете върху Разширени настройки

3

На Разширени настройки страница, добавете конфигурацията по-долу или премахнете passiveMode конфигурация, за да направи възела активен. Възелът може да обработва трафик, след като това е конфигурирано.


passiveMode: 'false'

4

Завършете процеса на конфигуриране и запазете ISO файла на място, което е лесно за намиране.

5

Направете резервно копие на ISO файла във вашата локална система. Пазете резервното копие сигурно. Този файл съдържа главен ключ за шифроване за съдържанието на базата данни. Ограничете достъпа само до онези администратори на Hybrid Data Security, които трябва да направят промени в конфигурацията.

6

В левия навигационен панел на клиента VMware vSphere щракнете с щраквам с десния бутон върху VM и щракнете Редактиране на настройките. .

7

Щракнете върху Редактиране на настройките > CD/ DVD устройство 1 и изберете Datastore ISO File.

Уверете се Свързани и Свържете при включване са проверени, така че актуализираните промени в конфигурацията да влязат в сила след стартиране на възлите.

8

Включете HDS възела и се уверете, че няма аларми за поне 15 минути.

9

Повторете процеса за всеки възел в център за данни в режим на готовност.

Проверете изхода на системния журнал, за да се уверите, че възлите на център за данни в режим на готовност не са в пасивен режим. „KMS, конфигуриран в пасивен режим“ не трябва да се появява в системните дневници.

Какво да направите след това

След отказ, ако основният център за данни стане отново активен, поставете център за данни в режим на готовност отново в пасивен режим, като следвате стъпките, описани в Настройте център за данни в режим на готовност за възстановяване при бедствия .

(По избор) Демонтирайте ISO след HDS конфигурация

Стандартната HDS конфигурация работи с монтиран ISO . Но някои клиенти предпочитат да не оставят ISO файловете непрекъснато монтирани. Можете да демонтирате ISO файла, след като всички HDS възли вземат новата конфигурация.

Все още използвате ISO файловете, за да правите промени в конфигурацията. Когато създавате нов ISO или актуализирате ISO чрез инструмента за настройка, трябва да монтирате актуализирания ISO на всичките си HDS възли. След като всичките ви възли приемат промените в конфигурацията, можете да демонтирате ISO отново с тази процедура.

Преди да започнете

Надстройте всичките си HDS възли до версия 2021.01.22.4720 или по-нова.

1	Изключете един от вашите HDS възли.
2	Във vCenter Server Appliance изберете HDS възела.
3	Изберете Редактиране на настройките > CD/ DVD устройство и премахнете отметката ISO файл на хранилище за данни .
4	Включете HDS възела и се уверете, че няма аларми за поне 20 минути.
5	Повторете последователно за всеки HDS възел.

Отстраняване на проблеми със сигурността на хибридните данни

Преглед на сигнали и отстраняване на неизправности

Разгръщането на хибридна защита на данните се счита за недостъпно, ако всички възли в клъстера са недостъпни или клъстерът работи толкова бавно, че изисква време за изчакване. Ако потребителите не могат да достигнат до вашия клъстер за защита на хибридни данни, те изпитват следните симптоми:

Не могат да се създават нови пространства (не може да се създадат нови ключове)
Съобщенията и заглавията на пространството не могат да се дешифрират за:
- Нови потребители, добавени към пространство (не могат да извлекат ключове)
- Съществуващи потребители в пространство, използващи нов клиент (не може да извлече ключове)
Съществуващите потребители в пространство ще продължат да работят успешно, докато техните клиенти имат кеш на ключовете за криптиране

Важно е правилно да наблюдавате своя клъстер за хибридна защита на данните и незабавно да адресирате всички предупреждения, за да избегнете прекъсване на услугата.

Предупреждения

Ако има проблем с настройката на хибридната защита на данните, Control Hub показва сигнали до администратора на организацията и изпраща имейли до конфигурирания имейл адрес. Сигналите обхващат много често срещани сценарии.

Таблица 1. Често срещани проблеми и стъпки за разрешаването им
Предупреждение	Действие
Грешка при достъп до локална база данни.	Проверете за грешки в базата данни или проблеми с локалната мрежа.
неуспешна връзка с локална база данни.	Проверете дали сървърът на сървър на база с данни е наличен и правилните идентификационни данни за акаунт на услуга са били използвани в конфигурацията на възел.
Грешка при достъп до облачна услуга.	Проверете дали възлите имат достъп до сървърите на Webex , както е посочено в Изисквания за външна свързаност .
Подновяване на регистрацията на облачна услуга.	Регистрацията в облачни услуги беше прекратена. Подновяването на регистрацията е в ход.
Регистрацията на облачна услуга отпадна.	Регистрацията в облачни услуги е прекратена. Услугата се изключва.
Услугата все още не е активирана.	Активирайте пробна версия или завършете преместването на пробната версия в производствен.
Конфигурираният домейн не съответства на сертификат на сървъра.	Уверете се, че вашият сертификат на сървъра съответства на конфигурирания домейн за активиране на услугата. Най-вероятната причина е, че CN на сертификата е наскоро променен и вече е различен от CN, който е бил използван по време на първоначалната настройка.
Удостоверяването на облачни услуги не бе успешно.	Проверете за точността и възможното изтичане на идентификационните данни за акаунт на услуга .
Неуспешно отваряне на файл с локално хранилище за ключове.	Проверете за целостта и точността на паролата във файла на локалното хранилище на ключове.
сертификат на сървъра е невалиден.	Проверете дата на изтичане на валидността or, shortened, дата на изтичане на сертификата на сървъра и потвърдете, че е издаден от доверен орган за сертификати.
Не може да се публикуват показатели.	Проверете достъпа на локалната мрежа до външни облачни услуги.
/media/configdrive/hds директорията не съществува.	Проверете конфигурацията за монтиране на ISO на виртуален хост. Проверете дали ISO файлът съществува, дали е конфигуриран да се монтира при рестартиране и че се монтира успешно.

Отстраняване на проблеми със сигурността на хибридните данни

Използвайте следните общи указания, когато отстранявате проблеми с Hybrid Data Security.

1	Прегледайте Control Hub за сигнали и коригирайте всички елементи, които намерите там.
2	Прегледайте изхода на syslog сървъра за активност от внедряването на хибридна защита на данните.
3	Контакт Поддръжка на Cisco .

Други бележки

Известни проблеми за сигурността на хибридните данни

Ако изключите своя клъстер за хибридна защита на данни (чрез го изтриете в Control Hub или като изключите всички възли), загубите своя конфигурационен ISO файл или загубите достъп до базата данни на хранилището на ключове, потребителите на вашето Webex App вече няма да могат да използват пространства под своите хора списък, които са създадени с ключове от вашия KMS. Това се отнася както за пробно, така и за производствено внедряване. Понастоящем нямаме решение или решение за този проблем и ви призоваваме да не изключвате вашите HDS услуги, след като те обработват активни потребителски акаунти.
Клиент, който има съществуваща ECDH връзка към KMS, поддържа тази връзка за определен период от време (вероятно един час). Когато потребителят стане член на пробна версия за хибридна защита на данните, клиентът на потребителя продължава да използва съществуващата ECDH връзка, докато не изтече. Като алтернатива, потребителят може да излизам отново в приложението Webex App, за да актуализира местоположението, с което приложението се свързва за ключове за криптиране.

Същото поведение се случва, когато преместите пробен период в производствен за организацията. Всички потребители без опит със съществуващи ECDH връзки към предишните услуги за сигурност на данните ще продължат да използват тези услуги, докато ECDH връзката не бъде предоговорена (чрез изчакване или чрез излизане и обратно).

Използвайте OpenSSL, за да генерирате PKCS12 файл

Преди да започнете

OpenSSL е един инструмент, който може да се използва за създаване на файла PKCS12 в правилния формат за зареждане в инструмента за настройка на HDS. Има и други начини да направите това и ние не подкрепяме или популяризираме един начин пред друг.
Ако решите да използвате OpenSSL, ние предоставяме тази процедура като насока, за да ви помогнем да създадете файл, който отговаря на изискванията на сертификата X.509 в X.509 Изисквания за сертификат . Разберете тези изисквания, преди да продължите.
Инсталирайте OpenSSL в поддържана среда. Вижhttps://www.openssl.org за софтуера и документацията.
Създайте частен ключ.
Започнете тази процедура, когато получите сертификат на сървъра от вашия орган за сертификати (CA).

1	Когато получите сертификат на сървъра от вашия CA, запазете го като `hdsnode.pem`.
2	Покажете сертификата като текст и проверете подробностите. `openssl x509 -text -noout -in hdsnode.pem`
3	Използвайте текстов редактор, за да създадете файл с пакет от сертификати, наречен `hdsnode-bundle.pem`. Пакетният файл трябва да включва сертификат на сървъра, всички междинни CA сертификати и сертификатите за основния CA във формат по-долу: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	Създайте .p12 файла с приятелското име `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Проверете подробностите за сертификат на сървъра . `openssl pkcs12 -in hdsnode.p12` Въведете парола при подкана, за да шифровате частния ключ, така че да бъде посочен в изхода. След това проверете дали частният ключ и първият сертификат включват редовете `friendlyName: kms-private-key`. Пример: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: <No Attributes> Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- <redacted> -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- <redacted> -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- <redacted> -----END CERTIFICATE-----

Какво да направите след това

Върнете се към Изпълнете предпоставките за хибридна защита на данните . Вие ще използвате hdsnode.p12 файл и паролата, която сте задали за него, в Създайте ISO конфигурация за HDS хостовете .

Можете да използвате повторно тези файлове, за да поискате нов сертификат, когато оригиналният сертификат изтече.

Трафик между HDS възлите и облака

Изходящ трафик за събиране на показатели

Възлите за хибридна защита на данните изпращат определени показатели към облака на Webex . Те включват системни метрики за макс. хеп, използван хеп, натоварване на CPU и брой нишки; метрики за синхронни и асинхронни нишки; показатели за сигнали, включващи праг на криптиращи връзки, латентност или дължина на опашката за заявки; метрики на хранилището за данни; и показатели за криптиране на връзката. Възлите изпращат криптиран ключов материал по извънлентов (отделен от заявката) канал.

Входящ трафик

Възлите за защита на хибридните данни получават следните типове входящ трафик от облака на Webex :

Заявки за криптиране от клиенти, които се насочват от услугата за криптиране
Надстройки на софтуера на възела

Конфигурирайте Squid прокси сървъри за хибридна защита на данните

Websocket не може да се свърже чрез Squid прокси

Squid прокси сървърите, които проверяват HTTPS трафика, могат да попречат на установяването на websocket ( wss:) връзки, които изисква Hybrid Data Security. Тези раздели дават насоки как да конфигурирате различни версии на Squid за игнориране wss: трафик за правилното функциониране на услугите.

Калмари 4 и 5

Добавете on_unsupported_protocol директива за squid.conf:

on_unsupported_protocol tunnel all

Калмари 3.5.27

Успешно тествахме хибридната защита на данните с добавени следните правила squid.conf. Тези правила подлежат на промяна, докато разработваме функции и актуализираме облака на Webex .

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Предговор

Нова и променена информация

Дата	Направени промени
01 октомври 2026	Добавена е мигриране на HDS възли между поддържаните хипервизори секция.
Септември 21, 2026	Добавена е поддръжка за хипервизора на Nutanix в изискванията за виртуален хост. Добавено е разгръщане и конфигуриране на HDS в секцията Nutanix. Актуализирани процедури в ръководството, за да включат инструкции за внедряване на Nutanix.
07 септември 2026	Добавена е поддръжка за хипервизора на Cisco Enterprise Network Function Virtualization Infrastructure Software (NFVIS) в изискванията за виртуален хост. Добавено е разгръщане и конфигуриране на HDS в секцията NFVIS. Актуализирани процедури в ръководството, за да включат инструкции за внедряване на NFVIS. Раздел Преместен център за данни в режим на готовност за възстановяване при бед ствия под Управление на внедряването на HDS.
Август 28, 2026	Добавено е критично предупреждение в Очак вания за внедряване на хибридна защита на данните, че миграцията от хибридна сигурност на данните към Webex cloud KMS не се поддържа и извеждането от експлоатация на HDS ще доведе до загуба на достъп до съществуващи криптирани данни.
29 юли 2026	Актуализиран е секцията Изиск вания за сертификат X.509, за да посочи, че се поддържат само RSA сертификати.
02 юли 2026	Добавена сек ция Деактивиране на облачните агенти.
23 юни 2026	Добавен е раздел за интерпретиране на HDS дневници и разбиране на етикетите на аген ти.
01 юни 2026	Добавена секция API за разработчици на HDS. Добавена е бележка в инструмента Run HDS Setup, използвайки секцията Podman Desktop.
16 април 2026	Акту ализирани изисквания за сървъра на база данни за добавяне на поддръжка за PostgreSQL версии 17 и 18.
25 март 2026	Актуализирана е паролата по подразбиране, използвана за влизане в VM възела Hybrid Data Security.
05 декември 2025	Актуализи рано Създайте конфигурационен ISO за HDS хостовете с правил ния текст на потребителския интерфейс на страницата System Logs и добавите инструкция за качване на корен сертификат syslog при конфигуриране на TLS криптиране.
08 май 2025	Актуализирани изисквания за виртуален хост, поток от задачи за внедряване на хибридна защита на данните и инсталирайте HDS Host OVA, за да добавите поддръжка на ESXi 8.0.
03 март 2025	Добавен е инструмент за настройка на Run HDS с помощта на секцията Podman Desktop. Добавена е бележка в изискванията на Docker Desktop, предоставяща на клиентите алтернативна опция с отворен код. Актуализи рано Създайте конфигурационен ISO за HDS хостовете и променете конфигурацията на въз ела с инструкции за използване на Podman Desktop за клиенти без лиценз за Docker Desktop.
30 януари 2025	Добавена е версия на SQL сървър 2022 към списъка с поддържани SQL сървъри в Изиск ванията на сървъра на база данни.
07 януари 2025	Актуализирани изисквания за виртуален хост, поток от задачи за внедряване на хибридна сигурност на данните и инсталирайте HDS Host OVA, за да покажете ново изискване на ESXi 7.0.
Октомври 20, 2023	Актуализирана информация в изискванията на сървъра на базата данни. Добавена настройка Център за данни в режим на готовност за възстановяване при бед ствие Актуализирана информация в Цент ъра за данни в режим на готовност за възстановяване при бед ствия и възстановяване при бедствия с помощта на Център за данни
Август 07, 2023	Добавена е бележка в Из тегляне на инсталационни файлове. Добавена е бележка в Създаване на конфигурация ISO за HDS хостовете и промяна на конфигурацията на възела.
23 май 2023	Изтрита информация от изискванията на сървъра на база данни, изискваща активиране на функция, като се свържете с екипа на акаунта. Актуализирана информация в изискванията за външна свързаност и добавена Канада към таблицата на CI хостове. Добавена е бележка в О чаквания за внедряване на хибридна сигурност на данните относно липсата на механизми за преместване на ключове обратно в облака.
Декември 06, 2022	Изображенията на инструмента за настройка на HDS вече се хостват в хранилището на `ciscocitg`dockerhub. Актуализи рано Създайте конфигурационен ISO за HDS хостовете и променете темите за конфигурация на въз лите, за да промените промените в командите.
Ноември 23, 2022	HDS възлите вече могат да използват удостоверяване на Windows срещу Microsoft SQL Server. Актуализирана е темата Изисквания на сървъра на база данни с допълнителни изисквания за този режим на удостоверяване. Актуализи рано Създайте конфигурационен ISO за HDS хостовете с процедурата за конфигуриране на удостоверяване на Windows на възлите. Актуализирана темата за изисквания на сървъра на база данни с нови минимално необходими версии (PostgreSQL 10).
Октомври 13, 2021	Docker Desktop трябва да стартира програма за настройка, преди да можете да инсталирате HDS възли. Вижте Изиск вания за работен плот на Docker.
Юни 24, 2021	Отбелязахме, че можете да използвате повторно файла с частен ключ и CSR, за да поискате друг сертификат. Вижте Използване на OpenSSL за генериране на PKCS12 файл за подробности.
30 април 2021	Промени изискването за VM за локално пространство на твърдия диск на 30 GB. Вижте И зисквания за виртуален хост за подробности.
Февруари 24, 2021	Инструментът за настройка на HDS вече може да работи зад прокси сървър. Вижте Създаване на конфигурационен ISO за HDS хостове за подробности.
февруари 2, 2021	HDS вече може да работи без монтиран ISO файл. Вижте (Незадължително) Отстраняване на ISO след конфигурация на HDS за подробности.
Януари 11, 2021	Добавена е информация за инструмента за настройка на HDS и прокси устройства за създаване на конфигурационен ISO за HDS хостовете.
Октомври 13, 2020	Актуал изирани инсталационни файлове за изтегл яне.
Октомври 8, 2020	Актуализи рано Създайте конфигурационен ISO за HDS хостовете и променете конфигурацията на възела с команди за FedRamp сред и.
Август 14, 2020	Актуализи рано Създайте конфигурационен ISO за HDS хостовете и променете конфигурацията на въз ела с промени в процеса на влизане.
Август 5, 2020	Актуализи рано Тествайте внедряването на хибридната сигурност на данните за промени в регистрационните съобщения. Актуализирани изисквания за виртуален хост, за да премахнете максималния брой хостове.
16 юни 2020	Актуализи рано Премахване на възел за промени в потребителския интерфейс на контролния център.
4 юни 2020	Актуализи рано Създайте конфигурационен ISO за HDS хостовете за промени в разширените настройки, които може да зададете.
29 май 2020	Актуализи рано Създайте конфигурационен ISO за HDS хостовете, за да покажете, че можете също да използвате TLS с бази данни на SQL Server, промени в потребителския интерфейс и други разяснения.
5 май 2020	Актуализирани изисквания за виртуален хост, за да се покаже ново изискване на ESXi 6.5.
април 21, 2020	Актуал изирани изисквания за външна свързаност с нови хостове на Americas CI.
април 1, 2020	Акту ализирани изисквания за външна свързаност с информация за регионалните CI хостове.
Февруари 20, 2020	Актуализи рано Създайте конфигурационен ISO за HDS хостовете с информация за новия опционален екран за раз ширени настройки в инструмента за настройка на HDS.
4 февруари 2020	Актуал изирани изисквания за прокси сървър.
Декември 16, 2019	Изясни изискването за режим на блокирана външна резолюция на DNS, за да работи в изискванията за прокси сървър.
Ноември 19, 2019	Добавена е информация за блокирания режим на външна резолюция на DNS в следните раздели: Поддръжка на прокси Конфигурирайте HDS възела за интеграция на прокси сървъри Изключете блокирания режим на външна резолюция на DNS
Ноември 8, 2019	Вече можете да конфигурирате мрежовите настройки за възел, докато внедрявате OVA, а не след това. Съответно се актуализират следните раздели: Поток от задачи за внедряване на хибридната сигурност Инсталирайте HDS хост OVA Настройте хибридната виртуална машина за защита на данните Опцията за конфигуриране на мрежовите настройки по време на в недряването на OVA е тествана с ESXi 6.5. Възможно е опцията да не е налична в по-ранни версии.
6 септември 2019	Добавен е SQL Server Standard към изискванията на сървъра на базата данни.
Август 29, 2019	Добавено е допълнение за конфигуриране на прокси сървъри на Squid за хибридна защита на данните с указания за конфигуриране на прокси сървъри на Squid, за да игнорират трафика на websocket за правилна работа.
Август 20, 2019	Добавени и актуализирани секции, за да покрият поддръжката на прокси сървъри за комуникации на възли за хибридна сигурност на данните към облака Webex. Поддръжка на прокси Изисквания за прокси сър Конфигурирайте HDS възела за интеграция на прокси сървъри За достъп само до съдържанието за поддръжка на прокси сървъри за съществуващо внедряване вижте помощната статия за поддръжка на прокси сървъри за хибридна защита на данните и Webex Video Mesh.
13 юни 2019	Актуализи ран пробен поток от задачи за производство с напомняне за синхронизиране на `HdsTrialGroup`груповия обект преди започване на пробна версия, ако организацията ви използва синхронизиране на директории.
Март 6, 2019	Преместени изисквания и предпоставки в отделна глава, Подгответе вашата среда. Добавен е преглед ът на потока на задачите за внедряване на хибридна сигурност на данните в главата Създаване на хибриден клъстер за сигурност на данните. Отбелязано е, че докато не започнете пробен период (като използвате инструкциите в следващата глава), вашите възли генерират аларма, показваща, че вашата услуга все още не е активирана. Добавен е потокът от задачи от пробната версия към производството в главата Стартирайте пробен период и преминете към производство.
Февруари 28, 2019	Коригирано е количеството локално пространство на твърдия диск на сървър, което трябва да отделите, когато подготвяте виртуалните хостове, които се превръщат в възли за хибридна сигурност на данните, от 50 GB до 20 GB, за да отразява размера на диска, който OVA създава.
26 февруари 2019	Хибридните възли за сигурност на данните вече поддържат криптирани връзки със сървъри за бази данни PostgreSQL и криптирани връзки за регистриране към сървър syslog, поддържащ TLS. Актуализи рано Създайте конфигурационен ISO за HDS хостовете с инструкции. Премахнати дестинационни URL адреси от таблицата „Изисквания за интернет свързаност за хибридни виртуални възли за сигурност на данните“. Таблицата сега се отнася до списъка, поддържан в таблицата „Допълнителни URL адреси за хибридни услуги на Webex Teams“ за мрежови изисквания за услугите на Webex Teams.
24 януари 2019	Хибридната защита на данните вече поддържа Microsoft SQL Server като база данни. SQL Server Always On (Винаги включени клъстери за превключване при неизправност и Винаги в групи за наличност) се поддържа от драйверите JDBC, които се използват в хибридна защита на данните. Добавено съдържание, свързано с внедряването със SQL Server. Поддръжката на Microsoft SQL Server е предназначена само за нови внедрявания на хибридна защита на данните. Понастоящем не поддържаме мигриране на данни от PostgreSQL към Microsoft SQL Server при съществуващо внедряване.
Ноември 5, 2018	Добавена е предварителна стъпка за почистване на всички съществуващи инстанции на docker hds в Съ здаване на конфигурация ISO за HDS хостовете и промяна на конфигура цията на възела. Актуализирана е стъпката на ключово ниво на достъп в Създаване на конфигурационен ISO за HDS хостовете, за да съответства на интерфейса.
19 октомври 2018	Разделете информацията за връзката на защитната стена на изисквания за възли и изисквания за конфигурация на ISO машина в Попълнете предпоставките за хибридна сигурност на данните.
31 юли 2018 г.	Добавен е порт 22 (SSH достъп) и информация за NAT и връзките на защитната стена, за да се изпълнят предпоставките за хибридна сигурност на данните.
21 май 2018	Променена терминология, за да отрази ребрандирането на Cisco Spark: Cisco Spark Hybrid Data Security вече е хибридна защита на данните. Приложението Cisco Spark вече е приложението Webex App. Облакът на Cisco Collaboraton вече е облакът Webex.
11 април 2018	Добавен център за данни в режим на готовност за възстановяване при бедст вия. Актуализи рано Попълнете предпоставките за хибридна сигурност на данните, за да посочите, че средата за архивиране трябва да бъде в различен център за данни. Актуализи рано възстановяване при бедствия с помощта на Център за данни в режим
22 февруари 2018	Добавена е информация за продължителността на живота на паролата за услужния акаунт 9 месеца и използване на инструмента за настройка на HDS за нулиране на паролите на акаунта в Съ здаване на конфигурация ISO за HDS хостовете и промяна на конфигу рацията на възела.
15 февруари 2018	В таблицата Изиск вания за сертификат X.509 е посочено, че сертификатът не може да бъде заместващ сертификат и че KMS използва домейна CN, а не всеки домейн, който е дефиниран в полетата x.509v3 SAN.
18 януари 2018	Добавено приложение, Трафик между HDS възлите и облака. Премахнат е разрешен проблем от Из вестни проблеми за хибридна сигурност на данните. Промени index.docker.io на .docker.io и добави.cloudfront.net към списъка с изисквания за TCP свързаност за HDS възлите в Попълнете предпоставките за хибридна сигурност на данните. Актуализирано Съз дайте конфигурационен ISO за HDS хостовете, за да посочите, че ако хостът на базата данни и сървърът на Syslogd не са разрешими с DNS от HDS възлите, трябва да ги конфигурирате с помощта на IP адреси.
2 ноември 2017	Изяснена синхронизация на директорията на HDStrialGroup. Фиксирани инструкции за качване на ISO конфигурационния файл за монтиране към VM възлите.
18 август 2017	Първо публикувано

Започнете с хибридна сигурност на данните

Преглед на хибридната сигурност на данните

От първия ден сигурността на данните е основният фокус при проектирането на Webex App. Крайъгълният камък на тази сигурност е криптирането на съдържание от край до край, активирано от клиентите на Webex App, взаимодействащи с услугата за управление на ключове (KMS). KMS отговаря за създаването и управлението на криптографските ключове, които клиентите използват за динамично криптиране и декриптиране на съобщения и файлове.

По подразбиране всички клиенти на Webex App получават криптиране от край до край с динамични ключове, съхранявани в облака KMS, в областта на сигурността на Cisco. Hybrid Data Security премества KMS и други функции, свързани със сигурността, във вашия корпоративен център за данни, така че никой освен вас не държи ключовете за вашето криптирано съдържание.

Архитектура на областта на сигурността

Облачната архитектура Webex разделя различните видове услуги в отделни сфери или доверие домейни, както е изобразено по-долу.

За да разберем допълнително хибридната сигурност на данните, нека първо да разгледаме този чист облачен случай, където Cisco предоставя всички функции в облачните си сфери. Услугата за самоличност, единственото място, където потребителите могат да бъдат пряко свързани с личната си информация, като имейл адрес, е логично и физически отделена от сферата на сигурността в центъра за данни Б. И двете от своя страна са отделни от сферата, където в крайна сметка се съхранява криптирано съдържание, в центъра за данни C.

В тази диаграма клиентът е приложението Webex, работещо на лаптопа на потребителя и се е удостоверило с услугата за самоличност. Когато потребителят състави съобщение за изпращане в интервал, се извършват следните стъпки:

Клиентът установява сигурна връзка с услугата за управление на ключове (KMS), след което изисква ключ за криптиране на съобщението. Сигурната връзка използва ECDH, а KMS криптира ключа с помощта на основен ключ AES-256.
Съобщението се криптира, преди да напусне клиента. Клиентът го изпраща до услугата за индексиране, която създава криптирани индекси за търсене, за да помогне при бъдещи търсения на съдържанието.
Криптираното съобщение се изпраща до службата за съответствие за проверка на съответствието.
Криптираното съобщение се съхранява в областта на съхранението.

Когато внедрявате хибридна защита на данните, премествате функциите на областта на защитата (KMS, индексиране и съответствие) в локалния център за данни. Другите облачни услуги, които съставляват Webex (включително съхранение на идентичност и съдържание), остават в сферата на Cisco.

Сътрудничество с други организации

Потребителите във вашата организация могат редовно да използват Webex App, за да си сътрудничат с външни участници в други организации. Когато някой от вашите потребители поиска ключ за пространство, което е собственост на вашата организация (защото е създадено от някой от вашите потребители), вашият KMS изпраща ключа до клиента през защитен канал от ECDH. Когато обаче друга организация притежава ключа за пространството, вашият KMS насочва заявката към облака Webex през отделен ECDH канал, за да получи ключа от съответния KMS и след това връща ключа на вашия потребител в оригиналния канал.

Услугата KMS, работеща на Org A, валидира връзките към KMSS в други организации, използ вайки x.509 PKI сертификати. Вижте Изисквания за хибридна сигурност на данните (в тази статия) за подробности относно генерирането на сертификат x.509, който да се използва при внедряването на хибридна защита на данните.

Очаквания за внедряване на хибридна сигурност на данните

Внедряването на хибридна сигурност на данните изисква значителна ангажираност на клиентите и осведоменост за рисковете, свързани с притежаването на ключове за криптиране.

За да внедрите хибридна защита на данните, трябва да предоставите:

Защитен център за данни в държава, която е поддържано място за Cisco Webex Teams плановете.
Оборудването, софтуерът и достъпът до мрежата, описани в И зисквания за хибридна сигурност на данните.

Пълната загуба или на конфигурационния ISO, който създавате за хибридна сигурност на данните, или на базата данни, която предоставяте, ще доведе до загуба на ключовете. Загубата на ключове пречи на потребителите да дешифрират пространствено съдържание и други криптирани данни в Webex App. Ако това се случи, можете да изградите ново внедряване, но ще бъде видимо само ново съдържание. За да избегнете загуба на достъп до данни, трябва:

Управлявайте архивирането и възстановяването на базата данни и конфигурацията ISO.
Бъдете готови да извършите бързо възстановяване при бедствие, ако възникне катастрофа, като например повреда на диска в базата данни или катастрофа в центъра за данни.

Миграцията от хибридна защита на данните (HDS) към Webex cloud KMS не се поддържа. Извеждането от експлоатация на HDS ще доведе до загуба на достъп до съдържание и данни, предварително криптирани с тези ключове. Трябва да запазите HDS, за да запазите достъпа до съществуващо криптирано съдържание.

Процес на настройка на високо ниво

Този документ обхваща настройката и управлението на внедряване на хибридна защита на данните:

На@@ стройване на хибридна сигурност на данните — това включва подготовка на необходимата инфраструктура и инсталиране на софтуер за хибридна защита на данните, тестване на внедряването ви с подгрупа потребители в пробен режим и, след като тестването приключи, преминаване към производство. Това преобразува цялата организация да използва вашия клъстер за хибридна защита на данните за функции за сигурност.
Фазите на настройка, проба и производство са разгледани подробно в следващите три глави.
Поддържайте внедряването на хибридна защита на данните — Облакът Webex автоматично осигурява текущи ъпгрейди. Вашият ИТ отдел може да предостави поддръжка от първо ниво за това внедряване и да ангажира поддръжката на Cisco, ако е необходимо. Можете да използвате екранни известия и да настроите имейл сигнали в Control Hub.
Разбиране на често срещаните сигнали, стъпките за отстраняване на неизправности и известни проблеми — Ако срещнете проблеми с внедряването или използването на хибридна защита на данните, последната глава от това ръководство и приложението Известни проблеми могат да ви помогнат да определите и отстраните проблема.

Модел за внедряване на хибридната сигурност

В рамките на вашия корпоративен център за данни внедрявате Hybrid Data Security като един клъстер от възли на отделни виртуални хостове. Възлите комуникират с облака Webex чрез защитени уеб сокети и защитен HTTP.

По време на инсталационния процес ние ви предоставяме OVA файла, за да настроите виртуалния уред на виртуалните машини, които предоставяте. Използвате инструмента за настройка на HDS, за да създадете персонализиран ISO файл за конфигурация на клъстера, който монтирате на всеки възел. Клъстерът за хибридна защита на данните използва предоставения от вас Syslogd сървър и база данни PostgreSQL или Microsoft SQL Server. (Конфигурирате данните за Syslogd и връзката с базата данни в инструмента за настройка на HDS.)

Модел за внедряване на хибридната сигурност

Минималният брой възли, които можете да имате в клъстера, е два. Препоръчваме поне три на клъстер. Наличието на множество възли гарантира, че услугата не се прекъсва по време на надстройка на софтуера или друга дейност по поддръжка на възел. (Облакът Webex надгражда само един възел наведнъж.)

Всички възли в клъстера имат достъп до една и съща ключова база данни и регистрират дейността на същия syslog сървър. Самите възли са без гражданство и обработват ключови заявки по кръгъл начин, както е указано от облака.

Възлите стават активни, когато ги регистрирате в Control Hub. За да извадите отделен възел от експлоатация, можете да го дерегистрирате и по-късно да го пререгистрирате, ако е необходимо.

Поддържаме само един клъстер на организация.

Пробен режим на хибридна сигурност на данните

След като настроите внедряване на хибридна защита на данните, първо го опитвате с набор от пилотни потребители. По време на пробния период тези потребители използват вашия локален домейн за хибридна защита на данните за криптиране на ключове и други услуги в областта на сигурността. Другите ви потребители продължават да използват облачната сигурност.

Ако решите да не продължите с внедряването по време на пробния период и да деактивирате услугата, пилотните потребители и всички потребители, с които са взаимодействали чрез създаване на нови пространства през пробния период, ще загубят достъп до съобщенията и съдържанието. Те ще видят „Това съобщение не може да бъде декриптирано“ в приложението Webex.

Ако сте доволни, че вашето внедряване работи добре за пробните потребители и сте готови да разширите хибридната сигурност на данните за всички ваши потребители, преместете внедряването към производство. Пилотните потребители продължават да имат достъп до ключовете, които са били използвани по време на проба. Не можете обаче да се движите напред-назад между производствения режим и оригиналния пробен период. Ако трябва да деактивирате услугата, например да извършите възстановяване при бедствие, когато активирате отново, трябва да започнете нова пробна версия и да настроите набора от пилотни потребители за новия пробен период, преди да се върнете към производствен режим. Дали потребителите запазват достъп до данни в този момент зависи от това дали успешно сте поддържали резервни копия на хранилището за ключови данни и конфигурационния файл ISO за възлите за хибридна защита на данните във вашия клъстер.

Поддръжка на прокси

Хибридната сигурност на данните поддържа ясни, прозрачни инспекционни и непроверяващи прокси служители. Можете да свържете тези прокси файлове с вашето внедряване, за да можете да защитите и наблюдавате трафика от предприятието към облака. Можете да използвате администраторски интерфейс на платформата на възлите за управление на сертификати и за проверка на цялостното състояние на свързаността, след като настроите прокси сървъра на възлите.

Хибридните възли за защита на данните поддържат следните опции за прокси сървъри:

Няма прокси — По подразбиране, ако не използвате конфигурацията за настройка на HDS възел Trust Store & Proxy, за да интегрирате прокси сървър. Не се изисква актуализация на сертификата.
Прозрачен прокси сървъ р без проверка — възлите не са конфигурирани да използват конкретен адрес на прокси сървъра и не трябва да изискват никакви промени, за да работят с прокси сървър, който не проверява. Не се изисква актуализация на сертификата.
Прозрачно тунелиране или проверка на прокси — възлите не са конфигурирани да използват конкретен адрес на прокси сървър. Не са необходими промени в конфигурацията на HTTP или HTTPS на възлите. Въпреки това, възлите се нуждаят от основен сертификат, така че да се доверят на прокси сървъра. Инспекционните прокси сървъри обикновено се използват от ИТ за налагане на политики по кои уебсайтове могат да бъдат посещавани и кои видове съдържание не са разрешени. Този тип прокси дешифрира целия ви трафик (дори HTTPS).
Изричен прокси сървър — С изричен прокси сървър ще кажете на възлите на HDS кой прокси сървър и схема за удостоверяване да използват. За да конфигурирате изричен прокси сървър, трябва да въведете следната информация за всеки възел:
1. Прокси IP/FQDN — Адрес, който може да се използва за достигане до прокси машината.
2. Про@@ кси порт — номер на порт, който прокси служителят използва за слушане на прокси трафик.
3. Прокси протокол — В зависимост от това какво поддържа вашият прокси сървър, изберете между следните протоколи:
  - HTTP—преглежда и контролира всички заявки, които клиентът изпраща.
  - Https — предоставя канал на сървъра. Клиентът получава и валидира сертификата на сървъра.
4. Тип удостоверяване — Изберете от следните типове удостоверяване:
  - Няма — Не се изисква допълнително удостоверяване.
    
    Предлага се, ако изберете HTTP или HTTPS като прокси протокол.
  - Основно — Използва се за HTTP потребителски агент за предоставяне на потребителско име и парола при подаване на заявка. Използва кодиране Base64.
    
    Предлага се, ако изберете HTTP или HTTPS като прокси протокол.
    
    Изисква да въведете потребителското име и паролата на всеки възел.
  - Digest — Използва се за потвърждаване на акаунта преди изпращане на чувствителна информация. Прилага хеш функция върху потребителското име и паролата преди изпращане през мрежата.
    
    Предлага се само ако изберете HTTPS като прокси протокол.
    
    Изисква да въведете потребителското име и паролата на всеки възел.

Пример за хибридни възли за сигурност на данните и прокси

Тази диаграма показва примерна връзка между хибридната сигурност на данните, мрежата и прокси сървъра. За опциите за прозрачна проверка и HTTPS изрично проверяващо прокси сърфиране, същият основен сертификат трябва да бъде инсталиран на прокси сървъра и на възлите за хибридна защита на данните.

Блокиран режим на външна DNS разделителна способност (изрични конфигурации на прокси

Когато регистрирате възел или проверите конфигурацията на прокси сървъра на възела, процесът тества търсенето на DNS и свързаността с Cisco Webex облака. При внедрявания с изрични прокси конфигурации, които не позволяват външна DNS разделителна способност за вътрешни клиенти, ако възелът не може да запитва DNS сървърите, той автоматично преминава в режим на блокирана външна DNS резолюция. В този режим могат да продължат регистрацията на възли и други тестове за прокси свързаност.

Подгответе околната среда

Изисквания за хибридна сигурност на данните

Cisco WebexИзисквания за лиценз

За да внедрите хибридна защита на данните:

Трябва да имате Pro Pack заCisco Webex Control Hub. (Вижте https://www.cisco.com/go/pro-pack.)

Изисквания за работен плот Docker

Преди да инсталирате вашите HDS възли, се нуждаете от Docker Desktop, за да стартирате програма за настройка. Docker наскоро актуализира своя лицензионен модел. Вашата организация може да изисква платен абонамент за Docker Desktop. За подробности вижте публикацията в блога на Docker, "Docker актуализира и разширява абонаментите ни за продукти“.

Клиентите без лиценз Docker Desktop могат да използват инструмент за управление на контейнери с отворен код като Podman Desktop за стартиране, управление и създаване на контейнери. Вижте Стар тиране на инструмента за настройка на HDS с помощта на Podman Desktop за подроб ности.

X.509 Изисквания за сертификат

Сертификатната верига трябва да отговаря на следните изисквания:

Таблица 1. Изисквания за сертификат X.509 за внедряване на хибридна сигурност на данните
Изискване	Детайли
Подписано от дов Certificate Authority ерен (CA)	По подразбиране се доверяваме на CA в списъка на Mozilla (с изключение на WoSign и StartCom) на адрес https://wiki.mozilla.org/CA:IncludedCAs.
Носи име на домейн с общо име (CN), което идентифицира вашето внедряване на хибридна защита на данните Не е заместващ сертификат	Не е необходимо CN да е достъпен или да е домакин на живо. Препоръчваме ви да използвате име, което отразява вашата организация, например, `hds.company.com`. КН не трябва да съдържа * (заместващ знак). CN се използва за проверка на възлите за хибридна сигурност на данните към клиенти на Webex App. Всички възли за хибридна защита на данните във вашия клъстер използват един и същ сертификат. Вашият KMS се идентифицира с помощта на домейна CN, а не всеки домейн, който е дефиниран в полетата x.509v3 SAN. След като регистрирате възел с този сертификат, ние не подкрепяме промяна на името на домейна CN. Изберете домейн, който може да се прилага както за пробните, така и за производствените внедрявания.
Не-SHA1 подпис	Софтуерът KMS не поддържа SHA1 подписи за валидиране на връзки към KMS на други организации.
Форматиран като защитен с парола PKCS #12 файл Използвайте приятелското име на, `kms-private-key`за да маркирате сертификата, личния ключ и всички междинни сертификати, които да качите.	Можете да използвате конвертор като OpenSSL, за да промените формата на сертификата си. Ще трябва да въведете паролата, когато стартирате инструмента за настройка на HDS.
Поддържан алгоритъм	Поддържат се само RSA сертификати.

Софтуерът KMS не налага използването на ключове или разширени ограничения за използване на ключове. Някои органи за сертифициране изискват за всеки сертификат да се прилагат ограничения за използване на разширени ключове, като например удостоверяване на сървъра. Добре е да използвате удостоверяването на сървъра или други настройки.

Изисквания за виртуален хост

Виртуалните хостове, които ще настроите като възли за хибридна защита на данните във вашия клъстер, имат следните изисквания:

Най-малко два отделни хоста (препоръчват се 3), разположени в един и същ защитен център за данни
Поддържани хипервизори:
- VMware ESXi 7.0 или 8.0.
- Софтуер за инфраструктура за виртуализация на корпоративните мрежови функции на Cisco (NFVIS) версия 26.2.1.
- Nutanix AOS 7.5.x с Nutanix AHV 11.0.x.
Минимум 4 VCPU, 8 GB основна памет, 30 GB локално място на твърдия диск на сървър.

Изисквания към сървъра на

Създайте нова база данни за съхранение на ключове. Не използвайте базата данни по подразбиране. Приложенията HDS, когато са инсталирани, създават схемата на базата данни.

Има две опции за сървър на база данни. Изискванията за всеки от тях са следните:

Таблица 2. Изисквания на сървъра на база данни по тип база данни
ПостгреSQL	Microsoft SQL сървър
PostgreSQL 14, 15, 16, 17 или 18, инсталиран и работещ.	Инсталиран е SQL Server 2016, 2017, 2019 или 2022 (корпоративен или стандартен). SQL Server 2016 изисква сервизен пакет 2 и кумулативна актуализация 2 или по-нова версия.
Минимум 8 VCPU, 16-GB основна памет, достатъчно място на твърдия диск и мониторинг, за да сте сигурни, че не е превишено (2-TB се препоръчва, ако искате да стартирате базата данни за дълго време, без да е необходимо да увеличавате съхранението)	Минимум 8 VCPU, 16-GB основна памет, достатъчно място на твърдия диск и мониторинг, за да сте сигурни, че не е превишено (2-TB се препоръчва, ако искате да стартирате базата данни за дълго време, без да е необходимо да увеличавате съхранението)

Софтуерът HDS понастоящем инсталира следните версии на драйвери за комуникация със сървъра на базата данни:

ПостгреSQL

Microsoft SQL сървър

Драйвер за постгрес JDBC 42.2.5

SQL сървър JDBC драйвер 4.6

Тази версия на драйвера поддържа SQL Server Always On (Al ways On Failover клъстерни инстанции и групи за наличност Always On).

Допълнителни изисквания за удостоверяване на Windows срещу Microsoft SQL Server

Ако искате HDS възлите да използват удостоверяване на Windows, за да получат достъп до вашата база данни за ключове на Microsoft SQL Server, тогава се нуждаете от следната конфигурация във вашата среда:

HDS възлите, Active Directory инфраструктурата и MS SQL Server трябва да бъдат синхронизирани с NTP.
Профилът в Windows, който предоставяте на HDS възлите, трябва да има достъп за четене/запис до базата данни.
DNS сървърите, които предоставяте на HDS възлите, трябва да могат да разрешат вашия център за разпределение на ключове (KDC).
Можете да регистрирате екземпляра на HDS базата данни на вашия Microsoft SQL Server като основно име на услугата (SPN) на вашия. Active Directory Вижте Р егистриране на основно име на услугата за Kerberos Connections.

Инструментът за настройка на HDS, HDS стартерът и локалният KMS трябва да използват удостоверяване на Windows за достъп до базата данни за ключодържатели. Те използват подробностите от вашата ISO конфигурация, за да конструират SPN, когато искат достъп с удостоверяване на Kerberos.

Изисквания за външна връзка

Конфигурирайте защитната стена, за да позволите следната свързаност за HDS приложенията:

Приложение	Протокол	Пристанище	Посока от приложението	Дестинация
Хибридни възли за сигурност на данните	TCP	443	Изходящи HTTPS и WSS	Webex сървъри: .wbx2.com .цископарк.com Всички хостове за обща идентичност Други URL адреси, които са изброени за хибридна сигурност на данните в таблицата Доп ълнителни URL адреси за хибридни услуги на Webex за мреж ови изисквания за услугите на Webex
Инструмент за настройка на HDS	TCP	443	Изходящ HTTPS	*.wbx2.com Всички хостове за обща идентичност хб.докер.com

Хибридните възли за сигурност на данните работят с превод на мрежов достъп (NAT) или зад защитна стена, стига NAT или защитната стена да позволяват необходимите изходящи връзки към дестинациите на домейна в предходната таблица. За връзки, които влизат към възлите за хибридна сигурност на данните, не трябва да се виждат портове от интернет. В рамките на вашия център за данни клиентите се нуждаят от достъп до възлите за хибридна защита на данните на TCP портове 443 и 22 за административни цели.

URL адресите за хостовете за обща идентичност (CI) са специфични за региона. Това са настоящите CI хостове:

Регион	Общи URL адреси на хост за самоличност
Америка	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Европейски съюз	https://idbroker-eu.webex.com https://identity-eu.webex.com
Канада	https://idbroker-ca.webex.com https://identity-ca.webex.com
Сингапур	https://idbroker-sg.webex.com https://identity-sg.webex.com
Обединени арабски емирства	https://idbroker-ae.webex.com https://identity-ae.webex.com

Изисквания за прокси сър

Официално поддържаме следните прокси решения, които могат да се интегрират с вашите възли за хибридна сигурност на данните.
- Прозрачен прокси — Уред за уеб сигурност на Cisco (WSA).
- Изричен прокси-калмари.
  
  Прокси сървърите на Squid, които проверяват HTTPS трафика, могат да попречат на установяването на websocket (wss:) връзки. За да заобиколите този проблем, вижте Конфигу риране на прокси сървъри на Squid за хибридна защита на данните.
Поддържаме следните комбинации от типове удостоверяване за изрични прокси сървъри:
- Няма удостоверяване с HTTP или HTTPS
- Основно удостоверяване с HTTP или HTTPS
- Дигестиране на удостоверяване само с HTTPS
За прозрачен прокси сървър за проверка или HTTPS прокси сървър трябва да имате копие от основния сертификат на прокси сървъра. Инструкциите за внедряване в това ръководство ви казват как да качите копието в надеждните магазини на възловете за хибридна защита на данните.
Мрежата, хостваща HDS възлите, трябва да бъде конфигурирана да принуждава изходящия TCP трафик на порт 443 да се маршрутизира през прокси сървъра.
Прокси сървърите, които проверяват уеб трафика, могат да пречат на връзките с уеб сокета. Ако възникне този проблем, заобикалянето (без проверката) на трафика към wbx2.comи ciscospark.comще реши проблема.

Попълнете предпоставките за хибридна сигурност на данните

Използвайте този контролен списък, за да сте сигурни, че сте готови да инсталирате и конфигурирате вашия клъстер за хибридна защита на данните.

1	Уверете сеCisco Webex Control Hub, че вашата организация на Webex е активирана за Pro Pack и получете идентификационните данни на акаунт с пълни администраторски права на организацията. Свържете се с вашия партньор на Cisco или мениджър на акаунти за помощ с този процес.
2	Изберете име на домейн за вашето HDS внедряване (например `hds.company.com`) и получете верига на сертификати, съдържаща сертификат X.509, частен ключ и всякакви междинни сертификати. Сертификатната верига трябва да отговаря на изискванията в изискванията за сертификат X.509.
3	Подгответе идентични виртуални хостове, които ще настроите като възли за хибридна защита на данните във вашия клъстер. Имате нужда от поне два отделни хоста (препоръчват се 3), разположени в един и същ защитен център за данни, които отговарят на изискванията в изискванията за виртуален хост.
4	Подгответе сървъра за база данни, който ще действа като хранилище за ключови данни за клъстера, в съответствие с изискванията на сървъра на базата данни. Сървърът на базата данни трябва да бъде колокиран в защитения център за данни с виртуалните хостове. Създайте база данни за съхранение на ключове. (Трябва да създадете тази база данни - не използвайте базата данни по подразбиране. Приложенията HDS, когато са инсталирани, създават схемата на базата данни.) Съберете подробностите, които възлите ще използват за комуникация със сървъра на базата данни: името на хоста или IP адреса (хост) и порта името на базата данни (dbname) за съхранение на ключове потребителското име и паролата на потребител с всички привилегии в базата данни за съхранение на ключове
5	За бързо възстановяване при бедствие настройте среда за архивиране в различен център за данни. Средата за архивиране отразява производствената среда на виртуални машини и сървър за резервни бази данни. Например, ако производството има 3 виртуални виртуални устройства, работещи с HDS възли, резервната среда трябва да има 3 виртуални виртуални устройства.
6	Настройте хост на syslog за събиране на дневници от възлите в клъстера. Съберете неговия мрежов адрес и syslog порт (по подразбиране е UDP 514).
7	Създайте политика за защитено архивиране за възлите за хибридна защита на данните, сървъра на базата данни и хоста на syslog. Като минимум, за да предотвратите невъзстановима загуба на данни, трябва да архивирате базата данни и конфигурационния ISO файл, генериран за възлите за хибридна сигурност на данните. Тъй като възлите за хибридна сигурност на данните съхраняват ключовете, използвани при криптиране и декриптиране на съдържание, неподдържането на оперативно внедряване ще доведе до НЕВЪЗСТАНОВИМА ЗАГУБА на това съдържание. Клиентите на Webex App кешират ключовете си, така че прекъсването може да не се забележи веднага, но ще стане очевидно с течение на времето. Въпреки че временните прекъсвания са невъзможни за предотвратяване, те могат да бъдат възстановими. Въпреки това, пълната загуба (няма налични резервни копия) нито на базата данни, нито на конфигурационния ISO файл ще доведе до невъзстановими клиентски данни. Очаква се операторите на възлите за хибридна сигурност на данните да поддържат чести резервни копия на базата данни и конфигурационния ISO файл и да бъдат готови да възстановят центъра за данни за хибридна сигурност на данните, ако възникне катастрофална повреда.
8	Уверете се, че конфигурацията на защитната стена ви позволява свързаност за вашите възли за хибридна защита на данните, както е посочено в Изискванията за вън шна
9	Инсталирайте Docker (https://www.docker.com) на всяка локална машина, работеща с поддържана операционна система (Microsoft Windows10 Professional или Enterprise 64-битова или Mac OSX Yosemite 10.10.3 или по-нова версия) с уеб браузър, който има достъп до нея на http://127.0.0.1:8080. Използвате екземпляра Docker, за да изтеглите и стартирате инструмента за настройка на HDS, който изгражда информацията за локалната конфигурация за всички възли за хибридна защита на данните. Вашата организация може да се нуждае от лиценз за Docker Desktop. Вижте И зисквания за работния плот на Docker за повече информация. За да инсталирате и стартирате инструмента за настройка на HDS, локалната машина трябва да има свързаността, описана в Изиск ванията за външна свързаност.
10	Ако интегрирате прокси сървър с хибридна защита на данните, уверете се, че той отговаря на изискванията на прокси сървъра.
11	Ако организацията ви използва синхронизиране на директории, създайте група в Active Directory `HdsTrialGroup`извикани и добавете пилотни потребители. Пробната група може да има до 250 потребители. Обек `HdsTrialGroup`тът трябва да бъде синхронизиран с облака, преди да можете да започнете пробна версия за вашата организация. За да синхронизирате групов обект, изберете го в менюто Кон фигурация на Directory Connector > Избор на обект. (За подробни инструкции вижте Ръководството за внедряване на Cisco Directory Connector. ) Клавишите за дадено пространство се задават от създателя на пространството. Когато избирате пилотни потребители, имайте предвид, че ако решите да деактивирате окончателно внедряването на Hybrid Data Security, всички потребители губят достъп до съдържание в пространствата, създадени от пилотните потребители. Загубата става очевидна веднага щом приложенията на потребителите обновят кешираните си копия на съдържанието.

Създаване на хибриден клъстер за сигурност на данните

Поток от задачи за внедряване на хибридната сигурност

Преди да започнете

1	Изтеглете инсталационни файлове Изтеглете OVA файла на вашата локална машина за по-късна употреба.
2	Създайте конфигурационен ISO за HDS хостовете Използвайте инструмента за настройка на HDS, за да създадете ISO конфигурационен файл за възлите за хибридна защита на данните.
3	Инсталирайте HDS хост OVA Създайте виртуална машина от файла OVA и извършете първоначална конфигурация. Конфигурирането на мрежовите настройки по време на внедряването на OVA се поддържа само на ESXi 7.0 и 8.0. За внедряването на NFVIS вижте Инсталиране на HD S хост OVA на NFVIS. За внедряването на Nutanix вижте Инсталиране на HDS Host OVA на Nutanix
4	Настройте хибридната виртуална машина за защита на данните Влезте в конзолата на VM и задайте идентификационните данни за влизане. Конфигури райте мрежовите настройки за възела, ако не сте ги конфигурирали по време на внедр яването на OVA. За внедряването на NFVIS вижте Настройване на виртуалната машина за хибридна защита на данните на NFVIS. За внедряването на Nutanix вижте Създаване на хибридна виртуална машина за защита на данните на Nutanix
5	Качване и монтиране на HDS конфигурация ISO Конфигурирайте виртуалната виртуална машина от конфигурационния файл ISO, който сте създали с инструмента за настройка на HDS. За внедряването на NFVIS вижте Качване и монтиране на ISO за конфигурация на HD S. За внедряването на Nutanix вижте Качване и монтиране на ISO за конфигурация на HDS
6	Конфигурирайте HDS възела за интеграция на прокси сървъри Ако мрежовата среда изисква конфигурация на прокси сървъра, посочете типа прокси сървър, който ще използвате за възела, и добавете прокси сертификата към магазина за доверие, ако е необходимо.
7	Регистрирайте първия възел в клъстера Регистрирайте виртуалната машина с Cisco Webex облака като възел за хибридна сигурност на данните.
8	Създаване и регистриране на още възли Завършете настройката на клъстера.
9	Докато не започнете пробен период, вашите възли генерират аларма, показваща, че услугата ви все още не е активирана.

Изтеглете инсталационни файлове

1	Влезте в https://admin.webex.com и след това щракнете върху У слуги.
2	В секцията Хибридни услуги намерете картата за хибридна защита на данните и след това щракнете върху Настройка. Ако кар тата е деактивирана или не я виждате, свържете се с екипа по акаунта си или партньорската организация. Дайте им номера на акаунта си и помолете да активи рате вашата организация за хибридна сигурност на данните. За да намерите номера на акаунта, щракнете върху зъб ното колело в горния десен ъгъл, до името на вашата организация. Можете също да изтеглите OVA по всяко време от секцията По мо щ на страницата На стройки. На картата за хибридна защита на данните щракнете върху Ре дактиране на настройките, за да отворите страницата. След това щракнете върху Из тегляне на софтуера за хибридна защита на данните в секцията По мощ. По-старите версии на софтуерния пакет (OVA) няма да бъдат съвместими с най-новите ъпгрейди за хибридна сигурност на данните. Това може да доведе до проблеми при надграждане на приложението. Уверете се, че сте изтеглили най-новата версия на файла OVA.
3	Изберете Не, за да посо чите, че все още не сте настроили възела, след което щ ракнете върху Напред. OVA файлът автоматично започва да се изтегля. Запазете файла на място на вашето устройство.
4	По желание щракнете върху Отваряне на ръководството за внедряване, за да проверите дали има по-късна версия на това ръководство.

Създайте конфигурационен ISO за HDS хостовете

Процесът на настройка на хибридна защита на данните създава ISO файл. След това използвате ISO, за да конфигурирате вашия хост за хибридна защита на данните.

Преди да започнете

Инструментът за настройка на HDS работи като контейнер Docker на локална машина. За да получите достъп до него, стартирайте Docker на тази машина. Процесът на настройка изисква идентификационните данни на акаунт в Control Hub с пълни администраторски права за вашата организация.

Ако нямате лиценз за Docker Desktop, можете да използвате Podman Desktop, за да стартирате инструмента за настройка на HDS за стъпки от 1 до 5 в процедурата по-долу. Вижте Стар тиране на инструмента за настройка на HDS с помощта на Podman Desktop за подроб ности.

Ако инструментът за настройка на HDS работи зад прокси сървър във вашата среда, предоставете настройките на прокси сървъра (сървър, порт, идентификационни данни) чрез променливите на средата на Docker, когато извеждате контейнера Docker в стъпка 5. Тази таблица дава някои възможни променливи на средата:

Описание

Променлива

HTTP прокси без удостоверяване

GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

HTTPS прокси без удостоверяване

GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

HTTP прокси с удостоверяване

GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS прокси с удостоверяване

GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Конфигурационният ISO файл, който генерирате, съдържа главния ключ, криптиращ базата данни PostgreSQL или Microsoft SQL Server. Нуждаете се от най-новото копие на този файл всеки път, когато правите промени в конфигурацията, като следните:
- Идентификационни данни
- Актуализации на сертификатите
- Промени в политиката за оторизация
Ако планирате да криптирате връзки с база данни, настройте внедряването на PostgreSQL или SQL Server за TLS.

1

В командния ред на вашата машина въведете съответната команда за вашата среда:

В редовни среди:

docker rmi ciscocitg/hds-setup:stable

В средите на FedRAMP:

docker rmi ciscocitg/hds-setup-fedramp:stable

Тази стъпка почиства предишните изображения на инструмента за настройка на HDS. Ако няма предишни изображения, той връща грешка, която можете да игнорирате.

2

За да влезете в регистъра на изображенията на Docker, въведете следното:

docker login -u hdscustomersro

3

В подкана за парола въведете този хеш:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Изтеглете най-новото стабилно изображение за вашата среда:

В редовни среди:

docker pull ciscocitg/hds-setup:stable

В средите на FedRAMP:

docker pull ciscocitg/hds-setup-fedramp:stable

5

Когато изтеглянето завърши, въведете съответната команда за вашата среда:

В обикновени среди без прокси сървър:
```
docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable
```

В обикновени среди с HTTP прокси сървър:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

В обикновени среди с HTTPS прокси сървър:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

В среда на FedRAMP без прокси сървър:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

В среда на FedRAMP с HTTP прокси сървър:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

В среда на FedRAMP с HTTPS прокси сървър:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Когато контейнерът работи, виждате „Експресно слушане на сървъра на порт 8080“.

6

Инструментът за настройка не поддържа свързване с localhost чрез http://localhost:8080. Използвайте http://127.0.0.1:8080, за да се свържете с localhost.

Използвайте уеб браузър, за да отидете на localhost http://127.0.0.1:8080, и въведете потребителското име за администратора на клиента за Control Hub в подканата.

Инструментът използва това първо въвеждане на потребителското име, за да зададе подходящата среда за този акаунт. След това инструментът показва стандартния подкана за влизане.

7

Когато бъдете подканени, въведете идентификационните данни за влизане на администратора на клиента на Control Hub и след това щ ракнете върху Вход, за да разрешите достъп до необходимите услуги за хибридна защита на данните.

8

На страницата Преглед на инструмента за настройка щрак нете върху Започване.

9

На страницата Импортиране на ISO имате следните опции:

Не — Ако създавате първия си HDS възел, нямате ISO файл за качване.
Да — Ако вече сте създали HDS възли, изберете вашия ISO файл в браузъра и го качвате.

10

Проверете дали вашият сертификат X.509 отговаря на изискванията в изискванията за сертификат X.50 9.

Ако никога преди не сте качвали сертификат, качете сертификата X.509, въведете паролата и щракнете върху Продължи.
Ако вашият сертификат е OK, щракнете върху Продължи.
Ако вашият сертификат е изтекъл или искате да го замените, изберете Не за Продължаване да използвате веригата за сертификати HDS и частен ключ от предишния ISO? . Качете нов сертификат X.509, въведете паролата и щракнете върху Продължи.

11

Въведете адреса на базата данни и акаунта за HDS, за да получите достъп до вашата ключова база данни:

Изберете вашия тип база данни (PostgreSQL или Microsoft SQL Server).

Ако изберете Microsoft SQL Server, ще получите поле Тип удостоверяване.
(Само Microsoft SQL Server) Изберете вашия тип удостоверяване:
- Основно удостоверяване: Имате нужда от име на локален акаунт на SQL Server в полето Потребителско име.
- Удостоверяване на Windows: Имате нужда от акаунт в Windows във формата username@DOMAINв полето Потребителско име.
Въведете адреса на сървъра на базата данни във формуля <hostname>:<port>ра или <IP-address>:<port>.

Пример:
dbhost.example.org:1433или 198.51.100.17:1433

Можете да използвате IP адрес за основно удостоверяване, ако възлите не могат да използват DNS за разрешаване на името на хоста.

Ако използвате удостоверяване на Windows, трябва да въведете напълно квалифицирано име на домейн във формата dbhost.example.org:1433
Въведете името на базата данни.
Въведете потребителското име и парол ата на потребител с всички привилегии в базата данни за съхранение на ключове.

12

Изберете режим на свързване с база данни TLS:

Режим	Описание
Предпочитайте TLS (опция по подразбиране)	HDS възлите не изискват TLS за свързване към сървъра на базата данни. Ако активирате TLS на сървъра на базата данни, възлите се опитват да създадат криптирана връзка.
Изисквайте TLS	HDS възлите се свързват само ако сървърът на базата данни може да договаря TLS.
Изисквайте TLS и проверете подписващия сертификат	Този режим не е приложим за бази данни на SQL Server. HDS възлите се свързват само ако сървърът на базата данни може да договаря TLS. След установяване на TLS връзка възелът сравнява подписващия сертификат от сървъра на базата данни с органа за сертификат в основния сертификат на базата данни. Ако не съвпадат, възелът прекратява връзката. Използвайте контролата за основен сертификат за база данни под падащото меню, за да качите основния сертификат за тази опция.
Изисквайте TLS и проверете подписващия сертификат и името на хоста	HDS възлите се свързват само ако сървърът на базата данни може да договаря TLS. След установяване на TLS връзка възелът сравнява подписващия сертификат от сървъра на базата данни с органа за сертификат в основния сертификат на базата данни. Ако не съвпадат, възелът прекратява връзката. Възлите също така проверяват дали името на хоста в сертификата на сървъра съвпада с името на хоста в полето хост и порт на база данни. Имената трябва да съвпадат точно или възелът прекратява връзката. Използвайте контролата за основен сертификат за база данни под падащото меню, за да качите основния сертификат за тази опция.

Когато качите основния сертификат (ако е необходимо) и щракнете върху Прод ължи, инструментът за настройка на HDS тества връзката TLS със сървъра на базата данни. Инструментът също проверява подписващия сертификат и името на хоста, ако е приложимо. Ако тестът не успее, инструментът показва съобщение за грешка, описващо проблема. Можете да изберете дали да игнорирате грешката и да продължите с настройката. (Поради разликите в свързаността HDS възлите може да могат да установят TLS връзката, дори ако машината за настройка на HDS не може успешно да я тества.)

13

На страницата Системни дневници конфигурирайте вашия Syslogd сървър:

Въведете URL адреса на сървъра syslog.

Ако сървърът не се разрешава с DNS от възлите за вашия HDS клъстер, използвайте IP адрес в URL адреса.

Пример:
udp://10.92.43.23:514показва регистриране към Syslogd хост 10.92.43.23 на UDP порт 514.
Ако настроите сървъра си да използва TLS криптиране, проверете Конфигуриран ли е сървърът ви за TLS преговаряване/ръкостискане?

Ако поставите отметка в това квадратче, уверете се, че сте въвели TCP URL адрес tcp://10.92.43.23:514, като например, и качете основния сертификат на syslog.
От падащото меню Избор на прекратяване на записа syslog изберете подходящата настройка за вашия ISO файл: Изберете или Newline се използва за Graylog и Rsyslog TCP
- Нулев байт --\ x00
- Нов ред --\ n —Изберете този избор за Graylog и Rsyslog TCP.
Щракнете върху Продъл жи.

14

(Незадължително) Можете да промените стойността по подразбиране за някои параметри за връзка с база данни в Раз ширени настройки. Обикновено този параметър е единственият, който може да искате да промените:

app_datasource_connection_pool_maxSize: 10

15

Щракнете върху Прод ължи на ек рана Нулиране на паролата за услуги.

Паролите за сервизни акаунти имат деветмесечен живот. Използвайте този екран, когато паролите ви наближават изтичане или искате да ги нулирате, за да анулирате предишните ISO файлове.

16

Щракнете върху Изтегляне на ISO файл. Запазете файла на място, което е лесно да се намери.

17

Направете резервно копие на ISO файла на вашата локална система.

Поддържайте резервното копие защитено. Този файл съдържа основен ключ за криптиране за съдържанието на базата данни. Ограничете достъпа само до онези администратори за хибридна защита на данните, които трябва да правят промени в конфигурацията.

18

За да изключите инструмента за настройка, въведете CTRL+C.

Какво да правя по-нататък

Архивирайте конфигурационния ISO файл. Нуждаете се от него, за да създадете повече възли за възстановяване или да направите промени в конфигурацията. Ако загубите всички копия на ISO файла, сте загубили и главния ключ. Възстановяването на ключовете от вашата база данни PostgreSQL или Microsoft SQL Server не е възможно.

Никога нямаме копие на този ключ и не можем да помогнем, ако го загубите.

Инсталирайте HDS хост OVA

Използвайте тази процедура, за да създадете виртуална машина от файла OVA.

Ако инсталирате HDS на NFVIS хипервизор, вижте секцията Инсталиране на HD S хост OVA на NFVIS.

Ако инсталирате HDS на хипервизор на Nutanix, вижте секцията Инсталиране на HDS хост OVA на Nutanix.

1	Използвайте VMware vSphere клиента на вашия компютър, за да влезете във виртуалния хост ESXi.
2	Изберете Файл > Разгъ ване на OVF шаблон.
3	В съветника посочете местоположението на OVA файла, който сте изтеглили по-рано, и след това щракнете върху Напред.
4	На страницата Избор на име и папка въведете име на Виртуална машина за възела (например "HDS_Node_1„), изберете място, където може да се намира внедряването на възела на виртуалната машина и след това щракнете върху На пред.
5	На страницата Из бор на ресурс за изчисление изберете дестинационния изчислителен ресурс и след това щракнете върху Напред. Изпълнява се проверка за валидиране. След като приключи, се появяват подробностите за шаблона.
6	Проверете подробностите за шаблона и след това щракнете върху На пред.
7	Ако бъдете помолени да изберете конфигурацията на ресурса на страницата Конфигу ра ция, щракнете върху 4 CPU и след това щракнете върху Напред.
8	На страницата Избор на съхранение щ ракнете върху Напред, за да приемете дисковия формат по подразбиране и правилата за съхранение на VM.
9	На страницата Из бор на мрежи изберете опцията мрежа от списъка с записи, за да осигурите желаната свързаност към VM.
10	На страницата Пер сонализиране на шаблона конфигурирайте следните мрежови настройки: Име на хоста — Въведете FQDN (име на хост и домейн) или име на хост с една дума за възела. Не е необходимо да задавате домейна да съответства на домейна, който сте използвали за получаване на сертификата X.509. За да осигурите успешна регистрация в облака, използвайте само малки букви в FQDN или името на хоста, които сте задали за възела. Понастоящем капитализацията не се поддържа. Общата дължина на FQDN не трябва да надвишава 64 знака. IP адрес — Въведете IP адреса за вътрешния интерфейс на възела. Вашият възел трябва да има вътрешен IP адрес и DNS име. DHCP не се поддържа. Маска — Въведете адреса на маската на подмрежата в точковата десетична нотация. Например, 255.255.255.0. Шлюз — Въведете IP адреса на шлюза. Шлюзът е мрежов възел, който служи като точка за достъп до друга мрежа. DNS сървъри — Въведете списък с DNS сървъри, разделен със запетаи, които се справят с превода на имена на домейни на цифрови IP адреси. (Допускат се до 4 DNS записа.) NTP сървъри — Въведете NTP сървъра на вашата организация или друг външен NTP сървър, който може да се използва във вашата организация. NTP сървърите по подразбиране може да не работят за всички предприятия. Можете също да използвате списък, разделен със запетаи, за да въведете няколко NTP сървъра. Разгънете всички възли в една и съща подмрежа или VLAN, така че всички възли в клъстера да са достъпни от клиенти във вашата мрежа за административни цели. Ако е предпочитано, можете да пропуснете конфигурацията на мрежовите настройки и да следвате стъпките в Настройване на виртуалната машина за хибридна защита на данните, за да конфигурирате настройките от конзолата на възела. Опцията за конфигуриране на мрежовите настройки по време на внедряването на OVA е тествана с ESXi 7.0 и 8.0. Възможно е опцията да не е налична в по-ранни версии.
11	Щракнете с десния бутон върху възела VM и след това изберете Захран ване > Включване. Софтуерът за хибридна защита на данните се инсталира като гост на VM хост. Вече сте готови да влезете в конзолата и да конфигурирате възела. Съвети за отстраняване Може да изпитате забавяне от няколко минути, преди да се появят контейнерите на възли. По време на първото зареждане на конзолата се появява съобщение на мостовата защитна стена, по време на което не можете да влезете.

Настройте хибридната виртуална машина за защита на данните

Използвайте тази процедура, за да влезете за първи път в конзолата на VM възела Hybrid Data Security и да зададете идентификационните данни за влизане. Можете също да използвате конзолата, за да конфигурирате мрежовите настройки за възела, ако не сте ги конфигурирали по време на внедряването на OVA.

Ако внедрявате HDS на NFVIS хипервизор, вижте раздела Настройване на хибридна виртуална машина за защита на данните в NFVIS.

Ако внедрявате HDS на хипервизор на Nutanix, вижте раздела Съ здаване на хибридна виртуална машина за сигурност на данни на Nutanix.

1	В клиента VMware vSphere изберете вашия VM възел за хибридна защита на данните и изберете раздела Конз ола. VM стартира и се появява подкана за вход. Ако подканата за влизане не се показва, натиснете Enter.
2	Използвайте следното потребителско име и парола по подразбиране, за да влезете и да промените идентификационните данни: Вход: `admin` Парола: `ciscosystems` Тъй като влизате в виртуалната си виртуална машина за първи път, трябва да промените паролата на администратора.
3	Ако вече сте конфигурирали мрежовите настройки в Инсталиране на HDS Host OVA, пропуснете останалата част от тази процедура. В противен случай в главното меню изберете опцията Реда ктиране на конфигура цията.
4	Настройте статична конфигурация с IP адрес, маска, шлюз и DNS информация. Вашият възел трябва да има вътрешен IP адрес и DNS име. DHCP не се поддържа.
5	(Незадължително) Променете името на хоста, домейна или NTP сървъра (ите), ако е необходимо, за да съответства на мрежовите правила. Не е необходимо да задавате домейна да съответства на домейна, който сте използвали за получаване на сертификата X.509.
6	Запазете мрежовата конфигурация и рестартирайте VM, така че промените да влязат в сила.

Качване и монтиране на HDS конфигурация ISO

Използвайте тази процедура, за да конфигурирате виртуалната машина от ISO файла, който сте създали с инструмента за настройка на HDS.

Ако инсталирате HDS на NFVIS хипервизор, вижте секцията Качване и монтиране на ISO конфигурация на HD S.

Ако инсталирате HDS на хипервизор на Nutanix, вижте секцията Качване и монтиране на ISO конфигурация на HD S.

Преди да започнете

Тъй като ISO файлът съдържа главния ключ, той трябва да бъде изложен само на база „необходимост да се знае“, за достъп от виртуалните виртуални машини за хибридна сигурност на данните и всички администратори, които може да се наложи да направят промени. Уверете се, че само тези администратори имат достъп до системата на данни.

1

Качете ISO файла от вашия компютър:

В левия навигационен екран на клиента VMware vSphere кликнете върху сървъра ESXi.
В списъка Хардуер в раздела Конфигурация щракнете върху Съ хранение.
В списъка Datastores щракнете с десния бутон върху базата данни за вашите виртуални машини и щракнете върху Преглед на Datastore.
Щракнете върху иконата Качване на файлове и след това щракнете върху Ка чване на файл.
Прегледайте мястото, където сте изтеглили ISO файла на компютъра си, и щракнете върху Отвори.
Щракнете върху Да, за да приемете предупреждението за операцията за качване/изтегляне и затворете диалоговия прозорец за данни.

2

Монтирайте ISO файла:

В левия навигационен екран на клиента VMware vSphere кликнете с десния бутон върху виртуалната машина и щракнете върху Ре да ктиране на настройките.
Щракнете върху OK, за да приемете предупреждението за ограничени опции за редактиране.
Щракнете CD/DVD Drive 1, изберете опцията за монтиране от ISO файл на база данни и прегледайте мястото, където сте качили конфигурационния ISO файл.
Проверете Свър зани и Свържете при включено захран ване.
Запазете промените си и рестартирайте виртуалната машина.

Какво да правя по-нататък

Ако вашата ИТ политика изисква, можете по желание да деинсталирате ISO файла, след като всички ваши възли вземат промените в конфигурацията. Вижте (Незадължително) Отстраняване на ISO след конфигурация на HDS за подробности.

Конфигурирайте HDS възела за интеграция на прокси сървъри

Ако мрежовата среда изисква прокси сървър, използвайте тази процедура, за да посочите типа прокси сървър, който искате да интегрирате с хибридна защита на данните. Ако изберете прозрачен прокси сървър за проверка или HTTPS прокси сървър, можете да използвате интерфейса на възела, за да качите и инсталирате основния сертификат. Можете също да проверите прокси връзката от интерфейса и да отстраните евентуални проблеми.

Преди да започнете

Вижте Поддръжка на прокси сървъри за преглед на поддържаните опции за прокси сървъри.
Изисквания за прокси сър

1	Въведете URL адреса за настройка на HDS възела `https://[HDS Node IP or FQDN]/setup`в уеб браузър, въведете идентификационните данни за администратора, които сте настроили за възела, и след това щракнете върху Вход.
2	Отидете в Trust Store & Proxy и след това изберете опция: Без прокси — опцията по подразбиране, преди да интегрирате прокси сървър. Не се изисква актуализация на сертификата. Прозрачен прокси сървър без проверка — възлите не са конфигурирани да използват конкретен адрес на прокси сървър и не трябва да изискват никакви промени, за да работят с прокси сървър, който не проверява. Не се изисква актуализация на сертификата. Прозрачен прокси сър вър за проверка — възлите не са конфигурирани да използват конкретен адрес на прокси сървър. Не са необходими промени в конфигурацията на HTTPS при внедряването на Hybrid Data Security, но HDS възлите се нуждаят от основен сертификат, за да се доверят на прокси сървъра. Инспекционните прокси сървъри обикновено се използват от ИТ за налагане на политики по кои уебсайтове могат да бъдат посещавани и кои видове съдържание не са разрешени. Този тип прокси дешифрира целия ви трафик (дори HTTPS). Изричен прокси сървър — С изричен прокси сървър казвате на клиента (HDS възли) кой прокси сървър да използва и тази опция поддържа няколко типа удостоверяване. След като изберете тази опция, трябва да въведете следната информация: Прокси IP/FQDN — Адрес, който може да се използва за достигане до прокси машината. Про@@ кси порт — номер на порт, който прокси служителят използва за слушане на прокси трафик. Прокси протокол — Изберете http (преглежда и контролира всички заявки, получени от клиента) или https (предоставя канал към сървъра и клиентът получава и валидира сертификата на сървъра). Изберете опция въз основа на това, което поддържа вашият прокси сървър. Тип удостоверяване — Изберете от следните типове удостоверяване: Няма — Не се изисква допълнително удостоверяване. Предлага се за HTTP или HTTPS прокси сървъри. Основно — Използва се за HTTP потребителски агент за предоставяне на потребителско име и парола при подаване на заявка. Използва кодиране Base64. Предлага се за HTTP или HTTPS прокси сървъри. Ако изберете тази опция, трябва също да въведете потребителското име и паролата. Digest — Използва се за потвърждаване на акаунта преди изпращане на чувствителна информация. Прилага хеш функция върху потребителското име и паролата преди изпращане през мрежата. Предлага се само за HTTPS прокси сървъри. Ако изберете тази опция, трябва също да въведете потребителското име и паролата. Следвайте следващите стъпки за прозрачен прокси сървър за проверка, HTTP прокси сървър с основно удостоверяване или HTTPS прокси сървър.
3	Щракнете върху Качване на основен сертификат или сертификат за край но образувание и след това преминете към избор на основния сертификат за прокси сървъра. Сертификатът е качен, но все още не е инсталиран, защото трябва да рестартирате възела, за да инсталирате сертификата. Щракнете върху стрелката на шеврона до името на издателя на сертификата, за да получите повече подробности, или щракнете върху Из три ване, ако сте допуснали грешка и искате да качите файла отново.
4	Щракнете върху Проверка на прокси връз ката, за да тествате мрежовата свързаност между възела и прокси сървъра. Ако тестът за връзка не успее, ще видите съобщение за грешка, което показва причината и как можете да коригирате проблема. Ако видите съобщение, че външната DNS резолюция не е била успешна, възелът не е успял да достигне DNS сървъра. Това условие се очаква в много явни прокси конфигурации. Можете да продължите с настройката и възелът ще функционира в режим на блокирана външна DNS резолюция. Ако смятате, че това е грешка, изпълнете тези стъпки и след това вижте Из ключване на режим на блокирана външна резолюция на DNS.
5	След като теста за връзка премине, за изричен прокси сървър, зададен само на https, включете превключвателя на Мар шрутирайте всички заявки за https на порт 443/444 от този възел през изричния прокси сървър. Тази настройка изисква 15 секунди, за да влезе в сила.
6	Щракнете върху Инсталиране на всички сертификати в магазина за довери е (показва се за HTTPS прокси сървъри или прозрачен прокси сървър за проверка) или Рестартирайте (показва се за изричен HTTP прокси сървър), прочетете подкана и след това щракнете върху Инст алиране, ако сте готови. Възелът се рестартира в рамките на няколко минути.
7	След като възелът се рестартира, влезте отново, ако е необходимо, и след това отворете страницата Пре глед, за да проверите проверките за свързаност, за да се уверите, че всички те са в зелено състояние. Проверката на прокси връзката тества само поддомейн на webex.com. Ако има проблеми със свързаността, често срещан проблем е, че някои от облачните домейни, изброени в инструкциите за инсталиране, се блокират в прокси сървъра.

Регистрирайте първия възел в клъстера

Тази задача взема общия възел, който сте създали в Настрой ване на хибридната виртуална машина за сигурност на данните, регистрира възела с облака Webex и го превръща в възел за хибридна защита на данните.

Когато регистрирате първия си възел, създавате клъстер, към който е присвоен възелът. Клъстерът съдържа един или повече възли, разположени за осигуряване на резервиране.

Преди да започнете

След като започнете регистрацията на възел, трябва да го завършите в рамките на 60 минути или трябва да започнете отначало.
Уверете се, че всички блокери на изскачащи прозорци във вашия браузър са деактивирани или че разрешавате изключение за admin.webex.com.

1	Влезте в https://admin.webex.com.
2	От менюто от лявата страна на екрана изберете У слуги.
3	В секцията Хибридни услуги намерете Хибридна защита на данните и щракнете върху Настройка. Появява се страницата Регистрирайте хибридния възел за сигурност на данните.
4	Изберете Да, за да посочите, че сте настроили възела и сте готови да го регистрирате, след което щракнете върху Напред.
5	В първото поле въведете име за клъстера, към който искате да зададете своя възел за хибридна защита на данните. Препоръчваме ви да назовете клъстер въз основа на това къде се намират географски възлите на клъстера. Примери: „Сан Франциско“ или „Ню Йорк“ или „Далас“
6	Във второто поле въведете вътрешния IP адрес или напълно квалифицирано име на домейн (FQDN) на вашия възел и щракнете върху Напред. Този IP адрес или FQDN трябва да съответства на IP адреса или името на хоста и домейна, които сте използвали в Настройване на виртуалната машина за хибридна защита на данните. Появява се съобщение, показващо, че можете да регистрирате своя възел в Webex.
7	Щракнете върху Отиди в възел.
8	Щракнете върху Прод ължи в предупредителното съобщение. След няколко минути сте пренасочени към тестовете за свързаност на възлите за услугите на Webex. Ако всички тестове са успешни, се появява страницата Разрешаване на достъп до хибридни възли за сигурност на данните. Там потвърждавате, че искате да дадете разрешения на вашата организация Webex за достъп до вашия възел.
9	Поставете отметка в квадратчето Разрешаване на достъп до вашия хибриден възел за сигурност на данните и след това щракнете върху Продължи. Вашият акаунт е валидиран и съобщението „Регистрацията е завършена“ показва, че вашият възел вече е регистриран в облака Webex.
10	Щракнете върху връзката или затворете раздела, за да се върнете към страницата за хибридна защита на данните на контролния център. На страницата Хи бридна защита на данните се показва новият клъстер, съдържащ регистрирания от вас възел. Възелът автоматично ще изтегли най-новия софтуер от облака.

Създаване и регистриране на още възли

За да добавите допълнителни възли към вашия клъстер, просто създавате допълнителни виртуални машини и монтирате същия конфигурационен ISO файл, след което регистрирате възела. Препоръчваме ви да имате поне 3 възела.

Понастоящем резервните виртуални машини, които сте създали в „Завършване на предпоставките за хибридна сигурност на данните“, са хостове в режим на готовност, които се използват само в случай на възстановяване при бедствие; дотогава те не са регистрирани в системата. За подробности вижте Възстанов яване при бедствие с помощта на Център за данни в режим на готовност.

Преди да започнете

След като започнете регистрацията на възел, трябва да го завършите в рамките на 60 минути или трябва да започнете отначало.
Уверете се, че всички блокери на изскачащи прозорци във вашия браузър са деактивирани или че разрешавате изключение за admin.webex.com.

1	Създайте нова виртуална машина от OVA, повтаряйки стъпките в Инсталиране на HDS Host OVA.
2	Настройте първоначалната конфигурация на новата VM, повтаря йки стъпките в Настройване на хибридната виртуална машина за защита на данните.
3	На новата виртуална виртуална машина повторете стъпките в Качване и монтирайте ISO за конфигурация на HDS.
4	Ако настройвате прокси сървър за вашето внедряване, повторете стъпките в Конфигу риране на HDS възела за интеграция на прокси сървъри, както е необходимо за новия възел.
5	Регистрирайте възела. В https://admin.webex.com изберете У слуги от менюто от лявата страна на екрана. В секцията Хибридни услуги намерете картата за хибридна защита на данните и щракнете върху Ресурси. Появява се страницата Хибридни ресурси за сигурност на данните. Щракнете върху Добавяне на ресурс. В първото поле изберете името на съществуващия си клъстер. Във второто поле въведете вътрешния IP адрес или напълно квалифицирано име на домейн (FQDN) на вашия възел и щракнете върху Напред. Появява се съобщение, показващо, че можете да регистрирате своя възел в облака Webex. Щракнете върху Отиди в възел. След няколко минути сте пренасочени към тестовете за свързаност на възлите за услугите на Webex. Ако всички тестове са успешни, се появява страницата Разрешаване на достъп до хибридни възли за сигурност на данните. Там потвърждавате, че искате да дадете разрешения на вашата организация за достъп до вашия възел. Поставете отметка в квадратчето Разрешаване на достъп до вашия хибриден възел за сигурност на данните и след това щракнете върху Продължи. Вашият акаунт е валидиран и съобщението „Регистрацията е завършена“ показва, че вашият възел вече е регистриран в облака Webex. Щракнете върху връзката или затворете раздела, за да се върнете към страницата за хибридна защита на данните на контролния център. Вашият възел е регистриран. Имайте предвид, че докато не започнете пробна версия, вашите възли генерират аларма, показваща, че услугата ви все още не е активирана.

Какво да правя по-нататък

Стартирайте пробна версия и преминете към производство (следваща глава)

Стартирайте пробен период и преминете към производство

Проба към производствения поток от задачи

След като настроите клъстер за хибридна сигурност на данните, можете да стартирате пилотен проект, да добавите потребители към него и да започнете да го използвате за тестване и проверка на внедряването си в подготовката за преминаване към производство.

Преди да започнете

Създаване на хибриден клъстер за сигурност на данните

1	Ако е приложимо, синхронизирайте обекта на `HdsTrialGroup`групата. Ако организацията ви използва синхронизиране на директории за потребители, трябва да изберете `HdsTrialGroup`груповия обект за синхронизиране с облака, преди да можете да започнете пробна версия. За инструкции вижте Ръководството за внедряване на Cisco Directory Connector.
2	Активирайте пробната версия Започнете процес. Докато не изпълните тази задача, вашите възли генерират аларма, показваща, че услугата все още не е активирана.
3	Тествайте внедряването на хибридната сигурност на данните Проверете дали ключовите заявки се предават към вашето внедряване на хибридна защита на данните.
4	Мониторирайте здравето на хибридната сигурност на данните Проверете състоянието и настройте известия по имейл за аларми.
5	Добавяне или премахване на потребители от пробния период
6	Завършете пробната фаза с едно от следните действия: Преминаване от пробно към производство Прекратете пробния си период, без да преминете към производство

Активирайте пробната версия

Преди да започнете

Ако организацията ви използва синхронизиране на директории за потребители, трябва да изберете обекта на HdsTrialGroupгрупата за синхронизиране с облака, преди да можете да започнете пробна версия за вашата организация. За инструкции вижте Ръководството за внедряване на Cisco Directory Connector.

1	Влезте в https://admin.webex.com и след това изберете У слуги.
2	Под Хибридна защита на данните щракнете върху На стройки.
3	В секцията Състояние на услугата щракнете върху Стартиране на пробната версия. Състоянието на услугата се променя в пробен режим.
4	Щракнете върху Добавяне на потребители и въведете имейл адреса на един или повече потребители, за да използвате вашите възли за хибридна защита на данните за услуги за криптиране и индексиране. (Ако организацията ви използва синхронизиране на директории, използвайте Active Directory за управление на пробната група `HdsTrialGroup`.)

Тествайте внедряването на хибридната сигурност на данните

Използвайте тази процедура, за да тествате сценарии за криптиране на хибридна защита на данните.

Преди да започнете

Настройте внедряването на хибридна защита на данните.
Активирайте пробната версия и добавете няколко пробни потребители.
Уверете се, че имате достъп до syslog, за да проверите дали ключовите заявки се предават към вашето внедряване на хибридна защита на данните.

1

Клавишите за дадено пространство се задават от създателя на пространството. Влезте в приложението Webex като един от пилотните потребители и след това създайте пространство и поканете поне един пилотен потребител и един потребител, който не е пилот.

Ако деактивирате внедряването на хибридна защита на данните, съдържанието в пространствата, които пилотните потребители създават, вече не е достъпно, след като бъдат заменени кешираните от клиента копия на ключовете за криптиране.

2

Изпращайте съобщения в новото пространство.

3

Проверете изхода на syslog, за да проверите дали ключовите заявки се предават към вашето внедряване на хибридна защита на данните.

За да проверите дали потребител първо установява защитен канал към KMS, филтрирайте kms.data.method=createи: kms.data.type=EPHEMERAL_KEY_COLLECTION

Трябва да намерите запис като следния (идентификаторите са съкратени за четливост):

2020-07-21 17:35:34.562 (+0000) INFO  KMS [pool-14-thread-1] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms://hds2.org5.portun.us/statickeys/3[~]0 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=EPHEMERAL_KEY_COLLECTION, 
kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2

За да проверите дали потребител иска съществуващ ключ от KMS, филтрирайте kms.data.method=retrieveи: kms.data.type=KEY

Трябва да намерите запис като:

2020-07-21 17:44:19.889 (+0000) INFO  KMS [pool-14-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=retrieve, 
kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriHost=ciscospark.com, kms.data.type=KEY, 
kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b

За да проверите дали потребител иска създаването на нов KMS ключ, филтрирайте kms.data.method=createи: kms.data.type=KEY_COLLECTION

Трябва да намерите запис като:

2020-07-21 17:44:21.975 (+0000) INFO  KMS [pool-14-thread-33] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, 
kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, 
kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b

За да проверите дали потребител иска създаването на нов ресурсен обект на KMS (KRO) при създаването на пространство или друг защитен ресурс, филтрирайте и: kms.data.method=createkms.data.type=RESOURCE_COLLECTION

Трябва да намерите запис като:

2020-07-21 17:44:22.808 (+0000) INFO  KMS [pool-15-thread-1] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

Тълкуване на HDS дневници и разбиране на етикетите на агенти

HDS дневниците предоставят подробна информация относно заявките за KMS. Тези дневници включват различни полета, които помагат да се идентифицира естеството на заявката и свързаната с нея самоличност. Разбирането на тези области е от съществено значение за правилното тълкуване на дейностите и надеждните вътрешни операции.

Терминология

За да се гарантира яснота при прегледа на HDS дневниците, е важно да разберете следните термини:

Срок	Определение
Сервизен акаунт	Идентичност на услугата, която позволява на услугите на Webex да извършват оторизирани действия сигурно.
Агент	Идентичност на услужния субект или услужен акаунт, използван за извършване на автоматизирани операции в HDS средата.
Етикет на агента	Маркер, включен в дневниците на HDS, който идентифицира конкретния източник и тип на входяща заявка, позволявайки ефективен одит на контрола на достъпа.
Делегиран достъп	Оторизиран сервизен акаунт, който прави заявка за конкретен потреб ител, в рамките на разрешенията на този потребител. Появява се като заявка за делеги ране: `agent -> userid`.

Терминът „агент“ в този контекст се отнася конкретно до идентичността на HDS услугата. Те не са свързани с агентите, задвижвани от AI, използвани в други функции на Webex.

Искането се връч ва само когато произхожда от:

удостоверен потребител във вашата организация или
ака унт за услуги, който се намира във вашата организация и е оторизиран от нея.

Преглед на полетата за дневници

Поле	Какво представлява
Времева марка	Дата и час на операцията.
kms.data.метод	Извършена операция KMS (например извличане).
kms.data.orgld	Идентификатор на организацията.
KMS.Data.HttpUserАгент	Клиентът или службата, която прави заявката.
WEBEX_TRACKINGID	Уникален идентификатор за проследяване на заявката.
КМС.Дата.УриХост/кмс.дата.ури	Домакинът и ресурсът, насочен към заявката.
kms.дата.userld	Самоличността, изпълняваща заявката, включително етикет на агента.
км.отговор.успех	Показва дали искането е успяло.

Видове заявки - Бърза справка

Етикет в дневника	Етикет на агента	Какво представлява	Типични операции
Тип потребител: UserAgent	Потребителски агент	Надежден акаунт за услуги, свързан с потребителски работен процес, обхванат от вашата организация.	Създаване/управление на ключове за потребителски процес.
o-агент <id>-> потребител <id>	Организационен агент	Надеждна услуга на ниво орган, използващ делегиран достъп.	Извличане на данни от Webex от служителя за съответствие, интеграции на календари.
c-агент <id>-> потребител <id>	Облачен агент	Услуга на Webex, изпълняваща делегирана заявка за конкретен потребител.	Сканиране на вируси, визуализация на съдържанието, транскрипти.
c-агент <id>	Облачен агент	Услуга на Webex, изпълняваща делегирана заявка.	ECDHE/сесийни ключове.
UUID на крайния потребител	-	Удостовереният краен потребител, взаимодействащ с HDS.	Потребител извлича собствения си ключ.

Видове заявки - В детайли

Етикетите на агентите категоризират източника на заявката и помагат при определянето на подходящия контрол на достъпа. Следващите примери демонстрират множество типове заявки и свързаните с тях етикети на агенти.

Потребителски агент (UserAgent):

Това са надеждни акаунти за услуги на Webex, свързани с конкретни потребителски работни потоци и са обхванати от организацията на клиентите. Те обикновено се използват, когато дадена услуга създава и управлява ключове от името на работния процес на потребителя.

Примерен дневник:
```
2026-06-18 10:58:14.405 (+0000) INFO  KMS [pool-21-thread-110] - User: b[~]4 User Type: userAgent WEBEX_TRACKINGID=MsftPresence_6[~]9, kms.data.method=create, kms.merc.id=5[~]8, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=b[~]4, kms.data.orgId=null, kms.data.uri=/resources, kms.data.userId=3[~]6, kms.data.httpUserAgent=<Webex service>
```
Ключов индикатор: Примерният дневник показва потребителски агент (userAgent), извършващ операции за събиране на ресурси за услуга Webex.
Организационен агент (о-агент):

Тези надеждни акаунти за услуги на Webex са упълномощени да извършват делегирани операции от името на потребителите в рамките на HDS. В обхвата на организацията на клиентите, тези акаунти изпълняват операции на ниво организация. Тази функционалност поддържа няколко функции, като например позволяване на служителите по съответствие да търсят и извличат комуникационни данни на Webex - осигурявайки организационно съответствие с регулаторните стандарти, стандартите за сигурност и поверителност на данните.

Примерен дневник:
```
2026-06-18 11:24:53.034 (+0000) INFO  KMS [pool-19-thread-118] - WEBEX_TRACKINGID=ccc_8[~]c, kms.data.method=retrieve, kms.merc.id=2[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]2, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/d[~]7, kms.data.userId=o-agent 9[~]c -> userid 4[~]b, kms.data.httpUserAgent=<Webex service>
```
Ключов индикатор: Примерният дневник показва орган агент (o-agent 9[~]c), който извлича ключ от името на потребителя (4[~]b) за услуга Webex.
Облачен агент (c-агент):
Тези надеждни акаунти за услуги на Webex са упълномощени да извършват операции на HDS чрез делегиран достъп от името на потребител. Те поддържат основни функции - като записи след среща, транскрипти, сканиране срещу злонамерен софтуер и визуализации на файлове, които подобряват цялостното потребителско изживяване.

Докато облачните агенти могат да бъдат деактивирани чрез промяна на ISO, клиентите трябва да са наясно, че това ще доведе до загуба на функционалности, като записи след среща, преписи, визуализации на файлове и автоматизирано сканиране срещу злонамерен софтуер в Webex App Spaces. За повече информация вижте раздела Де активиране на облачните агенти.

Примерен дневник:
```
2026-06-18 11:27:59.388 (+0000) INFO  KMS [pool-19-thread-56] - WEBEX_TRACKINGID=CLIENT_2[~]e, kms.data.method=retrieve, kms.merc.id=b[~]c, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=0[~]6, kms.data.orgId=null, kms.data.uri=kms://hds2.org5.portun.us/keys/e[~]e, kms.data.userId=c-agent b[~]c -> userid 9[~]c, kms.data.httpUserAgent=<Webex service>
```
Ключов индикатор: Примерният дневник показва облачен агент (c-agent b[~]c), който извлича ключ за съдържание от името на потребителя (9[~]c).

Директно взаимодействие на крайния потреб ител:

Удостоверен потребител, взаимодействащ директно с HDS.

Примерен дневник:

2026-06-18 11:29:39.858 (+0000) INFO  KMS [pool-19-thread-141] - kms.data.method=retrieve, kms.merc.id=a[~]d, kms.merc.sync=false, kms.data.orgId=null, kms.data.httpUserAgent=<Webex service>, WEBEX_TRACKINGID=CLIENT_7[~]e, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=KEY, kms.data.requestId=1[~]a, kms.response.destination=https://wdm-a.wbx2.com/wdm/api/v1/devices/1[~]e, kms.response.resourceuri=null, kms.data.uri=kms://hds2.org5.portun.us/keys/b[~]b, kms.data.userId=c[~]f, kms.response.success=true

Ключов индикатор: Примерният дневник показва краен потребител (c[~]f), който извлича ключ и взаимодейства директно с HDS.

Мониторирайте здравето на хибридната сигурност на данните

Индикатор за състоянието в Control Hub ви показва дали всичко е наред с внедряването на хибридна защита на данните. За по-активно предупреждение се регистрирайте за известия по имейл. Ще бъдете уведомени, когато има въздействащи на услугата аларми или надстройки на софтуера.

1	В Control Hub изберете У слуги от менюто от лявата страна на екрана.
2	В секцията Хибридни услуги намерете Хибридна защита на данните и щракнете върху На стройки. Появява се страницата Настройки за хибридна защита на данните.
3	В секцията Известия по имейл въведете един или повече имейл адреса, разделени със запетаи, и натиснете Enter.

Добавяне или премахване на потребители от пробния период

След като активирате пробен период и добавите първоначалния набор от пробни потребители, можете да добавяте или премахвате пробни членове по всяко време, докато пробната версия е активна.

Ако премахнете потребител от пробната версия, клиентът на потребителя ще поиска създаване на ключове и ключове от облачния KMS вместо вашия KMS. Ако клиентът се нуждае от ключ, който се съхранява във вашия KMS, облачният KMS ще го изтегли от името на потребителя.

Ако организацията ви използва синхронизиране на директории, използвайте Active Directory (вместо тази процедура) за управление на пробната група HdsTrialGroup; можете да преглеждате членовете на групата в Control Hub, но не можете да ги добавяте или премахвате.

1	Влезте в Контролен център и след това изберете У слуги.
2	Под Хибридна защита на данните щракнете върху На стройки.
3	В раздела Пробен режим в областта Състояние на услугата щракнете върху Добавяне на потребители или щракнете върху преглед и редактиране, за да премахнете потребителите от пробната версия.
4	Въведете имейл адреса на един или повече потребители, които да добавите, или щракнете върху X от потребителски идентификатор, за да премахнете потребителя от пробната версия. След това щракнете върху Запаз ване.

Преминаване от пробно към производство

Когато сте доволни, че вашето внедряване работи добре за пробните потребители, можете да преминете към производство. Когато преминете към производство, всички потребители в организацията ще използват вашия локален домейн за хибридна защита на данните за криптиране на ключове и други услуги в областта на сигурността. Не можете да се върнете в пробен режим от производството, освен ако не деактивирате услугата като част от възстановяването при бедствие. Повторното активиране на услугата изисква да настроите нова пробна версия.

1	Влезте в Контролен център и след това изберете У слуги.
2	Под Хибридна защита на данните щракнете върху На стройки.
3	В секцията Състояние на услугата щракнете върху Преместване към продукция.
4	Потвърдете, че искате да преместите всичките си потребители в производство.

Прекратете пробния си период, без да преминете към производство

Ако по време на пробния период решите да не продължавате с внедряването на хибридна защита на данните, можете да деактивирате Hybrid Data Security, която приключва пробния период и премества пробните потребители обратно към услугите за сигурност на данните в облака. Потребителите на пробния период ще загубят достъп до данните, които са били криптирани по време на пробния период.

1	Влезте в Контролен център и след това изберете У слуги.
2	Под Хибридна защита на данните щракнете върху На стройки.
3	В секцията Деактивиране щракнете върху Де активиране.
4	Потвърдете, че искате да деактивирате услугата и да прекратите пробната версия.

Управление на вашето HDS внедряване

Управление на внедряването на HDS

Използвайте описаните тук задачи, за да управлявате внедряването на хибридна защита на данните.

Задаване на график за надграждане на

Софтуерните надстройки за хибридна сигурност на данните се извършват автоматично на ниво клъстер, което гарантира, че всички възли винаги работят с една и съща софтуерна версия. Надстройките се извършват съгласно графика за надграждане на клъстера. Когато стане налична надстройка на софтуера, имате възможност ръчно да надстроите клъстера преди планираното време за надстройване. Можете да зададете конкретен график за надстройване или да използвате графика по подразбиране от 3:00 сутринта Daily Съединени щати: Америка/Лос Анджелис. Можете също да изберете да отложите предстоящо надстройване, ако е необходимо.

За да зададете графика за надстройване:

1	Влезте в контролния център.
2	На страницата Общ преглед под Хибридни услуги изберете Хи бридна защита на данните.
3	На страницата Хибридни ресурси за сигурност на данните изберете клъстера.
4	В панела Общ преглед вдясно, под Настройки на клъстера изберете името на клъстера.
5	На страницата Настройки под Надстройване изберете часовата и часовата зона за графика за надстройване. Забележ ка: Под часовата зона се показва следващата налична дата и час на надстройка. Можете да отложите надстройката до следващия ден, ако е необходимо, като щракнете върху От ложи.

Промяна на конфигурацията на възела

Понякога може да се наложи да промените конфигурацията на вашия възел за хибридна защита на данните по причина като:

Промяна на x.509 сертификати поради изтичане на годност или други причини.

Не подкрепяме промяна на името на домейна CN на сертификат. Домейнът трябва да съответства на оригиналния домейн, използван за регистрация на клъстера.
Актуализиране на настройките на базата данни за промяна в копие на базата данни PostgreSQL или Microsoft SQL Server.

Ние не поддържаме мигриране на данни от PostgreSQL към Microsoft SQL Server или обратното. За да превключите средата на базата данни, започнете ново в недряване на хибридна защита на данните.
Създаване на нова конфигурация за подготовка на нов център за данни.

Също така, за целите на сигурността, Hybrid Data Security използва пароли за сервизни акаунти, които имат деветмесечен живот. След като инструментът за настройка на HDS генерира тези пароли, вие ги разгръщате във всеки от вашите HDS възли в конфигура ционния файл ISO. Когато паролите на организацията ви наближават изтичането, получавате известие от екипа на Webex за нулиране на паролата за вашия машинен акаунт. (Имейлът включва текста „Използвайте API на машинния акаунт, за да актуализирате паролата.“) Ако паролите ви все още не са изтекли, инструментът ви дава две опции:

Меко нули ране — Старите и новите пароли работят до 10 дни. Използвайте този период, за да замените ISO файла на възлите постепенно.
Твърдо нули ране — Старите пароли спират да работят веднага.

Ако паролите ви изтичат без нулиране, това се отразява на вашата HDS услуга, което изисква незабавно твърдо нулиране и подмяна на ISO файла във всички възли.

Използвайте тази процедура, за да генерирате нов конфигурационен ISO файл и да го приложите към вашия клъстер.

Преди да започнете

Инструментът за настройка на HDS работи като контейнер Docker на локална машина. За да получите достъп до него, стартирайте Docker на тази машина. Процесът на настройка изисква идентификационните данни на акаунт в Control Hub с пълни администраторски права за вашата организация.

Ако нямате лиценз за Docker Desktop, можете да използвате Podman Desktop, за да стартирате инструмента за настройка на HDS за стъпки 1.a до 1.e в процедурата по-долу. Вижте Стар тиране на инструмента за настройка на HDS с помощта на Podman Desktop за подроб ности.

Ако инструментът за настройка на HDS работи зад прокси сървър във вашата среда, предоставете настройките на прокси сървъра (сървър, порт, идентификационни данни) чрез променливите на средата на Docker, когато извеждате контейнера Docker в 1.e. Тази таблица дава някои възможни променливи на средата:

Описание	Променлива
HTTP прокси без удостоверяване	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS прокси без удостоверяване	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP прокси с удостоверяване	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS прокси с удостоверяване	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Имате нужда от копие на текущия конфигурационен ISO файл, за да генерирате нова конфигурация. ISO съдържа главния ключ, криптиращ базата данни PostgreSQL или Microsoft SQL Server. ISO се нуждаете, когато правите промени в конфигурацията, включително идентификационни данни за базата данни, актуализации на сертификати или промени в правилата за оторизация.

1	Използвайки Docker на локална машина, стартирайте инструмента за настройка на HDS. В командния ред на вашата машина въведете съответната команда за вашата среда: В редовни среди: `docker rmi ciscocitg/hds-setup:stable` В средите на FedRAMP: `docker rmi ciscocitg/hds-setup-fedramp:stable` Тази стъпка почиства предишните изображения на инструмента за настройка на HDS. Ако няма предишни изображения, той връща грешка, която можете да игнорирате. За да влезете в регистъра на изображенията на Docker, въведете следното: `docker login -u hdscustomersro` В подкана за парола въведете този хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Изтеглете най-новото стабилно изображение за вашата среда: В редовни среди: `docker pull ciscocitg/hds-setup:stable` В средите на FedRAMP: `docker pull ciscocitg/hds-setup-fedramp:stable` Уверете се, че сте изтеглили най-новия инструмент за настройка за тази процедура. Версиите на инструмента, създадени преди 22 февруари 2018 г., нямат екрани за нулиране на паролата. Когато изтеглянето завърши, въведете съответната команда за вашата среда: В обикновени среди без прокси сървър: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` В обикновени среди с HTTP прокси сървър: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` В обикновени среди с HTTPSProxy: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` В среда на FedRAMP без прокси сървър: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` В среда на FedRAMP с HTTP прокси сървър: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` В среда на FedRAMP с HTTPS прокси сървър: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Когато контейнерът работи, виждате „Експресно слушане на сървъра на порт 8080“. Използвайте браузър, за да се свържете с localhost, `http://127.0.0.1:8080`. Инструментът за настройка не поддържа свързване с localhost чрез http://localhost:8080. Използвайте http://127.0.0.1:8080, за да се свържете с localhost. Когато бъдете подканени, въведете идентификационните данни за влизане на клиенти на Control Hub и след това щракнете върху При емам, за да продължите. Импортирайте текущия конфигурационен ISO файл. Следвайте указанията, за да завършите инструмента и да изтеглите актуализирания файл. За да изключите инструмента за настройка, въведете `CTRL+C`. Създайте резервно копие на актуализирания файл в друг център за данни.
2	Ако имате работещ само един HDS възел, съз дайте нов VM възел за хибридна защита на данните и го регистрирайте с помощта на новия конфигурационен ISO файл. За по- подробни инструкции вижте Съ здаване и регистриране на още възли. Инсталирайте HDS хост OVA. Настройте HDS VM. Монтирайте актуализирания конфигурационен файл. Регистрирайте новия възел в Control Hub.
3	За съществуващите HDS възли, които изпълняват по-стария конфигурационен файл, монтирайте ISO файла. Изпълнете следната процедура на всеки възел на свой ред, като актуализирате всеки възел, преди да изключите следващия възел: За внедряване на VMware: Изключете виртуалната машина HDS. В клиента VMware vSphere изберете виртуалната машина HDS. Щракнете с десния бутон върху виртуалната машина и изберете Ре дактиране на настройките Изберете CD/DVD устройство 1. Ако в момента е прикачен ISO файл, отделете го, преди да продължите. Изберете Datastore ISO File и след това изберете новия конфигурационен ISO файл. Изберете Свър зани и С вързване при включено захран ване. Запазете промените и захранвайте виртуалната машина. За разполагане на NFVIS: Отидете в Конфигурация > Виртуална машина > Изображения > Хранилище на изображения и качете новия конфигурационен ISO файл в хранили щето на изображения NFVIS. Отворете Кон фигурация > Виртуална машина > Управ ление и изберете HDS виртуалната машина. Изключете виртуалната машина HDS и изчакайте, докато състоянието й се промени на Изключ ване. Отворе те CD-ROM устройства. Ако в момента е прикачен ISO файл, отделете го и проверете дали не остава прикачен ISO файл. Изберете При ка чи и след това изберете новокачения конфигурационен ISO файл. Завършете операцията и проверете дали новият конфигурационен ISO файл е посочен. Стартирайте виртуалната машина HDS. За внедряване на Nutanix: В Prism Central отидете на Инфраструктура > Из числяване > Изображения. Изберете Добавяне на изображение. Под Източник на изображение изберете Файл с изображ ения и след това изберете Добавяне на файл. Изберете новата конфигурация ISO и проверете дали Type е зададен на ISO. Попълнете избора на местоположение за целевия клъстер и завършете качването. Отидете в Инфраструктура > Изчисляване > VM и изберете приложимата HDS VM. В раздела Обобщение на вирту алната машина изберете Опера ции за захранване > Изключване на за хранването и изчакайте, докато виртуалната машина бъде напълно спряна. Отворете раздела Дис кове на VM. Ако е прикачен стар ISO за конфигурация, изберете само неговия запис на CD-ROM и щракнете върху Изтриване. В раздела Д ис кове, ако полето Източ ник е празно за записи на виртуален диск, изберете съответните квадратчета за отметка и щракнете върху Из три ване. Изберете При качване на диск и конфигурирайте следните стойности: Тип: CD- ROM Операция: Клониране от изображение Поставяне на диска: Съ щият клъстер Изображение: Новокачена конфигурация ISO Тип шина: SATA Запазете конфигурацията и потвърдете, че новият ISO се появява като прикачения CD-ROM на виртуалната машина. В раздела Об общение на виртуалната машина изберете Опера ции за захранване > Включване. Потвърдете, че не се появяват аларми поне 15 минути.
4	Повторете стъпка 3, за да замените конфигурацията на всеки останал възел, който изпълнява старата конфигурация.

Изключете блокирания режим на външна резолюция на DNS

Когато регистрирате възел или проверите конфигурацията на прокси сървъра на възела, процесът тества търсенето на DNS и свързаността с Cisco Webex облака. Ако DNS сървърът на възела не може да разреши публични DNS имена, възелът автоматично преминава в режим на блокирана външна DNS резолюция.

Ако вашите възли са в състояние да разрешават публични DNS имена чрез вътрешни DNS сървъри, можете да изключите този режим, като стартирате отново теста за прокси връзка на всеки възел.

Преди да започнете

Уверете се, че вашите вътрешни DNS сървъри могат да разрешават публични DNS имена и че вашите възли могат да комуникират с тях.

1	В уеб браузър отворете интерфейса на възела Hybrid Data Security (IP адрес/настройка, например https://192.0.2.0/setup), въведете идентификационните данни за администратора, които сте настроили за възела, и след това щракнете върху Вход.
2	Отидете на Преглед (страницата по подразбиране). Когато е активирана, блокираната външна DNS резолюция е зададена на Да.
3	Отидете на страницата Trust Store & Proxy.
4	Щракнете върху Проверете прокси връз ката. Ако видите съобщение, че външната DNS резолюция не е била успешна, възелът не е успял да достигне DNS сървъра и ще остане в този режим. В противен случай, след като рестартирате възела и се върнете към страницата Пре глед, блокираната външна DNS резолюция трябва да бъде зададена на No.

Какво да правя по-нататък

Повторете теста за прокси връзка на всеки възел във вашия клъстер за хибридна защита на данните.

Премахване на възел

Използвайте тази процедура, за да премахнете възел за хибридна защита на данните от облака Webex. След като премахнете възела от клъстера, изтрийте виртуалната машина, за да предотвратите по-нататъшен достъп до вашите данни за сигурност.

1

Използвайте интерфейса за управление на хипервизора във вашето внедряване, за да намерите и изключите HDS виртуалната машина.

2

Премахнете възела:

Влезте в Контролен център и след това изберете У слуги.
На картата за хибридна защита на данните щракнете върху Преглед на всички, за да се покаже страницата Хибридни ресурси за сигурност на данните.
Изберете вашия клъстер, за да се покаже панела за преглед.
Щракнете върху Отваряне на списък с възли.
В раздела Възли изберете възела, който искате да премахнете.
Щракнете върху Дейст вия > Отписване на възел.

3

Използвайки интерфейса за управление на хипервизора във вашето внедряване, намерете и изтрийте виртуалната машина HDS.

Ако не изтриете виртуалната виртуална машина, не забравяйте да премахнете конфигурационния ISO файл. Без ISO файла не можете да използвате виртуалната машина за достъп до данните си за сигурност.

Център за данни в готовност за възстановяване при бедствия

По време на внедряването настройвате защитен център за данни в режим на готовност. В случай на бедствие в центъра за данни, можете ръчно да провалите внедряването си в центъра за данни в режим на готовност.

Базите данни на активните центрове за данни и центровете за данни в режим на готовност са синхронизирани помежду си, което ще сведе до минимум времето, необходимо за извършване на превключването при превключване. ISO файлът на центъра за данни в режим на готовност се актуализира с допълнителни конфигурации, които гарантират, че възлите са регистрирани в организацията, но няма да обработват трафика. Следователно възлите на центъра за данни в режим на готовност винаги остават актуални с най-новата версия на софтуера HDS.

Активните възли за хибридна защита на данните трябва винаги да са в същия център за данни като активния сървър на база данни.

Настройка на Центъра за данни в режим на готовност за възстановяване

Следвайте стъпките по-долу, за да конфигурирате ISO файла на центъра за данни в режим на готовност:

Преди да започнете

Центърът за данни в режим на готовност трябва да отразява производствената среда на виртуални компютри и резервна база данни PostgreSQL или Microsoft SQL Server. Например, ако производството има 3 виртуални виртуални устройства, работещи с HDS възли, резервната среда трябва да има 3 виртуални виртуални устройства. (Вижте Център за данни в режим на готовност за възстановяване при бед ствия за преглед на този модел за прекъсване при неизправност.)
Уверете се, че синхронизирането на базата данни е активирано между базата данни от активни и пасивни клъстерни възли.

1	Стартирайте инструмента за настройка на HDS и следвайте стъпките, споменати в Съ здаване на конфигурация ISO за HDS хостовете. ISO файлът трябва да бъде копие на оригиналния ISO файл на основния център за данни, върху който трябва да се извършват следните актуализации на конфигурацията.
2	След като конфигурирате сървъра Syslogd, кликнете върху Разширени настройки
3	На страницата Раз ширени настройки добавете конфигурацията по-долу, за да поставите възела в пасивен режим. В този режим възелът ще бъде регистриран в организацията и свързан към облака, но няма да обработва никакъв трафик. `passiveMode: 'true'`
4	Завършете процеса на конфигуриране и запазете ISO файла на място, което е лесно да се намери.
5	Направете резервно копие на ISO файла на вашата локална система. Поддържайте резервното копие защитено. Този файл съдържа основен ключ за криптиране за съдържанието на базата данни. Ограничете достъпа само до онези администратори за хибридна защита на данните, които трябва да правят промени в конфигурацията.
6	Монтирайте конфигурационния ISO файл: Преди да монтирате новата конфигурация ISO: Изключете HDS възела. Проверете дали в момента не е прикачен ISO файл. Ако е прикачен ISO файл, отделете го, преди да продължите. За внедряване на VMware: В клиента VMware vSphere изберете виртуалната машина HDS. Щракнете с десния бутон върху виртуалната машина и изберете Ре дактиране на настройките Изберете CD/DVD устройство 1. Изберете Datastore ISO File и след това изберете новия конфигурационен ISO файл. Уверете се, че са избрани С вързване и Свързване при включ ено захранване. Запазете промените. За разполагане на NFVIS: Отидете в Конфигурация > Виртуална машина > Изображения > Хранилище на изображения и качете новия конфигурационен ISO файл в хранили щето на изображения NFVIS. Отворете Кон фигурация > Виртуална машина > Управ ление и изберете HDS виртуалната машина. Отворе те CD-ROM устройства и прове рете дали в момента не е прикачен ISO файл. Изберете При ка чи и след това изберете новокачения конфигурационен ISO файл. Завършете операцията и проверете дали новият конфигурационен ISO файл е прикачен. За внедряване на Nutanix: В Prism Central отидете на Инфраструктура > Из числяване > Изображения. Изберете Добавяне на изображение. Под Източник на изображение изберете Файл с изображ ения и след това изберете Добавяне на файл. Изберете новата конфигурация ISO и проверете дали Type е зададен на ISO. Попълнете избора на местоположение за целевия клъстер и завършете качването. Отидете в Инфраструктура > Изчисляване > VM и изберете приложимата HDS VM. В раздела Обобщение на вирту алната машина изберете Опера ции за захранване > Изключване на за хранването и изчакайте, докато виртуалната машина бъде напълно спряна. Отворете раздела Дис кове на VM. Ако е прикачен стар ISO за конфигурация, изберете само неговия запис на CD-ROM и щракнете върху Изтриване. В раздела Д ис кове, ако полето Източ ник е празно за записи на виртуален диск, изберете съответните квадратчета за отметка и щракнете върху Из три ване. Изберете При качване на диск и конфигурирайте следните стойности: Тип: CD- ROM Операция: Клониране от изображение Поставяне на диска: Съ щият клъстер Изображение: Новокачена конфигурация ISO Тип шина: SATA Запазете конфигурацията и потвърдете, че новият ISO се появява като прикачения CD-ROM на виртуалната машина.
7	Включете HDS възела и се уверете, че няма аларми поне 15 минути.
8	Повторете процеса за всеки възел в центъра за данни в режим на готовност. Проверете syslogs, за да проверите дали възлите са в пасивен режим. Трябва да можете да видите съобщението „KMS конфигуриран в пасивен режим“ в syslogs.

Какво да правя по-нататък

След като конфигурирате passiveModeв ISO файла и го запазите, можете да създадете друго копие на ISO файла без passiveModeконфигурацията и да го запазите на сигурно място. Това копие на ISO файла без passiveModeконфигуриран може да помогне при бърз процес на прекъсване при неизправност по време на възстановяване при бедствие. Вижте Въз становяване при бедствия с помощта на Център за данни в режим на готовност за подробна процедура за прекъсване при

Възстановяване при бедствие с помощта на Център за данни в режим

Най-критичната услуга, която вашият клъстер за хибридна сигурност на данните предоставя, е създаването и съхраняването на ключове, използвани за криптиране на съобщения и друго съдържание, съхранявано в облака Webex. За всеки потребител в организацията, който е назначен към Hybrid Data Security, нови заявки за създаване на ключове се насочват към клъстера. Клъстерът отговаря и за връщането на създадените от него ключове на всички потребители, упълномощени да ги извлекат, например членове на пространство за разговор.

Тъй като клъстерът изпълнява критичната функция за предоставяне на тези ключове, е наложително клъстерът да продължи да работи и да се поддържат правилните резервни копия. Загубата на базата данни за хибридна сигурност на данните или на конфигурацията ISO, използвана за схемата, ще доведе до НЕВЪЗСТАНОВИМА ЗАГУБА на клиентско съдържание. Следните практики са задължителни за предотвратяване на такава загуба:

Ако бедствие причини внедряването на HDS в първичния център за данни да стане недостъпно, следвайте тази процедура за ръчно превключване в центъра за данни в режим на готовност.

1	Стартирайте инструмента за настройка на HDS и следвайте стъпките, споменати в Съ здаване на конфигурация ISO за HDS хостовете.
2	След като конфигурирате сървъра Syslogd, кликнете върху Разширени настройки
3	На страницата Раз ширени настройки добавете конфигурацията по-долу или премахнете `passiveMode`конфигурацията, за да направите възела активен. Възелът може да се справи с трафика, след като това е конфигурирано. `passiveMode: 'false'`
4	Завършете процеса на конфигуриране и запазете ISO файла на място, което е лесно да се намери.
5	Направете резервно копие на ISO файла на вашата локална система. Поддържайте резервното копие защитено. Този файл съдържа основен ключ за криптиране за съдържанието на базата данни. Ограничете достъпа само до онези администратори за хибридна защита на данните, които трябва да правят промени в конфигурацията.
6	Монтирайте конфигурационния ISO файл: Преди да монтирате новата конфигурация ISO: Изключете HDS възела. Проверете дали в момента не е прикачен ISO файл. Ако е прикачен ISO файл, отделете го, преди да продължите. За внедряване на VMware: В клиента VMware vSphere изберете виртуалната машина HDS. Щракнете с десния бутон върху виртуалната машина и изберете Ре дактиране на настройките Изберете CD/DVD устройство 1. Изберете Datastore ISO File и след това изберете новия конфигурационен ISO файл. Уверете се, че са избрани С вързване и Свързване при включ ено захранване. Запазете промените. За разполагане на NFVIS: Отидете в Конфигурация > Виртуална машина > Изображения > Хранилище на изображения и качете новия конфигурационен ISO файл в хранили щето на изображения NFVIS. Отворете Кон фигурация > Виртуална машина > Управ ление и изберете HDS виртуалната машина. Отворе те CD-ROM устройства и прове рете дали в момента не е прикачен ISO файл. Изберете При ка чи и след това изберете новокачения конфигурационен ISO файл. Завършете операцията и проверете дали новият конфигурационен ISO файл е прикачен. За внедряване на Nutanix: В Prism Central отидете на Инфраструктура > Из числяване > Изображения. Изберете Добавяне на изображение. Под Източник на изображение изберете Файл с изображ ения и след това изберете Добавяне на файл. Изберете новата конфигурация ISO и проверете дали Type е зададен на ISO. Попълнете избора на местоположение за целевия клъстер и завършете качването. Отидете в Инфраструктура > Изчисляване > VM и изберете приложимата HDS VM. В раздела Обобщение на вирту алната машина изберете Опера ции за захранване > Изключване на за хранването и изчакайте, докато виртуалната машина бъде напълно спряна. Отворете раздела Дис кове на VM. Ако е прикачен стар ISO за конфигурация, изберете само неговия запис на CD-ROM и щракнете върху Изтриване. В раздела Д ис кове, ако полето Източ ник е празно за записи на виртуален диск, изберете съответните квадратчета за отметка и щракнете върху Из три ване. Изберете При качване на диск и конфигурирайте следните стойности: Тип: CD- ROM Операция: Клониране от изображение Поставяне на диска: Съ щият клъстер Изображение: Новокачена конфигурация ISO Тип шина: SATA Запазете конфигурацията и потвърдете, че новият ISO се появява като прикачения CD-ROM на виртуалната машина.
7	Включете HDS възела и се уверете, че няма аларми поне 15 минути.
8	Повторете процеса за всеки възел в центъра за данни в режим на готовност. Проверете изхода на syslog, за да проверите дали възлите на центъра за данни в режим на готовност не са в пасивен режим. „KMS конфигуриран в пасивен режим“ не трябва да се появява в сислоговете.

Какво да правя по-нататък

След превключване при неизправност, ако първичният център за данни стане активен отново, поставете центъра за данни в режим на готовност отново в пасивен режим, като следвате стъпките, описани в Настрой ка на центъра за данни в режим на готовност за възстановяване при бед ствие.

(Незадължително) Отстранете ISO след конфигурация на HDS

Стандартната HDS конфигурация работи с монтиран ISO. Но някои клиенти предпочитат да не оставят ISO файлове непрекъснато монтирани. Можете да деинсталирате ISO файла, след като всички HDS възли вземат новата конфигурация.

Все още използвате ISO файловете, за да правите промени в конфигурацията. Когато създавате нов ISO или актуализирате ISO чрез инструмента за настройка, трябва да монтирате актуализирания ISO на всички ваши HDS възли. След като всичките ви възли са взели промените в конфигурацията, можете да деинсталирате ISO отново с тази процедура.

Преди да започнете

Надстройте всички ваши HDS възли до версия 2025.06.02.6983 или по-нова.

Отделете конфигурационния ISO файл.

За внедряване на VMware:

Изключете един HDS възел.
В клиента VMware vSphere изберете виртуалната машина HDS.
Щракнете с десния бутон върху виртуалната машина и изберете Ре дактиране на настройките
Изберете CD/DVD устройство 1 и отделете монтирания конфигурационен ISO файл.
Изчист ете Connec ted и Connect при включено захран ване и след това запазете промените.
Включете HDS възела и проверете дали не се появяват аларми поне 20 минути.
Повторете тези стъпки за останалите HDS възли, един по един.

За разполагане на NFVIS:

Отворете Кон фигурация > Виртуална машина > Управ ление и изберете една HDS виртуална машина.
Изключете виртуалната виртуална машина и изчакайте, докато състоянието му се промени на Shutdown.
Отворе те CD-ROM устройства.
Изберете прикачения конфигурационен ISO файл и щракнете върху От страняване.
Проверете дали ISO файлът вече не е прикачен към виртуалната машина.
Стартирайте възела HDS и проверете дали не се появяват аларми поне 20 минути.
Повторете тези стъпки за останалите HDS възли, един по един.

За внедряване на Nutanix:

Отидете в Инфраструктура > Изчисляване > VM и изберете една HDS виртуална машина.
В раздела Обобщение на вирту алната машина изберете Опера ции за захранване > Изключване на за хранването и изчакайте, докато виртуалната машина бъде напълно спряна.
Отворете раздел а Д искове на виртуалната виртуална машина.
Изберете конфигурационния ISO запис, чийто тип е CD-ROM.
Щракнете върху Изхвърли.
Потвърдете, че конфигурацията ISO вече не е монтирана.
В раздела Об общение на виртуалната машина изберете Опера ции за захранване > Включване.
Потвърдете, че не се появяват аларми поне 15 минути.
Повторете тези стъпки за останалите HDS възли, един по един.

Отстраняване на неизправности при хибридна сигурност

Преглед на сигнали и отстраняване на неизправности

Внедряването на хибридна защита на данните се счита за недостъпно, ако всички възли в клъстера са недостъпни или клъстерът работи толкова бавно, че изисква изтичане на времето. Ако потребителите не могат да достигнат до вашия клъстер за хибридна защита на данните, те изпитват следните симптоми:

Нови пространства не могат да бъдат създадени (не могат да се създадат нови ключове)
Съобщенията и заглавията на пространствата не успяват да се дешифрират за:
- Нови потребители добавени към интервал (не могат да изтеглят клавиши)
- Съществуващи потребители в пространство, използващи нов клиент (не могат да изтеглят ключове)
Съществуващите потребители в дадено пространство ще продължат да работят успешно, стига клиентите им да имат кеш на ключовете за криптиране

Важно е правилно да наблюдавате своя кластер за хибридна сигурност на данните и да адресирате незабавно всички сигнали, за да избегнете прекъсване на услугата.

Предупреждения

Ако има проблем с настройката за хибридна защита на данните, Control Hub показва сигнали до администратора на организацията и изпраща имейли до конфигурирания имейл адрес. Сигналите обхващат много често срещани сценарии.

Таблица 1. Общи проблеми и стъпки за тяхното разрешаване
Предупреждение	Действие
Неуспех в достъпа до локална база данни.	Проверете за грешки в базата данни или проблеми с локалната мрежа.
Неизправност на връзката с локална база данни.	Проверете дали сървърът на базата данни е наличен и правилните идентификационни данни за акаунта на услугата са били използвани в конфигурацията на възела.
Неуспех в достъпа до облачна услуга.	Проверете дали възлите имат достъп до сървърите на Webex, както е посочено в Изисквания за външна свързаност.
Подновяване на регистрацията на облачни услуги.	Регистрацията за облачни услуги беше отменена. В ход е подновяване на регистрацията.
Регистрацията на облачни услуги отпадна.	Регистрацията към облачни услуги е прекратена. Службата спира.
Услугата все още не е активирана.	Активирайте пробен период или завършете преместването на пробния период към производство.
Конфигурираният домейн не съвпада със сървърния сертификат.	Уверете се, че вашият сървър съответства на конфигурирания домейн за активиране на услугата Най-вероятната причина е, че сертификатът CN наскоро беше променен и сега е различен от КН, използван по време на първоначалната настройка.
Неуспешно удостоверяване в облачни услуги.	Проверете за точност и евентуално изтичане на идентификационните данни на сметката за услуги
Неуспешно отваряне на локален файл за съхранение на ключове.	Проверете за целостта и точността на паролата в локалния файл за съхранение на ключове.
Сертификатът за локален сървър е невалиден.	Проверете датата на изтичане на сертификата на сървъра и потвърдете, че той е издаден от доверен човекCertificate Authority.
Не може да се публикуват показатели.	Проверете достъпа на локалната мрежа до външни облачни услуги.
/media/configdrive/hds директория не съществува.	Проверете конфигурацията за монтиране на ISO на виртуален хост. Проверете дали ISO файлът съществува, дали е конфигуриран да се монтира при рестартиране и дали се монтира успешно.

Отстраняване на неизправности при хибридна сигурност

Използвайте следните общи указания, когато отстранявате проблеми със защитата на хибридните данни.

1	Прегледайте Control Hub за всякакви сигнали и поправете всички елементи, които намерите там.
2	Прегледайте изхода на syslog сървъра за активност от внедряването на Hybrid Data Security.
3	Свържете се с поддръжката на Cisco.

HDS API за разработчици

API за разработчици на HDS са начин за извличане на данни за анализ и наблюдение, както и за отстраняване на неизправности при внедряването на HDS чрез портала за разработчици на Webex. API са достъпни на адрес https://developer.webex.com/messaging/docs/api/v1/hds.

Други бележки

Известни проблеми за хибридната сигурност на данните

Ако изключите своя кластер за хибридна защита на данните (като го изтриете в Control Hub или изключите всички възли), загубите конфигурационния си ISO файл или загубите достъп до базата данни на магазина за ключове, потребителите на Webex App вече не могат да използват интервали в списъка „Хора“, създадени с ключове от вашия KMS. Това се отнася както за пробните, така и за производствените внедрявания. Понастоящем нямаме заобикаляне или решение за този проблем и ви призоваваме да не изключвате HDS услугите си, след като те обработват активни потребителски акаунти.
Клиент, който има съществуваща ECDH връзка към KMS, поддържа тази връзка за определен период от време (вероятно един час). Когато потребителят стане член на пробна версия на Hybrid Data Security, клиентът на потребителя продължава да използва съществуващата ECDH връзка, докато срокът му изтече. Като алтернатива потребителят може да излезе и да се върне в приложението Webex App, за да актуализира местоположението, с което приложението се свързва за ключове за криптиране.

Същото поведение се случва, когато преместите пробен период в производство за организацията. Всички потребители, които не са пробни, със съществуващи ECDH връзки към предишните услуги за сигурност на данните ще продължат да използват тези услуги, докато връзката ECDH бъде предоговорена (чрез тайм-аут или чрез излизане и обратно влизане).

Внедряване и конфигуриране на HDS на NFVIS

Следвайте процедурите по-долу, за да разгърнете HDS на NFVIS хипервизор. Процесът включва инсталиране на HDS OVA, настройка на VM, монтиране на конфигурационната ISO и проверка на внедряването.

Инсталирайте HDS хост OVA на NFVIS

Преди да започнете

Попълнете предпоставките за хибридна сигурност на данните и изтеглете най-новите HDS OVA. Преименувайте файла, като използвате формата hds-<DD-MMM-YYYY>.ovaза проследяване; например hds-26-aug-2026.ova.
Създайте ISO за конфигурация HDS и го съхранявайте сигурно. ISO съдържа главния ключ за криптиране.
Съберете статичния IP адрес на възела, маската на подмрежата, шлюза, DNS сървъра, NTP сървъра и името на мрежата NFVIS.
Потвърдете, че имате достъп до администратора на NFVIS и достатъчен капацитет за разпределяне на поне 4 видеопроцесора, 8 GB памет и 30 GB място за съхранение на HDS възел.

1	Влезте в интерфейса NFVIS и отидете в Кон фигурация > Виртуална машина > Изображения > Хранилище на изображ ения.
2	Изберете опцията LOCAL и качете вашия преименуван HDS OVA файл (например hds-26-авг-2026.ova).
3	Задайте типа на натоварване на VM на извикване и типа на VM на ECP/VIDEO MESH, след което изберете Качване на файл.
4	Следете напредъка на качването до завършване.
5	Потвърдете, че качената OVA е маркирана като активна и че NFVIS успешно е създала свързания персонализиран OVA профил.

Настройте хибридната виртуална машина за сигурност на данни на NFVIS

1	Отворете Кон фигурация > Разгъ ване и изберете ECP/VIDEO MESH от менюто Избор на виртуална машина.
2	Въведете уникално име на VM, изберете предварително каченото HDS изображение и изберете съответния персонализиран OVA профил в секцията Подробности за внедряването.
3	Изберете DE PLY и изчакайте известието за успешно внедряване.
4	Отворете Кон фигурация > Виртуална машина > Управ ление, за да проверите дали новата HDS VM е активна.
5	Върнете се в Конфигурация > Внедряване, изберете HDS VM и използвайте падащия списък М режови интерфейси, за да го прикачите към необходимата WAN мрежа.
6	Изберете DE PLY, за да приложите промените в мрежовата конфигурация.

Качване и монтиране на HDS конфигурация ISO

1	Уверете се, че HDS конфигурационният ISO файл е качен в хранилището на изображения чрез Кон фигурация > Виртуална машина > Изображения > Хранилище на изображ ения, преди да продължите.
2	Отворете терминала за HDS VM чрез Кон фигурация > Виртуална машина > Управ ление и извършете първоначалното влизане, като използвате идентификационните данни по подразбиране. `Username: admin` `Password: ciscosystems`
3	Променете идентификационните данни на администратора при подкана.
4	Конфигурирайте статичния IP адрес на възела, маската на подмрежата, шлюза, DNS и NTP настройките, като използвате опцията Реда ктиране на конфигурацията.
5	Изключете HDS VM, за да улесните процеса на монтаж.
6	Отворете менюто за действие на VM, изберете CD-ROM и изберете ISO за конфигурация на HDS, за да го прикачите към VM.
7	Включете виртуалната машина и проверете дали тя започва успешно с монтираната конфигурация ISO.

Какво да правя по-нататък

Ако е необходимо, продължете с Кон фигуриране на възела за интеграция на прокси сървъри и след това продължете към Регистриране на първия възел в клъстера.

Разгънете и конфигурирайте HDS на Nutanix

Следвайте процедурите по-долу, за да разгърнете HDS на хипервизор на Nutanix. Процесът включва инсталиране на HDS OVA, настройка на VM, монтиране на конфигурационната ISO и проверка на внедряването.

Инсталирайте HDS Host OVA на Nutanix

Използвайте тази процедура, за да импортирате HDS OVA файла в Nutanix.

1	Изтеглете най-новата HDS OVA.
2	В Prism Central отидете на Инф раструктура > Изчисляване > OVA.
3	Изберете Ка чване на OVA.
4	Изберете източника на OVA и изберете целевия клъстер.
5	Дайте на качената OVA уникално и разпознаваемо име. Включете версията или датата на качване, за да могат администраторите да я различават от по-старите версии на OVA.
6	Завършете качването.
7	В списъка OVA проверете дали Форматът на диска се показва като VMDK.

Създайте хибридна виртуална машина за сигурност на данни на Nutanix

Използвайте тази процедура, за да създадете виртуалната машина HDS.

1	В Prism Central отидете на Инф раструктура > Изчисляване > OVA.
2	Изберете успешно качения HDS OVA.
3	Изберете Раз гъване като VM.
4	Въведете уникално, разпознаваемо име на VM и изберете целевия клъстер.
5	Проверете дали OVA е попълнил следните свойства на VM: 4 видеопроцесора 8 GB памет
6	Щракнете върху На пред. Отваря се съветникът за ресурси.
7	В табли цата Ресурси > Дискове проверете дали прикаченият диск е с размер 30 GB.
8	Прикачете правилната подмрежа или VLAN, като използвате опцията При качване към подмрежа и задайте състоянието на мрежовата връзка на Свързано. Ако съветникът съдържа празен мрежов запис или запис по подразбиране, показ ващ Не е намерена мрежа за VM мрежа, премахнете този запис. Невалидният запис може да попречи на съветника да продължи дори след като е прикачена правилната подмрежа.
9	Изберете UEFI като режим BIOS и щракнете върху Напред. Отваря се съветникът за управление.
10	Оставете категори ите празни, освен ако организацията не изисква категориите.
11	Изберете подходящата часова зона.
12	Изберете Без персонализиране на картата за персонализиране на гост ите и щракнете върху Напред.
13	Прегледайте настройките и изберете Съ здаване на VM.

Качване и монтиране на HDS конфигурация ISO

1	В Prism Central отидете на Инф раструктура > Изчисляване > ВМС.
2	Изберете внедрената HDS VM. В раздела Обобщ ение изберете Опера ции за захранване > Включване. Изчакайте няколко минути, докато VM стартира.
3	Щракнете върху Стартиране на конзола. Извършете първоначалното влизане, като използвате идентификационните данни по подразбиране. `Username: admin` `Password: ciscosystems`
4	Променете идентификационните данни на администратора при подкана.
5	Конфигурирайте статичния IP адрес на възела, маската на подмрежата, шлюза, DNS и NTP настройките, като използвате опцията Реда ктиране на конфигурацията.
6	Изключете HDS VM, преди да прикрепите ISO. Отидете в Инфраструктура > Изчисляване > VM и изберете приложимата HDS VM. В раздела Об общение изберете Операции за за хранване > Изключване на захран ването и изчакайте, докато виртуалната машина бъде напълно спряна.
7	Отворете раздела Дис кове на VM.
8	Ако е прикачен стар ISO за конфигурация, изберете само неговия запис на CD-ROM и щракнете върху Изтриване. В раздела Д ис кове, ако полето Източ ник е празно за записи на виртуален диск, изберете съответните квадратчета за отметка и щракнете върху Из три ване.
9	Изберете При качване на диск и конфигурирайте следните стойности: Тип: CD- ROM Операция: Клониране от изображение Поставяне на диска: Съ щият клъстер Изображение: Новокачена конфигурация ISO Тип шина: SATA
10	Запазете конфигурацията и потвърдете, че новият ISO се появява като прикачения CD-ROM на виртуалната машина.
11	В раздела Об общ ение на виртуалната машина изберете Опера ции за захранване > Включване и се уверете, че няма аларми поне 15 минути.

Какво да правя по-нататък

Ако е необходимо, продължете с Кон фигуриране на възела за интеграция на прокси сървъри и след това продължете към Регистриране на първия възел в клъстера.

Мигриране на HDS възли между поддържаните хипервизори

Използвайте тази процедура, за да преместите HDS възли от един поддържан хипервизор в друг. Съществуващите HDS виртуални машини не се мигрират директно между хипервизори. Вместо това разгърнете заместващи възли на целевия хипервизор и ги регистрирайте със съществуващия или новия HDS клъстер.

Преди да започнете

Архивирайте HDS базата данни и текущата конфигурация ISO.
Потвърдете, че целевият хипервизор и виртуалните хостове отговарят на изискванията за внедряване на HDS.
Проверете дали съществуващият HDS клъстер е здрав и дали останалите възли могат да продължат да обработват трафика, докато заменяте възел.
Определете дали всеки заместващ възел ще използва повторно IP адреса на изходния възел и FQDN или ще използва нови мрежови настройки.
Използвайте текущата конфигурация ISO и съществуващата HDS база данни за заместващите възли.

Ако преместването променя и активния център за данни, сървъра на база данни или конфигурацията на HDS, вижте Промяна на конфигурацията на въз ела и центъра за данни в режим на готовност за възстановяване при бед ствия, преди да продължите.

1	Изберете един HDS възел на източника на хипервизора, който да замените. Оставете всички останали възли работещи и регистрирани.
2	Подгответе мрежовата конфигурация за заместващия възел: Ако използвате повторно IP адреса на изходния възел и FQDN, изключете изходната виртуална машина и дерегистрирайте възела, преди да включите заместващия възел онлайн. Ако използвате нов IP адрес или FQDN, оставете изходния възел работещ и регистриран, докато внедрявате и потвърждавате заместващия възел. Не стартирайте изходните и заместващите възли едновременно, ако използват една и съща мрежова конфигурация.
3	Създайте и конфигурирайте заместващата VM на целевия хипервизор. Използвайте най-новите HDS OVA и следвайте приложимите процедури за внедряване за този хипервизор.
4	Конфигурирайте мрежовите настройки на заместващата VM според конфигурацията, избрана в стъпка 2. Следвайте инструкциите за настройка на целевия хипервизор.
5	Прикачете текущата конфигурация на HDS ISO. Ако вашето внедряване използва прокси сървър, конфигурирайте прокси и хранилището за доверие, както е описано в Кон фигуриране на HDS възела за интеграция на прокси сър
6	Регистрирайте заместващия възел със съществуващия клъстер или нов клъстер. Вижте Създаване и регистриране на още възли.
7	Потвърдете, че възелът за подмяна е здрав, свързан с облака Webex и обработва HDS трафика. Разрешете всички аларми, преди да продължите.
8	Ако изходният възел все още работи, защото подмяната използва нова мрежова конфигурация, изключете и премахнете регистрацията на изходния възел. Вижте Премахване на възел.
9	Повторете тези стъпки за всеки останал възел на източника на хипервизора. Не заменяйте друг възел, докато клъстерът не е здрав.
10	След като всички възли за подмяна са стабилни и връщането вече не се изисква, изтрийте оригиналните виртуални машини от източника на хипервизора. Ако запазите оригинални виртуални машини временно, дръжте я изключена и изключете конфигурацията му ISO.

Какво да правя по-нататък

След като регистрирате подменните възли, потвърдете, че те са здрави и че внедряването на HDS обработва трафика. Ако внедряването е здравословно, премахнете всички изходни възли, които все още са регистрирани в оригиналния хипервизор. Ако е приложимо, следвайте стъпките по-горе, за да замените възлите в настройката за възстановяване при бедствие.

Стартирайте инструмента за настройка на HDS с помощта на Podman Desktop

Podman е безплатен инструмент за управление на контейнери с отворен код, който предоставя начин за стартиране, управление и създаване на контейнери. Podman Desktop може да бъде изтеглен от https://podman-desktop.io/downloads.

Инструментът за настройка на HDS работи като контейнер Docker на локална машина. За да получите достъп до него, изтеглете и стартирайте Podman на тази машина. Процесът на настройка изисква идентификационните данни на акаунт в Control Hub с пълни администраторски права за вашата организация.

Ако инструментът за настройка на HDS работи зад прокси сървър във вашата среда, предоставете настройките на прокси сървъра (сървър, порт, идентификационни данни) чрез променливите на средата на Docker, когато извеждате контейнера Docker в стъпка 5. Тази таблица дава някои възможни променливи на средата:

Описание	Променлива
HTTP прокси без удостоверяване	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS прокси без удостоверяване	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP прокси с удостоверяване	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS прокси с удостоверяване	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Конфигурационният ISO файл, който генерирате, съдържа главния ключ, криптиращ базата данни PostgreSQL или Microsoft SQL Server. Нуждаете се от най-новото копие на този файл всеки път, когато правите промени в конфигурацията, като следните:
- Идентификационни данни
- Актуализации на сертификатите
- Промени в политиката за оторизация
Ако планирате да криптирате връзки с база данни, настройте внедряването на PostgreSQL или SQL Server за TLS.

Процесът на настройка на хибридна защита на данните създава ISO файл. След това използвате ISO, за да конфигурирате вашия хост за хибридна защита на данните.

podman rmi ciscocitg/hds-setup:stable  
podman login docker.io -u hdscustomersro
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
podman pull ciscocitg/hds-setup:stable
podman run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

Какво да правя по-нататък

Следвайте останалите стъпки в Съ здаване на конфигурация ISO за HDS хостовете или Промяна на конфигурацията на въз ела, за да създадете или промените ISO конфигурация.

Деактивирайте облачните агенти

Облачните агенти (c-agent) са надеждни акаунти за услуги на Webex, които извършват операции на HDS чрез делегиран достъп от името на потребител, за да подобрят цялостното потребителско изживяване. Деактивирането на облачните агенти блокира услугите на Webex от достъп до локални HDS ключове.

Деактивирането на облачните агенти ще доведе до загуба на функции като записи след срещата, преписи, визуализации на файлове и автоматизирано сканиране срещу злонамерен софтуер в Webex App Spaces.

Следвайте стъпките по-долу, за да деактивирате облачните агенти за внедряването на HDS.

1	Стартирайте инструмента за настройка на HDS и следвайте стъпките, споменати в Съ здаване на конфигурация ISO за HDS хостовете. ISO файлът трябва да бъде копие на оригиналния ISO файл на основния център за данни, върху който трябва да се извършват следните актуализации на конфигурацията.
2	След като конфигурирате сървъра Syslogd, кликнете върху Разширени настройки.
3	На страницата Раз ширени настройки добавете конфигурацията по-долу, за да деактивирате облачните агенти. Това ще гарантира, че облачните агенти нямат право да обработват HDS трафика. `cloudAgentUpdateEnabled: 'false'`
4	Завършете процеса на конфигуриране и запазете ISO файла на място, което е лесно да се намери.
5	Направете резервно копие на ISO файла на вашата локална система. Поддържайте резервното копие защитено. Този файл съдържа основен ключ за криптиране за съдържанието на базата данни. Ограничете достъпа само до онези администратори за хибридна защита на данните, които трябва да правят промени в конфигурацията.
6	Монтирайте конфигурационния ISO файл: Преди да монтирате новата конфигурация ISO: Изключете HDS възела. Проверете дали в момента не е прикачен ISO файл. Ако е прикачен ISO файл, отделете го, преди да продължите. За внедряване на VMware: В клиента VMware vSphere изберете виртуалната машина HDS. Щракнете с десния бутон върху виртуалната машина и изберете Ре дактиране на настройките Изберете CD/DVD устройство 1. Изберете Datastore ISO File и след това изберете новия конфигурационен ISO файл. Уверете се, че са избрани С вързване и Свързване при включ ено захранване. Запазете промените. За разполагане на NFVIS: Отидете в Конфигурация > Виртуална машина > Изображения > Хранилище на изображения и качете новия конфигурационен ISO файл в хранили щето на изображения NFVIS. Отворете Кон фигурация > Виртуална машина > Управ ление и изберете HDS виртуалната машина. Отворе те CD-ROM устройства и прове рете дали в момента не е прикачен ISO файл. Изберете При ка чи и след това изберете новокачения конфигурационен ISO файл. Завършете операцията и проверете дали новият конфигурационен ISO файл е прикачен. За внедряване на Nutanix: В Prism Central отидете на Инфраструктура > Из числяване > Изображения. Изберете Добавяне на изображение. Под Източник на изображение изберете Файл с изображ ения и след това изберете Добавяне на файл. Изберете новата конфигурация ISO и проверете дали Type е зададен на ISO. Попълнете избора на местоположение за целевия клъстер и завършете качването. Отидете в Инфраструктура > Изчисляване > VM и изберете приложимата HDS VM. В раздела Обобщение на вирту алната машина изберете Опера ции за захранване > Изключване на за хранването и изчакайте, докато виртуалната машина бъде напълно спряна. Отворете раздела Дис кове на VM. Ако е прикачен стар ISO за конфигурация, изберете само неговия запис на CD-ROM и щракнете върху Изтриване. В раздела Д ис кове, ако полето Източ ник е празно за записи на виртуален диск, изберете съответните квадратчета за отметка и щракнете върху Из три ване. Изберете При качване на диск и конфигурирайте следните стойности: Тип: CD- ROM Операция: Клониране от изображение Поставяне на диска: Съ щият клъстер Изображение: Новокачена конфигурация ISO Тип шина: SATA Запазете конфигурацията и потвърдете, че новият ISO се появява като прикачения CD-ROM на виртуалната машина.
7	Включете HDS възела и се уверете, че няма аларми поне 15 минути.
8	Повторете процеса за всеки възел във вашето разполагане на HDS. Проверете дали облачните агенти са деактивирани, като проверите syslogs за следния запис: „Актуализацията на облачния агент е деактивирана“.

Използвайте OpenSSL за генериране на PKCS12 файл

Преди да започнете

OpenSSL е един инструмент, който може да се използва за създаване на файла PKCS12 в правилния формат за зареждане в инструмента за настройка на HDS. Има и други начини да се направи това и ние не подкрепяме или насърчаваме един път пред друг.
Ако решите да използвате OpenSSL, ние предоставяме тази процедура като насоки, за да ви помогнем да създадете файл, който отговаря на изискванията за сертификат X.509 в изискванията за сертификат X.509. Разберете тези изисквания, преди да продължите.
Инсталирайте OpenSSL в поддържана среда. Вижте https://www.openssl.org за софтуера и документацията.
Създайте частен ключ.
Започнете тази процедура, когато получите сертификата на сървъра от вашия Certificate Authority (CA).

1	Когато получите сертификата на сървъра от вашия CA, запазете го като `hdsnode.pem`.
2	Покажете сертификата като текст и проверете подробностите. `openssl x509 -text -noout -in hdsnode.pem`
3	Използвайте текстов редактор, за да създадете файл с пакет от сертификати, наречен `hdsnode-bundle.pem`. Пакетният файл трябва да включва сървърния сертификат, всички междинни CA сертификати и основните CA сертификати във формата по-долу: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	Създайте файла .p12 с приятелското име. `kms-private-key` `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Проверете подробностите за сертификата на сървъра. `openssl pkcs12 -in hdsnode.p12` Въведете парола в подканата за криптиране на частния ключ, така че да е посочен в изхода. След това проверете дали частният ключ и първият сертификат включват редовете `friendlyName: kms-private-key`. Пример: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: <No Attributes> Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- <redacted> -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- <redacted> -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- <redacted> -----END CERTIFICATE-----

Какво да правя по-нататък

Върнете се към Попълнете предпоставките за хибридна сигурност на данните. Ще използвате hdsnode.p12файла и паролата, която сте задали за него, в Съ здаване на конфигурация ISO за HDS хостовете.

Можете да използвате повторно тези файлове, за да поискате нов сертификат, когато оригиналният сертификат изтече.

Трафик между възлите на HDS и облака

Трафик за събиране на изходящи показатели

Хибридните възли за сигурност на данните изпращат определени показатели към облака Webex. Те включват системни показатели за куп макс, използван куп, натоварване на процесора и брой нишки; метрики за синхронни и асинхронни нишки; показатели за сигнали, включващи праг на криптиращи връзки, латентност или дължина на опашката на заявката; показатели на системата на данни; и показатели за криптиране на връзката. Възлите изпращат криптиран ключов материал по канал извън обхвата (отделен от заявката).

Входящ трафик

Хибридните възли за сигурност на данните получават следните видове входящ трафик от облака Webex:

Заявки за криптиране от клиенти, които се насочват от услугата за криптиране
Надстройки на софтуера на възела

Конфигурирайте прокси сървъри на Squid за хибридна сигурност на данните

Websocket не може да се свърже чрез Squid Proxy

Прокси сървърите на Squid, които проверяват HTTPS трафика, могат да попречат на установяването на websocket (wss:) връзки, които изисква Hybrid Data Security. Тези раздели дават насоки как да конфигурирате различни версии на Squid, за да игнорирате wss:трафика за правилното функциониране на услугите.

Калмари 4 и 5

Добавете on_unsupported_protocolдирективата към squid.conf:

on_unsupported_protocol tunnel all

Калмари 3.5.27

Успешно тествахме хибридна сигурност на данните с добавени следните правила squid.conf. Тези правила подлежат на промяна, докато разработваме функции и актуализираме облака Webex.

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Предговор

Нова и променена информация

Дата

Направени промени

20 октомври 2023 г

Актуализирана информация в Изисквания за сървър на база данни .
Добавено Настройте център за данни в режим на готовност за възстановяване при бедствия .
Актуализирана информация в Център за данни в режим на готовност за възстановяване при бедствия и Възстановяване при бедствия с помощта на Център за данни в режим на готовност .

07 август 2023 г

Добавена бележка в Изтеглете инсталационни файлове .
Добавена бележка в Създайте ISO конфигурация за HDS хостовете и Променете конфигурацията на възела .

23 май 2023 г

Изтрита информация от Изисквания за сървър на база данни да поискате функция да бъде активирана, като се свържете с екипа на акаунта.
Актуализирана информация в Изисквания за външна свързаност и добави Канада към таблицата с хостове на CI.
Добавена бележка в Очаквания за внедряване на хибридна защита на данните относно липсата на механизми за преместване на ключове обратно в облака.

06 декември 2022 г

Изображенията на HDS Setup Tool вече се хостват в ciscocitg хранилище на dockerhub.
Актуализиран Създайте ISO конфигурация за HDS хостовете и Променете конфигурацията на възела теми за отразяване на промените в командите.

23 ноември 2022 г

HDS възлите вече могат да използват удостоверяване на Windows срещу Microsoft SQL Server.

Актуализиран Изисквания за сървър на база данни тема с допълнителни изисквания за този режим на удостоверяване.

Актуализиран Създайте ISO конфигурация за HDS хостовете с процедурата за конфигуриране на удостоверяване на Windows на възлите.
Актуализиран Изисквания за сървър на база данни тема с нови минимално необходими версии (PostgreSQL 10).

13 октомври 2021 г.

Docker Desktop трябва да стартира програма за настройка, преди да можете да инсталирате HDS възли. Виж Изисквания за работния плот на Docker .

юни 24, 2021

Отбелязано е, че можете да използвате повторно файла с частен ключ и CSR , за да поискате друг сертификат. Виж Използвайте OpenSSL, за да генерирате PKCS12 файл за подробности.

30 април 2021 г.

Променено изискването за VM за локално пространство на твърдия диск на 30 GB. Виж Изисквания за виртуален хост за подробности.

24 февруари 2021

HDS Setup Tool вече може да работи зад прокси. Виж Създайте ISO конфигурация за HDS хостовете за подробности.

Февруари 2, 2021

HDS вече може да работи без монтиран ISO файл. Виж (По избор) Демонтирайте ISO след HDS конфигурация за подробности.

11 януари 2021 г

Добавена информация за инструмента за настройка на HDS и прокси сървърите към Създайте ISO конфигурация за HDS хостовете .

13 октомври 2020 г

Актуализиран Изтеглете инсталационни файлове .

08 октомври 2020 г.

Актуализиран Създайте ISO конфигурация за HDS хостовете и Променете конфигурацията на възела с команди за FedRAMP среди.

14 август 2020 г

Актуализиран Създайте ISO конфигурация за HDS хостовете и Променете конфигурацията на възела с промени в процеса на влизане.

5 август 2020 г

Актуализиран Тествайте внедряването на вашата хибридна защита на данните за промени в регистрационните съобщения.

Актуализиран Изисквания за виртуален хост за премахване на максимален брой хостове.

16 юни 2020 г

Актуализиран Премахване на възел за промени в потребителския интерфейс на Control Hub.

4 юни 2020 г

Актуализиран Създайте ISO конфигурация за HDS хостовете за промени в разширените настройки, които може да зададете.

29 май 2020 г

Актуализиран Създайте ISO конфигурация за HDS хостовете за да покажете, че можете също да използвате TLS с бази данни на SQL Server, промени в потребителския интерфейс и други разяснения.

5 май 2020 г

Актуализиран Изисквания за виртуален хост да покаже новото изискване на ESXi 6.5.

21 април 2020 г

Актуализиран Изисквания за външна свързаност с нови хостове на Америка CI.

1 април 2020 г.

Актуализиран Изисквания за външна свързаност с информация за регионалните CI хостове.

20 февруари 2020 г Актуализиран Създайте ISO конфигурация за HDS хостовете с информация за нов опционален екран с разширени настройки в инструмента за настройка на HDS.

14 февруари 2019 г. Актуализиран Изисквания за прокси сървър .

16 декември 2019 г. Изяснява се изискването за работа в режим на разделяне на блокиран външен DNS Изисквания за прокси сървър .

19 ноември 2019

Добавена информация за Blocked External DNS Resolution Mode в следните раздели:

Поддръжка на прокси
Конфигуриране на HDS възел за интегриране на прокси сървър
Изключване на режим на блокирана външна DNS разделителна способност

8 ноември 2019 г

Вече можете да конфигурирате мрежови настройки за възел, докато разгръщате OVA, а не след това.

Актуализирани съответно следните раздели:

Поток на задачи за внедряване на хибридна защита на данните
Инсталирайте HDS Host OVA
Настройте хибридната VM машина за защита на данните

Опцията за конфигуриране на мрежови настройки по време на внедряване на OVA е тествана с ESXi 6.5. Възможно е опцията да не е налична в по-ранните версии.

6 септември 2019 г

Добавен SQL Server Standard към Изисквания за сървър на база данни .

Август 29, 2019 Добавено Конфигурирайте Squid прокси сървъри за хибридна защита на данните приложение с насоки за конфигуриране на Squid прокси сървъри за игнориране на трафика от websocket за правилна работа.

Август 20, 2019

Добавени и актуализирани секции, за да покрият поддръжката на прокси за комуникации на възел за хибридна защита на данните към облака на Webex .

Поддръжка на прокси
Изисквания към прокси сървъра
Конфигуриране на HDS възел за интегриране на прокси сървър

За достъп само до съдържанието за поддръжка на прокси за съществуващо внедряване, вижте Прокси поддръжка за хибридна защита на данните и Webex Video Mesh помощна статия.

13 юни 2019 г Актуализиран Поток на задачата от пробна и производствена с напомняне за синхронизиране на HdsTrialGroup групов обект преди стартиране на пробна версия, ако вашата организация използва синхронизиране на директории.

6 март 2019 г

Изискванията и предпоставките са преместени в отделна глава, Подгответе вашата среда .
Добавен Поток на задачи за внедряване на хибридна защита на данните преглед в главата Създайте хибриден клъстер за сигурност на данните .

Отбелязано е, че докато не започнете пробна версия (като използвате инструкциите в следващата глава), вашите възли генерират аларма, показваща, че вашата услуга все още не е активирана.
Добавен Поток на задачата от пробна и производствена в главата Изпълнете пробна версия и преминете към производство .

Февруари 28, 2019

Коригирано е количеството локално пространство на твърдия диск на сървър, което трябва да заделите, когато подготвяте виртуалните хостове, които стават възли за хибридна защита на данните, от 50-GB на 20-GB, за да отразите размера на диска, който OVA създава.

26 февруари 2019 г.

Възлите за хибридна защита на данните вече поддържат криптирани връзки със сървъри на база данни PostgreSQL и криптирани връзки за регистриране към TLS-способен syslog сървър. Актуализиран Създайте ISO конфигурация за HDS хостовете с инструкции.
Премахнати целеви URL адреси от таблицата „Изисквания за интернет свързаност за хибридни виртуални машини за защита на данни“. Таблицата вече се отнася до списъка, поддържан в таблицата „Допълнителни URL адреси за хибридни услуги на Webex Teams“ на Мрежови изисквания за услугите на Webex Teams .

Януари 24, 2019

Hybrid Data Security вече поддържа Microsoft SQL Server като база данни. SQL Server Always On (Always On Failover Clusters и Always on Availability Groups) се поддържа от JDBC драйверите, които се използват в Hybrid Data Security. Добавено съдържание, свързано с внедряването със SQL Server.

Поддръжката на Microsoft SQL Server е предназначена само за нови разполагания на хибридната защита на данните. Понастоящем не поддържаме мигриране на данни от PostgreSQL към Microsoft SQL Server в съществуващо разполагане.

5 ноември 2018 г

Добавена е предварителна стъпка за почистване на всички съществуващи екземпляри на docker hds Създайте ISO конфигурация за HDS хостовете и Променете конфигурацията на възела .
Актуализирана стъпка за ниво на достъп до ключ Създайте ISO конфигурация за HDS хостовете за да съответства на интерфейса.

19 октомври 2018 г

Разделете информацията за връзката на защитната стена в изисквания за възел и изисквания за ISO конфигурация на машината Изпълнете предпоставките за хибридна защита на данните .

31 юли 2018 г

Добавен е порт 22 (SSH достъп) и информация за връзките на NAT и защитната стена Изпълнете предпоставките за хибридна защита на данните .

21 май 2018 г.

Променена терминология, за да отрази ребрандирането на Cisco Spark:

Cisco Spark Hybrid Data Security вече е Hybrid Data Security.
Приложението Cisco Spark вече е приложението Webex App.
Облакът на Cisco Collaboraton вече е облакът на Webex .

11 април 2018 г

Добавено Център за данни в режим на готовност за възстановяване при бедствия .
Актуализиран Изпълнете предпоставките за хибридна защита на данните за да посочите, че средата за архивиране трябва да бъде в различен център за данни.
Актуализиран Възстановяване при бедствия с помощта на Център за данни в режим на готовност .

22 февруари 2018 г

Добавена е информация за паролата за акаунт на услуга 9-месечен живот и използване на инструмента за настройка на HDS за нулиране на паролите за акаунт на услуга , в Създайте ISO конфигурация за HDS хостовете и Променете конфигурацията на възела .

15 февруари 2018

В X.509 Изисквания за сертификат таблица, посочи, че сертификатът не може да бъде сертификат с заместващ знак и че KMS използва домейна CN, а не всеки домейн, който е дефиниран в полетата на x.509v3 SAN.

18 януари 2018

Добавено приложение, Трафик между HDS възлите и облака .
Премахнат разрешен проблем от Известни проблеми за сигурността на хибридните данни .
Променен index.docker.io на *.docker.io и добавен *.cloudfront.net към списъка с изисквания за TCP свързаност за HDS възлите в Изпълнете предпоставките за хибридна защита на данните .
Актуализиран Създайте ISO конфигурация за HDS хостовете за да посочите, че ако хостът на базата данни и сървърът Syslogd не са DNS-разрешими от HDS възлите, трябва да ги конфигурирате с помощта на IP адреси.

2 ноември 2017 г

Изяснена синхронизация на директории на HdsTrialGroup.
Фиксирани инструкции за качване на ISO конфигурационен файл за монтиране към VM възлите.

18 август 2017 г

Публикувано за първи път

Започнете с хибридна защита на данните

Преглед на сигурността на хибридните данни

От първия ден сигурността на данните е основният фокус при проектирането на Webex App. Крайъгълният камък на тази сигурност е криптирането на съдържание от край до край, активирано от клиентите на Webex App, взаимодействащи с услугата за управление на ключове (KMS). KMS отговаря за създаването и управлението на криптографски ключове, които клиентите използват за динамично криптиране и дешифриране на съобщения и файлове.

По подразбиране всички клиенти на Webex App получават криптиране от край до край с динамични ключове, съхранявани в облачния KMS, в сферата на сигурността на Cisco. Хибридната защита на данните премества KMS и други свързани със сигурността функции във вашия корпоративен център за данни, така че никой освен вас не държи ключовете за вашето криптирано съдържание.

Архитектура на сферата на сигурността

Облачната архитектура на Webex разделя различни видове услуги в отделни сфери или домейни на доверие, както е показано по-долу.

За да разберем по-добре хибридната защита на данните, нека първо разгледаме този чист облачен случай, където Cisco предоставя всички функции в своите облачни сфери. Услугата за самоличност, единственото място, където потребителите могат да бъдат пряко свързани с тяхната лична информация, като имейл адрес, е логически и физически отделена от сферата на сигурността в център за данни B. И двете от своя страна са отделени от сферата, където в крайна сметка се съхранява криптирано съдържание , в център за данни C.

В тази диаграма клиентът е приложението Webex , което се изпълнява на лаптоп на потребителя и е удостоверено с услугата за самоличност. Когато потребителят състави съобщение, което да изпрати до пространство, се изпълняват следните стъпки:

Клиентът установява защитена връзка с услугата за управление на ключове (KMS), след което иска ключ за криптиране на съобщението. защитена връзка използва ECDH, а KMS криптира ключа с помощта на главен ключ AES-256.
Съобщението е криптирано, преди да напусне клиента. Клиентът го изпраща до услугата за индексиране, която създава криптирани индекси за търсене, за да помогне при бъдещи търсения на съдържанието.
Шифрованото съобщение се изпраща до службата за съответствие за проверка на съответствието.
Шифрованото съобщение се съхранява в областта на съхранение.

Когато внедрите Hybrid Data Security, вие премествате функциите на областта на сигурността (KMS, индексиране и съответствие) във вашия в помещението център за данни. Другите облачни услуги, които съставляват Webex (включително самоличност и съхранение на съдържание), остават в сферата на Cisco.

Сътрудничество с други организации

Потребителите във вашата организация може редовно да използват приложението Webex , за да си сътрудничат с външни участници в други организации. Когато един от вашите потребители поиска ключ за пространство, което е собственост на вашата организация (защото е създадено от един от вашите потребители), вашият KMS изпраща ключа на клиента по защитен канал от ECDH. Въпреки това, когато друга организация притежава ключа за пространството, вашият KMS насочва заявката към облака на Webex през отделен ECDH канал, за да получи ключа от съответния KMS, и след това връща ключа на вашия потребител в оригиналния канал.

Услугата KMS, работеща в организация A, валидира връзките към KMS в други организации, използвайки x.509 PKI сертификати. Виж Подгответе вашата среда за подробности относно генерирането на сертификат x.509, който да използвате с внедряването на хибридната защита на данните.

Очаквания за внедряване на хибридна защита на данните

Внедряването на хибридна защита на данните изисква значителна ангажираност на клиента и осъзнаване на рисковете, които идват от притежаването на ключове за криптиране.

За да внедрите хибридна защита на данните, трябва да предоставите:

Сигурен център за данни в държава, която е a поддържано местоположение за плановете на Cisco Webex Teams .
Оборудването, софтуерът и достъпът до мрежата, описани в Подгответе вашата среда .

Пълната загуба на ISO конфигурацията, която създавате за Hybrid Data Security, или на базата данни, която предоставяте, ще доведе до загуба на ключовете. Загубата на ключ не позволява на потребителите да декриптират космическо съдържание и други криптирани данни в приложението Webex . Ако това се случи, можете да създадете ново внедряване, но ще се вижда само ново съдържание. За да избегнете загуба на достъп до данните, трябва:

Управлявайте архивирането и възстановяването на базата данни и ISO конфигурацията.
Бъдете готови да извършите бързо възстановяване след възстановяване след срив, ако възникне катастрофа, като повреда на диска на базата данни или катастрофа в център за данни за данни.

Няма механизъм за преместване на ключове обратно в облака след внедряване на HDS.

Процес на настройка на високо ниво

Този документ обхваща настройката и управлението на внедряване на хибридна защита на данните:

Настройте хибридна защита на данните —Това включва подготовка на необходимата инфраструктура и инсталиране на софтуер за хибридна защита на данните, тестване на внедряването ви с подгрупа потребители в пробен режим и, след като тестването приключи, преминаване към производство. Това преобразува цялата организация да използва вашия клъстер за хибридна защита на данните за функции за сигурност.
Фазите на настройка, тестване и производство са разгледани подробно в следващите три глави.
Поддържайте внедряването на хибридната защита на данните —Облакът Webex автоматично предоставя текущи надстройки. Вашият ИТ отдел може да осигури поддръжка от първо ниво за това внедряване и да ангажира Поддръжка на Cisco , ако е необходимо. Можете да използвате известия на екрана и да настройвам базирани на имейл сигнали в Control Hub.
Разберете общи сигнали, стъпки за отстраняване на неизправности и известни проблеми —Ако срещнете проблеми с внедряването или използването на хибридна защита на данните, последната глава от това ръководство и приложението Известни проблеми може да ви помогнат да определите и отстраните проблема.

Модел за внедряване на хибридна защита на данните

В рамките на вашия корпоративни данни вие внедрявате хибридна защита на данните като единичен клъстер от възли на отделни виртуални хостове. Възлите комуникират с облака Webex чрез защитени уебсокети и защитен HTTP.

По време на инсталационния процес ви предоставяме OVA файла, за да настройвам виртуалното устройство на предоставените от вас виртуални машини. Използвате инструмента за настройка на HDS, за да създадете ISO файл за персонализирана конфигурация на клъстер, който монтирате на всеки възел. Клъстерът за хибридна защита на данни използва предоставения от вас Syslogd сървър и база данни PostgreSQL или Microsoft SQL Server. (Конфигурирате данните за Syslogd и връзката към базата данни в инструмента за настройка на HDS.)

Модел за внедряване на хибридна защита на данните

Минималният брой възли, които можете да имате в клъстер, е два. Препоръчваме поне три, а вие можете да имате до пет. Наличието на множество възли гарантира, че услугата няма да бъде прекъсната по време на надграждане на софтуер или друга дейност по поддръжка на възел. (Облакът Webex надгражда само един възел в даден момент.)

Всички възли в клъстер имат достъп до едно и също ключово хранилище за данни и регистрират активността на един и същ сървър на системния журнал. Самите възли са без състояние и обработват ключови заявки по кръгова система, както е указано от облака.

Възлите стават активни, когато ги регистрирате в Control Hub. За да извадите отделен възел от експлоатация, можете да го дерегистрирате и по-късно да го регистрирате отново, ако е необходимо.

Ние поддържаме само един клъстер на организация.

Пробен режим за хибридна защита на данните

След като настроите внедряване на хибридна защита на данните, първо го изпробвате с набор от пилотни потребители. По време на пробния период тези потребители използват вашия в помещението домейн за хибридна защита на данните за ключове за криптиране и други услуги от сферата на сигурността. Другите ви потребители продължават да използват сферата на сигурността в облака.

Ако решите да не продължите с внедряването по време на пробния период и деактивирате услугата, пилотните потребители и всички потребители, с които са взаимодействали чрез създаване на нови пространства по време на пробния период, ще загубят достъп до съобщенията и съдържанието. Те ще видят „Това съобщение не може да бъде декриптирано“ в приложението Webex .

Ако сте доволни, че внедряването ви работи добре за пробните потребители и сте готови да разширите хибридната защита на данните за всичките си потребители, премествате внедряването в производствена. Пилотните потребители продължават да имат достъп до ключовете, които са били използвани по време на пробния период. Въпреки това, не можете да се движите напред-назад между производствения режим и първоначалния пробен период. Ако трябва да деактивирате услугата, като например да извършите възстановяване след възстановяване след срив, когато активирате повторно, трябва да започнете нова пробна версия и да настройвам набора от пилотни потребители за новия пробен период, преди да се върнете обратно към производствен режим. Дали потребителите ще запазят достъп до данни в този момент зависи от това дали сте поддържали успешно резервни копия на ключовото хранилище на данни и ISO конфигурационен файл за възлите за хибридна защита на данните във вашия клъстер.

Център за данни в режим на готовност за възстановяване при бедствия

По време на внедряването вие настройвам защитен център за данни в режим на готовност. В случай на бедствие в център за данни , можете ръчно да провалите внедряването си в център за данни в готовност.

Преди отказ, център за данни A има активни HDS възли и основната база данни PostgreSQL или Microsoft SQL Server, докато B има копие на ISO файла с допълнителни конфигурации, VM, които са регистрирани в организацията, и резервна база данни. След отказ, Център за данни B има активни HDS възли и основната база данни, докато A има нерегистрирани виртуални машини и копие на ISO файла, а базата данни е в режим на готовност. — ***Ръчно преминаване при отказ към Център за данни в режим на готовност***

Базите данни на активния и резервния центрове за данни са синхронизирани една с друга, което ще сведе до минимум времето, необходимо за извършване на отказ. ISO файлът на център за данни в режим на готовност се актуализира с допълнителни конфигурации, които гарантират, че възлите са регистрирани в организацията, но няма да обработват трафика. Следователно възлите на център за данни в режим на готовност винаги остават актуални с най-новата версия на HDS софтуера.

Активните възли за хибридна защита на данни трябва винаги да са в същия център за данни като активния сървър на база с данни.

Настройте център за данни в режим на готовност за възстановяване при бедствия

Следвайте стъпките по-долу, за да конфигурирате ISO файла на център за данни в режим на готовност:

Преди да започнете

Центърът за център за данни в готовност трябва да отразява производствената среда на VM и резервна база данни PostgreSQL или Microsoft SQL Server. Например, ако производството има 3 VM, работещи с HDS възли, средата за архивиране трябва да има 3 VM. (Виж Център за данни в режим на готовност за възстановяване при бедствия за преглед на този модел на отказ.)
Уверете се, че синхронизирането на базата данни е активирано между базата данни с активни и пасивни възли на клъстер.

1

Стартирайте инструмента за настройка на HDS и следвайте стъпките, посочени в Създайте ISO конфигурация за HDS хостовете .

ISO файлът трябва да бъде копие на оригиналния ISO файл на основния център за данни, върху който трябва да се направят следните актуализации на конфигурацията.

2

След като конфигурирате сървъра Syslogd, щракнете върху Разширени настройки

3

На Разширени настройки страница, добавете конфигурацията по-долу, за да поставите възела в пасивен режим. В този режим възелът ще бъде регистриран в организацията и ще бъде свързан към облака, но няма да обработва никакъв трафик.

 пасивен режим: "вярно"

4

Завършете процеса на конфигуриране и запазете ISO файла на място, което е лесно за намиране.

5

Направете резервно копие на ISO файла във вашата локална система. Пазете резервното копие сигурно. Този файл съдържа главен ключ за шифроване за съдържанието на базата данни. Ограничете достъпа само до онези администратори на Hybrid Data Security, които трябва да направят промени в конфигурацията.

6

В левия навигационен панел на клиента VMware vSphere щракнете с щраквам с десния бутон върху VM и щракнете Редактиране на настройките. .

7

Щракнете върху Редактиране на настройките > CD/ DVD устройство 1 и изберете Datastore ISO File.

Уверете се Свързани и Свържете при включване са проверени, така че актуализираните промени в конфигурацията да влязат в сила след стартиране на възлите.

8

Включете HDS възела и се уверете, че няма аларми за поне 15 минути.

9

Повторете процеса за всеки възел в център за данни в режим на готовност.

Проверете системните журнали, за да проверите дали възлите са в пасивен режим. Трябва да можете да видите съобщението „KMS конфигуриран в пасивен режим“ в системните дневници.

Какво да направите след това

След конфигуриране пасивен режим в ISO файла и го запишете, можете да създадете друго копие на ISO файла без пасивен режим конфигурация и я запазете на сигурно място. Това копие на ISO файла без пасивен режим configured може да помогне за бърз процес на отказ по време на възстановяване след срив. Виж Възстановяване при бедствия с помощта на Център за данни в режим на готовност за подробната процедура за отказване.

Поддръжка на прокси

Hybrid Data Security поддържа изрични, прозрачни проверяващи и неинспектационни проксита. Можете да свържете тези проксита към разполагането си, така че да можете да подсигурите и наблюдавате трафика от предприятието навън към облака. Можете да използвате администраторски интерфейс на платформа на възлите за управление на сертификати и да проверите цялостното състояние на свързване, след като настроите прокси сървъра на възлите.

Хибридните възли за защита на данните поддържат следните опции за прокси:

Без прокси —По подразбиране, ако не използвате настройката на HDS възел Trust Store & Proxy конфигурация за интегриране на прокси. Не се изисква актуализация на сертификата.
Прозрачен неинспектиращ прокси — Възлите не са конфигурирани да използват конкретен адрес на прокси сървър и не трябва да изискват никакви промени, за да работят с неинспектиращ прокси сървър. Не се изисква актуализация на сертификата.
Прозрачно тунелиране или проверка на прокси — Възлите не са конфигурирани да използват конкретен адрес на прокси сървър . На възлите не са необходими промени в конфигурацията на HTTP или HTTPS. Възлите обаче се нуждаят от главен сертификат, така че да се доверяват на прокси. Проверяващите пълномощници обикновено се използват от It за прилагане на политики, на които могат да бъдат посетени уебсайтовете и кои видове съдържание не са разрешени. Този тип прокси дешифрира целия ви трафик (дори HTTPS).
Изрично прокси —С изричен прокси вие казвате на HDS възлите кой прокси сървър и схема за удостоверяване да използват. За да конфигурирате изрично прокси, трябва да въведете следната информация на всеки възел:
1. Прокси IP/ FQDN — Адрес, който може да се използва за достигане до прокси машината.
2. Прокси порт —Номер на номер на порт , който проксито използва за прослушване на прокси трафик.
3. Прокси протокол — В зависимост от това какво поддържа вашият прокси сървър , изберете между следните протоколи:
  - HTTP—Преглежда и контролира всички заявки, които клиентът изпраща.
  - HTTPS—Предоставя канал на сървъра. Клиентът получава и валидира сертификата на сървъра.
4. Тип на удостоверяването — Изберете измежду следните типове удостоверяване:
  - Никаква — Не се изисква допълнително удостоверяване.
    
    Налично, ако изберете или HTTP Или HTTPS като протокол за прокси.
  - Основен —Използва се за HTTP потребителски агент за предоставяне на потребителско име и парола при отправяне на заявка. Използва Base64 кодиране.
    
    Налично, ако изберете или HTTP Или HTTPS като протокол за прокси.
    
    Изисква да въведете потребителското име и паролата на всеки възел.
  - Дайджест —Използва се за потвърждение на акаунта преди изпращане на чувствителна информация. Прилага хеш функция на потребителското име и паролата преди изпращане по мрежата.
    
    Предлага се само ако изберете HTTPS като протокол за прокси.
    
    Изисква да въведете потребителското име и паролата на всеки възел.

Пример за хибридни данни сигурност възли и прокси

Тази диаграма показва примерна връзка между защитата на хибридните данни, мрежата и прокси. За прозрачния инспектиращ и HTTPS изричен инспектиращ прокси опции, един и същ главен сертификат трябва да бъде инсталиран на прокси и на хибридните възли за защита на данните.

Блокиран режим на външна DNS разделителна способност (изрични прокси конфигурации)

Когато регистрирате възел или проверете конфигурацията на прокси сървъра на възела, процесът тества DNS справка и свързаност към облака Cisco Webex. В разполагане с изрични прокси конфигурации, които не позволяват външна DNS разделителна способност за вътрешни клиенти, ако възелът не може да заявка DNS сървъри, тя автоматично преминава в режим блокирани външни DNS резолюция. В този режим може да се процедира регистрация на възли и други тестове за свързване на прокси.

Подгответе средата си

Изисквания за хибридна сигурност на данните

Изисквания за лиценз на Cisco Webex

За да внедрите хибридна защита на данните:

Трябва да имате Pro Pack за Cisco Webex Control Hub. (Вижhttps://www.cisco.com/go/pro-pack .)

Изисквания за работния плот на Docker

Преди да инсталирате своите HDS възли, имате нужда от Docker Desktop, за да стартирате програма за настройка. Docker наскоро актуализира своя модел на лицензиране. Вашата организация може да изисква платен абонамент за Docker Desktop. За подробности вижте публикацията в блога на Docker, " Docker е Актуализиране и разширяване на нашите абонаментиза продукти".

X.509 Изисквания за сертификат

верига за сертификати трябва да отговаря на следните изисквания:

1. Таблица 1. Изисквания за сертификат X.509 за внедряване на хибридна защита на данни
Изискване	Подробности
Подписано от доверен орган за сертификати (CA)	По подразбиране ние вярваме на CA в списъка на Mozilla (с изключение на WoSign и StartCom) наhttps://wiki.mozilla.org/CA:IncludedCAs .
Носи име на име на домейн с общо име (CN), което идентифицира вашето внедряване на хибридна защита на данните Не е заместващ сертификат	CN не е необходимо да е достъпен или да е домакин на живо. Препоръчваме ви да използвате име, което отразява вашата организация, напр. `hds.company.com` . CN не трябва да съдържа * (уместен знак). CN се използва за проверка на възлите за хибридна защита на данните към клиентите на Webex App. Всички възли за хибридна защита на данните във вашия клъстер използват един и същ сертификат. Вашият KMS се идентифицира с помощта на домейна CN, а не всеки домейн, който е дефиниран в полетата на x.509v3 SAN. След като сте регистрирали възел с този сертификат, ние не поддържаме промяна на име на домейн. Изберете домейн, който може да се прилага както за пробното, така и за производственото внедряване.
Не-SHA1 подпис	Софтуерът KMS не поддържа SHA1 подписи за валидиране на връзки към KMS на други организации.
Форматиран като защитен с парола файл PKCS #12 Използвайте приятелското име на `kms-частен ключ` за да маркирате сертификата, частния ключ и всички междинни сертификати за качване.	Можете да използвате конвертор като OpenSSL, за да промените формата на вашия сертификат. Ще трябва да въведете паролата, когато стартирате инструмента за настройка на HDS.

Софтуерът KMS не налага използването на ключове или разширените ограничения за използване на ключове. Някои сертифициращи органи изискват разширените ограничения за използване на ключ да се прилагат към всеки сертификат, като например удостоверяване на сървъра. Добре е да използвате удостоверяването на сървъра или други настройки.

Изисквания за виртуален хост

Виртуалните хостове, които ще настройвам като възли за хибридна защита на данните във вашия клъстер, имат следните изисквания:

Най-малко два отделни хоста (препоръчани 3), разположени в един и същ защитен център за данни
VMware ESXi 6.5 (или по-нова версия) е инсталиран и работи.

Трябва да надстроите, ако имате по-ранна версия на ESXi.
Минимум 4 vCPU, 8 GB основна памет, 30 GB локално пространство на твърдия диск на сървър

Изисквания за сървър на база данни

Създайте нова база данни за съхранение на ключове. Не използвайте базата данни по подразбиране. Приложенията HDS, когато са инсталирани, създават схемата на базата данни.

Има две опции за сървър на база с данни. Изискванията за всеки са както следва:

Таблица 2. Изисквания за сървър на база данни по тип база данни

PostgreSQL

Microsoft SQL Server

PostgreSQL 14, 15 или 16, инсталиран и работещ.

Инсталиран SQL Server 2016, 2017 или 2019 (Enterprise или Standard).

SQL Server 2016 изисква Service Pack 2 и Кумулативна актуализация 2 или по-нова версия.

Минимум 8 vCPU, 16 GB основна памет, достатъчно място на твърдия диск и наблюдение, за да се гарантира, че няма превишаване (препоръчва се 2 TB, ако искате да работите с базата данни за дълго време, без да е необходимо да увеличавате паметта)

Софтуерът HDS в момента инсталира следните версии на драйвери за комуникация със сървъра на сървър на база с данни:

PostgreSQL

Microsoft SQL Server

Postgres JDBC драйвер 42.2.5

SQL Server JDBC драйвер 4.6

Тази версия на драйвера поддържа SQL Server Always On ( Винаги включен екземпляр на клъстер при отказ и Групи за наличност Always On ).

Допълнителни изисквания за удостоверяване на Windows срещу Microsoft SQL Server

Ако искате HDS възлите да използват удостоверяване на Windows, за да получат достъп до вашата база данни за ключове на Microsoft SQL Server, тогава имате нужда от следната конфигурация във вашата среда:

HDS възлите, инфраструктурата на Active Directory и MS SQL Server трябва да бъдат синхронизирани с NTP.
Windows акаунтът, който предоставяте на HDS възлите, трябва да има достъп за четене/запис до базата данни.
DNS сървърите, които предоставяте на HDS възлите, трябва да могат да разрешат вашия център за разпространение на ключове (KDC).
Можете да регистрирате екземпляра на база данни HDS на вашия Microsoft SQL Server като име на принципал на услуга (SPN) във вашата Active Directory. Виж Регистрирайте главно име на услуга за връзки с Kerberos .

Инструментът за настройка на HDS, HDS стартерът и локалният KMS трябва да използват удостоверяване на Windows за достъп до базата данни на хранилището за ключове. Те използват детайлите от вашата ISO конфигурация, за да конструират SPN, когато искат достъп с удостоверяване на Kerberos.

Изисквания за външна свързаност

Конфигурирайте вашата защитна стена, за да разрешите следната свързаност за HDS приложенията:

Приложение	Протокол	Порт	Упътване от ап	Дестинация
Възли за хибридна защита на данните	TCP	443	Изходящ HTTPS и WSS	Webex сървъри: .wbx2.com .ciscospark.com Всички хостове за обща идентичност Други URL адреси, които са изброени за хибридна защита на данните в Допълнителни URL адреси за хибридни услуги на Webex таблица на Мрежови изисквания за услугите на Webex
Инструмент за настройка на HDS	TCP	443	Изходящ HTTPS	*.wbx2.com Всички хостове за обща идентичност hub.docker.com

Възлите за хибридна защита на данните работят с транслация на мрежов достъп (NAT) или зад защитна стена, стига NAT или защитната стена да позволяват необходимите изходящи връзки към дестинациите на домейна в предходната таблица. За връзки, които отиват към възлите за хибридна защита на данните, не трябва да се виждат портове от интернет. В рамките на вашия център за данни клиентите се нуждаят от достъп до възлите за хибридна защита на данните на TCP портове 443 и 22 за административни цели.

URL адресите за хостовете за обща идентичност (CI) са специфични за региона. Това са текущите CI хостове:

Регион	Общи URL адреси на хост за самоличност
Северна и Южна Америка	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Европейски съюз	https://idbroker-eu.webex.com https://identity-eu.webex.com
Канада	https://idbroker-ca.webex.com https://identity-ca.webex.com

Изисквания към прокси сървъра

Ние официално поддържаме следните прокси решения, които могат да се интегрират с вашите възли hybrid Data Security.

Прозрачен прокси-Уред за уеб защита cisco (WSA).

Изрична прокси-Сепия.

Squid прокси сървърите, които проверяват HTTPS трафика, могат да попречат на установяването на връзки с websocket (wss:). За да заобиколите този проблем, вж Конфигурирайте Squid прокси сървъри за хибридна защита на данните .

Ние поддържаме следните комбинации от тип удостоверяване за изрични проксита:
- Без удостоверяване с HTTP или HTTPS
- Базово удостоверяване с HTTP или HTTPS
- Смилане на удостоверяване само с HTTPS
За прозрачен проверяващ прокси или HTTPS изрично прокси, трябва да имате копие на главния сертификат на прокси. Инструкциите за разполагане в това ръководство ви казват как да качите копието в магазините за доверие на хибридните възли за защита на данните.
Мрежата, хостваща HDS възлите, трябва да бъде конфигурирана да принуди изходящия TCP трафик на порт 443 да маршрутизира през прокси сървъра.
Прокситата, които инспектират уеб трафика, може да пречат на връзките с уеб гнездото. Ако възникне този проблем, заобикалянето (не инспектирането) на трафика към wbx2.com и ciscospark.com ще реши проблема.

Изпълнете предпоставките за хибридна защита на данните

Използвайте този контролен списък, за да се уверите, че сте готови да инсталирате и конфигурирате своя клъстер за хибридна защита на данните.

1

Уверете се, че вашата организация Webex е активирана за Pro Pack за Cisco Webex Control Hub и получете идентификационните данни за акаунт с пълни администраторски права на организация. Свържете се с вашия партньор на Cisco или мениджър на акаунт за помощ с този процес.

2

Изберете име на домейн за внедряването на HDS (например hds.company.com ) и да получите верига за сертификати, съдържаща сертификат X.509, частен ключ и всякакви междинни сертификати. верига за сертификати трябва да отговаря на изискванията в X.509 Изисквания за сертификат .

3

Подгответе идентични виртуални хостове, които ще настройвам като възли за хибридна защита на данните във вашия клъстер. Имате нужда от поне два отделни хоста (3 препоръчани), разположени в един и същ защитен център за данни, които отговарят на изискванията в Изисквания за виртуален хост .

4

Подгответе сървър на база с данни , който ще действа като хранилище на данни за клъстера, според Изисквания за сървър на база данни . Сървърът на сървър на база с данни трябва да бъде разположен в защитения център за данни с виртуалните хостове.

Създайте база данни за съхранение на ключове. (Трябва да създадете тази база данни - не използвайте базата данни по подразбиране. Приложенията HDS, когато са инсталирани, създават схемата на базата данни.)
Съберете подробностите, които възлите ще използват за комуникация със сървъра на сървър на база с данни:
- име на домакина или IP адрес (хост) и порта
- името на базата данни (dbname) за съхранение на ключове
- потребителското име и паролата на потребител с всички привилегии в базата данни за съхранение на ключове

5

За бързо възстановяване след срив, настройвам среда за архивиране в различен център за данни. Архивната среда отразява производствената среда на виртуални машини и сървър за архивиране на сървър на база с данни. Например, ако производството има 3 VM, работещи с HDS възли, средата за архивиране трябва да има 3 VM.

6

Настройте хост на syslog за събиране на регистрационни файлове от възлите в клъстера. Съберете неговия мрежов адрес и порт на системния журнал (по подразбиране е UDP 514).

7

Създайте защитена политика за архивиране за възлите за хибридна защита на данните, сървър на база с данни и хоста на системния журнал. Като минимум, за да предотвратите невъзстановима загуба на данни, трябва да архивирате базата данни и конфигурационния ISO файл, генериран за възлите за хибридна защита на данните.

Тъй като възлите за защита на хибридните данни съхраняват ключовете, използвани за криптиране и декриптиране на съдържание, неспособността да се поддържа оперативно внедряване ще доведе до НЕВЪЗСТАНОВИМА ЗАГУБА от това съдържание.

Клиентите на Webex App кешират своите ключове, така че прекъсването може да не се забележи веднага, но ще стане очевидно с времето. Докато временните прекъсвания са невъзможни за предотвратяване, те са възстановими. Въпреки това, пълната загуба (няма налични резервни копия) на базата данни или конфигурационния ISO файл ще доведе до невъзстановими клиентски данни. Очаква се операторите на възлите за хибридна защита на данни да поддържат чести архиви на базата данни и конфигурационния ISO файл и да бъдат готови да изградят отново център за данни, ако възникне катастрофална повреда.

8

Уверете се, че конфигурацията на защитната ви стена позволява свързаност за вашите възли за хибридна защита на данните, както е посочено в Изисквания за външна свързаност .

9

Инсталирайте Docker (https://www.docker.com ) на всяка локална машина, работеща с поддържана операционна система (Microsoft Windows 10 Professional или Enterprise 64-битова, или Mac OSX Yosemite 10.10.3 или по-нова) с уеб браузър, който има достъп до нея наhttp://127.0.0.1:8080.

Използвате екземпляра на Docker, за да изтеглите и стартирате инструмента за настройка на HDS, който изгражда информация за конфигуриране за всички възли за защита на хибридните данни. Вашата организация може да се нуждае от лиценз за Docker Desktop. Виж Изисквания за работния плот на Docker за повече информация.

За да инсталирате и стартирате инструмента за настройка на HDS, локалната машина трябва да има очертана свързаност Изисквания за външна свързаност .

10

Ако интегрирате прокси с Hybrid Data Security, уверете се, че отговаря на Изисквания за прокси сървър .

11

Ако вашата организация използва синхронизиране на директории, създайте група в Active Directory , наречена HdsTrialGroup и добавете пилотни потребители. Пробната група може да има до 250 потребители. В HdsTrialGroup обектът трябва да бъде синхронизиран с облака, преди да можете да започнете пробна версия за вашата организация. За да синхронизирате групов обект, изберете го в конектора на директория Конфигурация > Избор на обект меню. (За подробни инструкции вижте Ръководство за разгръщане на Cisco Directory Connector. )

Ключовете за дадено пространство се задават от създателя на пространството. Когато избирате пилотни потребители, имайте предвид, че ако решите да деактивирате за постоянно внедряването на Hybrid Data Security, всички потребители губят достъп до съдържание в пространствата, създадени от пилотните потребители. Загубата става очевидна веднага щом приложенията на потребителите обновят своите кеширани копия на съдържанието.

Създайте хибриден клъстер за сигурност на данните

Поток на задачи за внедряване на хибридна защита на данните

Преди да започнете

Подгответе средата си

1

Изтеглете OVA файла на вашата локална машина за по-късна употреба.

2

Използвайте инструмента за настройка на HDS, за да създадете ISO конфигурационен файл за възлите за хибридна защита на данните.

3

Настройте хибридната VM машина за защита на данните

Създайте виртуална машина от файла OVA и извършете първоначална конфигурация, като мрежови настройки.

Опцията за конфигуриране на мрежови настройки по време на внедряване на OVA е тествана с ESXi 6.5. Възможно е опцията да не е налична в по-ранните версии.

4

Влезте в конзолата на VM и задайте идентификационните данни за вход. Конфигурирайте мрежови настройки за възела, ако не сте ги конфигурирали по време на внедряването на OVA.

5

Конфигуриране на HDS възел за интегриране на прокси сървър

Конфигурирайте VM от ISO конфигурационен файл , който сте създали с инструмента за настройка на HDS.

6

Ако мрежовата среда изисква конфигурация на прокси сървър, посочете типа прокси, който ще използвате за възела, и добавете прокси сертификата към хранилището за доверие, ако е необходимо.

7

Регистрирайте VM с облака на Cisco Webex като възел за хибридна защита на данните.

8

Завършете настройката на клъстера.

9

Изпълнете пробна версия и преминете към производство (следваща глава)

Докато не започнете пробна версия, вашите възли генерират аларма, показваща, че вашата услуга все още не е активирана.

Изтеглете инсталационни файлове

В тази задача изтегляте OVA файл на вашата машина (не на сървърите, които сте настройвам като възли за хибридна защита на данните). Използвате този файл по-късно в процеса на инсталиране.

1

Влезте вhttps://admin.webex.com и след това щракнете Услуги .

2

В секцията Хибридни услуги намерете картата за защита на хибридни данни и след това щракнете Настройте .

Ако картата е деактивирана или не я виждате, свържете се с екипа на акаунта си или с партньорската си организация. Дайте им номера на вашата сметка и поискайте да активирате вашата организация за хибридна защита на данните. За да намерите номера на сметката, щракнете върху зъбното колело горе вдясно до името на вашата организация.

Можете също да изтеглите OVA по всяко време от Помощ раздел за Настройки страница. На картата за защита на хибридни данни щракнете Редактиране на настройките за да отворите страницата. След това щракнете Изтеглете софтуера за хибридна защита на данните в Помощ раздел.

По-старите версии на софтуерния пакет (OVA) няма да са съвместими с най-новите надстройки за хибридна защита на данните. Това може да доведе до проблеми при надграждане на приложението. Уверете се, че сте изтеглили най-новата версия на файла OVA.

3

Изберете не за да посочите, че все още не сте настройвам възела, и след това щракнете Следваща .

OVA файлът автоматично започва да се изтегля. Запазете файла на място на вашата машина.

4

По желание щракнете Отворете Ръководство за разгръщане за да проверите дали има налична по-нова версия на това ръководство.

Създайте ISO конфигурация за HDS хостовете

Процесът на настройка на хибридната защита на данните създава ISO файл. След това използвате ISO , за да конфигурирате вашия хост за хибридна защита на данни.

Преди да започнете

Инструментът за настройка на HDS работи като Docker контейнер на локална машина. За достъп до него стартирайте Docker на тази машина. Процесът на настройка изисква идентификационните данни на акаунт в контролния център с пълни права на администратор за вашата организация.

Ако инструментът за настройка на HDS работи зад прокси във вашата среда, предоставете настройките на прокси сървъра (сървър, порт, идентификационни данни) чрез променливите на средата на Docker, когато извеждате Docker контейнера в стъпка 5 . Тази таблица дава някои възможни променливи на средата:

Описание	Променлива
HTTP прокси без удостоверяване	`ГЛОБАЛЕН_ АГЕНТ_ HTTP_ PROXY=http://SERVER_ IP: PORT`
HTTPS прокси без удостоверяване	`ГЛОБАЛЕН_ АГЕНТ_ HTTPS_ PROXY=http://SERVER_ IP: PORT`
HTTP прокси с удостоверяване	`ГЛОБАЛЕН_ АГЕНТ_ HTTP_ PROXY=http://USERNAME:PASSWORD@SERVER_ IP: PORT`
HTTPS прокси с удостоверяване	`ГЛОБАЛЕН_ АГЕНТ_ HTTPS_ PROXY=http://USERNAME:PASSWORD@SERVER_ IP: PORT`

Конфигурационният ISO файл, който генерирате, съдържа главния ключ, криптиращ PostgreSQL или базата данни на Microsoft SQL Server. Имате нужда от последното копие на този файл всеки път, когато правите промени в конфигурацията, като тези:
- Данни за база данни
- Актуализации на сертификата
- Промени в политиката за оторизация
Ако планирате да шифровате връзките към базата данни, настройвам внедряването на PostgreSQL или SQL Server за TLS.

1

В командния ред на вашата машина въведете подходящата команда за вашата среда:

В нормални среди:

docker rmi ciscocitg/hds-setup: стабилен

В среди на FedRAMP:

docker rmi ciscocitg/hds-setup-fedramp:stable

Тази стъпка изчиства предишни изображения на инструмента за настройка на HDS. Ако няма предишни изображения, той връща грешка, която можете да игнорирате.

2

За да влезете в регистъра на изображения на Docker, въведете следното:

вход в docker -u hdscustomersro

3

При подканата за парола въведете този хеш:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Изтеглете най-новото стабилно изображение за вашата среда:

В нормални среди:

docker pull ciscocitg/hds-setup:stable

В среди на FedRAMP:

docker pull ciscocitg/hds-setup-fedramp:stable

5

Когато изтеглянето приключи, въведете подходящата команда за вашата среда:

В нормални среди без прокси:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

В нормални среди с HTTP прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_ АГЕНТ_ HTTP_ PROXY=http://SERVER_ IP: PORT ciscocitg/hds-setup: стабилен

В обикновени среди с HTTPS прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_ АГЕНТ_ HTTPS_ PROXY=http://SERVER_ IP: PORT ciscocitg/hds-setup: стабилен

В среди на FedRAMP без прокси:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

В среди на FedRAMP с HTTP прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_ АГЕНТ_ HTTP_ PROXY=http://SERVER_ IP: PORT ciscocitg/hds-setup-fedramp: стабилен

В среди на FedRAMP с HTTPS прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_ АГЕНТ_ HTTPS_ PROXY=http://SERVER_ IP: PORT ciscocitg/hds-setup-fedramp: стабилен

Когато контейнерът работи, виждате „Експресен сървър слуша на порт 8080“.

6

Инструментът за настройка не поддържа свързване към localhost чрез http://localhost:8080 . Използвайтеhttp://127.0.0.1:8080 за да се свържете с локален хост.

Използвайте уеб браузър, за да отидете на локалния хост,http://127.0.0.1:8080 и въведете потребителско име на администратор на клиента за Control Hub при подкана.

Инструментът използва това първо въвеждане на потребителското име, за да зададе подходящата среда за този акаунт. След това инструментът показва стандартната подкана за вход.

7

Когато бъдете подканени, въведете вашите идентификационни данни за вход на администратор на клиента Control Hub и след това щракнете Влезте за да разрешите достъп до необходимите услуги за хибридна защита на данните.

8

На страницата за преглед на инструмента за настройка щракнете Започнете .

9

На ISO импортиране страница, имате следните опции:

не —Ако създавате първия си HDS възел, нямате ISO файл за качване.
да —Ако вече сте създали HDS възли, тогава избирате своя ISO файл в прегледа и го качвате.

10

Проверете дали вашият сертификат X.509 отговаря на изискванията в X.509 Изисквания за сертификат .

Ако никога досега не сте качвали сертификат, качете сертификата X.509, въведете паролата и щракнете Продължете .
Ако сертификатът ви е ОК, щракнете Продължете .
Ако вашият сертификат е изтекъл или искате да го замените, изберете не за Да продължите ли да използвате верига за сертификати и частен ключ от предишен ISO? . Качете нов сертификат X.509, въведете паролата и щракнете Продължете .

11

Въведете адреса на базата данни и акаунт за HDS за достъп до вашето ключово хранилище за данни:

Изберете своя Тип база данни ( PostgreSQL или Microsoft SQL Server ).

Ако изберете Microsoft SQL Server , получавате поле Тип на удостоверяването .
( Microsoft SQL Server само) Изберете своя Тип на удостоверяването :
- Основно удостоверяване : Имате нужда от име на профила в SQL Server в Потребителско име поле.
- Удостоверяване на Windows : Нуждаете се от акаунт в Windows във формата потребителско име@DOMAIN в Потребителско име поле.
Въведете адреса на сървър на база с данни във формуляра : или : .

Пример:
dbhost.example.org:1433 или 198.51.100.17:1433

Можете да използвате IP адрес за основно удостоверяване, ако възлите не могат да използват DNS за разрешаване на името на хоста.

Ако използвате удостоверяване на Windows, трябва да въведете напълно квалифицирано име на домейн във формата dbhost.example.org:1433
Въведете Име на базата данни .
Въведете Потребителско име и парола на потребител с всички привилегии в базата данни за съхранение на ключове.

12

Изберете a TLS режим на връзка с база данни :

Режим

Описание

Предпочитайте TLS (опция по подразбиране)

HDS възлите не изискват TLS да се свърже със сървъра на базата данни. Ако активирате TLS на сървъра на сървър на база с данни, възлите се опитват да установят криптирана връзка.

Изисквайте TLS

HDS възли се свързват само ако сървърът на базата данни може да договори TLS.

Изисквайте TLS и проверете подписвача на сертификати

Този режим не е приложим за бази данни на SQL Server.

HDS възли се свързват само ако сървърът на базата данни може да договори TLS.
След установяване на TLS връзка, възелът сравнява подписващия сертификат от сървър на база с данни с сертифициращия орган в главен сертификат на базата данни . Ако не съвпадат, възелът изпуска връзката.

Използвайте контролата за главен сертификат на базата данни под падащото, за да качите главния сертификат за тази опция.

Изисквайте TLS и проверете подписалия сертификат и хостовото име

HDS възли се свързват само ако сървърът на базата данни може да договори TLS.
След установяване на TLS връзка, възелът сравнява подписващия сертификат от сървър на база с данни с сертифициращия орган в главен сертификат на базата данни . Ако не съвпадат, възелът изпуска връзката.
Възлите също така проверяват дали името на хоста в сертификат на сървъра съвпада с името на хоста в Хост на базата данни и порт поле. Имената трябва да съвпадат точно или възелът пуска връзката.

Използвайте контролата за главен сертификат на базата данни под падащото, за да качите главния сертификат за тази опция.

Когато качите главен сертификат (ако е необходимо) и щракнете Продължете , инструментът за настройка на HDS тества TLS връзката към сървъра на сървър на база с данни. Инструментът също така проверява подписалите сертификата и hostname, ако е приложимо. Ако даден тест е неуспешен, инструментът показва съобщение за грешка, описващо проблема. Можете да изберете дали да игнорирате грешката и да продължите с настройката. (Поради разликите в свързаността, HDS възлите може да са в състояние да установят TLS връзката, дори ако машината с инструмент за настройка на HDS не може успешно да я тества.)

13

На страницата System Logs конфигурирайте вашия Syslogd сървър:

Въведете URL на syslog сървъра.

Ако сървърът не е DNS-разрешим от възлите за вашия HDS клъстер, използвайте IP адрес в URL.

Пример:
udp://10.92.43.23:514 показва регистриране към хост Syslogd 10.92.43.23 на UDP порт 514.
Ако сте настройвам вашия сървър да използва TLS криптиране, проверете Вашият syslog сървър конфигуриран ли е за SSL криптиране? .

Ако поставите отметка в това поле за отметка, уверете се, че сте въвели TCP URL , като напр tcp://10.92.43.23:514 .
От Изберете прекратяване на запис на syslog падащо меню изберете подходящата настройка за вашия ISO файл: Изберете или Newline се използва за Graylog и Rsyslog TCP
- Нулев байт -- \x00
- Нов ред -- \n —Изберете този избор за Graylog и Rsyslog TCP.
Щракнете върху Продължаване.

14

(По избор) Можете да промените стойност по подразбиране за някои параметри на връзката към базата данни в Разширени настройки . По принцип този параметър е единственият, който може да искате да промените:

app_datasource_connection_pool_maxРазмер: 10

15

Щракнете върху Продължете на Нулиране на паролата за сервизни акаунти екран.

Паролите за акаунти за услуги имат деветмесечен живот. Използвайте този екран, когато паролите ви изтичат или искате да ги нулирате, за да анулирате предишни ISO файлове.

16

Щракнете върху Изтеглете ISO файл . Запазете файла на място, което е лесно за намиране.

17

Направете резервно копие на ISO файла във вашата локална система.

Пазете резервното копие сигурно. Този файл съдържа главен ключ за шифроване за съдържанието на базата данни. Ограничете достъпа само до онези администратори на Hybrid Data Security, които трябва да направят промени в конфигурацията.

18

За да изключите инструмента за настройка, въведете CTRL+C .

Какво да направите след това

Архивирайте конфигурационния ISO файл. Нуждаете се от него, за да създадете повече възли за възстановяване или да направите промени в конфигурацията. Ако загубите всички копия на ISO файла, вие също сте загубили главния ключ. Възстановяването на ключовете от вашата база данни PostgreSQL или Microsoft SQL Server не е възможно.

Никога нямаме копие на този ключ и не можем да помогнем, ако го загубите.

Инсталирайте HDS Host OVA

Използвайте тази процедура, за да създадете виртуална машина от OVA файла.

1

Използвайте VMware vSphere клиента на вашия компютър, за да влезете във виртуалния хост ESXi.

2

Изберете Файл > Внедряване на OVF шаблон .

3

В съветника посочете местоположението на файла OVA, който сте изтеглили по-рано, и след това щракнете Следваща .

4

На Изберете име и папка страница, въведете a Име на виртуална машина за възела (например „HDS_ Нode_ 1"), изберете местоположение, където може да се намира разгръщането на възела на виртуална машина , и след това щракнете Следваща .

5

На Изберете изчислителен ресурс страница, изберете целевия изчислителен ресурс и след това щракнете Следваща .

Изпълнява се проверка за валидиране. След като приключи, се появяват подробностите за шаблона.

6

Проверете детайлите на шаблона и след това щракнете Следваща .

7

Ако бъдете помолени да изберете конфигурацията на ресурса на Конфигурация страница, щракнете 4 CPU и след това щракнете Следваща .

8

На Изберете място за съхранение страница, щракнете Следваща за да приемете дисковия формат по подразбиране и политиката за съхранение на VM .

9

На Изберете мрежи страница, изберете опцията за мрежа от списъка с записи, за да осигурите желаната свързаност към VM.

10

На Персонализирайте шаблона страница, конфигурирайте следните мрежови настройки:

Име на хост — Въведете FQDN (име на хост и домейн) или име на хост от една дума за възела.

Не е необходимо да задавате домейна да съвпада с домейна, който сте използвали за получаване на сертификата X.509.
За да осигурите успешна регистрация в облака, използвайте само малки букви в FQDN или името на хост, които сте задали за възела. Капитализацията не се поддържа в този момент.
Общата дължина на FQDN не трябва да надвишава 64 знака.

IP адрес — Въведете IP адрес за вътрешния интерфейс на възела.

Вашият възел трябва да има вътрешен IP адрес и DNS име. DHCP не се поддържа.
маска — Въведете адреса на маска на подмрежата в десетична нотация. например 255.255.255.0 .
Портал — Въведете IP адрес на шлюза. Шлюзът е мрежов възел, който служи като точка на достъп до друга мрежа.
DNS сървъри — Въведете разделен със запетая списък с DNS сървъри, които обработват преобразуването на имена на домейни в цифрови IP адреси. (Разрешени са до 4 DNS записа.)
NTP сървъри — Въведете NTP сървър на вашата организация или друг външен NTP сървър , който може да се използва във вашата организация. NTP сървърите по подразбиране може да не работят за всички предприятия. Можете също да използвате разделен със запетая списък, за да въведете множество NTP сървъри.

Разположете всички възли в една и съща подмрежа или VLAN, така че всички възли в клъстер да са достъпни от клиенти във вашата мрежа за административни цели.

Ако предпочитате, можете да пропуснете конфигурацията на мрежовите настройки и да следвате стъпките в Настройте хибридната VM машина за защита на данните за да конфигурирате настройките от конзолата на възела.

Опцията за конфигуриране на мрежови настройки по време на внедряване на OVA е тествана с ESXi 6.5. Възможно е опцията да не е налична в по-ранните версии.

11

Щракнете с десния бутон върху възела VM и след това изберете Мощност > Включване .

Софтуерът Hybrid Data Security се инсталира като гост на VM Host. Вече сте готови да влизам в конзолата и да конфигурирате възела.

Съвети за отстраняване на неизправности

Може да изпитате закъснение от няколко минути, преди да излязат контейнерите на възела. Съобщение за мостова защитна стена се появява на конзолата по време на първото стартиране, по време на което не можете да влизам.

Настройте хибридната VM машина за защита на данните

Използвайте тази процедура, за да влизам в конзолата за VM на възела на хибридната защита на данните за първи път и да зададете идентификационните данни за вход. Можете също да използвате конзолата, за да конфигурирате мрежови настройки за възела, ако не сте ги конфигурирали по време на внедряването на OVA.

1	В клиента VMware vSphere изберете своя VM възел за хибридна защита на данните и изберете Конзола раздел. VM се зарежда и се появява подкана за влизане. Ако подканата за влизане не се покаже, натиснете Въведете .
2	Използвайте следното потребителско име и парола по подразбиране, за да влизам и промените идентификационните данни: Вход: `администратор` Парола: `cisco` Тъй като влизате във вашата VM за първи път, от вас се изисква да промените паролата на администратор.
3	Ако вече сте конфигурирали мрежови настройки в Инсталирайте HDS Host OVA , пропуснете останалата част от тази процедура. В противен случай в главно меню изберете Редактиране на конфигурация опция.
4	Настройте статична конфигурация с информация за IP адрес, маска, шлюз и DNS . Вашият възел трябва да има вътрешен IP адрес и DNS име. DHCP не се поддържа.
5	(По избор) Променете името на хоста, домейна или NTP сървър(ите), ако е необходимо, за да съответства на вашата мрежова политика. Не е необходимо да задавате домейна да съвпада с домейна, който сте използвали за получаване на сертификата X.509.
6	Запазете мрежова конфигурация и рестартирайте VM , така че промените да влязат в сила.

Качете и монтирайте ISO конфигурацията на HDS

Използвайте тази процедура, за да конфигурирате виртуална машина от ISO файла, който сте създали с инструмента за настройка на HDS.

Преди да започнете

Тъй като ISO файлът съдържа главния ключ, той трябва да бъде изложен само на базата на „необходимост да се знае“ за достъп от хибридните виртуални машини за защита на данните и всички администратори, които може да се наложи да направят промени. Уверете се, че само тези администратори имат достъп до хранилището на данни.

1

Качете ISO файла от вашия компютър:

В левия навигационен панел на клиента VMware vSphere щракнете върху ESXi сървъра.
В списъка Хардуер на раздела Конфигурация щракнете Съхранение .
В списъка Datastores щракнете с щраквам с десния бутон върху хранилището на данни за вашите VM и щракнете Преглед на Datastore .
Щракнете върху иконата за качване на файлове и след това щракнете върху Качване на файл .
Отидете до мястото, където сте изтеглили ISO файла на вашия компютър и щракнете Отвори .
Щракнете върху да за да приемете предупреждението за операцията за качване/изтегляне и затворете диалоговия прозорец за съхранение на данни.

2

Монтирайте ISO файла:

В левия панел за навигация на клиента VMware vSphere щракнете с десния бутон върху виртуалната машина и щракнете върху Редактиране на настройките.
Щракнете върху ОК за да приемете предупреждението за ограничени опции за редактиране.
Щракнете върху CD/ DVD устройство 1 , изберете опцията за монтиране от ISO файл на хранилище за данни и прегледайте мястото, където сте качили конфигурационния ISO файл.
Проверете Свързани и Свържете при включване .
Запазете промените и рестартирайте виртуална машина.

Какво да направите след това

Ако вашата ИТ политика изисква, можете по избор да демонтирате ISO файла, след като всички ваши възли приемат промените в конфигурацията. Виж (По избор) Демонтирайте ISO след HDS конфигурация за подробности.

Конфигуриране на HDS възел за интегриране на прокси сървър

Ако мрежовата среда изисква прокси, използвайте тази процедура, за да укажете вида на прокси, който искате да интегрирате с Hybrid Data Security. Ако изберете прозрачен проверяващ прокси или HTTPS изричен прокси, можете да използвате интерфейса на възела, за да качите и инсталирате главния сертификат. Можете също да проверите прокси връзката от интерфейса и да отстраните всички потенциални проблеми.

Преди да започнете

Вижте Поддръжка на прокси за общ преглед на поддържаните опции за прокси.
Изисквания към прокси сървъра

1	Въведете URL адреса за настройка на HDS възел `https://[HDS Възел IP или FQDN]/настройка` в уеб браузър, въведете администраторски идентификационни данни, които сте настроили за възела и след това щракнете върху Вход.
2	Отидете на Хранилище на доверие & Прокси , след което изберетеопция: Без прокси —Опция по опция по подразбиране, преди да интегрирате прокси. Не се изисква актуализация на сертификата. Прозрачен прокси без проверка — Възлите не са конфигурирани да използват конкретен адрес на прокси сървър и не трябва да изискват никакви промени, за да работят с неинспектиращ прокси сървър. Не се изисква актуализация на сертификата. Прозрачен инспектиращ прокси — Възлите не са конфигурирани да използват конкретен адрес на прокси сървър . Не httpS конфигурация промени са необходими в разполагането на защитата на хибридни данни, обаче HDS възли се нуждаят от главен сертификат, така че те се доверяват на прокси. Проверяващите пълномощници обикновено се използват от It за прилагане на политики, на които могат да бъдат посетени уебсайтовете и кои видове съдържание не са разрешени. Този тип прокси дешифрира целия ви трафик (дори HTTPS). Изрично прокси —С изричен прокси, вие казвате на клиента (HDS възли) кой прокси сървър да използва и тази опция поддържа няколко типа удостоверяване. След като изберете тази опция, трябва да въведете следната информация: Прокси IP/ FQDN — Адрес, който може да се използва за достигане до прокси машината. Прокси порт —Номер на номер на порт , който проксито използва за прослушване на прокси трафик. Прокси протокол — Изберете http (преглежда и контролира всички заявки, които се получават от клиента) или https (предоставя канал към сървъра, а клиентът получава и валидира сертификата на сървъра). Изберете опция въз основа на това, което поддържа вашият прокси сървър. Тип на удостоверяването — Изберете измежду следните типове удостоверяване: Никаква — Не се изисква допълнително удостоверяване. Налична за HTTP или HTTPS проксита. Основен —Използва се за HTTP потребителски агент за предоставяне на потребителско име и парола при отправяне на заявка. Използва Base64 кодиране. Налична за HTTP или HTTPS проксита. Ако изберете тази опция, трябва да въведете и потребителското име и паролата. Дайджест —Използва се за потвърждение на акаунта преди изпращане на чувствителна информация. Прилага хеш функция на потребителското име и паролата преди изпращане по мрежата. Предлага се само за HTTPS проксита. Ако изберете тази опция, трябва да въведете и потребителското име и паролата. Изпълнете следващите стъпки за прозрачен проверяващ прокси, HTTP изрично прокси с базово удостоверяване или HTTPS изрично прокси.
3	Щракнете върху Качване на главен сертификат или Сертификат за краен обект и след това навигирайте до изберете главния сертификат запрокси. Сертификатът се качва, но все още не е инсталиран, защото трябва да рестартирате възела, за да инсталирате сертификата. Щракнете върху стрелката chevron по името на издателя на сертификата, за да получите повече подробности или щракнете върху Изтрий, ако сте направили грешка и искате да качите повторно файла.
4	Щракнете върху Проверка на прокси връзката, за да тествате мрежовата свързаност между възела и прокси. Ако тестът за връзка е неуспешен, ще видите съобщение за грешка, което показва причината и как можете да коригирате проблема. Ако видите съобщение, което казва, че външната DNS разделителна способност не е била успешна, възелът не е успял да достигне DNS сървъра. Това условие се очаква в много изрични прокси конфигурации. Можете да продължите с настройката и възелът ще функционира в режим на Blocked External DNS Resolution. Ако смятате, че това е грешка, изпълнете тези стъпки и след това вижте Изключете Blocked External DNS Resolution Mode .
5	След като тестът за връзка премине, за изрично прокси настроен само на https, включете превключването към Маршрут всички порт 443/444 https заявки от този възел през изрично прокси. Тази настройка изисква 15 секунди, за да влязат в сила.
6	Щракнете върху Инсталиране на всички сертификати в хранилището на гаранти (появява се за HTTPS изрично прокси или прозрачен проверяващ прокси) или Рестартиране (появява се за HTTP изрично прокси), прочетете подканата и след това щракнете върху Инсталиране, ако сте готови. Възелът се рестартира в рамките на няколко минути.
7	След рестартирането на възела влезте отново, ако е необходимо, след което отворете страницата Общ преглед, за да проверите проверките за свързване, за да се уверите, че всички те са в зелено състояние. Проверката на прокси връзката тества само поддомейн от webex.com. Ако има проблеми със свързването, често срещан проблем е, че някои от облачните домейни, изброени в инструкциите за инсталиране, се блокират в прокси.

Регистрирайте първия възел в клъстера

Тази задача приема общия възел, който сте създали в Настройте хибридната VM машина за защита на данните , регистрира възела в облака Webex и го превръща в възел за хибридна защита на данните.

Когато регистрирате първия си възел, вие създавате клъстер, към който е присвоен възелът. Клъстерът съдържа един или повече възли, разположени за осигуряване на излишък.

Преди да започнете

След като започнете регистрацията на възел, трябва да го завършите в рамките на 60 минути или трябва да започнете отначало.
Уверете се, че всички блокиращи изскачащи прозорци във вашия браузър са деактивирани или че сте разрешили изключение за admin.webex.com.

1	Влезте в https://admin.webex.com.
2	От менюто в лявата част на екрана изберете Услуги .
3	В секцията Хибридни услуги намерете Hybrid Data Security и щракнете Настройте . Появява се страницата Register Hybrid Data Security Node.
4	Изберете да за да посочите, че сте настройвам възела и сте готови да го регистрирате, и след това щракнете Следваща .
5	В първото поле въведете име за клъстера, към който искате да присвоите своя възел за хибридна защита на данните. Препоръчваме ви да назовете клъстер въз основа на това къде се намират възлите на клъстера географски. Примери: „Сан Франциско“ или „Ню Йорк“ или „Далас“
6	Във второто поле въведете вътрешния IP адрес или напълно квалифицирано име на домейн (FQDN) на вашия възел и щракнете Следваща . Този IP адрес или FQDN трябва да съвпада с IP адрес или името на хоста и домейна, в който сте използвали Настройте хибридната VM машина за защита на данните . Появява се съобщение, което показва, че можете да регистрирате своя възел в Webex.
7	Щракнете върху Отидете на Node .
8	Щракнете върху Продължете в предупредително съобщение. След няколко минути ще бъдете пренасочени към тестовете за свързване на възел за услугите на Webex . Ако всички тестове са успешни, се появява страницата Разрешаване на достъп до възел за защита на хибридни данни. Там потвърждавате, че искате да дадете разрешения на вашата Webex организация за достъп до вашия възел.
9	Проверете Разрешете достъп до вашия възел за защита на хибридни данни квадратче за отметка и след това щракнете Продължете . Вашият акаунт е валидиран и съобщението „Регистрацията е завършена“ показва, че вашият възел вече е регистриран в облака на Webex .
10	Щракнете върху връзката или затворете раздела, за да се върнете към страницата за защита на хибридните данни на Control Hub. На Хибридна сигурност на данните страница, се показва новият клъстер, съдържащ възела, който сте регистрирали. Възелът автоматично ще изтегли най-новия софтуер от облака.

Създайте и регистрирайте още възли

За да добавите допълнителни възли към вашия клъстер, просто създавате допълнителни VM и монтирате същия конфигурационен ISO файл, след което регистрирате възела. Препоръчваме ви да имате поне 3 възела.

По това време резервните виртуални машини, в които сте създали Изпълнете предпоставките за хибридна защита на данните са резервни хостове, които се използват само в случай на възстановяване след срив; дотогава те не са регистрирани в системата. За подробности вж Възстановяване при бедствия с помощта на Център за данни в режим на готовност .

Преди да започнете

След като започнете регистрацията на възел, трябва да го завършите в рамките на 60 минути или трябва да започнете отначало.
Уверете се, че всички блокиращи изскачащи прозорци във вашия браузър са деактивирани или че сте разрешили изключение за admin.webex.com.

1	Създайте нова виртуална машина от OVA, като повторите стъпките в Инсталирайте HDS Host OVA .
2	Настройте първоначалната конфигурация на новата VM, като повторите стъпките в Настройте хибридната VM машина за защита на данните .
3	На новата VM повторете стъпките в Качете и монтирайте ISO конфигурацията на HDS .
4	Ако настройвате прокси за внедряването си, повторете стъпките в Конфигурирайте HDS възел за прокси интеграция както е необходимо за новия възел.
5	Регистрирайте възела. Вhttps://admin.webex.com , изберете Услуги от менюто в лявата част на екрана. В секцията Хибридни услуги намерете картата за защита на хибридни данни и щракнете Ресурси . Появява се страницата Ресурси за защита на хибридните данни. Щракнете върху Добавяне на ресурс . В първото поле изберете името на съществуващия си клъстер. Във второто поле въведете вътрешния IP адрес или напълно квалифицирано име на домейн (FQDN) на вашия възел и щракнете Следваща . Появява се съобщение, което показва, че можете да регистрирате своя възел в облака на Webex . Щракнете върху Отидете на Node . След няколко минути ще бъдете пренасочени към тестовете за свързване на възел за услугите на Webex . Ако всички тестове са успешни, се появява страницата Разрешаване на достъп до възел за защита на хибридни данни. Там потвърждавате, че искате да дадете разрешения на вашата организация за достъп до вашия възел. Проверете Разрешете достъп до вашия възел за защита на хибридни данни квадратче за отметка и след това щракнете Продължете . Вашият акаунт е валидиран и съобщението „Регистрацията е завършена“ показва, че вашият възел вече е регистриран в облака на Webex . Щракнете върху връзката или затворете раздела, за да се върнете към страницата за защита на хибридните данни на Control Hub. Вашият възел е регистриран. Имайте предвид, че докато не започнете пробна версия, вашите възли генерират аларма, показваща, че вашата услуга все още не е активирана.

Какво да направите след това

Изпълнете пробна версия и преминете към производство (следваща глава)

Изпълнете пробна версия и преминете към производство

Поток на задачата от пробна и производствена

След като настройвам клъстер за хибридна защита на данни, можете да стартирате пилотен, да добавите потребители към него и да започнете да го използвате за тестване и проверка на внедряването си в подготовка за преминаване към производство.

Преди да започнете

Модел на разполагане на хибридна защита на данни

1	Ако е приложимо, синхронизирайте `HdsTrialGroup` групов обект. Ако вашата организация използва синхронизиране на директории за потребители, трябва да изберете `HdsTrialGroup` групов обект за синхронизиране с облака, преди да можете да започнете пробна версия. За инструкции вижте Ръководство за разгръщане на Cisco Directory Connector.
2	Активирайте пробна версия Започнете изпитание. Докато не изпълните тази задача, вашите възли генерират аларма, показваща, че услугата все още не е активирана.
3	Тествайте внедряването на вашата хибридна защита на данните Проверете дали ключовите заявки преминават към внедряването на вашата хибридна защита на данните.
4	Наблюдавайте здравето на хибридната защита на данните Проверете състоянието и настройвам известия по имейл за аларми.
5	Добавяне или премахване на потребители от вашия пробен период
6	Завършете пробната фаза с едно от следните действия: Преминете от пробна версия към производствена Прекратете пробния си период, без да преминете към производство

Активирайте пробна версия

Преди да започнете

Ако вашата организация използва синхронизиране на директории за потребители, трябва да изберете HdsTrialGroup групов обект за синхронизиране с облака, преди да можете да започнете пробна версия за вашата организация. За инструкции вижте Ръководство за разгръщане на Cisco Directory Connector.

1	Влезте вhttps://admin.webex.com и след това изберете Услуги .
2	Под Hybrid Data Security щракнете върху Настройки .
3	В секцията Състояние на услугата щракнете Започнете пробна версия . Състоянието на услугата се променя на пробен режим.
4	Щракнете върху Добавяне на потребители и въведете имейл адрес на един или повече потребители за пилотно използване на вашите възли за хибридна защита на данните за услуги за криптиране и индексиране. (Ако вашата организация използва синхронизиране на директории, използвайте Active Directory , за да управлявате пробната група, `HdsTrialGroup` .)

Тествайте внедряването на вашата хибридна защита на данните

Използвайте тази процедура, за да тествате сценарии за криптиране на хибридна защита на данните.

Преди да започнете

Настройте внедряването на хибридната защита на данните.
Активирайте пробната версия и добавете няколко пробни потребители.
Уверете се, че имате достъп до системния журнал, за да проверите дали ключовите заявки се предават към внедряването на хибридната защита на данните.

1

Ключовете за дадено пространство се задават от създателя на пространството. Влезте в приложението Webex като един от пилотните потребители и след това създайте пространство и поканете поне един пилотен потребител и един непилотен потребител.

Ако деактивирате внедряването на хибридна защита на данните, съдържанието в пространствата, които пилотните потребители създават, вече няма да бъде достъпно, след като кешираните от клиента копия на ключовете за криптиране бъдат заменени.

2

Изпращайте съобщения до новото пространство.

3

Проверете изхода на системния журнал, за да се уверите, че ключовите заявки преминават към вашето внедряване на хибридна защита на данните.

За да проверите дали потребител първо установява защитен канал към KMS, филтрирайте kms.data.method=създаване и kms.data.type=ЕФЕМЕРЕН_ КЛЮЧ_ КОЛЕКЦИЯ :

Трябва да намерите запис като следния (идентификаторите, съкратени за четливост):

2020-07-21 17:35:34.562 (+0000) ИНФОРМАЦИЯ KMS [pool-14-thread-1] - [KMS:REQUEST] получен, deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms://hds2.org5.portun.us/statickeys/3[~]0 (EncryptionKmsMessageHandler.java:312) WEBEX_ TRACKINGID=HdsIntTest_d [~]0, kms.data.method=създаване , kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=ЕФЕМЕРЕН_ КЛЮЧ_ КОЛЕКЦИЯ , kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2

За да проверите за потребител, който иска съществуващ ключ от KMS, филтрирайте kms.data.method=извличане и kms.data.type=KEY :

Трябва да намерите запис като:

2020-07-21 17:44:19.889 (+0000) ИНФОРМАЦИЯ KMS [pool-14-thread-31] - [KMS:REQUEST] получен, deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_ TRACKINGID=HdsIntTest_f [~]0, kms.data.method=извличане , kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriHost=ciscospark.com, kms.data.type=KEY , kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b

За да проверите за потребител, който иска създаване на нов KMS ключ, филтрирайте kms.data.method=създаване и kms.data.type=KEY_ КОЛЕКЦИЯ :

Трябва да намерите запис като:

2020-07-21 17:44:21.975 (+0000) ИНФОРМАЦИЯ KMS [pool-14-thread-33] - [KMS:REQUEST] получен, deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_ TRACKINGID=HdsIntTest_ 4[~]0, kms.data.method=създаване , kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_ КОЛЕКЦИЯ , kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b

За да проверите за потребител, който иска създаването на нов KMS Resource Object (KRO), когато се създаде пространство или друг защитен ресурс, филтрирайте върху kms.data.method=създаване и kms.data.type=RESOURCE_ КОЛЕКЦИЯ :

Трябва да намерите запис като:

2020-07-21 17:44:22.808 (+0000) ИНФОРМАЦИЯ KMS [pool-15-thread-1] - [KMS:REQUEST] получен, deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_ TRACKINGID=HdsIntTest_d [~]0, kms.data.method=създаване , kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESOURCE_ КОЛЕКЦИЯ , kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

Наблюдавайте здравето на хибридната защита на данните

индикатор на състоянието в Control Hub ви показва дали всичко е наред с внедряването на хибридната защита на данните. За по-проактивни сигнали, записвам се за известия по имейл. Ще бъдете уведомени, когато има аларми, засягащи услугата, или надстройки на софтуера.

1	В Контролен център , изберете Услуги от менюто в лявата част на екрана.
2	В секцията Хибридни услуги намерете Hybrid Data Security и щракнете Настройки . Появява се страницата Настройки за защита на хибридните данни.
3	В секцията Известия по Имейл въведете един или повече имейл адреси, разделени със запетаи, и натиснете Въведете .

Добавяне или премахване на потребители от вашия пробен период

След като активирате пробен период и сте добавили първоначалния набор от потребители на пробния период, можете да добавяте или премахвате членове на пробния период по всяко време, докато пробният период е активен.

Ако премахнете потребител от пробната версия, клиентът на потребителя ще поиска ключове и създаване на ключ от облачния KMS вместо от вашия KMS. Ако клиентът се нуждае от ключ, който се съхранява във вашия KMS, облачният KMS ще го извлече от името на потребителя.

Ако вашата организация използва синхронизиране на директории, използвайте Active Directory (вместо тази процедура), за да управлявате пробната група, HdsTrialGroup ; можете да видите членовете на групата в Control Hub, но не можете да ги добавяте или премахвате.

1	Влезте в Control Hub и след това изберете Услуги .
2	Под Hybrid Data Security щракнете върху Настройки .
3	В секцията Пробен режим на зоната Състояние на услугата щракнете Добавяне на потребители , или щракнете преглед и редактиране за да премахнете потребителите от пробния период.
4	Въведете имейл адрес на един или повече потребители, които да добавите, или щракнете върху X чрез ИД на потребител , за да премахнете потребителя от пробната версия. След това щракнете върху Запиши.

Преминете от пробна версия към производствена

Когато сте доволни, че внедряването ви работи добре за пробните потребители, можете да преминете към производство. Когато преминете към производство, всички потребители в организацията ще използват вашия в помещението домейн за хибридна защита на данните за ключове за криптиране и други услуги от сферата на сигурността. Не можете да се върнете обратно към пробен режим от производство, освен ако не деактивирате услугата като част от възстановяване след срив. Повторното активиране на услугата изисква да настройвам нов пробен период.

1	Влезте в Control Hub и след това изберете Услуги .
2	Под Hybrid Data Security щракнете върху Настройки .
3	В секцията Състояние на услугата щракнете Преминете към Производство .
4	Потвърдете, че искате да преместите всичките си потребители в производствения режим.

Прекратете пробния си период, без да преминете към производство

Ако по време на пробния период решите да не продължите с внедряването на хибридната защита на данните, можете да деактивирате хибридната защита на данните, което приключва пробния период и премества пробните потребители обратно към услугите за сигурност на облачните данни. Потребителите на пробния период ще загубят достъп до данните, които са били криптирани по време на пробния период.

1	Влезте в Control Hub и след това изберете Услуги .
2	Под Hybrid Data Security щракнете върху Настройки .
3	В секцията Деактивиране щракнете Деактивирайте .
4	Потвърдете, че искате да деактивирате услугата и да прекратите пробния период.

Управлявайте внедряването на HDS

Управление на внедряването на HDS

Използвайте описаните тук задачи, за да управлявате внедряването на вашата хибридна защита на данните.

Задайте график за надграждане на клъстер

Софтуерните надстройки за хибридна защита на данните се извършват автоматично на ниво клъстер, което гарантира, че всички възли винаги работят с една и съща версия на софтуер. Надстройките се извършват според графика за надграждане на клъстера. Когато надстройката на софтуера стане налична, имате възможност да надстроите ръчно клъстера преди планираното време за надстройка. Можете да зададете конкретен график за надграждане или да използвате графика по подразбиране от 3:00 часа AM всеки ден Съединени щати: Америка/Лос Анджелис. Можете също да изберете да отложите предстояща надстройка, ако е необходимо.

За да зададете графика за надстройка:

1	Влезте в Control Hub.
2	На страницата Общ преглед под Хибридни услуги изберете Хибридна сигурност на данните .
3	На страницата Ресурси за защита на хибридни данни изберете клъстера.
4	В панела Преглед вдясно под Настройки на клъстера изберете името на клъстера.
5	На страницата Настройки, под Надстройка, изберете часа и часова зона за графика за надстройка. Забележка: Под часова зона се показва следващата налична дата и час за надстройка. Можете да отложите надстройката за следващия ден, ако е необходимо, като щракнете Отложете .

Променете конфигурацията на възела

От време на време може да се наложи да промените конфигурацията на вашия възел за защита на хибридни данни поради причина като:

Промяна на x.509 сертификати поради изтичане или други причини.

Не поддържаме промяна на CN името на домейн на сертификат. Домейнът трябва да съответства на оригиналния домейн, използван за регистриране на клъстера.

Актуализиране на настройките на базата данни за промяна на реплика на базата данни PostgreSQL или Microsoft SQL Server.

Не поддържаме мигриране на данни от PostgreSQL към Microsoft SQL Server или обратното. За да превключите средата на базата данни, започнете ново внедряване на Hybrid Data Security.

Създаване на нова конфигурация за подготовка на нов център за данни.

Също така, за целите на защитата, Hybrid Data Security използва пароли за сервизен акаунт, които имат деветмесечен живот. След като инструментът за настройка на HDS генерира тези пароли, ги разполагате на всеки от вашите HDS възли във файла ISO config. Когато паролите на вашата организация са към изтичане, получавате известие от екипа на Webex за нулиране на паролата за вашия машинен акаунт. (Имейлът включва текста „Използвайте API на машинния акаунт, за да актуализирате паролата.“) Ако вашите пароли все още не са изтекли, инструментът ви дава две опции:

Меко нулиране — И старата, и новата парола работят до 10 дни. Използвайте този период, за да замените постепенно ISO файла на възлите.
Твърдо нулиране —Старите пароли спират да работят незабавно.

Ако вашите пароли изтекат без нулиране, това се отразява на вашата HDS услуга, изисквайки незабавно хардуерно нулиране и подмяна на ISO файла на всички възли.

Използвайте тази процедура, за да генерирате нов конфигурационен ISO файл и да го приложите към вашия клъстер.

Преди да започнете

Инструментът за настройка на HDS работи като Docker контейнер на локална машина. За достъп до него стартирайте Docker на тази машина. Процесът на настройка изисква идентификационните данни на акаунт в контролния център с пълни права на администратор за вашата организация.

Ако инструментът за настройка на HDS работи зад прокси във вашата среда, предоставете настройките на прокси сървъра (сървър, порт, идентификационни данни) чрез променливите на средата на Docker, когато извеждате контейнера на Docker в 1.д . Тази таблица дава някои възможни променливи на средата:

Описание	Променлива
HTTP прокси без удостоверяване	`ГЛОБАЛЕН_ АГЕНТ_ HTTP_ PROXY=http://SERVER_ IP: PORT`
HTTPS прокси без удостоверяване	`ГЛОБАЛЕН_ АГЕНТ_ HTTPS_ PROXY=http://SERVER_ IP: PORT`
HTTP прокси с удостоверяване	`ГЛОБАЛЕН_ АГЕНТ_ HTTP_ PROXY=http://USERNAME:PASSWORD@SERVER_ IP: PORT`
HTTPS прокси с удостоверяване	`ГЛОБАЛЕН_ АГЕНТ_ HTTPS_ PROXY=http://USERNAME:PASSWORD@SERVER_ IP: PORT`

Имате нужда от копие на текущия конфигурационен ISO файл, за да генерирате нова конфигурация. ISO съдържа главния ключ, криптиращ базата данни на PostgreSQL или Microsoft SQL Server. Имате нужда от ISO, когато правите промени в конфигурацията, включително идентификационни данни на база данни, актуализации на сертификати или промени в правилата за оторизация.

1

Използвайки Docker на локална машина, стартирайте HDS Setup Tool.

В командния ред на вашата машина въведете подходящата команда за вашата среда:

В нормални среди:

docker rmi ciscocitg/hds-setup: стабилен

В среди на FedRAMP:

docker rmi ciscocitg/hds-setup-fedramp:stable

Тази стъпка изчиства предишни изображения на инструмента за настройка на HDS. Ако няма предишни изображения, той връща грешка, която можете да игнорирате.

За да влезете в регистъра на изображения на Docker, въведете следното:
```
вход в docker -u hdscustomersro
```
При подканата за парола въведете този хеш:
```
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
```

Изтеглете най-новото стабилно изображение за вашата среда:

В нормални среди:

docker pull ciscocitg/hds-setup:stable

В среди на FedRAMP:

docker pull ciscocitg/hds-setup-fedramp:stable

Уверете се, че сте изтеглили най-новия инструмент за настройка за тази процедура. Версиите на инструмента, създадени преди 22 февруари 2018 г., нямат екрани за нулиране на парола.

Когато изтеглянето приключи, въведете подходящата команда за вашата среда:

В нормални среди без прокси:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

В нормални среди с HTTP прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_ АГЕНТ_ HTTP_ PROXY=http://SERVER_ IP: PORT ciscocitg/hds-setup: стабилен

В нормални среди с HTTPSпрокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_ АГЕНТ_ HTTPS_ PROXY=http://SERVER_ IP: PORT ciscocitg/hds-setup: стабилен

В среди на FedRAMP без прокси:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

В среди на FedRAMP с HTTP прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_ АГЕНТ_ HTTP_ PROXY=http://SERVER_ IP: PORT ciscocitg/hds-setup-fedramp: стабилен

В среди на FedRAMP с HTTPS прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_ АГЕНТ_ HTTPS_ PROXY=http://SERVER_ IP: PORT ciscocitg/hds-setup-fedramp: стабилен

Когато контейнерът работи, виждате "Express сървър слушане на порт 8080."

Използвайте браузър, за да се свържете с localhost, http://127.0.0.1:8080.

Инструментът за настройка не поддържа свързване към localhost чрез http://localhost:8080 . Използвайтеhttp://127.0.0.1:8080 за да се свържете с локален хост.

Когато бъдете подканени, въведете вашите идентификационни данни за влизане в Control Hub и след това щракнете Приемам да продължи.
Импортирайте текущия конфигурационен ISO файл.
Следвайте подканите, за да завършите инструмента и да изтеглите актуализирания файл.

За да изключите инструмента за настройка, въведете CTRL+C .
Създайте резервно копие на актуализирания файл в друг център за данни.

2

Ако имате работещ само един HDS възел , създайте нов VM на възел за хибридна защита на данните и го регистрирайте с помощта на новия конфигурационен ISO файл. За по-подробни инструкции вж Създайте и регистрирайте още възли .

Инсталирайте HDS хост OVA.
Настройте HDS VM.
Монтирайте актуализирания конфигурационен файл.
Регистрирайте новия възел в контролния център.

3

За съществуващи HDS възли, които изпълняват по-стария конфигурационен файл, монтирайте ISO файла. Изпълнете следната процедура на всеки възел на свой ред, като актуализирате всеки възел, преди да изключите следващия възел:

Изключете виртуалната машина.
В левия панел за навигация на клиента VMware vSphere щракнете с десния бутон върху виртуалната машина и щракнете върху Редактиране на настройките.
Щракнете върху CD / DVD диск 1 , изберете опцията за монтиране от ISO файл ипрегледайте местоположението, където сте изтеглили новия конфигурационен ISO файл.
Поставете отметка на Свързване при включване.
Запазете промените си и включете виртуалната машина.

4

Повторете стъпка 3, за да замените конфигурацията на всеки останал възел, който изпълнява старата конфигурация.

Изключване на режим на блокирана външна DNS разделителна способност

Когато регистрирате възел или проверете конфигурацията на прокси сървъра на възела, процесът тества DNS справка и свързаност към облака Cisco Webex. Ако DNS сървърът на възела не може да разреши публични DNS имена, възелът автоматично преминава в режим на блокирана външна DNS разделителна способност.

Ако вашите възли са в състояние да разреши публични DNS имена чрез вътрешни DNS сървъри, можете да изключите този режим чрез повторно изпълнение на теста за прокси връзка на всеки възел.

Преди да започнете

Гарантирайте, че вашите вътрешни DNS сървъри могат да разрешават публични DNS имена, както и че вашите възли могат да комуникират с тях.

1	В уеб браузър отворете интерфейса на възела "Защита на хибридните данни" (IP адрес/настройка например въведете идентификационни данни за администриране, които https://192.0.2.0/setup), сте задали за възела, след което щракнете върху Влизане.
2	Отидете на Общ преглед (страницата по подразбиране). Когато е разрешено, блокирани външна DNS разделителна способност е зададена да .
3	Отидете на страницата Хранилище на доверие & Прокси.
4	Щракнете върху Проверка на прокси връзката. Ако видите съобщение, казващо, че външната DNS разделителна способност не е била успешна, възелът не е успял да достигне DNS сървъра и ще остане в този режим. В противен случай, след като рестартирате възела и да се върнете към страницата общ преглед, Блокиран външен DNS разделителна способност трябва да бъде зададено на не.

Какво да направите след това

Повторете теста за прокси връзка на всеки възел във вашия клъстер за защита на хибридни данни.

Премахване на възел

Използвайте тази процедура, за да премахнете възел за защита на хибридни данни от облака на Webex . След като премахнете възела от клъстера, изтрийте виртуална машина, за да предотвратите по-нататъшен достъп до вашите данни за сигурност.

1

Използвайте VMware vSphere клиента на вашия компютър, за да влезете във виртуалния хост на ESXi и да изключите виртуална машина.

2

Премахнете възела:

Влезте в Control Hub и след това изберете Услуги .
На картата за защита на хибридни данни щракнете Вижте всички за да се покаже страницата Ресурси за защита на хибридните данни.
Изберете своя клъстер, за да покажете неговия панел за преглед.
Щракнете върху Отворете списъка с възли .
В раздела Възли изберете възела, който искате да премахнете.
Щракнете върху Действия > Дерегистриране на възел .

3

В vSphere клиента изтрийте VM. (В левия навигационен панел щракнете с щраквам с десния бутон върху VM и щракнете Изтрийте .)

Ако не изтриете VM, не забравяйте да демонтирате конфигурационния ISO файл. Без ISO файла не можете да използвате VM за достъп до вашите данни за сигурност.

Възстановяване при бедствия с помощта на Център за данни в режим на готовност

Най-критичната услуга, която предоставя вашият клъстер за хибридна защита на данни, е създаването и съхранението на ключове, използвани за криптиране на съобщения и друго съдържание, съхранявано в облака на Webex . За всеки потребител в организацията, който е назначен към хибридна защита на данните, заявките за създаване на нови ключове се насочват към клъстера. Клъстерът е отговорен и за връщането на създадените от него ключове на всички потребители, упълномощени да ги извличат, например членове на пространство за разговор.

Тъй като клъстерът изпълнява критичната функция за предоставяне на тези ключове, наложително е клъстерът да продължи да работи и да се поддържат правилни резервни копия. Загубата на базата данни за хибридна защита на данните или на конфигурацията ISO , използвана за схемата, ще доведе до НЕВЪЗСТАНОВИМА ЗАГУБА на клиентско съдържание. Следните практики са задължителни за предотвратяване на такава загуба:

Ако бедствие причини внедряването на HDS в основния център за данни да стане недостъпно, следвайте тази процедура, за да преминете ръчно към резервния център за данни.

1

Стартирайте инструмента за настройка на HDS и следвайте стъпките, посочени в Създайте ISO конфигурация за HDS хостовете .

2

След като конфигурирате сървъра Syslogd, щракнете върху Разширени настройки

3

На Разширени настройки страница, добавете конфигурацията по-долу или премахнете пасивен режим конфигурация, за да направи възела активен. Възелът може да обработва трафик, след като това е конфигурирано.

 пасивен режим: 'фалшив'

4

Завършете процеса на конфигуриране и запазете ISO файла на място, което е лесно за намиране.

5

Направете резервно копие на ISO файла във вашата локална система. Пазете резервното копие сигурно. Този файл съдържа главен ключ за шифроване за съдържанието на базата данни. Ограничете достъпа само до онези администратори на Hybrid Data Security, които трябва да направят промени в конфигурацията.

6

В левия навигационен панел на клиента VMware vSphere щракнете с щраквам с десния бутон върху VM и щракнете Редактиране на настройките. .

7

Щракнете върху Редактиране на настройките > CD/ DVD устройство 1 и изберете Datastore ISO File.

Уверете се Свързани и Свържете при включване са проверени, така че актуализираните промени в конфигурацията да влязат в сила след стартиране на възлите.

8

Включете HDS възела и се уверете, че няма аларми за поне 15 минути.

9

Повторете процеса за всеки възел в център за данни в режим на готовност.

Проверете изхода на системния журнал, за да се уверите, че възлите на център за данни в режим на готовност не са в пасивен режим. „KMS, конфигуриран в пасивен режим“ не трябва да се появява в системните дневници.

Какво да направите след това

След отказ, ако основният център за данни стане отново активен, поставете център за данни в режим на готовност отново в пасивен режим, като следвате стъпките, описани в Настройте център за данни в режим на готовност за възстановяване при бедствия .

(По избор) Демонтирайте ISO след HDS конфигурация

Стандартната HDS конфигурация работи с монтиран ISO . Но някои клиенти предпочитат да не оставят ISO файловете непрекъснато монтирани. Можете да демонтирате ISO файла, след като всички HDS възли вземат новата конфигурация.

Все още използвате ISO файловете, за да правите промени в конфигурацията. Когато създавате нов ISO или актуализирате ISO чрез инструмента за настройка, трябва да монтирате актуализирания ISO на всичките си HDS възли. След като всичките ви възли приемат промените в конфигурацията, можете да демонтирате ISO отново с тази процедура.

Преди да започнете

Надстройте всичките си HDS възли до версия 2021.01.22.4720 или по-нова.

1	Изключете един от вашите HDS възли.
2	Във vCenter Server Appliance изберете HDS възела.
3	Изберете Редактиране на настройките > CD/ DVD устройство и премахнете отметката ISO файл на хранилище за данни .
4	Включете HDS възела и се уверете, че няма аларми за поне 20 минути.
5	Повторете последователно за всеки HDS възел.

Отстраняване на проблеми със сигурността на хибридните данни

Преглед на сигнали и отстраняване на неизправности

Разгръщането на хибридна защита на данните се счита за недостъпно, ако всички възли в клъстера са недостъпни или клъстерът работи толкова бавно, че изисква време за изчакване. Ако потребителите не могат да достигнат до вашия клъстер за защита на хибридни данни, те изпитват следните симптоми:

Не могат да се създават нови пространства (не може да се създадат нови ключове)
Съобщенията и заглавията на пространството не могат да се дешифрират за:
- Нови потребители, добавени към пространство (не могат да извлекат ключове)
- Съществуващи потребители в пространство, използващи нов клиент (не може да извлече ключове)
Съществуващите потребители в пространство ще продължат да работят успешно, докато техните клиенти имат кеш на ключовете за криптиране

Важно е правилно да наблюдавате своя клъстер за хибридна защита на данните и незабавно да адресирате всички предупреждения, за да избегнете прекъсване на услугата.

Сигнали

Ако има проблем с настройката на хибридната защита на данните, Control Hub показва сигнали до администратора на организацията и изпраща имейли до конфигурирания имейл адрес. Сигналите обхващат много често срещани сценарии.

1. Таблица 1. Често срещани проблеми и стъпки за разрешаването им
Предупреждение	Действие
Отказ на достъп до локална база данни.	Проверете за грешки в базата данни или проблеми с локалната мрежа.
неуспешна връзка с локална база данни.	Проверете дали сървърът на сървър на база с данни е наличен и правилните идентификационни данни за акаунт на услуга са били използвани в конфигурацията на възел.
Грешка при достъп до облачна услуга.	Проверете дали възлите имат достъп до сървърите на Webex , както е посочено в Изисквания за външна свързаност .
Подновяване на регистрацията на облачна услуга.	Регистрацията в облачни услуги беше прекратена. Подновяването на регистрацията е в ход.
Регистрацията на облачна услуга отпадна.	Регистрацията в облачни услуги е прекратена. Услугата се изключва.
Услугата все още не е активирана.	Активирайте пробна версия или завършете преместването на пробната версия в производствен.
Конфигурираният домейн не съответства на сертификат на сървъра.	Уверете се, че вашият сертификат на сървъра съответства на конфигурирания домейн за активиране на услугата. Най-вероятната причина е, че CN на сертификата е наскоро променен и вече е различен от CN, който е бил използван по време на първоначалната настройка.
Удостоверяването на облачни услуги не бе успешно.	Проверете за точността и възможното изтичане на идентификационните данни за акаунт на услуга .
Неуспешно отваряне на файл с локално хранилище за ключове.	Проверете за целостта и точността на паролата във файла на локалното хранилище на ключове.
сертификат на сървъра е невалиден.	Проверете дата на изтичане на валидността or, shortened, дата на изтичане на сертификата на сървъра и потвърдете, че е издаден от доверен орган за сертификати.
Не може да се публикуват показатели.	Проверете достъпа на локалната мрежа до външни облачни услуги.
/media/configdrive/hds директорията не съществува.	Проверете конфигурацията за монтиране на ISO на виртуален хост. Проверете дали ISO файлът съществува, дали е конфигуриран да се монтира при рестартиране и че се монтира успешно.

Отстраняване на проблеми със сигурността на хибридните данни

Използвайте следните общи указания, когато отстранявате проблеми с Hybrid Data Security.

1	Прегледайте Control Hub за сигнали и коригирайте всички елементи, които намерите там.
2	Прегледайте изхода на syslog сървъра за активност от внедряването на хибридна защита на данните.
3	Контакт Поддръжка на Cisco .

Други бележки

Известни проблеми за сигурността на хибридните данни

Ако изключите своя клъстер за хибридна защита на данни (чрез го изтриете в Control Hub или като изключите всички възли), загубите своя конфигурационен ISO файл или загубите достъп до базата данни на хранилището на ключове, потребителите на вашето Webex App вече няма да могат да използват пространства под своите хора списък, които са създадени с ключове от вашия KMS. Това се отнася както за пробно, така и за производствено внедряване. Понастоящем нямаме решение или решение за този проблем и ви призоваваме да не изключвате вашите HDS услуги, след като те обработват активни потребителски акаунти.
Клиент, който има съществуваща ECDH връзка към KMS, поддържа тази връзка за определен период от време (вероятно един час). Когато потребителят стане член на пробна версия за хибридна защита на данните, клиентът на потребителя продължава да използва съществуващата ECDH връзка, докато не изтече. Като алтернатива, потребителят може да излизам отново в приложението Webex App, за да актуализира местоположението, с което приложението се свързва за ключове за криптиране.

Същото поведение се случва, когато преместите пробен период в производствен за организацията. Всички потребители без опит със съществуващи ECDH връзки към предишните услуги за сигурност на данните ще продължат да използват тези услуги, докато ECDH връзката не бъде предоговорена (чрез изчакване или чрез излизане и обратно).

Използвайте OpenSSL, за да генерирате PKCS12 файл

Преди да започнете

OpenSSL е един инструмент, който може да се използва за създаване на файла PKCS12 в правилния формат за зареждане в инструмента за настройка на HDS. Има и други начини да направите това и ние не подкрепяме или популяризираме един начин пред друг.
Ако решите да използвате OpenSSL, ние предоставяме тази процедура като насока, за да ви помогнем да създадете файл, който отговаря на изискванията на сертификата X.509 в X.509 Изисквания за сертификат . Разберете тези изисквания, преди да продължите.
Инсталирайте OpenSSL в поддържана среда. Вижhttps://www.openssl.org за софтуера и документацията.
Създайте частен ключ.
Започнете тази процедура, когато получите сертификат на сървъра от вашия орган за сертификати (CA).

1	Когато получите сертификат на сървъра от вашия CA, запазете го като `hdsnode.pem` .
2	Покажете сертификата като текст и проверете подробностите. `openssl x509 -text -noout -in hdsnode.pem`
3	Използвайте текстов редактор, за да създадете файл с пакет от сертификати, наречен `hdsnode-bundle.pem` . Пакетният файл трябва да включва сертификат на сървъра, всички междинни CA сертификати и сертификатите за основния CA във формат по-долу: `-----ЗАПОЧНЕТЕ СЕРТИФИКАТ----- ### Сертификат на сървъра. ### -----КРАЙ НА СЕРТИФИКАТ-----------ЗАПОЧВАТЕ СЕРТИФИКАТ----- ### Междинен СА сертификат. ### -----КРАЙ НА СЕРТИФИКАТ-----------ЗАПОЧВАТЕ СЕРТИФИКАТ----- ### СА сертификат. ### -----КРАЕН СЕРТИФИКАТ-----`
4	Създайте .p12 файла с приятелското име `kms-частен ключ` . `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Проверете подробностите за сертификат на сървъра . `openssl pkcs12 -в hdsnode.p12` Въведете парола при подкана, за да шифровате частния ключ, така че да бъде посочен в изхода. След това проверете дали частният ключ и първият сертификат включват редовете `приятелско име: kms-частен ключ` . Пример: bash$ openssl pkcs12 -in hdsnode.p12 Въведете парола за импортиране: MAC проверени атрибути на чанта ОК приятелско име: kms-частен ключ localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Ключови атрибути: Въведете PEM парола: Проверка - Въведете PEM парола: -----ЗАПОЧНЕТЕ КРИПИРАН ЧАСТЕН КЛЮЧ----- -----КРАЙ НА КРИПИРАН ЧАСТЕН КЛЮЧ----- Атрибути на чантата приятелско име: kms-частен ключ localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Нека криптираме/CN=Нека X3 шифроваме авторитет ---ЗАПОЧНЕТЕ СЕРТИФИКАТ----- -----КРАЕН СЕРТИФИКАТ----- Атрибути на чантата friendlyName: CN=Да криптираме авторитет X3,O=Да криптираме,C=US subject=/C=US/O=Нека да криптираме/CN=Да криптираме авторитет X3 издател=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----ЗАПОЧНЕТЕ СЕРТИФИКАТ----- -----КРАЕН СЕРТИФИКАТ-----

Какво да направите след това

Върнете се към Изпълнете предпоставките за хибридна защита на данните . Вие ще използвате hdsnode.p12 файл и паролата, която сте задали за него, в Създайте ISO конфигурация за HDS хостовете .

Можете да използвате повторно тези файлове, за да поискате нов сертификат, когато оригиналният сертификат изтече.

Трафик между HDS възлите и облака

Изходящ трафик за събиране на показатели

Възлите за хибридна защита на данните изпращат определени показатели към облака на Webex . Те включват системни метрики за макс. хеп, използван хеп, натоварване на CPU и брой нишки; метрики за синхронни и асинхронни нишки; показатели за сигнали, включващи праг на криптиращи връзки, латентност или дължина на опашката за заявки; метрики на хранилището за данни; и показатели за криптиране на връзката. Възлите изпращат криптиран ключов материал по извънлентов (отделен от заявката) канал.

Входящ трафик

Възлите за защита на хибридните данни получават следните типове входящ трафик от облака на Webex :

Заявки за криптиране от клиенти, които се насочват от услугата за криптиране
Надстройки на софтуера на възела

Конфигурирайте Squid прокси сървъри за хибридна защита на данните

Websocket не може да се свърже чрез сепия прокси

Squid прокси сървърите, които проверяват HTTPS трафика, могат да попречат на установяването на websocket ( wss: ) връзки, които изисква Hybrid Data Security. Тези раздели дават насоки как да конфигурирате различни версии на Squid за игнориране wss: трафик за правилното функциониране на услугите.

Калмята 4 и 5

Добаветеon_unsupported_protocol директива за squid.conf :

on_unsupported_protocol тунел всичко

Сепия 3.5.27

Успешно тествахме Hybrid Data Security със следните правила, добавени към squid.conf. Тези правила подлежат на промяна, тъй като разработваме функции и актуализираме webex облака.

acl wssMercuryConnection ssl::server_name_regex живачна връзкаssl_bump снаждане wssMercuryConnection acl step1at_step SslBump1 acl стъпка 2at_step SslBump2 acl стъпка 3at_step SslBump3ssl_bump погледнете стъпка 1 всичкиssl_bump гледайте стъпка 2 всичкиssl_bump bump step3 всички

Предговор

Нова и променена информация

Дата	Направени промени
20 октомври 2023 г.	Актуализирана информация в изискванията към сървъра с база данни. Добавено е Настройване на Standby Data Center за възстановяване след бедствие. Актуализирана информация в Standby Data Center за възстановяване след бедствие и Възстановяване след бедствие чрез Standby Data Center.
07 август 2023 г.	Добавена е бележка в Изтегляне на инсталационни файлове. Добавена е бележка в Създаване на конфигурация ISO за хостовете на HDS и Промяна на конфигурацията на възела.
23 май 2023 г.	Изтрита информация от изискванията към сървъра за база данни , изискваща функция, която да бъде активирана чрез свързване с екипа за акаунти. Актуализирана информация в Изисквания за външна свързаност и добавена Канада към таблицата с хостове на CI. Добавена е бележка в Очакванията за разполагане на хибридна защита на данни по отношение на липсата на механизми за преместване на ключове обратно в облака.
06 декември 2022 г.	Изображенията на инструмента за настройка на HDS вече се хостват в хранилището `ciscocitg` dockerhub. Актуализирани са Създаване на конфигурация ISO за хостовете на HDS и Промяна на темите на конфигурация на възела , за да пресъздадете промените в командите.
23 ноември 2022 г.	HDS възлите вече могат да използват удостоверяване на Windows срещу Microsoft SQL Server. Актуализирана е темата за изискванията към сървъра с база данни с допълнителни изисквания за този режим на удостоверяване. Актуализиран е Създаване на конфигурационен ISO за хостовете на HDS с процедурата за конфигуриране на удостоверяване на Windows на възлите. Актуализирана е темата за изискванията към сървъра за база данни с нови минимални задължителни версии (PostgreSQL 10).
13 октомври 2021 г.	Docker Desktop трябва да стартира програма за настройка, преди да можете да инсталирате възли на HDS. Вижте Изисквания за закачане на работния плот.
юни 24, 2021	Имайте предвид, че можете да използвате повторно файла с частен ключ и CSR, за да поискате друг сертификат. Вижте Използване на OpenSSL за генериране на PKCS12 файл за подробности.
30 април 2021 г.	Променено е изискването за VM за локално място на твърдия диск на 30 GB. Вижте Изисквания за виртуален организатор за подробности.
24 февруари 2021	Инструментът за настройка на HDS вече може да се изпълнява зад прокси сървър. Вижте Създаване на конфигурация ISO за хостовете на HDS за подробности.
Февруари 2, 2021	HDS вече може да се изпълнява без монтиран ISO файл. Вижте (По избор) Демонтиране на ISO след конфигуриране на HDS за подробности.
11 януари 2021 г.	Добавена е информация за инструмента за настройка на HDS и прокси сървъри, за да се създаде конфигурационен ISO за хостовете на HDS.
13 октомври 2020 г	Изтегляне на инсталационни файлове е актуализирано.
08 октомври 2020 г.	Актуализиран е Създаване на конфигурация ISO за HDS хостовете и Промяна на конфигурацията на възела с команди за среди на FedRAMP.
14 август 2020 г	Актуализиран е Създаване на конфигурация ISO за хостовете на HDS и Промяна на конфигурацията на възела с промени в процеса на влизане.
5 август 2020 г	Актуализиран Тестване на внедряването на хибридна защита на данни за промени в съобщенията в регистрационните файлове. Актуализирани са изискванията за виртуален организатор , за да се премахне максималният брой организатори.
16 юни 2020 г	Актуализиран е Премахване на възел за промени в потребителския интерфейс на Control Hub.
4 юни 2020 г	Актуализиран е Създаване на конфигурационен ISO за хостовете на HDS за промени в разширените настройки, които може да зададете.
29 май 2020 г	Актуализиран е Създаване на конфигурационен ISO за хостовете на HDS , за да се покаже, че можете да използвате и TLS с бази данни на SQL Server, промени на потребителския интерфейс и други пояснения.
5 май 2020 г	Актуализирани са изискванията за виртуален хост, за да се покаже новото изискване на ESXi 6.5.
21 април 2020 г.	Актуализирани са Изисквания за външна свързаност с нови организатори на CI в Americas.
1 април 2020 г.	Актуализирани са Изисквания за външна свързаност с информация за регионалните организатори на CI.
20 февруари 2020 г	Актуализиран е Създаване на конфигурационен ISO за хостовете на HDS с информация за нов екран с незадължителни разширени настройки в инструмента за настройка на HDS.
14 февруари 2019 г.	Актуализирани са изискванията за прокси сървъра.
16 декември 2019 г.	Поясни изискването за режим на блокирано външно разрешаване на DNS, за да работи в Изисквания към прокси сървъра.
19 ноември 2019	Добавена е информация за режима на блокирано външно DNS разрешаване в следните раздели: Поддръжка на прокси Конфигуриране на HDS възел за интегриране на прокси сървър Изключване на режим на блокирана външна DNS разделителна способност
8 ноември 2019 г	Вече можете да конфигурирате мрежови настройки за даден възел, докато разполагате с OVA, а не след това. Следните раздели са съответно актуализирани: Поток на задачи за разполагане на хибридна защита на данни Инсталиране на HDS Host OVA Настройване на VM на хибридна защита на данни Опцията за конфигуриране на мрежовите настройки по време на разполагането на OVA е тествана с ESXi 6.5. Опцията може да не е налична в по-ранни версии.
6 септември 2019 г	Добавен е SQL Server Standard към изискванията за сървъра за база данни.
Август 29, 2019	Добавено е приложение Конфигуриране на прокси сървъри за хибридна защита на данни с насоки за конфигуриране на прокси сървъри за игнориране на трафика на уеб сокети за правилна работа.
Август 20, 2019	Добавени и актуализирани раздели, за да обхванат поддръжката на прокси сървър за комуникации с възела на хибридна защита на данни към облака на Webex. Поддръжка на прокси Изисквания към прокси сървъра Конфигуриране на HDS възел за интегриране на прокси сървър За достъп само до съдържанието на прокси поддръжката за съществуващо разполагане вижте помощната статия Поддръжка на прокси сървъра за хибридна защита на данни и Webex Video Mesh .
13 юни 2019 г.	Актуализиран е Пробен в производствен поток на задачи с напомняне за синхронизиране на груповия обект `HdsTrialGroup` преди започване на пробен период, ако вашата организация използва синхронизиране на указатели.
06 март 2019 г.	Премести изискванията и предварителните изисквания в отделна глава, Подготовка на средата. Добавен е Поток на задачи за разполагане на хибридна защита на данни общ преглед в главата Настройване на клъстер на хибридна защита на данни. Имайте предвид, че докато не започнете изпробване (като използвате инструкциите в следващата глава) вашите възли генерират аларма, която показва, че услугата ви все още не е активирана. Добавен е Пробен в производствения поток на задачи в главата Изпълнение на пробен период и преминаване към производство.
Февруари 28, 2019	Коригирано е количеството локално място на твърдия диск на сървър, което трябва да заделите при подготовката на виртуалните хостове, които стават възли на хибридна защита на данни, от 50 GB до 20 GB, за да се отрази размера на диска, който OVA създава.
26 февруари 2019 г.	Възлите на хибридна защита на данни вече поддържат шифровани връзки със сървъри с бази данни на PostgreSQL и шифровани връзки за регистриране към syslog сървър с възможност за TLS. Актуализиран е Създаване на конфигурационен ISO за хостовете на HDS с инструкции. Премахнати са целеви URL адреси от таблицата „Изисквания за свързаност с интернет за VMs с възли на хибридна защита на данни“. Таблицата сега се отнася до списъка, поддържан в таблицата „Допълнителни URL адреси за хибридни услуги на Webex Teams“ на Мрежови изисквания за услугите на Webex Teams.
Януари 24, 2019	Хибридната защита на данните вече поддържа Microsoft SQL Server като база данни. Винаги включен SQL Server (Винаги включен клъстер за преместване при отказ и винаги включен групи за наличност) се поддържа от JDBC драйвери, които се използват в хибридната защита на данните. Добавено съдържание, свързано с разполагане с SQL сървър. Поддръжката на Microsoft SQL Server е предназначена само за нови разполагания на хибридната защита на данните. Понастоящем не поддържаме мигриране на данни от PostgreSQL към Microsoft SQL Server в съществуващо разполагане.
5 ноември 2018 г.	Добавена е предварителна стъпка за изчистване на всички съществуващи екземпляри на hds на docker в Създаване на конфигурация ISO за хостовете на HDS и Промяна на конфигурацията на възела. Актуализирана е стъпката на ниво на достъп до ключ в Създаване на конфигурация ISO за хостовете на HDS , за да съответства на интерфейса.
19 октомври 2018 г.	Разделете информацията за връзката на защитната стена на изисквания към възлите и изисквания на машината за конфигуриране на ISO в Завършване на предварителните изисквания за хибридна защита на данните.
Юли 31, 2018	Добавен е порт 22 (SSH достъп) и информация за NAT и защитните стени връзки, за да изпълните изискванията за хибридна защита на данните.
21 май 2018 г.	Променена терминология, за да отрази ребрандиране на Cisco Spark: Хибридна защита на данни на Cisco Spark вече е хибридна защита на данни. Приложението Cisco Spark сега е приложението Webex App. Облакът на Cisco Collaboraton сега е облакът на Webex.
11 април 2018 г.	Добавен е Standby Data Center за възстановяване след бедствие. Актуализирано: Изпълнете изискванията за хибридна защита на данни , за да посочите, че средата за архивиране трябва да бъде в друг център за данни. Актуализирано е Възстановяване при бедствие с използване на Standby Data Center.
22 февруари 2018 г	Добавена е информация за 9-месечния жизнен цикъл на паролата за сервизния акаунт и използване на инструмента за настройка на HDS за нулиране на паролите за сервизния акаунт в Създаване на ISO конфигурация за хостовете на HDS и Промяна на конфигурацията на възела.
15 февруари 2018	В таблицата с изисквания за сертификат X.509 е посочено, че сертификатът не може да бъде заместващ сертификат и че KMS използва домейна CN, а не всеки домейн, който е дефиниран в полетата на SAN.509v3.
18 януари 2018	Добавено допълнение, Трафик между възлите на HDS и облака. Премахнат е разрешен проблем от Известни проблеми за хибридна защита на данни. Променен index.docker.io на .docker.io и добавен .cloudfront.net към списъка с изисквания за TCP свързаност за възлите на HDS в Завършване на предварителните изисквания за хибридна защита на данните. Актуализиран е Създаване на конфигурационен ISO за хостовете на HDS , за да се посочи, че ако хостът на базата данни и сървърът за syslogd не могат да се разрешават чрез DNS от HDS възлите, трябва да ги конфигурирате, като използвате IP адреси.
2 ноември 2017 г	Изяснено синхронизиране на указатели на HdsTrialGroup. Фиксирани инструкции за качване на ISO конфигурационния файл за монтаж във VM възлите.
18 август 2017 г.	Първо публикуване

Първи стъпки с хибридна защита на данни

Общ преглед на хибридна защита на данни

От първия ден сигурността на данните е основният фокус при проектирането на приложението Webex. Крайъгълният камък на тази защита е цялостното шифроване на съдържание, разрешено от клиентите на приложението Webex, които взаимодействат с услугата за управление на ключове (KMS). KMS отговаря за създаването и управлението на криптографски ключове, които клиентите използват за динамично криптиране и дешифриране на съобщения и файлове.

По подразбиране всички клиенти на приложението Webex получават цялостно шифроване с динамични ключове, съхранявани в облака KMS, в областта на защитата на Cisco. Хибридната защита на данните премества KMS и други свързани със сигурността функции във вашия корпоративен център за данни, така че никой освен вас не държи ключовете за вашето криптирано съдържание.

Архитектура на областта на сигурността

Архитектурата на облака на Webex разделя различните типове услуги в отделни области или домейни на доверие, както е описано по-долу.

***Сфери на разделяне (без хибридна защита на данните)***

За да разберем по-подробно хибридната защита на данните, нека първо разгледаме този случай в облака, където Cisco предоставя всички функции в своите облачни области. Услугата за самоличност, единственото място, където потребителите могат да бъдат пряко свързани с тяхната лична информация, като имейл адрес, е логично и физически отделена от областта на защитата в центъра за данни B. И двете от своя страна са отделени от областта, в която в крайна сметка се съхранява шифровано съдържание, в центъра за данни C.

На тази схема клиентът е приложението Webex, което се изпълнява на лаптопа на потребителя, и е удостоверен с услугата за самоличност. Когато потребителят композира съобщение за изпращане до интервал, се извършват следните стъпки:

Клиентът установява защитена връзка с услугата за управление на ключове (KMS), след което иска ключ за шифроване на съобщението. Защитената връзка използва ECDH, а KMS шифрова ключа с помощта на главния ключ AES-256.
Съобщението е шифровано преди да напусне клиента. Клиентът го изпраща на услугата за индексиране, която създава шифровани индекси за търсене, за да подпомогне при бъдещи търсения на съдържанието.
Шифрованото съобщение се изпраща на услугата за съответствие за проверки за съответствие.
Шифрованото съобщение се съхранява в областта на мястото за съхранение.

Когато разположите хибридна защита на данни, премествате функциите на областта на защитата (KMS, индексиране и съответствие) в своя локален център за данни. Другите услуги в облака, които съставляват Webex (включително съхранение на самоличност и съдържание), остават в областите на Cisco.

Сътрудничество с други организации

Потребителите във вашата организация могат редовно да използват приложението Webex за сътрудничество с външни участници в други организации. Когато един от вашите потребители поиска ключ за място, което е собственост на вашата организация (защото е създадено от един от вашите потребители), вашата KMS изпраща ключа на клиента чрез ECDH защитен канал. Когато обаче друга организация притежава ключа за пространството, вашият KMS маршрутизира заявката към облака Webex чрез отделен ECDH канал, за да получи ключа от съответния KMS и след това връща ключа на вашия потребител в оригиналния канал.

Услугата KMS, изпълнявана в организация А, валидира връзките към KMS в други организации, като използва x.509 PKI сертификати. Вижте Подготовка на средата за подробности относно генерирането на сертификат x.509, който да се използва с вашето разполагане на хибридна защита на данни.

Очаквания за внедряване на хибридна защита на данни

Внедряването на хибридна защита на данни изисква значителна ангажираност на клиентите и осведоменост за рисковете, които идват от притежанието на ключове за шифроване.

За да разположите хибридна защита на данни, трябва да предоставите:

Защитен център за данни в страна, която е поддържано местоположение за плановете на Cisco Webex Teams.
Оборудването, софтуерът и мрежовият достъп, описани в .

Пълната загуба или на конфигурационния ISO, който изграждате за хибридна защита на данни, или на базата данни, която предоставяте, ще доведе до загуба на ключове. Загубата на ключове не позволява на потребителите да дешифрират съдържанието в пространството и други шифровани данни в приложението Webex. Ако това се случи, можете да изградите ново разполагане, но ще се вижда само новото съдържание. За да избегнете загуба на достъп до данни, трябва:

Управлявайте архивирането и възстановяването на базата данни и конфигурационния ISO.
Бъдете готови да извършите бързо възстановяване след бедствие, ако възникне катастрофа, като повреда на диска на базата данни или бедствие на центъра за данни.

Няма механизъм за преместване на ключовете обратно в облака след разполагане на HDS.

Процес на настройка на високо ниво

Този документ обхваща настройката и управлението на разполагането на хибридна защита на данни:

Настройка на хибридна защита на данни – това включва подготовка на необходимата инфраструктура и инсталиране на софтуера на хибридна защита на данни, тестване на внедряването ви с поднабор от потребители в пробен режим и след като тестването ви завърши, преминаване към производство. Това конвертира цялата организация, за да използва вашия клъстер на хибридна защита на данни за функции на защитата.
Етапите на настройка, изпробване и производство са подробно описани в следващите три глави.
Поддържайте разполагането на хибридна защита на данни – Облакът на Webex автоматично предоставя текущи надстройки. Вашият ИТ отдел може да предостави поддръжка от първо ниво за това разполагане и да ангажира поддръжката на Cisco, ако е необходимо. В Control Hub можете да използвате известия на екрана и да настроите имейл предупреждения.
Разбиране на често срещаните предупреждения, стъпките за отстраняване на неизправности и известни проблеми – ако срещнете проблеми при разполагането или използването на хибридна защита на данни, последната глава от това ръководство и приложението „Известни проблеми“ могат да ви помогнат да определите и коригирате проблема.

Модел на разполагане на хибридна защита на данни

В рамките на вашия корпоративен център за данни разполагате с хибридна защита на данни като един клъстер от възли на отделни виртуални хостове. Възлите комуникират с облака на Webex чрез защитени уеб сокети и защитен HTTP.

По време на процеса на инсталиране ви предоставяме файла OVA, за да настроите виртуалния уред на VMs, които предоставяте. Използвайте инструмента за настройка на HDS, за да създадете персонализиран ISO файл за конфигуриране на клъстери, който да монтирате на всеки възел. Клъстерът на хибридна защита на данни използва предоставения ви сървър Syslogd и базата данни на PostgreSQL или Microsoft SQL Server. (Можете да конфигурирате подробностите за връзката на Syslogd и базата данни в инструмента за настройка на HDS.)

Минималният брой възли, които можете да имате в клъстер, е два. Препоръчваме поне по три на клъстер. Наличието на множество възли гарантира, че услугата не се прекъсва по време на надстройка на софтуера или друга дейност по поддръжка на даден възел. (Облакът на Webex надгражда само един възел в даден момент.)

Всички възли в клъстера имат достъп до един и същ файл с ключове и регистрационната активност към един и същ syslog сървър. Самите възли са без гражданство и обработват ключови заявки в кръгла форма, както е указано от облака.

Възлите стават активни, когато ги регистрирате в Control Hub. За да излезете от експлоатация отделен възел, можете да го дерегистрирате и по-късно да го регистрирате отново, ако е необходимо.

Поддържаме само един клъстер на организация.

Пробен режим на хибридна защита на данни

След като настроите разполагане на хибридна защита на данни, първо го изпробвайте с набор от пилотни потребители. По време на пробния период тези потребители използват вашия локален домейн за хибридна защита на данни за ключове за шифроване и други услуги от областта на защитата. Другите ви потребители продължават да използват областта на защита на облака.

Ако решите да не продължите с разполагането по време на пробния период и да деактивирате услугата, пилотните потребители и всички потребители, с които са взаимодействали чрез създаване на нови места по време на пробния период, ще загубят достъп до съобщенията и съдържанието. Те ще видят \„Това съобщение не може да бъде дешифрирано\“ в приложението Webex.

Ако сте доволни, че разполагането ви работи добре за пробните потребители и сте готови да разширите хибридната защита на данни до всички свои потребители, преместете разполагането в производство. Пилотните потребители продължават да имат достъп до ключовете, които са били използвани по време на пробния период. Не можете обаче да се движите напред-назад между производствения режим и първоначалното изпробване. Ако трябва да деактивирате услугата, например да извършите възстановяване след бедствие, когато активирате повторно, трябва да започнете нов пробен период и да настроите набора от пилотни потребители за новия пробен период, преди да се върнете към производствен режим. Дали потребителите запазват достъпа до данни в този момент зависи от това дали успешно сте поддържали резервни копия на хранилището за основни данни и конфигурационния файл за ISO за възлите на хибридна защита на данни във вашия клъстер.

Standby Data Center за възстановяване при бедствия

По време на разгръщането настройвате защитен център за данни в режим на готовност. В случай на бедствие на центъра за данни можете ръчно да не успеете при разполагането си в центъра за данни в режим на готовност.

Преди отказ Център за данни А има активни HDS възли и главната база данни PostgreSQL или Microsoft SQL Server, докато B има копие на ISO файла с допълнителни конфигурации, VMs, които са регистрирани в организацията, и база данни в режим на готовност. След отказ Център за данни Б има активни HDS възли и главната база данни, докато А има нерегистрирани VMs и копие на ISO файла, а базата данни е в режим на готовност. — ***Ръчно преместване при отказ в центъра за данни в режим на готовност***

Базите данни на активните центрове за данни и центровете за данни в режим на готовност са синхронизирани помежду си, което ще сведе до минимум времето, необходимо за извършване на превключването при отказ. ISO файлът на центъра за данни в режим на готовност се актуализира с допълнителни конфигурации, които гарантират, че възлите са регистрирани в организацията, но няма да се справят с трафика. Следователно възлите на центъра за данни в режим на готовност винаги остават актуални с най-новата версия на софтуера на HDS.

Активните възли на хибридна защита на данни трябва винаги да бъдат в същия център за данни като активния сървър с база данни.

Настройване на Standby Data Center за възстановяване при бедствия

Следвайте стъпките по-долу, за да конфигурирате ISO файла на центъра за данни в режим на готовност:

Преди да започнете

Центърът за данни в режим на готовност трябва да отразява производствената среда на VMs и архивна база данни PostgreSQL или Microsoft SQL Server. Например, ако производството има 3 VMs, работещи с HDS възли, резервната среда трябва да има 3 VMs. (Вижте Standby Data Center for Disaster Recovery за общ преглед на този модел на отказ.)
Уверете се, че синхронизирането на базата данни е разрешено между базата данни на активните и пасивните възли на клъстерите.

1	Стартирайте инструмента за настройка на HDS и следвайте стъпките, споменати в Създаване на конфигурационен ISO за хостовете на HDS. ISO файлът трябва да бъде копие на оригиналния ISO файл на основния център за данни, върху който трябва да се направят следните актуализации на конфигурацията.
2	След конфигурирането на сървъра Syslogd щракнете върху Разширени настройки
3	На страницата Разширени настройки добавете конфигурацията по-долу, за да поставите възела в пасивен режим. В този режим възелът ще бъде регистриран в организацията и свързан към облака, но няма да обработва никакъв трафик. `пасивенРежим: „вярно“`
4	Завършете процеса на конфигуриране и запишете ISO файла на лесно за намиране място.
5	Направете резервно копие на ISO файла в локалната си система. Поддържайте архивното копие защитено. Този файл съдържа главен ключ за шифроване за съдържанието на базата с данни. Ограничете достъпа само до онези администратори на хибридна защита на данни, които трябва да направят промени в конфигурацията.
6	В левия навигационен екран на клиента VMware vSphere щракнете с десния бутон върху VM и щракнете върху Редактиране на настройките..
7	Щракнете върху Редактиране на настройките >CD/DVD диск 1 и изберете Datastore ISO файл. Уверете се, че са отметнати Свързани и Свързване при включване , за да могат актуализираните промени в конфигурацията да влязат в сила след стартиране на възлите.
8	Включете възела на HDS и се уверете, че няма аларми поне 15 минути.
9	Повторете процеса за всеки възел в центъра за данни в режим на готовност. Проверете регистрационните файлове в syslog, за да потвърдите, че възлите са в пасивен режим. Трябва да можете да виждате съобщението „KMS, конфигурирано в пасивен режим“ в регистрационните файлове в syslog.

Какво да направите след това

След като конфигурирате passiveMode в ISO файла и го запишете, можете да създадете друго копие на ISO файла без конфигурацията на passiveMode и да го запишете на защитено място. Това копие на ISO файла без конфигуриран passiveMode може да помогне при бърз процес на отказ по време на възстановяване след бедствие. Вижте Възстановяване при бедствие с използване на Standby Data Center за подробната процедура при отказ.

Поддръжка на прокси

Hybrid Data Security поддържа изрични, прозрачни проверяващи и неинспектационни проксита. Можете да свържете тези проксита към разполагането си, така че да можете да подсигурите и наблюдавате трафика от предприятието навън към облака. Можете да използвате администраторски интерфейс на платформа на възлите за управление на сертификати и да проверите цялостното състояние на свързване, след като настроите прокси сървъра на възлите.

Хибридните възли за защита на данните поддържат следните опции за прокси:

Няма прокси сървър – Стойността по подразбиране, ако не използвате конфигурацията за настройка на HDS възел на доверено хранилище и прокси сървър за интегриране на прокси сървър. Не се изисква актуализация на сертификата.
Прозрачен прокси сървър без проверка – възлите не са конфигурирани да използват определен адрес на прокси сървъра и не трябва да изискват промени, за да работят с прокси сървър без проверка. Не се изисква актуализация на сертификата.
Прозрачно тунелиране или проверка на прокси сървъра – възлите не са конфигурирани да използват определен адрес на прокси сървъра. На възлите не са необходими промени в конфигурацията на HTTP или HTTPS. Възлите обаче се нуждаят от главен сертификат, така че да се доверяват на прокси. Проверяващите пълномощници обикновено се използват от It за прилагане на политики, на които могат да бъдат посетени уебсайтовете и кои видове съдържание не са разрешени. Този тип прокси дешифрира целия ви трафик (дори HTTPS).
Изричен прокси сървър – С изричния прокси сървър казвате на HDS кои прокси сървъри и схема за удостоверяване да използват. За да конфигурирате изрично прокси, трябва да въведете следната информация на всеки възел:
1. Прокси IP/FQDN – адрес, който може да се използва за свързване с прокси машината.
2. Прокси порт – номер на порт, който прокси сървърът използва за слушане за прокси трафик.
3. Прокси протокол – в зависимост от това, което поддържа прокси сървърът ви, изберете между следните протоколи:
  - HTTP—Преглежда и контролира всички заявки, които клиентът изпраща.
  - HTTPS—Предоставя канал на сървъра. Клиентът получава и валидира сертификата на сървъра.
4. Тип удостоверяване – изберете измежду следните типове удостоверяване:
  - Няма – Не се изисква допълнително удостоверяване.
    
    Налично, ако изберете или HTTP Или HTTPS като протокол за прокси.
  - Основни—Използва се за HTTP потребителски агент, за да предостави потребителско име и парола при подаване на заявка. Използва Base64 кодиране.
    
    Налично, ако изберете или HTTP Или HTTPS като протокол за прокси.
    
    Изисква да въведете потребителското име и паролата на всеки възел.
  - Обобщаване – използва се за потвърждаване на акаунта, преди да се изпрати чувствителна информация. Прилага хеш функция на потребителското име и паролата преди изпращане по мрежата.
    
    Предлага се само ако изберете HTTPS като протокол за прокси.
    
    Изисква да въведете потребителското име и паролата на всеки възел.

Пример за хибридни данни сигурност възли и прокси

Тази диаграма показва примерна връзка между защитата на хибридните данни, мрежата и прокси. За прозрачния инспектиращ и HTTPS изричен инспектиращ прокси опции, един и същ главен сертификат трябва да бъде инсталиран на прокси и на хибридните възли за защита на данните.

Блокиран режим на външна DNS разделителна способност (изрични прокси конфигурации)

Когато регистрирате възел или проверете конфигурацията на прокси сървъра на възела, процесът тества DNS справка и свързаност към облака Cisco Webex. В разполагане с изрични прокси конфигурации, които не позволяват външна DNS разделителна способност за вътрешни клиенти, ако възелът не може да заявка DNS сървъри, тя автоматично преминава в режим блокирани външни DNS резолюция. В този режим може да се процедира регистрация на възли и други тестове за свързване на прокси.

Подгответе средата си

Изисквания за хибридна защита на данните

Изисквания за лицензи за Cisco Webex

За да разположите хибридна защита на данните:

Трябва да имате Pro Pack за Cisco Webex Control Hub. (Вижте https://www.cisco.com/go/pro-pack.)

Изисквания за закачане на работния плот

Преди да инсталирате възлите на HDS, трябва Docker Desktop, за да изпълните инсталационна програма. Docker наскоро актуализира своя модел на лицензиране. Вашата организация може да изисква платен абонамент за Docker Desktop. За подробности вижте публикацията в блога на Docker, " Docker е Актуализиране и разширяване на нашите абонаментиза продукти".

X.509 Изисквания за сертификата

Веригата на сертификатите трябва да отговаря на следните изисквания:

Таблица 1. X.509 Изисквания за сертификата за разполагане на хибридна защита на данни
Изискване	Подробности
Подписан от надежден сертифициращ орган (CA)	По подразбиране се доверяваме на сертифициращите органи в списъка на Mozilla (с изключение на WoSign и StartCom) на https://wiki.mozilla.org/CA:IncludedCAs.
Носи общо име (CN) име на домейн, което идентифицира вашето разполагане на хибридна защита на данни Не е заместващ сертификат	CN не е нужно да е достъпен или хост на живо. Препоръчваме ви да използвате име, което отразява вашата организация, например `hds.company.com`. CN не трябва да съдържа * (заместващ символ). CN се използва за проверка на възлите на хибридна защита на данни за клиентите на приложението Webex. Всички възли на хибридна защита на данни във вашия клъстер използват един и същ сертификат. Вашият KMS се идентифицира с помощта на CN домейна, а не с произволен домейн, дефиниран в полетата x.509v3 SAN. След като сте регистрирали възел с този сертификат, не поддържаме промяна на името на CN домейна. Изберете домейн, който може да се прилага както за пробно, така и за производствени разполагания.
Подпис, който не е SHA1	Софтуерът KMS не поддържа подписи SHA1 за валидиране на връзки с KMS на други организации.
Форматиран като защитен с парола PKCS #12 файл Използвайте приятелското име на `kms-private-key` , за да маркирате сертификата, частния ключ и всички междинни сертификати за качване.	Можете да използвате конвертор, като OpenSSL, за да промените формата на сертификата си. Ще трябва да въведете паролата, когато стартирате инструмента за настройка на HDS.

Софтуерът KMS не налага използване на ключове или не разширява ограниченията за използване на ключове. Някои сертифициращи органи изискват за всеки сертификат да се прилагат разширени ограничения за използване на ключа, като например удостоверяване на сървъра. Добре е да използвате удостоверяване на сървъра или други настройки.

Изисквания за виртуален организатор

Виртуалните хостове, които ще настроите като възли на хибридна защита на данни във вашия клъстер, имат следните изисквания:

Поне два отделни хоста (препоръчва се 3), разположени съвместно в един и същ защитен център за данни
VMware ESXi 6.5 (или по-нова версия) е инсталиран и работи.

Трябва да надстроите, ако имате по-стара версия на ESXi.
Минимум 4 vCPU, 8 GB основна памет, 30 GB локално място на твърдия диск на сървър

Изисквания към сървъра за база данни

Създайте нова база данни за съхранение на ключове. Не използвайте базата данни по подразбиране. Приложенията на HDS, когато са инсталирани, създават схемата на базата с данни.

Има две опции за сървъра с база данни. Изискванията за всеки от тях са, както следва:

Таблица 2. Изисквания за сървъра с база данни по тип база данни
PostgreSQL	Microsoft SQL сървър
PostgreSQL 14, 15 или 16, инсталиран и се изпълнява.	Инсталиран е SQL Server 2016, 2017, или 2019 (корпоративен или стандартен). SQL Server 2016 изисква Service Pack 2 и Кумулативна актуализация 2 или по-нова версия.
Минимум 8 vCPU, 16 GB основна памет, достатъчно място на твърдия диск и наблюдение, за да се гарантира, че не е превишено (препоръчва се 2 TB, ако искате да стартирате базата данни дълго време, без да е необходимо да увеличавате мястото за съхранение)	Минимум 8 vCPU, 16 GB основна памет, достатъчно място на твърдия диск и наблюдение, за да се гарантира, че не е превишено (препоръчва се 2 TB, ако искате да стартирате базата данни дълго време, без да е необходимо да увеличавате мястото за съхранение)

HDS софтуерът в момента инсталира следните версии на драйвери за комуникация със сървъра с база данни:

PostgreSQL

Microsoft SQL сървър

Postgres JDBC драйвер 42.2.5

SQL Server JDBC драйвер 4.6

Тази версия на драйвера поддържа SQL Server Always On ( Винаги включен екземпляр на клъстера при отказ и Винаги включен групи за наличност).

Допълнителни изисквания за удостоверяване на Windows срещу Microsoft SQL Server

Ако искате HDS възлите да използват удостоверяване на Windows, за да получат достъп до вашата база данни на Keystore на Microsoft SQL Server, тогава е необходима следната конфигурация във вашата среда:

Възлите на HDS, инфраструктурата на Active Directory и MS SQL Server трябва да бъдат синхронизирани с NTP.
Акаунтът за Windows, който предоставяте на възли на HDS, трябва да има достъп за четене/запис до базата данни.
DNS сървърите, които предоставяте на HDS възли, трябва да могат да разрешават вашия център за разпределение на ключове (KDC).
Можете да регистрирате екземпляра на базата данни на HDS на Microsoft SQL Server като основно име на услуга (SPN) на Active Directory. Вижте Регистриране на основно име на услуга за Kerberos връзки.

Инструментът за настройка на HDS, HDS стартера и локалния KMS трябва да използват удостоверяване на Windows за достъп до базата данни на Keystore. Те използват подробностите от вашата ISO конфигурация, за да конструират SPN, когато заявяват достъп с удостоверяване на Kerberos.

Изисквания за външна връзка

Конфигурирайте защитната стена, за да разрешите следната свързаност за приложенията на хибридна защита на данни:

Приложение	Протокол	Порт	Посока от приложението	Местоназначение
Възли на хибридна защита на данни	TCP	443	Изходящи HTTPS и ВиК	Сървъри на Webex: .wbx2.com .ciscospark.com Всички организатори на Common Identity Други URL адреси, които са изброени за хибридна защита на данни в таблицата Допълнителни URL адреси за хибридни услуги на Webex на мрежовите изисквания за услугите на Webex
Инструмент за настройка на HDS	TCP	443	Изходящ HTTPS	*.wbx2.com Всички организатори на Common Identity hub.docker.com

Възлите на хибридна защита на данни работят с превод на мрежовия достъп (NAT) или зад защитна стена, при условие че NAT или защитната стена позволяват необходимите изходящи връзки към местоназначенията на домейна в предходната таблица. За връзки, влизащи във входящи възли на хибридна защита на данни, от интернет не трябва да се виждат портове. В рамките на вашия център за данни клиентите се нуждаят от достъп до възлите на хибридна защита на данни на TCP портове 443 и 22 за административни цели.

URL адресите за хостовете на Common Identity (CI) са специфични за региона. Това са текущите организатори на CI:

Регион	URL адреси на организатор на Common Identity
Северна и Южна Америка	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Европейски съюз	https://idbroker-eu.webex.com https://identity-eu.webex.com
Канада	https://idbroker-ca.webex.com https://identity-ca.webex.com

Изисквания към прокси сървъра

Ние официално поддържаме следните прокси решения, които могат да се интегрират с вашите възли hybrid Data Security.
- Прозрачен прокси-Уред за уеб защита cisco (WSA).
- Изрична прокси-Сепия.
  
  Прокси сървърите, които инспектират HTTPS трафика, могат да попречат на установяването на websocket (wss:) връзки. За да работите по този проблем, вижте Конфигуриране на прокси сървъри за хибридна защита на данни.
Ние поддържаме следните комбинации от тип удостоверяване за изрични проксита:
- Без удостоверяване с HTTP или HTTPS
- Базово удостоверяване с HTTP или HTTPS
- Смилане на удостоверяване само с HTTPS
За прозрачен проверяващ прокси или HTTPS изрично прокси, трябва да имате копие на главния сертификат на прокси. Инструкциите за разполагане в това ръководство ви казват как да качите копието в магазините за доверие на хибридните възли за защита на данните.
Мрежата, хостваща HDS възлите, трябва да бъде конфигурирана да принуди изходящия TCP трафик на порт 443 да маршрутизира през прокси сървъра.
Прокситата, които инспектират уеб трафика, може да пречат на връзките с уеб гнездото. Ако възникне този проблем, заобикалянето (не инспектирането) на трафика към wbx2.com и ciscospark.com ще реши проблема.

Изпълнете предварителните изисквания за хибридна защита на данни

Използвайте този контролен списък, за да гарантирате, че сте готови да инсталирате и конфигурирате своя клъстер на хибридна защита на данни.

1	Уверете се, че вашата организация в Webex е разрешена за Pro Pack за Cisco Webex Control Hub, и получете идентификационните данни за акаунт с пълни права на администратор на организацията. Свържете се с вашия партньор в Cisco или мениджър на акаунти за помощ с този процес.
2	Изберете име на домейн за разполагането на HDS (например `hds.company.com`) и получете верига от сертификати, съдържаща сертификат X.509, частен ключ и всички междинни сертификати. Веригата на сертификатите трябва да отговаря на изискванията в X.509 Изисквания за сертификат.
3	Подгответе идентични виртуални хостове, които ще настроите като възли на хибридна защита на данни във вашия клъстер. Имате нужда от поне два отделни организатора (препоръчва се 3), разположени съвместно в един и същ защитен център за данни, които отговарят на изискванията в Изисквания за виртуален организатор.
4	Подгответе сървъра с база данни, който ще действа като хранилище на данни за ключа за клъстера в съответствие с изискванията за сървъра с база данни. Сървърът на базата данни трябва да бъде разположен съвместно в защитения център за данни с виртуалните хостове. Създайте база данни за съхранение на ключове. (Трябва да създадете тази база данни – не използвайте базата данни по подразбиране. Приложенията на HDS, когато са инсталирани, създават схемата на базата с данни.) Съберете подробностите, които ще използват възлите за комуникация със сървъра с база данни: име на хост или IP адрес (хост) и порт името на базата с данни (dbname) за съхранение на ключа потребителското име и паролата на потребител с всички привилегии в базата данни за съхранение на ключа
5	За бързо възстановяване след бедствие настройте архивна среда в друг център за данни. Резервната среда отразява производствената среда на VMs и резервен сървър с база данни. Например, ако производството има 3 VMs, работещи с HDS възли, резервната среда трябва да има 3 VMs.
6	Настройте хост на syslog, за да събирате регистрационни файлове от възлите в клъстера. Съберете мрежовия му адрес и порта за syslog (по подразбиране е UDP 514).
7	Създайте правила за защитено архивиране за възлите на хибридна защита на данни, сървъра с база данни и хоста на syslog. Като минимум, за да предотвратите невъзстановима загуба на данни, трябва да архивирате базата данни и конфигурационния ISO файл, генериран за възлите на хибридна защита на данни. Тъй като възлите на хибридна защита на данни съхраняват ключовете, използвани за шифроване и дешифроване на съдържание, неподдържането на оперативно разполагане ще доведе до НЕВЪЗСТАНОВИМА ЗАГУБА на това съдържание. Клиентите на приложението Webex кешират ключовете си, така че прекъсването може да не се забележи веднага, но ще стане очевидно с течение на времето. Въпреки че е невъзможно да се предотвратят временните прекъсвания, те са възстановими. Обаче пълната загуба (няма налични резервни копия) на базата данни или конфигурационния ISO файл ще доведе до невъзстановими клиентски данни. От операторите на възлите на хибридна защита на данни се очаква да поддържат чести резервни копия на базата данни и конфигурационния ISO файл и да бъдат готови да възстановят центъра за данни на хибридна защита на данни, ако възникне катастрофална грешка.
8	Уверете се, че конфигурацията на защитната ви стена позволява свързване за вашите възли на хибридна защита на данни, както е описано в Изисквания за външна свързаност.
9	Инсталирайте Docker ( https://www.docker.com) на всяка локална машина, работеща с поддържана операционна система (Microsoft Windows 10 Professional или Enterprise 64-битова или Mac OSX Yosemite 10.10.3 или по-нова версия) с уеб браузър, който може да получи достъп до нея на http://127.0.0.1:8080. Можете да използвате екземпляр на Docker, за да изтеглите и изпълните инструмента за настройка на HDS, който изгражда информацията за локална конфигурация за всички възли на хибридна защита на данни. Вашата организация може да се нуждае от лиценз за настолен компютър за docker. Вижте Изисквания за закачане на работния плот за повече информация. За да инсталирате и стартирате инструмента за настройка на HDS, локалната машина трябва да има възможността за свързване, описана в Изисквания за външна свързаност.
10	Ако интегрирате прокси сървър с хибридна защита на данните, уверете се, че той отговаря на изискванията за прокси сървър.
11	Ако вашата организация използва синхронизиране на указатели, създайте група в Active Directory, наречена `HdsTrialGroup`, и добавете пилотни потребители. Пробната група може да има до 250 потребители. Обектът на `HdsTrialGroup` трябва да бъде синхронизиран с облака, преди да можете да започнете изпробване за вашата организация. За да синхронизирате групов обект, изберете го в менюто Конфигурация > Избор на обект на Directory Connector. (За подробни инструкции вижте Ръководство за разполагане на Cisco Directory Connector.) Бутоните за дадено място се задават от създателя на мястото. Когато избирате пилотни потребители, имайте предвид, че ако решите за постоянно да деактивирате разполагането на хибридна защита на данни, всички потребители губят достъп до съдържание в местата, които са създадени от пилотните потребители. Загубата става видима веднага щом приложенията на потребителите опреснят кешираните си копия на съдържанието.

Настройване на клъстер на хибридна защита на данни

Поток на задачи за разполагане на хибридна защита на данни

Преди да започнете

Подгответе средата си

1	Извършване на първоначалната настройка и изтегляне на инсталационни файлове Изтеглете OVA файла на вашата локална машина за по-късно използване.
2	Създаване на конфигурационен ISO за хостовете на HDS Използвайте инструмента за настройка на HDS, за да създадете ISO конфигурационен файл за възлите на хибридна защита на данни.
3	Инсталиране на HDS Host OVA Създайте виртуална машина от OVA файла и изпълнете първоначалната конфигурация, като например мрежови настройки. Опцията за конфигуриране на мрежовите настройки по време на разполагането на OVA е тествана с ESXi 6.5. Опцията може да не е налична в по-ранни версии.
4	Настройване на VM на хибридна защита на данни Влезте в конзолата на VM и задайте данните за вход. Конфигурирайте мрежовите настройки за възела, ако не сте ги конфигурирали към момента на разполагането на OVA.
5	Качване и монтиране на конфигурация ISO на HDS Конфигурирайте VM от ISO конфигурационния файл, който сте създали с инструмента за настройка на HDS.
6	Конфигуриране на HDS възел за интегриране на прокси сървър Ако мрежовата среда изисква конфигурация на прокси сървър, укажете типа прокси сървър, който ще използвате за възела, и добавете прокси сертификата към хранилището на гаранти, ако е необходимо.
7	Регистриране на първия възел в клъстера Регистрирайте VM с облака на Cisco Webex като възел на хибридна защита на данни.
8	Създаване и регистриране на още възли Завършете настройката на клъстера.
9	Изпълнение на пробен период и преминаване към производство (следваща глава) Докато не започнете пробен период, вашите възли генерират аларма, която показва, че услугата ви все още не е активирана.

Изтегляне на инсталационните файлове

В тази задача изтегляте OVA файл на вашата машина (а не на сървърите, които сте настроили като възли на хибридна защита на данни). Ще използвате този файл по-късно в процеса на инсталиране.

1	Влезте в https://admin.webex.com и щракнете върху Услуги.
2	В раздела „Хибридни услуги“ намерете картата „Хибридна защита на данни“ и след това щракнете върху Настройка. Ако картата е деактивирана или не я виждате, се свържете с екипа за вашия акаунт или с партньорската си организация. Дайте им номера на акаунта си и помолете организацията ви да активира за хибридна защита на данните. За да намерите номера на акаунта, щракнете върху зъбното колело горе вдясно до името на вашата организация. Можете също да изтеглите OVA по всяко време от раздела Помощ на страницата Настройки . На картата на хибридна защита на данни щракнете върху Редактиране на настройките , за да отворите страницата. След това щракнете върху Изтегляне на софтуера за хибридна защита на данни в раздела Помощ . По-старите версии на софтуерния пакет (OVA) няма да бъдат съвместими с най-новите надстройки на хибридна защита на данни. Това може да доведе до проблеми при надстройване на приложението. Уверете се, че сте изтеглили най-новата версия на OVA файла.
3	Изберете Не , за да посочите, че все още не сте настроили възела, след което щракнете върху Напред. OVA файлът започва автоматично да се изтегля. Запишете файла на местоположение на машината си.
4	Като опция щракнете върху Отваряне на ръководство за разполагане , за да проверите дали има налична по-нова версия на това ръководство.

Създаване на конфигурационен ISO за хостовете на HDS

Процесът на настройка на хибридна защита на данни създава ISO файл. След това използвайте ISO, за да конфигурирате своя хост на хибридна защита на данни.

Преди да започнете

Инструментът за настройка на HDS работи като Docker контейнер на локална машина. За достъп до него стартирайте Docker на тази машина. Процесът на настройка изисква идентификационните данни на акаунт в контролния център с пълни права на администратор за вашата организация.

Ако инструментът за настройка на HDS се изпълнява зад прокси сървър във вашата среда, осигурете настройките на прокси сървъра (сървър, порт, идентификационни данни) чрез променливите на средата за закачване на контейнера за закачване в стъпка 5. Тази таблица дава някои възможни променливи на средата:

Описание	Променлива
HTTP прокси без удостоверяване	`ГЛОБАЛЕН_АГЕНТ_HTTP_ПРОКСИ=http://СЪРВЪР_IP:PORT`
HTTPS прокси без удостоверяване	`ГЛОБАЛЕН_АГЕНТ_HTTPS_ПРОКСИ=http://СЪРВЪР_IP:PORT`
HTTP прокси с удостоверяване	`GLOBAL_AGENT_HTTP_PROXY=HTTP://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS прокси с удостоверяване	`ГЛОБАЛЕН_АГЕНТ_HTTPS_PROXY=HTTP://USERNAME:PASSWORD@SERVER_IP:PORT`

Конфигурационният ISO файл, който генерирате, съдържа главния ключ, шифрован в базата данни на PostgreSQL или Microsoft SQL Server. Трябва ви най-новото копие на този файл по всяко време, когато правите промени в конфигурацията, като тези:
- Идентификационни данни за базата данни
- Актуализации на сертификата
- Промени в правилата за упълномощаване
Ако планирате да шифровате връзките с бази данни, настройте разполагането на вашия PostgreSQL или SQL Server за TLS.

1

В командния ред на вашата машина въведете подходящата команда за вашата среда:

В нормални среди:

докер rmi ciscocitg/hds-setup: стабилен

В среди на FedRAMP:

докер rmi ciscocitg/hds-setup-fedramp: стабилен

Тази стъпка изчиства предишни изображения на инструмента за настройка на HDS. Ако няма предишни изображения, той връща грешка, която можете да игнорирате.

2

За да влезете в регистъра на изображения на Docker, въведете следното:

докер вход -u hdscustomersro

3

При подканата за парола въведете този хеш:

dckr_pat_aDP6V4KkrvpBwa

4

Изтеглете най-новото стабилно изображение за вашата среда:

В нормални среди:

докер издърпване ciscocitg/hds-setup: стабилен

В среди на FedRAMP:

докер издърпване ciscocitg/hds-setup-fedramp: стабилен

5

Когато изтеглянето приключи, въведете подходящата команда за вашата среда:

В нормални среди без прокси:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

В нормални среди с HTTP прокси:

изпълнение на докера -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

В редовни среди с HTTPS прокси:

изпълнение на докера -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

В среди на FedRAMP без прокси:

докер изпълнение -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:стабилен

В среди на FedRAMP с HTTP прокси:

изпълнение на докера -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

В среди на FedRAMP с HTTPS прокси:

изпълнение на докера -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Когато контейнерът работи, виждате „Експресен сървър слуша на порт 8080“.

6

Инструментът за настройка не поддържа свързване с localhost чрез http://localhost:8080. Използвайте http://127.0.0.1:8080 , за да се свържете с localhost.

Използвайте уеб браузър, за да отидете в локалния организатор, http://127.0.0.1:8080 и въведете потребителското име на администратора на клиента за Control Hub в подканата.

Инструментът използва този първи запис на потребителското име, за да зададе правилната среда за този акаунт. След това инструментът показва стандартната подкана за влизане.

7

Когато бъдете подканени, въведете идентификационните си данни за вход на администратор на клиенти в Control Hub и след това щракнете върху Влизане , за да позволите достъп до необходимите услуги за хибридна защита на данни.

8

На страницата „Преглед на инструмента за настройка“ щракнете върху Първи стъпки.

9

На страницата Импортиране на ISO имате следните опции:

Не– Ако създавате първия си HDS възел, нямате ISO файл за качване.
Да – Ако вече сте създали HDS възли, тогава изберете своя ISO файл в прегледа и го качете.

10

Проверете дали вашият сертификат X.509 отговаря на изискванията в X.509 Изисквания за сертификат.

Ако никога не сте качили сертификат преди, качете сертификата X.509, въведете паролата и щракнете върху Продължи.
Ако сертификатът ви е ОК, щракнете върху Продължи.
Ако сертификатът ви е изтекъл или искате да го замените, изберете Не за Продължаване на използването на веригата за сертификати на HDS и частния ключ от предишния ISO?. Качете нов сертификат X.509, въведете паролата и щракнете върху Продължи.

11

Въведете адреса на базата данни и акаунта за HDS, за да получите достъп до ключовия си datastore:

Изберете вашия тип база данни (PostgreSQL или Microsoft SQL Server).

Ако изберете Microsoft SQL Server, получавате поле за тип удостоверяване.
(Само за Microsoft SQL Server ) Изберете вашия тип удостоверяване:
- Базово удостоверяване: Необходимо е име на локален акаунт за SQL Server в полето Потребителско име .
- Удостоверяване на Windows: Имате нужда от акаунт за Windows във формат username@DOMAIN в полето Потребителско име .
Въведете адреса на сървъра с база данни във формуляра : или :.

Пример:
dbhost.example.org:1433 или 198.51.100.17:1433

Можете да използвате IP адрес за базово удостоверяване, ако възлите не могат да използват DNS за решаване на името на хоста.

Ако използвате удостоверяване на Windows, трябва да въведете напълно квалифицирано име на домейн във формат dbhost.example.org:1433
Въведете името на базата данни.
Въведете Потребителско име и Парола на потребител с всички привилегии в базата данни за съхранение на ключа.

12

Изберете режим на свързване с база данни TLS:

Режим	Описание
Предпочитане на TLS (опция по подразбиране)	HDS възлите не изискват TLS да се свърже със сървъра на базата данни. Ако разрешите TLS на сървъра с база данни, възлите правят опит за шифрована връзка.
Изисквайте TLS	HDS възли се свързват само ако сървърът на базата данни може да договори TLS.
Изисквайте TLS и проверете подписвача на сертификати	Този режим не е приложим за бази данни на SQL Server. HDS възли се свързват само ако сървърът на базата данни може да договори TLS. След установяването на TLS връзка възелът сравнява подписващия на сертификата от сървъра на базата данни с органа за сертифициране в корневи сертификат в базата данни. Ако не съвпадат, възелът изпуска връзката. Използвайте контролата за главен сертификат на базата данни под падащото, за да качите главния сертификат за тази опция.
Изисквайте TLS и проверете подписалия сертификат и хостовото име	HDS възли се свързват само ако сървърът на базата данни може да договори TLS. След установяването на TLS връзка възелът сравнява подписващия на сертификата от сървъра на базата данни с органа за сертифициране в корневи сертификат в базата данни. Ако не съвпадат, възелът изпуска връзката. Възлите също така проверяват дали името на хоста в сертификата на сървъра съвпада с името на хоста в полето Хост и порт в базата данни . Имената трябва да съвпадат точно или възелът пуска връзката. Използвайте контролата за главен сертификат на базата данни под падащото, за да качите главния сертификат за тази опция.

Когато качите корневи сертификат (ако е необходимо) и щракнете върху Продължи, инструментът за настройка на хибридна защита на данни тества TLS връзката към сървъра с база данни. Инструментът също така проверява подписалите сертификата и hostname, ако е приложимо. Ако даден тест е неуспешен, инструментът показва съобщение за грешка, описващо проблема. Можете да изберете дали да игнорирате грешката и да продължите с настройката. (Поради разликите в свързването възлите на HDS може да са в състояние да установят TLS връзката, дори ако машината с инструмента за настройка на HDS не може да я тества успешно.)

13

На страницата „Системни регистрационни файлове“ конфигурирайте сървъра си за Syslogd:

Въведете URL адреса на сървъра syslog.

Ако сървърът не може да се разрешава чрез DNS от възлите за вашия HDS клъстер, използвайте IP адрес в URL.

Пример:
udp://10.92.43.23:514 показва влизане в хоста Syslogd 10.92.43.23 на UDP порт 514.
Ако настроите сървъра си да използва TLS шифроване, отметнете Конфигуриран ли е вашият сървър syslog за SSL шифроване?.

Ако отметнете това квадратче, трябва да въведете URL адрес на TCP, като например tcp://10.92.43.23:514.
От падащия списък Избор на прекратяване на запис в syslog изберете подходящата настройка за вашия ISO файл: Избор или нов ред се използва за Graylog и Rsyslog TCP
- Нулев байт -- \x00
- Нов ред – \n – Изберете този избор за Graylog и Rsyslog TCP.
Щракнете върху Продължаване.

14

(По избор) Можете да промените стойността по подразбиране за някои параметри на връзката с база данни в Разширени настройки. По принцип този параметър е единственият, който може да искате да промените:

app_datasource_connection_pool_maxРазмер: 10

15

Щракнете върху Продължи на екрана Нулиране на паролата за акаунти за услуги .

Паролите за акаунта за услугата имат деветмесечен живот. Използвайте този екран, когато паролите ви наближават изтичане или искате да ги нулирате, за да invalidate previous ISO files.

16

Щракнете върху Изтегляне на ISO файл. Запишете файла на лесно за намиране място.

17

Направете резервно копие на ISO файла в локалната си система.

Поддържайте архивното копие защитено. Този файл съдържа главен ключ за шифроване за съдържанието на базата с данни. Ограничете достъпа само до онези администратори на хибридна защита на данни, които трябва да направят промени в конфигурацията.

18

За да затворите инструмента за настройка, напишете CTRL+C.

Какво да направите след това

Архивиране на конфигурационния ISO файл. Необходимо е, за да създадете повече възли за възстановяване или да направите промени в конфигурацията. Ако загубите всички копия на ISO файла, ще загубите и главния ключ. Възстановяването на ключовете от вашата база данни PostgreSQL или Microsoft SQL Server не е възможно.

Никога не разполагаме с копие на този ключ и не можем да ви помогнем, ако го изгубите.

Инсталиране на HDS Host OVA

Използвайте тази процедура, за да създадете виртуална машина от OVA файла.

1	Използвайте клиента VMware vSphere на вашия компютър, за да влезете във виртуалния хост на ESXi.
2	Изберете Файл > Разполагане на OVF шаблон.
3	В съветника укажете местоположението на OVA файла, който сте изтеглили по-рано, след което щракнете върху Напред.
4	На страницата Избор на име и папка въведете име на виртуална машина за възела (например "HDS_Node_1"), изберете местоположение, където може да се намира разполагането на възела на виртуалната машина, след което щракнете върху Напред.
5	На страницата Избор на изчислителен ресурс изберете целевия изчислителен ресурс и след това щракнете върху Напред. Извършва се проверка за валидиране. След като завърши, се показват подробностите за шаблона.
6	Проверете подробностите за шаблона и след това щракнете върху Напред.
7	Ако от вас бъде поискано да изберете конфигурацията на ресурсите на страницата Конфигурация , щракнете върху 4 процесора и след това щракнете върху Напред.
8	На страницата Избор на място за съхранение щракнете върху Напред , за да приемете формата на диска по подразбиране и правилата за съхранение на VM.
9	На страницата Избор на мрежи изберете опцията за мрежа от списъка със записи, за да осигурите желаната свързаност към VM.
10	На страницата Персонализиране на шаблон конфигурирайте следните мрежови настройки: Име на хост – въведете FQDN (име на хост и домейн) или една дума име на хост за възела. Не е необходимо да задавате домейна да съвпада с домейна, който сте използвали, за да получите сертификата X.509. За да гарантирате успешна регистрация в облака, използвайте само малки знаци във FQDN или името на хоста, които сте задали за възела. Капитализацията не се поддържа в този момент. Общата дължина на FQDN не трябва да надвишава 64 знака. IP адрес – Въведете IP адреса за вътрешния интерфейс на възела. Възелът трябва да има вътрешен IP адрес и DNS име. DHCP не се поддържа. Маска – Въведете адреса на маската на подмрежата с точка и запетая. Например 255.255.255.0. Шлюз – въведете IP адреса на шлюза. Шлюза е мрежов възел, който служи като точка за достъп до друга мрежа. DNS сървъри – Въведете списък с DNS сървъри, разделени със запетая, които обработват преобразуването на имената на домейни в цифрови IP адреси. (Разрешени са до 4 DNS записа.) NTP сървъри – Въведете NTP сървъра на вашата организация или друг външен NTP сървър, който може да се използва във вашата организация. NTP сървърите по подразбиране може да не работят за всички предприятия. Можете също да използвате списък, разделен със запетая, за да въведете няколко NTP сървъра. Разположете всички възли в една и съща подмрежа или VLAN, така че всички възли в клъстера да са достъпни от клиентите във вашата мрежа за административни цели. Ако предпочитате, можете да пропуснете конфигурацията на мрежовите настройки и да следвате стъпките в Настройване на VM на хибридна защита на данни , за да конфигурирате настройките от конзолата за възли. Опцията за конфигуриране на мрежовите настройки по време на разполагането на OVA е тествана с ESXi 6.5. Опцията може да не е налична в по-ранни версии.
11	Щракнете с десния бутон върху възела VM и след това изберете Захранване > Включване. Софтуерът за хибридна защита на данни е инсталиран като гост на VM Host. Вече сте готови да влезете в конзолата и да конфигурирате възела. Съвети за отстраняване на неизправности Може да усетите забавяне от няколко минути, преди контейнерите с възли да се появят. На конзолата се появява съобщение за защитна стена на мост по време на първото зареждане, по време на което не можете да влезете.

Настройване на VM на хибридна защита на данни

Използвайте тази процедура, за да влезете за първи път в конзолата на възела на хибридна защита на данни и да зададете данните за вход. Можете също да използвате конзолата, за да конфигурирате мрежовите настройки за възела, ако не сте ги конфигурирали по време на разполагането на OVA.

1	В клиента на VMware vSphere изберете своя възел на хибридна защита на данни VM и изберете раздела Конзола . VM се зарежда и се появява подкана за влизане. Ако подканата за влизане не се покаже, натиснете Enter.
2	Използвайте следните данни за влизане и парола по подразбиране, за да влезете и да промените идентификационните данни: Влизане: `администратор` Парола: `cisco` Тъй като влизате във вашия VM за първи път, трябва да промените паролата на администратора.
3	Ако вече сте конфигурирали мрежовите настройки в Инсталиране на HDS Host OVA, пропуснете останалата част от тази процедура. В противен случай в главното меню изберете опцията Редактиране на конфигурацията .
4	Настройте статична конфигурация с IP адрес, маска, шлюз и DNS информация. Възелът трябва да има вътрешен IP адрес и DNS име. DHCP не се поддържа.
5	(По избор) Променете името на хоста, домейна или NTP сървъра(ите), ако е необходимо, за да съответстват на мрежовите ви правила. Не е необходимо да задавате домейна да съвпада с домейна, който сте използвали, за да получите сертификата X.509.
6	Запишете мрежовата конфигурация и рестартирайте VM, за да влязат в сила промените.

Качване и монтиране на конфигурация ISO на HDS

Използвайте тази процедура, за да конфигурирате виртуалната машина от ISO файла, който сте създали с инструмента за настройка на HDS.

Преди да започнете

Тъй като ISO файлът съдържа главния ключ, той трябва да бъде изложен само на база „трябва да знаете“, за достъп от VM на хибридна защита на данни и всички администратори, които може да се наложи да направят промени. Уверете се, че само тези администратори имат достъп до datastore.

1

Качете ISO файла от компютъра си:

В левия навигационен екран на клиента VMware vSphere щракнете върху сървъра ESXi.
В списъка с хардуери на раздела за конфигуриране щракнете върху Място за съхранение.
В списъка Datastores щракнете с десния бутон върху datastore за вашите VMs и щракнете върху Преглед на Datastore.
Щракнете върху иконата Качване на файлове и след това щракнете върху Качване на файл.
Намерете местоположението, където сте изтеглили ISO файла на компютъра си, и щракнете върху Отвори.
Щракнете върху Да , за да приемете предупреждението за операцията за качване/изтегляне, и затворете диалоговия прозорец за данни.

2

Монтиране на ISO файла:

В левия панел за навигация на клиента VMware vSphere щракнете с десния бутон върху виртуалната машина и щракнете върху Редактиране на настройките.
Щракнете върху OK , за да приемете предупреждението за ограничени опции за редактиране.
Щракнете върху CD/DVD диск 1, изберете опцията за монтаж от ISO файл datastore и намерете местоположението, където сте качили конфигурационния ISO файл.
Отметнете Свързан и Свързване при включване.
Запишете промените си и рестартирайте виртуалната машина.

Какво да направите след това

Ако правилата за ИТ изискват, можете по избор да демонтирате ISO файла, след като всички ваши възли поемат промените в конфигурацията. Вижте (По избор) Демонтиране на ISO след конфигуриране на HDS за подробности.

Конфигуриране на HDS възел за интегриране на прокси сървър

Ако мрежовата среда изисква прокси, използвайте тази процедура, за да укажете вида на прокси, който искате да интегрирате с Hybrid Data Security. Ако изберете прозрачен проверяващ прокси или HTTPS изричен прокси, можете да използвате интерфейса на възела, за да качите и инсталирате главния сертификат. Можете също да проверите прокси връзката от интерфейса и да отстраните всички потенциални проблеми.

Преди да започнете

Вижте Поддръжка на прокси за общ преглед на поддържаните опции за прокси.
Изисквания към прокси сървъра

1	Въведете URL адреса за настройка на HDS възел `https://[HDS Възел IP или FQDN]/настройка` в уеб браузър, въведете администраторски идентификационни данни, които сте настроили за възела и след това щракнете върху Вход.
2	Отидете на Хранилище на доверие & Прокси , след което изберетеопция: Няма прокси сървър – опцията по подразбиране, преди да интегрирате прокси сървър. Не се изисква актуализация на сертификата. Прозрачен прокси сървър без проверка – възлите не са конфигурирани да използват определен адрес на прокси сървъра и не трябва да изискват промени, за да работят с прокси сървър без проверка. Не се изисква актуализация на сертификата. Прокси сървър за прозрачна проверка – възлите не са конфигурирани да използват определен адрес на прокси сървъра. Не httpS конфигурация промени са необходими в разполагането на защитата на хибридни данни, обаче HDS възли се нуждаят от главен сертификат, така че те се доверяват на прокси. Проверяващите пълномощници обикновено се използват от It за прилагане на политики, на които могат да бъдат посетени уебсайтовете и кои видове съдържание не са разрешени. Този тип прокси дешифрира целия ви трафик (дори HTTPS). Изричен прокси сървър – С изричния прокси сървър казвате на клиента (HDS възли) кой прокси сървър да използва, и тази опция поддържа няколко типа удостоверяване. След като изберете тази опция, трябва да въведете следната информация: Прокси IP/FQDN – адрес, който може да се използва за свързване с прокси машината. Прокси порт – номер на порт, който прокси сървърът използва за слушане за прокси трафик. Прокси протокол – изберете http (преглежда и управлява всички заявки, които се получават от клиента) или https (осигурява канал към сървъра и клиентът получава и валидира сертификата на сървъра). Изберете опция въз основа на това, което поддържа вашият прокси сървър. Тип удостоверяване – изберете измежду следните типове удостоверяване: Няма – Не се изисква допълнително удостоверяване. Налична за HTTP или HTTPS проксита. Основни—Използва се за HTTP потребителски агент, за да предостави потребителско име и парола при подаване на заявка. Използва Base64 кодиране. Налична за HTTP или HTTPS проксита. Ако изберете тази опция, трябва да въведете и потребителското име и паролата. Обобщаване – използва се за потвърждаване на акаунта, преди да се изпрати чувствителна информация. Прилага хеш функция на потребителското име и паролата преди изпращане по мрежата. Предлага се само за HTTPS проксита. Ако изберете тази опция, трябва да въведете и потребителското име и паролата. Изпълнете следващите стъпки за прозрачен проверяващ прокси, HTTP изрично прокси с базово удостоверяване или HTTPS изрично прокси.
3	Щракнете върху Качване на главен сертификат или Сертификат за краен обект и след това навигирайте до изберете главния сертификат запрокси. Сертификатът се качва, но все още не е инсталиран, защото трябва да рестартирате възела, за да инсталирате сертификата. Щракнете върху стрелката chevron по името на издателя на сертификата, за да получите повече подробности или щракнете върху Изтрий, ако сте направили грешка и искате да качите повторно файла.
4	Щракнете върху Проверка на прокси връзката, за да тествате мрежовата свързаност между възела и прокси. Ако тестът за връзка е неуспешен, ще видите съобщение за грешка, което показва причината и как можете да коригирате проблема. Ако видите съобщение, което казва, че външната DNS разделителна способност не е била успешна, възелът не е успял да достигне DNS сървъра. Това условие се очаква в много изрични прокси конфигурации. Можете да продължите с настройката и възелът ще функционира в режим на блокирано външно DNS разрешаване. Ако мислите, че това е грешка, изпълнете тези стъпки и след това вижте Изключване на режима на блокирано външно разрешаване на DNS.
5	След като тестът за връзка премине, за изрично прокси настроен само на https, включете превключването към Маршрут всички порт 443/444 https заявки от този възел през изрично прокси. Тази настройка изисква 15 секунди, за да влязат в сила.
6	Щракнете върху Инсталиране на всички сертификати в хранилището на гаранти (появява се за HTTPS изрично прокси или прозрачен проверяващ прокси) или Рестартиране (появява се за HTTP изрично прокси), прочетете подканата и след това щракнете върху Инсталиране, ако сте готови. Възелът се рестартира в рамките на няколко минути.
7	След рестартирането на възела влезте отново, ако е необходимо, след което отворете страницата Общ преглед, за да проверите проверките за свързване, за да се уверите, че всички те са в зелено състояние. Проверката на прокси връзката тества само поддомейн от webex.com. Ако има проблеми със свързването, често срещан проблем е, че някои от облачните домейни, изброени в инструкциите за инсталиране, се блокират в прокси.

Регистриране на първия възел в клъстера

Тази задача взема генеричния възел, който сте създали в Настройване на хибридна защита на данни VM, регистрира възела с облака на Webex и го превръща във възел на хибридна защита на данни.

Когато регистрирате първия си възел, създавате клъстер, към който е разпределен възелът. Клъстерът съдържа един или повече възли, разгърнати за осигуряване на резерв.

Преди да започнете

След като започнете да регистрирате възел, трябва да го завършите в рамките на 60 минути, или трябва да започнете отначало.
Погрижете се всички блокери на изскачащите прозорци във вашия браузър да са деактивирани или да разрешите изключение за admin.webex.com.

1	Влезте в https://admin.webex.com.
2	От менюто от лявата страна на екрана изберете Услуги.
3	В раздела „Хибридни услуги“ намерете „Хибридна защита на данни“ и щракнете върху Настройка. Показва се страницата с възел на хибридна защита на данни за регистриране.
4	Изберете Да , за да посочите, че сте настроили възела и сте готови да го регистрирате, след което щракнете върху Напред.
5	В първото поле въведете име за клъстера, към който искате да разпределите вашия възел на хибридна защита на данни. Препоръчваме ви да посочите клъстер въз основа на географското местоположение на клъстера. Примери: „Сан Франциско“ или „Ню Йорк“ или „Далас“
6	Във второто поле въведете вътрешния IP адрес или напълно квалифицирано име на домейн (FQDN) на вашия възел и щракнете върху Напред. Този IP адрес или FQDN трябва да съвпада с IP адреса или името на хоста и домейна, които сте използвали в Настройване на VM на хибридна защита на данни. Появява се съобщение, което показва, че можете да регистрирате възела в Webex.
7	Щракнете върху Към възел.
8	Щракнете върху Продължи в предупредителното съобщение. След няколко секунди ще бъдете пренасочени към тестовете за свързване на възлите за услугите на Webex. Ако всички тестове са успешни, се появява страницата \„Разрешаване на достъп до възел на хибридна защита на данни\“. Там потвърждавате, че искате да дадете разрешения на вашата организация в Webex за достъп до вашия възел.
9	Отметнете квадратчето Разрешаване на достъп до вашия възел на хибридна защита на данни и след това щракнете върху Продължи. Вашият акаунт е потвърден и съобщението \„Завършване на регистрацията\“ показва, че възелът вече е регистриран в облака на Webex.
10	Щракнете върху връзката или затворете раздела, за да се върнете към страницата на хибридна защита на данни в Control Hub. На страницата Хибридна защита на данни се показва новият клъстер, съдържащ възела, който сте регистрирали. Възелът автоматично ще изтегли най-новия софтуер от облака.

Създаване и регистриране на още възли

За да добавите допълнителни възли към вашия клъстер, просто създавате допълнителни VM и монтирате същия конфигурационен ISO файл, след което регистрирайте възела. Препоръчваме ви да имате поне 3 възела.

По това време резервните VM, които сте създали в Изпълнение на изискванията за хибридна защита на данните , са хостове в режим на готовност, които се използват само в случай на възстановяване след бедствие; те до тогава не са регистрирани в системата. За подробности вижте Възстановяване след бедствие с използване на Standby Data Center.

Преди да започнете

След като започнете да регистрирате възел, трябва да го завършите в рамките на 60 минути, или трябва да започнете отначало.
Погрижете се всички блокери на изскачащите прозорци във вашия браузър да са деактивирани или да разрешите изключение за admin.webex.com.

1	Създайте нова виртуална машина от OVA, като повторите стъпките в Инсталиране на HDS Host OVA.
2	Настройте първоначалната конфигурация на новия VM, като повторите стъпките в Настройване на хибридна защита на данни VM.
3	На новия VM повторете стъпките в Качване и монтиране на ISO на конфигурацията на HDS.
4	Ако настройвате прокси сървър за разполагането си, повторете стъпките в Конфигуриране на възела на HDS за интеграция на прокси сървър , както е необходимо за новия възел.
5	Регистрирайте възела. В https://admin.webex.com изберете Услуги от менюто от лявата страна на екрана. В раздела „Хибридни услуги“ намерете картата „Хибридна защита на данни“ и щракнете върху Ресурси. Показва се страницата с ресурси за хибридна защита на данни. Щракнете върху Добавяне на ресурс. В първото поле изберете името на съществуващия си клъстер. Във второто поле въведете вътрешния IP адрес или напълно квалифицирано име на домейн (FQDN) на вашия възел и щракнете върху Напред. Появява се съобщение, което показва, че можете да регистрирате възела в облака Webex. Щракнете върху Към възел. След няколко секунди ще бъдете пренасочени към тестовете за свързване на възлите за услугите на Webex. Ако всички тестове са успешни, се появява страницата \„Разрешаване на достъп до възел на хибридна защита на данни\“. Там потвърждавате, че искате да дадете разрешения на вашата организация за достъп до вашия възел. Отметнете квадратчето Разрешаване на достъп до вашия възел на хибридна защита на данни и след това щракнете върху Продължи. Вашият акаунт е потвърден и съобщението \„Завършване на регистрацията\“ показва, че възелът вече е регистриран в облака на Webex. Щракнете върху връзката или затворете раздела, за да се върнете към страницата на хибридна защита на данни в Control Hub. Възелът ви е регистриран. Имайте предвид, че докато не започнете пробен период, вашите възли генерират аларма, която показва, че услугата ви все още не е активирана.

Какво да направите след това

Изпълнение на пробен период и преминаване към производство (следваща глава)

Изпълнение на пробен период и преминаване към производство

Пробен в производствен поток на задачи

След като настроите клъстер на хибридна защита на данни, можете да стартирате пилотен проект, да добавите потребители към него и да започнете да го използвате за тестване и проверка на внедряването си в подготовка за преминаване към производство.

Преди да започнете

В тази задача изтегляте OVA файл на вашата машина (не на сървърите, които сте настроили като възли за хибридна сигурност на данните). Ще използвате този файл по-късно в процеса на инсталиране.

1	Ако е приложимо, синхронизирайте груповия обект `HdsTrialGroup` . Ако вашата организация използва синхронизиране на указатели за потребители, трябва да изберете групов обект `HdsTrialGroup` за синхронизиране с облака, преди да можете да започнете пробен период. За инструкции вижте Ръководство за разполагане на Cisco Directory Connector.
2	Активиране на пробен период Започнете пробен период. Докато не изпълните тази задача, вашите възли генерират аларма, която показва, че услугата все още не е активирана.
3	Тестване на вашето разполагане на хибридна защита на данни Проверете дали ключови заявки преминават към вашето разполагане на хибридна защита на данни.
4	Наблюдение на изправността на хибридна защита на данни Проверете статуса и настройте известия по имейл за алармите.
5	Добавяне или премахване на потребители от вашия пробен период
6	Завършете пробната фаза с едно от следните действия: Преминаване от изпробване към производство Прекратете пробния си период, без да се премествате в производство

Активиране на пробен период

Преди да започнете

Ако вашата организация използва синхронизиране на указатели за потребители, трябва да изберете групов обект HdsTrialGroup за синхронизиране с облака, преди да можете да започнете пробен период за вашата организация. За инструкции вижте Ръководство за разполагане на Cisco Directory Connector.

1	Влезте в https://admin.webex.comи изберете Услуги.
2	Под Хибридна защита на данни щракнете върху Настройки.
3	В раздела „Статус на услугата“ щракнете върху Започване на пробен период. Статусът на услугата се променя на пробен режим.
4	Щракнете върху Добавяне на потребители и въведете имейл адреса на един или повече потребители, за да пилотирате използването на вашите възли на хибридна защита на данни за услуги за шифроване и индексиране. (Ако вашата организация използва синхронизиране на указатели, използвайте Active Directory, за да управлявате пробната група, `HdsTrialGroup`.)

Тестване на вашето разполагане на хибридна защита на данни

Използвайте тази процедура, за да тествате сценариите за шифроване на хибридна защита на данни.

Преди да започнете

Настройте своето разполагане на хибридна защита на данни.
Активирайте пробния период и добавете няколко пробни потребители.
Уверете се, че имате достъп до syslog, за да потвърдите, че ключовите заявки се подават към вашето разполагане на хибридна защита на данни.

1

Бутоните за дадено място се задават от създателя на мястото. Влезте в приложението Webex като един от пилотните потребители и след това създайте място и поканете поне един пилотен потребител и един непилотен потребител.

Ако деактивирате разполагането на хибридна защита на данни, съдържанието в местата, които създават пилотни потребители, вече не е достъпно, след като бъдат заменени кешираните от клиента копия на ключовете за шифроване.

2

Изпратете съобщения до новото място.

3

Проверете изхода на syslog, за да потвърдите, че ключовите заявки се прехвърлят към вашето разполагане на хибридна защита на данни.

За да проверите за потребител, който първо създава защитен канал към KMS, филтрирайте на kms.data.method=create и kms.data.type=EPHEMERAL_KEY_COLLECTION:

Трябва да намерите запис като следния (идентификатори, съкратени за четливост):

2020-07-21 17:35:34.562 (+0000) ИНФОРМАЦИЯ KMS [pool-14-thread-1] - [KMS:ЗАЯВКА] получена, deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms: //hds2.org5.portun.us/statickeys/3[~]0 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2

За да проверите за потребител, който иска съществуващ ключ от KMS, филтрирайте на kms.data.method=retrieve и kms.data.type=KEY:

Трябва да намерите запис, като:

2020-07-21 17:44:19.889 (+0000) ИНФОРМАЦИЯ KMS [pool-14-thread-31] - [KMS:ЗАЯВКА] е получена, deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms: //hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=retrieve, kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriHost=ciscospark.com, kms.data.type=KEY, kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b

За да проверите за потребител, който е поискал създаването на нов KMS ключ, филтрирайте на kms.data.method=create и kms.data.type=KEY_COLLECTION:

Трябва да намерите запис, като:

2020-07-21 17:44:21.975 (+0000) ИНФОРМАЦИЯ KMS [pool-14-thread-33] - [KMS:ЗАЯВКА] е получена, deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms: //hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b

За да проверите за потребител, който е поискал създаването на нов KMS ресурсен обект (KRO), когато се създава пространство или друг защитен ресурс, филтрирайте на kms.data.method=create и kms.data.type=RESOURCE_COLLECTION:

Трябва да намерите запис, като:

2020-07-21 17:44:22.808 (+0000) ИНФОРМАЦИЯ KMS [pool-15-thread-1] - [KMS:ЗАЯВКА] е получена, deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms: //hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

Наблюдение на изправността на хибридна защита на данни

Индикатор за състоянието в Control Hub ви показва дали всичко е наред с разполагането на хибридна защита на данни. За по-активно предупреждаване се запишете за известия по имейл. Ще бъдете уведомени, когато има аларми, засягащи услугата, или надстройки на софтуера.

1	В Control Hub изберете Услуги от менюто от лявата страна на екрана.
2	В раздела „Хибридни услуги“ намерете „Хибридна защита на данни“ и щракнете върху Настройки. Показва се страницата с настройки за хибридна защита на данни.
3	В раздела \„Имейл известия\“ въведете един или повече имейл адреси, разделени със запетаи, и натиснете Enter.

Добавяне или премахване на потребители от вашия пробен период

След като активирате пробен период и добавите първоначалния набор от пробни потребители, можете да добавяте или премахвате членове на пробния период по всяко време, докато пробната версия е активна.

Ако премахнете потребител от пробния период, клиентът на потребителя ще поиска ключове и създаване на ключове от облака KMS вместо вашия KMS. Ако клиентът се нуждае от ключ, който се съхранява във вашия KMS, KMS в облака ще го извлече от името на потребителя.

Ако вашата организация използва синхронизиране на указатели, използвайте Active Directory (вместо тази процедура), за да управлявате пробната група HdsTrialGroup; можете да видите членовете на групата в Control Hub, но не можете да ги добавяте или премахвате.

1	Влезте в Control Hub, след което изберете Услуги.
2	Под Хибридна защита на данни щракнете върху Настройки.
3	В раздела „Пробен режим“ на областта „Статус на услугата“ щракнете върху Добавяне на потребители или щракнете върху Преглед и редактиране , за да премахнете потребители от пробния период.
4	Въведете имейл адреса на един или повече потребители за добавяне, или щракнете върху X от ИД на потребител, за да премахнете потребителя от пробния период. След това щракнете върху Запиши.

Преминаване от изпробване към производство

Когато сте доволни, че разполагането ви работи добре за пробните потребители, можете да преминете към производство. Когато преминете към производство, всички потребители в организацията ще използват вашия локален домейн за хибридна защита на данни за ключове за шифроване и други услуги от областта на защитата. Не можете да се върнете към пробен режим от производство, освен ако не деактивирате услугата като част от възстановяването след бедствие. Повторното активиране на услугата изисква да настроите нова пробна версия.

1	Влезте в Control Hub, след което изберете Услуги.
2	Под Хибридна защита на данни щракнете върху Настройки.
3	В секцията „Статус на услугата“ щракнете върху Преместване в производство.
4	Потвърдете, че искате да преместите всички ваши потребители в производство.

Прекратете пробния си период, без да се премествате в производство

Ако по време на пробния си период решите да не продължите с разполагането на хибридна защита на данни, можете да деактивирате хибридната защита на данни, която приключва пробния период и премества пробните потребители обратно към услугите за защита на данни в облака. Потребителите на пробния период ще загубят достъп до данните, които са шифровани по време на пробния период.

1	Влезте в Control Hub, след което изберете Услуги.
2	Под Хибридна защита на данни щракнете върху Настройки.
3	В раздела Деактивиране щракнете върху Деактивиране.
4	Потвърдете, че искате да деактивирате услугата и да прекратите пробния период.

Управление на вашето разполагане на HDS

Управление на разполагането на HDS

Използвайте описаните тук задачи, за да управлявате своето разполагане на хибридна защита на данни.

Задаване на график за надстройване на клъстери

Надстройките на софтуера за хибридна защита на данни се извършват автоматично на ниво клъстер, което гарантира, че всички възли винаги изпълняват една и съща софтуерна версия. Надстройванията се извършват съгласно графика за надстройване за клъстера. Когато е налична надстройка на софтуера, имате възможност ръчно да надстроите клъстера преди планираното време за надстройване. Можете да зададете конкретен график за надстройване или да използвате графика по подразбиране от 3:00 ч. дневно в Съединените щати: Америка/Лос Анджелис. Можете също да изберете да отложите предстоящото надстройване, ако е необходимо.

За да зададете графика за надстройване:

1	Влезте в Control Hub.
2	На страницата за общ преглед под хибридни услуги изберете Хибридна защита на данните.
3	На страницата с ресурси за хибридна защита на данни изберете клъстера.
4	В панела „Общ преглед“ вдясно, под „Настройки на клъстера“ изберете името на клъстера.
5	На страницата „Настройки“ под „Надстройване“ изберете часа и часовата зона за графика за надстройване. Забележка: Под часовата зона се показват следващата налична дата и час на надстройване. Можете да отложите надстройването до следващия ден, ако е необходимо, като щракнете върху Отложи.

Промяна на конфигурацията на възела

От време на време може да се наложи да промените конфигурацията на вашия възел за защита на хибридни данни поради причина като:

Промяна на x.509 сертификати поради изтичане или други причини.

Не поддържаме промяна на CN името на домейн на сертификат. Домейнът трябва да съответства на оригиналния домейн, използван за регистриране на клъстера.
Актуализиране на настройките на базата данни за промяна на реплика на базата данни PostgreSQL или Microsoft SQL Server.

Не поддържаме мигриране на данни от PostgreSQL към Microsoft SQL Server или обратното. За да превключите средата на базата данни, започнете ново внедряване на Hybrid Data Security.
Създаване на нова конфигурация за подготовка на нов център за данни.

Също така, за целите на защитата, Hybrid Data Security използва пароли за сервизен акаунт, които имат деветмесечен живот. След като инструментът за настройка на HDS генерира тези пароли, ги разполагате на всеки от вашите HDS възли във файла ISO config. Когато паролите на вашата организация са към изтичане, получавате известие от екипа на Webex за нулиране на паролата за вашия машинен акаунт. (Имейлът включва текста „Използвайте API на машинния акаунт, за да актуализирате паролата.“) Ако вашите пароли все още не са изтекли, инструментът ви дава две опции:

Софтуерно нулиране – И двете стари и нови пароли работят до 10 дни. Използвайте този период, за да замените постепенно ISO файла на възлите.
Твърдо нулиране – Старите пароли спират да работят незабавно.

Ако вашите пароли изтекат без нулиране, това се отразява на вашата HDS услуга, изисквайки незабавно хардуерно нулиране и подмяна на ISO файла на всички възли.

Използвайте тази процедура, за да генерирате нов конфигурационен ISO файл и да го приложите към вашия клъстер.

Преди да започнете

Инструментът за настройка на HDS работи като Docker контейнер на локална машина. За достъп до него стартирайте Docker на тази машина. Процесът на настройка изисква идентификационните данни на акаунт в контролния център с пълни права на администратор за вашата организация.

Ако инструментът за настройка на HDS се изпълнява зад прокси сървър във вашата среда, осигурете настройките на прокси сървъра (сървър, порт, идентификационни данни) чрез променливите на средата за закачване на контейнера за закачване в 1.e. Тази таблица дава някои възможни променливи на средата:

Описание	Променлива
HTTP прокси без удостоверяване	`ГЛОБАЛЕН_АГЕНТ_HTTP_ПРОКСИ=http://СЪРВЪР_IP:PORT`
HTTPS прокси без удостоверяване	`ГЛОБАЛЕН_АГЕНТ_HTTPS_ПРОКСИ=http://СЪРВЪР_IP:PORT`
HTTP прокси с удостоверяване	`GLOBAL_AGENT_HTTP_PROXY=HTTP://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS прокси с удостоверяване	`ГЛОБАЛЕН_АГЕНТ_HTTPS_PROXY=HTTP://USERNAME:PASSWORD@SERVER_IP:PORT`

Имате нужда от копие на текущия конфигурационен ISO файл, за да генерирате нова конфигурация. ISO съдържа главния ключ, криптиращ базата данни на PostgreSQL или Microsoft SQL Server. Имате нужда от ISO, когато правите промени в конфигурацията, включително идентификационни данни на база данни, актуализации на сертификати или промени в правилата за оторизация.

1	Използвайки Docker на локална машина, стартирайте HDS Setup Tool. В командния ред на вашата машина въведете подходящата команда за вашата среда: В нормални среди: `докер rmi ciscocitg/hds-setup: стабилен` В среди на FedRAMP: `докер rmi ciscocitg/hds-setup-fedramp: стабилен` Тази стъпка изчиства предишни изображения на инструмента за настройка на HDS. Ако няма предишни изображения, той връща грешка, която можете да игнорирате. За да влезете в регистъра на изображения на Docker, въведете следното: `докер вход -u hdscustomersro` При подканата за парола въведете този хеш: `dckr_pat_aDP6V4KkrvpBwa` Изтеглете най-новото стабилно изображение за вашата среда: В нормални среди: `докер издърпване ciscocitg/hds-setup: стабилен` В среди на FedRAMP: `докер издърпване ciscocitg/hds-setup-fedramp: стабилен` Уверете се, че сте изтеглили най-новия инструмент за настройка за тази процедура. Версиите на инструмента, създадени преди 22 февруари 2018 г., нямат екрани за нулиране на парола. Когато изтеглянето приключи, въведете подходящата команда за вашата среда: В нормални среди без прокси: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` В нормални среди с HTTP прокси: `изпълнение на докера -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` В нормални среди с HTTPSпрокси: `изпълнение на докера -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` В среди на FedRAMP без прокси: `докер изпълнение -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:стабилен` В среди на FedRAMP с HTTP прокси: `изпълнение на докера -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` В среди на FedRAMP с HTTPS прокси: `изпълнение на докера -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Когато контейнерът работи, виждате "Express сървър слушане на порт 8080." Използвайте браузър, за да се свържете с localhost, `http://127.0.0.1:8080`. Инструментът за настройка не поддържа свързване с localhost чрез http://localhost:8080. Използвайте http://127.0.0.1:8080 , за да се свържете с localhost. Когато получите подкана, въведете идентификационните си данни за влизане за клиент в Control Hub и след това щракнете върху Приемане , за да продължите. Импортирайте текущия конфигурационен ISO файл. Следвайте подканите, за да завършите инструмента и да изтеглите актуализирания файл. За да затворите инструмента за настройка, напишете `CTRL+C`. Създайте резервно копие на актуализирания файл в друг център за данни.
2	Ако имате работещ само един HDS възел, създайте нов VM възел на хибридна защита на данни и го регистрирайте, като използвате новия конфигурационен ISO файл. За по-подробни инструкции вижте Създаване и регистриране на още възли. Инсталирайте HDS хост OVA. Настройте HDS VM. Монтирайте актуализирания конфигурационен файл. Регистрирайте новия възел в контролния център.
3	За съществуващи HDS възли, които изпълняват по-стария конфигурационен файл, монтирайте ISO файла. Изпълнете следната процедура на всеки възел на свой ред, като актуализирате всеки възел, преди да изключите следващия възел: Изключете виртуалната машина. В левия панел за навигация на клиента VMware vSphere щракнете с десния бутон върху виртуалната машина и щракнете върху Редактиране на настройките. Щракнете върху `CD / DVD диск 1 , изберете опцията за монтиране от ISO файл и`прегледайте местоположението, където сте изтеглили новия конфигурационен ISO файл. Поставете отметка на Свързване при включване. Запазете промените си и включете виртуалната машина.
4	Повторете стъпка 3, за да замените конфигурацията на всеки останал възел, който изпълнява старата конфигурация.

Изключване на режим на блокирана външна DNS разделителна способност

Когато регистрирате възел или проверете конфигурацията на прокси сървъра на възела, процесът тества DNS справка и свързаност към облака Cisco Webex. Ако DNS сървърът на възела не може да разреши публични DNS имена, възелът автоматично преминава в режим на блокирана външна DNS разделителна способност.

Ако вашите възли са в състояние да разреши публични DNS имена чрез вътрешни DNS сървъри, можете да изключите този режим чрез повторно изпълнение на теста за прокси връзка на всеки възел.

Преди да започнете

Гарантирайте, че вашите вътрешни DNS сървъри могат да разрешават публични DNS имена, както и че вашите възли могат да комуникират с тях.

1	В уеб браузър отворете интерфейса на възела "Защита на хибридните данни" (IP адрес/настройка например въведете идентификационни данни за администриране, които https://192.0.2.0/setup), сте задали за възела, след което щракнете върху Влизане.
2	Отидете на Общ преглед (страницата по подразбиране). Когато е разрешено, блокирани външна DNS разделителна способност е зададена да .
3	Отидете на страницата Хранилище на доверие & Прокси.
4	Щракнете върху Проверка на прокси връзката. Ако видите съобщение, казващо, че външната DNS разделителна способност не е била успешна, възелът не е успял да достигне DNS сървъра и ще остане в този режим. В противен случай, след като рестартирате възела и да се върнете към страницата общ преглед, Блокиран външен DNS разделителна способност трябва да бъде зададено на не.

Какво да направите след това

Повторете теста за прокси връзка на всеки възел във вашия клъстер за защита на хибридни данни.

Премахване на възел

Използвайте тази процедура, за да премахнете възел на хибридна защита на данни от облака Webex. След като премахнете възела от клъстера, изтрийте виртуалната машина, за да предотвратите по-нататъшен достъп до вашите данни за защита.

1

Използвайте клиента на VMware vSphere на вашия компютър, за да влезете във виртуалния хост на ESXi и да изключите виртуалната машина.

2

Премахване на възела:

Влезте в Control Hub, след което изберете Услуги.
В картата на хибридна защита на данни щракнете върху Преглед на всички , за да покажете страницата с ресурси за хибридна защита на данни.
Изберете своя клъстер, за да се покаже неговият панел \„Общ преглед\“.
Щракнете върху Отваряне на списъка с възли.
В раздела „Възли“ изберете възела, който искате да премахнете.
Щракнете върху Действия > Дерегистриране на възел.

3

В клиента vSphere изтрийте VM. (В левия навигационен екран щракнете с десния бутон върху VM и щракнете върху Изтрий.)

Ако не изтриете VM, не забравяйте да демонтирате конфигурационния ISO файл. Без ISO файла не можете да използвате VM за достъп до вашите данни за защита.

Възстановяване след бедствие с използване на центъра за данни в режим на готовност

Най-критичната услуга, която вашият клъстер на хибридна защита на данни предоставя, е създаването и съхранението на ключове, използвани за шифроване на съобщения и друго съдържание, съхранени в облака на Webex. За всеки потребител в рамките на организацията, който е разпределен към хибридна защита на данни, заявките за създаване на нови ключове се насочват към клъстера. Клъстерът също така е отговорен за връщането на създадените ключове на всички потребители, упълномощени да ги извлекат, например членове на място за разговори.

Тъй като клъстерът изпълнява критичната функция за предоставяне на тези ключове, наложително е клъстерът да продължи да работи и да се поддържат подходящи резервни копия. Загубата на базата данни за хибридна защита на данни или на конфигурационния ISO, използван за схемата, ще доведе до НЕВЪЗСТАНОВИМА ЗАГУБА на клиентското съдържание. За предотвратяване на такава загуба са задължителни следните практики:

Ако при бедствие разполагането на HDS в основния център за данни стане недостъпно, следвайте тази процедура, за да се върнете ръчно към центъра за данни в режим на готовност.

1	Стартирайте инструмента за настройка на HDS и следвайте стъпките, споменати в Създаване на конфигурационен ISO за хостовете на HDS.
2	След конфигурирането на сървъра Syslogd щракнете върху Разширени настройки
3	На страницата Разширени настройки добавете конфигурацията по-долу или премахнете конфигурацията на `passiveMode` , за да направите възела активен. Възелът може да се справи с трафика, след като бъде конфигуриран. `пасивенРежим: невярно`
4	Завършете процеса на конфигуриране и запишете ISO файла на лесно за намиране място.
5	Направете резервно копие на ISO файла в локалната си система. Поддържайте архивното копие защитено. Този файл съдържа главен ключ за шифроване за съдържанието на базата с данни. Ограничете достъпа само до онези администратори на хибридна защита на данни, които трябва да направят промени в конфигурацията.
6	В левия навигационен екран на клиента VMware vSphere щракнете с десния бутон върху VM и щракнете върху Редактиране на настройките..
7	Щракнете върху Редактиране на настройките >CD/DVD диск 1 и изберете Datastore ISO файл. Уверете се, че са отметнати Свързани и Свързване при включване , за да могат актуализираните промени в конфигурацията да влязат в сила след стартиране на възлите.
8	Включете възела на HDS и се уверете, че няма аларми поне 15 минути.
9	Повторете процеса за всеки възел в центъра за данни в режим на готовност. Проверете изхода на syslog, за да потвърдите, че възлите на центъра за данни в режим на готовност не са в пасивен режим. „KMS, конфигурирани в пасивен режим“ не трябва да се показва в регистрационните файлове.

Какво да направите след това

След отказ, ако основният център за данни отново се активира, поставете отново центъра за данни в режим на готовност в пасивен режим, като следвате стъпките, описани в Настройка на центъра за данни в режим на готовност за възстановяване след бедствие.

(По избор) Демонтиране на ISO след конфигуриране на HDS

Стандартната конфигурация на HDS работи с монтирания ISO. Но някои клиенти предпочитат да не оставят ISO файловете постоянно монтирани. Можете да разглобите ISO файла, след като всички възли на HDS поемат новата конфигурация.

Все още използвате ISO файловете, за да направите промени в конфигурацията. Когато създавате нов ISO или актуализирате ISO чрез инструмента за настройка, трябва да монтирате актуализирания ISO на всички ваши HDS възли. След като всички ваши възли са приели промените в конфигурацията, можете да демонтирате ISO отново с тази процедура.

Преди да започнете

Надстройте всички ваши HDS възли до версия 2021.01.22.4720 или по-нова.

1	Затворете един от възлите си за HDS.
2	В уреда vCenter Server изберете възела на HDS.
3	Изберете Редактиране на настройките > CD/DVD диск и премахнете отметката от Datastore ISO файл.
4	Включете възела на HDS и се уверете, че няма аларми поне 20 минути.
5	Повторете за всеки HDS възел на смяна.

Отстраняване на неизправности в хибридна защита на данни

Преглед на предупрежденията и отстраняване на неизправности

Разполагането на хибридна защита на данни се счита за налично, ако всички възли в клъстера са недостъпни или клъстерът работи толкова бавно, че отнема време. Ако потребителите не могат да се свържат с вашия клъстер на хибридна защита на данни, те изпитват следните симптоми:

Не могат да се създават нови места (не могат да се създадат нови ключове)
Неуспешно дешифриране на съобщенията и заглавията на пространството за:
- Нови потребители, добавени към място (не могат да се извлекат ключове)
- Съществуващи потребители в място с помощта на нов клиент (не могат да се извлекат ключовете)
Съществуващите потребители в дадено място ще продължат да се изпълняват успешно, стига клиентите им да имат кеш с ключовете за шифроване

Важно е да наблюдавате правилно своя клъстер на хибридна защита на данни и да обръщате бързо към всички предупреждения, за да избегнете прекъсване на услугата.

Предупреждения

Ако има проблем с настройката на хибридна защита на данни, Control Hub показва предупреждения до администратора на организацията и изпраща имейли до конфигурирания имейл адрес. Предупрежденията обхващат много общи сценарии.

Таблица 1. Общи проблеми и стъпки за тяхното разрешаване
Предупреждение	Действие
Отказ на достъп до локална база данни.	Проверете за грешки в базата данни или проблеми с локалната мрежа.
Неуспешна връзка с локалната база данни.	Проверете дали сървърът с база данни е достъпен и дали са използвани правилните идентификационни данни за акаунта за услуга в конфигурацията на възела.
Неуспешен достъп до услугата в облака.	Проверете дали възлите имат достъп до сървърите на Webex, както е посочено в Изисквания за външна свързаност.
Подновяване на регистрацията за услуги в облака.	Регистрацията в услугите в облака беше прекъсната. Протича подновяване на регистрацията.
Регистрацията на услуги в облака е прекъсната.	Регистрирането в облачни услуги е прекратено. Услугата се затваря.
Услугата все още не е активирана.	Активирайте пробна версия или завършете преместването на пробната версия в производство.
Конфигурираният домейн не съответства на сертификата на сървъра.	Уверете се, че сертификатът на сървъра ви съответства на конфигурирания домейн за активиране на услугата. Най-вероятната причина е, че CN на сертификата наскоро е променен и сега е различен от CN, който е бил използван по време на първоначалната настройка.
Неуспешно удостоверяване в услугите в облака.	Проверете за точност и възможно изтичане на идентификационните данни за акаунта за услугата.
Неуспешно отваряне на локалния файл на клавиатурата.	Проверете за целостта и точността на паролата във файла с локалния клавиатура.
Сертификатът за локален сървър е невалиден.	Проверете датата на изтичане на сертификата на сървъра и потвърдете, че той е издаден от надежден сертифициращ орган.
Неуспешно публикуване на метриките.	Проверете достъпа до локалната мрежа до външни облачни услуги.
Директорията /media/configdrive/hds не съществува.	Проверете конфигурацията за монтаж на ISO на виртуалния хост. Проверете дали ISO файлът съществува, дали е конфигуриран да се монтира при рестартиране и дали се монтира успешно.

Отстраняване на неизправности в хибридна защита на данни

Използвайте следните общи насоки, когато отстранявате проблеми с хибридна защита на данни.

1	Прегледайте Control Hub за предупреждения и коригирайте всички елементи, които намерите там.
2	Прегледайте изхода на сървъра syslog за активност от разполагането на хибридна защита на данни.
3	Свържете се с поддръжката на Cisco.

Други бележки

Известни проблеми с хибридната защита на данните

Ако затворите своя клъстер на хибридна защита на данни (като го изтриете в Control Hub или като затворите всички възли), загубите своя ISO файл за конфигуриране или загубите достъп до базата данни на клавиатурата, вашите потребители на приложението Webex вече няма да могат да използват интервали в своя списък "Хора", създадени с ключове от вашия KMS. Това се отнася както за изпробване, така и за внедряване в производството. В момента нямаме заобиколно решение или корекция за този проблем и ви призовавам да не затваряте услугите си за HDS, след като обработват активни потребителски акаунти.
Клиент, който има съществуваща ECDH връзка към KMS, поддържа тази връзка за период от време (вероятно един час). Когато потребител стане член на изпробване на хибридна защита на данни, клиентът на потребителя продължава да използва съществуващата ECDH връзка, докато времето за изчакване изтече. Потребителят може също да излезе и да влезе отново в приложението Webex, за да актуализира местоположението, с което се свързва приложението за ключове за шифроване.

Същото поведение възниква, когато преместите изпробване в производство за организацията. Всички потребители, които не са пробни, със съществуващи ECDH връзки към предишните услуги за защита на данните ще продължат да използват тези услуги до предоговаряне на ECDH връзката (чрез изчакване или чрез излизане и обратно влизане).

Използване на OpenSSL за генериране на PKCS12 файл

Преди да започнете

OpenSSL е един инструмент, който може да се използва за създаване на PKCS12 файл в правилния формат за зареждане в инструмента за настройка на HDS. Има и други начини за това и ние не подкрепяме и не насърчаваме един път над друг.
Ако решите да използвате OpenSSL, ние предоставяме тази процедура като ръководство, за да ви помогнем да създадете файл, който отговаря на изискванията за сертификат X.509 в Изисквания за сертификат X.509. Разберете тези изисквания, преди да продължите.
Инсталирайте OpenSSL в поддържана среда. Вижте https://www.openssl.org софтуера и документацията.
Създайте частен ключ.
Започнете тази процедура, когато получите сертификата на сървъра от вашия сертифициращ орган (CA).

1	Когато получите сертификата на сървъра от вашия CA, запишете го като `hdsnode.pem`.
2	Показване на сертификата като текст и проверете подробностите. `openssl x509 -текст -noout -в hdsnode.pem`
3	Използвайте текстов редактор, за да създадете файл пакет сертификат, наречен `hdsnode-bundle.pem`. Пакетният файл трябва да включва сертификата на сървъра, всички междинни CA сертификати и корневи CA сертификати в следния формат: `-----начало на сертификат----- ### сертификат на сървър. ### -----край на сертификат--------------- начало на сертификат------ ### Междинен CA сертификат. ### -----край на сертификат--------------- начало на сертификат------ ### Корневи CA сертификат. ### -----край на сертификат-----`
4	Създайте .p12 файла с приятелското име `kms-частен-ключ`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Проверете подробностите за сертификата на сървъра. `openssl pkcs12 -в hdsnode.p12` Въведете парола при подкана да шифровате частния ключ, така че да се показва в изхода. След това се уверете, че частният ключ и първият сертификат включват линиите `friendlyName: kms-частен-ключ`. Пример: bash$ openssl pkcs12 -in hdsnode.p12 Въведете паролата за импортиране: MAC потвърди атрибути OK Bag friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Ключови атрибути: Въведете фраза за преминаване на PEM: Потвърждаване – Въведете фраза за достъп до PEM: -----BEGIN ENCRYPTED PRIVATE KEY----- -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE------ Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-----

Какво да направите след това

Върнете се, за да изпълните изискванията за хибридна защита на данни. Ще използвате файла hdsnode.p12 и паролата, която сте задали за него, в Създаване на конфигурационен ISO за организаторите на HDS.

Можете да използвате повторно тези файлове, за да поискате нов сертификат, когато първоначалният сертификат изтече.

Трафик между възлите на HDS и облака

Изходящ трафик за събиране на метрики

Възлите на хибридна защита на данни изпращат определени показатели към облака на Webex. Те включват системни метрики за heap max, използван heap, натоварване на процесора и брой нишки; метрики за синхронните и асинхронните нишки; метрики за предупрежденията, включващи праг на шифроване връзки, латентност или дължина на опашката за заявки; метрики за datastore; и метрики за връзката за шифроване. Възлите изпращат материали за шифрован ключ през нечестотен (отделен от заявката) канал.

Входящ трафик

Възлите на хибридна защита на данни получават следните типове входящ трафик от облака на Webex:

Заявки за шифроване от клиенти, които се маршрутизират от услугата за шифроване
Надстройки до софтуера за възли

Конфигуриране на прокси сървъри за хибридна защита на данните

Websocket не може да се свърже чрез сепия прокси

Прокси сървърите, които инспектират HTTPS трафика, могат да повлияят на създаването на websocket (в к:) връзки, които изискват хибридната защита на данните. Тези раздели дават насоки как да конфигурирате различни версии на Калмар, за да игнорирате wss: трафик за правилното функциониране на услугите.

Калмята 4 и 5

Добавете on_unsupported_protocol директивата към squid.conf:

on_unsupported_protocol тунел

Сепия 3.5.27

Успешно тествахме Hybrid Data Security със следните правила, добавени към squid.conf. Тези правила подлежат на промяна, тъй като разработваме функции и актуализираме webex облака.

acl wssMercuryConnection ssl::server_name_regex mercury-connection ssl_bump splice wssMercuryConnection acl step1 at_step SslBump1 acl step2 at_step SslBump2 acl step3 at_step SslBump3 ssl_bump надничане step1 всички ssl_bump stare step2 всички ssl_bump bump step3 всички

Предговор

Нова и променена информация

Дата	Направени промени
16 април 2026 г.	Актуализирани са изискванията към сървъра на базата данни, за да се добави поддръжка за PostgreSQL версии 17 и 18.
25 март 2026 г.	Актуализирана е паролата по подразбиране, използвана за влизане във виртуалната машина на възела за хибридна защита на данни.
5 декември 2025 г.	Актуализирано Създаване на ISO файл за конфигурация за HDS хостовете с правилния текст на потребителския интерфейс на страницата „Системни логове“ и добавяне на инструкция за качване на коренен сертификат на syslog при конфигуриране на TLS криптиране.
8 май 2025 г.	Актуализирани са изискванията за виртуален хост, потокът от задачи за внедряване на хибридна защита на даннии инсталирането на HDS Host OVA, за да се добави поддръжка за ESXi 8.0.
3 март 2025 г.	Добавено е стартиране на инструмента за настройка на HDS, използвайки раздела Podman Desktop. Добавена е бележка в Изисквания за Docker Desktop, предоставяща на клиентите алтернативна опция с отворен код. Актуализирано Създаване на ISO файл с конфигурация за HDS хостовете и Промяна на конфигурацията на възела с инструкции за използване на Podman Desktop за клиенти без лиценз за Docker Desktop.
30 януари 2025 г.	Добавен е SQL сървър версия 2022 към списъка с поддържани SQL сървъри в Изисквания към сървъра за бази данни.
7 януари 2025 г.	Актуализирани са изискванията за виртуален хост, потокът от задачи за внедряване на хибридна защита на даннии инсталирането на OVA на HDS хост, за да се покаже новото изискване на ESXi 7.0.
20 октомври 2023 г.	Актуализирана информация в Изисквания към сървъра на базата данни. Добавено Настройка на резервен център за данни за възстановяване след бедствия. Актуализирана информация в Резервен център за данни за възстановяване след бедствия и Възстановяване след бедствия с помощта на Резервен център за данни.
7 август 2023 г.	Добавена е бележка в Изтегляне на инсталационни файлове. Добавена е бележка в Създаване на ISO файл с конфигурация за HDS хостовете и Промяна на конфигурацията на възела.
23 май 2023 г.	Изтрита е информация от Изисквания за сървъра на базата данни с искане за активиране на функция чрез свързване с екипа за обслужване на клиенти. Актуализирана е информацията в Изисквания за външна свързаност и е добавена Канада към таблицата с CI хостове. Добавена е бележка в Очаквания за внедряване на хибридна сигурност на данните относно липсата на механизми за преместване на ключове обратно в облака.
6 декември 2022 г.	Изображенията на инструмента за настройка на HDS вече се хостват в хранилището на dockerhub `ciscocitg`. Актуализирано Създаване на ISO файл с конфигурация за HDS хостовете и Промяна на конфигурацията на възлите, за да се отразят промените в командите.
23 ноември 2022 г.	HDS възлите вече могат да използват Windows удостоверяване срещу Microsoft SQL Server. Актуализирана е темата Изисквания за сървъра на базата данни с допълнителни изисквания за този режим на удостоверяване. Актуализирано Създаване на ISO файл с конфигурация за HDS хостовете с процедурата за конфигуриране на удостоверяване на Windows на възлите. Актуализирана е темата Изисквания към сървъра на базата данни с нови минимално необходими версии (PostgreSQL 10).
13 октомври 2021 г.	Docker Desktop трябва да изпълни инсталационна програма, преди да можете да инсталирате HDS възли. Вижте Изисквания за Docker Desktop.
юни 24, 2021	Обърнете внимание, че можете да използвате повторно файла с личния ключ и CSR, за да заявите друг сертификат. Вижте Използване на OpenSSL за генериране на PKCS12 файл за подробности.
30 април 2021 г.	Изискването на виртуалната машина за локално дисково пространство е променено на 30 GB. Вижте Изисквания за виртуален хост за подробности.
24 февруари 2021	Инструментът за настройка на HDS вече може да работи зад прокси сървър. Вижте Създаване на ISO файл с конфигурация за HDS хостовете за подробности.
Февруари 2, 2021	HDS вече може да работи без монтиран ISO файл. Вижте (По избор) Демонтиране на ISO след HDS конфигурация за подробности.
11 януари 2021 г.	Добавена е информация за инструмента за настройка на HDS и прокси сървърите към Създаване на ISO файл за конфигурация за HDS хостовете.
13 октомври 2020 г	Актуализирано Изтегляне на инсталационни файлове.
08 октомври 2020 г.	Актуализирано Създаване на ISO конфигурационен файл за HDS хостовете и Промяна на конфигурацията на възела с команди за FedRAMP среди.
14 август 2020 г	Актуализирано Създаване на ISO файл с конфигурация за HDS хостовете и Промяна на конфигурацията на възела с промени в процеса на влизане.
5 август 2020 г	Актуализирано Тествайте внедряването на хибридна защита на данните за промени в съобщенията в лог файловете. Актуализирани са изисквания за виртуален хост, за да се премахне максималният брой хостове.
16 юни 2020 г	Актуализирано Премахване на възел за промени в потребителския интерфейс на Control Hub.
4 юни 2020 г	Актуализирано Създайте ISO файл с конфигурация за HDS хостовете за промени в разширените настройки, които може да зададете.
29 май 2020 г	Актуализирано Създаване на ISO конфигурационен файл за HDS хостовете, за да се покаже, че можете да използвате TLS и с бази данни на SQL Server, промени в потребителския интерфейс и други пояснения.
5 май 2020 г	Актуализирани са изискванията за виртуален хост, за да се покажат новите изисквания на ESXi 6.5.
21 април 2020 г.	Актуализирани изисквания за външна свързаност с нови хостове за CI в Америка.
1 април 2020 г.	Актуализирани изисквания за външна свързаност с информация за регионални CI хостове.
20 февруари 2020 г	Актуализирано Създаване на ISO файл с конфигурация за HDS хостовете с информация за новия опционален екран за разширени настройки в инструмента за настройка на HDS.
14 февруари 2019 г.	Актуализирани изисквания за прокси сървър.
16 декември 2019 г.	Изяснено е изискването режимът за разрешаване на блокирани външни DNS адреси да работи в Изисквания за прокси сървър.
19 ноември 2019	Добавена е информация за режима за разрешаване на блокирани външни DNS адреси в следните раздели: Поддръжка на прокси Конфигуриране на HDS възел за интегриране на прокси сървър Изключване на режим на блокирана външна DNS разделителна способност
8 ноември 2019 г	Вече можете да конфигурирате мрежови настройки за възел, докато разполагате OVA, а не след това. Следните раздели са актуализирани съответно: Поток на задачи за внедряване на хибридна сигурност на данни Инсталирайте HDS Host OVA Настройване на виртуална машина за хибридна защита на данни Опцията за конфигуриране на мрежови настройки по време на внедряване на OVA е тествана с ESXi 6.5. Опцията може да не е налична в по-ранни версии.
6 септември 2019 г	Добавен е SQL Server Standard към изискванията за сървър на база данни.
Август 29, 2019	Добавено е приложение Конфигуриране на Squid прокси за хибридна сигурност на данните с насоки за конфигуриране на Squid прокси сървъри, за да игнорират трафика на websocket за правилна работа.
Август 20, 2019	Добавени и актуализирани раздели, обхващащи поддръжката на прокси за комуникации на възли за хибридна сигурност на данни към облака Webex. Поддръжка на прокси Изисквания към прокси сървъра Конфигуриране на HDS възел за интегриране на прокси сървър За достъп само до съдържанието за поддръжка на прокси за съществуващо внедряване, вижте помощната статия Поддръжка на прокси за хибридна сигурност на данни и Webex Video Mesh.
13 юни 2019 г.	Актуализиран поток на задачи от пробен към производствен период с напомняне за синхронизиране на груповия обект `HdsTrialGroup` преди стартиране на пробен период, ако вашата организация използва синхронизиране на директории.
6 март 2019 г.	Изискванията и предварителните условия са преместени в отделна глава, Подгответе вашата среда. Добавен е общият преглед на потока от задачи за внедряване на хибридна защита на данни в главата Настройване на клъстер за хибридна защита на данни. Обърнете внимание, че докато не започнете пробен период (използвайки инструкциите в следващата глава), вашите възли генерират аларма, показваща, че услугата ви все още не е активирана. Добавен е потокът от задачи „Пробен период към производствен период “ в главата „ Изпълнение на пробен период и преминаване към производствен период.
Февруари 28, 2019	Коригирано е количеството локално дисково пространство на сървър, което трябва да се задели при подготовката на виртуалните хостове, които стават възлите за хибридна защита на данни, от 50 GB на 20 GB, за да се отрази размерът на диска, създаван от OVA.
26 февруари 2019 г.	Хибридните възли за сигурност на данните вече поддържат криптирани връзки със сървъри на бази данни PostgreSQL и криптирани връзки за регистриране към syslog сървър, съвместим с TLS. Актуализирано Създаване на ISO файл с конфигурация за HDS хостовете с инструкции. Премахнати са целеви URL адреси от таблицата „Изисквания за интернет свързаност за виртуални машини на хибридни възли за сигурност на данни“. Таблицата вече препраща към списъка, поддържан в таблицата „Допълнителни URL адреси за Webex Teams Hybrid Services“ на Мрежови изисквания за Webex Teams Services.
Януари 24, 2019	Хибридната сигурност на данните вече поддържа Microsoft SQL Server като база данни. SQL Server Always On (Always On Failover Clusters и Always on Availability Groups) се поддържа от JDBC драйверите, които се използват в Hybrid Data Security. Добавено е съдържание, свързано с внедряването със SQL Server. Поддръжката на Microsoft SQL Server е предназначена само за нови разполагания на хибридната защита на данните. Понастоящем не поддържаме мигриране на данни от PostgreSQL към Microsoft SQL Server в съществуващо разполагане.
5 ноември 2018 г.	Добавена е предварителна стъпка за почистване на всички съществуващи инстанции на docker hds в Създаване на ISO файл с конфигурация за HDS хостовете и Промяна на конфигурацията на възела. Актуализирана е стъпката за ниво на достъп на ключа в Създаване на ISO файл с конфигурация за HDS хостовете, за да съответства на интерфейса.
19 октомври 2018 г.	Разделете информацията за връзката на защитната стена на изисквания за възел и изисквания за машина за ISO конфигурация в Попълнете предварителните изисквания за хибридна сигурност на данните.
31 юли 2018 г.	Добавен е порт 22 (SSH достъп) и информация за NAT и защитни стени връзки към Завършване на предварителните изисквания за хибридна сигурност на данните.
21 май 2018 г.	Променена терминология, за да отрази ребрандирането на Cisco Spark: Хибридната защита на данни на Cisco Spark вече е хибридна защита на данни. Приложението Cisco Spark вече е приложението Webex App. Облакът за сътрудничество на Cisco вече е облакът Webex.
11 април 2018 г.	Добавен резервен център за данни за възстановяване след бедствия. Актуализирано Попълнете предварителните изисквания за хибридна сигурност на данните, за да укажете, че средата за архивиране трябва да бъде в различен център за данни. Актуализирано Възстановяване след бедствия с помощта на резервен център за данни.
22 февруари 2018 г	Добавена е информация за 9-месечния срок на валидност на паролата за сервизен акаунт и използването на инструмента HDS Setup за нулиране на паролите за сервизни акаунти в Създаване на ISO файл с конфигурация за HDS хостовете и Промяна на конфигурацията на възела.
15 февруари 2018	В таблицата X.509 Certificate Requirements е посочено, че сертификатът не може да бъде сертификат със заместващ символ и че KMS използва CN домейна, а не който и да е домейн, дефиниран в полетата x.509v3 SAN.
18 януари 2018	Добавено е приложение, Трафик между HDS възлите и облака. Премахнат е разрешен проблем от Известни проблеми за хибридна сигурност на данните. Променено е index.docker.io на .docker.io и добави .cloudfront.net към списъка с изисквания за TCP свързаност за HDS възлите в Изпълнете предварителните изисквания за хибридна сигурност на данните. Актуализирано Създайте ISO файл за конфигурация за HDS хостовете, за да посочите, че ако хостът на базата данни и Syslogd сървърът не са DNS-разрешими от HDS възлите, трябва да ги конфигурирате, използвайки IP адреси.
2 ноември 2017 г	Изяснена е синхронизацията на директории на HdsTrialGroup. Поправени са инструкциите за качване на ISO конфигурационния файл за монтиране към VM възлите.
18 август 2017 г.	Първо публикувано

Започнете с хибридна сигурност на данните

Преглед на хибридната сигурност на данните

От първия ден сигурността на данните е основният фокус при проектирането на приложението Webex. Крайъгълният камък на тази сигурност е цялостното криптиране на съдържание, активирано от клиенти на Webex App, взаимодействащи с услугата за управление на ключове (KMS). KMS отговаря за създаването и управлението на криптографски ключове, които клиентите използват за динамично криптиране и дешифриране на съобщения и файлове.

По подразбиране всички клиенти на Webex App получават криптиране от край до край с динамични ключове, съхранявани в облачната KMS система в областта на сигурността на Cisco. Хибридната защита на данните премества KMS и други свързани със сигурността функции във вашия корпоративен център за данни, така че никой освен вас не държи ключовете за вашето криптирано съдържание.

Архитектура на сферата на сигурността

Облачната архитектура на Webex разделя различните видове услуги в отделни области или доверителни домейни, както е показано по-долу.

За да разберем по-добре хибридната сигурност на данните, нека първо разгледаме този случай с чист облак, където Cisco предоставя всички функции в своите облачни сфери. Услугата за идентификация, единственото място, където потребителите могат да бъдат директно свързани с личната си информация, като например имейл адрес, е логически и физически отделена от сферата на сигурност в център за данни B. И двете от своя страна са отделни от сферата, където в крайна сметка се съхранява криптирано съдържание, в център за данни C.

На тази диаграма клиентът е приложението Webex, работещо на лаптопа на потребителя, и е удостоверено с услугата за удостоверяване. Когато потребителят състави съобщение за изпращане до пространство, се извършват следните стъпки:

Клиентът установява защитена връзка с услугата за управление на ключове (KMS), след което изисква ключ за криптиране на съобщението. Защитената връзка използва ECDH, а KMS криптира ключа с помощта на главен ключ AES-256.
Съобщението се криптира, преди да напусне клиента. Клиентът го изпраща към услугата за индексиране, която създава криптирани индекси за търсене, за да подпомогне бъдещите търсения на съдържанието.
Криптираното съобщение се изпраща до службата за съответствие за проверки за съответствие.
Криптираното съобщение се съхранява в хранилището.

Когато внедрявате хибридна защита на данни, премествате функциите на областта на сигурност (KMS, индексиране и съответствие) във вашия локален център за данни. Другите облачни услуги, които съставляват Webex (включително съхранението на самоличност и съдържание), остават в сферата на Cisco.

Сътрудничество с други организации

Потребителите във вашата организация може редовно да използват приложението Webex, за да си сътрудничат с външни участници в други организации. Когато един от вашите потребители поиска ключ за пространство, собственост на вашата организация (защото е създадено от един от вашите потребители), вашата KMS система изпраща ключа на клиента по защитен канал на ECDH. Когато обаче друга организация притежава ключа за пространството, вашата KMS система пренасочва заявката към облака Webex през отделен ECDH канал, за да получи ключа от съответната KMS система, след което връща ключа на вашия потребител по оригиналния канал.

Услугата KMS, работеща в организация A, валидира връзките към KMS системи в други организации, използвайки сертификати x.509 PKI. Вижте Изисквания за хибридна сигурност на данните (в тази статия) за подробности относно генерирането на сертификат x.509, който да се използва с вашето внедряване на хибридна сигурност на данните.

Очаквания за внедряване на хибридна сигурност на данните

Внедряването на хибридна сигурност на данните изисква значителен ангажимент от страна на клиента и осъзнаване на рисковете, свързани с притежаването на ключове за криптиране.

За да внедрите хибридна сигурност на данните, трябва да предоставите:

Сигурен център за данни в държава, която е поддържано местоположение за плановете на Cisco Webex Teams.
Оборудването, софтуерът и мрежовият достъп, описани в Изисквания за хибридна сигурност на данните.

Пълната загуба на ISO файла с конфигурацията, който създавате за Hybrid Data Security, или на предоставената от вас база данни ще доведе до загуба на ключовете. Загубата на ключ не позволява на потребителите да декриптират съдържанието на пространството и други криптирани данни в приложението Webex. Ако това се случи, можете да изградите ново внедряване, но ще бъде видимо само ново съдържание. За да избегнете загуба на достъп до данни, трябва:

Управлявайте архивирането и възстановяването на базата данни и ISO файла с конфигурацията.
Бъдете готови да извършите бързо възстановяване след бедствие, ако възникне катастрофа, като например повреда на диска на базата данни или бедствие в центъра за данни.

Няма механизъм за преместване на ключове обратно в облака след внедряване на HDS.

Процес на настройка на високо ниво

Този документ обхваща настройката и управлението на внедряване на хибридна защита на данните:

Настройка на хибридна сигурност на данните— Това включва подготовка на необходимата инфраструктура и инсталиране на софтуер за хибридна сигурност на данните, тестване на внедряването с подмножество от потребители в пробен режим и, след като тестването приключи, преминаване към производство. Това преобразува цялата организация, за да използва вашия хибриден клъстер за сигурност на данни за функции за сигурност.
Фазите на настройка, изпробване и производство са разгледани подробно в следващите три глави.
Поддържайте внедряването си за хибридна сигурност на данните— Облакът Webex автоматично предоставя текущи надстройки. Вашият ИТ отдел може да осигури поддръжка от първо ниво за това внедряване и да ангажира поддръжка от Cisco, ако е необходимо. Можете да използвате екранни известия и да настройвате имейл известия в Control Hub.
Разберете често срещаните предупреждения, стъпките за отстраняване на неизправности и известните проблеми— Ако срещнете проблеми с внедряването или използването на Hybrid Data Security, последната глава на това ръководство и приложението „Известни проблеми“ могат да ви помогнат да определите и отстраните проблема.

Модел за внедряване на хибридна сигурност на данните

В рамките на вашия корпоративен център за данни, вие внедрявате Hybrid Data Security като един клъстер от възли на отделни виртуални хостове. Възлите комуникират с облака Webex чрез защитени уеб сокети и защитен HTTP.

По време на инсталационния процес ви предоставяме OVA файла, за да настроите виртуалното устройство на предоставените от вас виртуални машини. Използвате инструмента за настройка на HDS, за да създадете персонализиран ISO файл за конфигурация на клъстера, който монтирате на всеки възел. Клъстерът за хибридна сигурност на данни използва предоставения от вас Syslogd сървър и база данни PostgreSQL или Microsoft SQL Server. (Конфигурирате Syslogd и подробностите за връзката с базата данни в инструмента за настройка на HDS.)

Модел за внедряване на хибридна сигурност на данните

Минималният брой възли, които можете да имате в клъстер, е два. Препоръчваме поне три на клъстер. Наличието на множество възли гарантира, че услугата няма да бъде прекъсната по време на надстройка на софтуера или друга дейност по поддръжка на даден възел. (Облакът Webex надгражда само един възел наведнъж.)

Всички възли в клъстера имат достъп до едно и също хранилище за ключови данни и регистрират активността си на един и същ syslog сървър. Самите възли са без състояние и обработват ключови заявки по кръгов начин, както е указано от облака.

Възлите стават активни, когато ги регистрирате в Control Hub. За да извадите отделен възел от експлоатация, можете да го отпишете и по-късно да го регистрирате отново, ако е необходимо.

Поддържаме само един клъстер на организация.

Пробен режим на хибридна сигурност на данните

След като настроите внедряване на хибридна защита на данни, първо го изпробвате с набор от пилотни потребители. По време на пробния период тези потребители използват вашия локален домейн Hybrid Data Security за ключове за криптиране и други услуги за сигурност. Другите ви потребители продължават да използват областта за сигурност в облака.

Ако решите да не продължите с внедряването по време на пробния период и деактивирате услугата, пилотните потребители и всички потребители, с които са взаимодействали чрез създаване на нови пространства по време на пробния период, ще загубят достъп до съобщенията и съдържанието. Те ще видят „Това съобщение не може да бъде дешифрирано“ в приложението Webex.

Ако сте доволни, че внедряването ви работи добре за пробните потребители и сте готови да разширите хибридната защита на данните за всички ваши потребители, премествате внедряването в производствен режим. Пилотните потребители продължават да имат достъп до ключовете, които са били използвани по време на пробния период. Не можете обаче да превключвате между производствения режим и оригиналния пробен режим. Ако трябва да деактивирате услугата, например за да извършите възстановяване след бедствие, при повторно активиране трябва да започнете нов пробен период и да настроите набора от пилотни потребители за новия пробен период, преди да се върнете към производствен режим. Дали потребителите ще запазят достъп до данни в този момент зависи от това дали успешно сте поддържали резервни копия на хранилището за ключови данни и ISO конфигурационния файл за възлите на Hybrid Data Security във вашия клъстер.

Резервен център за данни за възстановяване след бедствия

По време на внедряването, вие създавате защитен резервен център за данни. В случай на бедствие в център за данни, можете ръчно да прехвърлите внедряването си към резервния център за данни при неуспешно изпълнение.

Базите данни на активните и резервните центрове за данни са синхронизирани помежду си, което ще минимизира времето, необходимо за извършване на резервно превключване. ISO файлът на резервния център за данни се актуализира с допълнителни конфигурации, които гарантират, че възлите са регистрирани в организацията, но няма да обработват трафик. Следователно, възлите на резервния център за данни винаги са актуализирани с най-новата версия на софтуера на HDS.

Активните възли за хибридна сигурност на данните трябва винаги да са в същия център за данни като активния сървър на базата данни.

Настройка на резервен център за данни за възстановяване след бедствия

Следвайте стъпките по-долу, за да конфигурирате ISO файла на резервния център за данни:

Преди да започнете

Резервният център за данни трябва да отразява производствената среда на виртуалните машини и резервна база данни на PostgreSQL или Microsoft SQL Server. Например, ако в производствената среда има 3 виртуални машини, работещи с HDS възли, средата за архивиране трябва да има 3 виртуални машини. (Вижте Резервен център за данни за възстановяване след бедствия за общ преглед на този модел за превключване на резервни устройства.)
Уверете се, че синхронизирането на базата данни е активирано между базата данни на активните и пасивните клъстерни възли.

1	Стартирайте инструмента за настройка на HDS и следвайте стъпките, посочени в Създаване на ISO файл с конфигурация за HDS хостовете. ISO файлът трябва да е копие на оригиналния ISO файл на основния център за данни, върху който ще се направят следните актуализации на конфигурацията.
2	След като конфигурирате Syslogd сървъра, щракнете върху Разширени настройки
3	На страницата Разширени настройки добавете конфигурацията по-долу, за да поставите възела в пасивен режим. В този режим възелът ще бъде регистриран в организацията и свързан с облака, но няма да обработва трафик. `passiveMode: 'true'`
4	Завършете процеса на конфигуриране и запазете ISO файла на място, което е лесно за намиране.
5	Направете резервно копие на ISO файла на вашата локална система. Пазете резервното копие сигурно. Този файл съдържа главен ключ за криптиране на съдържанието на базата данни. Ограничете достъпа само до администраторите на хибридна сигурност на данни, които трябва да правят промени в конфигурацията.
6	В левия навигационен панел на клиента VMware vSphere щракнете с десния бутон върху виртуалната машина и след това щракнете върху Редактиране на настройките..
7	Кликнете върху Редактиране на настройките >CD/DVD Устройство 1 и изберете ISO файл на хранилището на данни. Уверете се, че са отметнати Свързано и Свързване при включване, за да могат актуализираните промени в конфигурацията да влязат в сила след стартиране на възлите.
8	Включете HDS възела и се уверете, че няма аларми в продължение на поне 15 минути.
9	Повторете процеса за всеки възел в резервния център за данни. Проверете системните логове, за да се уверите, че възлите са в пасивен режим. Трябва да можете да видите съобщението „KMS конфигуриран в пасивен режим“ в системните логове.

Какво да направите след това

След като конфигурирате passiveMode в ISO файла и го запазите, можете да създадете друго копие на ISO файла без конфигурацията passiveMode и да го запазите на сигурно място. Това копие на ISO файла без конфигуриран passiveMode може да помогне за бърз процес на превключване след срив по време на възстановяване след бедствие. Вижте Възстановяване след бедствие с помощта на резервен център за данни за подробна процедура за превключване при срив.

Поддръжка на прокси

Hybrid Data Security поддържа изрични, прозрачни проверяващи и неинспектационни проксита. Можете да свържете тези проксита към разполагането си, така че да можете да подсигурите и наблюдавате трафика от предприятието навън към облака. Можете да използвате администраторски интерфейс на платформа на възлите за управление на сертификати и да проверите цялостното състояние на свързване, след като настроите прокси сървъра на възлите.

Хибридните възли за защита на данните поддържат следните опции за прокси:

Без прокси—По подразбиране, ако не използвате хранилището за доверени данни за настройката на HDS възела & Конфигурация на прокси за интегриране на прокси. Не се изисква актуализация на сертификата.
Прозрачен неинспектиращ прокси сървър— Възлите не са конфигурирани да използват специфичен адрес на прокси сървър и не би трябвало да изискват никакви промени, за да работят с неинспектиращ прокси сървър. Не се изисква актуализация на сертификата.
Прозрачно тунелиране или проверка на прокси сървър— Възлите не са конфигурирани да използват конкретен адрес на прокси сървър. На възлите не са необходими промени в конфигурацията на HTTP или HTTPS. Възлите обаче се нуждаят от главен сертификат, така че да се доверяват на прокси. Проверяващите пълномощници обикновено се използват от It за прилагане на политики, на които могат да бъдат посетени уебсайтовете и кои видове съдържание не са разрешени. Този тип прокси дешифрира целия ви трафик (дори HTTPS).
Изричен прокси сървър— С изричен прокси сървър, вие казвате на HDS възлите кой прокси сървър и схема за удостоверяване да използват. За да конфигурирате изрично прокси, трябва да въведете следната информация на всеки възел:
1. Прокси IP/FQDN—Адрес, който може да се използва за достигане до прокси машината.
2. Прокси порт— Номер на порт, който прокси сървърът използва, за да слуша проксиран трафик.
3. Прокси протокол— В зависимост от това какво поддържа вашият прокси сървър, изберете между следните протоколи:
  - HTTP—Преглежда и контролира всички заявки, които клиентът изпраща.
  - HTTPS—Предоставя канал на сървъра. Клиентът получава и валидира сертификата на сървъра.
4. Тип удостоверяване— Изберете измежду следните типове удостоверяване:
  - Няма—Не се изисква допълнително удостоверяване.
    
    Налично, ако изберете или HTTP Или HTTPS като протокол за прокси.
  - Basic—Използва се от HTTP потребителски агент за предоставяне на потребителско име и парола при отправяне на заявка. Използва Base64 кодиране.
    
    Налично, ако изберете или HTTP Или HTTPS като протокол за прокси.
    
    Изисква да въведете потребителското име и паролата на всеки възел.
  - Дайджест—Използва се за потвърждаване на акаунта преди изпращане на чувствителна информация. Прилага хеш функция на потребителското име и паролата преди изпращане по мрежата.
    
    Предлага се само ако изберете HTTPS като протокол за прокси.
    
    Изисква да въведете потребителското име и паролата на всеки възел.

Пример за хибридни данни сигурност възли и прокси

Тази диаграма показва примерна връзка между защитата на хибридните данни, мрежата и прокси. За прозрачния инспектиращ и HTTPS изричен инспектиращ прокси опции, един и същ главен сертификат трябва да бъде инсталиран на прокси и на хибридните възли за защита на данните.

Блокиран режим на външна DNS разделителна способност (изрични прокси конфигурации)

Когато регистрирате възел или проверете конфигурацията на прокси сървъра на възела, процесът тества DNS справка и свързаност към облака Cisco Webex. В разполагане с изрични прокси конфигурации, които не позволяват външна DNS разделителна способност за вътрешни клиенти, ако възелът не може да заявка DNS сървъри, тя автоматично преминава в режим блокирани външни DNS резолюция. В този режим може да се процедира регистрация на възли и други тестове за свързване на прокси.

Подгответе средата си

Изисквания за хибридна сигурност на данните

Изисквания за лиценз на Cisco Webex

За да внедрите хибридна защита на данните:

Трябва да имате Pro Pack за Cisco Webex Control Hub. (Вижте https://www.cisco.com/go/pro-pack.)

Изисквания за Docker Desktop

Преди да инсталирате HDS възлите си, трябва да стартирате инсталационна програма в Docker Desktop. Docker наскоро актуализира своя лицензионен модел. Вашата организация може да изисква платен абонамент за Docker Desktop. За подробности вижте публикацията в блога на Docker, " Docker е Актуализиране и разширяване на нашите абонаментиза продукти".

Клиенти без лиценз за Docker Desktop могат да използват инструмент за управление на контейнери с отворен код, като Podman Desktop, за да стартират, управляват и създават контейнери. Вижте Стартиране на инструмента за настройка на HDS с помощта на Podman Desktop за подробности.

Изисквания за сертификат X.509

Веригата от сертификати трябва да отговаря на следните изисквания:

Таблица 1. Изисквания за сертификат X.509 за внедряване на хибридна сигурност на данните
Изискване	Подробности
Подписано от надежден сертифициращ орган (CA)	По подразбиране се доверяваме на CAs в списъка на Mozilla (с изключение на WoSign и StartCom) на https://wiki.mozilla.org/CA:IncludedCAs.
Носи домейн с общо име (CN), който идентифицира вашето внедряване на хибридна сигурност на данни Не е сертификат със заместващ знак	Не е необходимо CN да е достъпен или да е активен хост. Препоръчваме ви да използвате име, което отразява вашата организация, например `hds.company.com`. Комбинираното предложение не трябва да съдържа * (заместващ знак). CN се използва за проверка на възлите на Hybrid Data Security към клиенти на Webex App. Всички възли за хибридна защита на данни във вашия клъстер използват един и същ сертификат. Вашата KMS система се идентифицира с CN домейна, а не с домейн, дефиниран в полетата x.509v3 SAN. След като регистрирате възел с този сертификат, не поддържаме промяна на името на домейна CN. Изберете домейн, който може да се прилага както за пробните, така и за производствените внедрявания.
Подпис, различен от SHA1	Софтуерът KMS не поддържа SHA1 подписи за валидиране на връзки към KMS системи на други организации.
Форматиран като защитен с парола PKCS #12 файл Използвайте приятелското име `kms-private-key`, за да маркирате сертификата, частния ключ и всички междинни сертификати за качване.	Можете да използвате конвертор като OpenSSL, за да промените формата на вашия сертификат. Ще трябва да въведете паролата, когато стартирате инструмента за настройка на HDS.

Софтуерът KMS не налага налага използването на ключове или разширени ограничения за използване на ключове. Някои сертифициращи органи изискват към всеки сертификат да се прилагат разширени ограничения за използване на ключове, като например удостоверяване на сървъра. Допустимо е да използвате удостоверяване на сървъра или други настройки.

Изисквания за виртуален хост

Виртуалните хостове, които ще настроите като възли за хибридна сигурност на данни във вашия клъстер, имат следните изисквания:

Поне два отделни хоста (препоръчително 3), разположени в един и същ защитен център за данни
Инсталиран и работещ VMware ESXi 7.0 или 8.0.

Трябва да надстроите, ако имате по-ранна версия на ESXi.
Минимум 4 vCPU, 8 GB основна памет, 30 GB локално дисково пространство на сървър

Изисквания за сървъра на базата данни

Създайте нова база данни за съхранение на ключове. Не използвайте базата данни по подразбиране. След инсталирането на HDS приложенията създават схемата на базата данни.

Има две опции за сървър на база данни. Изискванията за всеки от тях са следните:

Таблица 2. Изисквания към сървъра за бази данни според типа на базата данни
PostgreSQL	Microsoft SQL Server
PostgreSQL 14, 15, 16, 17 или 18, инсталиран и работещ.	Инсталиран е SQL Server 2016, 2017, 2019 или 2022 (Enterprise или Standard). SQL Server 2016 изисква Service Pack 2 и Cumulative Update 2 или по-нова версия.
Минимум 8 виртуални процесора (vCPU), 16 GB основна памет, достатъчно място на твърдия диск и наблюдение, за да се гарантира, че не се превишава допустимото количество памет (препоръчва се 2 TB, ако искате да използвате базата данни за дълго време, без да е необходимо да увеличавате паметта).	Минимум 8 виртуални процесора (vCPU), 16 GB основна памет, достатъчно място на твърдия диск и наблюдение, за да се гарантира, че не се превишава допустимото количество памет (препоръчва се 2 TB, ако искате да използвате базата данни за дълго време, без да е необходимо да увеличавате паметта).

Софтуерът HDS в момента инсталира следните версии на драйвери за комуникация със сървъра на базата данни:

PostgreSQL

Microsoft SQL Server

JDBC драйвер за Postgres 42.2.5

SQL Server JDBC драйвер 4.6

Тази версия на драйвера поддържа SQL Server Always On ( Always On Failover Cluster Instances и Always On availability groups).

Допълнителни изисквания за удостоверяване на Windows срещу Microsoft SQL Server

Ако искате HDS възлите да използват удостоверяване на Windows, за да получат достъп до вашата база данни за хранилище на ключове в Microsoft SQL Server, тогава ви е необходима следната конфигурация във вашата среда:

HDS възлите, инфраструктурата на Active Directory и MS SQL Server трябва да бъдат синхронизирани с NTP.
Акаунтът в Windows, който предоставяте на HDS възлите, трябва да има read/write достъп до базата данни.
DNS сървърите, които предоставяте на HDS възлите, трябва да могат да разрешават вашия център за разпространение на ключове (KDC).
Можете да регистрирате екземпляра на базата данни HDS на вашия Microsoft SQL Server като име на принципал на услугата (SPN) в Active Directory. Вижте Регистриране на име на принципал на услуга за Kerberos връзки.

Инструментът за настройка на HDS, програмата за стартиране на HDS и локалната KMS система трябва да използват удостоверяване на Windows за достъп до базата данни за хранилище на ключове. Те използват данните от вашата ISO конфигурация, за да изградят SPN, когато изискват достъп с Kerberos удостоверяване.

Изисквания за външна свързаност

Конфигурирайте защитната си стена, за да разрешите следната свързаност за HDS приложенията:

Приложение	Протокол	Порт	Упътване от приложението	Местоназначение
Хибридни възли за сигурност на данните	TCP	443	Изходящ HTTPS и WSS	Webex сървъри: .wbx2.com .ciscospark.com Всички хостове на Common Identity Други URL адреси, които са изброени за хибридна сигурност на данни в таблицата Допълнителни URL адреси за хибридни услуги на Webex на Мрежови изисквания за услуги на Webex
Инструмент за настройка на HDS	TCP	443	Изходящ HTTPS	*.wbx2.com Всички хостове на Common Identity hub.docker.com

Възлите за хибридна сигурност на данните работят с транслация на мрежовия достъп (NAT) или зад защитна стена, стига NAT или защитната стена да позволяват необходимите изходящи връзки към местоназначенията на домейна в предходната таблица. За връзки, водещи към възлите за хибридна сигурност на данните, не трябва да се виждат портове от интернет. Във вашия център за данни, клиентите се нуждаят от достъп до възлите за хибридна сигурност на данните на TCP портове 443 и 22 за административни цели.

URL адресите за хостовете с обща идентичност (CI) са специфични за региона. Това са текущите CI хостове:

Регион	URL адреси на хостове за обща идентичност
Северна и Южна Америка	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Европейски съюз	https://idbroker-eu.webex.com https://identity-eu.webex.com
Канада	https://idbroker-ca.webex.com https://identity-ca.webex.com
Сингапур	https://idbroker-sg.webex.com https://identity-sg.webex.com
Обединени арабски емирства	https://idbroker-ae.webex.com https://identity-ae.webex.com

Изисквания към прокси сървъра

Ние официално поддържаме следните прокси решения, които могат да се интегрират с вашите възли hybrid Data Security.
- Прозрачен прокси-Уред за уеб защита cisco (WSA).
- Изрична прокси-Сепия.
  
  Squid прокси сървърите, които проверяват HTTPS трафика, могат да попречат на установяването на websocket (wss:) връзки. За да заобиколите този проблем, вижте Конфигуриране на Squid прокси сървъри за хибридна сигурност на данните.
Ние поддържаме следните комбинации от тип удостоверяване за изрични проксита:
- Без удостоверяване с HTTP или HTTPS
- Базово удостоверяване с HTTP или HTTPS
- Смилане на удостоверяване само с HTTPS
За прозрачен проверяващ прокси или HTTPS изрично прокси, трябва да имате копие на главния сертификат на прокси. Инструкциите за разполагане в това ръководство ви казват как да качите копието в магазините за доверие на хибридните възли за защита на данните.
Мрежата, хостваща HDS възлите, трябва да бъде конфигурирана да принуди изходящия TCP трафик на порт 443 да маршрутизира през прокси сървъра.
Прокситата, които инспектират уеб трафика, може да пречат на връзките с уеб гнездото. Ако възникне този проблем, заобикалянето (неинспектирането) на трафика към wbx2.com и ciscospark.com ще реши проблема.

Изпълнете предварителните изисквания за хибридна сигурност на данните

Използвайте този контролен списък, за да се уверите, че сте готови да инсталирате и конфигурирате вашия клъстер за хибридна защита на данни.

1	Уверете се, че вашата Webex организация е активирана за Pro Pack за Cisco Webex Control Hub и получете идентификационните данни на акаунт с пълни права на администратор на организацията. Свържете се с вашия партньор на Cisco или мениджър клиенти за помощ с този процес.
2	Изберете име на домейн за вашето HDS внедряване (например, `hds.company.com`) и получете верига от сертификати, съдържаща X.509 сертификат, частен ключ и всички междинни сертификати. Веригата от сертификати трябва да отговаря на изискванията в X.509 Certificate Requirements.
3	Подгответе идентични виртуални хостове, които ще настроите като възли за хибридна сигурност на данни във вашия клъстер. Необходими са ви поне два отделни хоста (препоръчително 3), разположени в един и същ защитен център за данни, които отговарят на изискванията в Изисквания за виртуален хост.
4	Подгответе сървъра на базата данни, който ще действа като хранилище за ключови данни за клъстера, съгласно изискванията за сървъра на базата данни. Сървърът на базата данни трябва да бъде разположен в защитения център за данни заедно с виртуалните хостове. Създайте база данни за съхранение на ключове. (Трябва да създадете тази база данни – не използвайте базата данни по подразбиране.) Когато бъдат инсталирани, HDS приложенията създават схемата на базата данни.) Съберете данните, които възлите ще използват за комуникация със сървъра на базата данни: името на хоста или IP адреса (хост) и порта името на базата данни (dbname) за съхранение на ключове потребителското име и паролата на потребител с всички привилегии в базата данни за съхранение на ключове
5	За бързо възстановяване след бедствие, създайте резервна среда в различен център за данни. Резервната среда отразява производствената среда на виртуални машини и резервен сървър на база данни. Например, ако в производствената среда има 3 виртуални машини, работещи с HDS възли, средата за архивиране трябва да има 3 виртуални машини.
6	Настройте хост за системен лог, който да събира лог файлове от възлите в клъстера. Съберете неговия мрежов адрес и системен порт (по подразбиране е UDP 514).
7	Създайте политика за сигурно архивиране за възлите на хибридната защита на данните, сървъра на базата данни и хоста на syslog. Като минимум, за да предотвратите невъзстановима загуба на данни, трябва да архивирате базата данни и ISO файла с конфигурацията, генериран за възлите на Hybrid Data Security. Тъй като възлите за хибридна сигурност на данните съхраняват ключовете, използвани за криптиране и декриптиране на съдържание, невъзможността за поддържане на оперативно внедряване ще доведе до НЕВЪЗСТАНОВИМА ЗАГУБА на това съдържание. Клиентите на Webex App кешират ключовете си, така че прекъсването може да не е веднага забележимо, но ще стане очевидно с течение на времето. Въпреки че временните прекъсвания са невъзможни за предотвратяване, те са възстановими. Пълната загуба (без налични резервни копия) на базата данни или на ISO файла с конфигурацията обаче ще доведе до невъзстановими клиентски данни. Очаква се операторите на възлите на Hybrid Data Security да поддържат чести резервни копия на базата данни и ISO файла с конфигурацията и да бъдат готови да възстановят центъра за данни на Hybrid Data Security, ако възникне катастрофална повреда.
8	Уверете се, че конфигурацията на вашата защитна стена позволява свързване за вашите възли за хибридна сигурност на данни, както е посочено в Изисквания за външна свързаност.
9	Инсталирайте Docker ( https://www.docker.com) на всяка локална машина, работеща с поддържана операционна система (Microsoft Windows 10 Professional или Enterprise 64-bit, или Mac OSX Yosemite 10.10.3 или по-нова версия) с уеб браузър, който може да го достъпва на http://127.0.0.1:8080. Използвате екземпляра на Docker, за да изтеглите и стартирате инструмента за настройка на HDS, който изгражда локалната информация за конфигурацията за всички възли на Hybrid Data Security. Вашата организация може да се нуждае от лиценз за Docker Desktop. Вижте Изисквания за Docker Desktop за повече информация. За да инсталирате и стартирате инструмента за настройка на HDS, локалната машина трябва да има свързаността, описана в Изисквания за външна свързаност.
10	Ако интегрирате прокси с Hybrid Data Security, уверете се, че той отговаря на изискванията за прокси сървър.
11	Ако вашата организация използва синхронизиране на директории, създайте група в Active Directory, наречена `HdsTrialGroup`, и добавете пилотни потребители. Пробната група може да има до 250 потребители. Обектът `HdsTrialGroup` трябва да бъде синхронизиран с облака, преди да можете да започнете пробен период за вашата организация. За да синхронизирате групов обект, изберете го в конфигурацията на Directory Connector > Меню за избор на обект. (За подробни инструкции вижте Ръководството за внедряване на Cisco Directory Connector.) Ключовете за дадено пространство се задават от създателя на пространството. Когато избирате пилотни потребители, имайте предвид, че ако решите да деактивирате окончателно внедряването на хибридната защита на данните, всички потребители губят достъп до съдържанието в пространствата, създадени от пилотните потребители. Загубата става очевидна веднага щом приложенията на потребителите обновят кешираните си копия на съдържанието.

Създаване на хибриден клъстер за сигурност на данните

Поток на задачи за внедряване на хибридна сигурност на данни

Преди да започнете

1	Изтегляне на инсталационни файлове Изтеглете OVA файла на локалната си машина за по-късна употреба.
2	Създайте ISO файл с конфигурация за HDS хостовете Използвайте инструмента за настройка на HDS, за да създадете ISO конфигурационен файл за възлите на Hybrid Data Security.
3	Инсталирайте HDS Host OVA Създайте виртуална машина от OVA файла и извършете първоначална конфигурация, като например мрежови настройки. Опцията за конфигуриране на мрежови настройки по време на внедряване на OVA е тествана с ESXi 7.0 и 8.0. Опцията може да не е налична в по-ранни версии.
4	Настройване на виртуална машина за хибридна защита на данни Влезте в конзолата на виртуалната машина и задайте идентификационните данни за вход. Конфигурирайте мрежовите настройки за възела, ако не сте ги конфигурирали по време на внедряването на OVA.
5	Качете и монтирайте ISO файла с конфигурацията на HDS Конфигурирайте виртуалната машина от ISO конфигурационния файл, който сте създали с инструмента за настройка на HDS.
6	Конфигуриране на HDS възел за интегриране на прокси сървър Ако мрежовата среда изисква конфигурация на прокси сървър, укажете типа прокси сървър, който ще използвате за възела, и добавете сертификата за прокси сървър към хранилището за доверени сертификати, ако е необходимо.
7	Регистрирайте първия възел в клъстера Регистрирайте виртуалната машина в облака Cisco Webex като възел за хибридна сигурност на данни.
8	Създаване и регистриране на още възли Завършете настройката на клъстера.
9	Докато не започнете пробен период, вашите възли генерират аларма, показваща, че услугата ви все още не е активирана.

Изтегляне на инсталационни файлове

1	Влезте в https://admin.webex.comи след това щракнете върху Услуги.
2	В секцията „Хибридни услуги“ намерете картата „Хибридна сигурност на данните“ и след това щракнете върху „Настройка“. Ако картата е деактивирана или не я виждате, свържете се с екипа на вашия акаунт или с организацията партньор. Дайте им номера на акаунта си и помолете да активират хибридната сигурност на данните за вашата организация. За да намерите номера на сметката, щракнете върху зъбното колело горе вдясно, до името на вашата организация. Можете също да изтеглите OVA по всяко време от раздела Помощ на страницата Настройки. В картата „Хибридна сигурност на данните“ щракнете върху Редактиране на настройките, за да отворите страницата. След това щракнете върху Изтегляне на софтуера за хибридна сигурност на данни в раздела Помощ. По-старите версии на софтуерния пакет (OVA) няма да са съвместими с най-новите актуализации на Hybrid Data Security. Това може да доведе до проблеми при надграждане на приложението. Уверете се, че сте изтеглили най-новата версия на OVA файла.
3	Изберете Не, за да посочите, че все още не сте настроили възела, след което щракнете върху Напред. OVA файлът автоматично започва да се изтегля. Запазете файла на място на вашата машина.
4	По желание щракнете върху Отваряне на ръководството за внедряване, за да проверите дали има налична по-нова версия на това ръководство.

Създайте ISO файл с конфигурация за HDS хостовете

Процесът на настройка на хибридната защита на данните създава ISO файл. След това използвате ISO файла, за да конфигурирате вашия хост за хибридна сигурност на данните.

Преди да започнете

Инструментът за настройка на HDS работи като Docker контейнер на локална машина. За достъп до него стартирайте Docker на тази машина. Процесът на настройка изисква идентификационните данни на акаунт в контролния център с пълни права на администратор за вашата организация.

Ако нямате лиценз за Docker Desktop, можете да използвате Podman Desktop, за да стартирате инструмента за настройка на HDS за стъпки 1 до 5 в процедурата по-долу. Вижте Стартиране на инструмента за настройка на HDS с помощта на Podman Desktop за подробности.

Ако инструментът за настройка на HDS работи зад прокси сървър във вашата среда, предоставете настройките на прокси сървъра (сървър, порт, идентификационни данни) чрез променливите на средата на Docker, когато стартирате контейнера на Docker в стъпка 5. Тази таблица дава някои възможни променливи на средата:

Описание

Променлива

HTTP прокси без удостоверяване

GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

HTTPS прокси без удостоверяване

GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

HTTP прокси с удостоверяване

GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS прокси с удостоверяване

GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
ISO файлът с конфигурацията, който генерирате, съдържа главния ключ, криптиращ базата данни на PostgreSQL или Microsoft SQL Server. Нуждаете се от най-новото копие на този файл всеки път, когато правите промени в конфигурацията, като тези:
- Идентификационни данни за базата данни
- Актуализации на сертификати
- Промени в политиката за оторизация
Ако планирате да криптирате връзките към базата данни, настройте внедряването на PostgreSQL или SQL Server за TLS.

1

В командния ред на вашата машина въведете подходящата команда за вашата среда:

В нормални среди:

docker rmi ciscocitg/hds-setup:stable

В среди на FedRAMP:

docker rmi ciscocitg/hds-setup-fedramp:stable

Тази стъпка изчиства предишни изображения на инструмента за настройка на HDS. Ако няма предишни изображения, той връща грешка, която можете да игнорирате.

2

За да влезете в регистъра на изображения на Docker, въведете следното:

docker login -u hdscustomersro

3

При подканата за парола въведете този хеш:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Изтеглете най-новото стабилно изображение за вашата среда:

В нормални среди:

docker pull ciscocitg/hds-setup:stable

В среди на FedRAMP:

docker pull ciscocitg/hds-setup-fedramp:stable

5

Когато изтеглянето приключи, въведете подходящата команда за вашата среда:

В нормални среди без прокси:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

В нормални среди с HTTP прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

В обикновени среди с HTTPS прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

В среди на FedRAMP без прокси:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

В среди на FedRAMP с HTTP прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

В среди на FedRAMP с HTTPS прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Когато контейнерът работи, виждате „Експресен сървър слуша на порт 8080“.

6

Инструментът за настройка не поддържа свързване към localhost чрез http://localhost:8080. Използвайте http://127.0.0.1:8080, за да се свържете с localhost.

Използвайте уеб браузър, за да отидете на localhost, http://127.0.0.1:8080, и въведете потребителското име на администратор на клиента за Control Hub при подканата.

Инструментът използва това първо въвеждане на потребителското име, за да зададе правилната среда за този акаунт. След това инструментът показва стандартната подкана за влизане.

7

Когато бъдете подканени, въведете вашите идентификационни данни за вход на администратор на клиента в Control Hub и след това щракнете върху Вход, за да разрешите достъп до необходимите услуги за Hybrid Data Security.

8

На страницата с общ преглед на инструмента за настройка щракнете върху Първи стъпки.

9

На страницата ISO импортиране имате следните опции:

Не— Ако създавате първия си HDS възел, нямате ISO файл за качване.
Да— Ако вече сте създали HDS възли, тогава избирате вашия ISO файл в прегледа и го качвате.

10

Проверете дали вашият X.509 сертификат отговаря на изискванията в X.509 Certificate Requirements.

Ако никога преди не сте качвали сертификат, качете сертификата X.509, въведете паролата и щракнете върху „ Продължи“ .
Ако сертификатът ви е наред, щракнете върху Продължи.
Ако вашият сертификат е изтекъл или искате да го замените, изберете Не за Да продължите ли да използвате веригата от сертификати на HDS и частния ключ от предишния ISO?. Качете нов X.509 сертификат, въведете паролата и щракнете върху Продължи.

11

Въведете адреса на базата данни и акаунта за HDS, за да получите достъп до вашето хранилище за ключове:

Изберете вашия тип база данни (PostgreSQL или Microsoft SQL Server).

Ако изберете Microsoft SQL Server, ще получите поле „Тип на удостоверяване“.
(само за Microsoft SQL Server ) Изберете вашия тип удостоверяване:
- Основно удостоверяване: Трябва да въведете име на локален SQL Server акаунт в полето Потребителско име.
- Удостоверяване на Windows: Необходим ви е акаунт в Windows във формат username@DOMAIN в полето Потребителско име.
Въведете адреса на сървъра на базата данни във формата : или :.

Пример:
dbhost.example.org:1433 или 198.51.100.17:1433

Можете да използвате IP адрес за основно удостоверяване, ако възлите не могат да използват DNS за разрешаване на името на хоста.

Ако използвате удостоверяване на Windows, трябва да въведете напълно квалифицирано име на домейн във формат dbhost.example.org:1433
Въведете името на базата данни.
Въведете потребителско име и парола на потребител с всички привилегии върху базата данни за съхранение на ключове.

12

Изберете TLS режим на свързване към база данни:

Режим	Описание
Предпочитам TLS (опция по подразбиране)	HDS възлите не изискват TLS да се свърже със сървъра на базата данни. Ако активирате TLS на сървъра на базата данни, възлите ще се опитат да установят криптирана връзка.
Изисквайте TLS	HDS възли се свързват само ако сървърът на базата данни може да договори TLS.
Изисквайте TLS и проверете подписвача на сертификати	Този режим не е приложим за бази данни на SQL Server. HDS възли се свързват само ако сървърът на базата данни може да договори TLS. След установяване на TLS връзка, възелът сравнява подписващия сертификата от сървъра на базата данни със сертифициращия орган в коренния сертификат на базата данни. Ако не съвпадат, възелът изпуска връзката. Използвайте контролата за главен сертификат на базата данни под падащото, за да качите главния сертификат за тази опция.
Изисквайте TLS и проверете подписалия сертификат и хостовото име	HDS възли се свързват само ако сървърът на базата данни може да договори TLS. След установяване на TLS връзка, възелът сравнява подписващия сертификата от сървъра на базата данни със сертифициращия орган в коренния сертификат на базата данни. Ако не съвпадат, възелът изпуска връзката. Възлите също така проверяват дали името на хоста в сертификата на сървъра съвпада с името на хоста в полето Хост и порт на базата данни. Имената трябва да съвпадат точно или възелът пуска връзката. Използвайте контролата за главен сертификат на базата данни под падащото, за да качите главния сертификат за тази опция.

Когато качите главния сертификат (ако е необходимо) и щракнете върху „Продължи“ , инструментът за настройка на HDS тества TLS връзката със сървъра на базата данни. Инструментът също така проверява подписалите сертификата и hostname, ако е приложимо. Ако даден тест е неуспешен, инструментът показва съобщение за грешка, описващо проблема. Можете да изберете дали да игнорирате грешката и да продължите с настройката. (Поради разликите в свързаността, HDS възлите може да са в състояние да установят TLS връзката, дори ако машината с HDS Setup Tool не може да я тества успешно.)

13

На страницата „Системни дневници“ конфигурирайте вашия Syslogd сървър:

Въведете URL адреса на syslog сървъра.

Ако сървърът не е DNS-разрешим от възлите за вашия HDS клъстер, използвайте IP адрес в URL адреса.

Пример:
udp://10.92.43.23:514 показва регистриране в Syslogd хост 10.92.43.23 на UDP порт 514.
Ако сте настроили сървъра си да използва TLS криптиране, проверете Конфигуриран ли е сървърът ви за TLS договаряне/ръкостискане?

Ако отметнете това квадратче, уверете се, че сте въвели TCP URL адрес, като например tcp://10.92.43.23:514, и качете коренния сертификат на syslog.
От падащото меню Изберете прекратяване на syslog записа изберете подходящата настройка за вашия ISO файл: За Graylog и Rsyslog TCP се използва Choose или Newline
- Нулев байт -- \x00
- Нов ред -- \n—Изберете тази опция за Graylog и Rsyslog TCP.
Щракнете върху Продължаване.

14

(По избор) Можете да промените стойността по подразбиране за някои параметри на връзката с базата данни в Разширени настройки. Обикновено този параметър е единственият, който може да искате да промените:

app_datasource_connection_pool_maxSize: 10

15

Щракнете върху Продължи на екрана Нулиране на паролата за сервизни акаунти.

Паролите за сервизни акаунти имат деветмесечен срок на валидност. Използвайте този екран, когато паролите ви наближават срок на валидност или искате да ги нулирате, за да анулирате предишни ISO файлове.

16

Кликнете върху Изтегляне на ISO файл. Запазете файла на място, което е лесно за намиране.

17

Направете резервно копие на ISO файла на вашата локална система.

Пазете резервното копие сигурно. Този файл съдържа главен ключ за криптиране на съдържанието на базата данни. Ограничете достъпа само до администраторите на хибридна сигурност на данни, които трябва да правят промени в конфигурацията.

18

За да затворите инструмента за настройка, въведете CTRL+C.

Какво да направите след това

Направете резервно копие на ISO файла с конфигурацията. Нужен ви е, за да създадете още възли за възстановяване или да направите промени в конфигурацията. Ако загубите всички копия на ISO файла, ще загубите и главния ключ. Възстановяването на ключовете от вашата база данни PostgreSQL или Microsoft SQL Server не е възможно.

Никога нямаме копие на този ключ и не можем да ви помогнем, ако го загубите.

Инсталирайте HDS Host OVA

Използвайте тази процедура, за да създадете виртуална машина от OVA файла.

1	Използвайте VMware vSphere клиента на вашия компютър, за да влезете във виртуалния хост ESXi.
2	Изберете Файл > Разгръщане на OVF шаблон.
3	В съветника посочете местоположението на OVA файла, който сте изтеглили по-рано, и след това щракнете върху Напред.
4	На страницата Изберете име и папка въведете име на виртуална машина за възела (например "HDS_Node_1"), изберете местоположение, където може да се намира внедряването на възела на виртуалната машина, и след това щракнете върху Напред.
5	На страницата Изберете изчислителен ресурс изберете целевия изчислителен ресурс и след това щракнете върху Напред. Извършва се проверка за валидиране. След като приключи, се показват подробностите за шаблона.
6	Проверете данните на шаблона и след това щракнете върху Напред.
7	Ако бъдете помолени да изберете конфигурацията на ресурсите на страницата Конфигурация, щракнете върху 4 CPU и след това щракнете върху Напред.
8	На страницата Избор на място за съхранение щракнете върху Напред, за да приемете формата на диска по подразбиране и политиката за съхранение на виртуална машина.
9	На страницата Избор на мрежи изберете опцията за мрежа от списъка със записи, за да осигурите желаната свързаност на виртуалната машина.
10	На страницата Персонализиране на шаблон конфигурирайте следните мрежови настройки: Име на хост— Въведете FQDN (име на хост и домейн) или еднословно име на хост за възела. Не е необходимо да задавате домейна така, че да съответства на домейна, който сте използвали за получаване на сертификата X.509. За да осигурите успешна регистрация в облака, използвайте само малки букви в FQDN или името на хоста, което сте задали за възела. Капитализацията не се поддържа в този момент. Общата дължина на FQDN не трябва да надвишава 64 знака. IP адрес— Въведете IP адреса за вътрешния интерфейс на възела. Вашият възел трябва да има вътрешен IP адрес и DNS име. DHCP не се поддържа. Маска— Въведете адреса на подмрежовата маска в десетично-точков формат. Например, 255.255.255.0. Шлюз— Въведете IP адреса на шлюза. Шлюзът е мрежов възел, който служи като точка за достъп до друга мрежа. DNS сървъри— Въведете списък с DNS сървъри, разделени със запетаи, които обработват преобразуването на имена на домейни в числови IP адреси. (Разрешени са до 4 DNS записа.) NTP сървъри— Въведете NTP сървъра на вашата организация или друг външен NTP сървър, който може да се използва във вашата организация. NTP сървърите по подразбиране може да не работят за всички предприятия. Можете също да използвате списък, разделен със запетаи, за да въведете множество NTP сървъри. Разположете всички възли в една и съща подмрежа или VLAN, така че всички възли в клъстер да са достъпни от клиенти във вашата мрежа за административни цели. Ако предпочитате, можете да пропуснете конфигурирането на мрежовите настройки и да следвате стъпките в Настройка на хибридната виртуална машина за защита на данни, за да конфигурирате настройките от конзолата на възела. Опцията за конфигуриране на мрежови настройки по време на внедряване на OVA е тествана с ESXi 7.0 и 8.0. Опцията може да не е налична в по-ранни версии.
11	Щракнете с десния бутон върху виртуалната машина на възела и след това изберете Захранване > Включване. Софтуерът за хибридна сигурност на данни е инсталиран като гост на виртуалната машина. Вече сте готови да влезете в конзолата и да конфигурирате възела. Съвети за отстраняване на неизправности Възможно е да има забавяне от няколко минути, преди контейнерите с възли да се появят. По време на първото зареждане на конзолата се появява съобщение за защитната стена на моста, по време на което не можете да влезете.

Настройване на виртуална машина за хибридна защита на данни

Използвайте тази процедура, за да влезете за първи път в конзолата за виртуална машина на възела Hybrid Data Security и да зададете идентификационните данни за влизане. Можете също да използвате конзолата, за да конфигурирате мрежовите настройки за възела, ако не сте ги конфигурирали по време на внедряването на OVA.

1	В клиента на VMware vSphere изберете вашия възел Hybrid Data Security VM и изберете раздела Console. Виртуалната машина се стартира и се появява подкана за вход. Ако подканата за вход не се покаже, натиснете Enter.
2	Използвайте следните потребителски данни и парола по подразбиране, за да влезете и да промените идентификационните данни: Вход: `admin` Парола: `ciscosystems` Тъй като влизате във виртуалната си машина за първи път, е необходимо да промените администраторската парола.
3	Ако вече сте конфигурирали мрежовите настройки в Инсталиране на HDS Host OVA, пропуснете останалата част от тази процедура. В противен случай, в главното меню изберете опцията Редактиране на конфигурация.
4	Настройте статична конфигурация с IP адрес, маска, шлюз и DNS информация. Вашият възел трябва да има вътрешен IP адрес и DNS име. DHCP не се поддържа.
5	(По избор) Променете името на хоста, домейна или NTP сървъра(ите), ако е необходимо, за да съответстват на политиката на вашата мрежа. Не е необходимо да задавате домейна така, че да съответства на домейна, който сте използвали за получаване на сертификата X.509.
6	Запазете мрежовата конфигурация и рестартирайте виртуалната машина, за да влязат в сила промените.

Качете и монтирайте ISO файла с конфигурацията на HDS

Използвайте тази процедура, за да конфигурирате виртуалната машина от ISO файла, който сте създали с инструмента за настройка на HDS.

Преди да започнете

Тъй като ISO файлът съдържа главния ключ, той трябва да бъде достъпен само въз основа на „необходимост за информация“ за достъп на виртуалните машини за хибридна сигурност на данните и всички администратори, които може да се нуждаят от промени. Уверете се, че само тези администратори имат достъп до хранилището за данни.

1

Качете ISO файла от вашия компютър:

В левия навигационен панел на клиента VMware vSphere щракнете върху ESXi сървъра.
В списъка с хардуер в раздела „Конфигурация“ щракнете върху „Памет“.
В списъка с хранилища за данни щракнете с десния бутон върху хранилището за данни за вашите виртуални машини и щракнете върху Преглед на хранилището за данни.
Щракнете върху иконата за качване на файлове и след това щракнете върху Качване на файл.
Отидете до мястото, където сте изтеглили ISO файла на компютъра си, и щракнете върху Отвори.
Кликнете върху Да, за да приемете upload/download предупреждение за операция и затворете диалоговия прозорец на хранилището за данни.

2

Монтирайте ISO файла:

В левия панел за навигация на клиента VMware vSphere щракнете с десния бутон върху виртуалната машина и щракнете върху Редактиране на настройките.
Щракнете върху OK, за да приемете предупреждението за ограничени опции за редактиране.
Щракнете върху CD/DVD Drive 1, изберете опцията за монтиране от ISO файл на хранилище за данни и отидете до мястото, където сте качили ISO файла с конфигурацията.
Проверете Свързано и Свързване при включване.
Запазете промените си и рестартирайте виртуалната машина.

Какво да направите след това

Ако вашата ИТ политика го изисква, можете по желание да демонтирате ISO файла, след като всички ваши възли приемат промените в конфигурацията. Вижте (По избор) Демонтиране на ISO след HDS конфигурация за подробности.

Конфигуриране на HDS възел за интегриране на прокси сървър

Ако мрежовата среда изисква прокси, използвайте тази процедура, за да укажете вида на прокси, който искате да интегрирате с Hybrid Data Security. Ако изберете прозрачен проверяващ прокси или HTTPS изричен прокси, можете да използвате интерфейса на възела, за да качите и инсталирате главния сертификат. Можете също да проверите прокси връзката от интерфейса и да отстраните всички потенциални проблеми.

Преди да започнете

Вижте Поддръжка на прокси за общ преглед на поддържаните опции за прокси.
Изисквания към прокси сървъра

1	Въведете URL адреса за настройка на HDS възел `https://[HDS Node IP or FQDN]/setup` в уеб браузър, въведете администраторските идентификационни данни, които сте задали за възела, и след това щракнете върху Вход.
2	Отидете на Хранилище на доверие & Прокси , след което изберетеопция: Без прокси— Опцията по подразбиране, преди да интегрирате прокси. Не се изисква актуализация на сертификата. Прозрачен неинспектиращ прокси сървър— Възлите не са конфигурирани да използват специфичен адрес на прокси сървър и не би трябвало да изискват никакви промени, за да работят с неинспектиращ прокси сървър. Не се изисква актуализация на сертификата. Прозрачен инспектиращ прокси сървър— Възлите не са конфигурирани да използват конкретен адрес на прокси сървър. Не httpS конфигурация промени са необходими в разполагането на защитата на хибридни данни, обаче HDS възли се нуждаят от главен сертификат, така че те се доверяват на прокси. Проверяващите пълномощници обикновено се използват от It за прилагане на политики, на които могат да бъдат посетени уебсайтовете и кои видове съдържание не са разрешени. Този тип прокси дешифрира целия ви трафик (дори HTTPS). Изричен прокси сървър— С изричен прокси сървър, вие казвате на клиента (HDS възлите) кой прокси сървър да използва и тази опция поддържа няколко типа удостоверяване. След като изберете тази опция, трябва да въведете следната информация: Прокси IP/FQDN—Адрес, който може да се използва за достигане до прокси машината. Прокси порт— Номер на порт, който прокси сървърът използва, за да слуша проксиран трафик. Прокси протокол— Изберете http (преглежда и контролира всички заявки, получени от клиента) или https (предоставя канал към сървъра, а клиентът получава и валидира сертификата на сървъра). Изберете опция въз основа на това, което поддържа вашият прокси сървър. Тип удостоверяване— Изберете измежду следните типове удостоверяване: Няма—Не се изисква допълнително удостоверяване. Налична за HTTP или HTTPS проксита. Basic—Използва се от HTTP потребителски агент за предоставяне на потребителско име и парола при отправяне на заявка. Използва Base64 кодиране. Налична за HTTP или HTTPS проксита. Ако изберете тази опция, трябва да въведете и потребителското име и паролата. Дайджест—Използва се за потвърждаване на акаунта преди изпращане на чувствителна информация. Прилага хеш функция на потребителското име и паролата преди изпращане по мрежата. Предлага се само за HTTPS проксита. Ако изберете тази опция, трябва да въведете и потребителското име и паролата. Изпълнете следващите стъпки за прозрачен проверяващ прокси, HTTP изрично прокси с базово удостоверяване или HTTPS изрично прокси.
3	Щракнете върху Качване на главен сертификат или Сертификат за краен обект и след това навигирайте до изберете главния сертификат запрокси. Сертификатът се качва, но все още не е инсталиран, защото трябва да рестартирате възела, за да инсталирате сертификата. Щракнете върху стрелката chevron по името на издателя на сертификата, за да получите повече подробности или щракнете върху Изтрий, ако сте направили грешка и искате да качите повторно файла.
4	Щракнете върху Проверка на прокси връзката, за да тествате мрежовата свързаност между възела и прокси. Ако тестът за връзка е неуспешен, ще видите съобщение за грешка, което показва причината и как можете да коригирате проблема. Ако видите съобщение, което казва, че външната DNS разделителна способност не е била успешна, възелът не е успял да достигне DNS сървъра. Това условие се очаква в много изрични прокси конфигурации. Можете да продължите с настройката и възелът ще функционира в режим на блокирано външно DNS разрешаване. Ако смятате, че това е грешка, изпълнете тези стъпки и след това вижте Изключване на режима за разрешаване на блокирани външни DNS адреси.
5	След като тестът за връзка премине, за изрично прокси настроен само на https, включете превключването към Маршрут всички порт 443/444 https заявки от този възел през изрично прокси. Тази настройка изисква 15 секунди, за да влязат в сила.
6	Щракнете върху Инсталиране на всички сертификати в хранилището на гаранти (появява се за HTTPS изрично прокси или прозрачен проверяващ прокси) или Рестартиране (появява се за HTTP изрично прокси), прочетете подканата и след това щракнете върху Инсталиране, ако сте готови. Възелът се рестартира в рамките на няколко минути.
7	След рестартирането на възела влезте отново, ако е необходимо, след което отворете страницата Общ преглед, за да проверите проверките за свързване, за да се уверите, че всички те са в зелено състояние. Проверката на прокси връзката тества само поддомейн от webex.com. Ако има проблеми със свързването, често срещан проблем е, че някои от облачните домейни, изброени в инструкциите за инсталиране, се блокират в прокси.

Регистрирайте първия възел в клъстера

Тази задача взема общия възел, който създадохте в Настройка на виртуалната машина за хибридна сигурност на данни, регистрира възела в облака Webex и го превръща във възел за хибридна сигурност на данни.

Когато регистрирате първия си възел, създавате клъстер, към който е присвоен възелът. Клъстерът съдържа един или повече възли, разположени за осигуряване на резервиране.

Преди да започнете

След като започнете регистрацията на възел, трябва да я завършите в рамките на 60 минути или ще трябва да започнете отначало.
Уверете се, че всички блокери на изскачащи прозорци във вашия браузър са деактивирани или че сте разрешили изключение за admin.webex.com.

1	Влезте в https://admin.webex.com.
2	От менюто от лявата страна на екрана изберете Услуги.
3	В секцията „Хибридни услуги“ намерете „Хибридна сигурност на данните“ и щракнете върху „Настройка. Появява се страницата „Регистриране на хибриден възел за защита на данни“.
4	Изберете Да, за да посочите, че сте настроили възела и сте готови да го регистрирате, след което щракнете върху Напред.
5	В първото поле въведете име за клъстера, към който искате да присвоите вашия възел за хибридна защита на данни. Препоръчваме да наименувате клъстер въз основа на географското местоположение на възлите на клъстера. Примери: „Сан Франциско“, „Ню Йорк“ или „Далас“
6	Във второто поле въведете вътрешния IP адрес или пълното име на домейн (FQDN) на вашия възел и щракнете върху Напред. Този IP адрес или FQDN трябва да съвпада с IP адреса или името на хоста и домейна, които сте използвали в Настройка на виртуалната машина за хибридна сигурност на данни. Появява се съобщение, което показва, че можете да регистрирате възела си в Webex.
7	Кликнете върху Отиди на възел.
8	Щракнете върху Продължи в предупредителното съобщение. След няколко минути ще бъдете пренасочени към тестовете за свързаност на възлите за услугите на Webex. Ако всички тестове са успешни, се появява страницата „Разрешаване на достъп до хибриден възел за защита на данни“. Там потвърждавате, че искате да предоставите разрешения на вашата Webex организация за достъп до вашия възел.
9	Поставете отметка в квадратчето Разрешаване на достъп до вашия хибриден възел за сигурност на данни и след това щракнете върху Продължи. Вашият акаунт е валидиран и съобщението „Регистрацията е завършена“ показва, че вашият възел вече е регистриран в облака Webex.
10	Щракнете върху връзката или затворете раздела, за да се върнете към страницата за сигурност на хибридните данни на Control Hub. На страницата Хибридна сигурност на данни се показва новият клъстер, съдържащ регистрирания от вас възел. Възелът автоматично ще изтегли най-новия софтуер от облака.

Създаване и регистриране на още възли

За да добавите допълнителни възли към вашия клъстер, просто създавате допълнителни виртуални машини и монтирате същия ISO файл с конфигурацията, след което регистрирате възела. Препоръчваме ви да имате поне 3 възела.

В момента резервните виртуални машини, които създадохте в „Завършване на предварителните изисквания за хибридна сигурност на данните “ , са резервни хостове, които се използват само в случай на възстановяване след бедствие; дотогава те не са регистрирани в системата. За подробности вижте Възстановяване след бедствия с помощта на резервен център за данни.

Преди да започнете

След като започнете регистрацията на възел, трябва да я завършите в рамките на 60 минути или ще трябва да започнете отначало.
Уверете се, че всички блокери на изскачащи прозорци във вашия браузър са деактивирани или че сте разрешили изключение за admin.webex.com.

1	Създайте нова виртуална машина от OVA, като повторите стъпките в Инсталиране на HDS Host OVA.
2	Настройте първоначалната конфигурация на новата виртуална машина, като повторите стъпките в Настройка на хибридната виртуална машина за сигурност на данните.
3	На новата виртуална машина повторете стъпките в Качване и монтиране на ISO файл с конфигурация на HDS.
4	Ако настройвате прокси за вашето внедряване, повторете стъпките в Конфигуриране на HDS възела за интеграция на прокси, както е необходимо за новия възел.
5	Регистрирайте възела. В https://admin.webex.comизберете Услуги от менюто от лявата страна на екрана. В секцията „Хибридни услуги“ намерете картата „Хибридна сигурност на данните“ и щракнете върху Ресурси. Появява се страницата „Ресурси за хибридна сигурност на данни“. Кликнете върху Добавяне на ресурс. В първото поле изберете името на съществуващия ви клъстер. Във второто поле въведете вътрешния IP адрес или пълното име на домейн (FQDN) на вашия възел и щракнете върху Напред. Появява се съобщение, което показва, че можете да регистрирате вашия възел в облака Webex. Кликнете върху Отиди на възел. След няколко минути ще бъдете пренасочени към тестовете за свързаност на възлите за услугите на Webex. Ако всички тестове са успешни, се появява страницата „Разрешаване на достъп до хибриден възел за защита на данни“. Там потвърждавате, че искате да дадете разрешения на вашата организация за достъп до вашия възел. Поставете отметка в квадратчето Разрешаване на достъп до вашия хибриден възел за сигурност на данни и след това щракнете върху Продължи. Вашият акаунт е валидиран и съобщението „Регистрацията е завършена“ показва, че вашият възел вече е регистриран в облака Webex. Щракнете върху връзката или затворете раздела, за да се върнете към страницата за сигурност на хибридните данни на Control Hub. Вашият възел е регистриран. Обърнете внимание, че докато не стартирате пробен период, вашите възли генерират аларма, показваща, че услугата ви все още не е активирана.

Какво да направите след това

Провеждане на пробен период и преминаване към производствен режим (следваща глава)

Проведете пробен период и преминете към производствен режим

Поток от задачи от пробен период до производство

След като настроите клъстер за хибридна защита на данни, можете да стартирате пилотен проект, да добавите потребители към него и да започнете да го използвате за тестване и проверка на вашето внедряване в подготовка за преминаване към производство.

Преди да започнете

Създаване на хибриден клъстер за сигурност на данните

1	Ако е приложимо, синхронизирайте груповия обект `HdsTrialGroup`. Ако вашата организация използва синхронизиране на директории за потребители, трябва да изберете груповия обект `HdsTrialGroup` за синхронизиране с облака, преди да можете да започнете пробен период. За инструкции вижте Ръководството за внедряване на Cisco Directory Connector.
2	Активиране на пробен период Започнете пробен период. Докато не изпълните тази задача, вашите възли генерират аларма, показваща, че услугата все още не е активирана.
3	Тествайте внедряването на хибридна защита на данните си Проверете дали ключовите заявки се предават към вашето внедряване на хибридна защита на данни.
4	Мониториране на състоянието на хибридната сигурност на данните Проверете състоянието и настройте имейл известия за аларми.
5	Добавяне или премахване на потребители от пробния ви период
6	Завършете пробната фаза с едно от следните действия: Преминаване от пробен период към производство Прекратете пробния си период, без да преминавате към производствен режим.

Активиране на пробен период

Преди да започнете

Ако вашата организация използва синхронизиране на директории за потребители, трябва да изберете груповия обект HdsTrialGroup за синхронизация с облака, преди да можете да започнете пробен период за вашата организация. За инструкции вижте Ръководството за внедряване на Cisco Directory Connector.

1	Влезте в https://admin.webex.comи след това изберете Услуги.
2	Под „Хибридна сигурност на данните“ щракнете върху „Настройки“.
3	В секцията „Състояние на услугата“ щракнете върху „ Започнете пробен период“. Статусът на услугата се променя на пробен режим.
4	Щракнете върху Добавяне на потребители и въведете имейл адреса на един или повече потребители, за да пилотирате използването на вашите възли за хибридна сигурност на данни за услуги за криптиране и индексиране. (Ако вашата организация използва синхронизиране на директории, използвайте Active Directory за управление на пробната група, `HdsTrialGroup`.)

Тествайте внедряването на хибридна защита на данните си

Използвайте тази процедура, за да тествате сценарии за криптиране на хибридна защита на данни.

Преди да започнете

Настройте внедряването на хибридна защита на данните.
Активирайте пробния период и добавете няколко потребители за пробния период.
Уверете се, че имате достъп до системния лог, за да проверите дали ключовите заявки се предават към вашето внедряване на хибридна защита на данни.

1

Ключовете за дадено пространство се задават от създателя на пространството. Влезте в приложението Webex като един от пилотните потребители, след което създайте пространство и поканете поне един пилотен потребител и един непилотен потребител.

Ако деактивирате внедряването на хибридната защита на данните, съдържанието в пространствата, създадени от пилотните потребители, вече няма да е достъпно, след като кешираните от клиента копия на ключовете за криптиране бъдат заменени.

2

Изпращайте съобщения до новото пространство.

3

Проверете изхода на системния лог, за да се уверите, че заявките за ключове се предават към вашето внедряване на хибридна защита на данни.

За да проверите за потребител, който първо установява защитен канал към KMS, филтрирайте по kms.data.method=create и kms.data.type=EPHEMERAL_KEY_COLLECTION:

Трябва да намерите запис, подобен на следния (идентификаторите са съкратени за по-лесна четливост):

2020-07-21 17:35:34.562 (+0000) INFO  KMS [pool-14-thread-1] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms://hds2.org5.portun.us/statickeys/3[~]0 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=EPHEMERAL_KEY_COLLECTION, 
kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2

За да проверите за потребител, който заявява съществуващ ключ от KMS, филтрирайте по kms.data.method=retrieve и kms.data.type=KEY:

Трябва да намерите запис, например:

2020-07-21 17:44:19.889 (+0000) INFO  KMS [pool-14-thread-31] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=retrieve, 
kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriHost=ciscospark.com, kms.data.type=KEY, 
kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b

За да проверите за потребител, който иска създаването на нов KMS ключ, филтрирайте по kms.data.method=create и kms.data.type=KEY_COLLECTION:

Трябва да намерите запис, например:

2020-07-21 17:44:21.975 (+0000) INFO  KMS [pool-14-thread-33] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, 
kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, 
kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b

За да проверите за потребител, който е поискал създаването на нов KMS ресурсен обект (KRO), когато се създава пространство или друг защитен ресурс, филтрирайте по kms.data.method=create и kms.data.type=RESOURCE_COLLECTION:

Трябва да намерите запис, например:

2020-07-21 17:44:22.808 (+0000) INFO  KMS [pool-15-thread-1] - [KMS:REQUEST] received, 
deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms://hds2.org5.portun.us/ecdhe/5[~]1 
(EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, 
kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, 
kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

Мониториране на състоянието на хибридната сигурност на данните

Индикатор за състоянието в Control Hub ви показва дали всичко е наред с внедряването на хибридната защита на данните. За по-проактивно известяване, регистрирайте се за имейл известия. Ще бъдете уведомявани, когато има аларми, влияещи върху услугата, или актуализации на софтуера.

1	В Control Hubизберете Services от менюто от лявата страна на екрана.
2	В секцията „Хибридни услуги“ намерете „Хибридна сигурност на данните“ и щракнете върху „Настройки“. Появява се страницата с настройки за хибридна защита на данните.
3	В секцията „Известия по имейл“ въведете един или повече имейл адреси, разделени със запетаи, и натиснете Enter.

Добавяне или премахване на потребители от пробния ви период

След като активирате пробен период и добавите първоначалния набор от потребители, можете да добавяте или премахвате членове по всяко време, докато пробният период е активен.

Ако премахнете потребител от пробния период, клиентът на потребителя ще поиска ключове и създаване на ключове от облачната KMS система, вместо от вашата KMS система. Ако клиентът се нуждае от ключ, който се съхранява във вашата KMS система, облачната KMS система ще го извлече от името на потребителя.

Ако вашата организация използва синхронизиране на директории, използвайте Active Directory (вместо тази процедура), за да управлявате пробната група, HdsTrialGroup; Можете да видите членовете на групата в Control Hub, но не можете да ги добавяте или премахвате.

1	Влезте в Control Hub и след това изберете Услуги.
2	Под „Хибридна сигурност на данните“ щракнете върху „Настройки“.
3	В секцията „Пробен режим“ на областта „Състояние на услугата“ щракнете върху „Добавяне на потребители“или щракнете върху „Преглед и редактиране“, за да премахнете потребители от пробния период.
4	Въведете имейл адреса на един или повече потребители, които искате да добавите, или щракнете върху X до потребителски идентификатор, за да го премахнете от пробния период. След това щракнете върху Запиши.

Преминаване от пробен период към производство

Когато сте доволни, че внедряването ви работи добре за пробните потребители, можете да преминете към производствена версия. Когато преминете към производствен режим, всички потребители в организацията ще използват вашия локален домейн за хибридна защита на данни за ключове за криптиране и други услуги за сигурност. Не можете да се върнете към пробен режим от производствен режим, освен ако не деактивирате услугата като част от възстановяване след бедствие. Повторното активиране на услугата изисква да настроите нов пробен период.

1	Влезте в Control Hub и след това изберете Услуги.
2	Под „Хибридна сигурност на данните“ щракнете върху „Настройки“.
3	В секцията „Състояние на услугата“ щракнете върху „Преместване в производствен режим“ .
4	Потвърдете, че искате да преместите всичките си потребители в производствен режим.

Прекратете пробния си период, без да преминавате към производствен режим.

Ако по време на пробния период решите да не продължите с внедряването на Hybrid Data Security, можете да деактивирате Hybrid Data Security, което ще прекрати пробния период и ще върне потребителите на пробния период обратно към услугите за сигурност на данните в облака. Потребителите на пробния период ще загубят достъп до данните, които са били криптирани по време на пробния период.

1	Влезте в Control Hub и след това изберете Услуги.
2	Под „Хибридна сигурност на данните“ щракнете върху „Настройки“.
3	В секцията Деактивиране щракнете върху Деактивиране.
4	Потвърдете, че искате да деактивирате услугата и да прекратите пробния период.

Управлявайте внедряването на вашия HDS

Управление на внедряването на HDS

Използвайте описаните тук задачи, за да управлявате внедряването на хибридна защита на данни.

Задаване на график за надграждане на клъстера

Надстройките на софтуера за хибридна сигурност на данните се извършват автоматично на ниво клъстер, което гарантира, че всички възли винаги работят с една и съща версия на софтуера. Надстройките се извършват съгласно графика за надстройки за клъстера. Когато стане налична надстройка на софтуера, имате възможност да надстроите ръчно клъстера преди планираното време за надстройка. Можете да зададете конкретен график за надграждане или да използвате графика по подразбиране на 3:00 AM Daily Съединени щати: America/Los Анджелис. Можете също така да изберете да отложите предстоящо надграждане, ако е необходимо.

За да зададете график за надстройка:

1	Влезте в Control Hub.
2	На страницата „Общ преглед“, под „Хибридни услуги“, изберете „Хибридна сигурност на данните“ .
3	На страницата „Ресурси за хибридна сигурност на данни“ изберете клъстера.
4	В панела „Общ преглед“ отдясно, под „Настройки на клъстера“, изберете името на клъстера.
5	На страницата „Настройки“, под „Надграждане“, изберете часа и часовата зона за графика за надграждане. Забележка: Под часовата зона се показва следващата налична дата и час на надстройка. Можете да отложите надстройката за следващия ден, ако е необходимо, като щракнете върху Отложи.

Промяна на конфигурацията на възела

От време на време може да се наложи да промените конфигурацията на вашия възел за защита на хибридни данни поради причина като:

Промяна на x.509 сертификати поради изтичане или други причини.

Не поддържаме промяна на CN името на домейн на сертификат. Домейнът трябва да съответства на оригиналния домейн, използван за регистриране на клъстера.
Актуализиране на настройките на базата данни за промяна на реплика на базата данни PostgreSQL или Microsoft SQL Server.

Не поддържаме мигриране на данни от PostgreSQL към Microsoft SQL Server или обратното. За да превключите средата на базата данни, започнете ново внедряване на Hybrid Data Security.
Създаване на нова конфигурация за подготовка на нов център за данни.

Също така, за целите на защитата, Hybrid Data Security използва пароли за сервизен акаунт, които имат деветмесечен живот. След като инструментът за настройка на HDS генерира тези пароли, ги разполагате на всеки от вашите HDS възли във файла ISO config. Когато паролите на вашата организация са към изтичане, получавате известие от екипа на Webex за нулиране на паролата за вашия машинен акаунт. (Имейлът включва текста „Използвайте API на машинния акаунт, за да актуализирате паролата.“) Ако вашите пароли все още не са изтекли, инструментът ви дава две опции:

Меко нулиране— Старата и новата парола работят до 10 дни. Използвайте този период, за да замените постепенно ISO файла на възлите.
Хард нулиране— Старите пароли спират да работят незабавно.

Ако вашите пароли изтекат без нулиране, това се отразява на вашата HDS услуга, изисквайки незабавно хардуерно нулиране и подмяна на ISO файла на всички възли.

Използвайте тази процедура, за да генерирате нов конфигурационен ISO файл и да го приложите към вашия клъстер.

Преди да започнете

Инструментът за настройка на HDS работи като Docker контейнер на локална машина. За достъп до него стартирайте Docker на тази машина. Процесът на настройка изисква идентификационните данни на акаунт в контролния център с пълни права на администратор за вашата организация.

Ако нямате лиценз за Docker Desktop, можете да използвате Podman Desktop, за да стартирате инструмента за настройка на HDS за стъпки от 1.a до 1.e в процедурата по-долу. Вижте Стартиране на инструмента за настройка на HDS с помощта на Podman Desktop за подробности.

Ако инструментът за настройка на HDS работи зад прокси във вашата среда, предоставете настройките на прокси сървъра (сървър, порт, идентификационни данни) чрез променливите на средата на Docker, когато стартирате контейнера на Docker в 1.e. Тази таблица дава някои възможни променливи на средата:

Описание	Променлива
HTTP прокси без удостоверяване	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS прокси без удостоверяване	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP прокси с удостоверяване	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS прокси с удостоверяване	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

Имате нужда от копие на текущия конфигурационен ISO файл, за да генерирате нова конфигурация. ISO съдържа главния ключ, криптиращ базата данни на PostgreSQL или Microsoft SQL Server. Имате нужда от ISO, когато правите промени в конфигурацията, включително идентификационни данни на база данни, актуализации на сертификати или промени в правилата за оторизация.

1	Използвайки Docker на локална машина, стартирайте HDS Setup Tool. В командния ред на вашата машина въведете подходящата команда за вашата среда: В нормални среди: `docker rmi ciscocitg/hds-setup:stable` В среди на FedRAMP: `docker rmi ciscocitg/hds-setup-fedramp:stable` Тази стъпка изчиства предишни изображения на инструмента за настройка на HDS. Ако няма предишни изображения, той връща грешка, която можете да игнорирате. За да влезете в регистъра на изображения на Docker, въведете следното: `docker login -u hdscustomersro` При подканата за парола въведете този хеш: `dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo` Изтеглете най-новото стабилно изображение за вашата среда: В нормални среди: `docker pull ciscocitg/hds-setup:stable` В среди на FedRAMP: `docker pull ciscocitg/hds-setup-fedramp:stable` Уверете се, че сте изтеглили най-новия инструмент за настройка за тази процедура. Версиите на инструмента, създадени преди 22 февруари 2018 г., нямат екрани за нулиране на парола. Когато изтеглянето приключи, въведете подходящата команда за вашата среда: В нормални среди без прокси: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` В нормални среди с HTTP прокси: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` В нормални среди с HTTPSпрокси: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` В среди на FedRAMP без прокси: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable` В среди на FedRAMP с HTTP прокси: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` В среди на FedRAMP с HTTPS прокси: `docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Когато контейнерът работи, виждате „Експресен сървър слуша на порт 8080“. Използвайте браузър, за да се свържете с localhost, `http://127.0.0.1:8080`. Инструментът за настройка не поддържа свързване към localhost чрез http://localhost:8080. Използвайте http://127.0.0.1:8080, за да се свържете с localhost. Когато получите подкана, въведете вашите идентификационни данни за вход в Control Hub и след това щракнете върху Приемам, за да продължите. Импортирайте текущия конфигурационен ISO файл. Следвайте подканите, за да завършите инструмента и да изтеглите актуализирания файл. За да затворите инструмента за настройка, въведете `CTRL+C`. Създайте резервно копие на актуализирания файл в друг център за данни.
2	Ако имате само един работещ HDS възел, създайте нов виртуален компютър на възел Hybrid Data Security и го регистрирайте, като използвате новия ISO файл с конфигурация. За по-подробни инструкции вижте Създаване и регистриране на още възли. Инсталирайте HDS хост OVA. Настройте HDS VM. Монтирайте актуализирания конфигурационен файл. Регистрирайте новия възел в контролния център.
3	За съществуващи HDS възли, които изпълняват по-стария конфигурационен файл, монтирайте ISO файла. Изпълнете следната процедура на всеки възел на свой ред, като актуализирате всеки възел, преди да изключите следващия възел: Изключете виртуалната машина. В левия панел за навигация на клиента VMware vSphere щракнете с десния бутон върху виртуалната машина и щракнете върху Редактиране на настройките. Щракнете върху `CD/DVD Drive 1`, изберете опцията за монтиране от ISO файл и отидете до мястото, където сте изтеглили новия ISO файл с конфигурацията. Поставете отметка на Свързване при включване. Запазете промените си и включете виртуалната машина.
4	Повторете стъпка 3, за да замените конфигурацията на всеки останал възел, който изпълнява старата конфигурация.

Изключване на режим на блокирана външна DNS разделителна способност

Когато регистрирате възел или проверете конфигурацията на прокси сървъра на възела, процесът тества DNS справка и свързаност към облака Cisco Webex. Ако DNS сървърът на възела не може да разреши публични DNS имена, възелът автоматично преминава в режим на блокирана външна DNS разделителна способност.

Ако вашите възли са в състояние да разреши публични DNS имена чрез вътрешни DNS сървъри, можете да изключите този режим чрез повторно изпълнение на теста за прокси връзка на всеки възел.

Преди да започнете

Гарантирайте, че вашите вътрешни DNS сървъри могат да разрешават публични DNS имена, както и че вашите възли могат да комуникират с тях.

1	В уеб браузър отворете интерфейса на възела "Защита на хибридните данни" (IP адрес/настройка например въведете идентификационни данни за администриране, които https://192.0.2.0/setup), сте задали за възела, след което щракнете върху Влизане.
2	Отидете на Общ преглед (страницата по подразбиране). Когато е разрешено, блокирани външна DNS разделителна способност е зададена да .
3	Отидете на страницата Хранилище на доверие & Прокси.
4	Щракнете върху Проверка на прокси връзката. Ако видите съобщение, казващо, че външната DNS разделителна способност не е била успешна, възелът не е успял да достигне DNS сървъра и ще остане в този режим. В противен случай, след като рестартирате възела и да се върнете към страницата общ преглед, Блокиран външен DNS разделителна способност трябва да бъде зададено на не.

Какво да направите след това

Повторете теста за прокси връзка на всеки възел във вашия клъстер за защита на хибридни данни.

Премахване на възел

Използвайте тази процедура, за да премахнете възел за хибридна защита на данни от облака Webex. След като премахнете възела от клъстера, изтрийте виртуалната машина, за да предотвратите по-нататъшен достъп до вашите данни за сигурност.

1

Използвайте VMware vSphere клиента на вашия компютър, за да влезете във виртуалния хост ESXi и да изключите виртуалната машина.

2

Премахнете възела:

Влезте в Control Hub и след това изберете Услуги.
В картата „Хибридна сигурност на данните“ щракнете върху „ Виж всички “ , за да се покаже страницата „Ресурси за хибридна сигурност на данните“.
Изберете вашия клъстер, за да се покаже неговият панел „Общ преглед“.
Щракнете върху Отваряне на списъка с възли.
В раздела Възли изберете възела, който искате да премахнете.
Кликнете върху Действия > Дерегистриране на възел.

3

В vSphere клиента изтрийте виртуалната машина. (В левия навигационен панел щракнете с десния бутон върху виртуалната машина и след това щракнете върху Изтриване.)

Ако не изтриете виртуалната машина, не забравяйте да демонтирате ISO файла с конфигурацията. Без ISO файла не можете да използвате виртуалната машина за достъп до данните си за сигурност.

Възстановяване след бедствия с помощта на резервен център за данни

Най-важната услуга, която вашият клъстер за хибридна сигурност на данни предоставя, е създаването и съхранението на ключове, използвани за криптиране на съобщения и друго съдържание, съхранявано в облака Webex. За всеки потребител в организацията, който е назначен за хибридна защита на данни, заявките за създаване на нови ключове се насочват към клъстера. Клъстерът е отговорен и за връщането на създадените от него ключове на всички потребители, упълномощени да ги извличат, например членове на пространство за разговори.

Тъй като клъстерът изпълнява критичната функция за предоставяне на тези ключове, е наложително клъстерът да продължи да работи и да се поддържат правилни резервни копия. Загубата на базата данни за хибридна сигурност на данните или на ISO файла с конфигурацията, използван за схемата, ще доведе до НЕВЪЗСТАНОВИМА ЗАГУБА на клиентско съдържание. Следните практики са задължителни за предотвратяване на подобна загуба:

Ако бедствие доведе до недостъпност на внедряването на HDS в основния център за данни, следвайте тази процедура, за да превключите ръчно към резервния център за данни.

1	Стартирайте инструмента за настройка на HDS и следвайте стъпките, посочени в Създаване на ISO файл с конфигурация за HDS хостовете.
2	След като конфигурирате Syslogd сървъра, щракнете върху Разширени настройки
3	На страницата Разширени настройки добавете конфигурацията по-долу или премахнете конфигурацията `passiveMode`, за да направите възела активен. Възелът може да обработва трафика, след като това е конфигурирано. `passiveMode: 'false'`
4	Завършете процеса на конфигуриране и запазете ISO файла на място, което е лесно за намиране.
5	Направете резервно копие на ISO файла на вашата локална система. Пазете резервното копие сигурно. Този файл съдържа главен ключ за криптиране на съдържанието на базата данни. Ограничете достъпа само до администраторите на хибридна сигурност на данни, които трябва да правят промени в конфигурацията.
6	В левия навигационен панел на клиента VMware vSphere щракнете с десния бутон върху виртуалната машина и след това щракнете върху Редактиране на настройките..
7	Кликнете върху Редактиране на настройките >CD/DVD Устройство 1 и изберете ISO файл на хранилището на данни. Уверете се, че са отметнати Свързано и Свързване при включване, за да могат актуализираните промени в конфигурацията да влязат в сила след стартиране на възлите.
8	Включете HDS възела и се уверете, че няма аларми в продължение на поне 15 минути.
9	Повторете процеса за всеки възел в резервния център за данни. Проверете изхода от системния лог, за да се уверите, че възлите на резервния център за данни не са в пасивен режим. „KMS конфигуриран в пасивен режим“ не трябва да се появява в системните логове.

Какво да направите след това

След превключване на резервния център за данни, ако основният център за данни стане отново активен, поставете отново резервния център за данни в пасивен режим, като следвате стъпките, описани в Настройка на резервен център за данни за аварийно възстановяване.

(По избор) Демонтиране на ISO след HDS конфигурация

Стандартната HDS конфигурация работи с монтиран ISO диск. Но някои клиенти предпочитат да не оставят ISO файловете постоянно монтирани. Можете да демонтирате ISO файла, след като всички HDS възли приемат новата конфигурация.

Все още използвате ISO файловете, за да правите промени в конфигурацията. Когато създавате нов ISO файл или актуализирате ISO файл чрез инструмента за настройка, трябва да монтирате актуализирания ISO файл на всички ваши HDS възли. След като всички ваши възли са възприели промените в конфигурацията, можете да демонтирате ISO файла отново с тази процедура.

Преди да започнете

Надстройте всички ваши HDS възли до версия 2025.06.02.6983 или по-нова.

1	Изключете един от вашите HDS възли.
2	В vCenter Server Appliance изберете възела HDS.
3	Изберете Редактиране на настройки > CD/DVD устройство и махнете отметката от ISO файл на хранилището на данни.
4	Включете HDS възела и се уверете, че няма аларми в продължение на поне 20 минути.
5	Повторете за всеки HDS възел поред.

Отстраняване на неизправности в хибридната сигурност на данните

Преглед на предупреждения и отстраняване на неизправности

Хибридното внедряване на защита на данни се счита за недостъпно, ако всички възли в клъстера са недостъпни или клъстерът работи толкова бавно, че изисква изтичане на времето за изчакване. Ако потребителите не могат да достигнат до вашия клъстер за хибридна защита на данни, те ще наблюдават следните симптоми:

Не могат да се създават нови пространства (не е възможно да се създават нови ключове)
Съобщенията и заглавията на пространствата не успяват да се дешифрират за:
- Нови потребители са добавени към пространството (не е възможно да се получат ключове)
- Съществуващи потребители в пространство, използващи нов клиент (не могат да извлекат ключове)
Съществуващите потребители в дадено пространство ще продължат да работят успешно, стига техните клиенти да имат кеш на ключовете за криптиране.

Важно е правилно да наблюдавате вашия клъстер за хибридна сигурност на данни и своевременно да реагирате на всички предупреждения, за да избегнете прекъсване на услугата.

Предупреждения

Ако има проблем с настройката на хибридната защита на данните, Control Hub показва предупреждения на администратора на организацията и изпраща имейли до конфигурирания имейл адрес. Сигналите обхващат много често срещани сценарии.

Таблица 1. Често срещани проблеми и стъпки за разрешаването им
Предупреждение	Действие
Отказ на достъп до локална база данни.	Проверете за грешки в базата данни или проблеми с локалната мрежа.
Грешка при свързване с локална база данни.	Проверете дали сървърът на базата данни е наличен и дали са използвани правилните идентификационни данни за сервизен акаунт при конфигурацията на възела.
Грешка в достъпа до облачна услуга.	Проверете дали възлите имат достъп до Webex сървърите, както е посочено в Изисквания за външна свързаност.
Подновяване на регистрацията за облачна услуга.	Регистрацията за облачни услуги беше премахната. Подновяването на регистрацията е в ход.
Регистрацията на облачна услуга е прекратена.	Регистрацията за облачни услуги е прекратена. Услугата се изключва.
Услугата все още не е активирана.	Активирайте пробен период или завършете преместването на пробния период в производствен режим.
Конфигурираният домейн не съответства на сертификата на сървъра.	Уверете се, че сертификатът на вашия сървър съответства на конфигурирания домейн за активиране на услугата. Най-вероятната причина е, че CN на сертификата е бил наскоро променен и сега е различен от CN, използван по време на първоначалната настройка.
Неуспешно удостоверяване в облачните услуги.	Проверете за точност и евентуално изтичане на идентификационните данни за сервизния акаунт.
Неуспешно отваряне на локалния файл за съхранение на ключове.	Проверете целостта и точността на паролата в локалния файл за съхранение на ключове.
Сертификатът на локалния сървър е невалиден.	Проверете датата на валидност на сертификата на сървъра и потвърдете, че е издаден от надежден сертифициращ орган.
Не е възможно публикуване на показатели.	Проверете достъпа на локалната мрежа до външни облачни услуги.
/media/configdrive/hds директорията не съществува.	Проверете конфигурацията за монтиране на ISO файла на виртуалния хост. Проверете дали ISO файлът съществува, дали е конфигуриран да се монтира при рестартиране и дали се монтира успешно.

Отстраняване на неизправности в хибридната сигурност на данните

Използвайте следните общи насоки, когато отстранявате проблеми с хибридната защита на данните.

1	Прегледайте Control Hub за евентуални предупреждения и поправете всички елементи, които откриете там.
2	Прегледайте изхода на syslog сървъра за активност от внедряването на хибридната защита на данните.
3	Свържете се с поддръжката на Cisco.

Други бележки

Известни проблеми със сигурността на хибридните данни

Ако изключите вашия клъстер Hybrid Data Security (чрез изтриването му в Control Hub или чрез изключване на всички възли), загубите ISO файла си за конфигурация или загубите достъп до базата данни за хранилище за ключове, потребителите на вашето приложение Webex вече няма да могат да използват пространства в списъка си с хора, които са създадени с ключове от вашата KMS. Това важи както за пробните, така и за производствените внедрявания. В момента нямаме решение или корекция на този проблем и ви призоваваме да не изключвате услугите си на HDS, след като те обработват активни потребителски акаунти.
Клиент, който има съществуваща ECDH връзка с KMS, поддържа тази връзка за определен период от време (вероятно един час). Когато потребител стане член на пробен период на Hybrid Data Security, клиентът на потребителя продължава да използва съществуващата ECDH връзка, докато не изтече времето за изчакване. Като алтернатива, потребителят може да излезе и да влезе отново в приложението Webex, за да актуализира местоположението, с което приложението се свързва за ключове за криптиране.

Същото поведение се случва, когато преместите пробен период в производствен за организацията. Всички потребители, които не са в пробен период и имат съществуващи ECDH връзки към предишните услуги за сигурност на данните, ще продължат да използват тези услуги, докато ECDH връзката не бъде предоговорена (чрез изтичане на времето за изчакване или чрез излизане и повторно влизане).

Стартирайте инструмента за настройка на HDS с помощта на Podman Desktop

Podman е безплатен инструмент с отворен код за управление на контейнери, който предоставя начин за стартиране, управление и създаване на контейнери. Podman Desktop може да бъде изтеглен от https://podman-desktop.io/downloads.

Инструментът за настройка на HDS работи като Docker контейнер на локална машина. За да получите достъп до него, изтеглете и стартирайте Podman на тази машина. Процесът на настройка изисква идентификационните данни на акаунт в контролния център с пълни права на администратор за вашата организация.

Ако инструментът за настройка на HDS работи зад прокси сървър във вашата среда, предоставете настройките на прокси сървъра (сървър, порт, идентификационни данни) чрез променливите на средата на Docker, когато стартирате контейнера на Docker в стъпка 5. Тази таблица дава някои възможни променливи на средата:

Описание	Променлива
HTTP прокси без удостоверяване	`GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT`
HTTPS прокси без удостоверяване	`GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT`
HTTP прокси с удостоверяване	`GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS прокси с удостоверяване	`GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT`

ISO файлът с конфигурацията, който генерирате, съдържа главния ключ, криптиращ базата данни на PostgreSQL или Microsoft SQL Server. Нуждаете се от най-новото копие на този файл всеки път, когато правите промени в конфигурацията, като тези:
- Идентификационни данни за базата данни
- Актуализации на сертификати
- Промени в политиката за оторизация
Ако планирате да криптирате връзките към базата данни, настройте внедряването на PostgreSQL или SQL Server за TLS.

Процесът на настройка на хибридната защита на данните създава ISO файл. След това използвате ISO файла, за да конфигурирате вашия хост за хибридна сигурност на данните.

podman rmi ciscocitg/hds-setup:stable  
podman login docker.io -u hdscustomersro
dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo
podman pull ciscocitg/hds-setup:stable
podman run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

Какво да направите след това

Следвайте оставащите стъпки в Създаване на ISO файл за конфигурация за HDS хостовете или Промяна на конфигурацията на възела, за да създадете или промените ISO конфигурацията.

Използвайте OpenSSL за генериране на PKCS12 файл

Преди да започнете

OpenSSL е един инструмент, който може да се използва за създаване на PKCS12 файла в правилния формат за зареждане в HDS Setup Tool. Има и други начини да направите това и ние не подкрепяме, нито насърчаваме единия начин пред другия.
Ако решите да използвате OpenSSL, ние предоставяме тази процедура като насока, която да ви помогне да създадете файл, който отговаря на изискванията за сертификат X.509 в Изисквания за сертификат X.509. Разберете тези изисквания, преди да продължите.
Инсталирайте OpenSSL в поддържана среда. Вижте https://www.openssl.org за софтуера и документацията.
Създайте частен ключ.
Започнете тази процедура, когато получите сертификата на сървъра от вашия сертифициращ орган (CA).

1	Когато получите сертификата на сървъра от вашия CA, запазете го като `hdsnode.pem`.
2	Покажете сертификата като текст и проверете данните. `openssl x509 -text -noout -in hdsnode.pem`
3	Използвайте текстов редактор, за да създадете файл със сертификатен пакет, наречен `hdsnode-bundle.pem`. Пакетният файл трябва да включва сертификата на сървъра, всички междинни сертификати на CA и сертификатите на коренния CA във формата по-долу: `-----BEGIN CERTIFICATE----- ### Server certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Intermediate CA certificate. ### -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ### Root CA certificate. ### -----END CERTIFICATE-----`
4	Създайте .p12 файла с приятелското име `kms-private-key`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Проверете подробностите за сертификата на сървъра. `openssl pkcs12 -in hdsnode.p12` Въведете парола при подканата, за да криптирате личния ключ, така че той да бъде посочен в изхода. След това проверете дали частният ключ и първият сертификат съдържат редовете `friendlyName: kms-private-key`. Пример: bash$ openssl pkcs12 -in hdsnode.p12 Enter Import Password: MAC verified OK Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Key Attributes: Enter PEM pass phrase: Verifying - Enter PEM pass phrase: -----BEGIN ENCRYPTED PRIVATE KEY----- -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-----

Какво да направите след това

Връщане към Изпълнете предварителните изисквания за хибридна сигурност на данните. Ще използвате файла hdsnode.p12 и паролата, която сте задали за него, в Създаване на ISO файл с конфигурация за HDS хостовете.

Можете да използвате повторно тези файлове, за да заявите нов сертификат, когато оригиналният сертификат изтече.

Трафик между HDS възлите и облака

Изходящ трафик за събиране на показатели

Възлите за хибридна сигурност на данните изпращат определени показатели към облака Webex. Те включват системни показатели за максимална heap памет, използвана heap памет, натоварване на процесора и брой нишки; показатели за синхронни и асинхронни нишки; показатели за предупреждения, включващи праг на криптирани връзки, латентност или дължина на опашката за заявки; показатели за хранилището на данни; и показатели за криптирана връзка. Възлите изпращат криптиран ключов материал по канал извън честотната лента (отделен от заявката).

Входящ трафик

Възлите за хибридна сигурност на данните получават следните видове входящ трафик от облака Webex:

Заявки за криптиране от клиенти, които се маршрутизират от услугата за криптиране
Надстройки на софтуера на възела

Конфигуриране на Squid прокси сървъри за хибридна сигурност на данните

Websocket не може да се свърже чрез сепия прокси

Squid прокси сървърите, които проверяват HTTPS трафика, могат да попречат на установяването на websocket (wss:) връзки, които Hybrid Data Security изисква. Тези раздели дават насоки как да конфигурирате различни версии на Squid да игнорират wss: трафик за правилното функциониране на услугите.

Калмята 4 и 5

Добавете директивата on_unsupported_protocol към squid.conf:

on_unsupported_protocol tunnel all

Сепия 3.5.27

Успешно тествахме хибридната сигурност на данните, като към squid.confдобавихме следните правила. Тези правила подлежат на промяна, тъй като разработваме функции и актуализираме webex облака.

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

Предговор

Нова и променена информация

Дата	Направени промени
30 януари 2025 г.	Добавена е версия на SQL сървър 2022 към списъка с поддържани SQL сървъри в изискванията за сървър на базата данни.
07 януари 2025 г.	Актуализирани изисквания за виртуален хост, Поток от задачи за разполагане на хибридна защита на данни, и Инсталиране на HDS Host OVA , за да се покаже ново изискване на ESXi 7.0.
20 октомври 2023 г.	Актуализирана информация в изискванията към сървъра с база данни. Добавено е Настройване на Standby Data Center за възстановяване след бедствие. Актуализирана информация в Standby Data Center за възстановяване след бедствие и Възстановяване след бедствие чрез Standby Data Center.
07 август 2023 г.	Добавена е бележка в Изтегляне на инсталационни файлове. Добавена е бележка в Създаване на конфигурация ISO за хостовете на HDS и Промяна на конфигурацията на възела.
23 май 2023 г.	Изтрита информация от изискванията към сървъра за база данни , изискваща функция, която да бъде активирана чрез свързване с екипа за акаунти. Актуализирана информация в Изисквания за външна свързаност и добавена Канада към таблицата с хостове на CI. Добавена е бележка в Очакванията за разполагане на хибридна защита на данни по отношение на липсата на механизми за преместване на ключовете обратно в облака.
06 декември 2022 г.	Изображенията на инструмента за настройка на HDS вече се хостват в хранилището `ciscocitg` dockerhub. Актуализирани са Създаване на конфигурация ISO за хостовете на HDS и Промяна на темите на конфигурация на възела , за да възстановите промените в командите.
23 ноември 2022 г.	HDS възлите вече могат да използват удостоверяване на Windows срещу Microsoft SQL Server. Актуализирана е темата за изискванията към сървъра с база данни с допълнителни изисквания за този режим на удостоверяване. Актуализиран е Създаване на конфигурационен ISO за хостовете на HDS с процедурата за конфигуриране на удостоверяване на Windows на възлите. Актуализирана е темата за изискванията към сървъра за база данни с нови минимални задължителни версии (PostgreSQL 10).
13 октомври 2021 г.	Docker Desktop трябва да стартира програма за настройка, преди да можете да инсталирате възли на HDS. Вижте Изисквания за закачане на работния плот.
юни 24, 2021	Имайте предвид, че можете да използвате повторно файла с частен ключ и CSR, за да поискате друг сертификат. Вижте Използване на OpenSSL за генериране на PKCS12 файл за подробности.
30 април 2021 г.	Променено е изискването за VM за локално място на твърдия диск на 30 GB. Вижте Изисквания за виртуален организатор за подробности.
24 февруари 2021	Инструментът за настройка на HDS вече може да се изпълнява зад прокси сървър. Вижте Създаване на конфигурация ISO за хостовете на HDS за подробности.
Февруари 2, 2021	HDS вече може да се изпълнява без монтиран ISO файл. Вижте (По избор) Демонтиране на ISO след конфигуриране на HDS за подробности.
11 януари 2021 г.	Добавена е информация за инструмента за настройка на HDS и прокси сървъри, за да се създаде конфигурационен ISO за хостовете на HDS.
13 октомври 2020 г	Изтегляне на инсталационни файлове е актуализирано.
08 октомври 2020 г.	Актуализиран е Създаване на конфигурация ISO за HDS хостовете и Промяна на конфигурацията на възела с команди за среди на FedRAMP.
14 август 2020 г	Актуализиран е Създаване на конфигурация ISO за хостовете на HDS и Промяна на конфигурацията на възела с промени в процеса на влизане.
5 август 2020 г	Актуализиран Тестване на внедряването на хибридна защита на данни за промени в съобщенията в регистрационните файлове. Актуализирани са изискванията за виртуален организатор , за да се премахне максималният брой организатори.
16 юни 2020 г	Актуализиран е Премахване на възел за промени в потребителския интерфейс на Control Hub.
4 юни 2020 г	Актуализиран е Създаване на конфигурационен ISO за хостовете на HDS за промени в разширените настройки, които може да зададете.
29 май 2020 г	Актуализиран е Създаване на конфигурационен ISO за хостовете на HDS , за да се покаже, че можете да използвате и TLS с бази данни на SQL Server, промени на потребителския интерфейс и други пояснения.
5 май 2020 г	Актуализирани са изискванията за виртуален хост, за да се покаже новото изискване на ESXi 6.5.
21 април 2020 г.	Актуализирани са Изисквания за външна свързаност с нови организатори на CI в Americas.
1 април 2020 г.	Актуализирани са Изисквания за външна свързаност с информация за регионалните организатори на CI.
20 февруари 2020 г	Актуализиран е Създаване на конфигурационен ISO за хостовете на HDS с информация за нов екран с незадължителни разширени настройки в инструмента за настройка на HDS.
14 февруари 2019 г.	Актуализирани са изискванията за прокси сървъра.
16 декември 2019 г.	Поясни изискването за режим на блокирано външно разрешаване на DNS, за да работи в Изисквания към прокси сървъра.
19 ноември 2019	Добавена е информация за режима на блокирано външно DNS разрешаване в следните раздели: Поддръжка на прокси Конфигуриране на HDS възел за интегриране на прокси сървър Изключване на режим на блокирана външна DNS разделителна способност
8 ноември 2019 г	Вече можете да конфигурирате мрежови настройки за даден възел, докато разполагате с OVA, а не след това. Следните раздели са съответно актуализирани: Поток на задачи за разполагане на хибридна защита на данни Инсталиране на HDS Host OVA Настройване на VM на хибридна защита на данни Опцията за конфигуриране на мрежовите настройки по време на разполагането на OVA е тествана с ESXi 6.5. Опцията може да не е налична в по-ранни версии.
6 септември 2019 г	Добавен е SQL Server Standard към изискванията за сървъра за база данни.
Август 29, 2019	Добавено е приложение Конфигуриране на прокси сървъри за хибридна защита на данни с насоки за конфигуриране на прокси сървъри за игнориране на трафика на уеб сокети за правилна работа.
Август 20, 2019	Добавени и актуализирани раздели, за да обхванат поддръжката на прокси сървър за комуникации с възела на хибридна защита на данни към облака на Webex. Поддръжка на прокси Изисквания към прокси сървъра Конфигуриране на HDS възел за интегриране на прокси сървър За достъп само до съдържанието на прокси поддръжката за съществуващо разполагане вижте помощната статия Поддръжка на прокси сървъра за хибридна защита на данни и Webex Video Mesh .
13 юни 2019 г.	Актуализиран е Пробен в производствен поток на задачи с напомняне за синхронизиране на груповия обект `HdsTrialGroup` преди започване на пробен период, ако вашата организация използва синхронизиране на указатели.
06 март 2019 г.	Премести изискванията и предварителните изисквания в отделна глава, Подготовка на средата. Добавен е Поток на задачи за разполагане на хибридна защита на данни общ преглед в главата Настройване на клъстер на хибридна защита на данни. Имайте предвид, че докато не започнете изпробване (като използвате инструкциите в следващата глава) вашите възли генерират аларма, която показва, че услугата ви все още не е активирана. Добавен е Пробен в производствения поток на задачи в главата Изпълнение на пробен период и преминаване към производство.
Февруари 28, 2019	Коригирано е количеството локално място на твърдия диск на сървър, което трябва да заделите при подготовката на виртуалните хостове, които стават възли на хибридна защита на данни, от 50 GB до 20 GB, за да се отрази размера на диска, който OVA създава.
26 февруари 2019 г.	Възлите на хибридна защита на данни вече поддържат шифровани връзки със сървъри с бази данни на PostgreSQL и шифровани връзки за регистриране към syslog сървър с възможност за TLS. Актуализиран е Създаване на конфигурационен ISO за хостовете на HDS с инструкции. Премахнати са целеви URL адреси от таблицата „Изисквания за свързаност с интернет за VMs с възли на хибридна защита на данни“. Таблицата сега се отнася до списъка, поддържан в таблицата „Допълнителни URL адреси за хибридни услуги на Webex Teams“ на Мрежови изисквания за услугите на Webex Teams.
Януари 24, 2019	Хибридната защита на данните вече поддържа Microsoft SQL Server като база данни. Винаги включен SQL Server (Винаги включен клъстер за преместване при отказ и винаги включен групи за наличност) се поддържа от JDBC драйвери, които се използват в хибридната защита на данните. Добавено съдържание, свързано с разполагане с SQL сървър. Поддръжката на Microsoft SQL Server е предназначена само за нови разполагания на хибридната защита на данните. Понастоящем не поддържаме мигриране на данни от PostgreSQL към Microsoft SQL Server в съществуващо разполагане.
5 ноември 2018 г.	Добавена е предварителна стъпка за изчистване на всички съществуващи екземпляри на hds на docker в Създаване на конфигурация ISO за хостовете на HDS и Промяна на конфигурацията на възела. Актуализирана е стъпката на ниво на достъп до ключ в Създаване на конфигурация ISO за хостовете на HDS , за да съответства на интерфейса.
19 октомври 2018 г.	Разделете информацията за връзката на защитната стена на изисквания към възлите и изисквания на машината за конфигуриране на ISO в Завършване на предварителните изисквания за хибридна защита на данните.
Юли 31, 2018	Добавен е порт 22 (SSH достъп) и информация за NAT и защитните стени връзки, за да изпълните изискванията за хибридна защита на данните.
21 май 2018 г.	Променена терминология, за да отрази ребрандиране на Cisco Spark: Хибридна защита на данни на Cisco Spark вече е хибридна защита на данни. Приложението Cisco Spark сега е приложението Webex App. Облакът на Cisco Collaboraton сега е облакът на Webex.
11 април 2018 г.	Добавен е Standby Data Center за възстановяване след бедствие. Актуализирано: Изпълнете изискванията за хибридна защита на данни , за да посочите, че средата за архивиране трябва да бъде в друг център за данни. Актуализирано е Възстановяване при бедствие с използване на Standby Data Center.
22 февруари 2018 г	Добавена е информация за 9-месечния жизнен цикъл на паролата за сервизния акаунт и използване на инструмента за настройка на HDS за нулиране на паролите за сервизния акаунт в Създаване на ISO конфигурация за хостовете на HDS и Промяна на конфигурацията на възела.
15 февруари 2018	В таблицата с изисквания за сертификат X.509 е посочено, че сертификатът не може да бъде заместващ сертификат и че KMS използва домейна CN, а не всеки домейн, който е дефиниран в полетата на SAN.509v3.
18 януари 2018	Добавено допълнение, Трафик между възлите на HDS и облака. Премахнат е разрешен проблем от Известни проблеми за хибридна защита на данни. Променен index.docker.io на .docker.io и добавен .cloudfront.net към списъка с изисквания за TCP свързаност за възлите на HDS в Завършване на предварителните изисквания за хибридна защита на данните. Актуализиран е Създаване на конфигурационен ISO за хостовете на HDS , за да се посочи, че ако хостът на базата данни и сървърът за syslogd не могат да се разрешават чрез DNS от HDS възлите, трябва да ги конфигурирате, като използвате IP адреси.
2 ноември 2017 г	Изяснено синхронизиране на указатели на HdsTrialGroup. Фиксирани инструкции за качване на ISO конфигурационния файл за монтаж във VM възлите.
18 август 2017 г.	Първо публикуване

Първи стъпки с хибридна защита на данни

Общ преглед на хибридна защита на данни

От първия ден сигурността на данните е основният фокус при проектирането на приложението Webex. Крайъгълният камък на тази защита е цялостното шифроване на съдържание, разрешено от клиентите на приложението Webex, които взаимодействат с услугата за управление на ключове (KMS). KMS отговаря за създаването и управлението на криптографски ключове, които клиентите използват за динамично криптиране и дешифриране на съобщения и файлове.

По подразбиране всички клиенти на приложението Webex получават цялостно шифроване с динамични ключове, съхранявани в облака KMS, в областта на защитата на Cisco. Хибридната защита на данните премества KMS и други свързани със сигурността функции във вашия корпоративен център за данни, така че никой освен вас не държи ключовете за вашето криптирано съдържание.

Архитектура на областта на сигурността

Архитектурата на облака на Webex разделя различните типове услуги в отделни области или домейни на доверие, както е описано по-долу.

За да разберем по-подробно хибридната защита на данните, нека първо разгледаме този случай в облака, където Cisco предоставя всички функции в своите облачни области. Услугата за самоличност, единственото място, където потребителите могат да бъдат пряко свързани с тяхната лична информация, като имейл адрес, е логично и физически отделена от областта на защитата в центъра за данни B. И двете от своя страна са отделени от областта, в която в крайна сметка се съхранява шифровано съдържание, в центъра за данни C.

На тази схема клиентът е приложението Webex, което се изпълнява на лаптопа на потребителя, и е удостоверен с услугата за самоличност. Когато потребителят композира съобщение за изпращане до интервал, се извършват следните стъпки:

Клиентът установява защитена връзка с услугата за управление на ключове (KMS), след което иска ключ за шифроване на съобщението. Защитената връзка използва ECDH, а KMS шифрова ключа с помощта на главния ключ AES-256.
Съобщението е шифровано преди да напусне клиента. Клиентът го изпраща на услугата за индексиране, която създава шифровани индекси за търсене, за да подпомогне при бъдещи търсения на съдържанието.
Шифрованото съобщение се изпраща на услугата за съответствие за проверки за съответствие.
Шифрованото съобщение се съхранява в областта на мястото за съхранение.

Когато разположите хибридна защита на данни, премествате функциите на областта на защитата (KMS, индексиране и съответствие) в своя локален център за данни. Другите услуги в облака, които съставляват Webex (включително съхранение на самоличност и съдържание), остават в областите на Cisco.

Сътрудничество с други организации

Потребителите във вашата организация могат редовно да използват приложението Webex за сътрудничество с външни участници в други организации. Когато един от вашите потребители поиска ключ за място, което е собственост на вашата организация (защото е създадено от един от вашите потребители), вашата KMS изпраща ключа на клиента чрез ECDH защитен канал. Когато обаче друга организация притежава ключа за пространството, вашият KMS маршрутизира заявката към облака Webex чрез отделен ECDH канал, за да получи ключа от съответния KMS и след това връща ключа на вашия потребител в оригиналния канал.

Услугата KMS, изпълнявана в организация А, валидира връзките към KMS в други организации, като използва x.509 PKI сертификати. Вижте Изисквания за хибридна защита на данни (в тази статия) за подробности относно генерирането на сертификат x.509, който да използвате с разполагането си на хибридна защита на данни.

Очаквания за внедряване на хибридна защита на данни

Внедряването на хибридна защита на данни изисква значителна ангажираност на клиентите и осведоменост за рисковете, които идват от притежанието на ключове за шифроване.

За да разположите хибридна защита на данни, трябва да предоставите:

Защитен център за данни в страна, която е поддържано местоположение за плановете на Cisco Webex Teams.
Оборудването, софтуерът и мрежовият достъп, описани в Изисквания за хибридна защита на данните.

Пълната загуба или на конфигурационния ISO, който изграждате за хибридна защита на данни, или на базата данни, която предоставяте, ще доведе до загуба на ключове. Загубата на ключове не позволява на потребителите да дешифрират съдържанието в пространството и други шифровани данни в приложението Webex. Ако това се случи, можете да изградите ново разполагане, но ще се вижда само новото съдържание. За да избегнете загуба на достъп до данни, трябва:

Управлявайте архивирането и възстановяването на базата данни и конфигурационния ISO.
Бъдете готови да извършите бързо възстановяване след бедствие, ако възникне катастрофа, като повреда на диска на базата данни или бедствие на центъра за данни.

Няма механизъм за преместване на ключовете обратно в облака след разполагане на HDS.

Процес на настройка на високо ниво

Този документ обхваща настройката и управлението на разполагането на хибридна защита на данни:

Настройка на хибридна защита на данни – това включва подготовка на необходимата инфраструктура и инсталиране на софтуера на хибридна защита на данни, тестване на внедряването ви с поднабор от потребители в пробен режим и след като тестването ви завърши, преминаване към производство. Това конвертира цялата организация, за да използва вашия клъстер на хибридна защита на данни за функции на защитата.
Етапите на настройка, изпробване и производство са подробно описани в следващите три глави.
Поддържайте разполагането на хибридна защита на данни – Облакът на Webex автоматично предоставя текущи надстройки. Вашият ИТ отдел може да предостави поддръжка от първо ниво за това разполагане и да ангажира поддръжката на Cisco, ако е необходимо. В Control Hub можете да използвате известия на екрана и да настроите имейл предупреждения.
Разбиране на често срещаните предупреждения, стъпките за отстраняване на неизправности и известни проблеми – ако срещнете проблеми при разполагането или използването на хибридна защита на данни, последната глава от това ръководство и приложението „Известни проблеми“ могат да ви помогнат да определите и коригирате проблема.

Модел на разполагане на хибридна защита на данни

В рамките на вашия корпоративен център за данни разполагате с хибридна защита на данни като един клъстер от възли на отделни виртуални хостове. Възлите комуникират с облака на Webex чрез защитени уеб сокети и защитен HTTP.

По време на процеса на инсталиране ви предоставяме файла OVA, за да настроите виртуалния уред на VMs, които предоставяте. Използвайте инструмента за настройка на HDS, за да създадете персонализиран ISO файл за конфигуриране на клъстери, който да монтирате на всеки възел. Клъстерът на хибридна защита на данни използва предоставения ви сървър Syslogd и базата данни на PostgreSQL или Microsoft SQL Server. (Можете да конфигурирате подробностите за връзката на Syslogd и базата данни в инструмента за настройка на HDS.)

Модел на разполагане на хибридна защита на данни

Минималният брой възли, които можете да имате в клъстер, е два. Препоръчваме поне по три на клъстер. Наличието на множество възли гарантира, че услугата не се прекъсва по време на надстройка на софтуера или друга дейност по поддръжка на даден възел. (Облакът на Webex надгражда само един възел в даден момент.)

Всички възли в клъстера имат достъп до един и същ файл с ключове и регистрационната активност към един и същ syslog сървър. Самите възли са без гражданство и обработват ключови заявки в кръгла форма, както е указано от облака.

Възлите стават активни, когато ги регистрирате в Control Hub. За да излезете от експлоатация отделен възел, можете да го дерегистрирате и по-късно да го регистрирате отново, ако е необходимо.

Поддържаме само един клъстер на организация.

Пробен режим на хибридна защита на данни

След като настроите разполагане на хибридна защита на данни, първо го изпробвайте с набор от пилотни потребители. По време на пробния период тези потребители използват вашия локален домейн за хибридна защита на данни за ключове за шифроване и други услуги от областта на защитата. Другите ви потребители продължават да използват областта на защита на облака.

Ако решите да не продължите с разполагането по време на пробния период и да деактивирате услугата, пилотните потребители и всички потребители, с които са взаимодействали чрез създаване на нови места по време на пробния период, ще загубят достъп до съобщенията и съдържанието. Те ще видят \„Това съобщение не може да бъде дешифрирано\“ в приложението Webex.

Ако сте доволни, че разполагането ви работи добре за пробните потребители и сте готови да разширите хибридната защита на данни до всички свои потребители, преместете разполагането в производство. Пилотните потребители продължават да имат достъп до ключовете, които са били използвани по време на пробния период. Не можете обаче да се движите напред-назад между производствения режим и първоначалното изпробване. Ако трябва да деактивирате услугата, например да извършите възстановяване след бедствие, когато активирате повторно, трябва да започнете нов пробен период и да настроите набора от пилотни потребители за новия пробен период, преди да се върнете към производствен режим. Дали потребителите запазват достъпа до данни в този момент зависи от това дали успешно сте поддържали резервни копия на хранилището за основни данни и конфигурационния файл за ISO за възлите на хибридна защита на данни във вашия клъстер.

Standby Data Center за възстановяване при бедствия

По време на разгръщането настройвате защитен център за данни в режим на готовност. В случай на бедствие на центъра за данни можете ръчно да не успеете при разполагането си в центъра за данни в режим на готовност.

Базите данни на активните центрове за данни и центровете за данни в режим на готовност са синхронизирани помежду си, което ще сведе до минимум времето, необходимо за извършване на превключването при отказ. ISO файлът на центъра за данни в режим на готовност се актуализира с допълнителни конфигурации, които гарантират, че възлите са регистрирани в организацията, но няма да се справят с трафика. Следователно възлите на центъра за данни в режим на готовност винаги остават актуални с най-новата версия на софтуера на HDS.

Активните възли на хибридна защита на данни трябва винаги да бъдат в същия център за данни като активния сървър с база данни.

Настройване на Standby Data Center за възстановяване при бедствия

Следвайте стъпките по-долу, за да конфигурирате ISO файла на центъра за данни в режим на готовност:

Преди да започнете

Центърът за данни в режим на готовност трябва да отразява производствената среда на VMs и архивна база данни PostgreSQL или Microsoft SQL Server. Например, ако производството има 3 VMs, работещи с HDS възли, резервната среда трябва да има 3 VMs. (Вижте Standby Data Center for Disaster Recovery за общ преглед на този модел на отказ.)
Уверете се, че синхронизирането на базата данни е разрешено между базата данни на активните и пасивните възли на клъстерите.

1	Стартирайте инструмента за настройка на HDS и следвайте стъпките, споменати в Създаване на конфигурационен ISO за хостовете на HDS. ISO файлът трябва да бъде копие на оригиналния ISO файл на основния център за данни, върху който трябва да се направят следните актуализации на конфигурацията.
2	След конфигурирането на сървъра Syslogd щракнете върху Разширени настройки
3	На страницата Разширени настройки добавете конфигурацията по-долу, за да поставите възела в пасивен режим. В този режим възелът ще бъде регистриран в организацията и свързан към облака, но няма да обработва никакъв трафик. `пасивенРежим: „вярно“`
4	Завършете процеса на конфигуриране и запишете ISO файла на лесно за намиране място.
5	Направете резервно копие на ISO файла в локалната си система. Поддържайте архивното копие защитено. Този файл съдържа главен ключ за шифроване за съдържанието на базата с данни. Ограничете достъпа само до онези администратори на хибридна защита на данни, които трябва да направят промени в конфигурацията.
6	В левия навигационен екран на клиента VMware vSphere щракнете с десния бутон върху VM и щракнете върху Редактиране на настройките..
7	Щракнете върху Редактиране на настройките >CD/DVD диск 1 и изберете Datastore ISO файл. Уверете се, че са отметнати Свързани и Свързване при включване , за да могат актуализираните промени в конфигурацията да влязат в сила след стартиране на възлите.
8	Включете възела на HDS и се уверете, че няма аларми поне 15 минути.
9	Повторете процеса за всеки възел в центъра за данни в режим на готовност. Проверете регистрационните файлове в syslog, за да потвърдите, че възлите са в пасивен режим. Трябва да можете да виждате съобщението „KMS, конфигурирано в пасивен режим“ в регистрационните файлове в syslog.

Какво да направите след това

След като конфигурирате passiveMode в ISO файла и го запишете, можете да създадете друго копие на ISO файла без конфигурацията на passiveMode и да го запишете на защитено място. Това копие на ISO файла без конфигуриран passiveMode може да помогне при бърз процес на отказ по време на възстановяване след бедствие. Вижте Възстановяване при бедствие с използване на Standby Data Center за подробната процедура при отказ.

Поддръжка на прокси

Hybrid Data Security поддържа изрични, прозрачни проверяващи и неинспектационни проксита. Можете да свържете тези проксита към разполагането си, така че да можете да подсигурите и наблюдавате трафика от предприятието навън към облака. Можете да използвате администраторски интерфейс на платформа на възлите за управление на сертификати и да проверите цялостното състояние на свързване, след като настроите прокси сървъра на възлите.

Хибридните възли за защита на данните поддържат следните опции за прокси:

Няма прокси сървър – Стойността по подразбиране, ако не използвате конфигурацията за настройка на HDS възел на доверено хранилище и прокси сървър за интегриране на прокси сървър. Не се изисква актуализация на сертификата.
Прозрачен прокси сървър без проверка – възлите не са конфигурирани да използват определен адрес на прокси сървъра и не трябва да изискват промени, за да работят с прокси сървър без проверка. Не се изисква актуализация на сертификата.
Прозрачно тунелиране или проверка на прокси сървъра – възлите не са конфигурирани да използват определен адрес на прокси сървъра. На възлите не са необходими промени в конфигурацията на HTTP или HTTPS. Възлите обаче се нуждаят от главен сертификат, така че да се доверяват на прокси. Проверяващите пълномощници обикновено се използват от It за прилагане на политики, на които могат да бъдат посетени уебсайтовете и кои видове съдържание не са разрешени. Този тип прокси дешифрира целия ви трафик (дори HTTPS).
Изричен прокси сървър – С изричния прокси сървър казвате на HDS кои прокси сървъри и схема за удостоверяване да използват. За да конфигурирате изрично прокси, трябва да въведете следната информация на всеки възел:
1. Прокси IP/FQDN – адрес, който може да се използва за свързване с прокси машината.
2. Прокси порт – номер на порт, който прокси сървърът използва за слушане за прокси трафик.
3. Прокси протокол – в зависимост от това, което поддържа прокси сървърът ви, изберете между следните протоколи:
  - HTTP—Преглежда и контролира всички заявки, които клиентът изпраща.
  - HTTPS—Предоставя канал на сървъра. Клиентът получава и валидира сертификата на сървъра.
4. Тип удостоверяване – изберете измежду следните типове удостоверяване:
  - Няма – Не се изисква допълнително удостоверяване.
    
    Налично, ако изберете или HTTP Или HTTPS като протокол за прокси.
  - Основни—Използва се за HTTP потребителски агент, за да предостави потребителско име и парола при подаване на заявка. Използва Base64 кодиране.
    
    Налично, ако изберете или HTTP Или HTTPS като протокол за прокси.
    
    Изисква да въведете потребителското име и паролата на всеки възел.
  - Обобщаване – използва се за потвърждаване на акаунта, преди да се изпрати чувствителна информация. Прилага хеш функция на потребителското име и паролата преди изпращане по мрежата.
    
    Предлага се само ако изберете HTTPS като протокол за прокси.
    
    Изисква да въведете потребителското име и паролата на всеки възел.

Пример за хибридни данни сигурност възли и прокси

Тази диаграма показва примерна връзка между защитата на хибридните данни, мрежата и прокси. За прозрачния инспектиращ и HTTPS изричен инспектиращ прокси опции, един и същ главен сертификат трябва да бъде инсталиран на прокси и на хибридните възли за защита на данните.

Блокиран режим на външна DNS разделителна способност (изрични прокси конфигурации)

Когато регистрирате възел или проверете конфигурацията на прокси сървъра на възела, процесът тества DNS справка и свързаност към облака Cisco Webex. В разполагане с изрични прокси конфигурации, които не позволяват външна DNS разделителна способност за вътрешни клиенти, ако възелът не може да заявка DNS сървъри, тя автоматично преминава в режим блокирани външни DNS резолюция. В този режим може да се процедира регистрация на възли и други тестове за свързване на прокси.

Подгответе средата си

Изисквания за хибридна защита на данните

Изисквания за лицензи за Cisco Webex

За да разположите хибридна защита на данните:

Трябва да имате Pro Pack за Cisco Webex Control Hub. (Вижте https://www.cisco.com/go/pro-pack.)

Изисквания за закачане на работния плот

Преди да инсталирате възлите на HDS, трябва Docker Desktop, за да изпълните инсталационна програма. Docker наскоро актуализира своя модел на лицензиране. Вашата организация може да изисква платен абонамент за Docker Desktop. За подробности вижте публикацията в блога на Docker, " Docker е Актуализиране и разширяване на нашите абонаментиза продукти".

X.509 Изисквания за сертификата

Веригата на сертификатите трябва да отговаря на следните изисквания:

Таблица 1. X.509 Изисквания за сертификата за разполагане на хибридна защита на данни
Изискване	Подробности
Подписан от надежден сертифициращ орган (CA)	По подразбиране се доверяваме на сертифициращите органи в списъка на Mozilla (с изключение на WoSign и StartCom) на https://wiki.mozilla.org/CA:IncludedCAs.
Носи общо име (CN) име на домейн, което идентифицира вашето разполагане на хибридна защита на данни Не е заместващ сертификат	CN не е нужно да е достъпен или хост на живо. Препоръчваме ви да използвате име, което отразява вашата организация, например `hds.company.com`. CN не трябва да съдържа * (заместващ символ). CN се използва за проверка на възлите на хибридна защита на данни за клиентите на приложението Webex. Всички възли на хибридна защита на данни във вашия клъстер използват един и същ сертификат. Вашият KMS се идентифицира с помощта на CN домейна, а не с произволен домейн, дефиниран в полетата x.509v3 SAN. След като сте регистрирали възел с този сертификат, не поддържаме промяна на името на CN домейна. Изберете домейн, който може да се прилага както за пробно, така и за производствени разполагания.
Подпис, който не е SHA1	Софтуерът KMS не поддържа подписи SHA1 за валидиране на връзки с KMS на други организации.
Форматиран като защитен с парола PKCS #12 файл Използвайте приятелското име на `kms-private-key` , за да маркирате сертификата, частния ключ и всички междинни сертификати за качване.	Можете да използвате конвертор, като OpenSSL, за да промените формата на сертификата си. Ще трябва да въведете паролата, когато стартирате инструмента за настройка на HDS.

Софтуерът KMS не налага използване на ключове или не разширява ограниченията за използване на ключове. Някои сертифициращи органи изискват за всеки сертификат да се прилагат разширени ограничения за използване на ключа, като например удостоверяване на сървъра. Добре е да използвате удостоверяване на сървъра или други настройки.

Изисквания за виртуален организатор

Виртуалните хостове, които ще настроите като възли на хибридна защита на данни във вашия клъстер, имат следните изисквания:

Поне два отделни хоста (препоръчва се 3), разположени съвместно в един и същ защитен център за данни
VMware ESXi 7.0 (или по-нова версия) е инсталиран и работи.

Трябва да надстроите, ако имате по-стара версия на ESXi.
Минимум 4 vCPU, 8 GB основна памет, 30 GB локално място на твърдия диск на сървър

Изисквания към сървъра за база данни

Създайте нова база данни за съхранение на ключове. Не използвайте базата данни по подразбиране. Приложенията на HDS, когато са инсталирани, създават схемата на базата с данни.

Има две опции за сървъра с база данни. Изискванията за всеки от тях са, както следва:

Таблица 2. Изисквания за сървъра с база данни по тип база данни
PostgreSQL	Microsoft SQL сървър
PostgreSQL 14, 15 или 16, инсталиран и се изпълнява.	Инсталиран е SQL Server 2016, 2017, 2019 или 2022 (корпоративен или стандартен). SQL Server 2016 изисква Service Pack 2 и Кумулативна актуализация 2 или по-нова версия.
Минимум 8 vCPU, 16 GB основна памет, достатъчно място на твърдия диск и наблюдение, за да се гарантира, че не е превишено (препоръчва се 2 TB, ако искате да стартирате базата данни дълго време, без да е необходимо да увеличавате мястото за съхранение)	Минимум 8 vCPU, 16 GB основна памет, достатъчно място на твърдия диск и наблюдение, за да се гарантира, че не е превишено (препоръчва се 2 TB, ако искате да стартирате базата данни дълго време, без да е необходимо да увеличавате мястото за съхранение)

HDS софтуерът в момента инсталира следните версии на драйвери за комуникация със сървъра с база данни:

PostgreSQL

Microsoft SQL сървър

Postgres JDBC драйвер 42.2.5

SQL Server JDBC драйвер 4.6

Тази версия на драйвера поддържа SQL Server Always On ( Винаги включен екземпляр на клъстера при отказ и Винаги включен групи за наличност).

Допълнителни изисквания за удостоверяване на Windows срещу Microsoft SQL Server

Ако искате HDS възлите да използват удостоверяване на Windows, за да получат достъп до вашата база данни на Keystore на Microsoft SQL Server, тогава е необходима следната конфигурация във вашата среда:

Възлите на HDS, инфраструктурата на Active Directory и MS SQL Server трябва да бъдат синхронизирани с NTP.
Акаунтът за Windows, който предоставяте на възли на HDS, трябва да има достъп за четене/запис до базата данни.
DNS сървърите, които предоставяте на HDS възли, трябва да могат да разрешават вашия център за разпределение на ключове (KDC).
Можете да регистрирате екземпляра на базата данни на HDS на Microsoft SQL Server като основно име на услуга (SPN) на Active Directory. Вижте Регистриране на основно име на услуга за Kerberos връзки.

Инструментът за настройка на HDS, HDS стартера и локалния KMS трябва да използват удостоверяване на Windows за достъп до базата данни на Keystore. Те използват подробностите от вашата ISO конфигурация, за да конструират SPN, когато заявяват достъп с удостоверяване на Kerberos.

Изисквания за външна връзка

Конфигурирайте защитната стена, за да разрешите следната свързаност за приложенията на хибридна защита на данни:

Приложение	Протокол	Порт	Посока от приложението	Местоназначение
Възли на хибридна защита на данни	TCP	443	Изходящи HTTPS и ВиК	Сървъри на Webex: .wbx2.com .ciscospark.com Всички организатори на Common Identity Други URL адреси, които са изброени за хибридна защита на данни в таблицата Допълнителни URL адреси за хибридни услуги на Webex на мрежовите изисквания за услугите на Webex
Инструмент за настройка на HDS	TCP	443	Изходящ HTTPS	*.wbx2.com Всички организатори на Common Identity hub.docker.com

Възлите на хибридна защита на данни работят с превод на мрежовия достъп (NAT) или зад защитна стена, при условие че NAT или защитната стена позволяват необходимите изходящи връзки към местоназначенията на домейна в предходната таблица. За връзки, влизащи във входящи възли на хибридна защита на данни, от интернет не трябва да се виждат портове. В рамките на вашия център за данни клиентите се нуждаят от достъп до възлите на хибридна защита на данни на TCP портове 443 и 22 за административни цели.

URL адресите за хостовете на Common Identity (CI) са специфични за региона. Това са текущите организатори на CI:

Регион	URL адреси на организатор на Common Identity
Северна и Южна Америка	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Европейски съюз	https://idbroker-eu.webex.com https://identity-eu.webex.com
Канада	https://idbroker-ca.webex.com https://identity-ca.webex.com
Сингапур	https://idbroker-sg.webex.com https://identity-sg.webex.com
Обединени арабски емирства	https://idbroker-ae.webex.com https://identity-ae.webex.com

Изисквания към прокси сървъра

Ние официално поддържаме следните прокси решения, които могат да се интегрират с вашите възли hybrid Data Security.
- Прозрачен прокси-Уред за уеб защита cisco (WSA).
- Изрична прокси-Сепия.
  
  Прокси сървърите, които инспектират HTTPS трафика, могат да попречат на установяването на websocket (wss:) връзки. За да работите по този проблем, вижте Конфигуриране на прокси сървъри за хибридна защита на данни.
Ние поддържаме следните комбинации от тип удостоверяване за изрични проксита:
- Без удостоверяване с HTTP или HTTPS
- Базово удостоверяване с HTTP или HTTPS
- Смилане на удостоверяване само с HTTPS
За прозрачен проверяващ прокси или HTTPS изрично прокси, трябва да имате копие на главния сертификат на прокси. Инструкциите за разполагане в това ръководство ви казват как да качите копието в магазините за доверие на хибридните възли за защита на данните.
Мрежата, хостваща HDS възлите, трябва да бъде конфигурирана да принуди изходящия TCP трафик на порт 443 да маршрутизира през прокси сървъра.
Прокситата, които инспектират уеб трафика, може да пречат на връзките с уеб гнездото. Ако възникне този проблем, заобикалянето (не инспектирането) на трафика към wbx2.com и ciscospark.com ще реши проблема.

Изпълнете предварителните изисквания за хибридна защита на данни

Използвайте този контролен списък, за да гарантирате, че сте готови да инсталирате и конфигурирате своя клъстер на хибридна защита на данни.

1	Уверете се, че вашата организация в Webex е разрешена за Pro Pack за Cisco Webex Control Hub, и получете идентификационните данни за акаунт с пълни права на администратор на организацията. Свържете се с вашия партньор в Cisco или мениджър на акаунти за помощ с този процес.
2	Изберете име на домейн за разполагането на HDS (например `hds.company.com`) и получете верига от сертификати, съдържаща сертификат X.509, частен ключ и всички междинни сертификати. Веригата на сертификатите трябва да отговаря на изискванията в X.509 Изисквания за сертификат.
3	Подгответе идентични виртуални хостове, които ще настроите като възли на хибридна защита на данни във вашия клъстер. Имате нужда от поне два отделни организатора (препоръчва се 3), разположени съвместно в един и същ защитен център за данни, които отговарят на изискванията в Изисквания за виртуален организатор.
4	Подгответе сървъра с база данни, който ще действа като хранилище на данни за ключа за клъстера в съответствие с изискванията за сървъра с база данни. Сървърът на базата данни трябва да бъде разположен съвместно в защитения център за данни с виртуалните хостове. Създайте база данни за съхранение на ключове. (Трябва да създадете тази база данни – не използвайте базата данни по подразбиране. Приложенията на HDS, когато са инсталирани, създават схемата на базата с данни.) Съберете подробностите, които ще използват възлите за комуникация със сървъра с база данни: име на хост или IP адрес (хост) и порт името на базата с данни (dbname) за съхранение на ключа потребителското име и паролата на потребител с всички привилегии в базата данни за съхранение на ключа
5	За бързо възстановяване след бедствие настройте архивна среда в друг център за данни. Резервната среда отразява производствената среда на VMs и резервен сървър с база данни. Например, ако производството има 3 VMs, работещи с HDS възли, резервната среда трябва да има 3 VMs.
6	Настройте хост на syslog, за да събирате регистрационни файлове от възлите в клъстера. Съберете мрежовия му адрес и порта за syslog (по подразбиране е UDP 514).
7	Създайте правила за защитено архивиране за възлите на хибридна защита на данни, сървъра с база данни и хоста на syslog. Като минимум, за да предотвратите невъзстановима загуба на данни, трябва да архивирате базата данни и конфигурационния ISO файл, генериран за възлите на хибридна защита на данни. Тъй като възлите на хибридна защита на данни съхраняват ключовете, използвани за шифроване и дешифроване на съдържание, неподдържането на оперативно разполагане ще доведе до НЕВЪЗСТАНОВИМА ЗАГУБА на това съдържание. Клиентите на приложението Webex кешират ключовете си, така че прекъсването може да не се забележи веднага, но ще стане очевидно с течение на времето. Въпреки че е невъзможно да се предотвратят временните прекъсвания, те са възстановими. Обаче пълната загуба (няма налични резервни копия) на базата данни или конфигурационния ISO файл ще доведе до невъзстановими клиентски данни. От операторите на възлите на хибридна защита на данни се очаква да поддържат чести резервни копия на базата данни и конфигурационния ISO файл и да бъдат готови да възстановят центъра за данни на хибридна защита на данни, ако възникне катастрофална грешка.
8	Уверете се, че конфигурацията на защитната ви стена позволява свързване за вашите възли на хибридна защита на данни, както е описано в Изисквания за външна свързаност.
9	Инсталирайте Docker ( https://www.docker.com) на всяка локална машина, работеща с поддържана операционна система (Microsoft Windows 10 Professional или Enterprise 64-битова или Mac OSX Yosemite 10.10.3 или по-нова версия) с уеб браузър, който може да получи достъп до нея на http://127.0.0.1:8080. Можете да използвате екземпляр на Docker, за да изтеглите и изпълните инструмента за настройка на HDS, който изгражда информацията за локална конфигурация за всички възли на хибридна защита на данни. Вашата организация може да се нуждае от лиценз за настолен компютър за docker. Вижте Изисквания за закачане на работния плот за повече информация. За да инсталирате и стартирате инструмента за настройка на HDS, локалната машина трябва да има възможността за свързване, описана в Изисквания за външна свързаност.
10	Ако интегрирате прокси сървър с хибридна защита на данните, уверете се, че той отговаря на изискванията за прокси сървър.
11	Ако вашата организация използва синхронизиране на указатели, създайте група в Active Directory, наречена `HdsTrialGroup`, и добавете пилотни потребители. Пробната група може да има до 250 потребители. Обектът на `HdsTrialGroup` трябва да бъде синхронизиран с облака, преди да можете да започнете изпробване за вашата организация. За да синхронизирате групов обект, изберете го в менюто Конфигурация > Избор на обект на Directory Connector. (За подробни инструкции вижте Ръководство за разполагане на Cisco Directory Connector.) Бутоните за дадено място се задават от създателя на мястото. Когато избирате пилотни потребители, имайте предвид, че ако решите за постоянно да деактивирате разполагането на хибридна защита на данни, всички потребители губят достъп до съдържание в местата, които са създадени от пилотните потребители. Загубата става видима веднага щом приложенията на потребителите опреснят кешираните си копия на съдържанието.

Настройване на клъстер на хибридна защита на данни

Поток на задачи за разполагане на хибридна защита на данни

Преди да започнете

1	Изтегляне на инсталационните файлове Изтеглете OVA файла на вашата локална машина за по-късно използване.
2	Създаване на конфигурационен ISO за хостовете на HDS Използвайте инструмента за настройка на HDS, за да създадете ISO конфигурационен файл за възлите на хибридна защита на данни.
3	Инсталиране на HDS Host OVA Създайте виртуална машина от OVA файла и изпълнете първоначалната конфигурация, като например мрежови настройки. Опцията за конфигуриране на мрежовите настройки по време на разполагането на OVA е тествана с ESXi 7.0. Опцията може да не е налична в по-ранни версии.
4	Настройване на VM на хибридна защита на данни Влезте в конзолата на VM и задайте данните за вход. Конфигурирайте мрежовите настройки за възела, ако не сте ги конфигурирали към момента на разполагането на OVA.
5	Качване и монтиране на конфигурация ISO на HDS Конфигурирайте VM от ISO конфигурационния файл, който сте създали с инструмента за настройка на HDS.
6	Конфигуриране на HDS възел за интегриране на прокси сървър Ако мрежовата среда изисква конфигурация на прокси сървър, укажете типа прокси сървър, който ще използвате за възела, и добавете прокси сертификата към хранилището на гаранти, ако е необходимо.
7	Регистриране на първия възел в клъстера Регистрирайте VM с облака на Cisco Webex като възел на хибридна защита на данни.
8	Създаване и регистриране на още възли Завършете настройката на клъстера.
9	Докато не започнете пробен период, вашите възли генерират аларма, която показва, че услугата ви все още не е активирана.

Изтегляне на инсталационните файлове

В тази задача изтегляте OVA файл на вашата машина (а не на сървърите, които сте настроили като възли на хибридна защита на данни). Ще използвате този файл по-късно в процеса на инсталиране.

1	Влезте в https://admin.webex.com и щракнете върху Услуги.
2	В раздела „Хибридни услуги“ намерете картата „Хибридна защита на данни“ и след това щракнете върху Настройка. Ако картата е деактивирана или не я виждате, се свържете с екипа за вашия акаунт или с партньорската си организация. Дайте им номера на акаунта си и помолете организацията ви да активира за хибридна защита на данните. За да намерите номера на акаунта, щракнете върху зъбното колело горе вдясно до името на вашата организация. Можете също да изтеглите OVA по всяко време от раздела Помощ на страницата Настройки . На картата на хибридна защита на данни щракнете върху Редактиране на настройките , за да отворите страницата. След това щракнете върху Изтегляне на софтуера за хибридна защита на данни в раздела Помощ . По-старите версии на софтуерния пакет (OVA) няма да бъдат съвместими с най-новите надстройки на хибридна защита на данни. Това може да доведе до проблеми при надстройване на приложението. Уверете се, че сте изтеглили най-новата версия на OVA файла.
3	Изберете Не , за да посочите, че все още не сте настроили възела, след което щракнете върху Напред. OVA файлът започва автоматично да се изтегля. Запишете файла на местоположение на машината си.
4	Като опция щракнете върху Отваряне на ръководство за разполагане , за да проверите дали има налична по-нова версия на това ръководство.

Създаване на конфигурационен ISO за хостовете на HDS

Процесът на настройка на хибридна защита на данни създава ISO файл. След това използвайте ISO, за да конфигурирате своя хост на хибридна защита на данни.

Преди да започнете

Инструментът за настройка на HDS работи като Docker контейнер на локална машина. За достъп до него стартирайте Docker на тази машина. Процесът на настройка изисква идентификационните данни на акаунт в контролния център с пълни права на администратор за вашата организация.

Ако инструментът за настройка на HDS се изпълнява зад прокси сървър във вашата среда, осигурете настройките на прокси сървъра (сървър, порт, идентификационни данни) чрез променливите на средата за закачване на контейнера за закачване в стъпка 5. Тази таблица дава някои възможни променливи на средата:

Описание

Променлива

HTTP прокси без удостоверяване

ГЛОБАЛЕН_АГЕНТ_HTTP_ПРОКСИ=http://СЪРВЪР_IP:PORT

HTTPS прокси без удостоверяване

ГЛОБАЛЕН_АГЕНТ_HTTPS_ПРОКСИ=http://СЪРВЪР_IP:PORT

HTTP прокси с удостоверяване

GLOBAL_AGENT_HTTP_PROXY=HTTP://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS прокси с удостоверяване

ГЛОБАЛЕН_АГЕНТ_HTTPS_PROXY=HTTP://USERNAME:PASSWORD@SERVER_IP:PORT
Конфигурационният ISO файл, който генерирате, съдържа главния ключ, шифрован в базата данни на PostgreSQL или Microsoft SQL Server. Трябва ви най-новото копие на този файл по всяко време, когато правите промени в конфигурацията, като тези:
- Идентификационни данни за базата данни
- Актуализации на сертификата
- Промени в правилата за упълномощаване
Ако планирате да шифровате връзките с бази данни, настройте разполагането на вашия PostgreSQL или SQL Server за TLS.

1

В командния ред на вашата машина въведете подходящата команда за вашата среда:

В нормални среди:

докер rmi ciscocitg/hds-setup: стабилен

В среди на FedRAMP:

докер rmi ciscocitg/hds-setup-fedramp: стабилен

Тази стъпка изчиства предишни изображения на инструмента за настройка на HDS. Ако няма предишни изображения, той връща грешка, която можете да игнорирате.

2

За да влезете в регистъра на изображения на Docker, въведете следното:

докер вход -u hdscustomersro

3

При подканата за парола въведете този хеш:

dckr_pat_aDP6V4KkrvpBwa

4

Изтеглете най-новото стабилно изображение за вашата среда:

В нормални среди:

докер издърпване ciscocitg/hds-setup: стабилен

В среди на FedRAMP:

докер издърпване ciscocitg/hds-setup-fedramp: стабилен

5

Когато изтеглянето приключи, въведете подходящата команда за вашата среда:

В нормални среди без прокси:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

В нормални среди с HTTP прокси:

изпълнение на докера -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

В редовни среди с HTTPS прокси:

изпълнение на докера -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

В среди на FedRAMP без прокси:

докер изпълнение -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:стабилен

В среди на FedRAMP с HTTP прокси:

изпълнение на докера -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

В среди на FedRAMP с HTTPS прокси:

изпълнение на докера -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Когато контейнерът работи, виждате „Експресен сървър слуша на порт 8080“.

6

Инструментът за настройка не поддържа свързване с localhost чрез http://localhost:8080. Използвайте http://127.0.0.1:8080 , за да се свържете с localhost.

Използвайте уеб браузър, за да отидете в локалния организатор, http://127.0.0.1:8080 и въведете потребителското име на администратора на клиента за Control Hub в подканата.

Инструментът използва този първи запис на потребителското име, за да зададе правилната среда за този акаунт. След това инструментът показва стандартната подкана за влизане.

7

Когато бъдете подканени, въведете идентификационните си данни за вход на администратор на клиенти в Control Hub и след това щракнете върху Влизане , за да позволите достъп до необходимите услуги за хибридна защита на данни.

8

На страницата „Преглед на инструмента за настройка“ щракнете върху Първи стъпки.

9

На страницата Импортиране на ISO имате следните опции:

Не– Ако създавате първия си HDS възел, нямате ISO файл за качване.
Да – Ако вече сте създали HDS възли, тогава изберете своя ISO файл в прегледа и го качете.

10

Проверете дали вашият сертификат X.509 отговаря на изискванията в X.509 Изисквания за сертификат.

Ако никога не сте качили сертификат преди, качете сертификата X.509, въведете паролата и щракнете върху Продължи.
Ако сертификатът ви е ОК, щракнете върху Продължи.
Ако сертификатът ви е изтекъл или искате да го замените, изберете Не за Продължаване на използването на веригата за сертификати на HDS и частния ключ от предишния ISO?. Качете нов сертификат X.509, въведете паролата и щракнете върху Продължи.

11

Въведете адреса на базата данни и акаунта за HDS, за да получите достъп до ключовия си datastore:

Изберете вашия тип база данни (PostgreSQL или Microsoft SQL Server).

Ако изберете Microsoft SQL Server, получавате поле за тип удостоверяване.
(Само за Microsoft SQL Server ) Изберете вашия тип удостоверяване:
- Базово удостоверяване: Необходимо е име на локален акаунт за SQL Server в полето Потребителско име .
- Удостоверяване на Windows: Имате нужда от акаунт за Windows във формат username@DOMAIN в полето Потребителско име .
Въведете адреса на сървъра с база данни във формуляра : или :.

Пример:
dbhost.example.org:1433 или 198.51.100.17:1433

Можете да използвате IP адрес за базово удостоверяване, ако възлите не могат да използват DNS за решаване на името на хоста.

Ако използвате удостоверяване на Windows, трябва да въведете напълно квалифицирано име на домейн във формат dbhost.example.org:1433
Въведете името на базата данни.
Въведете Потребителско име и Парола на потребител с всички привилегии в базата данни за съхранение на ключа.

12

Изберете режим на свързване с база данни TLS:

Режим	Описание
Предпочитане на TLS (опция по подразбиране)	HDS възлите не изискват TLS да се свърже със сървъра на базата данни. Ако разрешите TLS на сървъра с база данни, възлите правят опит за шифрована връзка.
Изисквайте TLS	HDS възли се свързват само ако сървърът на базата данни може да договори TLS.
Изисквайте TLS и проверете подписвача на сертификати	Този режим не е приложим за бази данни на SQL Server. HDS възли се свързват само ако сървърът на базата данни може да договори TLS. След установяването на TLS връзка възелът сравнява подписващия на сертификата от сървъра на базата данни с органа за сертифициране в корневи сертификат в базата данни. Ако не съвпадат, възелът изпуска връзката. Използвайте контролата за главен сертификат на базата данни под падащото, за да качите главния сертификат за тази опция.
Изисквайте TLS и проверете подписалия сертификат и хостовото име	HDS възли се свързват само ако сървърът на базата данни може да договори TLS. След установяването на TLS връзка възелът сравнява подписващия на сертификата от сървъра на базата данни с органа за сертифициране в корневи сертификат в базата данни. Ако не съвпадат, възелът изпуска връзката. Възлите също така проверяват дали името на хоста в сертификата на сървъра съвпада с името на хоста в полето Хост и порт в базата данни . Имената трябва да съвпадат точно или възелът пуска връзката. Използвайте контролата за главен сертификат на базата данни под падащото, за да качите главния сертификат за тази опция.

Когато качите корневи сертификат (ако е необходимо) и щракнете върху Продължи, инструментът за настройка на хибридна защита на данни тества TLS връзката към сървъра с база данни. Инструментът също така проверява подписалите сертификата и hostname, ако е приложимо. Ако даден тест е неуспешен, инструментът показва съобщение за грешка, описващо проблема. Можете да изберете дали да игнорирате грешката и да продължите с настройката. (Поради разликите в свързването възлите на HDS може да са в състояние да установят TLS връзката, дори ако машината с инструмента за настройка на HDS не може да я тества успешно.)

13

На страницата „Системни регистрационни файлове“ конфигурирайте сървъра си за Syslogd:

Въведете URL адреса на сървъра syslog.

Ако сървърът не може да се разрешава чрез DNS от възлите за вашия HDS клъстер, използвайте IP адрес в URL.

Пример:
udp://10.92.43.23:514 показва влизане в хоста Syslogd 10.92.43.23 на UDP порт 514.
Ако настроите сървъра си да използва TLS шифроване, отметнете Конфигуриран ли е вашият сървър syslog за SSL шифроване?.

Ако отметнете това квадратче, трябва да въведете URL адрес на TCP, като например tcp://10.92.43.23:514.
От падащия списък Избор на прекратяване на запис в syslog изберете подходящата настройка за вашия ISO файл: Избор или нов ред се използва за Graylog и Rsyslog TCP
- Нулев байт -- \x00
- Нов ред – \n – Изберете този избор за Graylog и Rsyslog TCP.
Щракнете върху Продължаване.

14

(По избор) Можете да промените стойността по подразбиране за някои параметри на връзката с база данни в Разширени настройки. По принцип този параметър е единственият, който може да искате да промените:

app_datasource_connection_pool_maxРазмер: 10

15

Щракнете върху Продължи на екрана Нулиране на паролата за акаунти за услуги .

Паролите за акаунта за услугата имат деветмесечен живот. Използвайте този екран, когато паролите ви наближават изтичане или искате да ги нулирате, за да invalidate previous ISO files.

16

Щракнете върху Изтегляне на ISO файл. Запишете файла на лесно за намиране място.

17

Направете резервно копие на ISO файла в локалната си система.

Поддържайте архивното копие защитено. Този файл съдържа главен ключ за шифроване за съдържанието на базата с данни. Ограничете достъпа само до онези администратори на хибридна защита на данни, които трябва да направят промени в конфигурацията.

18

За да затворите инструмента за настройка, напишете CTRL+C.

Какво да направите след това

Архивиране на конфигурационния ISO файл. Необходимо е, за да създадете повече възли за възстановяване или да направите промени в конфигурацията. Ако загубите всички копия на ISO файла, ще загубите и главния ключ. Възстановяването на ключовете от вашата база данни PostgreSQL или Microsoft SQL Server не е възможно.

Никога не разполагаме с копие на този ключ и не можем да ви помогнем, ако го изгубите.

Инсталиране на HDS Host OVA

Използвайте тази процедура, за да създадете виртуална машина от OVA файла.

1	Използвайте клиента VMware vSphere на вашия компютър, за да влезете във виртуалния хост на ESXi.
2	Изберете Файл > Разполагане на OVF шаблон.
3	В съветника укажете местоположението на OVA файла, който сте изтеглили по-рано, след което щракнете върху Напред.
4	На страницата Избор на име и папка въведете име на виртуална машина за възела (например "HDS_Node_1"), изберете местоположение, където може да се намира разполагането на възела на виртуалната машина, след което щракнете върху Напред.
5	На страницата Избор на изчислителен ресурс изберете целевия изчислителен ресурс и след това щракнете върху Напред. Извършва се проверка за валидиране. След като завърши, се показват подробностите за шаблона.
6	Проверете подробностите за шаблона и след това щракнете върху Напред.
7	Ако от вас бъде поискано да изберете конфигурацията на ресурсите на страницата Конфигурация , щракнете върху 4 процесора и след това щракнете върху Напред.
8	На страницата Избор на място за съхранение щракнете върху Напред , за да приемете формата на диска по подразбиране и правилата за съхранение на VM.
9	На страницата Избор на мрежи изберете опцията за мрежа от списъка със записи, за да осигурите желаната свързаност към VM.
10	На страницата Персонализиране на шаблон конфигурирайте следните мрежови настройки: Име на хост – въведете FQDN (име на хост и домейн) или една дума име на хост за възела. Не е необходимо да задавате домейна да съвпада с домейна, който сте използвали, за да получите сертификата X.509. За да гарантирате успешна регистрация в облака, използвайте само малки знаци във FQDN или името на хоста, които сте задали за възела. Капитализацията не се поддържа в този момент. Общата дължина на FQDN не трябва да надвишава 64 знака. IP адрес – Въведете IP адреса за вътрешния интерфейс на възела. Възелът трябва да има вътрешен IP адрес и DNS име. DHCP не се поддържа. Маска – Въведете адреса на маската на подмрежата с точка и запетая. Например 255.255.255.0. Шлюз – въведете IP адреса на шлюза. Шлюза е мрежов възел, който служи като точка за достъп до друга мрежа. DNS сървъри – Въведете списък с DNS сървъри, разделени със запетая, които обработват преобразуването на имената на домейни в цифрови IP адреси. (Разрешени са до 4 DNS записа.) NTP сървъри – Въведете NTP сървъра на вашата организация или друг външен NTP сървър, който може да се използва във вашата организация. NTP сървърите по подразбиране може да не работят за всички предприятия. Можете също да използвате списък, разделен със запетая, за да въведете няколко NTP сървъра. Разположете всички възли в една и съща подмрежа или VLAN, така че всички възли в клъстера да са достъпни от клиентите във вашата мрежа за административни цели. Ако предпочитате, можете да пропуснете конфигурацията на мрежовите настройки и да следвате стъпките в Настройване на VM на хибридна защита на данни , за да конфигурирате настройките от конзолата за възли. Опцията за конфигуриране на мрежовите настройки по време на разполагането на OVA е тествана с ESXi 7.0. Опцията може да не е налична в по-ранни версии.
11	Щракнете с десния бутон върху възела VM и след това изберете Захранване > Включване. Софтуерът за хибридна защита на данни е инсталиран като гост на VM Host. Вече сте готови да влезете в конзолата и да конфигурирате възела. Съвети за отстраняване на неизправности Може да усетите забавяне от няколко минути, преди контейнерите с възли да се появят. На конзолата се появява съобщение за защитна стена на мост по време на първото зареждане, по време на което не можете да влезете.

Настройване на VM на хибридна защита на данни

Използвайте тази процедура, за да влезете за първи път в конзолата на възела на хибридна защита на данни и да зададете данните за вход. Можете също да използвате конзолата, за да конфигурирате мрежовите настройки за възела, ако не сте ги конфигурирали по време на разполагането на OVA.

1	В клиента на VMware vSphere изберете своя възел на хибридна защита на данни VM и изберете раздела Конзола . VM се зарежда и се появява подкана за влизане. Ако подканата за влизане не се покаже, натиснете Enter.
2	Използвайте следните данни за влизане и парола по подразбиране, за да влезете и да промените идентификационните данни: Влизане: `администратор` Парола: `cisco` Тъй като влизате във вашия VM за първи път, трябва да промените паролата на администратора.
3	Ако вече сте конфигурирали мрежовите настройки в Инсталиране на HDS Host OVA, пропуснете останалата част от тази процедура. В противен случай в главното меню изберете опцията Редактиране на конфигурацията .
4	Настройте статична конфигурация с IP адрес, маска, шлюз и DNS информация. Възелът трябва да има вътрешен IP адрес и DNS име. DHCP не се поддържа.
5	(По избор) Променете името на хоста, домейна или NTP сървъра(ите), ако е необходимо, за да съответстват на мрежовите ви правила. Не е необходимо да задавате домейна да съвпада с домейна, който сте използвали, за да получите сертификата X.509.
6	Запишете мрежовата конфигурация и рестартирайте VM, за да влязат в сила промените.

Качване и монтиране на конфигурация ISO на HDS

Използвайте тази процедура, за да конфигурирате виртуалната машина от ISO файла, който сте създали с инструмента за настройка на HDS.

Преди да започнете

Тъй като ISO файлът съдържа главния ключ, той трябва да бъде изложен само на база „трябва да знаете“, за достъп от VM на хибридна защита на данни и всички администратори, които може да се наложи да направят промени. Уверете се, че само тези администратори имат достъп до datastore.

1

Качете ISO файла от компютъра си:

В левия навигационен екран на клиента VMware vSphere щракнете върху сървъра ESXi.
В списъка с хардуери на раздела за конфигуриране щракнете върху Място за съхранение.
В списъка Datastores щракнете с десния бутон върху datastore за вашите VMs и щракнете върху Преглед на Datastore.
Щракнете върху иконата Качване на файлове и след това щракнете върху Качване на файл.
Намерете местоположението, където сте изтеглили ISO файла на компютъра си, и щракнете върху Отвори.
Щракнете върху Да , за да приемете предупреждението за операцията за качване/изтегляне, и затворете диалоговия прозорец за данни.

2

Монтиране на ISO файла:

В левия панел за навигация на клиента VMware vSphere щракнете с десния бутон върху виртуалната машина и щракнете върху Редактиране на настройките.
Щракнете върху OK , за да приемете предупреждението за ограничени опции за редактиране.
Щракнете върху CD/DVD диск 1, изберете опцията за монтаж от ISO файл datastore и намерете местоположението, където сте качили конфигурационния ISO файл.
Отметнете Свързан и Свързване при включване.
Запишете промените си и рестартирайте виртуалната машина.

Какво да направите след това

Ако правилата за ИТ изискват, можете по избор да демонтирате ISO файла, след като всички ваши възли поемат промените в конфигурацията. Вижте (По избор) Демонтиране на ISO след конфигуриране на HDS за подробности.

Конфигуриране на HDS възел за интегриране на прокси сървър

Ако мрежовата среда изисква прокси, използвайте тази процедура, за да укажете вида на прокси, който искате да интегрирате с Hybrid Data Security. Ако изберете прозрачен проверяващ прокси или HTTPS изричен прокси, можете да използвате интерфейса на възела, за да качите и инсталирате главния сертификат. Можете също да проверите прокси връзката от интерфейса и да отстраните всички потенциални проблеми.

Преди да започнете

Вижте Поддръжка на прокси за общ преглед на поддържаните опции за прокси.
Изисквания към прокси сървъра

1	Въведете URL адреса за настройка на HDS възел `https://[HDS Възел IP или FQDN]/настройка` в уеб браузър, въведете администраторски идентификационни данни, които сте настроили за възела и след това щракнете върху Вход.
2	Отидете на Хранилище на доверие & Прокси , след което изберетеопция: Няма прокси сървър – опцията по подразбиране, преди да интегрирате прокси сървър. Не се изисква актуализация на сертификата. Прозрачен прокси сървър без проверка – възлите не са конфигурирани да използват определен адрес на прокси сървъра и не трябва да изискват промени, за да работят с прокси сървър без проверка. Не се изисква актуализация на сертификата. Прокси сървър за прозрачна проверка – възлите не са конфигурирани да използват определен адрес на прокси сървъра. Не httpS конфигурация промени са необходими в разполагането на защитата на хибридни данни, обаче HDS възли се нуждаят от главен сертификат, така че те се доверяват на прокси. Проверяващите пълномощници обикновено се използват от It за прилагане на политики, на които могат да бъдат посетени уебсайтовете и кои видове съдържание не са разрешени. Този тип прокси дешифрира целия ви трафик (дори HTTPS). Изричен прокси сървър – С изричния прокси сървър казвате на клиента (HDS възли) кой прокси сървър да използва, и тази опция поддържа няколко типа удостоверяване. След като изберете тази опция, трябва да въведете следната информация: Прокси IP/FQDN – адрес, който може да се използва за свързване с прокси машината. Прокси порт – номер на порт, който прокси сървърът използва за слушане за прокси трафик. Прокси протокол – изберете http (преглежда и управлява всички заявки, които се получават от клиента) или https (осигурява канал към сървъра и клиентът получава и валидира сертификата на сървъра). Изберете опция въз основа на това, което поддържа вашият прокси сървър. Тип удостоверяване – изберете измежду следните типове удостоверяване: Няма – Не се изисква допълнително удостоверяване. Налична за HTTP или HTTPS проксита. Основни—Използва се за HTTP потребителски агент, за да предостави потребителско име и парола при подаване на заявка. Използва Base64 кодиране. Налична за HTTP или HTTPS проксита. Ако изберете тази опция, трябва да въведете и потребителското име и паролата. Обобщаване – използва се за потвърждаване на акаунта, преди да се изпрати чувствителна информация. Прилага хеш функция на потребителското име и паролата преди изпращане по мрежата. Предлага се само за HTTPS проксита. Ако изберете тази опция, трябва да въведете и потребителското име и паролата. Изпълнете следващите стъпки за прозрачен проверяващ прокси, HTTP изрично прокси с базово удостоверяване или HTTPS изрично прокси.
3	Щракнете върху Качване на главен сертификат или Сертификат за краен обект и след това навигирайте до изберете главния сертификат запрокси. Сертификатът се качва, но все още не е инсталиран, защото трябва да рестартирате възела, за да инсталирате сертификата. Щракнете върху стрелката chevron по името на издателя на сертификата, за да получите повече подробности или щракнете върху Изтрий, ако сте направили грешка и искате да качите повторно файла.
4	Щракнете върху Проверка на прокси връзката, за да тествате мрежовата свързаност между възела и прокси. Ако тестът за връзка е неуспешен, ще видите съобщение за грешка, което показва причината и как можете да коригирате проблема. Ако видите съобщение, което казва, че външната DNS разделителна способност не е била успешна, възелът не е успял да достигне DNS сървъра. Това условие се очаква в много изрични прокси конфигурации. Можете да продължите с настройката и възелът ще функционира в режим на блокирано външно DNS разрешаване. Ако мислите, че това е грешка, изпълнете тези стъпки и след това вижте Изключване на режима на блокирано външно разрешаване на DNS.
5	След като тестът за връзка премине, за изрично прокси настроен само на https, включете превключването към Маршрут всички порт 443/444 https заявки от този възел през изрично прокси. Тази настройка изисква 15 секунди, за да влязат в сила.
6	Щракнете върху Инсталиране на всички сертификати в хранилището на гаранти (появява се за HTTPS изрично прокси или прозрачен проверяващ прокси) или Рестартиране (появява се за HTTP изрично прокси), прочетете подканата и след това щракнете върху Инсталиране, ако сте готови. Възелът се рестартира в рамките на няколко минути.
7	След рестартирането на възела влезте отново, ако е необходимо, след което отворете страницата Общ преглед, за да проверите проверките за свързване, за да се уверите, че всички те са в зелено състояние. Проверката на прокси връзката тества само поддомейн от webex.com. Ако има проблеми със свързването, често срещан проблем е, че някои от облачните домейни, изброени в инструкциите за инсталиране, се блокират в прокси.

Регистриране на първия възел в клъстера

Тази задача взема генеричния възел, който сте създали в Настройване на хибридна защита на данни VM, регистрира възела с облака на Webex и го превръща във възел на хибридна защита на данни.

Когато регистрирате първия си възел, създавате клъстер, към който е разпределен възелът. Клъстерът съдържа един или повече възли, разгърнати за осигуряване на резерв.

Преди да започнете

След като започнете да регистрирате възел, трябва да го завършите в рамките на 60 минути, или трябва да започнете отначало.
Погрижете се всички блокери на изскачащите прозорци във вашия браузър да са деактивирани или да разрешите изключение за admin.webex.com.

1	Влезте в https://admin.webex.com.
2	От менюто от лявата страна на екрана изберете Услуги.
3	В раздела „Хибридни услуги“ намерете „Хибридна защита на данни“ и щракнете върху Настройка. Показва се страницата с възел на хибридна защита на данни за регистриране.
4	Изберете Да , за да посочите, че сте настроили възела и сте готови да го регистрирате, след което щракнете върху Напред.
5	В първото поле въведете име за клъстера, към който искате да разпределите вашия възел на хибридна защита на данни. Препоръчваме ви да посочите клъстер въз основа на географското местоположение на клъстера. Примери: „Сан Франциско“ или „Ню Йорк“ или „Далас“
6	Във второто поле въведете вътрешния IP адрес или напълно квалифицирано име на домейн (FQDN) на вашия възел и щракнете върху Напред. Този IP адрес или FQDN трябва да съвпада с IP адреса или името на хоста и домейна, които сте използвали в Настройване на VM на хибридна защита на данни. Появява се съобщение, което показва, че можете да регистрирате възела в Webex.
7	Щракнете върху Към възел.
8	Щракнете върху Продължи в предупредителното съобщение. След няколко секунди ще бъдете пренасочени към тестовете за свързване на възлите за услугите на Webex. Ако всички тестове са успешни, се появява страницата \„Разрешаване на достъп до възел на хибридна защита на данни\“. Там потвърждавате, че искате да дадете разрешения на вашата организация в Webex за достъп до вашия възел.
9	Отметнете квадратчето Разрешаване на достъп до вашия възел на хибридна защита на данни и след това щракнете върху Продължи. Вашият акаунт е потвърден и съобщението \„Завършване на регистрацията\“ показва, че възелът вече е регистриран в облака на Webex.
10	Щракнете върху връзката или затворете раздела, за да се върнете към страницата на хибридна защита на данни в Control Hub. На страницата Хибридна защита на данни се показва новият клъстер, съдържащ възела, който сте регистрирали. Възелът автоматично ще изтегли най-новия софтуер от облака.

Създаване и регистриране на още възли

За да добавите допълнителни възли към вашия клъстер, просто създавате допълнителни VM и монтирате същия конфигурационен ISO файл, след което регистрирайте възела. Препоръчваме ви да имате поне 3 възела.

По това време резервните VM, които сте създали в Изпълнение на изискванията за хибридна защита на данните , са хостове в режим на готовност, които се използват само в случай на възстановяване след бедствие; те до тогава не са регистрирани в системата. За подробности вижте Възстановяване след бедствие с използване на Standby Data Center.

Преди да започнете

След като започнете да регистрирате възел, трябва да го завършите в рамките на 60 минути, или трябва да започнете отначало.
Погрижете се всички блокери на изскачащите прозорци във вашия браузър да са деактивирани или да разрешите изключение за admin.webex.com.

1	Създайте нова виртуална машина от OVA, като повторите стъпките в Инсталиране на HDS Host OVA.
2	Настройте първоначалната конфигурация на новия VM, като повторите стъпките в Настройване на хибридна защита на данни VM.
3	На новия VM повторете стъпките в Качване и монтиране на ISO на конфигурацията на HDS.
4	Ако настройвате прокси сървър за разполагането си, повторете стъпките в Конфигуриране на възела на HDS за интеграция на прокси сървър , както е необходимо за новия възел.
5	Регистрирайте възела. В https://admin.webex.com изберете Услуги от менюто от лявата страна на екрана. В раздела „Хибридни услуги“ намерете картата „Хибридна защита на данни“ и щракнете върху Ресурси. Показва се страницата с ресурси за хибридна защита на данни. Щракнете върху Добавяне на ресурс. В първото поле изберете името на съществуващия си клъстер. Във второто поле въведете вътрешния IP адрес или напълно квалифицирано име на домейн (FQDN) на вашия възел и щракнете върху Напред. Появява се съобщение, което показва, че можете да регистрирате възела в облака Webex. Щракнете върху Към възел. След няколко секунди ще бъдете пренасочени към тестовете за свързване на възлите за услугите на Webex. Ако всички тестове са успешни, се появява страницата \„Разрешаване на достъп до възел на хибридна защита на данни\“. Там потвърждавате, че искате да дадете разрешения на вашата организация за достъп до вашия възел. Отметнете квадратчето Разрешаване на достъп до вашия възел на хибридна защита на данни и след това щракнете върху Продължи. Вашият акаунт е потвърден и съобщението \„Завършване на регистрацията\“ показва, че възелът вече е регистриран в облака на Webex. Щракнете върху връзката или затворете раздела, за да се върнете към страницата на хибридна защита на данни в Control Hub. Възелът ви е регистриран. Имайте предвид, че докато не започнете пробен период, вашите възли генерират аларма, която показва, че услугата ви все още не е активирана.

Какво да направите след това

Изпълнение на пробен период и преминаване към производство (следваща глава)

Изпълнение на пробен период и преминаване към производство

Пробен в производствен поток на задачи

След като настроите клъстер на хибридна защита на данни, можете да стартирате пилотен проект, да добавите потребители към него и да започнете да го използвате за тестване и проверка на внедряването си в подготовка за преминаване към производство.

Преди да започнете

В тази задача изтегляте OVA файл на вашата машина (а не на сървърите, които сте настроили като възли на хибридна защита на данни). Ще използвате този файл по-късно в процеса на инсталиране.

1	Ако е приложимо, синхронизирайте груповия обект `HdsTrialGroup` . Ако вашата организация използва синхронизиране на указатели за потребители, трябва да изберете групов обект `HdsTrialGroup` за синхронизиране с облака, преди да можете да започнете пробен период. За инструкции вижте Ръководство за разполагане на Cisco Directory Connector.
2	Активиране на пробен период Започнете пробен период. Докато не изпълните тази задача, вашите възли генерират аларма, която показва, че услугата все още не е активирана.
3	Тестване на вашето разполагане на хибридна защита на данни Проверете дали ключови заявки преминават към вашето разполагане на хибридна защита на данни.
4	Наблюдение на изправността на хибридна защита на данни Проверете статуса и настройте известия по имейл за алармите.
5	Добавяне или премахване на потребители от вашия пробен период
6	Завършете пробната фаза с едно от следните действия: Преминаване от изпробване към производство Прекратете пробния си период, без да се премествате в производство

Активиране на пробен период

Преди да започнете

Ако вашата организация използва синхронизиране на указатели за потребители, трябва да изберете групов обект HdsTrialGroup за синхронизиране с облака, преди да можете да започнете пробен период за вашата организация. За инструкции вижте Ръководство за разполагане на Cisco Directory Connector.

1	Влезте в https://admin.webex.comи изберете Услуги.
2	Под Хибридна защита на данни щракнете върху Настройки.
3	В раздела „Статус на услугата“ щракнете върху Започване на пробен период. Статусът на услугата се променя на пробен режим.
4	Щракнете върху Добавяне на потребители и въведете имейл адреса на един или повече потребители, за да пилотирате използването на вашите възли на хибридна защита на данни за услуги за шифроване и индексиране. (Ако вашата организация използва синхронизиране на указатели, използвайте Active Directory, за да управлявате пробната група, `HdsTrialGroup`.)

Тестване на вашето разполагане на хибридна защита на данни

Използвайте тази процедура, за да тествате сценариите за шифроване на хибридна защита на данни.

Преди да започнете

Настройте своето разполагане на хибридна защита на данни.
Активирайте пробния период и добавете няколко пробни потребители.
Уверете се, че имате достъп до syslog, за да потвърдите, че ключовите заявки се подават към вашето разполагане на хибридна защита на данни.

1

Бутоните за дадено място се задават от създателя на мястото. Влезте в приложението Webex като един от пилотните потребители и след това създайте място и поканете поне един пилотен потребител и един непилотен потребител.

Ако деактивирате разполагането на хибридна защита на данни, съдържанието в местата, които създават пилотни потребители, вече не е достъпно, след като бъдат заменени кешираните от клиента копия на ключовете за шифроване.

2

Изпратете съобщения до новото място.

3

Проверете изхода на syslog, за да потвърдите, че ключовите заявки се прехвърлят към вашето разполагане на хибридна защита на данни.

За да проверите за потребител, който първо създава защитен канал към KMS, филтрирайте на kms.data.method=create и kms.data.type=EPHEMERAL_KEY_COLLECTION:

Трябва да намерите запис като следния (идентификатори, съкратени за четливост):

2020-07-21 17:35:34.562 (+0000) ИНФОРМАЦИЯ KMS [pool-14-thread-1] - [KMS:ЗАЯВКА] получена, deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms: //hds2.org5.portun.us/statickeys/3[~]0 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2

За да проверите за потребител, който иска съществуващ ключ от KMS, филтрирайте на kms.data.method=retrieve и kms.data.type=KEY:

Трябва да намерите запис, като:

2020-07-21 17:44:19.889 (+0000) ИНФОРМАЦИЯ KMS [pool-14-thread-31] - [KMS:ЗАЯВКА] е получена, deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms: //hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=retrieve, kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriHost=ciscospark.com, kms.data.type=KEY, kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b

За да проверите за потребител, който е поискал създаването на нов KMS ключ, филтрирайте на kms.data.method=create и kms.data.type=KEY_COLLECTION:

Трябва да намерите запис, като:

2020-07-21 17:44:21.975 (+0000) ИНФОРМАЦИЯ KMS [pool-14-thread-33] - [KMS:ЗАЯВКА] е получена, deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms: //hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b

За да проверите за потребител, който е поискал създаването на нов KMS ресурсен обект (KRO), когато се създава пространство или друг защитен ресурс, филтрирайте на kms.data.method=create и kms.data.type=RESOURCE_COLLECTION:

Трябва да намерите запис, като:

2020-07-21 17:44:22.808 (+0000) ИНФОРМАЦИЯ KMS [pool-15-thread-1] - [KMS:ЗАЯВКА] е получена, deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms: //hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

Наблюдение на изправността на хибридна защита на данни

Индикатор за състоянието в Control Hub ви показва дали всичко е наред с разполагането на хибридна защита на данни. За по-активно предупреждаване се запишете за известия по имейл. Ще бъдете уведомени, когато има аларми, засягащи услугата, или надстройки на софтуера.

1	В Control Hub изберете Услуги от менюто от лявата страна на екрана.
2	В раздела „Хибридни услуги“ намерете „Хибридна защита на данни“ и щракнете върху Настройки. Показва се страницата с настройки за хибридна защита на данни.
3	В раздела \„Имейл известия\“ въведете един или повече имейл адреси, разделени със запетаи, и натиснете Enter.

Добавяне или премахване на потребители от вашия пробен период

След като активирате пробен период и добавите първоначалния набор от пробни потребители, можете да добавяте или премахвате членове на пробния период по всяко време, докато пробната версия е активна.

Ако премахнете потребител от пробния период, клиентът на потребителя ще поиска ключове и създаване на ключове от облака KMS вместо вашия KMS. Ако клиентът се нуждае от ключ, който се съхранява във вашия KMS, KMS в облака ще го извлече от името на потребителя.

Ако вашата организация използва синхронизиране на указатели, използвайте Active Directory (вместо тази процедура), за да управлявате пробната група HdsTrialGroup; можете да видите членовете на групата в Control Hub, но не можете да ги добавяте или премахвате.

1	Влезте в Control Hub, след което изберете Услуги.
2	Под Хибридна защита на данни щракнете върху Настройки.
3	В раздела „Пробен режим“ на областта „Статус на услугата“ щракнете върху Добавяне на потребители или щракнете върху Преглед и редактиране , за да премахнете потребители от пробния период.
4	Въведете имейл адреса на един или повече потребители за добавяне, или щракнете върху X от ИД на потребител, за да премахнете потребителя от пробния период. След това щракнете върху Запиши.

Преминаване от изпробване към производство

Когато сте доволни, че разполагането ви работи добре за пробните потребители, можете да преминете към производство. Когато преминете към производство, всички потребители в организацията ще използват вашия локален домейн за хибридна защита на данни за ключове за шифроване и други услуги от областта на защитата. Не можете да се върнете към пробен режим от производство, освен ако не деактивирате услугата като част от възстановяването след бедствие. Повторното активиране на услугата изисква да настроите нова пробна версия.

1	Влезте в Control Hub, след което изберете Услуги.
2	Под Хибридна защита на данни щракнете върху Настройки.
3	В секцията „Статус на услугата“ щракнете върху Преместване в производство.
4	Потвърдете, че искате да преместите всички ваши потребители в производство.

Прекратете пробния си период, без да се премествате в производство

Ако по време на пробния си период решите да не продължите с разполагането на хибридна защита на данни, можете да деактивирате хибридната защита на данни, която приключва пробния период и премества пробните потребители обратно към услугите за защита на данни в облака. Потребителите на пробния период ще загубят достъп до данните, които са шифровани по време на пробния период.

1	Влезте в Control Hub, след което изберете Услуги.
2	Под Хибридна защита на данни щракнете върху Настройки.
3	В раздела Деактивиране щракнете върху Деактивиране.
4	Потвърдете, че искате да деактивирате услугата и да прекратите пробния период.

Управление на вашето разполагане на HDS

Управление на разполагането на HDS

Използвайте описаните тук задачи, за да управлявате своето разполагане на хибридна защита на данни.

Задаване на график за надстройване на клъстери

Надстройките на софтуера за хибридна защита на данни се извършват автоматично на ниво клъстер, което гарантира, че всички възли винаги изпълняват една и съща софтуерна версия. Надстройванията се извършват съгласно графика за надстройване за клъстера. Когато е налична надстройка на софтуера, имате възможност ръчно да надстроите клъстера преди планираното време за надстройване. Можете да зададете конкретен график за надстройване или да използвате графика по подразбиране от 3:00 ч. дневно в Съединените щати: Америка/Лос Анджелис. Можете също да изберете да отложите предстоящото надстройване, ако е необходимо.

За да зададете графика за надстройване:

1	Влезте в Control Hub.
2	На страницата за общ преглед под хибридни услуги изберете Хибридна защита на данните.
3	На страницата с ресурси за хибридна защита на данни изберете клъстера.
4	В панела „Общ преглед“ вдясно, под „Настройки на клъстера“ изберете името на клъстера.
5	На страницата „Настройки“ под „Надстройване“ изберете часа и часовата зона за графика за надстройване. Забележка: Под часовата зона се показват следващата налична дата и час на надстройване. Можете да отложите надстройването до следващия ден, ако е необходимо, като щракнете върху Отложи.

Промяна на конфигурацията на възела

От време на време може да се наложи да промените конфигурацията на вашия възел за защита на хибридни данни поради причина като:

Промяна на x.509 сертификати поради изтичане или други причини.

Не поддържаме промяна на CN името на домейн на сертификат. Домейнът трябва да съответства на оригиналния домейн, използван за регистриране на клъстера.
Актуализиране на настройките на базата данни за промяна на реплика на базата данни PostgreSQL или Microsoft SQL Server.

Не поддържаме мигриране на данни от PostgreSQL към Microsoft SQL Server или обратното. За да превключите средата на базата данни, започнете ново внедряване на Hybrid Data Security.
Създаване на нова конфигурация за подготовка на нов център за данни.

Също така, за целите на защитата, Hybrid Data Security използва пароли за сервизен акаунт, които имат деветмесечен живот. След като инструментът за настройка на HDS генерира тези пароли, ги разполагате на всеки от вашите HDS възли във файла ISO config. Когато паролите на вашата организация са към изтичане, получавате известие от екипа на Webex за нулиране на паролата за вашия машинен акаунт. (Имейлът включва текста „Използвайте API на машинния акаунт, за да актуализирате паролата.“) Ако вашите пароли все още не са изтекли, инструментът ви дава две опции:

Софтуерно нулиране – И двете стари и нови пароли работят до 10 дни. Използвайте този период, за да замените постепенно ISO файла на възлите.
Твърдо нулиране – Старите пароли спират да работят незабавно.

Ако вашите пароли изтекат без нулиране, това се отразява на вашата HDS услуга, изисквайки незабавно хардуерно нулиране и подмяна на ISO файла на всички възли.

Използвайте тази процедура, за да генерирате нов конфигурационен ISO файл и да го приложите към вашия клъстер.

Преди да започнете

Инструментът за настройка на HDS работи като Docker контейнер на локална машина. За достъп до него стартирайте Docker на тази машина. Процесът на настройка изисква идентификационните данни на акаунт в контролния център с пълни права на администратор за вашата организация.

Ако инструментът за настройка на HDS се изпълнява зад прокси сървър във вашата среда, осигурете настройките на прокси сървъра (сървър, порт, идентификационни данни) чрез променливите на средата за закачване на контейнера за закачване в 1.e. Тази таблица дава някои възможни променливи на средата:

Описание	Променлива
HTTP прокси без удостоверяване	`ГЛОБАЛЕН_АГЕНТ_HTTP_ПРОКСИ=http://СЪРВЪР_IP:PORT`
HTTPS прокси без удостоверяване	`ГЛОБАЛЕН_АГЕНТ_HTTPS_ПРОКСИ=http://СЪРВЪР_IP:PORT`
HTTP прокси с удостоверяване	`GLOBAL_AGENT_HTTP_PROXY=HTTP://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS прокси с удостоверяване	`ГЛОБАЛЕН_АГЕНТ_HTTPS_PROXY=HTTP://USERNAME:PASSWORD@SERVER_IP:PORT`

Имате нужда от копие на текущия конфигурационен ISO файл, за да генерирате нова конфигурация. ISO съдържа главния ключ, криптиращ базата данни на PostgreSQL или Microsoft SQL Server. Имате нужда от ISO, когато правите промени в конфигурацията, включително идентификационни данни на база данни, актуализации на сертификати или промени в правилата за оторизация.

1	Използвайки Docker на локална машина, стартирайте HDS Setup Tool. В командния ред на вашата машина въведете подходящата команда за вашата среда: В нормални среди: `докер rmi ciscocitg/hds-setup: стабилен` В среди на FedRAMP: `докер rmi ciscocitg/hds-setup-fedramp: стабилен` Тази стъпка изчиства предишни изображения на инструмента за настройка на HDS. Ако няма предишни изображения, той връща грешка, която можете да игнорирате. За да влезете в регистъра на изображения на Docker, въведете следното: `докер вход -u hdscustomersro` При подканата за парола въведете този хеш: `dckr_pat_aDP6V4KkrvpBwa` Изтеглете най-новото стабилно изображение за вашата среда: В нормални среди: `докер издърпване ciscocitg/hds-setup: стабилен` В среди на FedRAMP: `докер издърпване ciscocitg/hds-setup-fedramp: стабилен` Уверете се, че сте изтеглили най-новия инструмент за настройка за тази процедура. Версиите на инструмента, създадени преди 22 февруари 2018 г., нямат екрани за нулиране на парола. Когато изтеглянето приключи, въведете подходящата команда за вашата среда: В нормални среди без прокси: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` В нормални среди с HTTP прокси: `изпълнение на докера -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` В нормални среди с HTTPSпрокси: `изпълнение на докера -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` В среди на FedRAMP без прокси: `докер изпълнение -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:стабилен` В среди на FedRAMP с HTTP прокси: `изпълнение на докера -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` В среди на FedRAMP с HTTPS прокси: `изпълнение на докера -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Когато контейнерът работи, виждате "Express сървър слушане на порт 8080." Използвайте браузър, за да се свържете с localhost, `http://127.0.0.1:8080`. Инструментът за настройка не поддържа свързване с localhost чрез http://localhost:8080. Използвайте http://127.0.0.1:8080 , за да се свържете с localhost. Когато получите подкана, въведете идентификационните си данни за влизане за клиент в Control Hub и след това щракнете върху Приемане , за да продължите. Импортирайте текущия конфигурационен ISO файл. Следвайте подканите, за да завършите инструмента и да изтеглите актуализирания файл. За да затворите инструмента за настройка, напишете `CTRL+C`. Създайте резервно копие на актуализирания файл в друг център за данни.
2	Ако имате работещ само един HDS възел, създайте нов VM възел на хибридна защита на данни и го регистрирайте, като използвате новия конфигурационен ISO файл. За по-подробни инструкции вижте Създаване и регистриране на още възли. Инсталирайте HDS хост OVA. Настройте HDS VM. Монтирайте актуализирания конфигурационен файл. Регистрирайте новия възел в контролния център.
3	За съществуващи HDS възли, които изпълняват по-стария конфигурационен файл, монтирайте ISO файла. Изпълнете следната процедура на всеки възел на свой ред, като актуализирате всеки възел, преди да изключите следващия възел: Изключете виртуалната машина. В левия панел за навигация на клиента VMware vSphere щракнете с десния бутон върху виртуалната машина и щракнете върху Редактиране на настройките. Щракнете върху `CD / DVD диск 1 , изберете опцията за монтиране от ISO файл и`прегледайте местоположението, където сте изтеглили новия конфигурационен ISO файл. Поставете отметка на Свързване при включване. Запазете промените си и включете виртуалната машина.
4	Повторете стъпка 3, за да замените конфигурацията на всеки останал възел, който изпълнява старата конфигурация.

Изключване на режим на блокирана външна DNS разделителна способност

Когато регистрирате възел или проверете конфигурацията на прокси сървъра на възела, процесът тества DNS справка и свързаност към облака Cisco Webex. Ако DNS сървърът на възела не може да разреши публични DNS имена, възелът автоматично преминава в режим на блокирана външна DNS разделителна способност.

Ако вашите възли са в състояние да разреши публични DNS имена чрез вътрешни DNS сървъри, можете да изключите този режим чрез повторно изпълнение на теста за прокси връзка на всеки възел.

Преди да започнете

Гарантирайте, че вашите вътрешни DNS сървъри могат да разрешават публични DNS имена, както и че вашите възли могат да комуникират с тях.

1	В уеб браузър отворете интерфейса на възела "Защита на хибридните данни" (IP адрес/настройка например въведете идентификационни данни за администриране, които https://192.0.2.0/setup), сте задали за възела, след което щракнете върху Влизане.
2	Отидете на Общ преглед (страницата по подразбиране). Когато е разрешено, блокирани външна DNS разделителна способност е зададена да .
3	Отидете на страницата Хранилище на доверие & Прокси.
4	Щракнете върху Проверка на прокси връзката. Ако видите съобщение, казващо, че външната DNS разделителна способност не е била успешна, възелът не е успял да достигне DNS сървъра и ще остане в този режим. В противен случай, след като рестартирате възела и да се върнете към страницата общ преглед, Блокиран външен DNS разделителна способност трябва да бъде зададено на не.

Какво да направите след това

Повторете теста за прокси връзка на всеки възел във вашия клъстер за защита на хибридни данни.

Премахване на възел

Използвайте тази процедура, за да премахнете възел на хибридна защита на данни от облака Webex. След като премахнете възела от клъстера, изтрийте виртуалната машина, за да предотвратите по-нататъшен достъп до вашите данни за защита.

1

Използвайте клиента на VMware vSphere на вашия компютър, за да влезете във виртуалния хост на ESXi и да изключите виртуалната машина.

2

Премахване на възела:

Влезте в Control Hub, след което изберете Услуги.
В картата на хибридна защита на данни щракнете върху Преглед на всички , за да покажете страницата с ресурси за хибридна защита на данни.
Изберете своя клъстер, за да се покаже неговият панел \„Общ преглед\“.
Щракнете върху Отваряне на списъка с възли.
В раздела „Възли“ изберете възела, който искате да премахнете.
Щракнете върху Действия > Дерегистриране на възел.

3

В клиента vSphere изтрийте VM. (В левия навигационен екран щракнете с десния бутон върху VM и щракнете върху Изтрий.)

Ако не изтриете VM, не забравяйте да демонтирате конфигурационния ISO файл. Без ISO файла не можете да използвате VM за достъп до вашите данни за защита.

Възстановяване след бедствие с използване на центъра за данни в режим на готовност

Най-критичната услуга, която вашият клъстер на хибридна защита на данни предоставя, е създаването и съхранението на ключове, използвани за шифроване на съобщения и друго съдържание, съхранени в облака на Webex. За всеки потребител в рамките на организацията, който е разпределен към хибридна защита на данни, заявките за създаване на нови ключове се насочват към клъстера. Клъстерът също така е отговорен за връщането на създадените ключове на всички потребители, упълномощени да ги извлекат, например членове на място за разговори.

Тъй като клъстерът изпълнява критичната функция за предоставяне на тези ключове, наложително е клъстерът да продължи да работи и да се поддържат подходящи резервни копия. Загубата на базата данни за хибридна защита на данни или на конфигурационния ISO, използван за схемата, ще доведе до НЕВЪЗСТАНОВИМА ЗАГУБА на клиентското съдържание. За предотвратяване на такава загуба са задължителни следните практики:

Ако при бедствие разполагането на HDS в основния център за данни стане недостъпно, следвайте тази процедура, за да се върнете ръчно към центъра за данни в режим на готовност.

1	Стартирайте инструмента за настройка на HDS и следвайте стъпките, споменати в Създаване на конфигурационен ISO за хостовете на HDS.
2	След конфигурирането на сървъра Syslogd щракнете върху Разширени настройки
3	На страницата Разширени настройки добавете конфигурацията по-долу или премахнете конфигурацията на `passiveMode` , за да направите възела активен. Възелът може да се справи с трафика, след като бъде конфигуриран. `пасивенРежим: невярно`
4	Завършете процеса на конфигуриране и запишете ISO файла на лесно за намиране място.
5	Направете резервно копие на ISO файла в локалната си система. Поддържайте архивното копие защитено. Този файл съдържа главен ключ за шифроване за съдържанието на базата с данни. Ограничете достъпа само до онези администратори на хибридна защита на данни, които трябва да направят промени в конфигурацията.
6	В левия навигационен екран на клиента VMware vSphere щракнете с десния бутон върху VM и щракнете върху Редактиране на настройките..
7	Щракнете върху Редактиране на настройките >CD/DVD диск 1 и изберете Datastore ISO файл. Уверете се, че са отметнати Свързани и Свързване при включване , за да могат актуализираните промени в конфигурацията да влязат в сила след стартиране на възлите.
8	Включете възела на HDS и се уверете, че няма аларми поне 15 минути.
9	Повторете процеса за всеки възел в центъра за данни в режим на готовност. Проверете изхода на syslog, за да потвърдите, че възлите на центъра за данни в режим на готовност не са в пасивен режим. „KMS, конфигурирани в пасивен режим“ не трябва да се показва в регистрационните файлове.

Какво да направите след това

След отказ, ако основният център за данни отново се активира, поставете отново центъра за данни в режим на готовност в пасивен режим, като следвате стъпките, описани в Настройка на центъра за данни в режим на готовност за възстановяване след бедствие.

(По избор) Демонтиране на ISO след конфигуриране на HDS

Стандартната конфигурация на HDS работи с монтирания ISO. Но някои клиенти предпочитат да не оставят ISO файловете постоянно монтирани. Можете да разглобите ISO файла, след като всички възли на HDS поемат новата конфигурация.

Все още използвате ISO файловете, за да направите промени в конфигурацията. Когато създавате нов ISO или актуализирате ISO чрез инструмента за настройка, трябва да монтирате актуализирания ISO на всички ваши HDS възли. След като всички ваши възли са приели промените в конфигурацията, можете да демонтирате ISO отново с тази процедура.

Преди да започнете

Надстройте всички ваши HDS възли до версия 2021.01.22.4720 или по-нова.

1	Затворете един от възлите си за HDS.
2	В уреда vCenter Server изберете възела на HDS.
3	Изберете Редактиране на настройките > CD/DVD диск и премахнете отметката от Datastore ISO файл.
4	Включете възела на HDS и се уверете, че няма аларми поне 20 минути.
5	Повторете за всеки HDS възел на смяна.

Отстраняване на неизправности в хибридна защита на данни

Преглед на предупрежденията и отстраняване на неизправности

Разполагането на хибридна защита на данни се счита за налично, ако всички възли в клъстера са недостъпни или клъстерът работи толкова бавно, че отнема време. Ако потребителите не могат да се свържат с вашия клъстер на хибридна защита на данни, те изпитват следните симптоми:

Не могат да се създават нови места (не могат да се създадат нови ключове)
Неуспешно дешифриране на съобщенията и заглавията на пространството за:
- Нови потребители, добавени към място (не могат да се извлекат ключове)
- Съществуващи потребители в място с помощта на нов клиент (не могат да се извлекат ключовете)
Съществуващите потребители в дадено място ще продължат да се изпълняват успешно, стига клиентите им да имат кеш с ключовете за шифроване

Важно е да наблюдавате правилно своя клъстер на хибридна защита на данни и да обръщате бързо към всички предупреждения, за да избегнете прекъсване на услугата.

Предупреждения

Ако има проблем с настройката на хибридна защита на данни, Control Hub показва предупреждения до администратора на организацията и изпраща имейли до конфигурирания имейл адрес. Предупрежденията обхващат много общи сценарии.

Таблица 1. Общи проблеми и стъпки за тяхното разрешаване
Предупреждение	Действие
Отказ на достъп до локална база данни.	Проверете за грешки в базата данни или проблеми с локалната мрежа.
Неуспешна връзка с локалната база данни.	Проверете дали сървърът с база данни е достъпен и дали са използвани правилните идентификационни данни за акаунта за услуга в конфигурацията на възела.
Неуспешен достъп до услугата в облака.	Проверете дали възлите имат достъп до сървърите на Webex, както е посочено в Изисквания за външна свързаност.
Подновяване на регистрацията за услуги в облака.	Регистрацията в услугите в облака беше прекъсната. Протича подновяване на регистрацията.
Регистрацията на услуги в облака е прекъсната.	Регистрирането в облачни услуги е прекратено. Услугата се затваря.
Услугата все още не е активирана.	Активирайте пробна версия или завършете преместването на пробната версия в производство.
Конфигурираният домейн не съответства на сертификата на сървъра.	Уверете се, че сертификатът на сървъра ви съответства на конфигурирания домейн за активиране на услугата. Най-вероятната причина е, че CN на сертификата наскоро е променен и сега е различен от CN, който е бил използван по време на първоначалната настройка.
Неуспешно удостоверяване в услугите в облака.	Проверете за точност и възможно изтичане на идентификационните данни за акаунта за услугата.
Неуспешно отваряне на локалния файл на клавиатурата.	Проверете за целостта и точността на паролата във файла с локалния клавиатура.
Сертификатът за локален сървър е невалиден.	Проверете датата на изтичане на сертификата на сървъра и потвърдете, че той е издаден от надежден сертифициращ орган.
Неуспешно публикуване на метриките.	Проверете достъпа до локалната мрежа до външни облачни услуги.
Директорията /media/configdrive/hds не съществува.	Проверете конфигурацията за монтаж на ISO на виртуалния хост. Проверете дали ISO файлът съществува, дали е конфигуриран да се монтира при рестартиране и дали се монтира успешно.

Отстраняване на неизправности в хибридна защита на данни

Използвайте следните общи насоки, когато отстранявате проблеми с хибридна защита на данни.

1	Прегледайте Control Hub за предупреждения и коригирайте всички елементи, които намерите там.
2	Прегледайте изхода на сървъра syslog за активност от разполагането на хибридна защита на данни.
3	Свържете се с поддръжката на Cisco.

Други бележки

Известни проблеми с хибридната защита на данните

Ако затворите своя клъстер на хибридна защита на данни (като го изтриете в Control Hub или като затворите всички възли), загубите своя ISO файл за конфигуриране или загубите достъп до базата данни на клавиатурата, вашите потребители на приложението Webex вече няма да могат да използват интервали в своя списък "Хора", създадени с ключове от вашия KMS. Това се отнася както за изпробване, така и за внедряване в производството. В момента нямаме заобиколно решение или корекция за този проблем и ви призовавам да не затваряте услугите си за HDS, след като обработват активни потребителски акаунти.
Клиент, който има съществуваща ECDH връзка към KMS, поддържа тази връзка за период от време (вероятно един час). Когато потребител стане член на изпробване на хибридна защита на данни, клиентът на потребителя продължава да използва съществуващата ECDH връзка, докато времето за изчакване изтече. Потребителят може също да излезе и да влезе отново в приложението Webex, за да актуализира местоположението, с което се свързва приложението за ключове за шифроване.

Същото поведение възниква, когато преместите изпробване в производство за организацията. Всички потребители, които не са пробни, със съществуващи ECDH връзки към предишните услуги за защита на данните ще продължат да използват тези услуги до предоговаряне на ECDH връзката (чрез изчакване или чрез излизане и обратно влизане).

Използване на OpenSSL за генериране на PKCS12 файл

Преди да започнете

OpenSSL е един инструмент, който може да се използва за създаване на PKCS12 файл в правилния формат за зареждане в инструмента за настройка на HDS. Има и други начини за това и ние не подкрепяме и не насърчаваме един път над друг.
Ако решите да използвате OpenSSL, ние предоставяме тази процедура като ръководство, за да ви помогнем да създадете файл, който отговаря на изискванията за сертификат X.509 в Изисквания за сертификат X.509. Разберете тези изисквания, преди да продължите.
Инсталирайте OpenSSL в поддържана среда. Вижте https://www.openssl.org софтуера и документацията.
Създайте частен ключ.
Започнете тази процедура, когато получите сертификата на сървъра от вашия сертифициращ орган (CA).

1	Когато получите сертификата на сървъра от вашия CA, запишете го като `hdsnode.pem`.
2	Показване на сертификата като текст и проверете подробностите. `openssl x509 -текст -noout -в hdsnode.pem`
3	Използвайте текстов редактор, за да създадете файл пакет сертификат, наречен `hdsnode-bundle.pem`. Пакетният файл трябва да включва сертификата на сървъра, всички междинни CA сертификати и корневи CA сертификати в следния формат: `-----начало на сертификат----- ### сертификат на сървър. ### -----край на сертификат--------------- начало на сертификат------ ### Междинен CA сертификат. ### -----край на сертификат--------------- начало на сертификат------ ### Корневи CA сертификат. ### -----край на сертификат-----`
4	Създайте .p12 файла с приятелското име `kms-частен-ключ`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Проверете подробностите за сертификата на сървъра. `openssl pkcs12 -в hdsnode.p12` Въведете парола при подкана да шифровате частния ключ, така че да се показва в изхода. След това се уверете, че частният ключ и първият сертификат включват линиите `friendlyName: kms-частен-ключ`. Пример: bash$ openssl pkcs12 -in hdsnode.p12 Въведете паролата за импортиране: MAC потвърди атрибути OK Bag friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Ключови атрибути: Въведете фраза за преминаване на PEM: Потвърждаване – Въведете фраза за достъп до PEM: -----BEGIN ENCRYPTED PRIVATE KEY----- -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE------ Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-----

Какво да направите след това

Върнете се, за да изпълните изискванията за хибридна защита на данни. Ще използвате файла hdsnode.p12 и паролата, която сте задали за него, в Създаване на конфигурационен ISO за организаторите на HDS.

Можете да използвате повторно тези файлове, за да поискате нов сертификат, когато първоначалният сертификат изтече.

Трафик между възлите на HDS и облака

Изходящ трафик за събиране на метрики

Възлите на хибридна защита на данни изпращат определени показатели към облака на Webex. Те включват системни метрики за heap max, използван heap, натоварване на процесора и брой нишки; метрики за синхронните и асинхронните нишки; метрики за предупрежденията, включващи праг на шифроване връзки, латентност или дължина на опашката за заявки; метрики за datastore; и метрики за връзката за шифроване. Възлите изпращат материали за шифрован ключ през нечестотен (отделен от заявката) канал.

Входящ трафик

Възлите на хибридна защита на данни получават следните типове входящ трафик от облака на Webex:

Заявки за шифроване от клиенти, които се маршрутизират от услугата за шифроване
Надстройки до софтуера за възли

Конфигуриране на прокси сървъри за хибридна защита на данните

Websocket не може да се свърже чрез сепия прокси

Прокси сървърите, които инспектират HTTPS трафика, могат да повлияят на създаването на websocket (в к:) връзки, които изискват хибридната защита на данните. Тези раздели дават насоки как да конфигурирате различни версии на Калмар, за да игнорирате wss: трафик за правилното функциониране на услугите.

Калмята 4 и 5

Добавете on_unsupported_protocol директивата към squid.conf:

on_unsupported_protocol тунел

Сепия 3.5.27

Успешно тествахме Hybrid Data Security със следните правила, добавени към squid.conf. Тези правила подлежат на промяна, тъй като разработваме функции и актуализираме webex облака.

acl wssMercuryConnection ssl::server_name_regex mercury-connection ssl_bump splice wssMercuryConnection acl step1 at_step SslBump1 acl step2 at_step SslBump2 acl step3 at_step SslBump3 ssl_bump надничане step1 всички ssl_bump stare step2 всички ssl_bump bump step3 всички

Предговор

Нова и променена информация

Дата	Направени промени
07 януари 2025 г.	Актуализирани изисквания за виртуален хост, Поток от задачи за разполагане на хибридна защита на данни, и Инсталиране на HDS Host OVA , за да се покаже ново изискване на ESXi 7.0.
20 октомври 2023 г.	Актуализирана информация в изискванията към сървъра с база данни. Добавено е Настройване на Standby Data Center за възстановяване след бедствие. Актуализирана информация в Standby Data Center за възстановяване след бедствие и Възстановяване след бедствие чрез Standby Data Center.
07 август 2023 г.	Добавена е бележка в Изтегляне на инсталационни файлове. Добавена е бележка в Създаване на конфигурация ISO за хостовете на HDS и Промяна на конфигурацията на възела.
23 май 2023 г.	Изтрита информация от изискванията към сървъра за база данни , изискваща функция, която да бъде активирана чрез свързване с екипа за акаунти. Актуализирана информация в Изисквания за външна свързаност и добавена Канада към таблицата с хостове на CI. Добавена е бележка в Очакванията за разполагане на хибридна защита на данни по отношение на липсата на механизми за преместване на ключовете обратно в облака.
06 декември 2022 г.	Изображенията на инструмента за настройка на HDS вече се хостват в хранилището `ciscocitg` dockerhub. Актуализирани са Създаване на конфигурация ISO за хостовете на HDS и Промяна на темите на конфигурация на възела , за да възстановите промените в командите.
23 ноември 2022 г.	HDS възлите вече могат да използват удостоверяване на Windows срещу Microsoft SQL Server. Актуализирана е темата за изискванията към сървъра с база данни с допълнителни изисквания за този режим на удостоверяване. Актуализиран е Създаване на конфигурационен ISO за хостовете на HDS с процедурата за конфигуриране на удостоверяване на Windows на възлите. Актуализирана е темата за изискванията към сървъра за база данни с нови минимални задължителни версии (PostgreSQL 10).
13 октомври 2021 г.	Docker Desktop трябва да стартира програма за настройка, преди да можете да инсталирате възли на HDS. Вижте Изисквания за закачане на работния плот.
юни 24, 2021	Имайте предвид, че можете да използвате повторно файла с частен ключ и CSR, за да поискате друг сертификат. Вижте Използване на OpenSSL за генериране на PKCS12 файл за подробности.
30 април 2021 г.	Променено е изискването за VM за локално място на твърдия диск на 30 GB. Вижте Изисквания за виртуален организатор за подробности.
24 февруари 2021	Инструментът за настройка на HDS вече може да се изпълнява зад прокси сървър. Вижте Създаване на конфигурация ISO за хостовете на HDS за подробности.
Февруари 2, 2021	HDS вече може да се изпълнява без монтиран ISO файл. Вижте (По избор) Демонтиране на ISO след конфигуриране на HDS за подробности.
11 януари 2021 г.	Добавена е информация за инструмента за настройка на HDS и прокси сървъри, за да се създаде конфигурационен ISO за хостовете на HDS.
13 октомври 2020 г	Изтегляне на инсталационни файлове е актуализирано.
08 октомври 2020 г.	Актуализиран е Създаване на конфигурация ISO за HDS хостовете и Промяна на конфигурацията на възела с команди за среди на FedRAMP.
14 август 2020 г	Актуализиран е Създаване на конфигурация ISO за хостовете на HDS и Промяна на конфигурацията на възела с промени в процеса на влизане.
5 август 2020 г	Актуализиран Тестване на внедряването на хибридна защита на данни за промени в съобщенията в регистрационните файлове. Актуализирани са изискванията за виртуален организатор , за да се премахне максималният брой организатори.
16 юни 2020 г	Актуализиран е Премахване на възел за промени в потребителския интерфейс на Control Hub.
4 юни 2020 г	Актуализиран е Създаване на конфигурационен ISO за хостовете на HDS за промени в разширените настройки, които може да зададете.
29 май 2020 г	Актуализиран е Създаване на конфигурационен ISO за хостовете на HDS , за да се покаже, че можете да използвате и TLS с бази данни на SQL Server, промени на потребителския интерфейс и други пояснения.
5 май 2020 г	Актуализирани са изискванията за виртуален хост, за да се покаже новото изискване на ESXi 6.5.
21 април 2020 г.	Актуализирани са Изисквания за външна свързаност с нови организатори на CI в Americas.
1 април 2020 г.	Актуализирани са Изисквания за външна свързаност с информация за регионалните организатори на CI.
20 февруари 2020 г	Актуализиран е Създаване на конфигурационен ISO за хостовете на HDS с информация за нов екран с незадължителни разширени настройки в инструмента за настройка на HDS.
14 февруари 2019 г.	Актуализирани са изискванията за прокси сървъра.
16 декември 2019 г.	Поясни изискването за режим на блокирано външно разрешаване на DNS, за да работи в Изисквания към прокси сървъра.
19 ноември 2019	Добавена е информация за режима на блокирано външно DNS разрешаване в следните раздели: Поддръжка на прокси Конфигуриране на HDS възел за интегриране на прокси сървър Изключване на режим на блокирана външна DNS разделителна способност
8 ноември 2019 г	Вече можете да конфигурирате мрежови настройки за даден възел, докато разполагате с OVA, а не след това. Следните раздели са съответно актуализирани: Поток на задачи за разполагане на хибридна защита на данни Инсталиране на HDS Host OVA Настройване на VM на хибридна защита на данни Опцията за конфигуриране на мрежовите настройки по време на разполагането на OVA е тествана с ESXi 6.5. Опцията може да не е налична в по-ранни версии.
6 септември 2019 г	Добавен е SQL Server Standard към изискванията за сървъра за база данни.
Август 29, 2019	Добавено е приложение Конфигуриране на прокси сървъри за хибридна защита на данни с насоки за конфигуриране на прокси сървъри за игнориране на трафика на уеб сокети за правилна работа.
Август 20, 2019	Добавени и актуализирани раздели, за да обхванат поддръжката на прокси сървър за комуникации с възела на хибридна защита на данни към облака на Webex. Поддръжка на прокси Изисквания към прокси сървъра Конфигуриране на HDS възел за интегриране на прокси сървър За достъп само до съдържанието на прокси поддръжката за съществуващо разполагане вижте помощната статия Поддръжка на прокси сървъра за хибридна защита на данни и Webex Video Mesh .
13 юни 2019 г.	Актуализиран е Пробен в производствен поток на задачи с напомняне за синхронизиране на груповия обект `HdsTrialGroup` преди започване на пробен период, ако вашата организация използва синхронизиране на указатели.
06 март 2019 г.	Премести изискванията и предварителните изисквания в отделна глава, Подготовка на средата. Добавен е Поток на задачи за разполагане на хибридна защита на данни общ преглед в главата Настройване на клъстер на хибридна защита на данни. Имайте предвид, че докато не започнете изпробване (като използвате инструкциите в следващата глава) вашите възли генерират аларма, която показва, че услугата ви все още не е активирана. Добавен е Пробен в производствения поток на задачи в главата Изпълнение на пробен период и преминаване към производство.
Февруари 28, 2019	Коригирано е количеството локално място на твърдия диск на сървър, което трябва да заделите при подготовката на виртуалните хостове, които стават възли на хибридна защита на данни, от 50 GB до 20 GB, за да се отрази размера на диска, който OVA създава.
26 февруари 2019 г.	Възлите на хибридна защита на данни вече поддържат шифровани връзки със сървъри с бази данни на PostgreSQL и шифровани връзки за регистриране към syslog сървър с възможност за TLS. Актуализиран е Създаване на конфигурационен ISO за хостовете на HDS с инструкции. Премахнати са целеви URL адреси от таблицата „Изисквания за свързаност с интернет за VMs с възли на хибридна защита на данни“. Таблицата сега се отнася до списъка, поддържан в таблицата „Допълнителни URL адреси за хибридни услуги на Webex Teams“ на Мрежови изисквания за услугите на Webex Teams.
Януари 24, 2019	Хибридната защита на данните вече поддържа Microsoft SQL Server като база данни. Винаги включен SQL Server (Винаги включен клъстер за преместване при отказ и винаги включен групи за наличност) се поддържа от JDBC драйвери, които се използват в хибридната защита на данните. Добавено съдържание, свързано с разполагане с SQL сървър. Поддръжката на Microsoft SQL Server е предназначена само за нови разполагания на хибридната защита на данните. Понастоящем не поддържаме мигриране на данни от PostgreSQL към Microsoft SQL Server в съществуващо разполагане.
5 ноември 2018 г.	Добавена е предварителна стъпка за изчистване на всички съществуващи екземпляри на hds на docker в Създаване на конфигурация ISO за хостовете на HDS и Промяна на конфигурацията на възела. Актуализирана е стъпката на ниво на достъп до ключ в Създаване на конфигурация ISO за хостовете на HDS , за да съответства на интерфейса.
19 октомври 2018 г.	Разделете информацията за връзката на защитната стена на изисквания към възлите и изисквания на машината за конфигуриране на ISO в Завършване на предварителните изисквания за хибридна защита на данните.
Юли 31, 2018	Добавен е порт 22 (SSH достъп) и информация за NAT и защитните стени връзки, за да изпълните изискванията за хибридна защита на данните.
21 май 2018 г.	Променена терминология, за да отрази ребрандиране на Cisco Spark: Хибридна защита на данни на Cisco Spark вече е хибридна защита на данни. Приложението Cisco Spark сега е приложението Webex App. Облакът на Cisco Collaboraton сега е облакът на Webex.
11 април 2018 г.	Добавен е Standby Data Center за възстановяване след бедствие. Актуализирано: Изпълнете изискванията за хибридна защита на данни , за да посочите, че средата за архивиране трябва да бъде в друг център за данни. Актуализирано е Възстановяване при бедствие с използване на Standby Data Center.
22 февруари 2018 г	Добавена е информация за 9-месечния жизнен цикъл на паролата за сервизния акаунт и използване на инструмента за настройка на HDS за нулиране на паролите за сервизния акаунт в Създаване на ISO конфигурация за хостовете на HDS и Промяна на конфигурацията на възела.
15 февруари 2018	В таблицата с изисквания за сертификат X.509 е посочено, че сертификатът не може да бъде заместващ сертификат и че KMS използва домейна CN, а не всеки домейн, който е дефиниран в полетата на SAN.509v3.
18 януари 2018	Добавено допълнение, Трафик между възлите на HDS и облака. Премахнат е разрешен проблем от Известни проблеми за хибридна защита на данни. Променен index.docker.io на .docker.io и добавен .cloudfront.net към списъка с изисквания за TCP свързаност за възлите на HDS в Завършване на предварителните изисквания за хибридна защита на данните. Актуализиран е Създаване на конфигурационен ISO за хостовете на HDS , за да се посочи, че ако хостът на базата данни и сървърът за syslogd не могат да се разрешават чрез DNS от HDS възлите, трябва да ги конфигурирате, като използвате IP адреси.
2 ноември 2017 г	Изяснено синхронизиране на указатели на HdsTrialGroup. Фиксирани инструкции за качване на ISO конфигурационния файл за монтаж във VM възлите.
18 август 2017 г.	Първо публикуване

Първи стъпки с хибридна защита на данни

Общ преглед на хибридна защита на данни

От първия ден сигурността на данните е основният фокус при проектирането на приложението Webex. Крайъгълният камък на тази защита е цялостното шифроване на съдържание, разрешено от клиентите на приложението Webex, които взаимодействат с услугата за управление на ключове (KMS). KMS отговаря за създаването и управлението на криптографски ключове, които клиентите използват за динамично криптиране и дешифриране на съобщения и файлове.

По подразбиране всички клиенти на приложението Webex получават цялостно шифроване с динамични ключове, съхранявани в облака KMS, в областта на защитата на Cisco. Хибридната защита на данните премества KMS и други свързани със сигурността функции във вашия корпоративен център за данни, така че никой освен вас не държи ключовете за вашето криптирано съдържание.

Архитектура на областта на сигурността

Архитектурата на облака на Webex разделя различните типове услуги в отделни области или домейни на доверие, както е описано по-долу.

За да разберем по-подробно хибридната защита на данните, нека първо разгледаме този случай в облака, където Cisco предоставя всички функции в своите облачни области. Услугата за самоличност, единственото място, където потребителите могат да бъдат пряко свързани с тяхната лична информация, като имейл адрес, е логично и физически отделена от областта на защитата в центъра за данни B. И двете от своя страна са отделени от областта, в която в крайна сметка се съхранява шифровано съдържание, в центъра за данни C.

На тази схема клиентът е приложението Webex, което се изпълнява на лаптопа на потребителя, и е удостоверен с услугата за самоличност. Когато потребителят композира съобщение за изпращане до интервал, се извършват следните стъпки:

Клиентът установява защитена връзка с услугата за управление на ключове (KMS), след което иска ключ за шифроване на съобщението. Защитената връзка използва ECDH, а KMS шифрова ключа с помощта на главния ключ AES-256.
Съобщението е шифровано преди да напусне клиента. Клиентът го изпраща на услугата за индексиране, която създава шифровани индекси за търсене, за да подпомогне при бъдещи търсения на съдържанието.
Шифрованото съобщение се изпраща на услугата за съответствие за проверки за съответствие.
Шифрованото съобщение се съхранява в областта на мястото за съхранение.

Когато разположите хибридна защита на данни, премествате функциите на областта на защитата (KMS, индексиране и съответствие) в своя локален център за данни. Другите услуги в облака, които съставляват Webex (включително съхранение на самоличност и съдържание), остават в областите на Cisco.

Сътрудничество с други организации

Потребителите във вашата организация могат редовно да използват приложението Webex за сътрудничество с външни участници в други организации. Когато един от вашите потребители поиска ключ за място, което е собственост на вашата организация (защото е създадено от един от вашите потребители), вашата KMS изпраща ключа на клиента чрез ECDH защитен канал. Когато обаче друга организация притежава ключа за пространството, вашият KMS маршрутизира заявката към облака Webex чрез отделен ECDH канал, за да получи ключа от съответния KMS и след това връща ключа на вашия потребител в оригиналния канал.

Услугата KMS, изпълнявана в организация А, валидира връзките към KMS в други организации, като използва x.509 PKI сертификати. Вижте Изисквания за хибридна защита на данни (в тази статия) за подробности относно генерирането на сертификат x.509, който да използвате с разполагането си на хибридна защита на данни.

Очаквания за внедряване на хибридна защита на данни

Внедряването на хибридна защита на данни изисква значителна ангажираност на клиентите и осведоменост за рисковете, които идват от притежанието на ключове за шифроване.

За да разположите хибридна защита на данни, трябва да предоставите:

Защитен център за данни в страна, която е поддържано местоположение за плановете на Cisco Webex Teams.
Оборудването, софтуерът и мрежовият достъп, описани в Изисквания за хибридна защита на данните.

Пълната загуба или на конфигурационния ISO, който изграждате за хибридна защита на данни, или на базата данни, която предоставяте, ще доведе до загуба на ключове. Загубата на ключове не позволява на потребителите да дешифрират съдържанието в пространството и други шифровани данни в приложението Webex. Ако това се случи, можете да изградите ново разполагане, но ще се вижда само новото съдържание. За да избегнете загуба на достъп до данни, трябва:

Управлявайте архивирането и възстановяването на базата данни и конфигурационния ISO.
Бъдете готови да извършите бързо възстановяване след бедствие, ако възникне катастрофа, като повреда на диска на базата данни или бедствие на центъра за данни.

Няма механизъм за преместване на ключовете обратно в облака след разполагане на HDS.

Процес на настройка на високо ниво

Този документ обхваща настройката и управлението на разполагането на хибридна защита на данни:

Настройка на хибридна защита на данни – това включва подготовка на необходимата инфраструктура и инсталиране на софтуера на хибридна защита на данни, тестване на внедряването ви с поднабор от потребители в пробен режим и след като тестването ви завърши, преминаване към производство. Това конвертира цялата организация, за да използва вашия клъстер на хибридна защита на данни за функции на защитата.
Етапите на настройка, изпробване и производство са подробно описани в следващите три глави.
Поддържайте разполагането на хибридна защита на данни – Облакът на Webex автоматично предоставя текущи надстройки. Вашият ИТ отдел може да предостави поддръжка от първо ниво за това разполагане и да ангажира поддръжката на Cisco, ако е необходимо. В Control Hub можете да използвате известия на екрана и да настроите имейл предупреждения.
Разбиране на често срещаните предупреждения, стъпките за отстраняване на неизправности и известни проблеми – ако срещнете проблеми при разполагането или използването на хибридна защита на данни, последната глава от това ръководство и приложението „Известни проблеми“ могат да ви помогнат да определите и коригирате проблема.

Модел на разполагане на хибридна защита на данни

В рамките на вашия корпоративен център за данни разполагате с хибридна защита на данни като един клъстер от възли на отделни виртуални хостове. Възлите комуникират с облака на Webex чрез защитени уеб сокети и защитен HTTP.

По време на процеса на инсталиране ви предоставяме файла OVA, за да настроите виртуалния уред на VMs, които предоставяте. Използвайте инструмента за настройка на HDS, за да създадете персонализиран ISO файл за конфигуриране на клъстери, който да монтирате на всеки възел. Клъстерът на хибридна защита на данни използва предоставения ви сървър Syslogd и базата данни на PostgreSQL или Microsoft SQL Server. (Можете да конфигурирате подробностите за връзката на Syslogd и базата данни в инструмента за настройка на HDS.)

Модел на разполагане на хибридна защита на данни

Минималният брой възли, които можете да имате в клъстер, е два. Препоръчваме поне по три на клъстер. Наличието на множество възли гарантира, че услугата не се прекъсва по време на надстройка на софтуера или друга дейност по поддръжка на даден възел. (Облакът на Webex надгражда само един възел в даден момент.)

Всички възли в клъстера имат достъп до един и същ файл с ключове и регистрационната активност към един и същ syslog сървър. Самите възли са без гражданство и обработват ключови заявки в кръгла форма, както е указано от облака.

Възлите стават активни, когато ги регистрирате в Control Hub. За да излезете от експлоатация отделен възел, можете да го дерегистрирате и по-късно да го регистрирате отново, ако е необходимо.

Поддържаме само един клъстер на организация.

Пробен режим на хибридна защита на данни

След като настроите разполагане на хибридна защита на данни, първо го изпробвайте с набор от пилотни потребители. По време на пробния период тези потребители използват вашия локален домейн за хибридна защита на данни за ключове за шифроване и други услуги от областта на защитата. Другите ви потребители продължават да използват областта на защита на облака.

Ако решите да не продължите с разполагането по време на пробния период и да деактивирате услугата, пилотните потребители и всички потребители, с които са взаимодействали чрез създаване на нови места по време на пробния период, ще загубят достъп до съобщенията и съдържанието. Те ще видят \„Това съобщение не може да бъде дешифрирано\“ в приложението Webex.

Ако сте доволни, че разполагането ви работи добре за пробните потребители и сте готови да разширите хибридната защита на данни до всички свои потребители, преместете разполагането в производство. Пилотните потребители продължават да имат достъп до ключовете, които са били използвани по време на пробния период. Не можете обаче да се движите напред-назад между производствения режим и първоначалното изпробване. Ако трябва да деактивирате услугата, например да извършите възстановяване след бедствие, когато активирате повторно, трябва да започнете нов пробен период и да настроите набора от пилотни потребители за новия пробен период, преди да се върнете към производствен режим. Дали потребителите запазват достъпа до данни в този момент зависи от това дали успешно сте поддържали резервни копия на хранилището за основни данни и конфигурационния файл за ISO за възлите на хибридна защита на данни във вашия клъстер.

Standby Data Center за възстановяване при бедствия

По време на разгръщането настройвате защитен център за данни в режим на готовност. В случай на бедствие на центъра за данни можете ръчно да не успеете при разполагането си в центъра за данни в режим на готовност.

Базите данни на активните центрове за данни и центровете за данни в режим на готовност са синхронизирани помежду си, което ще сведе до минимум времето, необходимо за извършване на превключването при отказ. ISO файлът на центъра за данни в режим на готовност се актуализира с допълнителни конфигурации, които гарантират, че възлите са регистрирани в организацията, но няма да се справят с трафика. Следователно възлите на центъра за данни в режим на готовност винаги остават актуални с най-новата версия на софтуера на HDS.

Активните възли на хибридна защита на данни трябва винаги да бъдат в същия център за данни като активния сървър с база данни.

Настройване на Standby Data Center за възстановяване при бедствия

Следвайте стъпките по-долу, за да конфигурирате ISO файла на центъра за данни в режим на готовност:

Преди да започнете

Центърът за данни в режим на готовност трябва да отразява производствената среда на VMs и архивна база данни PostgreSQL или Microsoft SQL Server. Например, ако производството има 3 VMs, работещи с HDS възли, резервната среда трябва да има 3 VMs. (Вижте Standby Data Center for Disaster Recovery за общ преглед на този модел на отказ.)
Уверете се, че синхронизирането на базата данни е разрешено между базата данни на активните и пасивните възли на клъстерите.

1	Стартирайте инструмента за настройка на HDS и следвайте стъпките, споменати в Създаване на конфигурационен ISO за хостовете на HDS. ISO файлът трябва да бъде копие на оригиналния ISO файл на основния център за данни, върху който трябва да се направят следните актуализации на конфигурацията.
2	След конфигурирането на сървъра Syslogd щракнете върху Разширени настройки
3	На страницата Разширени настройки добавете конфигурацията по-долу, за да поставите възела в пасивен режим. В този режим възелът ще бъде регистриран в организацията и свързан към облака, но няма да обработва никакъв трафик. `пасивенРежим: „вярно“`
4	Завършете процеса на конфигуриране и запишете ISO файла на лесно за намиране място.
5	Направете резервно копие на ISO файла в локалната си система. Поддържайте архивното копие защитено. Този файл съдържа главен ключ за шифроване за съдържанието на базата с данни. Ограничете достъпа само до онези администратори на хибридна защита на данни, които трябва да направят промени в конфигурацията.
6	В левия навигационен екран на клиента VMware vSphere щракнете с десния бутон върху VM и щракнете върху Редактиране на настройките..
7	Щракнете върху Редактиране на настройките >CD/DVD диск 1 и изберете Datastore ISO файл. Уверете се, че са отметнати Свързани и Свързване при включване , за да могат актуализираните промени в конфигурацията да влязат в сила след стартиране на възлите.
8	Включете възела на HDS и се уверете, че няма аларми поне 15 минути.
9	Повторете процеса за всеки възел в центъра за данни в режим на готовност. Проверете регистрационните файлове в syslog, за да потвърдите, че възлите са в пасивен режим. Трябва да можете да виждате съобщението „KMS, конфигурирано в пасивен режим“ в регистрационните файлове в syslog.

Какво да направите след това

След като конфигурирате passiveMode в ISO файла и го запишете, можете да създадете друго копие на ISO файла без конфигурацията на passiveMode и да го запишете на защитено място. Това копие на ISO файла без конфигуриран passiveMode може да помогне при бърз процес на отказ по време на възстановяване след бедствие. Вижте Възстановяване при бедствие с използване на Standby Data Center за подробната процедура при отказ.

Поддръжка на прокси

Hybrid Data Security поддържа изрични, прозрачни проверяващи и неинспектационни проксита. Можете да свържете тези проксита към разполагането си, така че да можете да подсигурите и наблюдавате трафика от предприятието навън към облака. Можете да използвате администраторски интерфейс на платформа на възлите за управление на сертификати и да проверите цялостното състояние на свързване, след като настроите прокси сървъра на възлите.

Хибридните възли за защита на данните поддържат следните опции за прокси:

Няма прокси сървър – Стойността по подразбиране, ако не използвате конфигурацията за настройка на HDS възел на доверено хранилище и прокси сървър за интегриране на прокси сървър. Не се изисква актуализация на сертификата.
Прозрачен прокси сървър без проверка – възлите не са конфигурирани да използват определен адрес на прокси сървъра и не трябва да изискват промени, за да работят с прокси сървър без проверка. Не се изисква актуализация на сертификата.
Прозрачно тунелиране или проверка на прокси сървъра – възлите не са конфигурирани да използват определен адрес на прокси сървъра. На възлите не са необходими промени в конфигурацията на HTTP или HTTPS. Възлите обаче се нуждаят от главен сертификат, така че да се доверяват на прокси. Проверяващите пълномощници обикновено се използват от It за прилагане на политики, на които могат да бъдат посетени уебсайтовете и кои видове съдържание не са разрешени. Този тип прокси дешифрира целия ви трафик (дори HTTPS).
Изричен прокси сървър – С изричния прокси сървър казвате на HDS кои прокси сървъри и схема за удостоверяване да използват. За да конфигурирате изрично прокси, трябва да въведете следната информация на всеки възел:
1. Прокси IP/FQDN – адрес, който може да се използва за свързване с прокси машината.
2. Прокси порт – номер на порт, който прокси сървърът използва за слушане за прокси трафик.
3. Прокси протокол – в зависимост от това, което поддържа прокси сървърът ви, изберете между следните протоколи:
  - HTTP—Преглежда и контролира всички заявки, които клиентът изпраща.
  - HTTPS—Предоставя канал на сървъра. Клиентът получава и валидира сертификата на сървъра.
4. Тип удостоверяване – изберете измежду следните типове удостоверяване:
  - Няма – Не се изисква допълнително удостоверяване.
    
    Налично, ако изберете или HTTP Или HTTPS като протокол за прокси.
  - Основни—Използва се за HTTP потребителски агент, за да предостави потребителско име и парола при подаване на заявка. Използва Base64 кодиране.
    
    Налично, ако изберете или HTTP Или HTTPS като протокол за прокси.
    
    Изисква да въведете потребителското име и паролата на всеки възел.
  - Обобщаване – използва се за потвърждаване на акаунта, преди да се изпрати чувствителна информация. Прилага хеш функция на потребителското име и паролата преди изпращане по мрежата.
    
    Предлага се само ако изберете HTTPS като протокол за прокси.
    
    Изисква да въведете потребителското име и паролата на всеки възел.

Пример за хибридни данни сигурност възли и прокси

Тази диаграма показва примерна връзка между защитата на хибридните данни, мрежата и прокси. За прозрачния инспектиращ и HTTPS изричен инспектиращ прокси опции, един и същ главен сертификат трябва да бъде инсталиран на прокси и на хибридните възли за защита на данните.

Блокиран режим на външна DNS разделителна способност (изрични прокси конфигурации)

Когато регистрирате възел или проверете конфигурацията на прокси сървъра на възела, процесът тества DNS справка и свързаност към облака Cisco Webex. В разполагане с изрични прокси конфигурации, които не позволяват външна DNS разделителна способност за вътрешни клиенти, ако възелът не може да заявка DNS сървъри, тя автоматично преминава в режим блокирани външни DNS резолюция. В този режим може да се процедира регистрация на възли и други тестове за свързване на прокси.

Подгответе средата си

Изисквания за хибридна защита на данните

Изисквания за лицензи за Cisco Webex

За да разположите хибридна защита на данните:

Трябва да имате Pro Pack за Cisco Webex Control Hub. (Вижте https://www.cisco.com/go/pro-pack.)

Изисквания за закачане на работния плот

Преди да инсталирате възлите на HDS, трябва Docker Desktop, за да изпълните инсталационна програма. Docker наскоро актуализира своя модел на лицензиране. Вашата организация може да изисква платен абонамент за Docker Desktop. За подробности вижте публикацията в блога на Docker, " Docker е Актуализиране и разширяване на нашите абонаментиза продукти".

X.509 Изисквания за сертификата

Веригата на сертификатите трябва да отговаря на следните изисквания:

Таблица 1. X.509 Изисквания за сертификата за разполагане на хибридна защита на данни
Изискване	Подробности
Подписан от надежден сертифициращ орган (CA)	По подразбиране се доверяваме на сертифициращите органи в списъка на Mozilla (с изключение на WoSign и StartCom) на https://wiki.mozilla.org/CA:IncludedCAs.
Носи общо име (CN) име на домейн, което идентифицира вашето разполагане на хибридна защита на данни Не е заместващ сертификат	CN не е нужно да е достъпен или хост на живо. Препоръчваме ви да използвате име, което отразява вашата организация, например `hds.company.com`. CN не трябва да съдържа * (заместващ символ). CN се използва за проверка на възлите на хибридна защита на данни за клиентите на приложението Webex. Всички възли на хибридна защита на данни във вашия клъстер използват един и същ сертификат. Вашият KMS се идентифицира с помощта на CN домейна, а не с произволен домейн, дефиниран в полетата x.509v3 SAN. След като сте регистрирали възел с този сертификат, не поддържаме промяна на името на CN домейна. Изберете домейн, който може да се прилага както за пробно, така и за производствени разполагания.
Подпис, който не е SHA1	Софтуерът KMS не поддържа подписи SHA1 за валидиране на връзки с KMS на други организации.
Форматиран като защитен с парола PKCS #12 файл Използвайте приятелското име на `kms-private-key` , за да маркирате сертификата, частния ключ и всички междинни сертификати за качване.	Можете да използвате конвертор, като OpenSSL, за да промените формата на сертификата си. Ще трябва да въведете паролата, когато стартирате инструмента за настройка на HDS.

Софтуерът KMS не налага използване на ключове или не разширява ограниченията за използване на ключове. Някои сертифициращи органи изискват за всеки сертификат да се прилагат разширени ограничения за използване на ключа, като например удостоверяване на сървъра. Добре е да използвате удостоверяване на сървъра или други настройки.

Изисквания за виртуален организатор

Виртуалните хостове, които ще настроите като възли на хибридна защита на данни във вашия клъстер, имат следните изисквания:

Поне два отделни хоста (препоръчва се 3), разположени съвместно в един и същ защитен център за данни
VMware ESXi 7.0 (или по-нова версия) е инсталиран и работи.

Трябва да надстроите, ако имате по-стара версия на ESXi.
Минимум 4 vCPU, 8 GB основна памет, 30 GB локално място на твърдия диск на сървър

Изисквания към сървъра за база данни

Създайте нова база данни за съхранение на ключове. Не използвайте базата данни по подразбиране. Приложенията на HDS, когато са инсталирани, създават схемата на базата с данни.

Има две опции за сървъра с база данни. Изискванията за всеки от тях са, както следва:

Таблица 2. Изисквания за сървъра с база данни по тип база данни
PostgreSQL	Microsoft SQL сървър
PostgreSQL 14, 15 или 16, инсталиран и се изпълнява.	Инсталиран е SQL Server 2016, 2017, или 2019 (корпоративен или стандартен). SQL Server 2016 изисква Service Pack 2 и Кумулативна актуализация 2 или по-нова версия.
Минимум 8 vCPU, 16 GB основна памет, достатъчно място на твърдия диск и наблюдение, за да се гарантира, че не е превишено (препоръчва се 2 TB, ако искате да стартирате базата данни дълго време, без да е необходимо да увеличавате мястото за съхранение)	Минимум 8 vCPU, 16 GB основна памет, достатъчно място на твърдия диск и наблюдение, за да се гарантира, че не е превишено (препоръчва се 2 TB, ако искате да стартирате базата данни дълго време, без да е необходимо да увеличавате мястото за съхранение)

HDS софтуерът в момента инсталира следните версии на драйвери за комуникация със сървъра с база данни:

PostgreSQL

Microsoft SQL сървър

Postgres JDBC драйвер 42.2.5

SQL Server JDBC драйвер 4.6

Тази версия на драйвера поддържа SQL Server Always On ( Винаги включен екземпляр на клъстера при отказ и Винаги включен групи за наличност).

Допълнителни изисквания за удостоверяване на Windows срещу Microsoft SQL Server

Ако искате HDS възлите да използват удостоверяване на Windows, за да получат достъп до вашата база данни на Keystore на Microsoft SQL Server, тогава е необходима следната конфигурация във вашата среда:

Възлите на HDS, инфраструктурата на Active Directory и MS SQL Server трябва да бъдат синхронизирани с NTP.
Акаунтът за Windows, който предоставяте на възли на HDS, трябва да има достъп за четене/запис до базата данни.
DNS сървърите, които предоставяте на HDS възли, трябва да могат да разрешават вашия център за разпределение на ключове (KDC).
Можете да регистрирате екземпляра на базата данни на HDS на Microsoft SQL Server като основно име на услуга (SPN) на Active Directory. Вижте Регистриране на основно име на услуга за Kerberos връзки.

Инструментът за настройка на HDS, HDS стартера и локалния KMS трябва да използват удостоверяване на Windows за достъп до базата данни на Keystore. Те използват подробностите от вашата ISO конфигурация, за да конструират SPN, когато заявяват достъп с удостоверяване на Kerberos.

Изисквания за външна връзка

Конфигурирайте защитната стена, за да разрешите следната свързаност за приложенията на хибридна защита на данни:

Приложение	Протокол	Порт	Посока от приложението	Местоназначение
Възли на хибридна защита на данни	TCP	443	Изходящи HTTPS и ВиК	Сървъри на Webex: .wbx2.com .ciscospark.com Всички организатори на Common Identity Други URL адреси, които са изброени за хибридна защита на данни в таблицата Допълнителни URL адреси за хибридни услуги на Webex на мрежовите изисквания за услугите на Webex
Инструмент за настройка на HDS	TCP	443	Изходящ HTTPS	*.wbx2.com Всички организатори на Common Identity hub.docker.com

Възлите на хибридна защита на данни работят с превод на мрежовия достъп (NAT) или зад защитна стена, при условие че NAT или защитната стена позволяват необходимите изходящи връзки към местоназначенията на домейна в предходната таблица. За връзки, влизащи във входящи възли на хибридна защита на данни, от интернет не трябва да се виждат портове. В рамките на вашия център за данни клиентите се нуждаят от достъп до възлите на хибридна защита на данни на TCP портове 443 и 22 за административни цели.

URL адресите за хостовете на Common Identity (CI) са специфични за региона. Това са текущите организатори на CI:

Регион	URL адреси на организатор на Common Identity
Северна и Южна Америка	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Европейски съюз	https://idbroker-eu.webex.com https://identity-eu.webex.com
Канада	https://idbroker-ca.webex.com https://identity-ca.webex.com
Сингапур	https://idbroker-sg.webex.com https://identity-sg.webex.com
Обединени арабски емирства	https://idbroker-ae.webex.com https://identity-ae.webex.com

Изисквания към прокси сървъра

Ние официално поддържаме следните прокси решения, които могат да се интегрират с вашите възли hybrid Data Security.
- Прозрачен прокси-Уред за уеб защита cisco (WSA).
- Изрична прокси-Сепия.
  
  Прокси сървърите, които инспектират HTTPS трафика, могат да попречат на установяването на websocket (wss:) връзки. За да работите по този проблем, вижте Конфигуриране на прокси сървъри за хибридна защита на данни.
Ние поддържаме следните комбинации от тип удостоверяване за изрични проксита:
- Без удостоверяване с HTTP или HTTPS
- Базово удостоверяване с HTTP или HTTPS
- Смилане на удостоверяване само с HTTPS
За прозрачен проверяващ прокси или HTTPS изрично прокси, трябва да имате копие на главния сертификат на прокси. Инструкциите за разполагане в това ръководство ви казват как да качите копието в магазините за доверие на хибридните възли за защита на данните.
Мрежата, хостваща HDS възлите, трябва да бъде конфигурирана да принуди изходящия TCP трафик на порт 443 да маршрутизира през прокси сървъра.
Прокситата, които инспектират уеб трафика, може да пречат на връзките с уеб гнездото. Ако възникне този проблем, заобикалянето (не инспектирането) на трафика към wbx2.com и ciscospark.com ще реши проблема.

Изпълнете предварителните изисквания за хибридна защита на данни

Използвайте този контролен списък, за да гарантирате, че сте готови да инсталирате и конфигурирате своя клъстер на хибридна защита на данни.

1	Уверете се, че вашата организация в Webex е разрешена за Pro Pack за Cisco Webex Control Hub, и получете идентификационните данни за акаунт с пълни права на администратор на организацията. Свържете се с вашия партньор в Cisco или мениджър на акаунти за помощ с този процес.
2	Изберете име на домейн за разполагането на HDS (например `hds.company.com`) и получете верига от сертификати, съдържаща сертификат X.509, частен ключ и всички междинни сертификати. Веригата на сертификатите трябва да отговаря на изискванията в X.509 Изисквания за сертификат.
3	Подгответе идентични виртуални хостове, които ще настроите като възли на хибридна защита на данни във вашия клъстер. Имате нужда от поне два отделни организатора (препоръчва се 3), разположени съвместно в един и същ защитен център за данни, които отговарят на изискванията в Изисквания за виртуален организатор.
4	Подгответе сървъра с база данни, който ще действа като хранилище на данни за ключа за клъстера в съответствие с изискванията за сървъра с база данни. Сървърът на базата данни трябва да бъде разположен съвместно в защитения център за данни с виртуалните хостове. Създайте база данни за съхранение на ключове. (Трябва да създадете тази база данни – не използвайте базата данни по подразбиране. Приложенията на HDS, когато са инсталирани, създават схемата на базата с данни.) Съберете подробностите, които ще използват възлите за комуникация със сървъра с база данни: име на хост или IP адрес (хост) и порт името на базата с данни (dbname) за съхранение на ключа потребителското име и паролата на потребител с всички привилегии в базата данни за съхранение на ключа
5	За бързо възстановяване след бедствие настройте архивна среда в друг център за данни. Резервната среда отразява производствената среда на VMs и резервен сървър с база данни. Например, ако производството има 3 VMs, работещи с HDS възли, резервната среда трябва да има 3 VMs.
6	Настройте хост на syslog, за да събирате регистрационни файлове от възлите в клъстера. Съберете мрежовия му адрес и порта за syslog (по подразбиране е UDP 514).
7	Създайте правила за защитено архивиране за възлите на хибридна защита на данни, сървъра с база данни и хоста на syslog. Като минимум, за да предотвратите невъзстановима загуба на данни, трябва да архивирате базата данни и конфигурационния ISO файл, генериран за възлите на хибридна защита на данни. Тъй като възлите на хибридна защита на данни съхраняват ключовете, използвани за шифроване и дешифроване на съдържание, неподдържането на оперативно разполагане ще доведе до НЕВЪЗСТАНОВИМА ЗАГУБА на това съдържание. Клиентите на приложението Webex кешират ключовете си, така че прекъсването може да не се забележи веднага, но ще стане очевидно с течение на времето. Въпреки че е невъзможно да се предотвратят временните прекъсвания, те са възстановими. Обаче пълната загуба (няма налични резервни копия) на базата данни или конфигурационния ISO файл ще доведе до невъзстановими клиентски данни. От операторите на възлите на хибридна защита на данни се очаква да поддържат чести резервни копия на базата данни и конфигурационния ISO файл и да бъдат готови да възстановят центъра за данни на хибридна защита на данни, ако възникне катастрофална грешка.
8	Уверете се, че конфигурацията на защитната ви стена позволява свързване за вашите възли на хибридна защита на данни, както е описано в Изисквания за външна свързаност.
9	Инсталирайте Docker ( https://www.docker.com) на всяка локална машина, работеща с поддържана операционна система (Microsoft Windows 10 Professional или Enterprise 64-битова или Mac OSX Yosemite 10.10.3 или по-нова версия) с уеб браузър, който може да получи достъп до нея на http://127.0.0.1:8080. Можете да използвате екземпляр на Docker, за да изтеглите и изпълните инструмента за настройка на HDS, който изгражда информацията за локална конфигурация за всички възли на хибридна защита на данни. Вашата организация може да се нуждае от лиценз за настолен компютър за docker. Вижте Изисквания за закачане на работния плот за повече информация. За да инсталирате и стартирате инструмента за настройка на HDS, локалната машина трябва да има възможността за свързване, описана в Изисквания за външна свързаност.
10	Ако интегрирате прокси сървър с хибридна защита на данните, уверете се, че той отговаря на изискванията за прокси сървър.
11	Ако вашата организация използва синхронизиране на указатели, създайте група в Active Directory, наречена `HdsTrialGroup`, и добавете пилотни потребители. Пробната група може да има до 250 потребители. Обектът на `HdsTrialGroup` трябва да бъде синхронизиран с облака, преди да можете да започнете изпробване за вашата организация. За да синхронизирате групов обект, изберете го в менюто Конфигурация > Избор на обект на Directory Connector. (За подробни инструкции вижте Ръководство за разполагане на Cisco Directory Connector.) Бутоните за дадено място се задават от създателя на мястото. Когато избирате пилотни потребители, имайте предвид, че ако решите за постоянно да деактивирате разполагането на хибридна защита на данни, всички потребители губят достъп до съдържание в местата, които са създадени от пилотните потребители. Загубата става видима веднага щом приложенията на потребителите опреснят кешираните си копия на съдържанието.

Настройване на клъстер на хибридна защита на данни

Поток на задачи за разполагане на хибридна защита на данни

Преди да започнете

1	Изтегляне на инсталационните файлове Изтеглете OVA файла на вашата локална машина за по-късно използване.
2	Създаване на конфигурационен ISO за хостовете на HDS Използвайте инструмента за настройка на HDS, за да създадете ISO конфигурационен файл за възлите на хибридна защита на данни.
3	Инсталиране на HDS Host OVA Създайте виртуална машина от OVA файла и изпълнете първоначалната конфигурация, като например мрежови настройки. Опцията за конфигуриране на мрежовите настройки по време на разполагането на OVA е тествана с ESXi 7.0. Опцията може да не е налична в по-ранни версии.
4	Настройване на VM на хибридна защита на данни Влезте в конзолата на VM и задайте данните за вход. Конфигурирайте мрежовите настройки за възела, ако не сте ги конфигурирали към момента на разполагането на OVA.
5	Качване и монтиране на конфигурация ISO на HDS Конфигурирайте VM от ISO конфигурационния файл, който сте създали с инструмента за настройка на HDS.
6	Конфигуриране на HDS възел за интегриране на прокси сървър Ако мрежовата среда изисква конфигурация на прокси сървър, укажете типа прокси сървър, който ще използвате за възела, и добавете прокси сертификата към хранилището на гаранти, ако е необходимо.
7	Регистриране на първия възел в клъстера Регистрирайте VM с облака на Cisco Webex като възел на хибридна защита на данни.
8	Създаване и регистриране на още възли Завършете настройката на клъстера.
9	Докато не започнете пробен период, вашите възли генерират аларма, която показва, че услугата ви все още не е активирана.

Изтегляне на инсталационните файлове

1	Влезте в https://admin.webex.com и щракнете върху Услуги.
2	В раздела „Хибридни услуги“ намерете картата „Хибридна защита на данни“ и след това щракнете върху Настройка. Ако картата е деактивирана или не я виждате, се свържете с екипа за вашия акаунт или с партньорската си организация. Дайте им номера на акаунта си и помолете организацията ви да активира за хибридна защита на данните. За да намерите номера на акаунта, щракнете върху зъбното колело горе вдясно до името на вашата организация. Можете също да изтеглите OVA по всяко време от раздела Помощ на страницата Настройки . На картата на хибридна защита на данни щракнете върху Редактиране на настройките , за да отворите страницата. След това щракнете върху Изтегляне на софтуера за хибридна защита на данни в раздела Помощ . По-старите версии на софтуерния пакет (OVA) няма да бъдат съвместими с най-новите надстройки на хибридна защита на данни. Това може да доведе до проблеми при надстройване на приложението. Уверете се, че сте изтеглили най-новата версия на OVA файла.
3	Изберете Не , за да посочите, че все още не сте настроили възела, след което щракнете върху Напред. OVA файлът започва автоматично да се изтегля. Запишете файла на местоположение на машината си.
4	Като опция щракнете върху Отваряне на ръководство за разполагане , за да проверите дали има налична по-нова версия на това ръководство.

Създаване на конфигурационен ISO за хостовете на HDS

Процесът на настройка на хибридна защита на данни създава ISO файл. След това използвайте ISO, за да конфигурирате своя хост на хибридна защита на данни.

Преди да започнете

Инструментът за настройка на HDS работи като Docker контейнер на локална машина. За достъп до него стартирайте Docker на тази машина. Процесът на настройка изисква идентификационните данни на акаунт в контролния център с пълни права на администратор за вашата организация.

Ако инструментът за настройка на HDS се изпълнява зад прокси сървър във вашата среда, осигурете настройките на прокси сървъра (сървър, порт, идентификационни данни) чрез променливите на средата за закачване на контейнера за закачване в стъпка 5. Тази таблица дава някои възможни променливи на средата:

Описание

Променлива

HTTP прокси без удостоверяване

ГЛОБАЛЕН_АГЕНТ_HTTP_ПРОКСИ=http://СЪРВЪР_IP:PORT

HTTPS прокси без удостоверяване

ГЛОБАЛЕН_АГЕНТ_HTTPS_ПРОКСИ=http://СЪРВЪР_IP:PORT

HTTP прокси с удостоверяване

GLOBAL_AGENT_HTTP_PROXY=HTTP://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS прокси с удостоверяване

ГЛОБАЛЕН_АГЕНТ_HTTPS_PROXY=HTTP://USERNAME:PASSWORD@SERVER_IP:PORT
Конфигурационният ISO файл, който генерирате, съдържа главния ключ, шифрован в базата данни на PostgreSQL или Microsoft SQL Server. Трябва ви най-новото копие на този файл по всяко време, когато правите промени в конфигурацията, като тези:
- Идентификационни данни за базата данни
- Актуализации на сертификата
- Промени в правилата за упълномощаване
Ако планирате да шифровате връзките с бази данни, настройте разполагането на вашия PostgreSQL или SQL Server за TLS.

1

В командния ред на вашата машина въведете подходящата команда за вашата среда:

В нормални среди:

докер rmi ciscocitg/hds-setup: стабилен

В среди на FedRAMP:

докер rmi ciscocitg/hds-setup-fedramp: стабилен

Тази стъпка изчиства предишни изображения на инструмента за настройка на HDS. Ако няма предишни изображения, той връща грешка, която можете да игнорирате.

2

За да влезете в регистъра на изображения на Docker, въведете следното:

докер вход -u hdscustomersro

3

При подканата за парола въведете този хеш:

dckr_pat_aDP6V4KkrvpBwa

4

Изтеглете най-новото стабилно изображение за вашата среда:

В нормални среди:

докер издърпване ciscocitg/hds-setup: стабилен

В среди на FedRAMP:

докер издърпване ciscocitg/hds-setup-fedramp: стабилен

5

Когато изтеглянето приключи, въведете подходящата команда за вашата среда:

В нормални среди без прокси:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

В нормални среди с HTTP прокси:

изпълнение на докера -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

В редовни среди с HTTPS прокси:

изпълнение на докера -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

В среди на FedRAMP без прокси:

докер изпълнение -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:стабилен

В среди на FedRAMP с HTTP прокси:

изпълнение на докера -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

В среди на FedRAMP с HTTPS прокси:

изпълнение на докера -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Когато контейнерът работи, виждате „Експресен сървър слуша на порт 8080“.

6

Инструментът за настройка не поддържа свързване с localhost чрез http://localhost:8080. Използвайте http://127.0.0.1:8080 , за да се свържете с localhost.

Използвайте уеб браузър, за да отидете в локалния организатор, http://127.0.0.1:8080 и въведете потребителското име на администратора на клиента за Control Hub в подканата.

Инструментът използва този първи запис на потребителското име, за да зададе правилната среда за този акаунт. След това инструментът показва стандартната подкана за влизане.

7

Когато бъдете подканени, въведете идентификационните си данни за вход на администратор на клиенти в Control Hub и след това щракнете върху Влизане , за да позволите достъп до необходимите услуги за хибридна защита на данни.

8

На страницата „Преглед на инструмента за настройка“ щракнете върху Първи стъпки.

9

На страницата Импортиране на ISO имате следните опции:

Не– Ако създавате първия си HDS възел, нямате ISO файл за качване.
Да – Ако вече сте създали HDS възли, тогава изберете своя ISO файл в прегледа и го качете.

10

Проверете дали вашият сертификат X.509 отговаря на изискванията в X.509 Изисквания за сертификат.

Ако никога не сте качили сертификат преди, качете сертификата X.509, въведете паролата и щракнете върху Продължи.
Ако сертификатът ви е ОК, щракнете върху Продължи.
Ако сертификатът ви е изтекъл или искате да го замените, изберете Не за Продължаване на използването на веригата за сертификати на HDS и частния ключ от предишния ISO?. Качете нов сертификат X.509, въведете паролата и щракнете върху Продължи.

11

Въведете адреса на базата данни и акаунта за HDS, за да получите достъп до ключовия си datastore:

Изберете вашия тип база данни (PostgreSQL или Microsoft SQL Server).

Ако изберете Microsoft SQL Server, получавате поле за тип удостоверяване.
(Само за Microsoft SQL Server ) Изберете вашия тип удостоверяване:
- Базово удостоверяване: Необходимо е име на локален акаунт за SQL Server в полето Потребителско име .
- Удостоверяване на Windows: Имате нужда от акаунт за Windows във формат username@DOMAIN в полето Потребителско име .
Въведете адреса на сървъра с база данни във формуляра : или :.

Пример:
dbhost.example.org:1433 или 198.51.100.17:1433

Можете да използвате IP адрес за базово удостоверяване, ако възлите не могат да използват DNS за решаване на името на хоста.

Ако използвате удостоверяване на Windows, трябва да въведете напълно квалифицирано име на домейн във формат dbhost.example.org:1433
Въведете името на базата данни.
Въведете Потребителско име и Парола на потребител с всички привилегии в базата данни за съхранение на ключа.

12

Изберете режим на свързване с база данни TLS:

Режим	Описание
Предпочитане на TLS (опция по подразбиране)	HDS възлите не изискват TLS да се свърже със сървъра на базата данни. Ако разрешите TLS на сървъра с база данни, възлите правят опит за шифрована връзка.
Изисквайте TLS	HDS възли се свързват само ако сървърът на базата данни може да договори TLS.
Изисквайте TLS и проверете подписвача на сертификати	Този режим не е приложим за бази данни на SQL Server. HDS възли се свързват само ако сървърът на базата данни може да договори TLS. След установяването на TLS връзка възелът сравнява подписващия на сертификата от сървъра на базата данни с органа за сертифициране в корневи сертификат в базата данни. Ако не съвпадат, възелът изпуска връзката. Използвайте контролата за главен сертификат на базата данни под падащото, за да качите главния сертификат за тази опция.
Изисквайте TLS и проверете подписалия сертификат и хостовото име	HDS възли се свързват само ако сървърът на базата данни може да договори TLS. След установяването на TLS връзка възелът сравнява подписващия на сертификата от сървъра на базата данни с органа за сертифициране в корневи сертификат в базата данни. Ако не съвпадат, възелът изпуска връзката. Възлите също така проверяват дали името на хоста в сертификата на сървъра съвпада с името на хоста в полето Хост и порт в базата данни . Имената трябва да съвпадат точно или възелът пуска връзката. Използвайте контролата за главен сертификат на базата данни под падащото, за да качите главния сертификат за тази опция.

Когато качите корневи сертификат (ако е необходимо) и щракнете върху Продължи, инструментът за настройка на хибридна защита на данни тества TLS връзката към сървъра с база данни. Инструментът също така проверява подписалите сертификата и hostname, ако е приложимо. Ако даден тест е неуспешен, инструментът показва съобщение за грешка, описващо проблема. Можете да изберете дали да игнорирате грешката и да продължите с настройката. (Поради разликите в свързването възлите на HDS може да са в състояние да установят TLS връзката, дори ако машината с инструмента за настройка на HDS не може да я тества успешно.)

13

На страницата „Системни регистрационни файлове“ конфигурирайте сървъра си за Syslogd:

Въведете URL адреса на сървъра syslog.

Ако сървърът не може да се разрешава чрез DNS от възлите за вашия HDS клъстер, използвайте IP адрес в URL.

Пример:
udp://10.92.43.23:514 показва влизане в хоста Syslogd 10.92.43.23 на UDP порт 514.
Ако настроите сървъра си да използва TLS шифроване, отметнете Конфигуриран ли е вашият сървър syslog за SSL шифроване?.

Ако отметнете това квадратче, трябва да въведете URL адрес на TCP, като например tcp://10.92.43.23:514.
От падащия списък Избор на прекратяване на запис в syslog изберете подходящата настройка за вашия ISO файл: Избор или нов ред се използва за Graylog и Rsyslog TCP
- Нулев байт -- \x00
- Нов ред – \n – Изберете този избор за Graylog и Rsyslog TCP.
Щракнете върху Продължаване.

14

(По избор) Можете да промените стойността по подразбиране за някои параметри на връзката с база данни в Разширени настройки. По принцип този параметър е единственият, който може да искате да промените:

app_datasource_connection_pool_maxРазмер: 10

15

Щракнете върху Продължи на екрана Нулиране на паролата за акаунти за услуги .

Паролите за акаунта за услугата имат деветмесечен живот. Използвайте този екран, когато паролите ви наближават изтичане или искате да ги нулирате, за да invalidate previous ISO files.

16

Щракнете върху Изтегляне на ISO файл. Запишете файла на лесно за намиране място.

17

Направете резервно копие на ISO файла в локалната си система.

Поддържайте архивното копие защитено. Този файл съдържа главен ключ за шифроване за съдържанието на базата с данни. Ограничете достъпа само до онези администратори на хибридна защита на данни, които трябва да направят промени в конфигурацията.

18

За да затворите инструмента за настройка, напишете CTRL+C.

Какво да направите след това

Архивиране на конфигурационния ISO файл. Необходимо е, за да създадете повече възли за възстановяване или да направите промени в конфигурацията. Ако загубите всички копия на ISO файла, ще загубите и главния ключ. Възстановяването на ключовете от вашата база данни PostgreSQL или Microsoft SQL Server не е възможно.

Никога не разполагаме с копие на този ключ и не можем да ви помогнем, ако го изгубите.

Инсталиране на HDS Host OVA

Използвайте тази процедура, за да създадете виртуална машина от OVA файла.

1	Използвайте клиента VMware vSphere на вашия компютър, за да влезете във виртуалния хост на ESXi.
2	Изберете Файл > Разполагане на OVF шаблон.
3	В съветника укажете местоположението на OVA файла, който сте изтеглили по-рано, след което щракнете върху Напред.
4	На страницата Избор на име и папка въведете име на виртуална машина за възела (например "HDS_Node_1"), изберете местоположение, където може да се намира разполагането на възела на виртуалната машина, след което щракнете върху Напред.
5	На страницата Избор на изчислителен ресурс изберете целевия изчислителен ресурс и след това щракнете върху Напред. Извършва се проверка за валидиране. След като завърши, се показват подробностите за шаблона.
6	Проверете подробностите за шаблона и след това щракнете върху Напред.
7	Ако от вас бъде поискано да изберете конфигурацията на ресурсите на страницата Конфигурация , щракнете върху 4 процесора и след това щракнете върху Напред.
8	На страницата Избор на място за съхранение щракнете върху Напред , за да приемете формата на диска по подразбиране и правилата за съхранение на VM.
9	На страницата Избор на мрежи изберете опцията за мрежа от списъка със записи, за да осигурите желаната свързаност към VM.
10	На страницата Персонализиране на шаблон конфигурирайте следните мрежови настройки: Име на хост – въведете FQDN (име на хост и домейн) или една дума име на хост за възела. Не е необходимо да задавате домейна да съвпада с домейна, който сте използвали, за да получите сертификата X.509. За да гарантирате успешна регистрация в облака, използвайте само малки знаци във FQDN или името на хоста, които сте задали за възела. Капитализацията не се поддържа в този момент. Общата дължина на FQDN не трябва да надвишава 64 знака. IP адрес – Въведете IP адреса за вътрешния интерфейс на възела. Възелът трябва да има вътрешен IP адрес и DNS име. DHCP не се поддържа. Маска – Въведете адреса на маската на подмрежата с точка и запетая. Например 255.255.255.0. Шлюз – въведете IP адреса на шлюза. Шлюза е мрежов възел, който служи като точка за достъп до друга мрежа. DNS сървъри – Въведете списък с DNS сървъри, разделени със запетая, които обработват преобразуването на имената на домейни в цифрови IP адреси. (Разрешени са до 4 DNS записа.) NTP сървъри – Въведете NTP сървъра на вашата организация или друг външен NTP сървър, който може да се използва във вашата организация. NTP сървърите по подразбиране може да не работят за всички предприятия. Можете също да използвате списък, разделен със запетая, за да въведете няколко NTP сървъра. Разположете всички възли в една и съща подмрежа или VLAN, така че всички възли в клъстера да са достъпни от клиентите във вашата мрежа за административни цели. Ако предпочитате, можете да пропуснете конфигурацията на мрежовите настройки и да следвате стъпките в Настройване на VM на хибридна защита на данни , за да конфигурирате настройките от конзолата за възли. Опцията за конфигуриране на мрежовите настройки по време на разполагането на OVA е тествана с ESXi 7.0. Опцията може да не е налична в по-ранни версии.
11	Щракнете с десния бутон върху възела VM и след това изберете Захранване > Включване. Софтуерът за хибридна защита на данни е инсталиран като гост на VM Host. Вече сте готови да влезете в конзолата и да конфигурирате възела. Съвети за отстраняване на неизправности Може да усетите забавяне от няколко минути, преди контейнерите с възли да се появят. На конзолата се появява съобщение за защитна стена на мост по време на първото зареждане, по време на което не можете да влезете.

Настройване на VM на хибридна защита на данни

Използвайте тази процедура, за да влезете за първи път в конзолата на възела на хибридна защита на данни и да зададете данните за вход. Можете също да използвате конзолата, за да конфигурирате мрежовите настройки за възела, ако не сте ги конфигурирали по време на разполагането на OVA.

1	В клиента на VMware vSphere изберете своя възел на хибридна защита на данни VM и изберете раздела Конзола . VM се зарежда и се появява подкана за влизане. Ако подканата за влизане не се покаже, натиснете Enter.
2	Използвайте следните данни за влизане и парола по подразбиране, за да влезете и да промените идентификационните данни: Влизане: `администратор` Парола: `cisco` Тъй като влизате във вашия VM за първи път, трябва да промените паролата на администратора.
3	Ако вече сте конфигурирали мрежовите настройки в Инсталиране на HDS Host OVA, пропуснете останалата част от тази процедура. В противен случай в главното меню изберете опцията Редактиране на конфигурацията .
4	Настройте статична конфигурация с IP адрес, маска, шлюз и DNS информация. Възелът трябва да има вътрешен IP адрес и DNS име. DHCP не се поддържа.
5	(По избор) Променете името на хоста, домейна или NTP сървъра(ите), ако е необходимо, за да съответстват на мрежовите ви правила. Не е необходимо да задавате домейна да съвпада с домейна, който сте използвали, за да получите сертификата X.509.
6	Запишете мрежовата конфигурация и рестартирайте VM, за да влязат в сила промените.

Качване и монтиране на конфигурация ISO на HDS

Използвайте тази процедура, за да конфигурирате виртуалната машина от ISO файла, който сте създали с инструмента за настройка на HDS.

Преди да започнете

Тъй като ISO файлът съдържа главния ключ, той трябва да бъде изложен само на база „трябва да знаете“, за достъп от VM на хибридна защита на данни и всички администратори, които може да се наложи да направят промени. Уверете се, че само тези администратори имат достъп до datastore.

1

Качете ISO файла от компютъра си:

В левия навигационен екран на клиента VMware vSphere щракнете върху сървъра ESXi.
В списъка с хардуери на раздела за конфигуриране щракнете върху Място за съхранение.
В списъка Datastores щракнете с десния бутон върху datastore за вашите VMs и щракнете върху Преглед на Datastore.
Щракнете върху иконата Качване на файлове и след това щракнете върху Качване на файл.
Намерете местоположението, където сте изтеглили ISO файла на компютъра си, и щракнете върху Отвори.
Щракнете върху Да , за да приемете предупреждението за операцията за качване/изтегляне, и затворете диалоговия прозорец за данни.

2

Монтиране на ISO файла:

В левия панел за навигация на клиента VMware vSphere щракнете с десния бутон върху виртуалната машина и щракнете върху Редактиране на настройките.
Щракнете върху OK , за да приемете предупреждението за ограничени опции за редактиране.
Щракнете върху CD/DVD диск 1, изберете опцията за монтаж от ISO файл datastore и намерете местоположението, където сте качили конфигурационния ISO файл.
Отметнете Свързан и Свързване при включване.
Запишете промените си и рестартирайте виртуалната машина.

Какво да направите след това

Ако правилата за ИТ изискват, можете по избор да демонтирате ISO файла, след като всички ваши възли поемат промените в конфигурацията. Вижте (По избор) Демонтиране на ISO след конфигуриране на HDS за подробности.

Конфигуриране на HDS възел за интегриране на прокси сървър

Ако мрежовата среда изисква прокси, използвайте тази процедура, за да укажете вида на прокси, който искате да интегрирате с Hybrid Data Security. Ако изберете прозрачен проверяващ прокси или HTTPS изричен прокси, можете да използвате интерфейса на възела, за да качите и инсталирате главния сертификат. Можете също да проверите прокси връзката от интерфейса и да отстраните всички потенциални проблеми.

Преди да започнете

Вижте Поддръжка на прокси за общ преглед на поддържаните опции за прокси.
Изисквания към прокси сървъра

1	Въведете URL адреса за настройка на HDS възел `https://[HDS Възел IP или FQDN]/настройка` в уеб браузър, въведете администраторски идентификационни данни, които сте настроили за възела и след това щракнете върху Вход.
2	Отидете на Хранилище на доверие & Прокси , след което изберетеопция: Няма прокси сървър – опцията по подразбиране, преди да интегрирате прокси сървър. Не се изисква актуализация на сертификата. Прозрачен прокси сървър без проверка – възлите не са конфигурирани да използват определен адрес на прокси сървъра и не трябва да изискват промени, за да работят с прокси сървър без проверка. Не се изисква актуализация на сертификата. Прокси сървър за прозрачна проверка – възлите не са конфигурирани да използват определен адрес на прокси сървъра. Не httpS конфигурация промени са необходими в разполагането на защитата на хибридни данни, обаче HDS възли се нуждаят от главен сертификат, така че те се доверяват на прокси. Проверяващите пълномощници обикновено се използват от It за прилагане на политики, на които могат да бъдат посетени уебсайтовете и кои видове съдържание не са разрешени. Този тип прокси дешифрира целия ви трафик (дори HTTPS). Изричен прокси сървър – С изричния прокси сървър казвате на клиента (HDS възли) кой прокси сървър да използва, и тази опция поддържа няколко типа удостоверяване. След като изберете тази опция, трябва да въведете следната информация: Прокси IP/FQDN – адрес, който може да се използва за свързване с прокси машината. Прокси порт – номер на порт, който прокси сървърът използва за слушане за прокси трафик. Прокси протокол – изберете http (преглежда и управлява всички заявки, които се получават от клиента) или https (осигурява канал към сървъра и клиентът получава и валидира сертификата на сървъра). Изберете опция въз основа на това, което поддържа вашият прокси сървър. Тип удостоверяване – изберете измежду следните типове удостоверяване: Няма – Не се изисква допълнително удостоверяване. Налична за HTTP или HTTPS проксита. Основни—Използва се за HTTP потребителски агент, за да предостави потребителско име и парола при подаване на заявка. Използва Base64 кодиране. Налична за HTTP или HTTPS проксита. Ако изберете тази опция, трябва да въведете и потребителското име и паролата. Обобщаване – използва се за потвърждаване на акаунта, преди да се изпрати чувствителна информация. Прилага хеш функция на потребителското име и паролата преди изпращане по мрежата. Предлага се само за HTTPS проксита. Ако изберете тази опция, трябва да въведете и потребителското име и паролата. Изпълнете следващите стъпки за прозрачен проверяващ прокси, HTTP изрично прокси с базово удостоверяване или HTTPS изрично прокси.
3	Щракнете върху Качване на главен сертификат или Сертификат за краен обект и след това навигирайте до изберете главния сертификат запрокси. Сертификатът се качва, но все още не е инсталиран, защото трябва да рестартирате възела, за да инсталирате сертификата. Щракнете върху стрелката chevron по името на издателя на сертификата, за да получите повече подробности или щракнете върху Изтрий, ако сте направили грешка и искате да качите повторно файла.
4	Щракнете върху Проверка на прокси връзката, за да тествате мрежовата свързаност между възела и прокси. Ако тестът за връзка е неуспешен, ще видите съобщение за грешка, което показва причината и как можете да коригирате проблема. Ако видите съобщение, което казва, че външната DNS разделителна способност не е била успешна, възелът не е успял да достигне DNS сървъра. Това условие се очаква в много изрични прокси конфигурации. Можете да продължите с настройката и възелът ще функционира в режим на блокирано външно DNS разрешаване. Ако мислите, че това е грешка, изпълнете тези стъпки и след това вижте Изключване на режима на блокирано външно разрешаване на DNS.
5	След като тестът за връзка премине, за изрично прокси настроен само на https, включете превключването към Маршрут всички порт 443/444 https заявки от този възел през изрично прокси. Тази настройка изисква 15 секунди, за да влязат в сила.
6	Щракнете върху Инсталиране на всички сертификати в хранилището на гаранти (появява се за HTTPS изрично прокси или прозрачен проверяващ прокси) или Рестартиране (появява се за HTTP изрично прокси), прочетете подканата и след това щракнете върху Инсталиране, ако сте готови. Възелът се рестартира в рамките на няколко минути.
7	След рестартирането на възела влезте отново, ако е необходимо, след което отворете страницата Общ преглед, за да проверите проверките за свързване, за да се уверите, че всички те са в зелено състояние. Проверката на прокси връзката тества само поддомейн от webex.com. Ако има проблеми със свързването, често срещан проблем е, че някои от облачните домейни, изброени в инструкциите за инсталиране, се блокират в прокси.

Регистриране на първия възел в клъстера

Тази задача взема генеричния възел, който сте създали в Настройване на хибридна защита на данни VM, регистрира възела с облака на Webex и го превръща във възел на хибридна защита на данни.

Когато регистрирате първия си възел, създавате клъстер, към който е разпределен възелът. Клъстерът съдържа един или повече възли, разгърнати за осигуряване на резерв.

Преди да започнете

След като започнете да регистрирате възел, трябва да го завършите в рамките на 60 минути, или трябва да започнете отначало.
Погрижете се всички блокери на изскачащите прозорци във вашия браузър да са деактивирани или да разрешите изключение за admin.webex.com.

1	Влезте в https://admin.webex.com.
2	От менюто от лявата страна на екрана изберете Услуги.
3	В раздела „Хибридни услуги“ намерете „Хибридна защита на данни“ и щракнете върху Настройка. Показва се страницата с възел на хибридна защита на данни за регистриране.
4	Изберете Да , за да посочите, че сте настроили възела и сте готови да го регистрирате, след което щракнете върху Напред.
5	В първото поле въведете име за клъстера, към който искате да разпределите вашия възел на хибридна защита на данни. Препоръчваме ви да посочите клъстер въз основа на географското местоположение на клъстера. Примери: „Сан Франциско“ или „Ню Йорк“ или „Далас“
6	Във второто поле въведете вътрешния IP адрес или напълно квалифицирано име на домейн (FQDN) на вашия възел и щракнете върху Напред. Този IP адрес или FQDN трябва да съвпада с IP адреса или името на хоста и домейна, които сте използвали в Настройване на VM на хибридна защита на данни. Появява се съобщение, което показва, че можете да регистрирате възела в Webex.
7	Щракнете върху Към възел.
8	Щракнете върху Продължи в предупредителното съобщение. След няколко секунди ще бъдете пренасочени към тестовете за свързване на възлите за услугите на Webex. Ако всички тестове са успешни, се появява страницата \„Разрешаване на достъп до възел на хибридна защита на данни\“. Там потвърждавате, че искате да дадете разрешения на вашата организация в Webex за достъп до вашия възел.
9	Отметнете квадратчето Разрешаване на достъп до вашия възел на хибридна защита на данни и след това щракнете върху Продължи. Вашият акаунт е потвърден и съобщението \„Завършване на регистрацията\“ показва, че възелът вече е регистриран в облака на Webex.
10	Щракнете върху връзката или затворете раздела, за да се върнете към страницата на хибридна защита на данни в Control Hub. На страницата Хибридна защита на данни се показва новият клъстер, съдържащ възела, който сте регистрирали. Възелът автоматично ще изтегли най-новия софтуер от облака.

Създаване и регистриране на още възли

За да добавите допълнителни възли към вашия клъстер, просто създавате допълнителни VM и монтирате същия конфигурационен ISO файл, след което регистрирайте възела. Препоръчваме ви да имате поне 3 възела.

По това време резервните VM, които сте създали в Изпълнение на изискванията за хибридна защита на данните , са хостове в режим на готовност, които се използват само в случай на възстановяване след бедствие; те до тогава не са регистрирани в системата. За подробности вижте Възстановяване след бедствие с използване на Standby Data Center.

Преди да започнете

След като започнете да регистрирате възел, трябва да го завършите в рамките на 60 минути, или трябва да започнете отначало.
Погрижете се всички блокери на изскачащите прозорци във вашия браузър да са деактивирани или да разрешите изключение за admin.webex.com.

1	Създайте нова виртуална машина от OVA, като повторите стъпките в Инсталиране на HDS Host OVA.
2	Настройте първоначалната конфигурация на новия VM, като повторите стъпките в Настройване на хибридна защита на данни VM.
3	На новия VM повторете стъпките в Качване и монтиране на ISO на конфигурацията на HDS.
4	Ако настройвате прокси сървър за разполагането си, повторете стъпките в Конфигуриране на възела на HDS за интеграция на прокси сървър , както е необходимо за новия възел.
5	Регистрирайте възела. В https://admin.webex.com изберете Услуги от менюто от лявата страна на екрана. В раздела „Хибридни услуги“ намерете картата „Хибридна защита на данни“ и щракнете върху Ресурси. Показва се страницата с ресурси за хибридна защита на данни. Щракнете върху Добавяне на ресурс. В първото поле изберете името на съществуващия си клъстер. Във второто поле въведете вътрешния IP адрес или напълно квалифицирано име на домейн (FQDN) на вашия възел и щракнете върху Напред. Появява се съобщение, което показва, че можете да регистрирате възела в облака Webex. Щракнете върху Към възел. След няколко секунди ще бъдете пренасочени към тестовете за свързване на възлите за услугите на Webex. Ако всички тестове са успешни, се появява страницата \„Разрешаване на достъп до възел на хибридна защита на данни\“. Там потвърждавате, че искате да дадете разрешения на вашата организация за достъп до вашия възел. Отметнете квадратчето Разрешаване на достъп до вашия възел на хибридна защита на данни и след това щракнете върху Продължи. Вашият акаунт е потвърден и съобщението \„Завършване на регистрацията\“ показва, че възелът вече е регистриран в облака на Webex. Щракнете върху връзката или затворете раздела, за да се върнете към страницата на хибридна защита на данни в Control Hub. Възелът ви е регистриран. Имайте предвид, че докато не започнете пробен период, вашите възли генерират аларма, която показва, че услугата ви все още не е активирана.

Какво да направите след това

Изпълнение на пробен период и преминаване към производство (следваща глава)

Изпълнение на пробен период и преминаване към производство

Пробен в производствен поток на задачи

След като настроите клъстер на хибридна защита на данни, можете да стартирате пилотен проект, да добавите потребители към него и да започнете да го използвате за тестване и проверка на внедряването си в подготовка за преминаване към производство.

Преди да започнете

В тази задача изтегляте OVA файл на вашата машина (а не на сървърите, които сте настроили като възли на хибридна защита на данни). Ще използвате този файл по-късно в процеса на инсталиране.

1	Ако е приложимо, синхронизирайте груповия обект `HdsTrialGroup` . Ако вашата организация използва синхронизиране на указатели за потребители, трябва да изберете групов обект `HdsTrialGroup` за синхронизиране с облака, преди да можете да започнете пробен период. За инструкции вижте Ръководство за разполагане на Cisco Directory Connector.
2	Активиране на пробен период Започнете пробен период. Докато не изпълните тази задача, вашите възли генерират аларма, която показва, че услугата все още не е активирана.
3	Тестване на вашето разполагане на хибридна защита на данни Проверете дали ключови заявки преминават към вашето разполагане на хибридна защита на данни.
4	Наблюдение на изправността на хибридна защита на данни Проверете статуса и настройте известия по имейл за алармите.
5	Добавяне или премахване на потребители от вашия пробен период
6	Завършете пробната фаза с едно от следните действия: Преминаване от изпробване към производство Прекратете пробния си период, без да се премествате в производство

Активиране на пробен период

Преди да започнете

Ако вашата организация използва синхронизиране на указатели за потребители, трябва да изберете групов обект HdsTrialGroup за синхронизиране с облака, преди да можете да започнете пробен период за вашата организация. За инструкции вижте Ръководство за разполагане на Cisco Directory Connector.

1	Влезте в https://admin.webex.comи изберете Услуги.
2	Под Хибридна защита на данни щракнете върху Настройки.
3	В раздела „Статус на услугата“ щракнете върху Започване на пробен период. Статусът на услугата се променя на пробен режим.
4	Щракнете върху Добавяне на потребители и въведете имейл адреса на един или повече потребители, за да пилотирате използването на вашите възли на хибридна защита на данни за услуги за шифроване и индексиране. (Ако вашата организация използва синхронизиране на указатели, използвайте Active Directory, за да управлявате пробната група, `HdsTrialGroup`.)

Тестване на вашето разполагане на хибридна защита на данни

Използвайте тази процедура, за да тествате сценариите за шифроване на хибридна защита на данни.

Преди да започнете

Настройте своето разполагане на хибридна защита на данни.
Активирайте пробния период и добавете няколко пробни потребители.
Уверете се, че имате достъп до syslog, за да потвърдите, че ключовите заявки се подават към вашето разполагане на хибридна защита на данни.

1

Бутоните за дадено място се задават от създателя на мястото. Влезте в приложението Webex като един от пилотните потребители и след това създайте място и поканете поне един пилотен потребител и един непилотен потребител.

Ако деактивирате разполагането на хибридна защита на данни, съдържанието в местата, които създават пилотни потребители, вече не е достъпно, след като бъдат заменени кешираните от клиента копия на ключовете за шифроване.

2

Изпратете съобщения до новото място.

3

Проверете изхода на syslog, за да потвърдите, че ключовите заявки се прехвърлят към вашето разполагане на хибридна защита на данни.

За да проверите за потребител, който първо създава защитен канал към KMS, филтрирайте на kms.data.method=create и kms.data.type=EPHEMERAL_KEY_COLLECTION:

Трябва да намерите запис като следния (идентификатори, съкратени за четливост):

2020-07-21 17:35:34.562 (+0000) ИНФОРМАЦИЯ KMS [pool-14-thread-1] - [KMS:ЗАЯВКА] получена, deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms: //hds2.org5.portun.us/statickeys/3[~]0 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2

За да проверите за потребител, който иска съществуващ ключ от KMS, филтрирайте на kms.data.method=retrieve и kms.data.type=KEY:

Трябва да намерите запис, като:

2020-07-21 17:44:19.889 (+0000) ИНФОРМАЦИЯ KMS [pool-14-thread-31] - [KMS:ЗАЯВКА] е получена, deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms: //hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=retrieve, kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriHost=ciscospark.com, kms.data.type=KEY, kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b

За да проверите за потребител, който е поискал създаването на нов KMS ключ, филтрирайте на kms.data.method=create и kms.data.type=KEY_COLLECTION:

Трябва да намерите запис, като:

2020-07-21 17:44:21.975 (+0000) ИНФОРМАЦИЯ KMS [pool-14-thread-33] - [KMS:ЗАЯВКА] е получена, deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms: //hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b

За да проверите за потребител, който е поискал създаването на нов KMS ресурсен обект (KRO), когато се създава пространство или друг защитен ресурс, филтрирайте на kms.data.method=create и kms.data.type=RESOURCE_COLLECTION:

Трябва да намерите запис, като:

2020-07-21 17:44:22.808 (+0000) ИНФОРМАЦИЯ KMS [pool-15-thread-1] - [KMS:ЗАЯВКА] е получена, deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms: //hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

Наблюдение на изправността на хибридна защита на данни

Индикатор за състоянието в Control Hub ви показва дали всичко е наред с разполагането на хибридна защита на данни. За по-активно предупреждаване се запишете за известия по имейл. Ще бъдете уведомени, когато има аларми, засягащи услугата, или надстройки на софтуера.

1	В Control Hub изберете Услуги от менюто от лявата страна на екрана.
2	В раздела „Хибридни услуги“ намерете „Хибридна защита на данни“ и щракнете върху Настройки. Показва се страницата с настройки за хибридна защита на данни.
3	В раздела \„Имейл известия\“ въведете един или повече имейл адреси, разделени със запетаи, и натиснете Enter.

Добавяне или премахване на потребители от вашия пробен период

След като активирате пробен период и добавите първоначалния набор от пробни потребители, можете да добавяте или премахвате членове на пробния период по всяко време, докато пробната версия е активна.

Ако премахнете потребител от пробния период, клиентът на потребителя ще поиска ключове и създаване на ключове от облака KMS вместо вашия KMS. Ако клиентът се нуждае от ключ, който се съхранява във вашия KMS, KMS в облака ще го извлече от името на потребителя.

Ако вашата организация използва синхронизиране на указатели, използвайте Active Directory (вместо тази процедура), за да управлявате пробната група HdsTrialGroup; можете да видите членовете на групата в Control Hub, но не можете да ги добавяте или премахвате.

1	Влезте в Control Hub, след което изберете Услуги.
2	Под Хибридна защита на данни щракнете върху Настройки.
3	В раздела „Пробен режим“ на областта „Статус на услугата“ щракнете върху Добавяне на потребители или щракнете върху Преглед и редактиране , за да премахнете потребители от пробния период.
4	Въведете имейл адреса на един или повече потребители за добавяне, или щракнете върху X от ИД на потребител, за да премахнете потребителя от пробния период. След това щракнете върху Запиши.

Преминаване от изпробване към производство

Когато сте доволни, че разполагането ви работи добре за пробните потребители, можете да преминете към производство. Когато преминете към производство, всички потребители в организацията ще използват вашия локален домейн за хибридна защита на данни за ключове за шифроване и други услуги от областта на защитата. Не можете да се върнете към пробен режим от производство, освен ако не деактивирате услугата като част от възстановяването след бедствие. Повторното активиране на услугата изисква да настроите нова пробна версия.

1	Влезте в Control Hub, след което изберете Услуги.
2	Под Хибридна защита на данни щракнете върху Настройки.
3	В секцията „Статус на услугата“ щракнете върху Преместване в производство.
4	Потвърдете, че искате да преместите всички ваши потребители в производство.

Прекратете пробния си период, без да се премествате в производство

Ако по време на пробния си период решите да не продължите с разполагането на хибридна защита на данни, можете да деактивирате хибридната защита на данни, която приключва пробния период и премества пробните потребители обратно към услугите за защита на данни в облака. Потребителите на пробния период ще загубят достъп до данните, които са шифровани по време на пробния период.

1	Влезте в Control Hub, след което изберете Услуги.
2	Под Хибридна защита на данни щракнете върху Настройки.
3	В раздела Деактивиране щракнете върху Деактивиране.
4	Потвърдете, че искате да деактивирате услугата и да прекратите пробния период.

Управление на вашето разполагане на HDS

Управление на разполагането на HDS

Използвайте описаните тук задачи, за да управлявате своето разполагане на хибридна защита на данни.

Задаване на график за надстройване на клъстери

Надстройките на софтуера за хибридна защита на данни се извършват автоматично на ниво клъстер, което гарантира, че всички възли винаги изпълняват една и съща софтуерна версия. Надстройванията се извършват съгласно графика за надстройване за клъстера. Когато е налична надстройка на софтуера, имате възможност ръчно да надстроите клъстера преди планираното време за надстройване. Можете да зададете конкретен график за надстройване или да използвате графика по подразбиране от 3:00 ч. дневно в Съединените щати: Америка/Лос Анджелис. Можете също да изберете да отложите предстоящото надстройване, ако е необходимо.

За да зададете графика за надстройване:

1	Влезте в Control Hub.
2	На страницата за общ преглед под хибридни услуги изберете Хибридна защита на данните.
3	На страницата с ресурси за хибридна защита на данни изберете клъстера.
4	В панела „Общ преглед“ вдясно, под „Настройки на клъстера“ изберете името на клъстера.
5	На страницата „Настройки“ под „Надстройване“ изберете часа и часовата зона за графика за надстройване. Забележка: Под часовата зона се показват следващата налична дата и час на надстройване. Можете да отложите надстройването до следващия ден, ако е необходимо, като щракнете върху Отложи.

Промяна на конфигурацията на възела

От време на време може да се наложи да промените конфигурацията на вашия възел за защита на хибридни данни поради причина като:

Промяна на x.509 сертификати поради изтичане или други причини.

Не поддържаме промяна на CN името на домейн на сертификат. Домейнът трябва да съответства на оригиналния домейн, използван за регистриране на клъстера.
Актуализиране на настройките на базата данни за промяна на реплика на базата данни PostgreSQL или Microsoft SQL Server.

Не поддържаме мигриране на данни от PostgreSQL към Microsoft SQL Server или обратното. За да превключите средата на базата данни, започнете ново внедряване на Hybrid Data Security.
Създаване на нова конфигурация за подготовка на нов център за данни.

Също така, за целите на защитата, Hybrid Data Security използва пароли за сервизен акаунт, които имат деветмесечен живот. След като инструментът за настройка на HDS генерира тези пароли, ги разполагате на всеки от вашите HDS възли във файла ISO config. Когато паролите на вашата организация са към изтичане, получавате известие от екипа на Webex за нулиране на паролата за вашия машинен акаунт. (Имейлът включва текста „Използвайте API на машинния акаунт, за да актуализирате паролата.“) Ако вашите пароли все още не са изтекли, инструментът ви дава две опции:

Софтуерно нулиране – И двете стари и нови пароли работят до 10 дни. Използвайте този период, за да замените постепенно ISO файла на възлите.
Твърдо нулиране – Старите пароли спират да работят незабавно.

Ако вашите пароли изтекат без нулиране, това се отразява на вашата HDS услуга, изисквайки незабавно хардуерно нулиране и подмяна на ISO файла на всички възли.

Използвайте тази процедура, за да генерирате нов конфигурационен ISO файл и да го приложите към вашия клъстер.

Преди да започнете

Инструментът за настройка на HDS работи като Docker контейнер на локална машина. За достъп до него стартирайте Docker на тази машина. Процесът на настройка изисква идентификационните данни на акаунт в контролния център с пълни права на администратор за вашата организация.

Ако инструментът за настройка на HDS се изпълнява зад прокси сървър във вашата среда, осигурете настройките на прокси сървъра (сървър, порт, идентификационни данни) чрез променливите на средата за закачване на контейнера за закачване в 1.e. Тази таблица дава някои възможни променливи на средата:

Описание	Променлива
HTTP прокси без удостоверяване	`ГЛОБАЛЕН_АГЕНТ_HTTP_ПРОКСИ=http://СЪРВЪР_IP:PORT`
HTTPS прокси без удостоверяване	`ГЛОБАЛЕН_АГЕНТ_HTTPS_ПРОКСИ=http://СЪРВЪР_IP:PORT`
HTTP прокси с удостоверяване	`GLOBAL_AGENT_HTTP_PROXY=HTTP://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS прокси с удостоверяване	`ГЛОБАЛЕН_АГЕНТ_HTTPS_PROXY=HTTP://USERNAME:PASSWORD@SERVER_IP:PORT`

Имате нужда от копие на текущия конфигурационен ISO файл, за да генерирате нова конфигурация. ISO съдържа главния ключ, криптиращ базата данни на PostgreSQL или Microsoft SQL Server. Имате нужда от ISO, когато правите промени в конфигурацията, включително идентификационни данни на база данни, актуализации на сертификати или промени в правилата за оторизация.

1	Използвайки Docker на локална машина, стартирайте HDS Setup Tool. В командния ред на вашата машина въведете подходящата команда за вашата среда: В нормални среди: `докер rmi ciscocitg/hds-setup: стабилен` В среди на FedRAMP: `докер rmi ciscocitg/hds-setup-fedramp: стабилен` Тази стъпка изчиства предишни изображения на инструмента за настройка на HDS. Ако няма предишни изображения, той връща грешка, която можете да игнорирате. За да влезете в регистъра на изображения на Docker, въведете следното: `докер вход -u hdscustomersro` При подканата за парола въведете този хеш: `dckr_pat_aDP6V4KkrvpBwa` Изтеглете най-новото стабилно изображение за вашата среда: В нормални среди: `докер издърпване ciscocitg/hds-setup: стабилен` В среди на FedRAMP: `докер издърпване ciscocitg/hds-setup-fedramp: стабилен` Уверете се, че сте изтеглили най-новия инструмент за настройка за тази процедура. Версиите на инструмента, създадени преди 22 февруари 2018 г., нямат екрани за нулиране на парола. Когато изтеглянето приключи, въведете подходящата команда за вашата среда: В нормални среди без прокси: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` В нормални среди с HTTP прокси: `изпълнение на докера -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` В нормални среди с HTTPSпрокси: `изпълнение на докера -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` В среди на FedRAMP без прокси: `докер изпълнение -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:стабилен` В среди на FedRAMP с HTTP прокси: `изпълнение на докера -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` В среди на FedRAMP с HTTPS прокси: `изпълнение на докера -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Когато контейнерът работи, виждате "Express сървър слушане на порт 8080." Използвайте браузър, за да се свържете с localhost, `http://127.0.0.1:8080`. Инструментът за настройка не поддържа свързване с localhost чрез http://localhost:8080. Използвайте http://127.0.0.1:8080 , за да се свържете с localhost. Когато получите подкана, въведете идентификационните си данни за влизане за клиент в Control Hub и след това щракнете върху Приемане , за да продължите. Импортирайте текущия конфигурационен ISO файл. Следвайте подканите, за да завършите инструмента и да изтеглите актуализирания файл. За да затворите инструмента за настройка, напишете `CTRL+C`. Създайте резервно копие на актуализирания файл в друг център за данни.
2	Ако имате работещ само един HDS възел, създайте нов VM възел на хибридна защита на данни и го регистрирайте, като използвате новия конфигурационен ISO файл. За по-подробни инструкции вижте Създаване и регистриране на още възли. Инсталирайте HDS хост OVA. Настройте HDS VM. Монтирайте актуализирания конфигурационен файл. Регистрирайте новия възел в контролния център.
3	За съществуващи HDS възли, които изпълняват по-стария конфигурационен файл, монтирайте ISO файла. Изпълнете следната процедура на всеки възел на свой ред, като актуализирате всеки възел, преди да изключите следващия възел: Изключете виртуалната машина. В левия панел за навигация на клиента VMware vSphere щракнете с десния бутон върху виртуалната машина и щракнете върху Редактиране на настройките. Щракнете върху `CD / DVD диск 1 , изберете опцията за монтиране от ISO файл и`прегледайте местоположението, където сте изтеглили новия конфигурационен ISO файл. Поставете отметка на Свързване при включване. Запазете промените си и включете виртуалната машина.
4	Повторете стъпка 3, за да замените конфигурацията на всеки останал възел, който изпълнява старата конфигурация.

Изключване на режим на блокирана външна DNS разделителна способност

Когато регистрирате възел или проверете конфигурацията на прокси сървъра на възела, процесът тества DNS справка и свързаност към облака Cisco Webex. Ако DNS сървърът на възела не може да разреши публични DNS имена, възелът автоматично преминава в режим на блокирана външна DNS разделителна способност.

Ако вашите възли са в състояние да разреши публични DNS имена чрез вътрешни DNS сървъри, можете да изключите този режим чрез повторно изпълнение на теста за прокси връзка на всеки възел.

Преди да започнете

Гарантирайте, че вашите вътрешни DNS сървъри могат да разрешават публични DNS имена, както и че вашите възли могат да комуникират с тях.

1	В уеб браузър отворете интерфейса на възела "Защита на хибридните данни" (IP адрес/настройка например въведете идентификационни данни за администриране, които https://192.0.2.0/setup), сте задали за възела, след което щракнете върху Влизане.
2	Отидете на Общ преглед (страницата по подразбиране). Когато е разрешено, блокирани външна DNS разделителна способност е зададена да .
3	Отидете на страницата Хранилище на доверие & Прокси.
4	Щракнете върху Проверка на прокси връзката. Ако видите съобщение, казващо, че външната DNS разделителна способност не е била успешна, възелът не е успял да достигне DNS сървъра и ще остане в този режим. В противен случай, след като рестартирате възела и да се върнете към страницата общ преглед, Блокиран външен DNS разделителна способност трябва да бъде зададено на не.

Какво да направите след това

Повторете теста за прокси връзка на всеки възел във вашия клъстер за защита на хибридни данни.

Премахване на възел

Използвайте тази процедура, за да премахнете възел на хибридна защита на данни от облака Webex. След като премахнете възела от клъстера, изтрийте виртуалната машина, за да предотвратите по-нататъшен достъп до вашите данни за защита.

1

Използвайте клиента на VMware vSphere на вашия компютър, за да влезете във виртуалния хост на ESXi и да изключите виртуалната машина.

2

Премахване на възела:

Влезте в Control Hub, след което изберете Услуги.
В картата на хибридна защита на данни щракнете върху Преглед на всички , за да покажете страницата с ресурси за хибридна защита на данни.
Изберете своя клъстер, за да се покаже неговият панел \„Общ преглед\“.
Щракнете върху Отваряне на списъка с възли.
В раздела „Възли“ изберете възела, който искате да премахнете.
Щракнете върху Действия > Дерегистриране на възел.

3

В клиента vSphere изтрийте VM. (В левия навигационен екран щракнете с десния бутон върху VM и щракнете върху Изтрий.)

Ако не изтриете VM, не забравяйте да демонтирате конфигурационния ISO файл. Без ISO файла не можете да използвате VM за достъп до вашите данни за защита.

Възстановяване след бедствие с използване на центъра за данни в режим на готовност

Най-критичната услуга, която вашият клъстер на хибридна защита на данни предоставя, е създаването и съхранението на ключове, използвани за шифроване на съобщения и друго съдържание, съхранени в облака на Webex. За всеки потребител в рамките на организацията, който е разпределен към хибридна защита на данни, заявките за създаване на нови ключове се насочват към клъстера. Клъстерът също така е отговорен за връщането на създадените ключове на всички потребители, упълномощени да ги извлекат, например членове на място за разговори.

Тъй като клъстерът изпълнява критичната функция за предоставяне на тези ключове, наложително е клъстерът да продължи да работи и да се поддържат подходящи резервни копия. Загубата на базата данни за хибридна защита на данни или на конфигурационния ISO, използван за схемата, ще доведе до НЕВЪЗСТАНОВИМА ЗАГУБА на клиентското съдържание. За предотвратяване на такава загуба са задължителни следните практики:

Ако при бедствие разполагането на HDS в основния център за данни стане недостъпно, следвайте тази процедура, за да се върнете ръчно към центъра за данни в режим на готовност.

1	Стартирайте инструмента за настройка на HDS и следвайте стъпките, споменати в Създаване на конфигурационен ISO за хостовете на HDS.
2	След конфигурирането на сървъра Syslogd щракнете върху Разширени настройки
3	На страницата Разширени настройки добавете конфигурацията по-долу или премахнете конфигурацията на `passiveMode` , за да направите възела активен. Възелът може да се справи с трафика, след като бъде конфигуриран. `пасивенРежим: невярно`
4	Завършете процеса на конфигуриране и запишете ISO файла на лесно за намиране място.
5	Направете резервно копие на ISO файла в локалната си система. Поддържайте архивното копие защитено. Този файл съдържа главен ключ за шифроване за съдържанието на базата с данни. Ограничете достъпа само до онези администратори на хибридна защита на данни, които трябва да направят промени в конфигурацията.
6	В левия навигационен екран на клиента VMware vSphere щракнете с десния бутон върху VM и щракнете върху Редактиране на настройките..
7	Щракнете върху Редактиране на настройките >CD/DVD диск 1 и изберете Datastore ISO файл. Уверете се, че са отметнати Свързани и Свързване при включване , за да могат актуализираните промени в конфигурацията да влязат в сила след стартиране на възлите.
8	Включете възела на HDS и се уверете, че няма аларми поне 15 минути.
9	Повторете процеса за всеки възел в центъра за данни в режим на готовност. Проверете изхода на syslog, за да потвърдите, че възлите на центъра за данни в режим на готовност не са в пасивен режим. „KMS, конфигурирани в пасивен режим“ не трябва да се показва в регистрационните файлове.

Какво да направите след това

След отказ, ако основният център за данни отново се активира, поставете отново центъра за данни в режим на готовност в пасивен режим, като следвате стъпките, описани в Настройка на центъра за данни в режим на готовност за възстановяване след бедствие.

(По избор) Демонтиране на ISO след конфигуриране на HDS

Стандартната конфигурация на HDS работи с монтирания ISO. Но някои клиенти предпочитат да не оставят ISO файловете постоянно монтирани. Можете да разглобите ISO файла, след като всички възли на HDS поемат новата конфигурация.

Все още използвате ISO файловете, за да направите промени в конфигурацията. Когато създавате нов ISO или актуализирате ISO чрез инструмента за настройка, трябва да монтирате актуализирания ISO на всички ваши HDS възли. След като всички ваши възли са приели промените в конфигурацията, можете да демонтирате ISO отново с тази процедура.

Преди да започнете

Надстройте всички ваши HDS възли до версия 2021.01.22.4720 или по-нова.

1	Затворете един от възлите си за HDS.
2	В уреда vCenter Server изберете възела на HDS.
3	Изберете Редактиране на настройките > CD/DVD диск и премахнете отметката от Datastore ISO файл.
4	Включете възела на HDS и се уверете, че няма аларми поне 20 минути.
5	Повторете за всеки HDS възел на смяна.

Отстраняване на неизправности в хибридна защита на данни

Преглед на предупрежденията и отстраняване на неизправности

Разполагането на хибридна защита на данни се счита за налично, ако всички възли в клъстера са недостъпни или клъстерът работи толкова бавно, че отнема време. Ако потребителите не могат да се свържат с вашия клъстер на хибридна защита на данни, те изпитват следните симптоми:

Не могат да се създават нови места (не могат да се създадат нови ключове)
Неуспешно дешифриране на съобщенията и заглавията на пространството за:
- Нови потребители, добавени към място (не могат да се извлекат ключове)
- Съществуващи потребители в място с помощта на нов клиент (не могат да се извлекат ключовете)
Съществуващите потребители в дадено място ще продължат да се изпълняват успешно, стига клиентите им да имат кеш с ключовете за шифроване

Важно е да наблюдавате правилно своя клъстер на хибридна защита на данни и да обръщате бързо към всички предупреждения, за да избегнете прекъсване на услугата.

Предупреждения

Ако има проблем с настройката на хибридна защита на данни, Control Hub показва предупреждения до администратора на организацията и изпраща имейли до конфигурирания имейл адрес. Предупрежденията обхващат много общи сценарии.

Таблица 1. Общи проблеми и стъпки за тяхното разрешаване
Предупреждение	Действие
Отказ на достъп до локална база данни.	Проверете за грешки в базата данни или проблеми с локалната мрежа.
Неуспешна връзка с локалната база данни.	Проверете дали сървърът с база данни е достъпен и дали са използвани правилните идентификационни данни за акаунта за услуга в конфигурацията на възела.
Неуспешен достъп до услугата в облака.	Проверете дали възлите имат достъп до сървърите на Webex, както е посочено в Изисквания за външна свързаност.
Подновяване на регистрацията за услуги в облака.	Регистрацията в услугите в облака беше прекъсната. Протича подновяване на регистрацията.
Регистрацията на услуги в облака е прекъсната.	Регистрирането в облачни услуги е прекратено. Услугата се затваря.
Услугата все още не е активирана.	Активирайте пробна версия или завършете преместването на пробната версия в производство.
Конфигурираният домейн не съответства на сертификата на сървъра.	Уверете се, че сертификатът на сървъра ви съответства на конфигурирания домейн за активиране на услугата. Най-вероятната причина е, че CN на сертификата наскоро е променен и сега е различен от CN, който е бил използван по време на първоначалната настройка.
Неуспешно удостоверяване в услугите в облака.	Проверете за точност и възможно изтичане на идентификационните данни за акаунта за услугата.
Неуспешно отваряне на локалния файл на клавиатурата.	Проверете за целостта и точността на паролата във файла с локалния клавиатура.
Сертификатът за локален сървър е невалиден.	Проверете датата на изтичане на сертификата на сървъра и потвърдете, че той е издаден от надежден сертифициращ орган.
Неуспешно публикуване на метриките.	Проверете достъпа до локалната мрежа до външни облачни услуги.
Директорията /media/configdrive/hds не съществува.	Проверете конфигурацията за монтаж на ISO на виртуалния хост. Проверете дали ISO файлът съществува, дали е конфигуриран да се монтира при рестартиране и дали се монтира успешно.

Отстраняване на неизправности в хибридна защита на данни

Използвайте следните общи насоки, когато отстранявате проблеми с хибридна защита на данни.

1	Прегледайте Control Hub за предупреждения и коригирайте всички елементи, които намерите там.
2	Прегледайте изхода на сървъра syslog за активност от разполагането на хибридна защита на данни.
3	Свържете се с поддръжката на Cisco.

Други бележки

Известни проблеми с хибридната защита на данните

Ако затворите своя клъстер на хибридна защита на данни (като го изтриете в Control Hub или като затворите всички възли), загубите своя ISO файл за конфигуриране или загубите достъп до базата данни на клавиатурата, вашите потребители на приложението Webex вече няма да могат да използват интервали в своя списък "Хора", създадени с ключове от вашия KMS. Това се отнася както за изпробване, така и за внедряване в производството. В момента нямаме заобиколно решение или корекция за този проблем и ви призовавам да не затваряте услугите си за HDS, след като обработват активни потребителски акаунти.
Клиент, който има съществуваща ECDH връзка към KMS, поддържа тази връзка за период от време (вероятно един час). Когато потребител стане член на изпробване на хибридна защита на данни, клиентът на потребителя продължава да използва съществуващата ECDH връзка, докато времето за изчакване изтече. Потребителят може също да излезе и да влезе отново в приложението Webex, за да актуализира местоположението, с което се свързва приложението за ключове за шифроване.

Същото поведение възниква, когато преместите изпробване в производство за организацията. Всички потребители, които не са пробни, със съществуващи ECDH връзки към предишните услуги за защита на данните ще продължат да използват тези услуги до предоговаряне на ECDH връзката (чрез изчакване или чрез излизане и обратно влизане).

Използване на OpenSSL за генериране на PKCS12 файл

Преди да започнете

OpenSSL е един инструмент, който може да се използва за създаване на PKCS12 файл в правилния формат за зареждане в инструмента за настройка на HDS. Има и други начини за това и ние не подкрепяме и не насърчаваме един път над друг.
Ако решите да използвате OpenSSL, ние предоставяме тази процедура като ръководство, за да ви помогнем да създадете файл, който отговаря на изискванията за сертификат X.509 в Изисквания за сертификат X.509. Разберете тези изисквания, преди да продължите.
Инсталирайте OpenSSL в поддържана среда. Вижте https://www.openssl.org софтуера и документацията.
Създайте частен ключ.
Започнете тази процедура, когато получите сертификата на сървъра от вашия сертифициращ орган (CA).

1	Когато получите сертификата на сървъра от вашия CA, запишете го като `hdsnode.pem`.
2	Показване на сертификата като текст и проверете подробностите. `openssl x509 -текст -noout -в hdsnode.pem`
3	Използвайте текстов редактор, за да създадете файл пакет сертификат, наречен `hdsnode-bundle.pem`. Пакетният файл трябва да включва сертификата на сървъра, всички междинни CA сертификати и корневи CA сертификати в следния формат: `-----начало на сертификат----- ### сертификат на сървър. ### -----край на сертификат--------------- начало на сертификат------ ### Междинен CA сертификат. ### -----край на сертификат--------------- начало на сертификат------ ### Корневи CA сертификат. ### -----край на сертификат-----`
4	Създайте .p12 файла с приятелското име `kms-частен-ключ`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Проверете подробностите за сертификата на сървъра. `openssl pkcs12 -в hdsnode.p12` Въведете парола при подкана да шифровате частния ключ, така че да се показва в изхода. След това се уверете, че частният ключ и първият сертификат включват линиите `friendlyName: kms-частен-ключ`. Пример: bash$ openssl pkcs12 -in hdsnode.p12 Въведете паролата за импортиране: MAC потвърди атрибути OK Bag friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Ключови атрибути: Въведете фраза за преминаване на PEM: Потвърждаване – Въведете фраза за достъп до PEM: -----BEGIN ENCRYPTED PRIVATE KEY----- -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE------ Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-----

Какво да направите след това

Върнете се, за да изпълните изискванията за хибридна защита на данни. Ще използвате файла hdsnode.p12 и паролата, която сте задали за него, в Създаване на конфигурационен ISO за организаторите на HDS.

Можете да използвате повторно тези файлове, за да поискате нов сертификат, когато първоначалният сертификат изтече.

Трафик между възлите на HDS и облака

Изходящ трафик за събиране на метрики

Възлите на хибридна защита на данни изпращат определени показатели към облака на Webex. Те включват системни метрики за heap max, използван heap, натоварване на процесора и брой нишки; метрики за синхронните и асинхронните нишки; метрики за предупрежденията, включващи праг на шифроване връзки, латентност или дължина на опашката за заявки; метрики за datastore; и метрики за връзката за шифроване. Възлите изпращат материали за шифрован ключ през нечестотен (отделен от заявката) канал.

Входящ трафик

Възлите на хибридна защита на данни получават следните типове входящ трафик от облака на Webex:

Заявки за шифроване от клиенти, които се маршрутизират от услугата за шифроване
Надстройки до софтуера за възли

Конфигуриране на прокси сървъри за хибридна защита на данните

Websocket не може да се свърже чрез сепия прокси

Прокси сървърите, които инспектират HTTPS трафика, могат да повлияят на създаването на websocket (в к:) връзки, които изискват хибридната защита на данните. Тези раздели дават насоки как да конфигурирате различни версии на Калмар, за да игнорирате wss: трафик за правилното функциониране на услугите.

Калмята 4 и 5

Добавете on_unsupported_protocol директивата към squid.conf:

on_unsupported_protocol тунел

Сепия 3.5.27

Успешно тествахме Hybrid Data Security със следните правила, добавени към squid.conf. Тези правила подлежат на промяна, тъй като разработваме функции и актуализираме webex облака.

acl wssMercuryConnection ssl::server_name_regex mercury-connection ssl_bump splice wssMercuryConnection acl step1 at_step SslBump1 acl step2 at_step SslBump2 acl step3 at_step SslBump3 ssl_bump надничане step1 всички ssl_bump stare step2 всички ssl_bump bump step3 всички

Предговор

Нова и променена информация

Дата	Направени промени
07 януари 2025 г.	Актуализирани изисквания за виртуален хост, Поток от задачи за разполагане на хибридна защита на данни, и Инсталиране на HDS Host OVA , за да се покаже ново изискване на ESXi 7.0.
20 октомври 2023 г.	Актуализирана информация в изискванията към сървъра с база данни. Добавено е Настройване на Standby Data Center за възстановяване след бедствие. Актуализирана информация в Standby Data Center за възстановяване след бедствие и Възстановяване след бедствие чрез Standby Data Center.
07 август 2023 г.	Добавена е бележка в Изтегляне на инсталационни файлове. Добавена е бележка в Създаване на конфигурация ISO за хостовете на HDS и Промяна на конфигурацията на възела.
23 май 2023 г.	Изтрита информация от изискванията към сървъра за база данни , изискваща функция, която да бъде активирана чрез свързване с екипа за акаунти. Актуализирана информация в Изисквания за външна свързаност и добавена Канада към таблицата с хостове на CI. Добавена е бележка в Очакванията за разполагане на хибридна защита на данни по отношение на липсата на механизми за преместване на ключовете обратно в облака.
06 декември 2022 г.	Изображенията на инструмента за настройка на HDS вече се хостват в хранилището `ciscocitg` dockerhub. Актуализирани са Създаване на конфигурация ISO за хостовете на HDS и Промяна на темите на конфигурация на възела , за да възстановите промените в командите.
23 ноември 2022 г.	HDS възлите вече могат да използват удостоверяване на Windows срещу Microsoft SQL Server. Актуализирана е темата за изискванията към сървъра с база данни с допълнителни изисквания за този режим на удостоверяване. Актуализиран е Създаване на конфигурационен ISO за хостовете на HDS с процедурата за конфигуриране на удостоверяване на Windows на възлите. Актуализирана е темата за изискванията към сървъра за база данни с нови минимални задължителни версии (PostgreSQL 10).
13 октомври 2021 г.	Docker Desktop трябва да стартира програма за настройка, преди да можете да инсталирате възли на HDS. Вижте Изисквания за закачане на работния плот.
юни 24, 2021	Имайте предвид, че можете да използвате повторно файла с частен ключ и CSR, за да поискате друг сертификат. Вижте Използване на OpenSSL за генериране на PKCS12 файл за подробности.
30 април 2021 г.	Променено е изискването за VM за локално място на твърдия диск на 30 GB. Вижте Изисквания за виртуален организатор за подробности.
24 февруари 2021	Инструментът за настройка на HDS вече може да се изпълнява зад прокси сървър. Вижте Създаване на конфигурация ISO за хостовете на HDS за подробности.
Февруари 2, 2021	HDS вече може да се изпълнява без монтиран ISO файл. Вижте (По избор) Демонтиране на ISO след конфигуриране на HDS за подробности.
11 януари 2021 г.	Добавена е информация за инструмента за настройка на HDS и прокси сървъри, за да се създаде конфигурационен ISO за хостовете на HDS.
13 октомври 2020 г	Изтегляне на инсталационни файлове е актуализирано.
08 октомври 2020 г.	Актуализиран е Създаване на конфигурация ISO за HDS хостовете и Промяна на конфигурацията на възела с команди за среди на FedRAMP.
14 август 2020 г	Актуализиран е Създаване на конфигурация ISO за хостовете на HDS и Промяна на конфигурацията на възела с промени в процеса на влизане.
5 август 2020 г	Актуализиран Тестване на внедряването на хибридна защита на данни за промени в съобщенията в регистрационните файлове. Актуализирани са изискванията за виртуален организатор , за да се премахне максималният брой организатори.
16 юни 2020 г	Актуализиран е Премахване на възел за промени в потребителския интерфейс на Control Hub.
4 юни 2020 г	Актуализиран е Създаване на конфигурационен ISO за хостовете на HDS за промени в разширените настройки, които може да зададете.
29 май 2020 г	Актуализиран е Създаване на конфигурационен ISO за хостовете на HDS , за да се покаже, че можете да използвате и TLS с бази данни на SQL Server, промени на потребителския интерфейс и други пояснения.
5 май 2020 г	Актуализирани са изискванията за виртуален хост, за да се покаже новото изискване на ESXi 6.5.
21 април 2020 г.	Актуализирани са Изисквания за външна свързаност с нови организатори на CI в Americas.
1 април 2020 г.	Актуализирани са Изисквания за външна свързаност с информация за регионалните организатори на CI.
20 февруари 2020 г	Актуализиран е Създаване на конфигурационен ISO за хостовете на HDS с информация за нов екран с незадължителни разширени настройки в инструмента за настройка на HDS.
14 февруари 2019 г.	Актуализирани са изискванията за прокси сървъра.
16 декември 2019 г.	Поясни изискването за режим на блокирано външно разрешаване на DNS, за да работи в Изисквания към прокси сървъра.
19 ноември 2019	Добавена е информация за режима на блокирано външно DNS разрешаване в следните раздели: Поддръжка на прокси Конфигуриране на HDS възел за интегриране на прокси сървър Изключване на режим на блокирана външна DNS разделителна способност
8 ноември 2019 г	Вече можете да конфигурирате мрежови настройки за даден възел, докато разполагате с OVA, а не след това. Следните раздели са съответно актуализирани: Поток на задачи за разполагане на хибридна защита на данни Инсталиране на HDS Host OVA Настройване на VM на хибридна защита на данни Опцията за конфигуриране на мрежовите настройки по време на разполагането на OVA е тествана с ESXi 6.5. Опцията може да не е налична в по-ранни версии.
6 септември 2019 г	Добавен е SQL Server Standard към изискванията за сървъра за база данни.
Август 29, 2019	Добавено е приложение Конфигуриране на прокси сървъри за хибридна защита на данни с насоки за конфигуриране на прокси сървъри за игнориране на трафика на уеб сокети за правилна работа.
Август 20, 2019	Добавени и актуализирани раздели, за да обхванат поддръжката на прокси сървър за комуникации с възела на хибридна защита на данни към облака на Webex. Поддръжка на прокси Изисквания към прокси сървъра Конфигуриране на HDS възел за интегриране на прокси сървър За достъп само до съдържанието на прокси поддръжката за съществуващо разполагане вижте помощната статия Поддръжка на прокси сървъра за хибридна защита на данни и Webex Video Mesh .
13 юни 2019 г.	Актуализиран е Пробен в производствен поток на задачи с напомняне за синхронизиране на груповия обект `HdsTrialGroup` преди започване на пробен период, ако вашата организация използва синхронизиране на указатели.
06 март 2019 г.	Премести изискванията и предварителните изисквания в отделна глава, Подготовка на средата. Добавен е Поток на задачи за разполагане на хибридна защита на данни общ преглед в главата Настройване на клъстер на хибридна защита на данни. Имайте предвид, че докато не започнете изпробване (като използвате инструкциите в следващата глава) вашите възли генерират аларма, която показва, че услугата ви все още не е активирана. Добавен е Пробен в производствения поток на задачи в главата Изпълнение на пробен период и преминаване към производство.
Февруари 28, 2019	Коригирано е количеството локално място на твърдия диск на сървър, което трябва да заделите при подготовката на виртуалните хостове, които стават възли на хибридна защита на данни, от 50 GB до 20 GB, за да се отрази размера на диска, който OVA създава.
26 февруари 2019 г.	Възлите на хибридна защита на данни вече поддържат шифровани връзки със сървъри с бази данни на PostgreSQL и шифровани връзки за регистриране към syslog сървър с възможност за TLS. Актуализиран е Създаване на конфигурационен ISO за хостовете на HDS с инструкции. Премахнати са целеви URL адреси от таблицата „Изисквания за свързаност с интернет за VMs с възли на хибридна защита на данни“. Таблицата сега се отнася до списъка, поддържан в таблицата „Допълнителни URL адреси за хибридни услуги на Webex Teams“ на Мрежови изисквания за услугите на Webex Teams.
Януари 24, 2019	Хибридната защита на данните вече поддържа Microsoft SQL Server като база данни. Винаги включен SQL Server (Винаги включен клъстер за преместване при отказ и винаги включен групи за наличност) се поддържа от JDBC драйвери, които се използват в хибридната защита на данните. Добавено съдържание, свързано с разполагане с SQL сървър. Поддръжката на Microsoft SQL Server е предназначена само за нови разполагания на хибридната защита на данните. Понастоящем не поддържаме мигриране на данни от PostgreSQL към Microsoft SQL Server в съществуващо разполагане.
5 ноември 2018 г.	Добавена е предварителна стъпка за изчистване на всички съществуващи екземпляри на hds на docker в Създаване на конфигурация ISO за хостовете на HDS и Промяна на конфигурацията на възела. Актуализирана е стъпката на ниво на достъп до ключ в Създаване на конфигурация ISO за хостовете на HDS , за да съответства на интерфейса.
19 октомври 2018 г.	Разделете информацията за връзката на защитната стена на изисквания към възлите и изисквания на машината за конфигуриране на ISO в Завършване на предварителните изисквания за хибридна защита на данните.
Юли 31, 2018	Добавен е порт 22 (SSH достъп) и информация за NAT и защитните стени връзки, за да изпълните изискванията за хибридна защита на данните.
21 май 2018 г.	Променена терминология, за да отрази ребрандиране на Cisco Spark: Хибридна защита на данни на Cisco Spark вече е хибридна защита на данни. Приложението Cisco Spark сега е приложението Webex App. Облакът на Cisco Collaboraton сега е облакът на Webex.
11 април 2018 г.	Добавен е Standby Data Center за възстановяване след бедствие. Актуализирано: Изпълнете изискванията за хибридна защита на данни , за да посочите, че средата за архивиране трябва да бъде в друг център за данни. Актуализирано е Възстановяване при бедствие с използване на Standby Data Center.
22 февруари 2018 г	Добавена е информация за 9-месечния жизнен цикъл на паролата за сервизния акаунт и използване на инструмента за настройка на HDS за нулиране на паролите за сервизния акаунт в Създаване на ISO конфигурация за хостовете на HDS и Промяна на конфигурацията на възела.
15 февруари 2018	В таблицата с изисквания за сертификат X.509 е посочено, че сертификатът не може да бъде заместващ сертификат и че KMS използва домейна CN, а не всеки домейн, който е дефиниран в полетата на SAN.509v3.
18 януари 2018	Добавено допълнение, Трафик между възлите на HDS и облака. Премахнат е разрешен проблем от Известни проблеми за хибридна защита на данни. Променен index.docker.io на .docker.io и добавен .cloudfront.net към списъка с изисквания за TCP свързаност за възлите на HDS в Завършване на предварителните изисквания за хибридна защита на данните. Актуализиран е Създаване на конфигурационен ISO за хостовете на HDS , за да се посочи, че ако хостът на базата данни и сървърът за syslogd не могат да се разрешават чрез DNS от HDS възлите, трябва да ги конфигурирате, като използвате IP адреси.
2 ноември 2017 г	Изяснено синхронизиране на указатели на HdsTrialGroup. Фиксирани инструкции за качване на ISO конфигурационния файл за монтаж във VM възлите.
18 август 2017 г.	Първо публикуване

Първи стъпки с хибридна защита на данни

Общ преглед на хибридна защита на данни

От първия ден сигурността на данните е основният фокус при проектирането на приложението Webex. Крайъгълният камък на тази защита е цялостното шифроване на съдържание, разрешено от клиентите на приложението Webex, които взаимодействат с услугата за управление на ключове (KMS). KMS отговаря за създаването и управлението на криптографски ключове, които клиентите използват за динамично криптиране и дешифриране на съобщения и файлове.

По подразбиране всички клиенти на приложението Webex получават цялостно шифроване с динамични ключове, съхранявани в облака KMS, в областта на защитата на Cisco. Хибридната защита на данните премества KMS и други свързани със сигурността функции във вашия корпоративен център за данни, така че никой освен вас не държи ключовете за вашето криптирано съдържание.

Архитектура на областта на сигурността

Архитектурата на облака на Webex разделя различните типове услуги в отделни области или домейни на доверие, както е описано по-долу.

За да разберем по-подробно хибридната защита на данните, нека първо разгледаме този случай в облака, където Cisco предоставя всички функции в своите облачни области. Услугата за самоличност, единственото място, където потребителите могат да бъдат пряко свързани с тяхната лична информация, като имейл адрес, е логично и физически отделена от областта на защитата в центъра за данни B. И двете от своя страна са отделени от областта, в която в крайна сметка се съхранява шифровано съдържание, в центъра за данни C.

На тази схема клиентът е приложението Webex, което се изпълнява на лаптопа на потребителя, и е удостоверен с услугата за самоличност. Когато потребителят композира съобщение за изпращане до интервал, се извършват следните стъпки:

Клиентът установява защитена връзка с услугата за управление на ключове (KMS), след което иска ключ за шифроване на съобщението. Защитената връзка използва ECDH, а KMS шифрова ключа с помощта на главния ключ AES-256.
Съобщението е шифровано преди да напусне клиента. Клиентът го изпраща на услугата за индексиране, която създава шифровани индекси за търсене, за да подпомогне при бъдещи търсения на съдържанието.
Шифрованото съобщение се изпраща на услугата за съответствие за проверки за съответствие.
Шифрованото съобщение се съхранява в областта на мястото за съхранение.

Когато разположите хибридна защита на данни, премествате функциите на областта на защитата (KMS, индексиране и съответствие) в своя локален център за данни. Другите услуги в облака, които съставляват Webex (включително съхранение на самоличност и съдържание), остават в областите на Cisco.

Сътрудничество с други организации

Потребителите във вашата организация могат редовно да използват приложението Webex за сътрудничество с външни участници в други организации. Когато един от вашите потребители поиска ключ за място, което е собственост на вашата организация (защото е създадено от един от вашите потребители), вашата KMS изпраща ключа на клиента чрез ECDH защитен канал. Когато обаче друга организация притежава ключа за пространството, вашият KMS маршрутизира заявката към облака Webex чрез отделен ECDH канал, за да получи ключа от съответния KMS и след това връща ключа на вашия потребител в оригиналния канал.

Услугата KMS, изпълнявана в организация А, валидира връзките към KMS в други организации, като използва x.509 PKI сертификати. Вижте Изисквания за хибридна защита на данни (в тази статия) за подробности относно генерирането на сертификат x.509, който да използвате с разполагането си на хибридна защита на данни.

Очаквания за внедряване на хибридна защита на данни

Внедряването на хибридна защита на данни изисква значителна ангажираност на клиентите и осведоменост за рисковете, които идват от притежанието на ключове за шифроване.

За да разположите хибридна защита на данни, трябва да предоставите:

Защитен център за данни в страна, която е поддържано местоположение за плановете на Cisco Webex Teams.
Оборудването, софтуерът и мрежовият достъп, описани в Изисквания за хибридна защита на данните.

Пълната загуба или на конфигурационния ISO, който изграждате за хибридна защита на данни, или на базата данни, която предоставяте, ще доведе до загуба на ключове. Загубата на ключове не позволява на потребителите да дешифрират съдържанието в пространството и други шифровани данни в приложението Webex. Ако това се случи, можете да изградите ново разполагане, но ще се вижда само новото съдържание. За да избегнете загуба на достъп до данни, трябва:

Управлявайте архивирането и възстановяването на базата данни и конфигурационния ISO.
Бъдете готови да извършите бързо възстановяване след бедствие, ако възникне катастрофа, като повреда на диска на базата данни или бедствие на центъра за данни.

Няма механизъм за преместване на ключовете обратно в облака след разполагане на HDS.

Процес на настройка на високо ниво

Този документ обхваща настройката и управлението на разполагането на хибридна защита на данни:

Настройка на хибридна защита на данни – това включва подготовка на необходимата инфраструктура и инсталиране на софтуера на хибридна защита на данни, тестване на внедряването ви с поднабор от потребители в пробен режим и след като тестването ви завърши, преминаване към производство. Това конвертира цялата организация, за да използва вашия клъстер на хибридна защита на данни за функции на защитата.
Етапите на настройка, изпробване и производство са подробно описани в следващите три глави.
Поддържайте разполагането на хибридна защита на данни – Облакът на Webex автоматично предоставя текущи надстройки. Вашият ИТ отдел може да предостави поддръжка от първо ниво за това разполагане и да ангажира поддръжката на Cisco, ако е необходимо. В Control Hub можете да използвате известия на екрана и да настроите имейл предупреждения.
Разбиране на често срещаните предупреждения, стъпките за отстраняване на неизправности и известни проблеми – ако срещнете проблеми при разполагането или използването на хибридна защита на данни, последната глава от това ръководство и приложението „Известни проблеми“ могат да ви помогнат да определите и коригирате проблема.

Модел на разполагане на хибридна защита на данни

В рамките на вашия корпоративен център за данни разполагате с хибридна защита на данни като един клъстер от възли на отделни виртуални хостове. Възлите комуникират с облака на Webex чрез защитени уеб сокети и защитен HTTP.

По време на процеса на инсталиране ви предоставяме файла OVA, за да настроите виртуалния уред на VMs, които предоставяте. Използвайте инструмента за настройка на HDS, за да създадете персонализиран ISO файл за конфигуриране на клъстери, който да монтирате на всеки възел. Клъстерът на хибридна защита на данни използва предоставения ви сървър Syslogd и базата данни на PostgreSQL или Microsoft SQL Server. (Можете да конфигурирате подробностите за връзката на Syslogd и базата данни в инструмента за настройка на HDS.)

Модел на разполагане на хибридна защита на данни

Минималният брой възли, които можете да имате в клъстер, е два. Препоръчваме поне по три на клъстер. Наличието на множество възли гарантира, че услугата не се прекъсва по време на надстройка на софтуера или друга дейност по поддръжка на даден възел. (Облакът на Webex надгражда само един възел в даден момент.)

Всички възли в клъстера имат достъп до един и същ файл с ключове и регистрационната активност към един и същ syslog сървър. Самите възли са без гражданство и обработват ключови заявки в кръгла форма, както е указано от облака.

Възлите стават активни, когато ги регистрирате в Control Hub. За да излезете от експлоатация отделен възел, можете да го дерегистрирате и по-късно да го регистрирате отново, ако е необходимо.

Поддържаме само един клъстер на организация.

Пробен режим на хибридна защита на данни

След като настроите разполагане на хибридна защита на данни, първо го изпробвайте с набор от пилотни потребители. По време на пробния период тези потребители използват вашия локален домейн за хибридна защита на данни за ключове за шифроване и други услуги от областта на защитата. Другите ви потребители продължават да използват областта на защита на облака.

Ако решите да не продължите с разполагането по време на пробния период и да деактивирате услугата, пилотните потребители и всички потребители, с които са взаимодействали чрез създаване на нови места по време на пробния период, ще загубят достъп до съобщенията и съдържанието. Те ще видят \„Това съобщение не може да бъде дешифрирано\“ в приложението Webex.

Ако сте доволни, че разполагането ви работи добре за пробните потребители и сте готови да разширите хибридната защита на данни до всички свои потребители, преместете разполагането в производство. Пилотните потребители продължават да имат достъп до ключовете, които са били използвани по време на пробния период. Не можете обаче да се движите напред-назад между производствения режим и първоначалното изпробване. Ако трябва да деактивирате услугата, например да извършите възстановяване след бедствие, когато активирате повторно, трябва да започнете нов пробен период и да настроите набора от пилотни потребители за новия пробен период, преди да се върнете към производствен режим. Дали потребителите запазват достъпа до данни в този момент зависи от това дали успешно сте поддържали резервни копия на хранилището за основни данни и конфигурационния файл за ISO за възлите на хибридна защита на данни във вашия клъстер.

Standby Data Center за възстановяване при бедствия

По време на разгръщането настройвате защитен център за данни в режим на готовност. В случай на бедствие на центъра за данни можете ръчно да не успеете при разполагането си в центъра за данни в режим на готовност.

Базите данни на активните центрове за данни и центровете за данни в режим на готовност са синхронизирани помежду си, което ще сведе до минимум времето, необходимо за извършване на превключването при отказ. ISO файлът на центъра за данни в режим на готовност се актуализира с допълнителни конфигурации, които гарантират, че възлите са регистрирани в организацията, но няма да се справят с трафика. Следователно възлите на центъра за данни в режим на готовност винаги остават актуални с най-новата версия на софтуера на HDS.

Активните възли на хибридна защита на данни трябва винаги да бъдат в същия център за данни като активния сървър с база данни.

Настройване на Standby Data Center за възстановяване при бедствия

Следвайте стъпките по-долу, за да конфигурирате ISO файла на центъра за данни в режим на готовност:

Преди да започнете

Центърът за данни в режим на готовност трябва да отразява производствената среда на VMs и архивна база данни PostgreSQL или Microsoft SQL Server. Например, ако производството има 3 VMs, работещи с HDS възли, резервната среда трябва да има 3 VMs. (Вижте Standby Data Center for Disaster Recovery за общ преглед на този модел на отказ.)
Уверете се, че синхронизирането на базата данни е разрешено между базата данни на активните и пасивните възли на клъстерите.

1	Стартирайте инструмента за настройка на HDS и следвайте стъпките, споменати в Създаване на конфигурационен ISO за хостовете на HDS. ISO файлът трябва да бъде копие на оригиналния ISO файл на основния център за данни, върху който трябва да се направят следните актуализации на конфигурацията.
2	След конфигурирането на сървъра Syslogd щракнете върху Разширени настройки
3	На страницата Разширени настройки добавете конфигурацията по-долу, за да поставите възела в пасивен режим. В този режим възелът ще бъде регистриран в организацията и свързан към облака, но няма да обработва никакъв трафик. `пасивенРежим: „вярно“`
4	Завършете процеса на конфигуриране и запишете ISO файла на лесно за намиране място.
5	Направете резервно копие на ISO файла в локалната си система. Поддържайте архивното копие защитено. Този файл съдържа главен ключ за шифроване за съдържанието на базата с данни. Ограничете достъпа само до онези администратори на хибридна защита на данни, които трябва да направят промени в конфигурацията.
6	В левия навигационен екран на клиента VMware vSphere щракнете с десния бутон върху VM и щракнете върху Редактиране на настройките..
7	Щракнете върху Редактиране на настройките >CD/DVD диск 1 и изберете Datastore ISO файл. Уверете се, че са отметнати Свързани и Свързване при включване , за да могат актуализираните промени в конфигурацията да влязат в сила след стартиране на възлите.
8	Включете възела на HDS и се уверете, че няма аларми поне 15 минути.
9	Повторете процеса за всеки възел в центъра за данни в режим на готовност. Проверете регистрационните файлове в syslog, за да потвърдите, че възлите са в пасивен режим. Трябва да можете да виждате съобщението „KMS, конфигурирано в пасивен режим“ в регистрационните файлове в syslog.

Какво да направите след това

След като конфигурирате passiveMode в ISO файла и го запишете, можете да създадете друго копие на ISO файла без конфигурацията на passiveMode и да го запишете на защитено място. Това копие на ISO файла без конфигуриран passiveMode може да помогне при бърз процес на отказ по време на възстановяване след бедствие. Вижте Възстановяване при бедствие с използване на Standby Data Center за подробната процедура при отказ.

Поддръжка на прокси

Hybrid Data Security поддържа изрични, прозрачни проверяващи и неинспектационни проксита. Можете да свържете тези проксита към разполагането си, така че да можете да подсигурите и наблюдавате трафика от предприятието навън към облака. Можете да използвате администраторски интерфейс на платформа на възлите за управление на сертификати и да проверите цялостното състояние на свързване, след като настроите прокси сървъра на възлите.

Хибридните възли за защита на данните поддържат следните опции за прокси:

Няма прокси сървър – Стойността по подразбиране, ако не използвате конфигурацията за настройка на HDS възел на доверено хранилище и прокси сървър за интегриране на прокси сървър. Не се изисква актуализация на сертификата.
Прозрачен прокси сървър без проверка – възлите не са конфигурирани да използват определен адрес на прокси сървъра и не трябва да изискват промени, за да работят с прокси сървър без проверка. Не се изисква актуализация на сертификата.
Прозрачно тунелиране или проверка на прокси сървъра – възлите не са конфигурирани да използват определен адрес на прокси сървъра. На възлите не са необходими промени в конфигурацията на HTTP или HTTPS. Възлите обаче се нуждаят от главен сертификат, така че да се доверяват на прокси. Проверяващите пълномощници обикновено се използват от It за прилагане на политики, на които могат да бъдат посетени уебсайтовете и кои видове съдържание не са разрешени. Този тип прокси дешифрира целия ви трафик (дори HTTPS).
Изричен прокси сървър – С изричния прокси сървър казвате на HDS кои прокси сървъри и схема за удостоверяване да използват. За да конфигурирате изрично прокси, трябва да въведете следната информация на всеки възел:
1. Прокси IP/FQDN – адрес, който може да се използва за свързване с прокси машината.
2. Прокси порт – номер на порт, който прокси сървърът използва за слушане за прокси трафик.
3. Прокси протокол – в зависимост от това, което поддържа прокси сървърът ви, изберете между следните протоколи:
  - HTTP—Преглежда и контролира всички заявки, които клиентът изпраща.
  - HTTPS—Предоставя канал на сървъра. Клиентът получава и валидира сертификата на сървъра.
4. Тип удостоверяване – изберете измежду следните типове удостоверяване:
  - Няма – Не се изисква допълнително удостоверяване.
    
    Налично, ако изберете или HTTP Или HTTPS като протокол за прокси.
  - Основни—Използва се за HTTP потребителски агент, за да предостави потребителско име и парола при подаване на заявка. Използва Base64 кодиране.
    
    Налично, ако изберете или HTTP Или HTTPS като протокол за прокси.
    
    Изисква да въведете потребителското име и паролата на всеки възел.
  - Обобщаване – използва се за потвърждаване на акаунта, преди да се изпрати чувствителна информация. Прилага хеш функция на потребителското име и паролата преди изпращане по мрежата.
    
    Предлага се само ако изберете HTTPS като протокол за прокси.
    
    Изисква да въведете потребителското име и паролата на всеки възел.

Пример за хибридни данни сигурност възли и прокси

Тази диаграма показва примерна връзка между защитата на хибридните данни, мрежата и прокси. За прозрачния инспектиращ и HTTPS изричен инспектиращ прокси опции, един и същ главен сертификат трябва да бъде инсталиран на прокси и на хибридните възли за защита на данните.

Блокиран режим на външна DNS разделителна способност (изрични прокси конфигурации)

Когато регистрирате възел или проверете конфигурацията на прокси сървъра на възела, процесът тества DNS справка и свързаност към облака Cisco Webex. В разполагане с изрични прокси конфигурации, които не позволяват външна DNS разделителна способност за вътрешни клиенти, ако възелът не може да заявка DNS сървъри, тя автоматично преминава в режим блокирани външни DNS резолюция. В този режим може да се процедира регистрация на възли и други тестове за свързване на прокси.

Подгответе средата си

Изисквания за хибридна защита на данните

Изисквания за лицензи за Cisco Webex

За да разположите хибридна защита на данните:

Трябва да имате Pro Pack за Cisco Webex Control Hub. (Вижте https://www.cisco.com/go/pro-pack.)

Изисквания за закачане на работния плот

Преди да инсталирате възлите на HDS, трябва Docker Desktop, за да изпълните инсталационна програма. Docker наскоро актуализира своя модел на лицензиране. Вашата организация може да изисква платен абонамент за Docker Desktop. За подробности вижте публикацията в блога на Docker, " Docker е Актуализиране и разширяване на нашите абонаментиза продукти".

X.509 Изисквания за сертификата

Веригата на сертификатите трябва да отговаря на следните изисквания:

Таблица 1. X.509 Изисквания за сертификата за разполагане на хибридна защита на данни
Изискване	Подробности
Подписан от надежден сертифициращ орган (CA)	По подразбиране се доверяваме на сертифициращите органи в списъка на Mozilla (с изключение на WoSign и StartCom) на https://wiki.mozilla.org/CA:IncludedCAs.
Носи общо име (CN) име на домейн, което идентифицира вашето разполагане на хибридна защита на данни Не е заместващ сертификат	CN не е нужно да е достъпен или хост на живо. Препоръчваме ви да използвате име, което отразява вашата организация, например `hds.company.com`. CN не трябва да съдържа * (заместващ символ). CN се използва за проверка на възлите на хибридна защита на данни за клиентите на приложението Webex. Всички възли на хибридна защита на данни във вашия клъстер използват един и същ сертификат. Вашият KMS се идентифицира с помощта на CN домейна, а не с произволен домейн, дефиниран в полетата x.509v3 SAN. След като сте регистрирали възел с този сертификат, не поддържаме промяна на името на CN домейна. Изберете домейн, който може да се прилага както за пробно, така и за производствени разполагания.
Подпис, който не е SHA1	Софтуерът KMS не поддържа подписи SHA1 за валидиране на връзки с KMS на други организации.
Форматиран като защитен с парола PKCS #12 файл Използвайте приятелското име на `kms-private-key` , за да маркирате сертификата, частния ключ и всички междинни сертификати за качване.	Можете да използвате конвертор, като OpenSSL, за да промените формата на сертификата си. Ще трябва да въведете паролата, когато стартирате инструмента за настройка на HDS.

Софтуерът KMS не налага използване на ключове или не разширява ограниченията за използване на ключове. Някои сертифициращи органи изискват за всеки сертификат да се прилагат разширени ограничения за използване на ключа, като например удостоверяване на сървъра. Добре е да използвате удостоверяване на сървъра или други настройки.

Изисквания за виртуален организатор

Виртуалните хостове, които ще настроите като възли на хибридна защита на данни във вашия клъстер, имат следните изисквания:

Поне два отделни хоста (препоръчва се 3), разположени съвместно в един и същ защитен център за данни
VMware ESXi 7.0 (или по-нова версия) е инсталиран и работи.

Трябва да надстроите, ако имате по-стара версия на ESXi.
Минимум 4 vCPU, 8 GB основна памет, 30 GB локално място на твърдия диск на сървър

Изисквания към сървъра за база данни

Създайте нова база данни за съхранение на ключове. Не използвайте базата данни по подразбиране. Приложенията на HDS, когато са инсталирани, създават схемата на базата с данни.

Има две опции за сървъра с база данни. Изискванията за всеки от тях са, както следва:

Таблица 2. Изисквания за сървъра с база данни по тип база данни
PostgreSQL	Microsoft SQL сървър
PostgreSQL 14, 15 или 16, инсталиран и се изпълнява.	Инсталиран е SQL Server 2016, 2017, или 2019 (корпоративен или стандартен). SQL Server 2016 изисква Service Pack 2 и Кумулативна актуализация 2 или по-нова версия.
Минимум 8 vCPU, 16 GB основна памет, достатъчно място на твърдия диск и наблюдение, за да се гарантира, че не е превишено (препоръчва се 2 TB, ако искате да стартирате базата данни дълго време, без да е необходимо да увеличавате мястото за съхранение)	Минимум 8 vCPU, 16 GB основна памет, достатъчно място на твърдия диск и наблюдение, за да се гарантира, че не е превишено (препоръчва се 2 TB, ако искате да стартирате базата данни дълго време, без да е необходимо да увеличавате мястото за съхранение)

HDS софтуерът в момента инсталира следните версии на драйвери за комуникация със сървъра с база данни:

PostgreSQL

Microsoft SQL сървър

Postgres JDBC драйвер 42.2.5

SQL Server JDBC драйвер 4.6

Тази версия на драйвера поддържа SQL Server Always On ( Винаги включен екземпляр на клъстера при отказ и Винаги включен групи за наличност).

Допълнителни изисквания за удостоверяване на Windows срещу Microsoft SQL Server

Ако искате HDS възлите да използват удостоверяване на Windows, за да получат достъп до вашата база данни на Keystore на Microsoft SQL Server, тогава е необходима следната конфигурация във вашата среда:

Възлите на HDS, инфраструктурата на Active Directory и MS SQL Server трябва да бъдат синхронизирани с NTP.
Акаунтът за Windows, който предоставяте на възли на HDS, трябва да има достъп за четене/запис до базата данни.
DNS сървърите, които предоставяте на HDS възли, трябва да могат да разрешават вашия център за разпределение на ключове (KDC).
Можете да регистрирате екземпляра на базата данни на HDS на Microsoft SQL Server като основно име на услуга (SPN) на Active Directory. Вижте Регистриране на основно име на услуга за Kerberos връзки.

Инструментът за настройка на HDS, HDS стартера и локалния KMS трябва да използват удостоверяване на Windows за достъп до базата данни на Keystore. Те използват подробностите от вашата ISO конфигурация, за да конструират SPN, когато заявяват достъп с удостоверяване на Kerberos.

Изисквания за външна връзка

Конфигурирайте защитната стена, за да разрешите следната свързаност за приложенията на хибридна защита на данни:

Приложение	Протокол	Порт	Посока от приложението	Местоназначение
Възли на хибридна защита на данни	TCP	443	Изходящи HTTPS и ВиК	Сървъри на Webex: .wbx2.com .ciscospark.com Всички организатори на Common Identity Други URL адреси, които са изброени за хибридна защита на данни в таблицата Допълнителни URL адреси за хибридни услуги на Webex на мрежовите изисквания за услугите на Webex
Инструмент за настройка на HDS	TCP	443	Изходящ HTTPS	*.wbx2.com Всички организатори на Common Identity hub.docker.com

Възлите на хибридна защита на данни работят с превод на мрежовия достъп (NAT) или зад защитна стена, при условие че NAT или защитната стена позволяват необходимите изходящи връзки към местоназначенията на домейна в предходната таблица. За връзки, влизащи във входящи възли на хибридна защита на данни, от интернет не трябва да се виждат портове. В рамките на вашия център за данни клиентите се нуждаят от достъп до възлите на хибридна защита на данни на TCP портове 443 и 22 за административни цели.

URL адресите за хостовете на Common Identity (CI) са специфични за региона. Това са текущите организатори на CI:

Регион	URL адреси на организатор на Common Identity
Северна и Южна Америка	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Европейски съюз	https://idbroker-eu.webex.com https://identity-eu.webex.com
Канада	https://idbroker-ca.webex.com https://identity-ca.webex.com
Сингапур	https://idbroker-sg.webex.com https://identity-sg.webex.com
Обединени арабски емирства	https://idbroker-ae.webex.com https://identity-ae.webex.com

Изисквания към прокси сървъра

Ние официално поддържаме следните прокси решения, които могат да се интегрират с вашите възли hybrid Data Security.
- Прозрачен прокси-Уред за уеб защита cisco (WSA).
- Изрична прокси-Сепия.
  
  Прокси сървърите, които инспектират HTTPS трафика, могат да попречат на установяването на websocket (wss:) връзки. За да работите по този проблем, вижте Конфигуриране на прокси сървъри за хибридна защита на данни.
Ние поддържаме следните комбинации от тип удостоверяване за изрични проксита:
- Без удостоверяване с HTTP или HTTPS
- Базово удостоверяване с HTTP или HTTPS
- Смилане на удостоверяване само с HTTPS
За прозрачен проверяващ прокси или HTTPS изрично прокси, трябва да имате копие на главния сертификат на прокси. Инструкциите за разполагане в това ръководство ви казват как да качите копието в магазините за доверие на хибридните възли за защита на данните.
Мрежата, хостваща HDS възлите, трябва да бъде конфигурирана да принуди изходящия TCP трафик на порт 443 да маршрутизира през прокси сървъра.
Прокситата, които инспектират уеб трафика, може да пречат на връзките с уеб гнездото. Ако възникне този проблем, заобикалянето (не инспектирането) на трафика към wbx2.com и ciscospark.com ще реши проблема.

Изпълнете предварителните изисквания за хибридна защита на данни

Използвайте този контролен списък, за да гарантирате, че сте готови да инсталирате и конфигурирате своя клъстер на хибридна защита на данни.

1	Уверете се, че вашата организация в Webex е разрешена за Pro Pack за Cisco Webex Control Hub, и получете идентификационните данни за акаунт с пълни права на администратор на организацията. Свържете се с вашия партньор в Cisco или мениджър на акаунти за помощ с този процес.
2	Изберете име на домейн за разполагането на HDS (например `hds.company.com`) и получете верига от сертификати, съдържаща сертификат X.509, частен ключ и всички междинни сертификати. Веригата на сертификатите трябва да отговаря на изискванията в X.509 Изисквания за сертификат.
3	Подгответе идентични виртуални хостове, които ще настроите като възли на хибридна защита на данни във вашия клъстер. Имате нужда от поне два отделни организатора (препоръчва се 3), разположени съвместно в един и същ защитен център за данни, които отговарят на изискванията в Изисквания за виртуален организатор.
4	Подгответе сървъра с база данни, който ще действа като хранилище на данни за ключа за клъстера в съответствие с изискванията за сървъра с база данни. Сървърът на базата данни трябва да бъде разположен съвместно в защитения център за данни с виртуалните хостове. Създайте база данни за съхранение на ключове. (Трябва да създадете тази база данни – не използвайте базата данни по подразбиране. Приложенията на HDS, когато са инсталирани, създават схемата на базата с данни.) Съберете подробностите, които ще използват възлите за комуникация със сървъра с база данни: име на хост или IP адрес (хост) и порт името на базата с данни (dbname) за съхранение на ключа потребителското име и паролата на потребител с всички привилегии в базата данни за съхранение на ключа
5	За бързо възстановяване след бедствие настройте архивна среда в друг център за данни. Резервната среда отразява производствената среда на VMs и резервен сървър с база данни. Например, ако производството има 3 VMs, работещи с HDS възли, резервната среда трябва да има 3 VMs.
6	Настройте хост на syslog, за да събирате регистрационни файлове от възлите в клъстера. Съберете мрежовия му адрес и порта за syslog (по подразбиране е UDP 514).
7	Създайте правила за защитено архивиране за възлите на хибридна защита на данни, сървъра с база данни и хоста на syslog. Като минимум, за да предотвратите невъзстановима загуба на данни, трябва да архивирате базата данни и конфигурационния ISO файл, генериран за възлите на хибридна защита на данни. Тъй като възлите на хибридна защита на данни съхраняват ключовете, използвани за шифроване и дешифроване на съдържание, неподдържането на оперативно разполагане ще доведе до НЕВЪЗСТАНОВИМА ЗАГУБА на това съдържание. Клиентите на приложението Webex кешират ключовете си, така че прекъсването може да не се забележи веднага, но ще стане очевидно с течение на времето. Въпреки че е невъзможно да се предотвратят временните прекъсвания, те са възстановими. Обаче пълната загуба (няма налични резервни копия) на базата данни или конфигурационния ISO файл ще доведе до невъзстановими клиентски данни. От операторите на възлите на хибридна защита на данни се очаква да поддържат чести резервни копия на базата данни и конфигурационния ISO файл и да бъдат готови да възстановят центъра за данни на хибридна защита на данни, ако възникне катастрофална грешка.
8	Уверете се, че конфигурацията на защитната ви стена позволява свързване за вашите възли на хибридна защита на данни, както е описано в Изисквания за външна свързаност.
9	Инсталирайте Docker ( https://www.docker.com) на всяка локална машина, работеща с поддържана операционна система (Microsoft Windows 10 Professional или Enterprise 64-битова или Mac OSX Yosemite 10.10.3 или по-нова версия) с уеб браузър, който може да получи достъп до нея на http://127.0.0.1:8080. Можете да използвате екземпляр на Docker, за да изтеглите и изпълните инструмента за настройка на HDS, който изгражда информацията за локална конфигурация за всички възли на хибридна защита на данни. Вашата организация може да се нуждае от лиценз за настолен компютър за docker. Вижте Изисквания за закачане на работния плот за повече информация. За да инсталирате и стартирате инструмента за настройка на HDS, локалната машина трябва да има възможността за свързване, описана в Изисквания за външна свързаност.
10	Ако интегрирате прокси сървър с хибридна защита на данните, уверете се, че той отговаря на изискванията за прокси сървър.
11	Ако вашата организация използва синхронизиране на указатели, създайте група в Active Directory, наречена `HdsTrialGroup`, и добавете пилотни потребители. Пробната група може да има до 250 потребители. Обектът на `HdsTrialGroup` трябва да бъде синхронизиран с облака, преди да можете да започнете изпробване за вашата организация. За да синхронизирате групов обект, изберете го в менюто Конфигурация > Избор на обект на Directory Connector. (За подробни инструкции вижте Ръководство за разполагане на Cisco Directory Connector.) Бутоните за дадено място се задават от създателя на мястото. Когато избирате пилотни потребители, имайте предвид, че ако решите за постоянно да деактивирате разполагането на хибридна защита на данни, всички потребители губят достъп до съдържание в местата, които са създадени от пилотните потребители. Загубата става видима веднага щом приложенията на потребителите опреснят кешираните си копия на съдържанието.

Настройване на клъстер на хибридна защита на данни

Поток на задачи за разполагане на хибридна защита на данни

Преди да започнете

1	Изтегляне на инсталационните файлове Изтеглете OVA файла на вашата локална машина за по-късно използване.
2	Създаване на конфигурационен ISO за хостовете на HDS Използвайте инструмента за настройка на HDS, за да създадете ISO конфигурационен файл за възлите на хибридна защита на данни.
3	Инсталиране на HDS Host OVA Създайте виртуална машина от OVA файла и изпълнете първоначалната конфигурация, като например мрежови настройки. Опцията за конфигуриране на мрежовите настройки по време на разполагането на OVA е тествана с ESXi 7.0. Опцията може да не е налична в по-ранни версии.
4	Настройване на VM на хибридна защита на данни Влезте в конзолата на VM и задайте данните за вход. Конфигурирайте мрежовите настройки за възела, ако не сте ги конфигурирали към момента на разполагането на OVA.
5	Качване и монтиране на конфигурация ISO на HDS Конфигурирайте VM от ISO конфигурационния файл, който сте създали с инструмента за настройка на HDS.
6	Конфигуриране на HDS възел за интегриране на прокси сървър Ако мрежовата среда изисква конфигурация на прокси сървър, укажете типа прокси сървър, който ще използвате за възела, и добавете прокси сертификата към хранилището на гаранти, ако е необходимо.
7	Регистриране на първия възел в клъстера Регистрирайте VM с облака на Cisco Webex като възел на хибридна защита на данни.
8	Създаване и регистриране на още възли Завършете настройката на клъстера.
9	Докато не започнете пробен период, вашите възли генерират аларма, която показва, че услугата ви все още не е активирана.

Изтегляне на инсталационните файлове

1	Влезте в https://admin.webex.com и щракнете върху Услуги.
2	В раздела „Хибридни услуги“ намерете картата „Хибридна защита на данни“ и след това щракнете върху Настройка. Ако картата е деактивирана или не я виждате, се свържете с екипа за вашия акаунт или с партньорската си организация. Дайте им номера на акаунта си и помолете организацията ви да активира за хибридна защита на данните. За да намерите номера на акаунта, щракнете върху зъбното колело горе вдясно до името на вашата организация. Можете също да изтеглите OVA по всяко време от раздела Помощ на страницата Настройки . На картата на хибридна защита на данни щракнете върху Редактиране на настройките , за да отворите страницата. След това щракнете върху Изтегляне на софтуера за хибридна защита на данни в раздела Помощ . По-старите версии на софтуерния пакет (OVA) няма да бъдат съвместими с най-новите надстройки на хибридна защита на данни. Това може да доведе до проблеми при надстройване на приложението. Уверете се, че сте изтеглили най-новата версия на OVA файла.
3	Изберете Не , за да посочите, че все още не сте настроили възела, след което щракнете върху Напред. OVA файлът започва автоматично да се изтегля. Запишете файла на местоположение на машината си.
4	Като опция щракнете върху Отваряне на ръководство за разполагане , за да проверите дали има налична по-нова версия на това ръководство.

Създаване на конфигурационен ISO за хостовете на HDS

Процесът на настройка на хибридна защита на данни създава ISO файл. След това използвайте ISO, за да конфигурирате своя хост на хибридна защита на данни.

Преди да започнете

Инструментът за настройка на HDS работи като Docker контейнер на локална машина. За достъп до него стартирайте Docker на тази машина. Процесът на настройка изисква идентификационните данни на акаунт в контролния център с пълни права на администратор за вашата организация.

Ако инструментът за настройка на HDS се изпълнява зад прокси сървър във вашата среда, осигурете настройките на прокси сървъра (сървър, порт, идентификационни данни) чрез променливите на средата за закачване на контейнера за закачване в стъпка 5. Тази таблица дава някои възможни променливи на средата:

Описание

Променлива

HTTP прокси без удостоверяване

ГЛОБАЛЕН_АГЕНТ_HTTP_ПРОКСИ=http://СЪРВЪР_IP:PORT

HTTPS прокси без удостоверяване

ГЛОБАЛЕН_АГЕНТ_HTTPS_ПРОКСИ=http://СЪРВЪР_IP:PORT

HTTP прокси с удостоверяване

GLOBAL_AGENT_HTTP_PROXY=HTTP://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS прокси с удостоверяване

ГЛОБАЛЕН_АГЕНТ_HTTPS_PROXY=HTTP://USERNAME:PASSWORD@SERVER_IP:PORT
Конфигурационният ISO файл, който генерирате, съдържа главния ключ, шифрован в базата данни на PostgreSQL или Microsoft SQL Server. Трябва ви най-новото копие на този файл по всяко време, когато правите промени в конфигурацията, като тези:
- Идентификационни данни за базата данни
- Актуализации на сертификата
- Промени в правилата за упълномощаване
Ако планирате да шифровате връзките с бази данни, настройте разполагането на вашия PostgreSQL или SQL Server за TLS.

1

В командния ред на вашата машина въведете подходящата команда за вашата среда:

В нормални среди:

докер rmi ciscocitg/hds-setup: стабилен

В среди на FedRAMP:

докер rmi ciscocitg/hds-setup-fedramp: стабилен

Тази стъпка изчиства предишни изображения на инструмента за настройка на HDS. Ако няма предишни изображения, той връща грешка, която можете да игнорирате.

2

За да влезете в регистъра на изображения на Docker, въведете следното:

докер вход -u hdscustomersro

3

При подканата за парола въведете този хеш:

dckr_pat_aDP6V4KkrvpBwa

4

Изтеглете най-новото стабилно изображение за вашата среда:

В нормални среди:

докер издърпване ciscocitg/hds-setup: стабилен

В среди на FedRAMP:

докер издърпване ciscocitg/hds-setup-fedramp: стабилен

5

Когато изтеглянето приключи, въведете подходящата команда за вашата среда:

В нормални среди без прокси:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

В нормални среди с HTTP прокси:

изпълнение на докера -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

В редовни среди с HTTPS прокси:

изпълнение на докера -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

В среди на FedRAMP без прокси:

докер изпълнение -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:стабилен

В среди на FedRAMP с HTTP прокси:

изпълнение на докера -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

В среди на FedRAMP с HTTPS прокси:

изпълнение на докера -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Когато контейнерът работи, виждате „Експресен сървър слуша на порт 8080“.

6

Инструментът за настройка не поддържа свързване с localhost чрез http://localhost:8080. Използвайте http://127.0.0.1:8080 , за да се свържете с localhost.

Използвайте уеб браузър, за да отидете в локалния организатор, http://127.0.0.1:8080 и въведете потребителското име на администратора на клиента за Control Hub в подканата.

Инструментът използва този първи запис на потребителското име, за да зададе правилната среда за този акаунт. След това инструментът показва стандартната подкана за влизане.

7

Когато бъдете подканени, въведете идентификационните си данни за вход на администратор на клиенти в Control Hub и след това щракнете върху Влизане , за да позволите достъп до необходимите услуги за хибридна защита на данни.

8

На страницата „Преглед на инструмента за настройка“ щракнете върху Първи стъпки.

9

На страницата Импортиране на ISO имате следните опции:

Не– Ако създавате първия си HDS възел, нямате ISO файл за качване.
Да – Ако вече сте създали HDS възли, тогава изберете своя ISO файл в прегледа и го качете.

10

Проверете дали вашият сертификат X.509 отговаря на изискванията в X.509 Изисквания за сертификат.

Ако никога не сте качили сертификат преди, качете сертификата X.509, въведете паролата и щракнете върху Продължи.
Ако сертификатът ви е ОК, щракнете върху Продължи.
Ако сертификатът ви е изтекъл или искате да го замените, изберете Не за Продължаване на използването на веригата за сертификати на HDS и частния ключ от предишния ISO?. Качете нов сертификат X.509, въведете паролата и щракнете върху Продължи.

11

Въведете адреса на базата данни и акаунта за HDS, за да получите достъп до ключовия си datastore:

Изберете вашия тип база данни (PostgreSQL или Microsoft SQL Server).

Ако изберете Microsoft SQL Server, получавате поле за тип удостоверяване.
(Само за Microsoft SQL Server ) Изберете вашия тип удостоверяване:
- Базово удостоверяване: Необходимо е име на локален акаунт за SQL Server в полето Потребителско име .
- Удостоверяване на Windows: Имате нужда от акаунт за Windows във формат username@DOMAIN в полето Потребителско име .
Въведете адреса на сървъра с база данни във формуляра : или :.

Пример:
dbhost.example.org:1433 или 198.51.100.17:1433

Можете да използвате IP адрес за базово удостоверяване, ако възлите не могат да използват DNS за решаване на името на хоста.

Ако използвате удостоверяване на Windows, трябва да въведете напълно квалифицирано име на домейн във формат dbhost.example.org:1433
Въведете името на базата данни.
Въведете Потребителско име и Парола на потребител с всички привилегии в базата данни за съхранение на ключа.

12

Изберете режим на свързване с база данни TLS:

Режим	Описание
Предпочитане на TLS (опция по подразбиране)	HDS възлите не изискват TLS да се свърже със сървъра на базата данни. Ако разрешите TLS на сървъра с база данни, възлите правят опит за шифрована връзка.
Изисквайте TLS	HDS възли се свързват само ако сървърът на базата данни може да договори TLS.
Изисквайте TLS и проверете подписвача на сертификати	Този режим не е приложим за бази данни на SQL Server. HDS възли се свързват само ако сървърът на базата данни може да договори TLS. След установяването на TLS връзка възелът сравнява подписващия на сертификата от сървъра на базата данни с органа за сертифициране в корневи сертификат в базата данни. Ако не съвпадат, възелът изпуска връзката. Използвайте контролата за главен сертификат на базата данни под падащото, за да качите главния сертификат за тази опция.
Изисквайте TLS и проверете подписалия сертификат и хостовото име	HDS възли се свързват само ако сървърът на базата данни може да договори TLS. След установяването на TLS връзка възелът сравнява подписващия на сертификата от сървъра на базата данни с органа за сертифициране в корневи сертификат в базата данни. Ако не съвпадат, възелът изпуска връзката. Възлите също така проверяват дали името на хоста в сертификата на сървъра съвпада с името на хоста в полето Хост и порт в базата данни . Имената трябва да съвпадат точно или възелът пуска връзката. Използвайте контролата за главен сертификат на базата данни под падащото, за да качите главния сертификат за тази опция.

Когато качите корневи сертификат (ако е необходимо) и щракнете върху Продължи, инструментът за настройка на хибридна защита на данни тества TLS връзката към сървъра с база данни. Инструментът също така проверява подписалите сертификата и hostname, ако е приложимо. Ако даден тест е неуспешен, инструментът показва съобщение за грешка, описващо проблема. Можете да изберете дали да игнорирате грешката и да продължите с настройката. (Поради разликите в свързването възлите на HDS може да са в състояние да установят TLS връзката, дори ако машината с инструмента за настройка на HDS не може да я тества успешно.)

13

На страницата „Системни регистрационни файлове“ конфигурирайте сървъра си за Syslogd:

Въведете URL адреса на сървъра syslog.

Ако сървърът не може да се разрешава чрез DNS от възлите за вашия HDS клъстер, използвайте IP адрес в URL.

Пример:
udp://10.92.43.23:514 показва влизане в хоста Syslogd 10.92.43.23 на UDP порт 514.
Ако настроите сървъра си да използва TLS шифроване, отметнете Конфигуриран ли е вашият сървър syslog за SSL шифроване?.

Ако отметнете това квадратче, трябва да въведете URL адрес на TCP, като например tcp://10.92.43.23:514.
От падащия списък Избор на прекратяване на запис в syslog изберете подходящата настройка за вашия ISO файл: Избор или нов ред се използва за Graylog и Rsyslog TCP
- Нулев байт -- \x00
- Нов ред – \n – Изберете този избор за Graylog и Rsyslog TCP.
Щракнете върху Продължаване.

14

(По избор) Можете да промените стойността по подразбиране за някои параметри на връзката с база данни в Разширени настройки. По принцип този параметър е единственият, който може да искате да промените:

app_datasource_connection_pool_maxРазмер: 10

15

Щракнете върху Продължи на екрана Нулиране на паролата за акаунти за услуги .

Паролите за акаунта за услугата имат деветмесечен живот. Използвайте този екран, когато паролите ви наближават изтичане или искате да ги нулирате, за да invalidate previous ISO files.

16

Щракнете върху Изтегляне на ISO файл. Запишете файла на лесно за намиране място.

17

Направете резервно копие на ISO файла в локалната си система.

Поддържайте архивното копие защитено. Този файл съдържа главен ключ за шифроване за съдържанието на базата с данни. Ограничете достъпа само до онези администратори на хибридна защита на данни, които трябва да направят промени в конфигурацията.

18

За да затворите инструмента за настройка, напишете CTRL+C.

Какво да направите след това

Архивиране на конфигурационния ISO файл. Необходимо е, за да създадете повече възли за възстановяване или да направите промени в конфигурацията. Ако загубите всички копия на ISO файла, ще загубите и главния ключ. Възстановяването на ключовете от вашата база данни PostgreSQL или Microsoft SQL Server не е възможно.

Никога не разполагаме с копие на този ключ и не можем да ви помогнем, ако го изгубите.

Инсталиране на HDS Host OVA

Използвайте тази процедура, за да създадете виртуална машина от OVA файла.

1	Използвайте клиента VMware vSphere на вашия компютър, за да влезете във виртуалния хост на ESXi.
2	Изберете Файл > Разполагане на OVF шаблон.
3	В съветника укажете местоположението на OVA файла, който сте изтеглили по-рано, след което щракнете върху Напред.
4	На страницата Избор на име и папка въведете име на виртуална машина за възела (например "HDS_Node_1"), изберете местоположение, където може да се намира разполагането на възела на виртуалната машина, след което щракнете върху Напред.
5	На страницата Избор на изчислителен ресурс изберете целевия изчислителен ресурс и след това щракнете върху Напред. Извършва се проверка за валидиране. След като завърши, се показват подробностите за шаблона.
6	Проверете подробностите за шаблона и след това щракнете върху Напред.
7	Ако от вас бъде поискано да изберете конфигурацията на ресурсите на страницата Конфигурация , щракнете върху 4 процесора и след това щракнете върху Напред.
8	На страницата Избор на място за съхранение щракнете върху Напред , за да приемете формата на диска по подразбиране и правилата за съхранение на VM.
9	На страницата Избор на мрежи изберете опцията за мрежа от списъка със записи, за да осигурите желаната свързаност към VM.
10	На страницата Персонализиране на шаблон конфигурирайте следните мрежови настройки: Име на хост – въведете FQDN (име на хост и домейн) или една дума име на хост за възела. Не е необходимо да задавате домейна да съвпада с домейна, който сте използвали, за да получите сертификата X.509. За да гарантирате успешна регистрация в облака, използвайте само малки знаци във FQDN или името на хоста, които сте задали за възела. Капитализацията не се поддържа в този момент. Общата дължина на FQDN не трябва да надвишава 64 знака. IP адрес – Въведете IP адреса за вътрешния интерфейс на възела. Възелът трябва да има вътрешен IP адрес и DNS име. DHCP не се поддържа. Маска – Въведете адреса на маската на подмрежата с точка и запетая. Например 255.255.255.0. Шлюз – въведете IP адреса на шлюза. Шлюза е мрежов възел, който служи като точка за достъп до друга мрежа. DNS сървъри – Въведете списък с DNS сървъри, разделени със запетая, които обработват преобразуването на имената на домейни в цифрови IP адреси. (Разрешени са до 4 DNS записа.) NTP сървъри – Въведете NTP сървъра на вашата организация или друг външен NTP сървър, който може да се използва във вашата организация. NTP сървърите по подразбиране може да не работят за всички предприятия. Можете също да използвате списък, разделен със запетая, за да въведете няколко NTP сървъра. Разположете всички възли в една и съща подмрежа или VLAN, така че всички възли в клъстера да са достъпни от клиентите във вашата мрежа за административни цели. Ако предпочитате, можете да пропуснете конфигурацията на мрежовите настройки и да следвате стъпките в Настройване на VM на хибридна защита на данни , за да конфигурирате настройките от конзолата за възли. Опцията за конфигуриране на мрежовите настройки по време на разполагането на OVA е тествана с ESXi 7.0. Опцията може да не е налична в по-ранни версии.
11	Щракнете с десния бутон върху възела VM и след това изберете Захранване > Включване. Софтуерът за хибридна защита на данни е инсталиран като гост на VM Host. Вече сте готови да влезете в конзолата и да конфигурирате възела. Съвети за отстраняване на неизправности Може да усетите забавяне от няколко минути, преди контейнерите с възли да се появят. На конзолата се появява съобщение за защитна стена на мост по време на първото зареждане, по време на което не можете да влезете.

Настройване на VM на хибридна защита на данни

Използвайте тази процедура, за да влезете за първи път в конзолата на възела на хибридна защита на данни и да зададете данните за вход. Можете също да използвате конзолата, за да конфигурирате мрежовите настройки за възела, ако не сте ги конфигурирали по време на разполагането на OVA.

1	В клиента на VMware vSphere изберете своя възел на хибридна защита на данни VM и изберете раздела Конзола . VM се зарежда и се появява подкана за влизане. Ако подканата за влизане не се покаже, натиснете Enter.
2	Използвайте следните данни за влизане и парола по подразбиране, за да влезете и да промените идентификационните данни: Влизане: `администратор` Парола: `cisco` Тъй като влизате във вашия VM за първи път, трябва да промените паролата на администратора.
3	Ако вече сте конфигурирали мрежовите настройки в Инсталиране на HDS Host OVA, пропуснете останалата част от тази процедура. В противен случай в главното меню изберете опцията Редактиране на конфигурацията .
4	Настройте статична конфигурация с IP адрес, маска, шлюз и DNS информация. Възелът трябва да има вътрешен IP адрес и DNS име. DHCP не се поддържа.
5	(По избор) Променете името на хоста, домейна или NTP сървъра(ите), ако е необходимо, за да съответстват на мрежовите ви правила. Не е необходимо да задавате домейна да съвпада с домейна, който сте използвали, за да получите сертификата X.509.
6	Запишете мрежовата конфигурация и рестартирайте VM, за да влязат в сила промените.

Качване и монтиране на конфигурация ISO на HDS

Използвайте тази процедура, за да конфигурирате виртуалната машина от ISO файла, който сте създали с инструмента за настройка на HDS.

Преди да започнете

Тъй като ISO файлът съдържа главния ключ, той трябва да бъде изложен само на база „трябва да знаете“, за достъп от VM на хибридна защита на данни и всички администратори, които може да се наложи да направят промени. Уверете се, че само тези администратори имат достъп до datastore.

1

Качете ISO файла от компютъра си:

В левия навигационен екран на клиента VMware vSphere щракнете върху сървъра ESXi.
В списъка с хардуери на раздела за конфигуриране щракнете върху Място за съхранение.
В списъка Datastores щракнете с десния бутон върху datastore за вашите VMs и щракнете върху Преглед на Datastore.
Щракнете върху иконата Качване на файлове и след това щракнете върху Качване на файл.
Намерете местоположението, където сте изтеглили ISO файла на компютъра си, и щракнете върху Отвори.
Щракнете върху Да , за да приемете предупреждението за операцията за качване/изтегляне, и затворете диалоговия прозорец за данни.

2

Монтиране на ISO файла:

В левия панел за навигация на клиента VMware vSphere щракнете с десния бутон върху виртуалната машина и щракнете върху Редактиране на настройките.
Щракнете върху OK , за да приемете предупреждението за ограничени опции за редактиране.
Щракнете върху CD/DVD диск 1, изберете опцията за монтаж от ISO файл datastore и намерете местоположението, където сте качили конфигурационния ISO файл.
Отметнете Свързан и Свързване при включване.
Запишете промените си и рестартирайте виртуалната машина.

Какво да направите след това

Ако правилата за ИТ изискват, можете по избор да демонтирате ISO файла, след като всички ваши възли поемат промените в конфигурацията. Вижте (По избор) Демонтиране на ISO след конфигуриране на HDS за подробности.

Конфигуриране на HDS възел за интегриране на прокси сървър

Ако мрежовата среда изисква прокси, използвайте тази процедура, за да укажете вида на прокси, който искате да интегрирате с Hybrid Data Security. Ако изберете прозрачен проверяващ прокси или HTTPS изричен прокси, можете да използвате интерфейса на възела, за да качите и инсталирате главния сертификат. Можете също да проверите прокси връзката от интерфейса и да отстраните всички потенциални проблеми.

Преди да започнете

Вижте Поддръжка на прокси за общ преглед на поддържаните опции за прокси.
Изисквания към прокси сървъра

1	Въведете URL адреса за настройка на HDS възел `https://[HDS Възел IP или FQDN]/настройка` в уеб браузър, въведете администраторски идентификационни данни, които сте настроили за възела и след това щракнете върху Вход.
2	Отидете на Хранилище на доверие & Прокси , след което изберетеопция: Няма прокси сървър – опцията по подразбиране, преди да интегрирате прокси сървър. Не се изисква актуализация на сертификата. Прозрачен прокси сървър без проверка – възлите не са конфигурирани да използват определен адрес на прокси сървъра и не трябва да изискват промени, за да работят с прокси сървър без проверка. Не се изисква актуализация на сертификата. Прокси сървър за прозрачна проверка – възлите не са конфигурирани да използват определен адрес на прокси сървъра. Не httpS конфигурация промени са необходими в разполагането на защитата на хибридни данни, обаче HDS възли се нуждаят от главен сертификат, така че те се доверяват на прокси. Проверяващите пълномощници обикновено се използват от It за прилагане на политики, на които могат да бъдат посетени уебсайтовете и кои видове съдържание не са разрешени. Този тип прокси дешифрира целия ви трафик (дори HTTPS). Изричен прокси сървър – С изричния прокси сървър казвате на клиента (HDS възли) кой прокси сървър да използва, и тази опция поддържа няколко типа удостоверяване. След като изберете тази опция, трябва да въведете следната информация: Прокси IP/FQDN – адрес, който може да се използва за свързване с прокси машината. Прокси порт – номер на порт, който прокси сървърът използва за слушане за прокси трафик. Прокси протокол – изберете http (преглежда и управлява всички заявки, които се получават от клиента) или https (осигурява канал към сървъра и клиентът получава и валидира сертификата на сървъра). Изберете опция въз основа на това, което поддържа вашият прокси сървър. Тип удостоверяване – изберете измежду следните типове удостоверяване: Няма – Не се изисква допълнително удостоверяване. Налична за HTTP или HTTPS проксита. Основни—Използва се за HTTP потребителски агент, за да предостави потребителско име и парола при подаване на заявка. Използва Base64 кодиране. Налична за HTTP или HTTPS проксита. Ако изберете тази опция, трябва да въведете и потребителското име и паролата. Обобщаване – използва се за потвърждаване на акаунта, преди да се изпрати чувствителна информация. Прилага хеш функция на потребителското име и паролата преди изпращане по мрежата. Предлага се само за HTTPS проксита. Ако изберете тази опция, трябва да въведете и потребителското име и паролата. Изпълнете следващите стъпки за прозрачен проверяващ прокси, HTTP изрично прокси с базово удостоверяване или HTTPS изрично прокси.
3	Щракнете върху Качване на главен сертификат или Сертификат за краен обект и след това навигирайте до изберете главния сертификат запрокси. Сертификатът се качва, но все още не е инсталиран, защото трябва да рестартирате възела, за да инсталирате сертификата. Щракнете върху стрелката chevron по името на издателя на сертификата, за да получите повече подробности или щракнете върху Изтрий, ако сте направили грешка и искате да качите повторно файла.
4	Щракнете върху Проверка на прокси връзката, за да тествате мрежовата свързаност между възела и прокси. Ако тестът за връзка е неуспешен, ще видите съобщение за грешка, което показва причината и как можете да коригирате проблема. Ако видите съобщение, което казва, че външната DNS разделителна способност не е била успешна, възелът не е успял да достигне DNS сървъра. Това условие се очаква в много изрични прокси конфигурации. Можете да продължите с настройката и възелът ще функционира в режим на блокирано външно DNS разрешаване. Ако мислите, че това е грешка, изпълнете тези стъпки и след това вижте Изключване на режима на блокирано външно разрешаване на DNS.
5	След като тестът за връзка премине, за изрично прокси настроен само на https, включете превключването към Маршрут всички порт 443/444 https заявки от този възел през изрично прокси. Тази настройка изисква 15 секунди, за да влязат в сила.
6	Щракнете върху Инсталиране на всички сертификати в хранилището на гаранти (появява се за HTTPS изрично прокси или прозрачен проверяващ прокси) или Рестартиране (появява се за HTTP изрично прокси), прочетете подканата и след това щракнете върху Инсталиране, ако сте готови. Възелът се рестартира в рамките на няколко минути.
7	След рестартирането на възела влезте отново, ако е необходимо, след което отворете страницата Общ преглед, за да проверите проверките за свързване, за да се уверите, че всички те са в зелено състояние. Проверката на прокси връзката тества само поддомейн от webex.com. Ако има проблеми със свързването, често срещан проблем е, че някои от облачните домейни, изброени в инструкциите за инсталиране, се блокират в прокси.

Регистриране на първия възел в клъстера

Тази задача взема генеричния възел, който сте създали в Настройване на хибридна защита на данни VM, регистрира възела с облака на Webex и го превръща във възел на хибридна защита на данни.

Когато регистрирате първия си възел, създавате клъстер, към който е разпределен възелът. Клъстерът съдържа един или повече възли, разгърнати за осигуряване на резерв.

Преди да започнете

След като започнете да регистрирате възел, трябва да го завършите в рамките на 60 минути, или трябва да започнете отначало.
Погрижете се всички блокери на изскачащите прозорци във вашия браузър да са деактивирани или да разрешите изключение за admin.webex.com.

1	Влезте в https://admin.webex.com.
2	От менюто от лявата страна на екрана изберете Услуги.
3	В раздела „Хибридни услуги“ намерете „Хибридна защита на данни“ и щракнете върху Настройка. Показва се страницата с възел на хибридна защита на данни за регистриране.
4	Изберете Да , за да посочите, че сте настроили възела и сте готови да го регистрирате, след което щракнете върху Напред.
5	В първото поле въведете име за клъстера, към който искате да разпределите вашия възел на хибридна защита на данни. Препоръчваме ви да посочите клъстер въз основа на географското местоположение на клъстера. Примери: „Сан Франциско“ или „Ню Йорк“ или „Далас“
6	Във второто поле въведете вътрешния IP адрес или напълно квалифицирано име на домейн (FQDN) на вашия възел и щракнете върху Напред. Този IP адрес или FQDN трябва да съвпада с IP адреса или името на хоста и домейна, които сте използвали в Настройване на VM на хибридна защита на данни. Появява се съобщение, което показва, че можете да регистрирате възела в Webex.
7	Щракнете върху Към възел.
8	Щракнете върху Продължи в предупредителното съобщение. След няколко секунди ще бъдете пренасочени към тестовете за свързване на възлите за услугите на Webex. Ако всички тестове са успешни, се появява страницата \„Разрешаване на достъп до възел на хибридна защита на данни\“. Там потвърждавате, че искате да дадете разрешения на вашата организация в Webex за достъп до вашия възел.
9	Отметнете квадратчето Разрешаване на достъп до вашия възел на хибридна защита на данни и след това щракнете върху Продължи. Вашият акаунт е потвърден и съобщението \„Завършване на регистрацията\“ показва, че възелът вече е регистриран в облака на Webex.
10	Щракнете върху връзката или затворете раздела, за да се върнете към страницата на хибридна защита на данни в Control Hub. На страницата Хибридна защита на данни се показва новият клъстер, съдържащ възела, който сте регистрирали. Възелът автоматично ще изтегли най-новия софтуер от облака.

Създаване и регистриране на още възли

За да добавите допълнителни възли към вашия клъстер, просто създавате допълнителни VM и монтирате същия конфигурационен ISO файл, след което регистрирайте възела. Препоръчваме ви да имате поне 3 възела.

По това време резервните VM, които сте създали в Изпълнение на изискванията за хибридна защита на данните , са хостове в режим на готовност, които се използват само в случай на възстановяване след бедствие; те до тогава не са регистрирани в системата. За подробности вижте Възстановяване след бедствие с използване на Standby Data Center.

Преди да започнете

След като започнете да регистрирате възел, трябва да го завършите в рамките на 60 минути, или трябва да започнете отначало.
Погрижете се всички блокери на изскачащите прозорци във вашия браузър да са деактивирани или да разрешите изключение за admin.webex.com.

1	Създайте нова виртуална машина от OVA, като повторите стъпките в Инсталиране на HDS Host OVA.
2	Настройте първоначалната конфигурация на новия VM, като повторите стъпките в Настройване на хибридна защита на данни VM.
3	На новия VM повторете стъпките в Качване и монтиране на ISO на конфигурацията на HDS.
4	Ако настройвате прокси сървър за разполагането си, повторете стъпките в Конфигуриране на възела на HDS за интеграция на прокси сървър , както е необходимо за новия възел.
5	Регистрирайте възела. В https://admin.webex.com изберете Услуги от менюто от лявата страна на екрана. В раздела „Хибридни услуги“ намерете картата „Хибридна защита на данни“ и щракнете върху Ресурси. Показва се страницата с ресурси за хибридна защита на данни. Щракнете върху Добавяне на ресурс. В първото поле изберете името на съществуващия си клъстер. Във второто поле въведете вътрешния IP адрес или напълно квалифицирано име на домейн (FQDN) на вашия възел и щракнете върху Напред. Появява се съобщение, което показва, че можете да регистрирате възела в облака Webex. Щракнете върху Към възел. След няколко секунди ще бъдете пренасочени към тестовете за свързване на възлите за услугите на Webex. Ако всички тестове са успешни, се появява страницата \„Разрешаване на достъп до възел на хибридна защита на данни\“. Там потвърждавате, че искате да дадете разрешения на вашата организация за достъп до вашия възел. Отметнете квадратчето Разрешаване на достъп до вашия възел на хибридна защита на данни и след това щракнете върху Продължи. Вашият акаунт е потвърден и съобщението \„Завършване на регистрацията\“ показва, че възелът вече е регистриран в облака на Webex. Щракнете върху връзката или затворете раздела, за да се върнете към страницата на хибридна защита на данни в Control Hub. Възелът ви е регистриран. Имайте предвид, че докато не започнете пробен период, вашите възли генерират аларма, която показва, че услугата ви все още не е активирана.

Какво да направите след това

Изпълнение на пробен период и преминаване към производство (следваща глава)

Изпълнение на пробен период и преминаване към производство

Пробен в производствен поток на задачи

След като настроите клъстер на хибридна защита на данни, можете да стартирате пилотен проект, да добавите потребители към него и да започнете да го използвате за тестване и проверка на внедряването си в подготовка за преминаване към производство.

Преди да започнете

В тази задача изтегляте OVA файл на вашата машина (а не на сървърите, които сте настроили като възли на хибридна защита на данни). Ще използвате този файл по-късно в процеса на инсталиране.

1	Ако е приложимо, синхронизирайте груповия обект `HdsTrialGroup` . Ако вашата организация използва синхронизиране на указатели за потребители, трябва да изберете групов обект `HdsTrialGroup` за синхронизиране с облака, преди да можете да започнете пробен период. За инструкции вижте Ръководство за разполагане на Cisco Directory Connector.
2	Активиране на пробен период Започнете пробен период. Докато не изпълните тази задача, вашите възли генерират аларма, която показва, че услугата все още не е активирана.
3	Тестване на вашето разполагане на хибридна защита на данни Проверете дали ключови заявки преминават към вашето разполагане на хибридна защита на данни.
4	Наблюдение на изправността на хибридна защита на данни Проверете статуса и настройте известия по имейл за алармите.
5	Добавяне или премахване на потребители от вашия пробен период
6	Завършете пробната фаза с едно от следните действия: Преминаване от изпробване към производство Прекратете пробния си период, без да се премествате в производство

Активиране на пробен период

Преди да започнете

Ако вашата организация използва синхронизиране на указатели за потребители, трябва да изберете групов обект HdsTrialGroup за синхронизиране с облака, преди да можете да започнете пробен период за вашата организация. За инструкции вижте Ръководство за разполагане на Cisco Directory Connector.

1	Влезте в https://admin.webex.comи изберете Услуги.
2	Под Хибридна защита на данни щракнете върху Настройки.
3	В раздела „Статус на услугата“ щракнете върху Започване на пробен период. Статусът на услугата се променя на пробен режим.
4	Щракнете върху Добавяне на потребители и въведете имейл адреса на един или повече потребители, за да пилотирате използването на вашите възли на хибридна защита на данни за услуги за шифроване и индексиране. (Ако вашата организация използва синхронизиране на указатели, използвайте Active Directory, за да управлявате пробната група, `HdsTrialGroup`.)

Тестване на вашето разполагане на хибридна защита на данни

Използвайте тази процедура, за да тествате сценариите за шифроване на хибридна защита на данни.

Преди да започнете

Настройте своето разполагане на хибридна защита на данни.
Активирайте пробния период и добавете няколко пробни потребители.
Уверете се, че имате достъп до syslog, за да потвърдите, че ключовите заявки се подават към вашето разполагане на хибридна защита на данни.

1

Бутоните за дадено място се задават от създателя на мястото. Влезте в приложението Webex като един от пилотните потребители и след това създайте място и поканете поне един пилотен потребител и един непилотен потребител.

Ако деактивирате разполагането на хибридна защита на данни, съдържанието в местата, които създават пилотни потребители, вече не е достъпно, след като бъдат заменени кешираните от клиента копия на ключовете за шифроване.

2

Изпратете съобщения до новото място.

3

Проверете изхода на syslog, за да потвърдите, че ключовите заявки се прехвърлят към вашето разполагане на хибридна защита на данни.

За да проверите за потребител, който първо създава защитен канал към KMS, филтрирайте на kms.data.method=create и kms.data.type=EPHEMERAL_KEY_COLLECTION:

Трябва да намерите запис като следния (идентификатори, съкратени за четливост):

2020-07-21 17:35:34.562 (+0000) ИНФОРМАЦИЯ KMS [pool-14-thread-1] - [KMS:ЗАЯВКА] получена, deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms: //hds2.org5.portun.us/statickeys/3[~]0 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2

За да проверите за потребител, който иска съществуващ ключ от KMS, филтрирайте на kms.data.method=retrieve и kms.data.type=KEY:

Трябва да намерите запис, като:

2020-07-21 17:44:19.889 (+0000) ИНФОРМАЦИЯ KMS [pool-14-thread-31] - [KMS:ЗАЯВКА] е получена, deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms: //hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=retrieve, kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriHost=ciscospark.com, kms.data.type=KEY, kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b

За да проверите за потребител, който е поискал създаването на нов KMS ключ, филтрирайте на kms.data.method=create и kms.data.type=KEY_COLLECTION:

Трябва да намерите запис, като:

2020-07-21 17:44:21.975 (+0000) ИНФОРМАЦИЯ KMS [pool-14-thread-33] - [KMS:ЗАЯВКА] е получена, deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms: //hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b

За да проверите за потребител, който е поискал създаването на нов KMS ресурсен обект (KRO), когато се създава пространство или друг защитен ресурс, филтрирайте на kms.data.method=create и kms.data.type=RESOURCE_COLLECTION:

Трябва да намерите запис, като:

2020-07-21 17:44:22.808 (+0000) ИНФОРМАЦИЯ KMS [pool-15-thread-1] - [KMS:ЗАЯВКА] е получена, deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms: //hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

Наблюдение на изправността на хибридна защита на данни

Индикатор за състоянието в Control Hub ви показва дали всичко е наред с разполагането на хибридна защита на данни. За по-активно предупреждаване се запишете за известия по имейл. Ще бъдете уведомени, когато има аларми, засягащи услугата, или надстройки на софтуера.

1	В Control Hub изберете Услуги от менюто от лявата страна на екрана.
2	В раздела „Хибридни услуги“ намерете „Хибридна защита на данни“ и щракнете върху Настройки. Показва се страницата с настройки за хибридна защита на данни.
3	В раздела \„Имейл известия\“ въведете един или повече имейл адреси, разделени със запетаи, и натиснете Enter.

Добавяне или премахване на потребители от вашия пробен период

След като активирате пробен период и добавите първоначалния набор от пробни потребители, можете да добавяте или премахвате членове на пробния период по всяко време, докато пробната версия е активна.

Ако премахнете потребител от пробния период, клиентът на потребителя ще поиска ключове и създаване на ключове от облака KMS вместо вашия KMS. Ако клиентът се нуждае от ключ, който се съхранява във вашия KMS, KMS в облака ще го извлече от името на потребителя.

Ако вашата организация използва синхронизиране на указатели, използвайте Active Directory (вместо тази процедура), за да управлявате пробната група HdsTrialGroup; можете да видите членовете на групата в Control Hub, но не можете да ги добавяте или премахвате.

1	Влезте в Control Hub, след което изберете Услуги.
2	Под Хибридна защита на данни щракнете върху Настройки.
3	В раздела „Пробен режим“ на областта „Статус на услугата“ щракнете върху Добавяне на потребители или щракнете върху Преглед и редактиране , за да премахнете потребители от пробния период.
4	Въведете имейл адреса на един или повече потребители за добавяне, или щракнете върху X от ИД на потребител, за да премахнете потребителя от пробния период. След това щракнете върху Запиши.

Преминаване от изпробване към производство

Когато сте доволни, че разполагането ви работи добре за пробните потребители, можете да преминете към производство. Когато преминете към производство, всички потребители в организацията ще използват вашия локален домейн за хибридна защита на данни за ключове за шифроване и други услуги от областта на защитата. Не можете да се върнете към пробен режим от производство, освен ако не деактивирате услугата като част от възстановяването след бедствие. Повторното активиране на услугата изисква да настроите нова пробна версия.

1	Влезте в Control Hub, след което изберете Услуги.
2	Под Хибридна защита на данни щракнете върху Настройки.
3	В секцията „Статус на услугата“ щракнете върху Преместване в производство.
4	Потвърдете, че искате да преместите всички ваши потребители в производство.

Прекратете пробния си период, без да се премествате в производство

Ако по време на пробния си период решите да не продължите с разполагането на хибридна защита на данни, можете да деактивирате хибридната защита на данни, която приключва пробния период и премества пробните потребители обратно към услугите за защита на данни в облака. Потребителите на пробния период ще загубят достъп до данните, които са шифровани по време на пробния период.

1	Влезте в Control Hub, след което изберете Услуги.
2	Под Хибридна защита на данни щракнете върху Настройки.
3	В раздела Деактивиране щракнете върху Деактивиране.
4	Потвърдете, че искате да деактивирате услугата и да прекратите пробния период.

Управление на вашето разполагане на HDS

Управление на разполагането на HDS

Използвайте описаните тук задачи, за да управлявате своето разполагане на хибридна защита на данни.

Задаване на график за надстройване на клъстери

Надстройките на софтуера за хибридна защита на данни се извършват автоматично на ниво клъстер, което гарантира, че всички възли винаги изпълняват една и съща софтуерна версия. Надстройванията се извършват съгласно графика за надстройване за клъстера. Когато е налична надстройка на софтуера, имате възможност ръчно да надстроите клъстера преди планираното време за надстройване. Можете да зададете конкретен график за надстройване или да използвате графика по подразбиране от 3:00 ч. дневно в Съединените щати: Америка/Лос Анджелис. Можете също да изберете да отложите предстоящото надстройване, ако е необходимо.

За да зададете графика за надстройване:

1	Влезте в Control Hub.
2	На страницата за общ преглед под хибридни услуги изберете Хибридна защита на данните.
3	На страницата с ресурси за хибридна защита на данни изберете клъстера.
4	В панела „Общ преглед“ вдясно, под „Настройки на клъстера“ изберете името на клъстера.
5	На страницата „Настройки“ под „Надстройване“ изберете часа и часовата зона за графика за надстройване. Забележка: Под часовата зона се показват следващата налична дата и час на надстройване. Можете да отложите надстройването до следващия ден, ако е необходимо, като щракнете върху Отложи.

Промяна на конфигурацията на възела

От време на време може да се наложи да промените конфигурацията на вашия възел за защита на хибридни данни поради причина като:

Промяна на x.509 сертификати поради изтичане или други причини.

Не поддържаме промяна на CN името на домейн на сертификат. Домейнът трябва да съответства на оригиналния домейн, използван за регистриране на клъстера.
Актуализиране на настройките на базата данни за промяна на реплика на базата данни PostgreSQL или Microsoft SQL Server.

Не поддържаме мигриране на данни от PostgreSQL към Microsoft SQL Server или обратното. За да превключите средата на базата данни, започнете ново внедряване на Hybrid Data Security.
Създаване на нова конфигурация за подготовка на нов център за данни.

Също така, за целите на защитата, Hybrid Data Security използва пароли за сервизен акаунт, които имат деветмесечен живот. След като инструментът за настройка на HDS генерира тези пароли, ги разполагате на всеки от вашите HDS възли във файла ISO config. Когато паролите на вашата организация са към изтичане, получавате известие от екипа на Webex за нулиране на паролата за вашия машинен акаунт. (Имейлът включва текста „Използвайте API на машинния акаунт, за да актуализирате паролата.“) Ако вашите пароли все още не са изтекли, инструментът ви дава две опции:

Софтуерно нулиране – И двете стари и нови пароли работят до 10 дни. Използвайте този период, за да замените постепенно ISO файла на възлите.
Твърдо нулиране – Старите пароли спират да работят незабавно.

Ако вашите пароли изтекат без нулиране, това се отразява на вашата HDS услуга, изисквайки незабавно хардуерно нулиране и подмяна на ISO файла на всички възли.

Използвайте тази процедура, за да генерирате нов конфигурационен ISO файл и да го приложите към вашия клъстер.

Преди да започнете

Инструментът за настройка на HDS работи като Docker контейнер на локална машина. За достъп до него стартирайте Docker на тази машина. Процесът на настройка изисква идентификационните данни на акаунт в контролния център с пълни права на администратор за вашата организация.

Ако инструментът за настройка на HDS се изпълнява зад прокси сървър във вашата среда, осигурете настройките на прокси сървъра (сървър, порт, идентификационни данни) чрез променливите на средата за закачване на контейнера за закачване в 1.e. Тази таблица дава някои възможни променливи на средата:

Описание	Променлива
HTTP прокси без удостоверяване	`ГЛОБАЛЕН_АГЕНТ_HTTP_ПРОКСИ=http://СЪРВЪР_IP:PORT`
HTTPS прокси без удостоверяване	`ГЛОБАЛЕН_АГЕНТ_HTTPS_ПРОКСИ=http://СЪРВЪР_IP:PORT`
HTTP прокси с удостоверяване	`GLOBAL_AGENT_HTTP_PROXY=HTTP://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS прокси с удостоверяване	`ГЛОБАЛЕН_АГЕНТ_HTTPS_PROXY=HTTP://USERNAME:PASSWORD@SERVER_IP:PORT`

Имате нужда от копие на текущия конфигурационен ISO файл, за да генерирате нова конфигурация. ISO съдържа главния ключ, криптиращ базата данни на PostgreSQL или Microsoft SQL Server. Имате нужда от ISO, когато правите промени в конфигурацията, включително идентификационни данни на база данни, актуализации на сертификати или промени в правилата за оторизация.

1	Използвайки Docker на локална машина, стартирайте HDS Setup Tool. В командния ред на вашата машина въведете подходящата команда за вашата среда: В нормални среди: `докер rmi ciscocitg/hds-setup: стабилен` В среди на FedRAMP: `докер rmi ciscocitg/hds-setup-fedramp: стабилен` Тази стъпка изчиства предишни изображения на инструмента за настройка на HDS. Ако няма предишни изображения, той връща грешка, която можете да игнорирате. За да влезете в регистъра на изображения на Docker, въведете следното: `докер вход -u hdscustomersro` При подканата за парола въведете този хеш: `dckr_pat_aDP6V4KkrvpBwa` Изтеглете най-новото стабилно изображение за вашата среда: В нормални среди: `докер издърпване ciscocitg/hds-setup: стабилен` В среди на FedRAMP: `докер издърпване ciscocitg/hds-setup-fedramp: стабилен` Уверете се, че сте изтеглили най-новия инструмент за настройка за тази процедура. Версиите на инструмента, създадени преди 22 февруари 2018 г., нямат екрани за нулиране на парола. Когато изтеглянето приключи, въведете подходящата команда за вашата среда: В нормални среди без прокси: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` В нормални среди с HTTP прокси: `изпълнение на докера -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` В нормални среди с HTTPSпрокси: `изпълнение на докера -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` В среди на FedRAMP без прокси: `докер изпълнение -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:стабилен` В среди на FedRAMP с HTTP прокси: `изпълнение на докера -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` В среди на FedRAMP с HTTPS прокси: `изпълнение на докера -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Когато контейнерът работи, виждате "Express сървър слушане на порт 8080." Използвайте браузър, за да се свържете с localhost, `http://127.0.0.1:8080`. Инструментът за настройка не поддържа свързване с localhost чрез http://localhost:8080. Използвайте http://127.0.0.1:8080 , за да се свържете с localhost. Когато получите подкана, въведете идентификационните си данни за влизане за клиент в Control Hub и след това щракнете върху Приемане , за да продължите. Импортирайте текущия конфигурационен ISO файл. Следвайте подканите, за да завършите инструмента и да изтеглите актуализирания файл. За да затворите инструмента за настройка, напишете `CTRL+C`. Създайте резервно копие на актуализирания файл в друг център за данни.
2	Ако имате работещ само един HDS възел, създайте нов VM възел на хибридна защита на данни и го регистрирайте, като използвате новия конфигурационен ISO файл. За по-подробни инструкции вижте Създаване и регистриране на още възли. Инсталирайте HDS хост OVA. Настройте HDS VM. Монтирайте актуализирания конфигурационен файл. Регистрирайте новия възел в контролния център.
3	За съществуващи HDS възли, които изпълняват по-стария конфигурационен файл, монтирайте ISO файла. Изпълнете следната процедура на всеки възел на свой ред, като актуализирате всеки възел, преди да изключите следващия възел: Изключете виртуалната машина. В левия панел за навигация на клиента VMware vSphere щракнете с десния бутон върху виртуалната машина и щракнете върху Редактиране на настройките. Щракнете върху `CD / DVD диск 1 , изберете опцията за монтиране от ISO файл и`прегледайте местоположението, където сте изтеглили новия конфигурационен ISO файл. Поставете отметка на Свързване при включване. Запазете промените си и включете виртуалната машина.
4	Повторете стъпка 3, за да замените конфигурацията на всеки останал възел, който изпълнява старата конфигурация.

Изключване на режим на блокирана външна DNS разделителна способност

Когато регистрирате възел или проверете конфигурацията на прокси сървъра на възела, процесът тества DNS справка и свързаност към облака Cisco Webex. Ако DNS сървърът на възела не може да разреши публични DNS имена, възелът автоматично преминава в режим на блокирана външна DNS разделителна способност.

Ако вашите възли са в състояние да разреши публични DNS имена чрез вътрешни DNS сървъри, можете да изключите този режим чрез повторно изпълнение на теста за прокси връзка на всеки възел.

Преди да започнете

Гарантирайте, че вашите вътрешни DNS сървъри могат да разрешават публични DNS имена, както и че вашите възли могат да комуникират с тях.

1	В уеб браузър отворете интерфейса на възела "Защита на хибридните данни" (IP адрес/настройка например въведете идентификационни данни за администриране, които https://192.0.2.0/setup), сте задали за възела, след което щракнете върху Влизане.
2	Отидете на Общ преглед (страницата по подразбиране). Когато е разрешено, блокирани външна DNS разделителна способност е зададена да .
3	Отидете на страницата Хранилище на доверие & Прокси.
4	Щракнете върху Проверка на прокси връзката. Ако видите съобщение, казващо, че външната DNS разделителна способност не е била успешна, възелът не е успял да достигне DNS сървъра и ще остане в този режим. В противен случай, след като рестартирате възела и да се върнете към страницата общ преглед, Блокиран външен DNS разделителна способност трябва да бъде зададено на не.

Какво да направите след това

Повторете теста за прокси връзка на всеки възел във вашия клъстер за защита на хибридни данни.

Премахване на възел

Използвайте тази процедура, за да премахнете възел на хибридна защита на данни от облака Webex. След като премахнете възела от клъстера, изтрийте виртуалната машина, за да предотвратите по-нататъшен достъп до вашите данни за защита.

1

Използвайте клиента на VMware vSphere на вашия компютър, за да влезете във виртуалния хост на ESXi и да изключите виртуалната машина.

2

Премахване на възела:

Влезте в Control Hub, след което изберете Услуги.
В картата на хибридна защита на данни щракнете върху Преглед на всички , за да покажете страницата с ресурси за хибридна защита на данни.
Изберете своя клъстер, за да се покаже неговият панел \„Общ преглед\“.
Щракнете върху Отваряне на списъка с възли.
В раздела „Възли“ изберете възела, който искате да премахнете.
Щракнете върху Действия > Дерегистриране на възел.

3

В клиента vSphere изтрийте VM. (В левия навигационен екран щракнете с десния бутон върху VM и щракнете върху Изтрий.)

Ако не изтриете VM, не забравяйте да демонтирате конфигурационния ISO файл. Без ISO файла не можете да използвате VM за достъп до вашите данни за защита.

Възстановяване след бедствие с използване на центъра за данни в режим на готовност

Най-критичната услуга, която вашият клъстер на хибридна защита на данни предоставя, е създаването и съхранението на ключове, използвани за шифроване на съобщения и друго съдържание, съхранени в облака на Webex. За всеки потребител в рамките на организацията, който е разпределен към хибридна защита на данни, заявките за създаване на нови ключове се насочват към клъстера. Клъстерът също така е отговорен за връщането на създадените ключове на всички потребители, упълномощени да ги извлекат, например членове на място за разговори.

Тъй като клъстерът изпълнява критичната функция за предоставяне на тези ключове, наложително е клъстерът да продължи да работи и да се поддържат подходящи резервни копия. Загубата на базата данни за хибридна защита на данни или на конфигурационния ISO, използван за схемата, ще доведе до НЕВЪЗСТАНОВИМА ЗАГУБА на клиентското съдържание. За предотвратяване на такава загуба са задължителни следните практики:

Ако при бедствие разполагането на HDS в основния център за данни стане недостъпно, следвайте тази процедура, за да се върнете ръчно към центъра за данни в режим на готовност.

1	Стартирайте инструмента за настройка на HDS и следвайте стъпките, споменати в Създаване на конфигурационен ISO за хостовете на HDS.
2	След конфигурирането на сървъра Syslogd щракнете върху Разширени настройки
3	На страницата Разширени настройки добавете конфигурацията по-долу или премахнете конфигурацията на `passiveMode` , за да направите възела активен. Възелът може да се справи с трафика, след като бъде конфигуриран. `пасивенРежим: невярно`
4	Завършете процеса на конфигуриране и запишете ISO файла на лесно за намиране място.
5	Направете резервно копие на ISO файла в локалната си система. Поддържайте архивното копие защитено. Този файл съдържа главен ключ за шифроване за съдържанието на базата с данни. Ограничете достъпа само до онези администратори на хибридна защита на данни, които трябва да направят промени в конфигурацията.
6	В левия навигационен екран на клиента VMware vSphere щракнете с десния бутон върху VM и щракнете върху Редактиране на настройките..
7	Щракнете върху Редактиране на настройките >CD/DVD диск 1 и изберете Datastore ISO файл. Уверете се, че са отметнати Свързани и Свързване при включване , за да могат актуализираните промени в конфигурацията да влязат в сила след стартиране на възлите.
8	Включете възела на HDS и се уверете, че няма аларми поне 15 минути.
9	Повторете процеса за всеки възел в центъра за данни в режим на готовност. Проверете изхода на syslog, за да потвърдите, че възлите на центъра за данни в режим на готовност не са в пасивен режим. „KMS, конфигурирани в пасивен режим“ не трябва да се показва в регистрационните файлове.

Какво да направите след това

След отказ, ако основният център за данни отново се активира, поставете отново центъра за данни в режим на готовност в пасивен режим, като следвате стъпките, описани в Настройка на центъра за данни в режим на готовност за възстановяване след бедствие.

(По избор) Демонтиране на ISO след конфигуриране на HDS

Стандартната конфигурация на HDS работи с монтирания ISO. Но някои клиенти предпочитат да не оставят ISO файловете постоянно монтирани. Можете да разглобите ISO файла, след като всички възли на HDS поемат новата конфигурация.

Все още използвате ISO файловете, за да направите промени в конфигурацията. Когато създавате нов ISO или актуализирате ISO чрез инструмента за настройка, трябва да монтирате актуализирания ISO на всички ваши HDS възли. След като всички ваши възли са приели промените в конфигурацията, можете да демонтирате ISO отново с тази процедура.

Преди да започнете

Надстройте всички ваши HDS възли до версия 2021.01.22.4720 или по-нова.

1	Затворете един от възлите си за HDS.
2	В уреда vCenter Server изберете възела на HDS.
3	Изберете Редактиране на настройките > CD/DVD диск и премахнете отметката от Datastore ISO файл.
4	Включете възела на HDS и се уверете, че няма аларми поне 20 минути.
5	Повторете за всеки HDS възел на смяна.

Отстраняване на неизправности в хибридна защита на данни

Преглед на предупрежденията и отстраняване на неизправности

Разполагането на хибридна защита на данни се счита за налично, ако всички възли в клъстера са недостъпни или клъстерът работи толкова бавно, че отнема време. Ако потребителите не могат да се свържат с вашия клъстер на хибридна защита на данни, те изпитват следните симптоми:

Не могат да се създават нови места (не могат да се създадат нови ключове)
Неуспешно дешифриране на съобщенията и заглавията на пространството за:
- Нови потребители, добавени към място (не могат да се извлекат ключове)
- Съществуващи потребители в място с помощта на нов клиент (не могат да се извлекат ключовете)
Съществуващите потребители в дадено място ще продължат да се изпълняват успешно, стига клиентите им да имат кеш с ключовете за шифроване

Важно е да наблюдавате правилно своя клъстер на хибридна защита на данни и да обръщате бързо към всички предупреждения, за да избегнете прекъсване на услугата.

Предупреждения

Ако има проблем с настройката на хибридна защита на данни, Control Hub показва предупреждения до администратора на организацията и изпраща имейли до конфигурирания имейл адрес. Предупрежденията обхващат много общи сценарии.

Таблица 1. Общи проблеми и стъпки за тяхното разрешаване
Предупреждение	Действие
Отказ на достъп до локална база данни.	Проверете за грешки в базата данни или проблеми с локалната мрежа.
Неуспешна връзка с локалната база данни.	Проверете дали сървърът с база данни е достъпен и дали са използвани правилните идентификационни данни за акаунта за услуга в конфигурацията на възела.
Неуспешен достъп до услугата в облака.	Проверете дали възлите имат достъп до сървърите на Webex, както е посочено в Изисквания за външна свързаност.
Подновяване на регистрацията за услуги в облака.	Регистрацията в услугите в облака беше прекъсната. Протича подновяване на регистрацията.
Регистрацията на услуги в облака е прекъсната.	Регистрирането в облачни услуги е прекратено. Услугата се затваря.
Услугата все още не е активирана.	Активирайте пробна версия или завършете преместването на пробната версия в производство.
Конфигурираният домейн не съответства на сертификата на сървъра.	Уверете се, че сертификатът на сървъра ви съответства на конфигурирания домейн за активиране на услугата. Най-вероятната причина е, че CN на сертификата наскоро е променен и сега е различен от CN, който е бил използван по време на първоначалната настройка.
Неуспешно удостоверяване в услугите в облака.	Проверете за точност и възможно изтичане на идентификационните данни за акаунта за услугата.
Неуспешно отваряне на локалния файл на клавиатурата.	Проверете за целостта и точността на паролата във файла с локалния клавиатура.
Сертификатът за локален сървър е невалиден.	Проверете датата на изтичане на сертификата на сървъра и потвърдете, че той е издаден от надежден сертифициращ орган.
Неуспешно публикуване на метриките.	Проверете достъпа до локалната мрежа до външни облачни услуги.
Директорията /media/configdrive/hds не съществува.	Проверете конфигурацията за монтаж на ISO на виртуалния хост. Проверете дали ISO файлът съществува, дали е конфигуриран да се монтира при рестартиране и дали се монтира успешно.

Отстраняване на неизправности в хибридна защита на данни

Използвайте следните общи насоки, когато отстранявате проблеми с хибридна защита на данни.

1	Прегледайте Control Hub за предупреждения и коригирайте всички елементи, които намерите там.
2	Прегледайте изхода на сървъра syslog за активност от разполагането на хибридна защита на данни.
3	Свържете се с поддръжката на Cisco.

Други бележки

Известни проблеми с хибридната защита на данните

Ако затворите своя клъстер на хибридна защита на данни (като го изтриете в Control Hub или като затворите всички възли), загубите своя ISO файл за конфигуриране или загубите достъп до базата данни на клавиатурата, вашите потребители на приложението Webex вече няма да могат да използват интервали в своя списък "Хора", създадени с ключове от вашия KMS. Това се отнася както за изпробване, така и за внедряване в производството. В момента нямаме заобиколно решение или корекция за този проблем и ви призовавам да не затваряте услугите си за HDS, след като обработват активни потребителски акаунти.
Клиент, който има съществуваща ECDH връзка към KMS, поддържа тази връзка за период от време (вероятно един час). Когато потребител стане член на изпробване на хибридна защита на данни, клиентът на потребителя продължава да използва съществуващата ECDH връзка, докато времето за изчакване изтече. Потребителят може също да излезе и да влезе отново в приложението Webex, за да актуализира местоположението, с което се свързва приложението за ключове за шифроване.

Същото поведение възниква, когато преместите изпробване в производство за организацията. Всички потребители, които не са пробни, със съществуващи ECDH връзки към предишните услуги за защита на данните ще продължат да използват тези услуги до предоговаряне на ECDH връзката (чрез изчакване или чрез излизане и обратно влизане).

Използване на OpenSSL за генериране на PKCS12 файл

Преди да започнете

OpenSSL е един инструмент, който може да се използва за създаване на PKCS12 файл в правилния формат за зареждане в инструмента за настройка на HDS. Има и други начини за това и ние не подкрепяме и не насърчаваме един път над друг.
Ако решите да използвате OpenSSL, ние предоставяме тази процедура като ръководство, за да ви помогнем да създадете файл, който отговаря на изискванията за сертификат X.509 в Изисквания за сертификат X.509. Разберете тези изисквания, преди да продължите.
Инсталирайте OpenSSL в поддържана среда. Вижте https://www.openssl.org софтуера и документацията.
Създайте частен ключ.
Започнете тази процедура, когато получите сертификата на сървъра от вашия сертифициращ орган (CA).

1	Когато получите сертификата на сървъра от вашия CA, запишете го като `hdsnode.pem`.
2	Показване на сертификата като текст и проверете подробностите. `openssl x509 -текст -noout -в hdsnode.pem`
3	Използвайте текстов редактор, за да създадете файл пакет сертификат, наречен `hdsnode-bundle.pem`. Пакетният файл трябва да включва сертификата на сървъра, всички междинни CA сертификати и корневи CA сертификати в следния формат: `-----начало на сертификат----- ### сертификат на сървър. ### -----край на сертификат--------------- начало на сертификат------ ### Междинен CA сертификат. ### -----край на сертификат--------------- начало на сертификат------ ### Корневи CA сертификат. ### -----край на сертификат-----`
4	Създайте .p12 файла с приятелското име `kms-частен-ключ`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Проверете подробностите за сертификата на сървъра. `openssl pkcs12 -в hdsnode.p12` Въведете парола при подкана да шифровате частния ключ, така че да се показва в изхода. След това се уверете, че частният ключ и първият сертификат включват линиите `friendlyName: kms-частен-ключ`. Пример: bash$ openssl pkcs12 -in hdsnode.p12 Въведете паролата за импортиране: MAC потвърди атрибути OK Bag friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Ключови атрибути: Въведете фраза за преминаване на PEM: Потвърждаване – Въведете фраза за достъп до PEM: -----BEGIN ENCRYPTED PRIVATE KEY----- -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE------ Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-----

Какво да направите след това

Върнете се, за да изпълните изискванията за хибридна защита на данни. Ще използвате файла hdsnode.p12 и паролата, която сте задали за него, в Създаване на конфигурационен ISO за организаторите на HDS.

Можете да използвате повторно тези файлове, за да поискате нов сертификат, когато първоначалният сертификат изтече.

Трафик между възлите на HDS и облака

Изходящ трафик за събиране на метрики

Възлите на хибридна защита на данни изпращат определени показатели към облака на Webex. Те включват системни метрики за heap max, използван heap, натоварване на процесора и брой нишки; метрики за синхронните и асинхронните нишки; метрики за предупрежденията, включващи праг на шифроване връзки, латентност или дължина на опашката за заявки; метрики за datastore; и метрики за връзката за шифроване. Възлите изпращат материали за шифрован ключ през нечестотен (отделен от заявката) канал.

Входящ трафик

Възлите на хибридна защита на данни получават следните типове входящ трафик от облака на Webex:

Заявки за шифроване от клиенти, които се маршрутизират от услугата за шифроване
Надстройки до софтуера за възли

Конфигуриране на прокси сървъри за хибридна защита на данните

Websocket не може да се свърже чрез сепия прокси

Прокси сървърите, които инспектират HTTPS трафика, могат да повлияят на създаването на websocket (в к:) връзки, които изискват хибридната защита на данните. Тези раздели дават насоки как да конфигурирате различни версии на Калмар, за да игнорирате wss: трафик за правилното функциониране на услугите.

Калмята 4 и 5

Добавете on_unsupported_protocol директивата към squid.conf:

on_unsupported_protocol тунел

Сепия 3.5.27

Успешно тествахме Hybrid Data Security със следните правила, добавени към squid.conf. Тези правила подлежат на промяна, тъй като разработваме функции и актуализираме webex облака.

acl wssMercuryConnection ssl::server_name_regex mercury-connection ssl_bump splice wssMercuryConnection acl step1 at_step SslBump1 acl step2 at_step SslBump2 acl step3 at_step SslBump3 ssl_bump надничане step1 всички ssl_bump stare step2 всички ssl_bump bump step3 всички

Предговор

Нова и променена информация

Дата	Направени промени
07 януари 2025 г.	Актуализирани изисквания за виртуален хост, Поток от задачи за разполагане на хибридна защита на данни, и Инсталиране на HDS Host OVA , за да се покаже ново изискване на ESXi 7.0.
20 октомври 2023 г.	Актуализирана информация в изискванията към сървъра с база данни. Добавено е Настройване на Standby Data Center за възстановяване след бедствие. Актуализирана информация в Standby Data Center за възстановяване след бедствие и Възстановяване след бедствие чрез Standby Data Center.
07 август 2023 г.	Добавена е бележка в Изтегляне на инсталационни файлове. Добавена е бележка в Създаване на конфигурация ISO за хостовете на HDS и Промяна на конфигурацията на възела.
23 май 2023 г.	Изтрита информация от изискванията към сървъра за база данни , изискваща функция, която да бъде активирана чрез свързване с екипа за акаунти. Актуализирана информация в Изисквания за външна свързаност и добавена Канада към таблицата с хостове на CI. Добавена е бележка в Очакванията за разполагане на хибридна защита на данни по отношение на липсата на механизми за преместване на ключовете обратно в облака.
06 декември 2022 г.	Изображенията на инструмента за настройка на HDS вече се хостват в хранилището `ciscocitg` dockerhub. Актуализирани са Създаване на конфигурация ISO за хостовете на HDS и Промяна на темите на конфигурация на възела , за да възстановите промените в командите.
23 ноември 2022 г.	HDS възлите вече могат да използват удостоверяване на Windows срещу Microsoft SQL Server. Актуализирана е темата за изискванията към сървъра с база данни с допълнителни изисквания за този режим на удостоверяване. Актуализиран е Създаване на конфигурационен ISO за хостовете на HDS с процедурата за конфигуриране на удостоверяване на Windows на възлите. Актуализирана е темата за изискванията към сървъра за база данни с нови минимални задължителни версии (PostgreSQL 10).
13 октомври 2021 г.	Docker Desktop трябва да стартира програма за настройка, преди да можете да инсталирате възли на HDS. Вижте Изисквания за закачане на работния плот.
юни 24, 2021	Имайте предвид, че можете да използвате повторно файла с частен ключ и CSR, за да поискате друг сертификат. Вижте Използване на OpenSSL за генериране на PKCS12 файл за подробности.
30 април 2021 г.	Променено е изискването за VM за локално място на твърдия диск на 30 GB. Вижте Изисквания за виртуален организатор за подробности.
24 февруари 2021	Инструментът за настройка на HDS вече може да се изпълнява зад прокси сървър. Вижте Създаване на конфигурация ISO за хостовете на HDS за подробности.
Февруари 2, 2021	HDS вече може да се изпълнява без монтиран ISO файл. Вижте (По избор) Демонтиране на ISO след конфигуриране на HDS за подробности.
11 януари 2021 г.	Добавена е информация за инструмента за настройка на HDS и прокси сървъри, за да се създаде конфигурационен ISO за хостовете на HDS.
13 октомври 2020 г	Изтегляне на инсталационни файлове е актуализирано.
08 октомври 2020 г.	Актуализиран е Създаване на конфигурация ISO за HDS хостовете и Промяна на конфигурацията на възела с команди за среди на FedRAMP.
14 август 2020 г	Актуализиран е Създаване на конфигурация ISO за хостовете на HDS и Промяна на конфигурацията на възела с промени в процеса на влизане.
5 август 2020 г	Актуализиран Тестване на внедряването на хибридна защита на данни за промени в съобщенията в регистрационните файлове. Актуализирани са изискванията за виртуален организатор , за да се премахне максималният брой организатори.
16 юни 2020 г	Актуализиран е Премахване на възел за промени в потребителския интерфейс на Control Hub.
4 юни 2020 г	Актуализиран е Създаване на конфигурационен ISO за хостовете на HDS за промени в разширените настройки, които може да зададете.
29 май 2020 г	Актуализиран е Създаване на конфигурационен ISO за хостовете на HDS , за да се покаже, че можете да използвате и TLS с бази данни на SQL Server, промени на потребителския интерфейс и други пояснения.
5 май 2020 г	Актуализирани са изискванията за виртуален хост, за да се покаже новото изискване на ESXi 6.5.
21 април 2020 г.	Актуализирани са Изисквания за външна свързаност с нови организатори на CI в Americas.
1 април 2020 г.	Актуализирани са Изисквания за външна свързаност с информация за регионалните организатори на CI.
20 февруари 2020 г	Актуализиран е Създаване на конфигурационен ISO за хостовете на HDS с информация за нов екран с незадължителни разширени настройки в инструмента за настройка на HDS.
14 февруари 2019 г.	Актуализирани са изискванията за прокси сървъра.
16 декември 2019 г.	Поясни изискването за режим на блокирано външно разрешаване на DNS, за да работи в Изисквания към прокси сървъра.
19 ноември 2019	Добавена е информация за режима на блокирано външно DNS разрешаване в следните раздели: Поддръжка на прокси Конфигуриране на HDS възел за интегриране на прокси сървър Изключване на режим на блокирана външна DNS разделителна способност
8 ноември 2019 г	Вече можете да конфигурирате мрежови настройки за даден възел, докато разполагате с OVA, а не след това. Следните раздели са съответно актуализирани: Поток на задачи за разполагане на хибридна защита на данни Инсталиране на HDS Host OVA Настройване на VM на хибридна защита на данни Опцията за конфигуриране на мрежовите настройки по време на разполагането на OVA е тествана с ESXi 6.5. Опцията може да не е налична в по-ранни версии.
6 септември 2019 г	Добавен е SQL Server Standard към изискванията за сървъра за база данни.
Август 29, 2019	Добавено е приложение Конфигуриране на прокси сървъри за хибридна защита на данни с насоки за конфигуриране на прокси сървъри за игнориране на трафика на уеб сокети за правилна работа.
Август 20, 2019	Добавени и актуализирани раздели, за да обхванат поддръжката на прокси сървър за комуникации с възела на хибридна защита на данни към облака на Webex. Поддръжка на прокси Изисквания към прокси сървъра Конфигуриране на HDS възел за интегриране на прокси сървър За достъп само до съдържанието на прокси поддръжката за съществуващо разполагане вижте помощната статия Поддръжка на прокси сървъра за хибридна защита на данни и Webex Video Mesh .
13 юни 2019 г.	Актуализиран е Пробен в производствен поток на задачи с напомняне за синхронизиране на груповия обект `HdsTrialGroup` преди започване на пробен период, ако вашата организация използва синхронизиране на указатели.
06 март 2019 г.	Премести изискванията и предварителните изисквания в отделна глава, Подготовка на средата. Добавен е Поток на задачи за разполагане на хибридна защита на данни общ преглед в главата Настройване на клъстер на хибридна защита на данни. Имайте предвид, че докато не започнете изпробване (като използвате инструкциите в следващата глава) вашите възли генерират аларма, която показва, че услугата ви все още не е активирана. Добавен е Пробен в производствения поток на задачи в главата Изпълнение на пробен период и преминаване към производство.
Февруари 28, 2019	Коригирано е количеството локално място на твърдия диск на сървър, което трябва да заделите при подготовката на виртуалните хостове, които стават възли на хибридна защита на данни, от 50 GB до 20 GB, за да се отрази размера на диска, който OVA създава.
26 февруари 2019 г.	Възлите на хибридна защита на данни вече поддържат шифровани връзки със сървъри с бази данни на PostgreSQL и шифровани връзки за регистриране към syslog сървър с възможност за TLS. Актуализиран е Създаване на конфигурационен ISO за хостовете на HDS с инструкции. Премахнати са целеви URL адреси от таблицата „Изисквания за свързаност с интернет за VMs с възли на хибридна защита на данни“. Таблицата сега се отнася до списъка, поддържан в таблицата „Допълнителни URL адреси за хибридни услуги на Webex Teams“ на Мрежови изисквания за услугите на Webex Teams.
Януари 24, 2019	Хибридната защита на данните вече поддържа Microsoft SQL Server като база данни. Винаги включен SQL Server (Винаги включен клъстер за преместване при отказ и винаги включен групи за наличност) се поддържа от JDBC драйвери, които се използват в хибридната защита на данните. Добавено съдържание, свързано с разполагане с SQL сървър. Поддръжката на Microsoft SQL Server е предназначена само за нови разполагания на хибридната защита на данните. Понастоящем не поддържаме мигриране на данни от PostgreSQL към Microsoft SQL Server в съществуващо разполагане.
5 ноември 2018 г.	Добавена е предварителна стъпка за изчистване на всички съществуващи екземпляри на hds на docker в Създаване на конфигурация ISO за хостовете на HDS и Промяна на конфигурацията на възела. Актуализирана е стъпката на ниво на достъп до ключ в Създаване на конфигурация ISO за хостовете на HDS , за да съответства на интерфейса.
19 октомври 2018 г.	Разделете информацията за връзката на защитната стена на изисквания към възлите и изисквания на машината за конфигуриране на ISO в Завършване на предварителните изисквания за хибридна защита на данните.
Юли 31, 2018	Добавен е порт 22 (SSH достъп) и информация за NAT и защитните стени връзки, за да изпълните изискванията за хибридна защита на данните.
21 май 2018 г.	Променена терминология, за да отрази ребрандиране на Cisco Spark: Хибридна защита на данни на Cisco Spark вече е хибридна защита на данни. Приложението Cisco Spark сега е приложението Webex App. Облакът на Cisco Collaboraton сега е облакът на Webex.
11 април 2018 г.	Добавен е Standby Data Center за възстановяване след бедствие. Актуализирано: Изпълнете изискванията за хибридна защита на данни , за да посочите, че средата за архивиране трябва да бъде в друг център за данни. Актуализирано е Възстановяване при бедствие с използване на Standby Data Center.
22 февруари 2018 г	Добавена е информация за 9-месечния жизнен цикъл на паролата за сервизния акаунт и използване на инструмента за настройка на HDS за нулиране на паролите за сервизния акаунт в Създаване на ISO конфигурация за хостовете на HDS и Промяна на конфигурацията на възела.
15 февруари 2018	В таблицата с изисквания за сертификат X.509 е посочено, че сертификатът не може да бъде заместващ сертификат и че KMS използва домейна CN, а не всеки домейн, който е дефиниран в полетата на SAN.509v3.
18 януари 2018	Добавено допълнение, Трафик между възлите на HDS и облака. Премахнат е разрешен проблем от Известни проблеми за хибридна защита на данни. Променен index.docker.io на .docker.io и добавен .cloudfront.net към списъка с изисквания за TCP свързаност за възлите на HDS в Завършване на предварителните изисквания за хибридна защита на данните. Актуализиран е Създаване на конфигурационен ISO за хостовете на HDS , за да се посочи, че ако хостът на базата данни и сървърът за syslogd не могат да се разрешават чрез DNS от HDS възлите, трябва да ги конфигурирате, като използвате IP адреси.
2 ноември 2017 г	Изяснено синхронизиране на указатели на HdsTrialGroup. Фиксирани инструкции за качване на ISO конфигурационния файл за монтаж във VM възлите.
18 август 2017 г.	Първо публикуване

Първи стъпки с хибридна защита на данни

Общ преглед на хибридна защита на данни

От първия ден сигурността на данните е основният фокус при проектирането на приложението Webex. Крайъгълният камък на тази защита е цялостното шифроване на съдържание, разрешено от клиентите на приложението Webex, които взаимодействат с услугата за управление на ключове (KMS). KMS отговаря за създаването и управлението на криптографски ключове, които клиентите използват за динамично криптиране и дешифриране на съобщения и файлове.

По подразбиране всички клиенти на приложението Webex получават цялостно шифроване с динамични ключове, съхранявани в облака KMS, в областта на защитата на Cisco. Хибридната защита на данните премества KMS и други свързани със сигурността функции във вашия корпоративен център за данни, така че никой освен вас не държи ключовете за вашето криптирано съдържание.

Архитектура на областта на сигурността

Архитектурата на облака на Webex разделя различните типове услуги в отделни области или домейни на доверие, както е описано по-долу.

За да разберем по-подробно хибридната защита на данните, нека първо разгледаме този случай в облака, където Cisco предоставя всички функции в своите облачни области. Услугата за самоличност, единственото място, където потребителите могат да бъдат пряко свързани с тяхната лична информация, като имейл адрес, е логично и физически отделена от областта на защитата в центъра за данни B. И двете от своя страна са отделени от областта, в която в крайна сметка се съхранява шифровано съдържание, в центъра за данни C.

На тази схема клиентът е приложението Webex, което се изпълнява на лаптопа на потребителя, и е удостоверен с услугата за самоличност. Когато потребителят композира съобщение за изпращане до интервал, се извършват следните стъпки:

Клиентът установява защитена връзка с услугата за управление на ключове (KMS), след което иска ключ за шифроване на съобщението. Защитената връзка използва ECDH, а KMS шифрова ключа с помощта на главния ключ AES-256.
Съобщението е шифровано преди да напусне клиента. Клиентът го изпраща на услугата за индексиране, която създава шифровани индекси за търсене, за да подпомогне при бъдещи търсения на съдържанието.
Шифрованото съобщение се изпраща на услугата за съответствие за проверки за съответствие.
Шифрованото съобщение се съхранява в областта на мястото за съхранение.

Когато разположите хибридна защита на данни, премествате функциите на областта на защитата (KMS, индексиране и съответствие) в своя локален център за данни. Другите услуги в облака, които съставляват Webex (включително съхранение на самоличност и съдържание), остават в областите на Cisco.

Сътрудничество с други организации

Потребителите във вашата организация могат редовно да използват приложението Webex за сътрудничество с външни участници в други организации. Когато един от вашите потребители поиска ключ за място, което е собственост на вашата организация (защото е създадено от един от вашите потребители), вашата KMS изпраща ключа на клиента чрез ECDH защитен канал. Когато обаче друга организация притежава ключа за пространството, вашият KMS маршрутизира заявката към облака Webex чрез отделен ECDH канал, за да получи ключа от съответния KMS и след това връща ключа на вашия потребител в оригиналния канал.

Услугата KMS, изпълнявана в организация А, валидира връзките към KMS в други организации, като използва x.509 PKI сертификати. Вижте Изисквания за хибридна защита на данни (в тази статия) за подробности относно генерирането на сертификат x.509, който да използвате с разполагането си на хибридна защита на данни.

Очаквания за внедряване на хибридна защита на данни

Внедряването на хибридна защита на данни изисква значителна ангажираност на клиентите и осведоменост за рисковете, които идват от притежанието на ключове за шифроване.

За да разположите хибридна защита на данни, трябва да предоставите:

Защитен център за данни в страна, която е поддържано местоположение за плановете на Cisco Webex Teams.
Оборудването, софтуерът и мрежовият достъп, описани в Изисквания за хибридна защита на данните.

Пълната загуба или на конфигурационния ISO, който изграждате за хибридна защита на данни, или на базата данни, която предоставяте, ще доведе до загуба на ключове. Загубата на ключове не позволява на потребителите да дешифрират съдържанието в пространството и други шифровани данни в приложението Webex. Ако това се случи, можете да изградите ново разполагане, но ще се вижда само новото съдържание. За да избегнете загуба на достъп до данни, трябва:

Управлявайте архивирането и възстановяването на базата данни и конфигурационния ISO.
Бъдете готови да извършите бързо възстановяване след бедствие, ако възникне катастрофа, като повреда на диска на базата данни или бедствие на центъра за данни.

Няма механизъм за преместване на ключовете обратно в облака след разполагане на HDS.

Процес на настройка на високо ниво

Този документ обхваща настройката и управлението на разполагането на хибридна защита на данни:

Настройка на хибридна защита на данни – това включва подготовка на необходимата инфраструктура и инсталиране на софтуера на хибридна защита на данни, тестване на внедряването ви с поднабор от потребители в пробен режим и след като тестването ви завърши, преминаване към производство. Това конвертира цялата организация, за да използва вашия клъстер на хибридна защита на данни за функции на защитата.
Етапите на настройка, изпробване и производство са подробно описани в следващите три глави.
Поддържайте разполагането на хибридна защита на данни – Облакът на Webex автоматично предоставя текущи надстройки. Вашият ИТ отдел може да предостави поддръжка от първо ниво за това разполагане и да ангажира поддръжката на Cisco, ако е необходимо. В Control Hub можете да използвате известия на екрана и да настроите имейл предупреждения.
Разбиране на често срещаните предупреждения, стъпките за отстраняване на неизправности и известни проблеми – ако срещнете проблеми при разполагането или използването на хибридна защита на данни, последната глава от това ръководство и приложението „Известни проблеми“ могат да ви помогнат да определите и коригирате проблема.

Модел на разполагане на хибридна защита на данни

В рамките на вашия корпоративен център за данни разполагате с хибридна защита на данни като един клъстер от възли на отделни виртуални хостове. Възлите комуникират с облака на Webex чрез защитени уеб сокети и защитен HTTP.

По време на процеса на инсталиране ви предоставяме файла OVA, за да настроите виртуалния уред на VMs, които предоставяте. Използвайте инструмента за настройка на HDS, за да създадете персонализиран ISO файл за конфигуриране на клъстери, който да монтирате на всеки възел. Клъстерът на хибридна защита на данни използва предоставения ви сървър Syslogd и базата данни на PostgreSQL или Microsoft SQL Server. (Можете да конфигурирате подробностите за връзката на Syslogd и базата данни в инструмента за настройка на HDS.)

Модел на разполагане на хибридна защита на данни

Минималният брой възли, които можете да имате в клъстер, е два. Препоръчваме поне по три на клъстер. Наличието на множество възли гарантира, че услугата не се прекъсва по време на надстройка на софтуера или друга дейност по поддръжка на даден възел. (Облакът на Webex надгражда само един възел в даден момент.)

Всички възли в клъстера имат достъп до един и същ файл с ключове и регистрационната активност към един и същ syslog сървър. Самите възли са без гражданство и обработват ключови заявки в кръгла форма, както е указано от облака.

Възлите стават активни, когато ги регистрирате в Control Hub. За да излезете от експлоатация отделен възел, можете да го дерегистрирате и по-късно да го регистрирате отново, ако е необходимо.

Поддържаме само един клъстер на организация.

Пробен режим на хибридна защита на данни

След като настроите разполагане на хибридна защита на данни, първо го изпробвайте с набор от пилотни потребители. По време на пробния период тези потребители използват вашия локален домейн за хибридна защита на данни за ключове за шифроване и други услуги от областта на защитата. Другите ви потребители продължават да използват областта на защита на облака.

Ако решите да не продължите с разполагането по време на пробния период и да деактивирате услугата, пилотните потребители и всички потребители, с които са взаимодействали чрез създаване на нови места по време на пробния период, ще загубят достъп до съобщенията и съдържанието. Те ще видят \„Това съобщение не може да бъде дешифрирано\“ в приложението Webex.

Ако сте доволни, че разполагането ви работи добре за пробните потребители и сте готови да разширите хибридната защита на данни до всички свои потребители, преместете разполагането в производство. Пилотните потребители продължават да имат достъп до ключовете, които са били използвани по време на пробния период. Не можете обаче да се движите напред-назад между производствения режим и първоначалното изпробване. Ако трябва да деактивирате услугата, например да извършите възстановяване след бедствие, когато активирате повторно, трябва да започнете нов пробен период и да настроите набора от пилотни потребители за новия пробен период, преди да се върнете към производствен режим. Дали потребителите запазват достъпа до данни в този момент зависи от това дали успешно сте поддържали резервни копия на хранилището за основни данни и конфигурационния файл за ISO за възлите на хибридна защита на данни във вашия клъстер.

Standby Data Center за възстановяване при бедствия

По време на разгръщането настройвате защитен център за данни в режим на готовност. В случай на бедствие на центъра за данни можете ръчно да не успеете при разполагането си в центъра за данни в режим на готовност.

Базите данни на активните центрове за данни и центровете за данни в режим на готовност са синхронизирани помежду си, което ще сведе до минимум времето, необходимо за извършване на превключването при отказ. ISO файлът на центъра за данни в режим на готовност се актуализира с допълнителни конфигурации, които гарантират, че възлите са регистрирани в организацията, но няма да се справят с трафика. Следователно възлите на центъра за данни в режим на готовност винаги остават актуални с най-новата версия на софтуера на HDS.

Активните възли на хибридна защита на данни трябва винаги да бъдат в същия център за данни като активния сървър с база данни.

Настройване на Standby Data Center за възстановяване при бедствия

Следвайте стъпките по-долу, за да конфигурирате ISO файла на центъра за данни в режим на готовност:

Преди да започнете

Центърът за данни в режим на готовност трябва да отразява производствената среда на VMs и архивна база данни PostgreSQL или Microsoft SQL Server. Например, ако производството има 3 VMs, работещи с HDS възли, резервната среда трябва да има 3 VMs. (Вижте Standby Data Center for Disaster Recovery за общ преглед на този модел на отказ.)
Уверете се, че синхронизирането на базата данни е разрешено между базата данни на активните и пасивните възли на клъстерите.

1	Стартирайте инструмента за настройка на HDS и следвайте стъпките, споменати в Създаване на конфигурационен ISO за хостовете на HDS. ISO файлът трябва да бъде копие на оригиналния ISO файл на основния център за данни, върху който трябва да се направят следните актуализации на конфигурацията.
2	След конфигурирането на сървъра Syslogd щракнете върху Разширени настройки
3	На страницата Разширени настройки добавете конфигурацията по-долу, за да поставите възела в пасивен режим. В този режим възелът ще бъде регистриран в организацията и свързан към облака, но няма да обработва никакъв трафик. `пасивенРежим: „вярно“`
4	Завършете процеса на конфигуриране и запишете ISO файла на лесно за намиране място.
5	Направете резервно копие на ISO файла в локалната си система. Поддържайте архивното копие защитено. Този файл съдържа главен ключ за шифроване за съдържанието на базата с данни. Ограничете достъпа само до онези администратори на хибридна защита на данни, които трябва да направят промени в конфигурацията.
6	В левия навигационен екран на клиента VMware vSphere щракнете с десния бутон върху VM и щракнете върху Редактиране на настройките..
7	Щракнете върху Редактиране на настройките >CD/DVD диск 1 и изберете Datastore ISO файл. Уверете се, че са отметнати Свързани и Свързване при включване , за да могат актуализираните промени в конфигурацията да влязат в сила след стартиране на възлите.
8	Включете възела на HDS и се уверете, че няма аларми поне 15 минути.
9	Повторете процеса за всеки възел в центъра за данни в режим на готовност. Проверете регистрационните файлове в syslog, за да потвърдите, че възлите са в пасивен режим. Трябва да можете да виждате съобщението „KMS, конфигурирано в пасивен режим“ в регистрационните файлове в syslog.

Какво да направите след това

След като конфигурирате passiveMode в ISO файла и го запишете, можете да създадете друго копие на ISO файла без конфигурацията на passiveMode и да го запишете на защитено място. Това копие на ISO файла без конфигуриран passiveMode може да помогне при бърз процес на отказ по време на възстановяване след бедствие. Вижте Възстановяване при бедствие с използване на Standby Data Center за подробната процедура при отказ.

Поддръжка на прокси

Hybrid Data Security поддържа изрични, прозрачни проверяващи и неинспектационни проксита. Можете да свържете тези проксита към разполагането си, така че да можете да подсигурите и наблюдавате трафика от предприятието навън към облака. Можете да използвате администраторски интерфейс на платформа на възлите за управление на сертификати и да проверите цялостното състояние на свързване, след като настроите прокси сървъра на възлите.

Хибридните възли за защита на данните поддържат следните опции за прокси:

Няма прокси сървър – Стойността по подразбиране, ако не използвате конфигурацията за настройка на HDS възел на доверено хранилище и прокси сървър за интегриране на прокси сървър. Не се изисква актуализация на сертификата.
Прозрачен прокси сървър без проверка – възлите не са конфигурирани да използват определен адрес на прокси сървъра и не трябва да изискват промени, за да работят с прокси сървър без проверка. Не се изисква актуализация на сертификата.
Прозрачно тунелиране или проверка на прокси сървъра – възлите не са конфигурирани да използват определен адрес на прокси сървъра. На възлите не са необходими промени в конфигурацията на HTTP или HTTPS. Възлите обаче се нуждаят от главен сертификат, така че да се доверяват на прокси. Проверяващите пълномощници обикновено се използват от It за прилагане на политики, на които могат да бъдат посетени уебсайтовете и кои видове съдържание не са разрешени. Този тип прокси дешифрира целия ви трафик (дори HTTPS).
Изричен прокси сървър – С изричния прокси сървър казвате на HDS кои прокси сървъри и схема за удостоверяване да използват. За да конфигурирате изрично прокси, трябва да въведете следната информация на всеки възел:
1. Прокси IP/FQDN – адрес, който може да се използва за свързване с прокси машината.
2. Прокси порт – номер на порт, който прокси сървърът използва за слушане за прокси трафик.
3. Прокси протокол – в зависимост от това, което поддържа прокси сървърът ви, изберете между следните протоколи:
  - HTTP—Преглежда и контролира всички заявки, които клиентът изпраща.
  - HTTPS—Предоставя канал на сървъра. Клиентът получава и валидира сертификата на сървъра.
4. Тип удостоверяване – изберете измежду следните типове удостоверяване:
  - Няма – Не се изисква допълнително удостоверяване.
    
    Налично, ако изберете или HTTP Или HTTPS като протокол за прокси.
  - Основни—Използва се за HTTP потребителски агент, за да предостави потребителско име и парола при подаване на заявка. Използва Base64 кодиране.
    
    Налично, ако изберете или HTTP Или HTTPS като протокол за прокси.
    
    Изисква да въведете потребителското име и паролата на всеки възел.
  - Обобщаване – използва се за потвърждаване на акаунта, преди да се изпрати чувствителна информация. Прилага хеш функция на потребителското име и паролата преди изпращане по мрежата.
    
    Предлага се само ако изберете HTTPS като протокол за прокси.
    
    Изисква да въведете потребителското име и паролата на всеки възел.

Пример за хибридни данни сигурност възли и прокси

Тази диаграма показва примерна връзка между защитата на хибридните данни, мрежата и прокси. За прозрачния инспектиращ и HTTPS изричен инспектиращ прокси опции, един и същ главен сертификат трябва да бъде инсталиран на прокси и на хибридните възли за защита на данните.

Блокиран режим на външна DNS разделителна способност (изрични прокси конфигурации)

Когато регистрирате възел или проверете конфигурацията на прокси сървъра на възела, процесът тества DNS справка и свързаност към облака Cisco Webex. В разполагане с изрични прокси конфигурации, които не позволяват външна DNS разделителна способност за вътрешни клиенти, ако възелът не може да заявка DNS сървъри, тя автоматично преминава в режим блокирани външни DNS резолюция. В този режим може да се процедира регистрация на възли и други тестове за свързване на прокси.

Подгответе средата си

Изисквания за хибридна защита на данните

Изисквания за лицензи за Cisco Webex

За да разположите хибридна защита на данните:

Трябва да имате Pro Pack за Cisco Webex Control Hub. (Вижте https://www.cisco.com/go/pro-pack.)

Изисквания за закачане на работния плот

Преди да инсталирате възлите на HDS, трябва Docker Desktop, за да изпълните инсталационна програма. Docker наскоро актуализира своя модел на лицензиране. Вашата организация може да изисква платен абонамент за Docker Desktop. За подробности вижте публикацията в блога на Docker, " Docker е Актуализиране и разширяване на нашите абонаментиза продукти".

X.509 Изисквания за сертификата

Веригата на сертификатите трябва да отговаря на следните изисквания:

Таблица 1. X.509 Изисквания за сертификата за разполагане на хибридна защита на данни
Изискване	Подробности
Подписан от надежден сертифициращ орган (CA)	По подразбиране се доверяваме на сертифициращите органи в списъка на Mozilla (с изключение на WoSign и StartCom) на https://wiki.mozilla.org/CA:IncludedCAs.
Носи общо име (CN) име на домейн, което идентифицира вашето разполагане на хибридна защита на данни Не е заместващ сертификат	CN не е нужно да е достъпен или хост на живо. Препоръчваме ви да използвате име, което отразява вашата организация, например `hds.company.com`. CN не трябва да съдържа * (заместващ символ). CN се използва за проверка на възлите на хибридна защита на данни за клиентите на приложението Webex. Всички възли на хибридна защита на данни във вашия клъстер използват един и същ сертификат. Вашият KMS се идентифицира с помощта на CN домейна, а не с произволен домейн, дефиниран в полетата x.509v3 SAN. След като сте регистрирали възел с този сертификат, не поддържаме промяна на името на CN домейна. Изберете домейн, който може да се прилага както за пробно, така и за производствени разполагания.
Подпис, който не е SHA1	Софтуерът KMS не поддържа подписи SHA1 за валидиране на връзки с KMS на други организации.
Форматиран като защитен с парола PKCS #12 файл Използвайте приятелското име на `kms-private-key` , за да маркирате сертификата, частния ключ и всички междинни сертификати за качване.	Можете да използвате конвертор, като OpenSSL, за да промените формата на сертификата си. Ще трябва да въведете паролата, когато стартирате инструмента за настройка на HDS.

Софтуерът KMS не налага използване на ключове или не разширява ограниченията за използване на ключове. Някои сертифициращи органи изискват за всеки сертификат да се прилагат разширени ограничения за използване на ключа, като например удостоверяване на сървъра. Добре е да използвате удостоверяване на сървъра или други настройки.

Изисквания за виртуален организатор

Виртуалните хостове, които ще настроите като възли на хибридна защита на данни във вашия клъстер, имат следните изисквания:

Поне два отделни хоста (препоръчва се 3), разположени съвместно в един и същ защитен център за данни
VMware ESXi 7.0 (или по-нова версия) е инсталиран и работи.

Трябва да надстроите, ако имате по-стара версия на ESXi.
Минимум 4 vCPU, 8 GB основна памет, 30 GB локално място на твърдия диск на сървър

Изисквания към сървъра за база данни

Създайте нова база данни за съхранение на ключове. Не използвайте базата данни по подразбиране. Приложенията на HDS, когато са инсталирани, създават схемата на базата с данни.

Има две опции за сървъра с база данни. Изискванията за всеки от тях са, както следва:

Таблица 2. Изисквания за сървъра с база данни по тип база данни
PostgreSQL	Microsoft SQL сървър
PostgreSQL 14, 15 или 16, инсталиран и се изпълнява.	Инсталиран е SQL Server 2016, 2017, или 2019 (корпоративен или стандартен). SQL Server 2016 изисква Service Pack 2 и Кумулативна актуализация 2 или по-нова версия.
Минимум 8 vCPU, 16 GB основна памет, достатъчно място на твърдия диск и наблюдение, за да се гарантира, че не е превишено (препоръчва се 2 TB, ако искате да стартирате базата данни дълго време, без да е необходимо да увеличавате мястото за съхранение)	Минимум 8 vCPU, 16 GB основна памет, достатъчно място на твърдия диск и наблюдение, за да се гарантира, че не е превишено (препоръчва се 2 TB, ако искате да стартирате базата данни дълго време, без да е необходимо да увеличавате мястото за съхранение)

HDS софтуерът в момента инсталира следните версии на драйвери за комуникация със сървъра с база данни:

PostgreSQL

Microsoft SQL сървър

Postgres JDBC драйвер 42.2.5

SQL Server JDBC драйвер 4.6

Тази версия на драйвера поддържа SQL Server Always On ( Винаги включен екземпляр на клъстера при отказ и Винаги включен групи за наличност).

Допълнителни изисквания за удостоверяване на Windows срещу Microsoft SQL Server

Ако искате HDS възлите да използват удостоверяване на Windows, за да получат достъп до вашата база данни на Keystore на Microsoft SQL Server, тогава е необходима следната конфигурация във вашата среда:

Възлите на HDS, инфраструктурата на Active Directory и MS SQL Server трябва да бъдат синхронизирани с NTP.
Акаунтът за Windows, който предоставяте на възли на HDS, трябва да има достъп за четене/запис до базата данни.
DNS сървърите, които предоставяте на HDS възли, трябва да могат да разрешават вашия център за разпределение на ключове (KDC).
Можете да регистрирате екземпляра на базата данни на HDS на Microsoft SQL Server като основно име на услуга (SPN) на Active Directory. Вижте Регистриране на основно име на услуга за Kerberos връзки.

Инструментът за настройка на HDS, HDS стартера и локалния KMS трябва да използват удостоверяване на Windows за достъп до базата данни на Keystore. Те използват подробностите от вашата ISO конфигурация, за да конструират SPN, когато заявяват достъп с удостоверяване на Kerberos.

Изисквания за външна връзка

Конфигурирайте защитната стена, за да разрешите следната свързаност за приложенията на хибридна защита на данни:

Приложение	Протокол	Порт	Посока от приложението	Местоназначение
Възли на хибридна защита на данни	TCP	443	Изходящи HTTPS и ВиК	Сървъри на Webex: .wbx2.com .ciscospark.com Всички организатори на Common Identity Други URL адреси, които са изброени за хибридна защита на данни в таблицата Допълнителни URL адреси за хибридни услуги на Webex на мрежовите изисквания за услугите на Webex
Инструмент за настройка на HDS	TCP	443	Изходящ HTTPS	*.wbx2.com Всички организатори на Common Identity hub.docker.com

Възлите на хибридна защита на данни работят с превод на мрежовия достъп (NAT) или зад защитна стена, при условие че NAT или защитната стена позволяват необходимите изходящи връзки към местоназначенията на домейна в предходната таблица. За връзки, влизащи във входящи възли на хибридна защита на данни, от интернет не трябва да се виждат портове. В рамките на вашия център за данни клиентите се нуждаят от достъп до възлите на хибридна защита на данни на TCP портове 443 и 22 за административни цели.

URL адресите за хостовете на Common Identity (CI) са специфични за региона. Това са текущите организатори на CI:

Регион	URL адреси на организатор на Common Identity
Северна и Южна Америка	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Европейски съюз	https://idbroker-eu.webex.com https://identity-eu.webex.com
Канада	https://idbroker-ca.webex.com https://identity-ca.webex.com
Сингапур	https://idbroker-sg.webex.com https://identity-sg.webex.com
Обединени арабски емирства	https://idbroker-ae.webex.com https://identity-ae.webex.com

Изисквания към прокси сървъра

Ние официално поддържаме следните прокси решения, които могат да се интегрират с вашите възли hybrid Data Security.
- Прозрачен прокси-Уред за уеб защита cisco (WSA).
- Изрична прокси-Сепия.
  
  Прокси сървърите, които инспектират HTTPS трафика, могат да попречат на установяването на websocket (wss:) връзки. За да работите по този проблем, вижте Конфигуриране на прокси сървъри за хибридна защита на данни.
Ние поддържаме следните комбинации от тип удостоверяване за изрични проксита:
- Без удостоверяване с HTTP или HTTPS
- Базово удостоверяване с HTTP или HTTPS
- Смилане на удостоверяване само с HTTPS
За прозрачен проверяващ прокси или HTTPS изрично прокси, трябва да имате копие на главния сертификат на прокси. Инструкциите за разполагане в това ръководство ви казват как да качите копието в магазините за доверие на хибридните възли за защита на данните.
Мрежата, хостваща HDS възлите, трябва да бъде конфигурирана да принуди изходящия TCP трафик на порт 443 да маршрутизира през прокси сървъра.
Прокситата, които инспектират уеб трафика, може да пречат на връзките с уеб гнездото. Ако възникне този проблем, заобикалянето (не инспектирането) на трафика към wbx2.com и ciscospark.com ще реши проблема.

Изпълнете предварителните изисквания за хибридна защита на данни

Използвайте този контролен списък, за да гарантирате, че сте готови да инсталирате и конфигурирате своя клъстер на хибридна защита на данни.

1	Уверете се, че вашата организация в Webex е разрешена за Pro Pack за Cisco Webex Control Hub, и получете идентификационните данни за акаунт с пълни права на администратор на организацията. Свържете се с вашия партньор в Cisco или мениджър на акаунти за помощ с този процес.
2	Изберете име на домейн за разполагането на HDS (например `hds.company.com`) и получете верига от сертификати, съдържаща сертификат X.509, частен ключ и всички междинни сертификати. Веригата на сертификатите трябва да отговаря на изискванията в X.509 Изисквания за сертификат.
3	Подгответе идентични виртуални хостове, които ще настроите като възли на хибридна защита на данни във вашия клъстер. Имате нужда от поне два отделни организатора (препоръчва се 3), разположени съвместно в един и същ защитен център за данни, които отговарят на изискванията в Изисквания за виртуален организатор.
4	Подгответе сървъра с база данни, който ще действа като хранилище на данни за ключа за клъстера в съответствие с изискванията за сървъра с база данни. Сървърът на базата данни трябва да бъде разположен съвместно в защитения център за данни с виртуалните хостове. Създайте база данни за съхранение на ключове. (Трябва да създадете тази база данни – не използвайте базата данни по подразбиране. Приложенията на HDS, когато са инсталирани, създават схемата на базата с данни.) Съберете подробностите, които ще използват възлите за комуникация със сървъра с база данни: име на хост или IP адрес (хост) и порт името на базата с данни (dbname) за съхранение на ключа потребителското име и паролата на потребител с всички привилегии в базата данни за съхранение на ключа
5	За бързо възстановяване след бедствие настройте архивна среда в друг център за данни. Резервната среда отразява производствената среда на VMs и резервен сървър с база данни. Например, ако производството има 3 VMs, работещи с HDS възли, резервната среда трябва да има 3 VMs.
6	Настройте хост на syslog, за да събирате регистрационни файлове от възлите в клъстера. Съберете мрежовия му адрес и порта за syslog (по подразбиране е UDP 514).
7	Създайте правила за защитено архивиране за възлите на хибридна защита на данни, сървъра с база данни и хоста на syslog. Като минимум, за да предотвратите невъзстановима загуба на данни, трябва да архивирате базата данни и конфигурационния ISO файл, генериран за възлите на хибридна защита на данни. Тъй като възлите на хибридна защита на данни съхраняват ключовете, използвани за шифроване и дешифроване на съдържание, неподдържането на оперативно разполагане ще доведе до НЕВЪЗСТАНОВИМА ЗАГУБА на това съдържание. Клиентите на приложението Webex кешират ключовете си, така че прекъсването може да не се забележи веднага, но ще стане очевидно с течение на времето. Въпреки че е невъзможно да се предотвратят временните прекъсвания, те са възстановими. Обаче пълната загуба (няма налични резервни копия) на базата данни или конфигурационния ISO файл ще доведе до невъзстановими клиентски данни. От операторите на възлите на хибридна защита на данни се очаква да поддържат чести резервни копия на базата данни и конфигурационния ISO файл и да бъдат готови да възстановят центъра за данни на хибридна защита на данни, ако възникне катастрофална грешка.
8	Уверете се, че конфигурацията на защитната ви стена позволява свързване за вашите възли на хибридна защита на данни, както е описано в Изисквания за външна свързаност.
9	Инсталирайте Docker ( https://www.docker.com) на всяка локална машина, работеща с поддържана операционна система (Microsoft Windows 10 Professional или Enterprise 64-битова или Mac OSX Yosemite 10.10.3 или по-нова версия) с уеб браузър, който може да получи достъп до нея на http://127.0.0.1:8080. Можете да използвате екземпляр на Docker, за да изтеглите и изпълните инструмента за настройка на HDS, който изгражда информацията за локална конфигурация за всички възли на хибридна защита на данни. Вашата организация може да се нуждае от лиценз за настолен компютър за docker. Вижте Изисквания за закачане на работния плот за повече информация. За да инсталирате и стартирате инструмента за настройка на HDS, локалната машина трябва да има възможността за свързване, описана в Изисквания за външна свързаност.
10	Ако интегрирате прокси сървър с хибридна защита на данните, уверете се, че той отговаря на изискванията за прокси сървър.
11	Ако вашата организация използва синхронизиране на указатели, създайте група в Active Directory, наречена `HdsTrialGroup`, и добавете пилотни потребители. Пробната група може да има до 250 потребители. Обектът на `HdsTrialGroup` трябва да бъде синхронизиран с облака, преди да можете да започнете изпробване за вашата организация. За да синхронизирате групов обект, изберете го в менюто Конфигурация > Избор на обект на Directory Connector. (За подробни инструкции вижте Ръководство за разполагане на Cisco Directory Connector.) Бутоните за дадено място се задават от създателя на мястото. Когато избирате пилотни потребители, имайте предвид, че ако решите за постоянно да деактивирате разполагането на хибридна защита на данни, всички потребители губят достъп до съдържание в местата, които са създадени от пилотните потребители. Загубата става видима веднага щом приложенията на потребителите опреснят кешираните си копия на съдържанието.

Настройване на клъстер на хибридна защита на данни

Поток на задачи за разполагане на хибридна защита на данни

Преди да започнете

1	Изтегляне на инсталационните файлове Изтеглете OVA файла на вашата локална машина за по-късно използване.
2	Създаване на конфигурационен ISO за хостовете на HDS Използвайте инструмента за настройка на HDS, за да създадете ISO конфигурационен файл за възлите на хибридна защита на данни.
3	Инсталиране на HDS Host OVA Създайте виртуална машина от OVA файла и изпълнете първоначалната конфигурация, като например мрежови настройки. Опцията за конфигуриране на мрежовите настройки по време на разполагането на OVA е тествана с ESXi 7.0. Опцията може да не е налична в по-ранни версии.
4	Настройване на VM на хибридна защита на данни Влезте в конзолата на VM и задайте данните за вход. Конфигурирайте мрежовите настройки за възела, ако не сте ги конфигурирали към момента на разполагането на OVA.
5	Качване и монтиране на конфигурация ISO на HDS Конфигурирайте VM от ISO конфигурационния файл, който сте създали с инструмента за настройка на HDS.
6	Конфигуриране на HDS възел за интегриране на прокси сървър Ако мрежовата среда изисква конфигурация на прокси сървър, укажете типа прокси сървър, който ще използвате за възела, и добавете прокси сертификата към хранилището на гаранти, ако е необходимо.
7	Регистриране на първия възел в клъстера Регистрирайте VM с облака на Cisco Webex като възел на хибридна защита на данни.
8	Създаване и регистриране на още възли Завършете настройката на клъстера.
9	Докато не започнете пробен период, вашите възли генерират аларма, която показва, че услугата ви все още не е активирана.

Изтегляне на инсталационните файлове

1	Влезте в https://admin.webex.com и щракнете върху Услуги.
2	В раздела „Хибридни услуги“ намерете картата „Хибридна защита на данни“ и след това щракнете върху Настройка. Ако картата е деактивирана или не я виждате, се свържете с екипа за вашия акаунт или с партньорската си организация. Дайте им номера на акаунта си и помолете организацията ви да активира за хибридна защита на данните. За да намерите номера на акаунта, щракнете върху зъбното колело горе вдясно до името на вашата организация. Можете също да изтеглите OVA по всяко време от раздела Помощ на страницата Настройки . На картата на хибридна защита на данни щракнете върху Редактиране на настройките , за да отворите страницата. След това щракнете върху Изтегляне на софтуера за хибридна защита на данни в раздела Помощ . По-старите версии на софтуерния пакет (OVA) няма да бъдат съвместими с най-новите надстройки на хибридна защита на данни. Това може да доведе до проблеми при надстройване на приложението. Уверете се, че сте изтеглили най-новата версия на OVA файла.
3	Изберете Не , за да посочите, че все още не сте настроили възела, след което щракнете върху Напред. OVA файлът започва автоматично да се изтегля. Запишете файла на местоположение на машината си.
4	Като опция щракнете върху Отваряне на ръководство за разполагане , за да проверите дали има налична по-нова версия на това ръководство.

Създаване на конфигурационен ISO за хостовете на HDS

Процесът на настройка на хибридна защита на данни създава ISO файл. След това използвайте ISO, за да конфигурирате своя хост на хибридна защита на данни.

Преди да започнете

Инструментът за настройка на HDS работи като Docker контейнер на локална машина. За достъп до него стартирайте Docker на тази машина. Процесът на настройка изисква идентификационните данни на акаунт в контролния център с пълни права на администратор за вашата организация.

Ако инструментът за настройка на HDS се изпълнява зад прокси сървър във вашата среда, осигурете настройките на прокси сървъра (сървър, порт, идентификационни данни) чрез променливите на средата за закачване на контейнера за закачване в стъпка 5. Тази таблица дава някои възможни променливи на средата:

Описание

Променлива

HTTP прокси без удостоверяване

ГЛОБАЛЕН_АГЕНТ_HTTP_ПРОКСИ=http://СЪРВЪР_IP:PORT

HTTPS прокси без удостоверяване

ГЛОБАЛЕН_АГЕНТ_HTTPS_ПРОКСИ=http://СЪРВЪР_IP:PORT

HTTP прокси с удостоверяване

GLOBAL_AGENT_HTTP_PROXY=HTTP://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS прокси с удостоверяване

ГЛОБАЛЕН_АГЕНТ_HTTPS_PROXY=HTTP://USERNAME:PASSWORD@SERVER_IP:PORT
Конфигурационният ISO файл, който генерирате, съдържа главния ключ, шифрован в базата данни на PostgreSQL или Microsoft SQL Server. Трябва ви най-новото копие на този файл по всяко време, когато правите промени в конфигурацията, като тези:
- Идентификационни данни за базата данни
- Актуализации на сертификата
- Промени в правилата за упълномощаване
Ако планирате да шифровате връзките с бази данни, настройте разполагането на вашия PostgreSQL или SQL Server за TLS.

1

В командния ред на вашата машина въведете подходящата команда за вашата среда:

В нормални среди:

докер rmi ciscocitg/hds-setup: стабилен

В среди на FedRAMP:

докер rmi ciscocitg/hds-setup-fedramp: стабилен

Тази стъпка изчиства предишни изображения на инструмента за настройка на HDS. Ако няма предишни изображения, той връща грешка, която можете да игнорирате.

2

За да влезете в регистъра на изображения на Docker, въведете следното:

докер вход -u hdscustomersro

3

При подканата за парола въведете този хеш:

dckr_pat_aDP6V4KkrvpBwa

4

Изтеглете най-новото стабилно изображение за вашата среда:

В нормални среди:

докер издърпване ciscocitg/hds-setup: стабилен

В среди на FedRAMP:

докер издърпване ciscocitg/hds-setup-fedramp: стабилен

5

Когато изтеглянето приключи, въведете подходящата команда за вашата среда:

В нормални среди без прокси:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

В нормални среди с HTTP прокси:

изпълнение на докера -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

В редовни среди с HTTPS прокси:

изпълнение на докера -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

В среди на FedRAMP без прокси:

докер изпълнение -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:стабилен

В среди на FedRAMP с HTTP прокси:

изпълнение на докера -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

В среди на FedRAMP с HTTPS прокси:

изпълнение на докера -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Когато контейнерът работи, виждате „Експресен сървър слуша на порт 8080“.

6

Инструментът за настройка не поддържа свързване с localhost чрез http://localhost:8080. Използвайте http://127.0.0.1:8080 , за да се свържете с localhost.

Използвайте уеб браузър, за да отидете в локалния организатор, http://127.0.0.1:8080 и въведете потребителското име на администратора на клиента за Control Hub в подканата.

Инструментът използва този първи запис на потребителското име, за да зададе правилната среда за този акаунт. След това инструментът показва стандартната подкана за влизане.

7

Когато бъдете подканени, въведете идентификационните си данни за вход на администратор на клиенти в Control Hub и след това щракнете върху Влизане , за да позволите достъп до необходимите услуги за хибридна защита на данни.

8

На страницата „Преглед на инструмента за настройка“ щракнете върху Първи стъпки.

9

На страницата Импортиране на ISO имате следните опции:

Не– Ако създавате първия си HDS възел, нямате ISO файл за качване.
Да – Ако вече сте създали HDS възли, тогава изберете своя ISO файл в прегледа и го качете.

10

Проверете дали вашият сертификат X.509 отговаря на изискванията в X.509 Изисквания за сертификат.

Ако никога не сте качили сертификат преди, качете сертификата X.509, въведете паролата и щракнете върху Продължи.
Ако сертификатът ви е ОК, щракнете върху Продължи.
Ако сертификатът ви е изтекъл или искате да го замените, изберете Не за Продължаване на използването на веригата за сертификати на HDS и частния ключ от предишния ISO?. Качете нов сертификат X.509, въведете паролата и щракнете върху Продължи.

11

Въведете адреса на базата данни и акаунта за HDS, за да получите достъп до ключовия си datastore:

Изберете вашия тип база данни (PostgreSQL или Microsoft SQL Server).

Ако изберете Microsoft SQL Server, получавате поле за тип удостоверяване.
(Само за Microsoft SQL Server ) Изберете вашия тип удостоверяване:
- Базово удостоверяване: Необходимо е име на локален акаунт за SQL Server в полето Потребителско име .
- Удостоверяване на Windows: Имате нужда от акаунт за Windows във формат username@DOMAIN в полето Потребителско име .
Въведете адреса на сървъра с база данни във формуляра : или :.

Пример:
dbhost.example.org:1433 или 198.51.100.17:1433

Можете да използвате IP адрес за базово удостоверяване, ако възлите не могат да използват DNS за решаване на името на хоста.

Ако използвате удостоверяване на Windows, трябва да въведете напълно квалифицирано име на домейн във формат dbhost.example.org:1433
Въведете името на базата данни.
Въведете Потребителско име и Парола на потребител с всички привилегии в базата данни за съхранение на ключа.

12

Изберете режим на свързване с база данни TLS:

Режим	Описание
Предпочитане на TLS (опция по подразбиране)	HDS възлите не изискват TLS да се свърже със сървъра на базата данни. Ако разрешите TLS на сървъра с база данни, възлите правят опит за шифрована връзка.
Изисквайте TLS	HDS възли се свързват само ако сървърът на базата данни може да договори TLS.
Изисквайте TLS и проверете подписвача на сертификати	Този режим не е приложим за бази данни на SQL Server. HDS възли се свързват само ако сървърът на базата данни може да договори TLS. След установяването на TLS връзка възелът сравнява подписващия на сертификата от сървъра на базата данни с органа за сертифициране в корневи сертификат в базата данни. Ако не съвпадат, възелът изпуска връзката. Използвайте контролата за главен сертификат на базата данни под падащото, за да качите главния сертификат за тази опция.
Изисквайте TLS и проверете подписалия сертификат и хостовото име	HDS възли се свързват само ако сървърът на базата данни може да договори TLS. След установяването на TLS връзка възелът сравнява подписващия на сертификата от сървъра на базата данни с органа за сертифициране в корневи сертификат в базата данни. Ако не съвпадат, възелът изпуска връзката. Възлите също така проверяват дали името на хоста в сертификата на сървъра съвпада с името на хоста в полето Хост и порт в базата данни . Имената трябва да съвпадат точно или възелът пуска връзката. Използвайте контролата за главен сертификат на базата данни под падащото, за да качите главния сертификат за тази опция.

Когато качите корневи сертификат (ако е необходимо) и щракнете върху Продължи, инструментът за настройка на хибридна защита на данни тества TLS връзката към сървъра с база данни. Инструментът също така проверява подписалите сертификата и hostname, ако е приложимо. Ако даден тест е неуспешен, инструментът показва съобщение за грешка, описващо проблема. Можете да изберете дали да игнорирате грешката и да продължите с настройката. (Поради разликите в свързването възлите на HDS може да са в състояние да установят TLS връзката, дори ако машината с инструмента за настройка на HDS не може да я тества успешно.)

13

На страницата „Системни регистрационни файлове“ конфигурирайте сървъра си за Syslogd:

Въведете URL адреса на сървъра syslog.

Ако сървърът не може да се разрешава чрез DNS от възлите за вашия HDS клъстер, използвайте IP адрес в URL.

Пример:
udp://10.92.43.23:514 показва влизане в хоста Syslogd 10.92.43.23 на UDP порт 514.
Ако настроите сървъра си да използва TLS шифроване, отметнете Конфигуриран ли е вашият сървър syslog за SSL шифроване?.

Ако отметнете това квадратче, трябва да въведете URL адрес на TCP, като например tcp://10.92.43.23:514.
От падащия списък Избор на прекратяване на запис в syslog изберете подходящата настройка за вашия ISO файл: Избор или нов ред се използва за Graylog и Rsyslog TCP
- Нулев байт -- \x00
- Нов ред – \n – Изберете този избор за Graylog и Rsyslog TCP.
Щракнете върху Продължаване.

14

(По избор) Можете да промените стойността по подразбиране за някои параметри на връзката с база данни в Разширени настройки. По принцип този параметър е единственият, който може да искате да промените:

app_datasource_connection_pool_maxРазмер: 10

15

Щракнете върху Продължи на екрана Нулиране на паролата за акаунти за услуги .

Паролите за акаунта за услугата имат деветмесечен живот. Използвайте този екран, когато паролите ви наближават изтичане или искате да ги нулирате, за да invalidate previous ISO files.

16

Щракнете върху Изтегляне на ISO файл. Запишете файла на лесно за намиране място.

17

Направете резервно копие на ISO файла в локалната си система.

Поддържайте архивното копие защитено. Този файл съдържа главен ключ за шифроване за съдържанието на базата с данни. Ограничете достъпа само до онези администратори на хибридна защита на данни, които трябва да направят промени в конфигурацията.

18

За да затворите инструмента за настройка, напишете CTRL+C.

Какво да направите след това

Архивиране на конфигурационния ISO файл. Необходимо е, за да създадете повече възли за възстановяване или да направите промени в конфигурацията. Ако загубите всички копия на ISO файла, ще загубите и главния ключ. Възстановяването на ключовете от вашата база данни PostgreSQL или Microsoft SQL Server не е възможно.

Никога не разполагаме с копие на този ключ и не можем да ви помогнем, ако го изгубите.

Инсталиране на HDS Host OVA

Използвайте тази процедура, за да създадете виртуална машина от OVA файла.

1	Използвайте клиента VMware vSphere на вашия компютър, за да влезете във виртуалния хост на ESXi.
2	Изберете Файл > Разполагане на OVF шаблон.
3	В съветника укажете местоположението на OVA файла, който сте изтеглили по-рано, след което щракнете върху Напред.
4	На страницата Избор на име и папка въведете име на виртуална машина за възела (например "HDS_Node_1"), изберете местоположение, където може да се намира разполагането на възела на виртуалната машина, след което щракнете върху Напред.
5	На страницата Избор на изчислителен ресурс изберете целевия изчислителен ресурс и след това щракнете върху Напред. Извършва се проверка за валидиране. След като завърши, се показват подробностите за шаблона.
6	Проверете подробностите за шаблона и след това щракнете върху Напред.
7	Ако от вас бъде поискано да изберете конфигурацията на ресурсите на страницата Конфигурация , щракнете върху 4 процесора и след това щракнете върху Напред.
8	На страницата Избор на място за съхранение щракнете върху Напред , за да приемете формата на диска по подразбиране и правилата за съхранение на VM.
9	На страницата Избор на мрежи изберете опцията за мрежа от списъка със записи, за да осигурите желаната свързаност към VM.
10	На страницата Персонализиране на шаблон конфигурирайте следните мрежови настройки: Име на хост – въведете FQDN (име на хост и домейн) или една дума име на хост за възела. Не е необходимо да задавате домейна да съвпада с домейна, който сте използвали, за да получите сертификата X.509. За да гарантирате успешна регистрация в облака, използвайте само малки знаци във FQDN или името на хоста, които сте задали за възела. Капитализацията не се поддържа в този момент. Общата дължина на FQDN не трябва да надвишава 64 знака. IP адрес – Въведете IP адреса за вътрешния интерфейс на възела. Възелът трябва да има вътрешен IP адрес и DNS име. DHCP не се поддържа. Маска – Въведете адреса на маската на подмрежата с точка и запетая. Например 255.255.255.0. Шлюз – въведете IP адреса на шлюза. Шлюза е мрежов възел, който служи като точка за достъп до друга мрежа. DNS сървъри – Въведете списък с DNS сървъри, разделени със запетая, които обработват преобразуването на имената на домейни в цифрови IP адреси. (Разрешени са до 4 DNS записа.) NTP сървъри – Въведете NTP сървъра на вашата организация или друг външен NTP сървър, който може да се използва във вашата организация. NTP сървърите по подразбиране може да не работят за всички предприятия. Можете също да използвате списък, разделен със запетая, за да въведете няколко NTP сървъра. Разположете всички възли в една и съща подмрежа или VLAN, така че всички възли в клъстера да са достъпни от клиентите във вашата мрежа за административни цели. Ако предпочитате, можете да пропуснете конфигурацията на мрежовите настройки и да следвате стъпките в Настройване на VM на хибридна защита на данни , за да конфигурирате настройките от конзолата за възли. Опцията за конфигуриране на мрежовите настройки по време на разполагането на OVA е тествана с ESXi 7.0. Опцията може да не е налична в по-ранни версии.
11	Щракнете с десния бутон върху възела VM и след това изберете Захранване > Включване. Софтуерът за хибридна защита на данни е инсталиран като гост на VM Host. Вече сте готови да влезете в конзолата и да конфигурирате възела. Съвети за отстраняване на неизправности Може да усетите забавяне от няколко минути, преди контейнерите с възли да се появят. На конзолата се появява съобщение за защитна стена на мост по време на първото зареждане, по време на което не можете да влезете.

Настройване на VM на хибридна защита на данни

Използвайте тази процедура, за да влезете за първи път в конзолата на възела на хибридна защита на данни и да зададете данните за вход. Можете също да използвате конзолата, за да конфигурирате мрежовите настройки за възела, ако не сте ги конфигурирали по време на разполагането на OVA.

1	В клиента на VMware vSphere изберете своя възел на хибридна защита на данни VM и изберете раздела Конзола . VM се зарежда и се появява подкана за влизане. Ако подканата за влизане не се покаже, натиснете Enter.
2	Използвайте следните данни за влизане и парола по подразбиране, за да влезете и да промените идентификационните данни: Влизане: `администратор` Парола: `cisco` Тъй като влизате във вашия VM за първи път, трябва да промените паролата на администратора.
3	Ако вече сте конфигурирали мрежовите настройки в Инсталиране на HDS Host OVA, пропуснете останалата част от тази процедура. В противен случай в главното меню изберете опцията Редактиране на конфигурацията .
4	Настройте статична конфигурация с IP адрес, маска, шлюз и DNS информация. Възелът трябва да има вътрешен IP адрес и DNS име. DHCP не се поддържа.
5	(По избор) Променете името на хоста, домейна или NTP сървъра(ите), ако е необходимо, за да съответстват на мрежовите ви правила. Не е необходимо да задавате домейна да съвпада с домейна, който сте използвали, за да получите сертификата X.509.
6	Запишете мрежовата конфигурация и рестартирайте VM, за да влязат в сила промените.

Качване и монтиране на конфигурация ISO на HDS

Използвайте тази процедура, за да конфигурирате виртуалната машина от ISO файла, който сте създали с инструмента за настройка на HDS.

Преди да започнете

Тъй като ISO файлът съдържа главния ключ, той трябва да бъде изложен само на база „трябва да знаете“, за достъп от VM на хибридна защита на данни и всички администратори, които може да се наложи да направят промени. Уверете се, че само тези администратори имат достъп до datastore.

1

Качете ISO файла от компютъра си:

В левия навигационен екран на клиента VMware vSphere щракнете върху сървъра ESXi.
В списъка с хардуери на раздела за конфигуриране щракнете върху Място за съхранение.
В списъка Datastores щракнете с десния бутон върху datastore за вашите VMs и щракнете върху Преглед на Datastore.
Щракнете върху иконата Качване на файлове и след това щракнете върху Качване на файл.
Намерете местоположението, където сте изтеглили ISO файла на компютъра си, и щракнете върху Отвори.
Щракнете върху Да , за да приемете предупреждението за операцията за качване/изтегляне, и затворете диалоговия прозорец за данни.

2

Монтиране на ISO файла:

В левия панел за навигация на клиента VMware vSphere щракнете с десния бутон върху виртуалната машина и щракнете върху Редактиране на настройките.
Щракнете върху OK , за да приемете предупреждението за ограничени опции за редактиране.
Щракнете върху CD/DVD диск 1, изберете опцията за монтаж от ISO файл datastore и намерете местоположението, където сте качили конфигурационния ISO файл.
Отметнете Свързан и Свързване при включване.
Запишете промените си и рестартирайте виртуалната машина.

Какво да направите след това

Ако правилата за ИТ изискват, можете по избор да демонтирате ISO файла, след като всички ваши възли поемат промените в конфигурацията. Вижте (По избор) Демонтиране на ISO след конфигуриране на HDS за подробности.

Конфигуриране на HDS възел за интегриране на прокси сървър

Ако мрежовата среда изисква прокси, използвайте тази процедура, за да укажете вида на прокси, който искате да интегрирате с Hybrid Data Security. Ако изберете прозрачен проверяващ прокси или HTTPS изричен прокси, можете да използвате интерфейса на възела, за да качите и инсталирате главния сертификат. Можете също да проверите прокси връзката от интерфейса и да отстраните всички потенциални проблеми.

Преди да започнете

Вижте Поддръжка на прокси за общ преглед на поддържаните опции за прокси.
Изисквания към прокси сървъра

1	Въведете URL адреса за настройка на HDS възел `https://[HDS Възел IP или FQDN]/настройка` в уеб браузър, въведете администраторски идентификационни данни, които сте настроили за възела и след това щракнете върху Вход.
2	Отидете на Хранилище на доверие & Прокси , след което изберетеопция: Няма прокси сървър – опцията по подразбиране, преди да интегрирате прокси сървър. Не се изисква актуализация на сертификата. Прозрачен прокси сървър без проверка – възлите не са конфигурирани да използват определен адрес на прокси сървъра и не трябва да изискват промени, за да работят с прокси сървър без проверка. Не се изисква актуализация на сертификата. Прокси сървър за прозрачна проверка – възлите не са конфигурирани да използват определен адрес на прокси сървъра. Не httpS конфигурация промени са необходими в разполагането на защитата на хибридни данни, обаче HDS възли се нуждаят от главен сертификат, така че те се доверяват на прокси. Проверяващите пълномощници обикновено се използват от It за прилагане на политики, на които могат да бъдат посетени уебсайтовете и кои видове съдържание не са разрешени. Този тип прокси дешифрира целия ви трафик (дори HTTPS). Изричен прокси сървър – С изричния прокси сървър казвате на клиента (HDS възли) кой прокси сървър да използва, и тази опция поддържа няколко типа удостоверяване. След като изберете тази опция, трябва да въведете следната информация: Прокси IP/FQDN – адрес, който може да се използва за свързване с прокси машината. Прокси порт – номер на порт, който прокси сървърът използва за слушане за прокси трафик. Прокси протокол – изберете http (преглежда и управлява всички заявки, които се получават от клиента) или https (осигурява канал към сървъра и клиентът получава и валидира сертификата на сървъра). Изберете опция въз основа на това, което поддържа вашият прокси сървър. Тип удостоверяване – изберете измежду следните типове удостоверяване: Няма – Не се изисква допълнително удостоверяване. Налична за HTTP или HTTPS проксита. Основни—Използва се за HTTP потребителски агент, за да предостави потребителско име и парола при подаване на заявка. Използва Base64 кодиране. Налична за HTTP или HTTPS проксита. Ако изберете тази опция, трябва да въведете и потребителското име и паролата. Обобщаване – използва се за потвърждаване на акаунта, преди да се изпрати чувствителна информация. Прилага хеш функция на потребителското име и паролата преди изпращане по мрежата. Предлага се само за HTTPS проксита. Ако изберете тази опция, трябва да въведете и потребителското име и паролата. Изпълнете следващите стъпки за прозрачен проверяващ прокси, HTTP изрично прокси с базово удостоверяване или HTTPS изрично прокси.
3	Щракнете върху Качване на главен сертификат или Сертификат за краен обект и след това навигирайте до изберете главния сертификат запрокси. Сертификатът се качва, но все още не е инсталиран, защото трябва да рестартирате възела, за да инсталирате сертификата. Щракнете върху стрелката chevron по името на издателя на сертификата, за да получите повече подробности или щракнете върху Изтрий, ако сте направили грешка и искате да качите повторно файла.
4	Щракнете върху Проверка на прокси връзката, за да тествате мрежовата свързаност между възела и прокси. Ако тестът за връзка е неуспешен, ще видите съобщение за грешка, което показва причината и как можете да коригирате проблема. Ако видите съобщение, което казва, че външната DNS разделителна способност не е била успешна, възелът не е успял да достигне DNS сървъра. Това условие се очаква в много изрични прокси конфигурации. Можете да продължите с настройката и възелът ще функционира в режим на блокирано външно DNS разрешаване. Ако мислите, че това е грешка, изпълнете тези стъпки и след това вижте Изключване на режима на блокирано външно разрешаване на DNS.
5	След като тестът за връзка премине, за изрично прокси настроен само на https, включете превключването към Маршрут всички порт 443/444 https заявки от този възел през изрично прокси. Тази настройка изисква 15 секунди, за да влязат в сила.
6	Щракнете върху Инсталиране на всички сертификати в хранилището на гаранти (появява се за HTTPS изрично прокси или прозрачен проверяващ прокси) или Рестартиране (появява се за HTTP изрично прокси), прочетете подканата и след това щракнете върху Инсталиране, ако сте готови. Възелът се рестартира в рамките на няколко минути.
7	След рестартирането на възела влезте отново, ако е необходимо, след което отворете страницата Общ преглед, за да проверите проверките за свързване, за да се уверите, че всички те са в зелено състояние. Проверката на прокси връзката тества само поддомейн от webex.com. Ако има проблеми със свързването, често срещан проблем е, че някои от облачните домейни, изброени в инструкциите за инсталиране, се блокират в прокси.

Регистриране на първия възел в клъстера

Тази задача взема генеричния възел, който сте създали в Настройване на хибридна защита на данни VM, регистрира възела с облака на Webex и го превръща във възел на хибридна защита на данни.

Когато регистрирате първия си възел, създавате клъстер, към който е разпределен възелът. Клъстерът съдържа един или повече възли, разгърнати за осигуряване на резерв.

Преди да започнете

След като започнете да регистрирате възел, трябва да го завършите в рамките на 60 минути, или трябва да започнете отначало.
Погрижете се всички блокери на изскачащите прозорци във вашия браузър да са деактивирани или да разрешите изключение за admin.webex.com.

1	Влезте в https://admin.webex.com.
2	От менюто от лявата страна на екрана изберете Услуги.
3	В раздела „Хибридни услуги“ намерете „Хибридна защита на данни“ и щракнете върху Настройка. Показва се страницата с възел на хибридна защита на данни за регистриране.
4	Изберете Да , за да посочите, че сте настроили възела и сте готови да го регистрирате, след което щракнете върху Напред.
5	В първото поле въведете име за клъстера, към който искате да разпределите вашия възел на хибридна защита на данни. Препоръчваме ви да посочите клъстер въз основа на географското местоположение на клъстера. Примери: „Сан Франциско“ или „Ню Йорк“ или „Далас“
6	Във второто поле въведете вътрешния IP адрес или напълно квалифицирано име на домейн (FQDN) на вашия възел и щракнете върху Напред. Този IP адрес или FQDN трябва да съвпада с IP адреса или името на хоста и домейна, които сте използвали в Настройване на VM на хибридна защита на данни. Появява се съобщение, което показва, че можете да регистрирате възела в Webex.
7	Щракнете върху Към възел.
8	Щракнете върху Продължи в предупредителното съобщение. След няколко секунди ще бъдете пренасочени към тестовете за свързване на възлите за услугите на Webex. Ако всички тестове са успешни, се появява страницата \„Разрешаване на достъп до възел на хибридна защита на данни\“. Там потвърждавате, че искате да дадете разрешения на вашата организация в Webex за достъп до вашия възел.
9	Отметнете квадратчето Разрешаване на достъп до вашия възел на хибридна защита на данни и след това щракнете върху Продължи. Вашият акаунт е потвърден и съобщението \„Завършване на регистрацията\“ показва, че възелът вече е регистриран в облака на Webex.
10	Щракнете върху връзката или затворете раздела, за да се върнете към страницата на хибридна защита на данни в Control Hub. На страницата Хибридна защита на данни се показва новият клъстер, съдържащ възела, който сте регистрирали. Възелът автоматично ще изтегли най-новия софтуер от облака.

Създаване и регистриране на още възли

За да добавите допълнителни възли към вашия клъстер, просто създавате допълнителни VM и монтирате същия конфигурационен ISO файл, след което регистрирайте възела. Препоръчваме ви да имате поне 3 възела.

По това време резервните VM, които сте създали в Изпълнение на изискванията за хибридна защита на данните , са хостове в режим на готовност, които се използват само в случай на възстановяване след бедствие; те до тогава не са регистрирани в системата. За подробности вижте Възстановяване след бедствие с използване на Standby Data Center.

Преди да започнете

След като започнете да регистрирате възел, трябва да го завършите в рамките на 60 минути, или трябва да започнете отначало.
Погрижете се всички блокери на изскачащите прозорци във вашия браузър да са деактивирани или да разрешите изключение за admin.webex.com.

1	Създайте нова виртуална машина от OVA, като повторите стъпките в Инсталиране на HDS Host OVA.
2	Настройте първоначалната конфигурация на новия VM, като повторите стъпките в Настройване на хибридна защита на данни VM.
3	На новия VM повторете стъпките в Качване и монтиране на ISO на конфигурацията на HDS.
4	Ако настройвате прокси сървър за разполагането си, повторете стъпките в Конфигуриране на възела на HDS за интеграция на прокси сървър , както е необходимо за новия възел.
5	Регистрирайте възела. В https://admin.webex.com изберете Услуги от менюто от лявата страна на екрана. В раздела „Хибридни услуги“ намерете картата „Хибридна защита на данни“ и щракнете върху Ресурси. Показва се страницата с ресурси за хибридна защита на данни. Щракнете върху Добавяне на ресурс. В първото поле изберете името на съществуващия си клъстер. Във второто поле въведете вътрешния IP адрес или напълно квалифицирано име на домейн (FQDN) на вашия възел и щракнете върху Напред. Появява се съобщение, което показва, че можете да регистрирате възела в облака Webex. Щракнете върху Към възел. След няколко секунди ще бъдете пренасочени към тестовете за свързване на възлите за услугите на Webex. Ако всички тестове са успешни, се появява страницата \„Разрешаване на достъп до възел на хибридна защита на данни\“. Там потвърждавате, че искате да дадете разрешения на вашата организация за достъп до вашия възел. Отметнете квадратчето Разрешаване на достъп до вашия възел на хибридна защита на данни и след това щракнете върху Продължи. Вашият акаунт е потвърден и съобщението \„Завършване на регистрацията\“ показва, че възелът вече е регистриран в облака на Webex. Щракнете върху връзката или затворете раздела, за да се върнете към страницата на хибридна защита на данни в Control Hub. Възелът ви е регистриран. Имайте предвид, че докато не започнете пробен период, вашите възли генерират аларма, която показва, че услугата ви все още не е активирана.

Какво да направите след това

Изпълнение на пробен период и преминаване към производство (следваща глава)

Изпълнение на пробен период и преминаване към производство

Пробен в производствен поток на задачи

След като настроите клъстер на хибридна защита на данни, можете да стартирате пилотен проект, да добавите потребители към него и да започнете да го използвате за тестване и проверка на внедряването си в подготовка за преминаване към производство.

Преди да започнете

В тази задача изтегляте OVA файл на вашата машина (а не на сървърите, които сте настроили като възли на хибридна защита на данни). Ще използвате този файл по-късно в процеса на инсталиране.

1	Ако е приложимо, синхронизирайте груповия обект `HdsTrialGroup` . Ако вашата организация използва синхронизиране на указатели за потребители, трябва да изберете групов обект `HdsTrialGroup` за синхронизиране с облака, преди да можете да започнете пробен период. За инструкции вижте Ръководство за разполагане на Cisco Directory Connector.
2	Активиране на пробен период Започнете пробен период. Докато не изпълните тази задача, вашите възли генерират аларма, която показва, че услугата все още не е активирана.
3	Тестване на вашето разполагане на хибридна защита на данни Проверете дали ключови заявки преминават към вашето разполагане на хибридна защита на данни.
4	Наблюдение на изправността на хибридна защита на данни Проверете статуса и настройте известия по имейл за алармите.
5	Добавяне или премахване на потребители от вашия пробен период
6	Завършете пробната фаза с едно от следните действия: Преминаване от изпробване към производство Прекратете пробния си период, без да се премествате в производство

Активиране на пробен период

Преди да започнете

Ако вашата организация използва синхронизиране на указатели за потребители, трябва да изберете групов обект HdsTrialGroup за синхронизиране с облака, преди да можете да започнете пробен период за вашата организация. За инструкции вижте Ръководство за разполагане на Cisco Directory Connector.

1	Влезте в https://admin.webex.comи изберете Услуги.
2	Под Хибридна защита на данни щракнете върху Настройки.
3	В раздела „Статус на услугата“ щракнете върху Започване на пробен период. Статусът на услугата се променя на пробен режим.
4	Щракнете върху Добавяне на потребители и въведете имейл адреса на един или повече потребители, за да пилотирате използването на вашите възли на хибридна защита на данни за услуги за шифроване и индексиране. (Ако вашата организация използва синхронизиране на указатели, използвайте Active Directory, за да управлявате пробната група, `HdsTrialGroup`.)

Тестване на вашето разполагане на хибридна защита на данни

Използвайте тази процедура, за да тествате сценариите за шифроване на хибридна защита на данни.

Преди да започнете

Настройте своето разполагане на хибридна защита на данни.
Активирайте пробния период и добавете няколко пробни потребители.
Уверете се, че имате достъп до syslog, за да потвърдите, че ключовите заявки се подават към вашето разполагане на хибридна защита на данни.

1

Бутоните за дадено място се задават от създателя на мястото. Влезте в приложението Webex като един от пилотните потребители и след това създайте място и поканете поне един пилотен потребител и един непилотен потребител.

Ако деактивирате разполагането на хибридна защита на данни, съдържанието в местата, които създават пилотни потребители, вече не е достъпно, след като бъдат заменени кешираните от клиента копия на ключовете за шифроване.

2

Изпратете съобщения до новото място.

3

Проверете изхода на syslog, за да потвърдите, че ключовите заявки се прехвърлят към вашето разполагане на хибридна защита на данни.

За да проверите за потребител, който първо създава защитен канал към KMS, филтрирайте на kms.data.method=create и kms.data.type=EPHEMERAL_KEY_COLLECTION:

Трябва да намерите запис като следния (идентификатори, съкратени за четливост):

2020-07-21 17:35:34.562 (+0000) ИНФОРМАЦИЯ KMS [pool-14-thread-1] - [KMS:ЗАЯВКА] получена, deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms: //hds2.org5.portun.us/statickeys/3[~]0 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2

За да проверите за потребител, който иска съществуващ ключ от KMS, филтрирайте на kms.data.method=retrieve и kms.data.type=KEY:

Трябва да намерите запис, като:

2020-07-21 17:44:19.889 (+0000) ИНФОРМАЦИЯ KMS [pool-14-thread-31] - [KMS:ЗАЯВКА] е получена, deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms: //hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=retrieve, kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriHost=ciscospark.com, kms.data.type=KEY, kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b

За да проверите за потребител, който е поискал създаването на нов KMS ключ, филтрирайте на kms.data.method=create и kms.data.type=KEY_COLLECTION:

Трябва да намерите запис, като:

2020-07-21 17:44:21.975 (+0000) ИНФОРМАЦИЯ KMS [pool-14-thread-33] - [KMS:ЗАЯВКА] е получена, deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms: //hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b

За да проверите за потребител, който е поискал създаването на нов KMS ресурсен обект (KRO), когато се създава пространство или друг защитен ресурс, филтрирайте на kms.data.method=create и kms.data.type=RESOURCE_COLLECTION:

Трябва да намерите запис, като:

2020-07-21 17:44:22.808 (+0000) ИНФОРМАЦИЯ KMS [pool-15-thread-1] - [KMS:ЗАЯВКА] е получена, deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms: //hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

Наблюдение на изправността на хибридна защита на данни

Индикатор за състоянието в Control Hub ви показва дали всичко е наред с разполагането на хибридна защита на данни. За по-активно предупреждаване се запишете за известия по имейл. Ще бъдете уведомени, когато има аларми, засягащи услугата, или надстройки на софтуера.

1	В Control Hub изберете Услуги от менюто от лявата страна на екрана.
2	В раздела „Хибридни услуги“ намерете „Хибридна защита на данни“ и щракнете върху Настройки. Показва се страницата с настройки за хибридна защита на данни.
3	В раздела \„Имейл известия\“ въведете един или повече имейл адреси, разделени със запетаи, и натиснете Enter.

Добавяне или премахване на потребители от вашия пробен период

След като активирате пробен период и добавите първоначалния набор от пробни потребители, можете да добавяте или премахвате членове на пробния период по всяко време, докато пробната версия е активна.

Ако премахнете потребител от пробния период, клиентът на потребителя ще поиска ключове и създаване на ключове от облака KMS вместо вашия KMS. Ако клиентът се нуждае от ключ, който се съхранява във вашия KMS, KMS в облака ще го извлече от името на потребителя.

Ако вашата организация използва синхронизиране на указатели, използвайте Active Directory (вместо тази процедура), за да управлявате пробната група HdsTrialGroup; можете да видите членовете на групата в Control Hub, но не можете да ги добавяте или премахвате.

1	Влезте в Control Hub, след което изберете Услуги.
2	Под Хибридна защита на данни щракнете върху Настройки.
3	В раздела „Пробен режим“ на областта „Статус на услугата“ щракнете върху Добавяне на потребители или щракнете върху Преглед и редактиране , за да премахнете потребители от пробния период.
4	Въведете имейл адреса на един или повече потребители за добавяне, или щракнете върху X от ИД на потребител, за да премахнете потребителя от пробния период. След това щракнете върху Запиши.

Преминаване от изпробване към производство

Когато сте доволни, че разполагането ви работи добре за пробните потребители, можете да преминете към производство. Когато преминете към производство, всички потребители в организацията ще използват вашия локален домейн за хибридна защита на данни за ключове за шифроване и други услуги от областта на защитата. Не можете да се върнете към пробен режим от производство, освен ако не деактивирате услугата като част от възстановяването след бедствие. Повторното активиране на услугата изисква да настроите нова пробна версия.

1	Влезте в Control Hub, след което изберете Услуги.
2	Под Хибридна защита на данни щракнете върху Настройки.
3	В секцията „Статус на услугата“ щракнете върху Преместване в производство.
4	Потвърдете, че искате да преместите всички ваши потребители в производство.

Прекратете пробния си период, без да се премествате в производство

Ако по време на пробния си период решите да не продължите с разполагането на хибридна защита на данни, можете да деактивирате хибридната защита на данни, която приключва пробния период и премества пробните потребители обратно към услугите за защита на данни в облака. Потребителите на пробния период ще загубят достъп до данните, които са шифровани по време на пробния период.

1	Влезте в Control Hub, след което изберете Услуги.
2	Под Хибридна защита на данни щракнете върху Настройки.
3	В раздела Деактивиране щракнете върху Деактивиране.
4	Потвърдете, че искате да деактивирате услугата и да прекратите пробния период.

Управление на вашето разполагане на HDS

Управление на разполагането на HDS

Използвайте описаните тук задачи, за да управлявате своето разполагане на хибридна защита на данни.

Задаване на график за надстройване на клъстери

Надстройките на софтуера за хибридна защита на данни се извършват автоматично на ниво клъстер, което гарантира, че всички възли винаги изпълняват една и съща софтуерна версия. Надстройванията се извършват съгласно графика за надстройване за клъстера. Когато е налична надстройка на софтуера, имате възможност ръчно да надстроите клъстера преди планираното време за надстройване. Можете да зададете конкретен график за надстройване или да използвате графика по подразбиране от 3:00 ч. дневно в Съединените щати: Америка/Лос Анджелис. Можете също да изберете да отложите предстоящото надстройване, ако е необходимо.

За да зададете графика за надстройване:

1	Влезте в Control Hub.
2	На страницата за общ преглед под хибридни услуги изберете Хибридна защита на данните.
3	На страницата с ресурси за хибридна защита на данни изберете клъстера.
4	В панела „Общ преглед“ вдясно, под „Настройки на клъстера“ изберете името на клъстера.
5	На страницата „Настройки“ под „Надстройване“ изберете часа и часовата зона за графика за надстройване. Забележка: Под часовата зона се показват следващата налична дата и час на надстройване. Можете да отложите надстройването до следващия ден, ако е необходимо, като щракнете върху Отложи.

Промяна на конфигурацията на възела

От време на време може да се наложи да промените конфигурацията на вашия възел за защита на хибридни данни поради причина като:

Промяна на x.509 сертификати поради изтичане или други причини.

Не поддържаме промяна на CN името на домейн на сертификат. Домейнът трябва да съответства на оригиналния домейн, използван за регистриране на клъстера.
Актуализиране на настройките на базата данни за промяна на реплика на базата данни PostgreSQL или Microsoft SQL Server.

Не поддържаме мигриране на данни от PostgreSQL към Microsoft SQL Server или обратното. За да превключите средата на базата данни, започнете ново внедряване на Hybrid Data Security.
Създаване на нова конфигурация за подготовка на нов център за данни.

Също така, за целите на защитата, Hybrid Data Security използва пароли за сервизен акаунт, които имат деветмесечен живот. След като инструментът за настройка на HDS генерира тези пароли, ги разполагате на всеки от вашите HDS възли във файла ISO config. Когато паролите на вашата организация са към изтичане, получавате известие от екипа на Webex за нулиране на паролата за вашия машинен акаунт. (Имейлът включва текста „Използвайте API на машинния акаунт, за да актуализирате паролата.“) Ако вашите пароли все още не са изтекли, инструментът ви дава две опции:

Софтуерно нулиране – И двете стари и нови пароли работят до 10 дни. Използвайте този период, за да замените постепенно ISO файла на възлите.
Твърдо нулиране – Старите пароли спират да работят незабавно.

Ако вашите пароли изтекат без нулиране, това се отразява на вашата HDS услуга, изисквайки незабавно хардуерно нулиране и подмяна на ISO файла на всички възли.

Използвайте тази процедура, за да генерирате нов конфигурационен ISO файл и да го приложите към вашия клъстер.

Преди да започнете

Инструментът за настройка на HDS работи като Docker контейнер на локална машина. За достъп до него стартирайте Docker на тази машина. Процесът на настройка изисква идентификационните данни на акаунт в контролния център с пълни права на администратор за вашата организация.

Ако инструментът за настройка на HDS се изпълнява зад прокси сървър във вашата среда, осигурете настройките на прокси сървъра (сървър, порт, идентификационни данни) чрез променливите на средата за закачване на контейнера за закачване в 1.e. Тази таблица дава някои възможни променливи на средата:

Описание	Променлива
HTTP прокси без удостоверяване	`ГЛОБАЛЕН_АГЕНТ_HTTP_ПРОКСИ=http://СЪРВЪР_IP:PORT`
HTTPS прокси без удостоверяване	`ГЛОБАЛЕН_АГЕНТ_HTTPS_ПРОКСИ=http://СЪРВЪР_IP:PORT`
HTTP прокси с удостоверяване	`GLOBAL_AGENT_HTTP_PROXY=HTTP://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS прокси с удостоверяване	`ГЛОБАЛЕН_АГЕНТ_HTTPS_PROXY=HTTP://USERNAME:PASSWORD@SERVER_IP:PORT`

Имате нужда от копие на текущия конфигурационен ISO файл, за да генерирате нова конфигурация. ISO съдържа главния ключ, криптиращ базата данни на PostgreSQL или Microsoft SQL Server. Имате нужда от ISO, когато правите промени в конфигурацията, включително идентификационни данни на база данни, актуализации на сертификати или промени в правилата за оторизация.

1	Използвайки Docker на локална машина, стартирайте HDS Setup Tool. В командния ред на вашата машина въведете подходящата команда за вашата среда: В нормални среди: `докер rmi ciscocitg/hds-setup: стабилен` В среди на FedRAMP: `докер rmi ciscocitg/hds-setup-fedramp: стабилен` Тази стъпка изчиства предишни изображения на инструмента за настройка на HDS. Ако няма предишни изображения, той връща грешка, която можете да игнорирате. За да влезете в регистъра на изображения на Docker, въведете следното: `докер вход -u hdscustomersro` При подканата за парола въведете този хеш: `dckr_pat_aDP6V4KkrvpBwa` Изтеглете най-новото стабилно изображение за вашата среда: В нормални среди: `докер издърпване ciscocitg/hds-setup: стабилен` В среди на FedRAMP: `докер издърпване ciscocitg/hds-setup-fedramp: стабилен` Уверете се, че сте изтеглили най-новия инструмент за настройка за тази процедура. Версиите на инструмента, създадени преди 22 февруари 2018 г., нямат екрани за нулиране на парола. Когато изтеглянето приключи, въведете подходящата команда за вашата среда: В нормални среди без прокси: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` В нормални среди с HTTP прокси: `изпълнение на докера -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` В нормални среди с HTTPSпрокси: `изпълнение на докера -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` В среди на FedRAMP без прокси: `докер изпълнение -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:стабилен` В среди на FedRAMP с HTTP прокси: `изпълнение на докера -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` В среди на FedRAMP с HTTPS прокси: `изпълнение на докера -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Когато контейнерът работи, виждате "Express сървър слушане на порт 8080." Използвайте браузър, за да се свържете с localhost, `http://127.0.0.1:8080`. Инструментът за настройка не поддържа свързване с localhost чрез http://localhost:8080. Използвайте http://127.0.0.1:8080 , за да се свържете с localhost. Когато получите подкана, въведете идентификационните си данни за влизане за клиент в Control Hub и след това щракнете върху Приемане , за да продължите. Импортирайте текущия конфигурационен ISO файл. Следвайте подканите, за да завършите инструмента и да изтеглите актуализирания файл. За да затворите инструмента за настройка, напишете `CTRL+C`. Създайте резервно копие на актуализирания файл в друг център за данни.
2	Ако имате работещ само един HDS възел, създайте нов VM възел на хибридна защита на данни и го регистрирайте, като използвате новия конфигурационен ISO файл. За по-подробни инструкции вижте Създаване и регистриране на още възли. Инсталирайте HDS хост OVA. Настройте HDS VM. Монтирайте актуализирания конфигурационен файл. Регистрирайте новия възел в контролния център.
3	За съществуващи HDS възли, които изпълняват по-стария конфигурационен файл, монтирайте ISO файла. Изпълнете следната процедура на всеки възел на свой ред, като актуализирате всеки възел, преди да изключите следващия възел: Изключете виртуалната машина. В левия панел за навигация на клиента VMware vSphere щракнете с десния бутон върху виртуалната машина и щракнете върху Редактиране на настройките. Щракнете върху `CD / DVD диск 1 , изберете опцията за монтиране от ISO файл и`прегледайте местоположението, където сте изтеглили новия конфигурационен ISO файл. Поставете отметка на Свързване при включване. Запазете промените си и включете виртуалната машина.
4	Повторете стъпка 3, за да замените конфигурацията на всеки останал възел, който изпълнява старата конфигурация.

Изключване на режим на блокирана външна DNS разделителна способност

Когато регистрирате възел или проверете конфигурацията на прокси сървъра на възела, процесът тества DNS справка и свързаност към облака Cisco Webex. Ако DNS сървърът на възела не може да разреши публични DNS имена, възелът автоматично преминава в режим на блокирана външна DNS разделителна способност.

Ако вашите възли са в състояние да разреши публични DNS имена чрез вътрешни DNS сървъри, можете да изключите този режим чрез повторно изпълнение на теста за прокси връзка на всеки възел.

Преди да започнете

Гарантирайте, че вашите вътрешни DNS сървъри могат да разрешават публични DNS имена, както и че вашите възли могат да комуникират с тях.

1	В уеб браузър отворете интерфейса на възела "Защита на хибридните данни" (IP адрес/настройка например въведете идентификационни данни за администриране, които https://192.0.2.0/setup), сте задали за възела, след което щракнете върху Влизане.
2	Отидете на Общ преглед (страницата по подразбиране). Когато е разрешено, блокирани външна DNS разделителна способност е зададена да .
3	Отидете на страницата Хранилище на доверие & Прокси.
4	Щракнете върху Проверка на прокси връзката. Ако видите съобщение, казващо, че външната DNS разделителна способност не е била успешна, възелът не е успял да достигне DNS сървъра и ще остане в този режим. В противен случай, след като рестартирате възела и да се върнете към страницата общ преглед, Блокиран външен DNS разделителна способност трябва да бъде зададено на не.

Какво да направите след това

Повторете теста за прокси връзка на всеки възел във вашия клъстер за защита на хибридни данни.

Премахване на възел

Използвайте тази процедура, за да премахнете възел на хибридна защита на данни от облака Webex. След като премахнете възела от клъстера, изтрийте виртуалната машина, за да предотвратите по-нататъшен достъп до вашите данни за защита.

1

Използвайте клиента на VMware vSphere на вашия компютър, за да влезете във виртуалния хост на ESXi и да изключите виртуалната машина.

2

Премахване на възела:

Влезте в Control Hub, след което изберете Услуги.
В картата на хибридна защита на данни щракнете върху Преглед на всички , за да покажете страницата с ресурси за хибридна защита на данни.
Изберете своя клъстер, за да се покаже неговият панел \„Общ преглед\“.
Щракнете върху Отваряне на списъка с възли.
В раздела „Възли“ изберете възела, който искате да премахнете.
Щракнете върху Действия > Дерегистриране на възел.

3

В клиента vSphere изтрийте VM. (В левия навигационен екран щракнете с десния бутон върху VM и щракнете върху Изтрий.)

Ако не изтриете VM, не забравяйте да демонтирате конфигурационния ISO файл. Без ISO файла не можете да използвате VM за достъп до вашите данни за защита.

Възстановяване след бедствие с използване на центъра за данни в режим на готовност

Най-критичната услуга, която вашият клъстер на хибридна защита на данни предоставя, е създаването и съхранението на ключове, използвани за шифроване на съобщения и друго съдържание, съхранени в облака на Webex. За всеки потребител в рамките на организацията, който е разпределен към хибридна защита на данни, заявките за създаване на нови ключове се насочват към клъстера. Клъстерът също така е отговорен за връщането на създадените ключове на всички потребители, упълномощени да ги извлекат, например членове на място за разговори.

Тъй като клъстерът изпълнява критичната функция за предоставяне на тези ключове, наложително е клъстерът да продължи да работи и да се поддържат подходящи резервни копия. Загубата на базата данни за хибридна защита на данни или на конфигурационния ISO, използван за схемата, ще доведе до НЕВЪЗСТАНОВИМА ЗАГУБА на клиентското съдържание. За предотвратяване на такава загуба са задължителни следните практики:

Ако при бедствие разполагането на HDS в основния център за данни стане недостъпно, следвайте тази процедура, за да се върнете ръчно към центъра за данни в режим на готовност.

1	Стартирайте инструмента за настройка на HDS и следвайте стъпките, споменати в Създаване на конфигурационен ISO за хостовете на HDS.
2	След конфигурирането на сървъра Syslogd щракнете върху Разширени настройки
3	На страницата Разширени настройки добавете конфигурацията по-долу или премахнете конфигурацията на `passiveMode` , за да направите възела активен. Възелът може да се справи с трафика, след като бъде конфигуриран. `пасивенРежим: невярно`
4	Завършете процеса на конфигуриране и запишете ISO файла на лесно за намиране място.
5	Направете резервно копие на ISO файла в локалната си система. Поддържайте архивното копие защитено. Този файл съдържа главен ключ за шифроване за съдържанието на базата с данни. Ограничете достъпа само до онези администратори на хибридна защита на данни, които трябва да направят промени в конфигурацията.
6	В левия навигационен екран на клиента VMware vSphere щракнете с десния бутон върху VM и щракнете върху Редактиране на настройките..
7	Щракнете върху Редактиране на настройките >CD/DVD диск 1 и изберете Datastore ISO файл. Уверете се, че са отметнати Свързани и Свързване при включване , за да могат актуализираните промени в конфигурацията да влязат в сила след стартиране на възлите.
8	Включете възела на HDS и се уверете, че няма аларми поне 15 минути.
9	Повторете процеса за всеки възел в центъра за данни в режим на готовност. Проверете изхода на syslog, за да потвърдите, че възлите на центъра за данни в режим на готовност не са в пасивен режим. „KMS, конфигурирани в пасивен режим“ не трябва да се показва в регистрационните файлове.

Какво да направите след това

След отказ, ако основният център за данни отново се активира, поставете отново центъра за данни в режим на готовност в пасивен режим, като следвате стъпките, описани в Настройка на центъра за данни в режим на готовност за възстановяване след бедствие.

(По избор) Демонтиране на ISO след конфигуриране на HDS

Стандартната конфигурация на HDS работи с монтирания ISO. Но някои клиенти предпочитат да не оставят ISO файловете постоянно монтирани. Можете да разглобите ISO файла, след като всички възли на HDS поемат новата конфигурация.

Все още използвате ISO файловете, за да направите промени в конфигурацията. Когато създавате нов ISO или актуализирате ISO чрез инструмента за настройка, трябва да монтирате актуализирания ISO на всички ваши HDS възли. След като всички ваши възли са приели промените в конфигурацията, можете да демонтирате ISO отново с тази процедура.

Преди да започнете

Надстройте всички ваши HDS възли до версия 2021.01.22.4720 или по-нова.

1	Затворете един от възлите си за HDS.
2	В уреда vCenter Server изберете възела на HDS.
3	Изберете Редактиране на настройките > CD/DVD диск и премахнете отметката от Datastore ISO файл.
4	Включете възела на HDS и се уверете, че няма аларми поне 20 минути.
5	Повторете за всеки HDS възел на смяна.

Отстраняване на неизправности в хибридна защита на данни

Преглед на предупрежденията и отстраняване на неизправности

Разполагането на хибридна защита на данни се счита за налично, ако всички възли в клъстера са недостъпни или клъстерът работи толкова бавно, че отнема време. Ако потребителите не могат да се свържат с вашия клъстер на хибридна защита на данни, те изпитват следните симптоми:

Не могат да се създават нови места (не могат да се създадат нови ключове)
Неуспешно дешифриране на съобщенията и заглавията на пространството за:
- Нови потребители, добавени към място (не могат да се извлекат ключове)
- Съществуващи потребители в място с помощта на нов клиент (не могат да се извлекат ключовете)
Съществуващите потребители в дадено място ще продължат да се изпълняват успешно, стига клиентите им да имат кеш с ключовете за шифроване

Важно е да наблюдавате правилно своя клъстер на хибридна защита на данни и да обръщате бързо към всички предупреждения, за да избегнете прекъсване на услугата.

Предупреждения

Ако има проблем с настройката на хибридна защита на данни, Control Hub показва предупреждения до администратора на организацията и изпраща имейли до конфигурирания имейл адрес. Предупрежденията обхващат много общи сценарии.

Таблица 1. Общи проблеми и стъпки за тяхното разрешаване
Предупреждение	Действие
Отказ на достъп до локална база данни.	Проверете за грешки в базата данни или проблеми с локалната мрежа.
Неуспешна връзка с локалната база данни.	Проверете дали сървърът с база данни е достъпен и дали са използвани правилните идентификационни данни за акаунта за услуга в конфигурацията на възела.
Неуспешен достъп до услугата в облака.	Проверете дали възлите имат достъп до сървърите на Webex, както е посочено в Изисквания за външна свързаност.
Подновяване на регистрацията за услуги в облака.	Регистрацията в услугите в облака беше прекъсната. Протича подновяване на регистрацията.
Регистрацията на услуги в облака е прекъсната.	Регистрирането в облачни услуги е прекратено. Услугата се затваря.
Услугата все още не е активирана.	Активирайте пробна версия или завършете преместването на пробната версия в производство.
Конфигурираният домейн не съответства на сертификата на сървъра.	Уверете се, че сертификатът на сървъра ви съответства на конфигурирания домейн за активиране на услугата. Най-вероятната причина е, че CN на сертификата наскоро е променен и сега е различен от CN, който е бил използван по време на първоначалната настройка.
Неуспешно удостоверяване в услугите в облака.	Проверете за точност и възможно изтичане на идентификационните данни за акаунта за услугата.
Неуспешно отваряне на локалния файл на клавиатурата.	Проверете за целостта и точността на паролата във файла с локалния клавиатура.
Сертификатът за локален сървър е невалиден.	Проверете датата на изтичане на сертификата на сървъра и потвърдете, че той е издаден от надежден сертифициращ орган.
Неуспешно публикуване на метриките.	Проверете достъпа до локалната мрежа до външни облачни услуги.
Директорията /media/configdrive/hds не съществува.	Проверете конфигурацията за монтаж на ISO на виртуалния хост. Проверете дали ISO файлът съществува, дали е конфигуриран да се монтира при рестартиране и дали се монтира успешно.

Отстраняване на неизправности в хибридна защита на данни

Използвайте следните общи насоки, когато отстранявате проблеми с хибридна защита на данни.

1	Прегледайте Control Hub за предупреждения и коригирайте всички елементи, които намерите там.
2	Прегледайте изхода на сървъра syslog за активност от разполагането на хибридна защита на данни.
3	Свържете се с поддръжката на Cisco.

Други бележки

Известни проблеми с хибридната защита на данните

Ако затворите своя клъстер на хибридна защита на данни (като го изтриете в Control Hub или като затворите всички възли), загубите своя ISO файл за конфигуриране или загубите достъп до базата данни на клавиатурата, вашите потребители на приложението Webex вече няма да могат да използват интервали в своя списък "Хора", създадени с ключове от вашия KMS. Това се отнася както за изпробване, така и за внедряване в производството. В момента нямаме заобиколно решение или корекция за този проблем и ви призовавам да не затваряте услугите си за HDS, след като обработват активни потребителски акаунти.
Клиент, който има съществуваща ECDH връзка към KMS, поддържа тази връзка за период от време (вероятно един час). Когато потребител стане член на изпробване на хибридна защита на данни, клиентът на потребителя продължава да използва съществуващата ECDH връзка, докато времето за изчакване изтече. Потребителят може също да излезе и да влезе отново в приложението Webex, за да актуализира местоположението, с което се свързва приложението за ключове за шифроване.

Същото поведение възниква, когато преместите изпробване в производство за организацията. Всички потребители, които не са пробни, със съществуващи ECDH връзки към предишните услуги за защита на данните ще продължат да използват тези услуги до предоговаряне на ECDH връзката (чрез изчакване или чрез излизане и обратно влизане).

Използване на OpenSSL за генериране на PKCS12 файл

Преди да започнете

OpenSSL е един инструмент, който може да се използва за създаване на PKCS12 файл в правилния формат за зареждане в инструмента за настройка на HDS. Има и други начини за това и ние не подкрепяме и не насърчаваме един път над друг.
Ако решите да използвате OpenSSL, ние предоставяме тази процедура като ръководство, за да ви помогнем да създадете файл, който отговаря на изискванията за сертификат X.509 в Изисквания за сертификат X.509. Разберете тези изисквания, преди да продължите.
Инсталирайте OpenSSL в поддържана среда. Вижте https://www.openssl.org софтуера и документацията.
Създайте частен ключ.
Започнете тази процедура, когато получите сертификата на сървъра от вашия сертифициращ орган (CA).

1	Когато получите сертификата на сървъра от вашия CA, запишете го като `hdsnode.pem`.
2	Показване на сертификата като текст и проверете подробностите. `openssl x509 -текст -noout -в hdsnode.pem`
3	Използвайте текстов редактор, за да създадете файл пакет сертификат, наречен `hdsnode-bundle.pem`. Пакетният файл трябва да включва сертификата на сървъра, всички междинни CA сертификати и корневи CA сертификати в следния формат: `-----начало на сертификат----- ### сертификат на сървър. ### -----край на сертификат--------------- начало на сертификат------ ### Междинен CA сертификат. ### -----край на сертификат--------------- начало на сертификат------ ### Корневи CA сертификат. ### -----край на сертификат-----`
4	Създайте .p12 файла с приятелското име `kms-частен-ключ`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Проверете подробностите за сертификата на сървъра. `openssl pkcs12 -в hdsnode.p12` Въведете парола при подкана да шифровате частния ключ, така че да се показва в изхода. След това се уверете, че частният ключ и първият сертификат включват линиите `friendlyName: kms-частен-ключ`. Пример: bash$ openssl pkcs12 -in hdsnode.p12 Въведете паролата за импортиране: MAC потвърди атрибути OK Bag friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Ключови атрибути: Въведете фраза за преминаване на PEM: Потвърждаване – Въведете фраза за достъп до PEM: -----BEGIN ENCRYPTED PRIVATE KEY----- -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE------ Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-----

Какво да направите след това

Върнете се, за да изпълните изискванията за хибридна защита на данни. Ще използвате файла hdsnode.p12 и паролата, която сте задали за него, в Създаване на конфигурационен ISO за организаторите на HDS.

Можете да използвате повторно тези файлове, за да поискате нов сертификат, когато първоначалният сертификат изтече.

Трафик между възлите на HDS и облака

Изходящ трафик за събиране на метрики

Възлите на хибридна защита на данни изпращат определени показатели към облака на Webex. Те включват системни метрики за heap max, използван heap, натоварване на процесора и брой нишки; метрики за синхронните и асинхронните нишки; метрики за предупрежденията, включващи праг на шифроване връзки, латентност или дължина на опашката за заявки; метрики за datastore; и метрики за връзката за шифроване. Възлите изпращат материали за шифрован ключ през нечестотен (отделен от заявката) канал.

Входящ трафик

Възлите на хибридна защита на данни получават следните типове входящ трафик от облака на Webex:

Заявки за шифроване от клиенти, които се маршрутизират от услугата за шифроване
Надстройки до софтуера за възли

Конфигуриране на прокси сървъри за хибридна защита на данните

Websocket не може да се свърже чрез сепия прокси

Прокси сървърите, които инспектират HTTPS трафика, могат да повлияят на създаването на websocket (в к:) връзки, които изискват хибридната защита на данните. Тези раздели дават насоки как да конфигурирате различни версии на Калмар, за да игнорирате wss: трафик за правилното функциониране на услугите.

Калмята 4 и 5

Добавете on_unsupported_protocol директивата към squid.conf:

on_unsupported_protocol тунел

Сепия 3.5.27

Успешно тествахме Hybrid Data Security със следните правила, добавени към squid.conf. Тези правила подлежат на промяна, тъй като разработваме функции и актуализираме webex облака.

acl wssMercuryConnection ssl::server_name_regex mercury-connection ssl_bump splice wssMercuryConnection acl step1 at_step SslBump1 acl step2 at_step SslBump2 acl step3 at_step SslBump3 ssl_bump надничане step1 всички ssl_bump stare step2 всички ssl_bump bump step3 всички

Предговор

Нова и променена информация

Дата	Направени промени
30 януари 2025 г.	Добавена е версия на SQL сървър 2022 към списъка с поддържани SQL сървъри в изискванията за сървър на базата данни.
07 януари 2025 г.	Актуализирани изисквания за виртуален хост, Поток от задачи за разполагане на хибридна защита на данни, и Инсталиране на HDS Host OVA , за да се покаже ново изискване на ESXi 7.0.
20 октомври 2023 г.	Актуализирана информация в изискванията към сървъра с база данни. Добавено е Настройване на Standby Data Center за възстановяване след бедствие. Актуализирана информация в Standby Data Center за възстановяване след бедствие и Възстановяване след бедствие чрез Standby Data Center.
07 август 2023 г.	Добавена е бележка в Изтегляне на инсталационни файлове. Добавена е бележка в Създаване на конфигурация ISO за хостовете на HDS и Промяна на конфигурацията на възела.
23 май 2023 г.	Изтрита информация от изискванията към сървъра за база данни , изискваща функция, която да бъде активирана чрез свързване с екипа за акаунти. Актуализирана информация в Изисквания за външна свързаност и добавена Канада към таблицата с хостове на CI. Добавена е бележка в Очакванията за разполагане на хибридна защита на данни по отношение на липсата на механизми за преместване на ключовете обратно в облака.
06 декември 2022 г.	Изображенията на инструмента за настройка на HDS вече се хостват в хранилището `ciscocitg` dockerhub. Актуализирани са Създаване на конфигурация ISO за хостовете на HDS и Промяна на темите на конфигурация на възела , за да възстановите промените в командите.
23 ноември 2022 г.	HDS възлите вече могат да използват удостоверяване на Windows срещу Microsoft SQL Server. Актуализирана е темата за изискванията към сървъра с база данни с допълнителни изисквания за този режим на удостоверяване. Актуализиран е Създаване на конфигурационен ISO за хостовете на HDS с процедурата за конфигуриране на удостоверяване на Windows на възлите. Актуализирана е темата за изискванията към сървъра за база данни с нови минимални задължителни версии (PostgreSQL 10).
13 октомври 2021 г.	Docker Desktop трябва да стартира програма за настройка, преди да можете да инсталирате възли на HDS. Вижте Изисквания за закачане на работния плот.
юни 24, 2021	Имайте предвид, че можете да използвате повторно файла с частен ключ и CSR, за да поискате друг сертификат. Вижте Използване на OpenSSL за генериране на PKCS12 файл за подробности.
30 април 2021 г.	Променено е изискването за VM за локално място на твърдия диск на 30 GB. Вижте Изисквания за виртуален организатор за подробности.
24 февруари 2021	Инструментът за настройка на HDS вече може да се изпълнява зад прокси сървър. Вижте Създаване на конфигурация ISO за хостовете на HDS за подробности.
Февруари 2, 2021	HDS вече може да се изпълнява без монтиран ISO файл. Вижте (По избор) Демонтиране на ISO след конфигуриране на HDS за подробности.
11 януари 2021 г.	Добавена е информация за инструмента за настройка на HDS и прокси сървъри, за да се създаде конфигурационен ISO за хостовете на HDS.
13 октомври 2020 г	Изтегляне на инсталационни файлове е актуализирано.
08 октомври 2020 г.	Актуализиран е Създаване на конфигурация ISO за HDS хостовете и Промяна на конфигурацията на възела с команди за среди на FedRAMP.
14 август 2020 г	Актуализиран е Създаване на конфигурация ISO за хостовете на HDS и Промяна на конфигурацията на възела с промени в процеса на влизане.
5 август 2020 г	Актуализиран Тестване на внедряването на хибридна защита на данни за промени в съобщенията в регистрационните файлове. Актуализирани са изискванията за виртуален организатор , за да се премахне максималният брой организатори.
16 юни 2020 г	Актуализиран е Премахване на възел за промени в потребителския интерфейс на Control Hub.
4 юни 2020 г	Актуализиран е Създаване на конфигурационен ISO за хостовете на HDS за промени в разширените настройки, които може да зададете.
29 май 2020 г	Актуализиран е Създаване на конфигурационен ISO за хостовете на HDS , за да се покаже, че можете да използвате и TLS с бази данни на SQL Server, промени на потребителския интерфейс и други пояснения.
5 май 2020 г	Актуализирани са изискванията за виртуален хост, за да се покаже новото изискване на ESXi 6.5.
21 април 2020 г.	Актуализирани са Изисквания за външна свързаност с нови организатори на CI в Americas.
1 април 2020 г.	Актуализирани са Изисквания за външна свързаност с информация за регионалните организатори на CI.
20 февруари 2020 г	Актуализиран е Създаване на конфигурационен ISO за хостовете на HDS с информация за нов екран с незадължителни разширени настройки в инструмента за настройка на HDS.
14 февруари 2019 г.	Актуализирани са изискванията за прокси сървъра.
16 декември 2019 г.	Поясни изискването за режим на блокирано външно разрешаване на DNS, за да работи в Изисквания към прокси сървъра.
19 ноември 2019	Добавена е информация за режима на блокирано външно DNS разрешаване в следните раздели: Поддръжка на прокси Конфигуриране на HDS възел за интегриране на прокси сървър Изключване на режим на блокирана външна DNS разделителна способност
8 ноември 2019 г	Вече можете да конфигурирате мрежови настройки за даден възел, докато разполагате с OVA, а не след това. Следните раздели са съответно актуализирани: Поток на задачи за разполагане на хибридна защита на данни Инсталиране на HDS Host OVA Настройване на VM на хибридна защита на данни Опцията за конфигуриране на мрежовите настройки по време на разполагането на OVA е тествана с ESXi 6.5. Опцията може да не е налична в по-ранни версии.
6 септември 2019 г	Добавен е SQL Server Standard към изискванията за сървъра за база данни.
Август 29, 2019	Добавено е приложение Конфигуриране на прокси сървъри за хибридна защита на данни с насоки за конфигуриране на прокси сървъри за игнориране на трафика на уеб сокети за правилна работа.
Август 20, 2019	Добавени и актуализирани раздели, за да обхванат поддръжката на прокси сървър за комуникации с възела на хибридна защита на данни към облака на Webex. Поддръжка на прокси Изисквания към прокси сървъра Конфигуриране на HDS възел за интегриране на прокси сървър За достъп само до съдържанието на прокси поддръжката за съществуващо разполагане вижте помощната статия Поддръжка на прокси сървъра за хибридна защита на данни и Webex Video Mesh .
13 юни 2019 г.	Актуализиран е Пробен в производствен поток на задачи с напомняне за синхронизиране на груповия обект `HdsTrialGroup` преди започване на пробен период, ако вашата организация използва синхронизиране на указатели.
06 март 2019 г.	Премести изискванията и предварителните изисквания в отделна глава, Подготовка на средата. Добавен е Поток на задачи за разполагане на хибридна защита на данни общ преглед в главата Настройване на клъстер на хибридна защита на данни. Имайте предвид, че докато не започнете изпробване (като използвате инструкциите в следващата глава) вашите възли генерират аларма, която показва, че услугата ви все още не е активирана. Добавен е Пробен в производствения поток на задачи в главата Изпълнение на пробен период и преминаване към производство.
Февруари 28, 2019	Коригирано е количеството локално място на твърдия диск на сървър, което трябва да заделите при подготовката на виртуалните хостове, които стават възли на хибридна защита на данни, от 50 GB до 20 GB, за да се отрази размера на диска, който OVA създава.
26 февруари 2019 г.	Възлите на хибридна защита на данни вече поддържат шифровани връзки със сървъри с бази данни на PostgreSQL и шифровани връзки за регистриране към syslog сървър с възможност за TLS. Актуализиран е Създаване на конфигурационен ISO за хостовете на HDS с инструкции. Премахнати са целеви URL адреси от таблицата „Изисквания за свързаност с интернет за VMs с възли на хибридна защита на данни“. Таблицата сега се отнася до списъка, поддържан в таблицата „Допълнителни URL адреси за хибридни услуги на Webex Teams“ на Мрежови изисквания за услугите на Webex Teams.
Януари 24, 2019	Хибридната защита на данните вече поддържа Microsoft SQL Server като база данни. Винаги включен SQL Server (Винаги включен клъстер за преместване при отказ и винаги включен групи за наличност) се поддържа от JDBC драйвери, които се използват в хибридната защита на данните. Добавено съдържание, свързано с разполагане с SQL сървър. Поддръжката на Microsoft SQL Server е предназначена само за нови разполагания на хибридната защита на данните. Понастоящем не поддържаме мигриране на данни от PostgreSQL към Microsoft SQL Server в съществуващо разполагане.
5 ноември 2018 г.	Добавена е предварителна стъпка за изчистване на всички съществуващи екземпляри на hds на docker в Създаване на конфигурация ISO за хостовете на HDS и Промяна на конфигурацията на възела. Актуализирана е стъпката на ниво на достъп до ключ в Създаване на конфигурация ISO за хостовете на HDS , за да съответства на интерфейса.
19 октомври 2018 г.	Разделете информацията за връзката на защитната стена на изисквания към възлите и изисквания на машината за конфигуриране на ISO в Завършване на предварителните изисквания за хибридна защита на данните.
Юли 31, 2018	Добавен е порт 22 (SSH достъп) и информация за NAT и защитните стени връзки, за да изпълните изискванията за хибридна защита на данните.
21 май 2018 г.	Променена терминология, за да отрази ребрандиране на Cisco Spark: Хибридна защита на данни на Cisco Spark вече е хибридна защита на данни. Приложението Cisco Spark сега е приложението Webex App. Облакът на Cisco Collaboraton сега е облакът на Webex.
11 април 2018 г.	Добавен е Standby Data Center за възстановяване след бедствие. Актуализирано: Изпълнете изискванията за хибридна защита на данни , за да посочите, че средата за архивиране трябва да бъде в друг център за данни. Актуализирано е Възстановяване при бедствие с използване на Standby Data Center.
22 февруари 2018 г	Добавена е информация за 9-месечния жизнен цикъл на паролата за сервизния акаунт и използване на инструмента за настройка на HDS за нулиране на паролите за сервизния акаунт в Създаване на ISO конфигурация за хостовете на HDS и Промяна на конфигурацията на възела.
15 февруари 2018	В таблицата с изисквания за сертификат X.509 е посочено, че сертификатът не може да бъде заместващ сертификат и че KMS използва домейна CN, а не всеки домейн, който е дефиниран в полетата на SAN.509v3.
18 януари 2018	Добавено допълнение, Трафик между възлите на HDS и облака. Премахнат е разрешен проблем от Известни проблеми за хибридна защита на данни. Променен index.docker.io на .docker.io и добавен .cloudfront.net към списъка с изисквания за TCP свързаност за възлите на HDS в Завършване на предварителните изисквания за хибридна защита на данните. Актуализиран е Създаване на конфигурационен ISO за хостовете на HDS , за да се посочи, че ако хостът на базата данни и сървърът за syslogd не могат да се разрешават чрез DNS от HDS възлите, трябва да ги конфигурирате, като използвате IP адреси.
2 ноември 2017 г	Изяснено синхронизиране на указатели на HdsTrialGroup. Фиксирани инструкции за качване на ISO конфигурационния файл за монтаж във VM възлите.
18 август 2017 г.	Първо публикуване

Първи стъпки с хибридна защита на данни

Общ преглед на хибридна защита на данни

От първия ден сигурността на данните е основният фокус при проектирането на приложението Webex. Крайъгълният камък на тази защита е цялостното шифроване на съдържание, разрешено от клиентите на приложението Webex, които взаимодействат с услугата за управление на ключове (KMS). KMS отговаря за създаването и управлението на криптографски ключове, които клиентите използват за динамично криптиране и дешифриране на съобщения и файлове.

По подразбиране всички клиенти на приложението Webex получават цялостно шифроване с динамични ключове, съхранявани в облака KMS, в областта на защитата на Cisco. Хибридната защита на данните премества KMS и други свързани със сигурността функции във вашия корпоративен център за данни, така че никой освен вас не държи ключовете за вашето криптирано съдържание.

Архитектура на областта на сигурността

Архитектурата на облака на Webex разделя различните типове услуги в отделни области или домейни на доверие, както е описано по-долу.

За да разберем по-подробно хибридната защита на данните, нека първо разгледаме този случай в облака, където Cisco предоставя всички функции в своите облачни области. Услугата за самоличност, единственото място, където потребителите могат да бъдат пряко свързани с тяхната лична информация, като имейл адрес, е логично и физически отделена от областта на защитата в центъра за данни B. И двете от своя страна са отделени от областта, в която в крайна сметка се съхранява шифровано съдържание, в центъра за данни C.

На тази схема клиентът е приложението Webex, което се изпълнява на лаптопа на потребителя, и е удостоверен с услугата за самоличност. Когато потребителят композира съобщение за изпращане до интервал, се извършват следните стъпки:

Клиентът установява защитена връзка с услугата за управление на ключове (KMS), след което иска ключ за шифроване на съобщението. Защитената връзка използва ECDH, а KMS шифрова ключа с помощта на главния ключ AES-256.
Съобщението е шифровано преди да напусне клиента. Клиентът го изпраща на услугата за индексиране, която създава шифровани индекси за търсене, за да подпомогне при бъдещи търсения на съдържанието.
Шифрованото съобщение се изпраща на услугата за съответствие за проверки за съответствие.
Шифрованото съобщение се съхранява в областта на мястото за съхранение.

Когато разположите хибридна защита на данни, премествате функциите на областта на защитата (KMS, индексиране и съответствие) в своя локален център за данни. Другите услуги в облака, които съставляват Webex (включително съхранение на самоличност и съдържание), остават в областите на Cisco.

Сътрудничество с други организации

Потребителите във вашата организация могат редовно да използват приложението Webex за сътрудничество с външни участници в други организации. Когато един от вашите потребители поиска ключ за място, което е собственост на вашата организация (защото е създадено от един от вашите потребители), вашата KMS изпраща ключа на клиента чрез ECDH защитен канал. Когато обаче друга организация притежава ключа за пространството, вашият KMS маршрутизира заявката към облака Webex чрез отделен ECDH канал, за да получи ключа от съответния KMS и след това връща ключа на вашия потребител в оригиналния канал.

Услугата KMS, изпълнявана в организация А, валидира връзките към KMS в други организации, като използва x.509 PKI сертификати. Вижте Изисквания за хибридна защита на данни (в тази статия) за подробности относно генерирането на сертификат x.509, който да използвате с разполагането си на хибридна защита на данни.

Очаквания за внедряване на хибридна защита на данни

Внедряването на хибридна защита на данни изисква значителна ангажираност на клиентите и осведоменост за рисковете, които идват от притежанието на ключове за шифроване.

За да разположите хибридна защита на данни, трябва да предоставите:

Защитен център за данни в страна, която е поддържано местоположение за плановете на Cisco Webex Teams.
Оборудването, софтуерът и мрежовият достъп, описани в Изисквания за хибридна защита на данните.

Пълната загуба или на конфигурационния ISO, който изграждате за хибридна защита на данни, или на базата данни, която предоставяте, ще доведе до загуба на ключове. Загубата на ключове не позволява на потребителите да дешифрират съдържанието в пространството и други шифровани данни в приложението Webex. Ако това се случи, можете да изградите ново разполагане, но ще се вижда само новото съдържание. За да избегнете загуба на достъп до данни, трябва:

Управлявайте архивирането и възстановяването на базата данни и конфигурационния ISO.
Бъдете готови да извършите бързо възстановяване след бедствие, ако възникне катастрофа, като повреда на диска на базата данни или бедствие на центъра за данни.

Няма механизъм за преместване на ключовете обратно в облака след разполагане на HDS.

Процес на настройка на високо ниво

Този документ обхваща настройката и управлението на разполагането на хибридна защита на данни:

Настройка на хибридна защита на данни – това включва подготовка на необходимата инфраструктура и инсталиране на софтуера на хибридна защита на данни, тестване на внедряването ви с поднабор от потребители в пробен режим и след като тестването ви завърши, преминаване към производство. Това конвертира цялата организация, за да използва вашия клъстер на хибридна защита на данни за функции на защитата.
Етапите на настройка, изпробване и производство са подробно описани в следващите три глави.
Поддържайте разполагането на хибридна защита на данни – Облакът на Webex автоматично предоставя текущи надстройки. Вашият ИТ отдел може да предостави поддръжка от първо ниво за това разполагане и да ангажира поддръжката на Cisco, ако е необходимо. В Control Hub можете да използвате известия на екрана и да настроите имейл предупреждения.
Разбиране на често срещаните предупреждения, стъпките за отстраняване на неизправности и известни проблеми – ако срещнете проблеми при разполагането или използването на хибридна защита на данни, последната глава от това ръководство и приложението „Известни проблеми“ могат да ви помогнат да определите и коригирате проблема.

Модел на разполагане на хибридна защита на данни

В рамките на вашия корпоративен център за данни разполагате с хибридна защита на данни като един клъстер от възли на отделни виртуални хостове. Възлите комуникират с облака на Webex чрез защитени уеб сокети и защитен HTTP.

По време на процеса на инсталиране ви предоставяме файла OVA, за да настроите виртуалния уред на VMs, които предоставяте. Използвайте инструмента за настройка на HDS, за да създадете персонализиран ISO файл за конфигуриране на клъстери, който да монтирате на всеки възел. Клъстерът на хибридна защита на данни използва предоставения ви сървър Syslogd и базата данни на PostgreSQL или Microsoft SQL Server. (Можете да конфигурирате подробностите за връзката на Syslogd и базата данни в инструмента за настройка на HDS.)

Модел на разполагане на хибридна защита на данни

Минималният брой възли, които можете да имате в клъстер, е два. Препоръчваме поне по три на клъстер. Наличието на множество възли гарантира, че услугата не се прекъсва по време на надстройка на софтуера или друга дейност по поддръжка на даден възел. (Облакът на Webex надгражда само един възел в даден момент.)

Всички възли в клъстера имат достъп до един и същ файл с ключове и регистрационната активност към един и същ syslog сървър. Самите възли са без гражданство и обработват ключови заявки в кръгла форма, както е указано от облака.

Възлите стават активни, когато ги регистрирате в Control Hub. За да излезете от експлоатация отделен възел, можете да го дерегистрирате и по-късно да го регистрирате отново, ако е необходимо.

Поддържаме само един клъстер на организация.

Пробен режим на хибридна защита на данни

След като настроите разполагане на хибридна защита на данни, първо го изпробвайте с набор от пилотни потребители. По време на пробния период тези потребители използват вашия локален домейн за хибридна защита на данни за ключове за шифроване и други услуги от областта на защитата. Другите ви потребители продължават да използват областта на защита на облака.

Ако решите да не продължите с разполагането по време на пробния период и да деактивирате услугата, пилотните потребители и всички потребители, с които са взаимодействали чрез създаване на нови места по време на пробния период, ще загубят достъп до съобщенията и съдържанието. Те ще видят \„Това съобщение не може да бъде дешифрирано\“ в приложението Webex.

Ако сте доволни, че разполагането ви работи добре за пробните потребители и сте готови да разширите хибридната защита на данни до всички свои потребители, преместете разполагането в производство. Пилотните потребители продължават да имат достъп до ключовете, които са били използвани по време на пробния период. Не можете обаче да се движите напред-назад между производствения режим и първоначалното изпробване. Ако трябва да деактивирате услугата, например да извършите възстановяване след бедствие, когато активирате повторно, трябва да започнете нов пробен период и да настроите набора от пилотни потребители за новия пробен период, преди да се върнете към производствен режим. Дали потребителите запазват достъпа до данни в този момент зависи от това дали успешно сте поддържали резервни копия на хранилището за основни данни и конфигурационния файл за ISO за възлите на хибридна защита на данни във вашия клъстер.

Standby Data Center за възстановяване при бедствия

По време на разгръщането настройвате защитен център за данни в режим на готовност. В случай на бедствие на центъра за данни можете ръчно да не успеете при разполагането си в центъра за данни в режим на готовност.

Базите данни на активните центрове за данни и центровете за данни в режим на готовност са синхронизирани помежду си, което ще сведе до минимум времето, необходимо за извършване на превключването при отказ. ISO файлът на центъра за данни в режим на готовност се актуализира с допълнителни конфигурации, които гарантират, че възлите са регистрирани в организацията, но няма да се справят с трафика. Следователно възлите на центъра за данни в режим на готовност винаги остават актуални с най-новата версия на софтуера на HDS.

Активните възли на хибридна защита на данни трябва винаги да бъдат в същия център за данни като активния сървър с база данни.

Настройване на Standby Data Center за възстановяване при бедствия

Следвайте стъпките по-долу, за да конфигурирате ISO файла на центъра за данни в режим на готовност:

Преди да започнете

Центърът за данни в режим на готовност трябва да отразява производствената среда на VMs и архивна база данни PostgreSQL или Microsoft SQL Server. Например, ако производството има 3 VMs, работещи с HDS възли, резервната среда трябва да има 3 VMs. (Вижте Standby Data Center for Disaster Recovery за общ преглед на този модел на отказ.)
Уверете се, че синхронизирането на базата данни е разрешено между базата данни на активните и пасивните възли на клъстерите.

1	Стартирайте инструмента за настройка на HDS и следвайте стъпките, споменати в Създаване на конфигурационен ISO за хостовете на HDS. ISO файлът трябва да бъде копие на оригиналния ISO файл на основния център за данни, върху който трябва да се направят следните актуализации на конфигурацията.
2	След конфигурирането на сървъра Syslogd щракнете върху Разширени настройки
3	На страницата Разширени настройки добавете конфигурацията по-долу, за да поставите възела в пасивен режим. В този режим възелът ще бъде регистриран в организацията и свързан към облака, но няма да обработва никакъв трафик. `пасивенРежим: „вярно“`
4	Завършете процеса на конфигуриране и запишете ISO файла на лесно за намиране място.
5	Направете резервно копие на ISO файла в локалната си система. Поддържайте архивното копие защитено. Този файл съдържа главен ключ за шифроване за съдържанието на базата с данни. Ограничете достъпа само до онези администратори на хибридна защита на данни, които трябва да направят промени в конфигурацията.
6	В левия навигационен екран на клиента VMware vSphere щракнете с десния бутон върху VM и щракнете върху Редактиране на настройките..
7	Щракнете върху Редактиране на настройките >CD/DVD диск 1 и изберете Datastore ISO файл. Уверете се, че са отметнати Свързани и Свързване при включване , за да могат актуализираните промени в конфигурацията да влязат в сила след стартиране на възлите.
8	Включете възела на HDS и се уверете, че няма аларми поне 15 минути.
9	Повторете процеса за всеки възел в центъра за данни в режим на готовност. Проверете регистрационните файлове в syslog, за да потвърдите, че възлите са в пасивен режим. Трябва да можете да виждате съобщението „KMS, конфигурирано в пасивен режим“ в регистрационните файлове в syslog.

Какво да направите след това

След като конфигурирате passiveMode в ISO файла и го запишете, можете да създадете друго копие на ISO файла без конфигурацията на passiveMode и да го запишете на защитено място. Това копие на ISO файла без конфигуриран passiveMode може да помогне при бърз процес на отказ по време на възстановяване след бедствие. Вижте Възстановяване при бедствие с използване на Standby Data Center за подробната процедура при отказ.

Поддръжка на прокси

Hybrid Data Security поддържа изрични, прозрачни проверяващи и неинспектационни проксита. Можете да свържете тези проксита към разполагането си, така че да можете да подсигурите и наблюдавате трафика от предприятието навън към облака. Можете да използвате администраторски интерфейс на платформа на възлите за управление на сертификати и да проверите цялостното състояние на свързване, след като настроите прокси сървъра на възлите.

Хибридните възли за защита на данните поддържат следните опции за прокси:

Няма прокси сървър – Стойността по подразбиране, ако не използвате конфигурацията за настройка на HDS възел на доверено хранилище и прокси сървър за интегриране на прокси сървър. Не се изисква актуализация на сертификата.
Прозрачен прокси сървър без проверка – възлите не са конфигурирани да използват определен адрес на прокси сървъра и не трябва да изискват промени, за да работят с прокси сървър без проверка. Не се изисква актуализация на сертификата.
Прозрачно тунелиране или проверка на прокси сървъра – възлите не са конфигурирани да използват определен адрес на прокси сървъра. На възлите не са необходими промени в конфигурацията на HTTP или HTTPS. Възлите обаче се нуждаят от главен сертификат, така че да се доверяват на прокси. Проверяващите пълномощници обикновено се използват от It за прилагане на политики, на които могат да бъдат посетени уебсайтовете и кои видове съдържание не са разрешени. Този тип прокси дешифрира целия ви трафик (дори HTTPS).
Изричен прокси сървър – С изричния прокси сървър казвате на HDS кои прокси сървъри и схема за удостоверяване да използват. За да конфигурирате изрично прокси, трябва да въведете следната информация на всеки възел:
1. Прокси IP/FQDN – адрес, който може да се използва за свързване с прокси машината.
2. Прокси порт – номер на порт, който прокси сървърът използва за слушане за прокси трафик.
3. Прокси протокол – в зависимост от това, което поддържа прокси сървърът ви, изберете между следните протоколи:
  - HTTP—Преглежда и контролира всички заявки, които клиентът изпраща.
  - HTTPS—Предоставя канал на сървъра. Клиентът получава и валидира сертификата на сървъра.
4. Тип удостоверяване – изберете измежду следните типове удостоверяване:
  - Няма – Не се изисква допълнително удостоверяване.
    
    Налично, ако изберете или HTTP Или HTTPS като протокол за прокси.
  - Основни—Използва се за HTTP потребителски агент, за да предостави потребителско име и парола при подаване на заявка. Използва Base64 кодиране.
    
    Налично, ако изберете или HTTP Или HTTPS като протокол за прокси.
    
    Изисква да въведете потребителското име и паролата на всеки възел.
  - Обобщаване – използва се за потвърждаване на акаунта, преди да се изпрати чувствителна информация. Прилага хеш функция на потребителското име и паролата преди изпращане по мрежата.
    
    Предлага се само ако изберете HTTPS като протокол за прокси.
    
    Изисква да въведете потребителското име и паролата на всеки възел.

Пример за хибридни данни сигурност възли и прокси

Тази диаграма показва примерна връзка между защитата на хибридните данни, мрежата и прокси. За прозрачния инспектиращ и HTTPS изричен инспектиращ прокси опции, един и същ главен сертификат трябва да бъде инсталиран на прокси и на хибридните възли за защита на данните.

Блокиран режим на външна DNS разделителна способност (изрични прокси конфигурации)

Когато регистрирате възел или проверете конфигурацията на прокси сървъра на възела, процесът тества DNS справка и свързаност към облака Cisco Webex. В разполагане с изрични прокси конфигурации, които не позволяват външна DNS разделителна способност за вътрешни клиенти, ако възелът не може да заявка DNS сървъри, тя автоматично преминава в режим блокирани външни DNS резолюция. В този режим може да се процедира регистрация на възли и други тестове за свързване на прокси.

Подгответе средата си

Изисквания за хибридна защита на данните

Изисквания за лицензи за Cisco Webex

За да разположите хибридна защита на данните:

Трябва да имате Pro Pack за Cisco Webex Control Hub. (Вижте https://www.cisco.com/go/pro-pack.)

Изисквания за закачане на работния плот

Преди да инсталирате възлите на HDS, трябва Docker Desktop, за да изпълните инсталационна програма. Docker наскоро актуализира своя модел на лицензиране. Вашата организация може да изисква платен абонамент за Docker Desktop. За подробности вижте публикацията в блога на Docker, " Docker е Актуализиране и разширяване на нашите абонаментиза продукти".

X.509 Изисквания за сертификата

Веригата на сертификатите трябва да отговаря на следните изисквания:

Таблица 1. X.509 Изисквания за сертификата за разполагане на хибридна защита на данни
Изискване	Подробности
Подписан от надежден сертифициращ орган (CA)	По подразбиране се доверяваме на сертифициращите органи в списъка на Mozilla (с изключение на WoSign и StartCom) на https://wiki.mozilla.org/CA:IncludedCAs.
Носи общо име (CN) име на домейн, което идентифицира вашето разполагане на хибридна защита на данни Не е заместващ сертификат	CN не е нужно да е достъпен или хост на живо. Препоръчваме ви да използвате име, което отразява вашата организация, например `hds.company.com`. CN не трябва да съдържа * (заместващ символ). CN се използва за проверка на възлите на хибридна защита на данни за клиентите на приложението Webex. Всички възли на хибридна защита на данни във вашия клъстер използват един и същ сертификат. Вашият KMS се идентифицира с помощта на CN домейна, а не с произволен домейн, дефиниран в полетата x.509v3 SAN. След като сте регистрирали възел с този сертификат, не поддържаме промяна на името на CN домейна. Изберете домейн, който може да се прилага както за пробно, така и за производствени разполагания.
Подпис, който не е SHA1	Софтуерът KMS не поддържа подписи SHA1 за валидиране на връзки с KMS на други организации.
Форматиран като защитен с парола PKCS #12 файл Използвайте приятелското име на `kms-private-key` , за да маркирате сертификата, частния ключ и всички междинни сертификати за качване.	Можете да използвате конвертор, като OpenSSL, за да промените формата на сертификата си. Ще трябва да въведете паролата, когато стартирате инструмента за настройка на HDS.

Софтуерът KMS не налага използване на ключове или не разширява ограниченията за използване на ключове. Някои сертифициращи органи изискват за всеки сертификат да се прилагат разширени ограничения за използване на ключа, като например удостоверяване на сървъра. Добре е да използвате удостоверяване на сървъра или други настройки.

Изисквания за виртуален организатор

Виртуалните хостове, които ще настроите като възли на хибридна защита на данни във вашия клъстер, имат следните изисквания:

Поне два отделни хоста (препоръчва се 3), разположени съвместно в един и същ защитен център за данни
VMware ESXi 7.0 (или по-нова версия) е инсталиран и работи.

Трябва да надстроите, ако имате по-стара версия на ESXi.
Минимум 4 vCPU, 8 GB основна памет, 30 GB локално място на твърдия диск на сървър

Изисквания към сървъра за база данни

Създайте нова база данни за съхранение на ключове. Не използвайте базата данни по подразбиране. Приложенията на HDS, когато са инсталирани, създават схемата на базата с данни.

Има две опции за сървъра с база данни. Изискванията за всеки от тях са, както следва:

Таблица 2. Изисквания за сървъра с база данни по тип база данни
PostgreSQL	Microsoft SQL сървър
PostgreSQL 14, 15 или 16, инсталиран и се изпълнява.	Инсталиран е SQL Server 2016, 2017, 2019 или 2022 (корпоративен или стандартен). SQL Server 2016 изисква Service Pack 2 и Кумулативна актуализация 2 или по-нова версия.
Минимум 8 vCPU, 16 GB основна памет, достатъчно място на твърдия диск и наблюдение, за да се гарантира, че не е превишено (препоръчва се 2 TB, ако искате да стартирате базата данни дълго време, без да е необходимо да увеличавате мястото за съхранение)	Минимум 8 vCPU, 16 GB основна памет, достатъчно място на твърдия диск и наблюдение, за да се гарантира, че не е превишено (препоръчва се 2 TB, ако искате да стартирате базата данни дълго време, без да е необходимо да увеличавате мястото за съхранение)

HDS софтуерът в момента инсталира следните версии на драйвери за комуникация със сървъра с база данни:

PostgreSQL

Microsoft SQL сървър

Postgres JDBC драйвер 42.2.5

SQL Server JDBC драйвер 4.6

Тази версия на драйвера поддържа SQL Server Always On ( Винаги включен екземпляр на клъстера при отказ и Винаги включен групи за наличност).

Допълнителни изисквания за удостоверяване на Windows срещу Microsoft SQL Server

Ако искате HDS възлите да използват удостоверяване на Windows, за да получат достъп до вашата база данни на Keystore на Microsoft SQL Server, тогава е необходима следната конфигурация във вашата среда:

Възлите на HDS, инфраструктурата на Active Directory и MS SQL Server трябва да бъдат синхронизирани с NTP.
Акаунтът за Windows, който предоставяте на възли на HDS, трябва да има достъп за четене/запис до базата данни.
DNS сървърите, които предоставяте на HDS възли, трябва да могат да разрешават вашия център за разпределение на ключове (KDC).
Можете да регистрирате екземпляра на базата данни на HDS на Microsoft SQL Server като основно име на услуга (SPN) на Active Directory. Вижте Регистриране на основно име на услуга за Kerberos връзки.

Инструментът за настройка на HDS, HDS стартера и локалния KMS трябва да използват удостоверяване на Windows за достъп до базата данни на Keystore. Те използват подробностите от вашата ISO конфигурация, за да конструират SPN, когато заявяват достъп с удостоверяване на Kerberos.

Изисквания за външна връзка

Конфигурирайте защитната стена, за да разрешите следната свързаност за приложенията на хибридна защита на данни:

Приложение	Протокол	Порт	Посока от приложението	Местоназначение
Възли на хибридна защита на данни	TCP	443	Изходящи HTTPS и ВиК	Сървъри на Webex: .wbx2.com .ciscospark.com Всички организатори на Common Identity Други URL адреси, които са изброени за хибридна защита на данни в таблицата Допълнителни URL адреси за хибридни услуги на Webex на мрежовите изисквания за услугите на Webex
Инструмент за настройка на HDS	TCP	443	Изходящ HTTPS	*.wbx2.com Всички организатори на Common Identity hub.docker.com

Възлите на хибридна защита на данни работят с превод на мрежовия достъп (NAT) или зад защитна стена, при условие че NAT или защитната стена позволяват необходимите изходящи връзки към местоназначенията на домейна в предходната таблица. За връзки, влизащи във входящи възли на хибридна защита на данни, от интернет не трябва да се виждат портове. В рамките на вашия център за данни клиентите се нуждаят от достъп до възлите на хибридна защита на данни на TCP портове 443 и 22 за административни цели.

URL адресите за хостовете на Common Identity (CI) са специфични за региона. Това са текущите организатори на CI:

Регион	URL адреси на организатор на Common Identity
Северна и Южна Америка	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Европейски съюз	https://idbroker-eu.webex.com https://identity-eu.webex.com
Канада	https://idbroker-ca.webex.com https://identity-ca.webex.com
Сингапур	https://idbroker-sg.webex.com https://identity-sg.webex.com
Обединени арабски емирства	https://idbroker-ae.webex.com https://identity-ae.webex.com

Изисквания към прокси сървъра

Ние официално поддържаме следните прокси решения, които могат да се интегрират с вашите възли hybrid Data Security.
- Прозрачен прокси-Уред за уеб защита cisco (WSA).
- Изрична прокси-Сепия.
  
  Прокси сървърите, които инспектират HTTPS трафика, могат да попречат на установяването на websocket (wss:) връзки. За да работите по този проблем, вижте Конфигуриране на прокси сървъри за хибридна защита на данни.
Ние поддържаме следните комбинации от тип удостоверяване за изрични проксита:
- Без удостоверяване с HTTP или HTTPS
- Базово удостоверяване с HTTP или HTTPS
- Смилане на удостоверяване само с HTTPS
За прозрачен проверяващ прокси или HTTPS изрично прокси, трябва да имате копие на главния сертификат на прокси. Инструкциите за разполагане в това ръководство ви казват как да качите копието в магазините за доверие на хибридните възли за защита на данните.
Мрежата, хостваща HDS възлите, трябва да бъде конфигурирана да принуди изходящия TCP трафик на порт 443 да маршрутизира през прокси сървъра.
Прокситата, които инспектират уеб трафика, може да пречат на връзките с уеб гнездото. Ако възникне този проблем, заобикалянето (не инспектирането) на трафика към wbx2.com и ciscospark.com ще реши проблема.

Изпълнете предварителните изисквания за хибридна защита на данни

Използвайте този контролен списък, за да гарантирате, че сте готови да инсталирате и конфигурирате своя клъстер на хибридна защита на данни.

1	Уверете се, че вашата организация в Webex е разрешена за Pro Pack за Cisco Webex Control Hub, и получете идентификационните данни за акаунт с пълни права на администратор на организацията. Свържете се с вашия партньор в Cisco или мениджър на акаунти за помощ с този процес.
2	Изберете име на домейн за разполагането на HDS (например `hds.company.com`) и получете верига от сертификати, съдържаща сертификат X.509, частен ключ и всички междинни сертификати. Веригата на сертификатите трябва да отговаря на изискванията в X.509 Изисквания за сертификат.
3	Подгответе идентични виртуални хостове, които ще настроите като възли на хибридна защита на данни във вашия клъстер. Имате нужда от поне два отделни организатора (препоръчва се 3), разположени съвместно в един и същ защитен център за данни, които отговарят на изискванията в Изисквания за виртуален организатор.
4	Подгответе сървъра с база данни, който ще действа като хранилище на данни за ключа за клъстера в съответствие с изискванията за сървъра с база данни. Сървърът на базата данни трябва да бъде разположен съвместно в защитения център за данни с виртуалните хостове. Създайте база данни за съхранение на ключове. (Трябва да създадете тази база данни – не използвайте базата данни по подразбиране. Приложенията на HDS, когато са инсталирани, създават схемата на базата с данни.) Съберете подробностите, които ще използват възлите за комуникация със сървъра с база данни: име на хост или IP адрес (хост) и порт името на базата с данни (dbname) за съхранение на ключа потребителското име и паролата на потребител с всички привилегии в базата данни за съхранение на ключа
5	За бързо възстановяване след бедствие настройте архивна среда в друг център за данни. Резервната среда отразява производствената среда на VMs и резервен сървър с база данни. Например, ако производството има 3 VMs, работещи с HDS възли, резервната среда трябва да има 3 VMs.
6	Настройте хост на syslog, за да събирате регистрационни файлове от възлите в клъстера. Съберете мрежовия му адрес и порта за syslog (по подразбиране е UDP 514).
7	Създайте правила за защитено архивиране за възлите на хибридна защита на данни, сървъра с база данни и хоста на syslog. Като минимум, за да предотвратите невъзстановима загуба на данни, трябва да архивирате базата данни и конфигурационния ISO файл, генериран за възлите на хибридна защита на данни. Тъй като възлите на хибридна защита на данни съхраняват ключовете, използвани за шифроване и дешифроване на съдържание, неподдържането на оперативно разполагане ще доведе до НЕВЪЗСТАНОВИМА ЗАГУБА на това съдържание. Клиентите на приложението Webex кешират ключовете си, така че прекъсването може да не се забележи веднага, но ще стане очевидно с течение на времето. Въпреки че е невъзможно да се предотвратят временните прекъсвания, те са възстановими. Обаче пълната загуба (няма налични резервни копия) на базата данни или конфигурационния ISO файл ще доведе до невъзстановими клиентски данни. От операторите на възлите на хибридна защита на данни се очаква да поддържат чести резервни копия на базата данни и конфигурационния ISO файл и да бъдат готови да възстановят центъра за данни на хибридна защита на данни, ако възникне катастрофална грешка.
8	Уверете се, че конфигурацията на защитната ви стена позволява свързване за вашите възли на хибридна защита на данни, както е описано в Изисквания за външна свързаност.
9	Инсталирайте Docker ( https://www.docker.com) на всяка локална машина, работеща с поддържана операционна система (Microsoft Windows 10 Professional или Enterprise 64-битова или Mac OSX Yosemite 10.10.3 или по-нова версия) с уеб браузър, който може да получи достъп до нея на http://127.0.0.1:8080. Можете да използвате екземпляр на Docker, за да изтеглите и изпълните инструмента за настройка на HDS, който изгражда информацията за локална конфигурация за всички възли на хибридна защита на данни. Вашата организация може да се нуждае от лиценз за настолен компютър за docker. Вижте Изисквания за закачане на работния плот за повече информация. За да инсталирате и стартирате инструмента за настройка на HDS, локалната машина трябва да има възможността за свързване, описана в Изисквания за външна свързаност.
10	Ако интегрирате прокси сървър с хибридна защита на данните, уверете се, че той отговаря на изискванията за прокси сървър.
11	Ако вашата организация използва синхронизиране на указатели, създайте група в Active Directory, наречена `HdsTrialGroup`, и добавете пилотни потребители. Пробната група може да има до 250 потребители. Обектът на `HdsTrialGroup` трябва да бъде синхронизиран с облака, преди да можете да започнете изпробване за вашата организация. За да синхронизирате групов обект, изберете го в менюто Конфигурация > Избор на обект на Directory Connector. (За подробни инструкции вижте Ръководство за разполагане на Cisco Directory Connector.) Бутоните за дадено място се задават от създателя на мястото. Когато избирате пилотни потребители, имайте предвид, че ако решите за постоянно да деактивирате разполагането на хибридна защита на данни, всички потребители губят достъп до съдържание в местата, които са създадени от пилотните потребители. Загубата става видима веднага щом приложенията на потребителите опреснят кешираните си копия на съдържанието.

Настройване на клъстер на хибридна защита на данни

Поток на задачи за разполагане на хибридна защита на данни

Преди да започнете

1	Изтегляне на инсталационните файлове Изтеглете OVA файла на вашата локална машина за по-късно използване.
2	Създаване на конфигурационен ISO за хостовете на HDS Използвайте инструмента за настройка на HDS, за да създадете ISO конфигурационен файл за възлите на хибридна защита на данни.
3	Инсталиране на HDS Host OVA Създайте виртуална машина от OVA файла и изпълнете първоначалната конфигурация, като например мрежови настройки. Опцията за конфигуриране на мрежовите настройки по време на разполагането на OVA е тествана с ESXi 7.0. Опцията може да не е налична в по-ранни версии.
4	Настройване на VM на хибридна защита на данни Влезте в конзолата на VM и задайте данните за вход. Конфигурирайте мрежовите настройки за възела, ако не сте ги конфигурирали към момента на разполагането на OVA.
5	Качване и монтиране на конфигурация ISO на HDS Конфигурирайте VM от ISO конфигурационния файл, който сте създали с инструмента за настройка на HDS.
6	Конфигуриране на HDS възел за интегриране на прокси сървър Ако мрежовата среда изисква конфигурация на прокси сървър, укажете типа прокси сървър, който ще използвате за възела, и добавете прокси сертификата към хранилището на гаранти, ако е необходимо.
7	Регистриране на първия възел в клъстера Регистрирайте VM с облака на Cisco Webex като възел на хибридна защита на данни.
8	Създаване и регистриране на още възли Завършете настройката на клъстера.
9	Докато не започнете пробен период, вашите възли генерират аларма, която показва, че услугата ви все още не е активирана.

Изтегляне на инсталационните файлове

1	Влезте в https://admin.webex.com и щракнете върху Услуги.
2	В раздела „Хибридни услуги“ намерете картата „Хибридна защита на данни“ и след това щракнете върху Настройка. Ако картата е деактивирана или не я виждате, се свържете с екипа за вашия акаунт или с партньорската си организация. Дайте им номера на акаунта си и помолете организацията ви да активира за хибридна защита на данните. За да намерите номера на акаунта, щракнете върху зъбното колело горе вдясно до името на вашата организация. Можете също да изтеглите OVA по всяко време от раздела Помощ на страницата Настройки . На картата на хибридна защита на данни щракнете върху Редактиране на настройките , за да отворите страницата. След това щракнете върху Изтегляне на софтуера за хибридна защита на данни в раздела Помощ . По-старите версии на софтуерния пакет (OVA) няма да бъдат съвместими с най-новите надстройки на хибридна защита на данни. Това може да доведе до проблеми при надстройване на приложението. Уверете се, че сте изтеглили най-новата версия на OVA файла.
3	Изберете Не , за да посочите, че все още не сте настроили възела, след което щракнете върху Напред. OVA файлът започва автоматично да се изтегля. Запишете файла на местоположение на машината си.
4	Като опция щракнете върху Отваряне на ръководство за разполагане , за да проверите дали има налична по-нова версия на това ръководство.

Създаване на конфигурационен ISO за хостовете на HDS

Процесът на настройка на хибридна защита на данни създава ISO файл. След това използвайте ISO, за да конфигурирате своя хост на хибридна защита на данни.

Преди да започнете

Инструментът за настройка на HDS работи като Docker контейнер на локална машина. За достъп до него стартирайте Docker на тази машина. Процесът на настройка изисква идентификационните данни на акаунт в контролния център с пълни права на администратор за вашата организация.

Ако инструментът за настройка на HDS се изпълнява зад прокси сървър във вашата среда, осигурете настройките на прокси сървъра (сървър, порт, идентификационни данни) чрез променливите на средата за закачване на контейнера за закачване в стъпка 5. Тази таблица дава някои възможни променливи на средата:

Описание

Променлива

HTTP прокси без удостоверяване

ГЛОБАЛЕН_АГЕНТ_HTTP_ПРОКСИ=http://СЪРВЪР_IP:PORT

HTTPS прокси без удостоверяване

ГЛОБАЛЕН_АГЕНТ_HTTPS_ПРОКСИ=http://СЪРВЪР_IP:PORT

HTTP прокси с удостоверяване

GLOBAL_AGENT_HTTP_PROXY=HTTP://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS прокси с удостоверяване

ГЛОБАЛЕН_АГЕНТ_HTTPS_PROXY=HTTP://USERNAME:PASSWORD@SERVER_IP:PORT
Конфигурационният ISO файл, който генерирате, съдържа главния ключ, шифрован в базата данни на PostgreSQL или Microsoft SQL Server. Трябва ви най-новото копие на този файл по всяко време, когато правите промени в конфигурацията, като тези:
- Идентификационни данни за базата данни
- Актуализации на сертификата
- Промени в правилата за упълномощаване
Ако планирате да шифровате връзките с бази данни, настройте разполагането на вашия PostgreSQL или SQL Server за TLS.

1

В командния ред на вашата машина въведете подходящата команда за вашата среда:

В нормални среди:

докер rmi ciscocitg/hds-setup: стабилен

В среди на FedRAMP:

докер rmi ciscocitg/hds-setup-fedramp: стабилен

Тази стъпка изчиства предишни изображения на инструмента за настройка на HDS. Ако няма предишни изображения, той връща грешка, която можете да игнорирате.

2

За да влезете в регистъра на изображения на Docker, въведете следното:

докер вход -u hdscustomersro

3

При подканата за парола въведете този хеш:

dckr_pat_aDP6V4KkrvpBwa

4

Изтеглете най-новото стабилно изображение за вашата среда:

В нормални среди:

докер издърпване ciscocitg/hds-setup: стабилен

В среди на FedRAMP:

докер издърпване ciscocitg/hds-setup-fedramp: стабилен

5

Когато изтеглянето приключи, въведете подходящата команда за вашата среда:

В нормални среди без прокси:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

В нормални среди с HTTP прокси:

изпълнение на докера -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

В редовни среди с HTTPS прокси:

изпълнение на докера -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

В среди на FedRAMP без прокси:

докер изпълнение -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:стабилен

В среди на FedRAMP с HTTP прокси:

изпълнение на докера -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

В среди на FedRAMP с HTTPS прокси:

изпълнение на докера -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Когато контейнерът работи, виждате „Експресен сървър слуша на порт 8080“.

6

Инструментът за настройка не поддържа свързване с localhost чрез http://localhost:8080. Използвайте http://127.0.0.1:8080 , за да се свържете с localhost.

Използвайте уеб браузър, за да отидете в локалния организатор, http://127.0.0.1:8080 и въведете потребителското име на администратора на клиента за Control Hub в подканата.

Инструментът използва този първи запис на потребителското име, за да зададе правилната среда за този акаунт. След това инструментът показва стандартната подкана за влизане.

7

Когато бъдете подканени, въведете идентификационните си данни за вход на администратор на клиенти в Control Hub и след това щракнете върху Влизане , за да позволите достъп до необходимите услуги за хибридна защита на данни.

8

На страницата „Преглед на инструмента за настройка“ щракнете върху Първи стъпки.

9

На страницата Импортиране на ISO имате следните опции:

Не– Ако създавате първия си HDS възел, нямате ISO файл за качване.
Да – Ако вече сте създали HDS възли, тогава изберете своя ISO файл в прегледа и го качете.

10

Проверете дали вашият сертификат X.509 отговаря на изискванията в X.509 Изисквания за сертификат.

Ако никога не сте качили сертификат преди, качете сертификата X.509, въведете паролата и щракнете върху Продължи.
Ако сертификатът ви е ОК, щракнете върху Продължи.
Ако сертификатът ви е изтекъл или искате да го замените, изберете Не за Продължаване на използването на веригата за сертификати на HDS и частния ключ от предишния ISO?. Качете нов сертификат X.509, въведете паролата и щракнете върху Продължи.

11

Въведете адреса на базата данни и акаунта за HDS, за да получите достъп до ключовия си datastore:

Изберете вашия тип база данни (PostgreSQL или Microsoft SQL Server).

Ако изберете Microsoft SQL Server, получавате поле за тип удостоверяване.
(Само за Microsoft SQL Server ) Изберете вашия тип удостоверяване:
- Базово удостоверяване: Необходимо е име на локален акаунт за SQL Server в полето Потребителско име .
- Удостоверяване на Windows: Имате нужда от акаунт за Windows във формат username@DOMAIN в полето Потребителско име .
Въведете адреса на сървъра с база данни във формуляра : или :.

Пример:
dbhost.example.org:1433 или 198.51.100.17:1433

Можете да използвате IP адрес за базово удостоверяване, ако възлите не могат да използват DNS за решаване на името на хоста.

Ако използвате удостоверяване на Windows, трябва да въведете напълно квалифицирано име на домейн във формат dbhost.example.org:1433
Въведете името на базата данни.
Въведете Потребителско име и Парола на потребител с всички привилегии в базата данни за съхранение на ключа.

12

Изберете режим на свързване с база данни TLS:

Режим	Описание
Предпочитане на TLS (опция по подразбиране)	HDS възлите не изискват TLS да се свърже със сървъра на базата данни. Ако разрешите TLS на сървъра с база данни, възлите правят опит за шифрована връзка.
Изисквайте TLS	HDS възли се свързват само ако сървърът на базата данни може да договори TLS.
Изисквайте TLS и проверете подписвача на сертификати	Този режим не е приложим за бази данни на SQL Server. HDS възли се свързват само ако сървърът на базата данни може да договори TLS. След установяването на TLS връзка възелът сравнява подписващия на сертификата от сървъра на базата данни с органа за сертифициране в корневи сертификат в базата данни. Ако не съвпадат, възелът изпуска връзката. Използвайте контролата за главен сертификат на базата данни под падащото, за да качите главния сертификат за тази опция.
Изисквайте TLS и проверете подписалия сертификат и хостовото име	HDS възли се свързват само ако сървърът на базата данни може да договори TLS. След установяването на TLS връзка възелът сравнява подписващия на сертификата от сървъра на базата данни с органа за сертифициране в корневи сертификат в базата данни. Ако не съвпадат, възелът изпуска връзката. Възлите също така проверяват дали името на хоста в сертификата на сървъра съвпада с името на хоста в полето Хост и порт в базата данни . Имената трябва да съвпадат точно или възелът пуска връзката. Използвайте контролата за главен сертификат на базата данни под падащото, за да качите главния сертификат за тази опция.

Когато качите корневи сертификат (ако е необходимо) и щракнете върху Продължи, инструментът за настройка на хибридна защита на данни тества TLS връзката към сървъра с база данни. Инструментът също така проверява подписалите сертификата и hostname, ако е приложимо. Ако даден тест е неуспешен, инструментът показва съобщение за грешка, описващо проблема. Можете да изберете дали да игнорирате грешката и да продължите с настройката. (Поради разликите в свързването възлите на HDS може да са в състояние да установят TLS връзката, дори ако машината с инструмента за настройка на HDS не може да я тества успешно.)

13

На страницата „Системни регистрационни файлове“ конфигурирайте сървъра си за Syslogd:

Въведете URL адреса на сървъра syslog.

Ако сървърът не може да се разрешава чрез DNS от възлите за вашия HDS клъстер, използвайте IP адрес в URL.

Пример:
udp://10.92.43.23:514 показва влизане в хоста Syslogd 10.92.43.23 на UDP порт 514.
Ако настроите сървъра си да използва TLS шифроване, отметнете Конфигуриран ли е вашият сървър syslog за SSL шифроване?.

Ако отметнете това квадратче, трябва да въведете URL адрес на TCP, като например tcp://10.92.43.23:514.
От падащия списък Избор на прекратяване на запис в syslog изберете подходящата настройка за вашия ISO файл: Избор или нов ред се използва за Graylog и Rsyslog TCP
- Нулев байт -- \x00
- Нов ред – \n – Изберете този избор за Graylog и Rsyslog TCP.
Щракнете върху Продължаване.

14

(По избор) Можете да промените стойността по подразбиране за някои параметри на връзката с база данни в Разширени настройки. По принцип този параметър е единственият, който може да искате да промените:

app_datasource_connection_pool_maxРазмер: 10

15

Щракнете върху Продължи на екрана Нулиране на паролата за акаунти за услуги .

Паролите за акаунта за услугата имат деветмесечен живот. Използвайте този екран, когато паролите ви наближават изтичане или искате да ги нулирате, за да invalidate previous ISO files.

16

Щракнете върху Изтегляне на ISO файл. Запишете файла на лесно за намиране място.

17

Направете резервно копие на ISO файла в локалната си система.

Поддържайте архивното копие защитено. Този файл съдържа главен ключ за шифроване за съдържанието на базата с данни. Ограничете достъпа само до онези администратори на хибридна защита на данни, които трябва да направят промени в конфигурацията.

18

За да затворите инструмента за настройка, напишете CTRL+C.

Какво да направите след това

Архивиране на конфигурационния ISO файл. Необходимо е, за да създадете повече възли за възстановяване или да направите промени в конфигурацията. Ако загубите всички копия на ISO файла, ще загубите и главния ключ. Възстановяването на ключовете от вашата база данни PostgreSQL или Microsoft SQL Server не е възможно.

Никога не разполагаме с копие на този ключ и не можем да ви помогнем, ако го изгубите.

Инсталиране на HDS Host OVA

Използвайте тази процедура, за да създадете виртуална машина от OVA файла.

1	Използвайте клиента VMware vSphere на вашия компютър, за да влезете във виртуалния хост на ESXi.
2	Изберете Файл > Разполагане на OVF шаблон.
3	В съветника укажете местоположението на OVA файла, който сте изтеглили по-рано, след което щракнете върху Напред.
4	На страницата Избор на име и папка въведете име на виртуална машина за възела (например "HDS_Node_1"), изберете местоположение, където може да се намира разполагането на възела на виртуалната машина, след което щракнете върху Напред.
5	На страницата Избор на изчислителен ресурс изберете целевия изчислителен ресурс и след това щракнете върху Напред. Извършва се проверка за валидиране. След като завърши, се показват подробностите за шаблона.
6	Проверете подробностите за шаблона и след това щракнете върху Напред.
7	Ако от вас бъде поискано да изберете конфигурацията на ресурсите на страницата Конфигурация , щракнете върху 4 процесора и след това щракнете върху Напред.
8	На страницата Избор на място за съхранение щракнете върху Напред , за да приемете формата на диска по подразбиране и правилата за съхранение на VM.
9	На страницата Избор на мрежи изберете опцията за мрежа от списъка със записи, за да осигурите желаната свързаност към VM.
10	На страницата Персонализиране на шаблон конфигурирайте следните мрежови настройки: Име на хост – въведете FQDN (име на хост и домейн) или една дума име на хост за възела. Не е необходимо да задавате домейна да съвпада с домейна, който сте използвали, за да получите сертификата X.509. За да гарантирате успешна регистрация в облака, използвайте само малки знаци във FQDN или името на хоста, които сте задали за възела. Капитализацията не се поддържа в този момент. Общата дължина на FQDN не трябва да надвишава 64 знака. IP адрес – Въведете IP адреса за вътрешния интерфейс на възела. Възелът трябва да има вътрешен IP адрес и DNS име. DHCP не се поддържа. Маска – Въведете адреса на маската на подмрежата с точка и запетая. Например 255.255.255.0. Шлюз – въведете IP адреса на шлюза. Шлюза е мрежов възел, който служи като точка за достъп до друга мрежа. DNS сървъри – Въведете списък с DNS сървъри, разделени със запетая, които обработват преобразуването на имената на домейни в цифрови IP адреси. (Разрешени са до 4 DNS записа.) NTP сървъри – Въведете NTP сървъра на вашата организация или друг външен NTP сървър, който може да се използва във вашата организация. NTP сървърите по подразбиране може да не работят за всички предприятия. Можете също да използвате списък, разделен със запетая, за да въведете няколко NTP сървъра. Разположете всички възли в една и съща подмрежа или VLAN, така че всички възли в клъстера да са достъпни от клиентите във вашата мрежа за административни цели. Ако предпочитате, можете да пропуснете конфигурацията на мрежовите настройки и да следвате стъпките в Настройване на VM на хибридна защита на данни , за да конфигурирате настройките от конзолата за възли. Опцията за конфигуриране на мрежовите настройки по време на разполагането на OVA е тествана с ESXi 7.0. Опцията може да не е налична в по-ранни версии.
11	Щракнете с десния бутон върху възела VM и след това изберете Захранване > Включване. Софтуерът за хибридна защита на данни е инсталиран като гост на VM Host. Вече сте готови да влезете в конзолата и да конфигурирате възела. Съвети за отстраняване на неизправности Може да усетите забавяне от няколко минути, преди контейнерите с възли да се появят. На конзолата се появява съобщение за защитна стена на мост по време на първото зареждане, по време на което не можете да влезете.

Настройване на VM на хибридна защита на данни

Използвайте тази процедура, за да влезете за първи път в конзолата на възела на хибридна защита на данни и да зададете данните за вход. Можете също да използвате конзолата, за да конфигурирате мрежовите настройки за възела, ако не сте ги конфигурирали по време на разполагането на OVA.

1	В клиента на VMware vSphere изберете своя възел на хибридна защита на данни VM и изберете раздела Конзола . VM се зарежда и се появява подкана за влизане. Ако подканата за влизане не се покаже, натиснете Enter.
2	Използвайте следните данни за влизане и парола по подразбиране, за да влезете и да промените идентификационните данни: Влизане: `администратор` Парола: `cisco` Тъй като влизате във вашия VM за първи път, трябва да промените паролата на администратора.
3	Ако вече сте конфигурирали мрежовите настройки в Инсталиране на HDS Host OVA, пропуснете останалата част от тази процедура. В противен случай в главното меню изберете опцията Редактиране на конфигурацията .
4	Настройте статична конфигурация с IP адрес, маска, шлюз и DNS информация. Възелът трябва да има вътрешен IP адрес и DNS име. DHCP не се поддържа.
5	(По избор) Променете името на хоста, домейна или NTP сървъра(ите), ако е необходимо, за да съответстват на мрежовите ви правила. Не е необходимо да задавате домейна да съвпада с домейна, който сте използвали, за да получите сертификата X.509.
6	Запишете мрежовата конфигурация и рестартирайте VM, за да влязат в сила промените.

Качване и монтиране на конфигурация ISO на HDS

Използвайте тази процедура, за да конфигурирате виртуалната машина от ISO файла, който сте създали с инструмента за настройка на HDS.

Преди да започнете

Тъй като ISO файлът съдържа главния ключ, той трябва да бъде изложен само на база „трябва да знаете“, за достъп от VM на хибридна защита на данни и всички администратори, които може да се наложи да направят промени. Уверете се, че само тези администратори имат достъп до datastore.

1

Качете ISO файла от компютъра си:

В левия навигационен екран на клиента VMware vSphere щракнете върху сървъра ESXi.
В списъка с хардуери на раздела за конфигуриране щракнете върху Място за съхранение.
В списъка Datastores щракнете с десния бутон върху datastore за вашите VMs и щракнете върху Преглед на Datastore.
Щракнете върху иконата Качване на файлове и след това щракнете върху Качване на файл.
Намерете местоположението, където сте изтеглили ISO файла на компютъра си, и щракнете върху Отвори.
Щракнете върху Да , за да приемете предупреждението за операцията за качване/изтегляне, и затворете диалоговия прозорец за данни.

2

Монтиране на ISO файла:

В левия панел за навигация на клиента VMware vSphere щракнете с десния бутон върху виртуалната машина и щракнете върху Редактиране на настройките.
Щракнете върху OK , за да приемете предупреждението за ограничени опции за редактиране.
Щракнете върху CD/DVD диск 1, изберете опцията за монтаж от ISO файл datastore и намерете местоположението, където сте качили конфигурационния ISO файл.
Отметнете Свързан и Свързване при включване.
Запишете промените си и рестартирайте виртуалната машина.

Какво да направите след това

Ако правилата за ИТ изискват, можете по избор да демонтирате ISO файла, след като всички ваши възли поемат промените в конфигурацията. Вижте (По избор) Демонтиране на ISO след конфигуриране на HDS за подробности.

Конфигуриране на HDS възел за интегриране на прокси сървър

Ако мрежовата среда изисква прокси, използвайте тази процедура, за да укажете вида на прокси, който искате да интегрирате с Hybrid Data Security. Ако изберете прозрачен проверяващ прокси или HTTPS изричен прокси, можете да използвате интерфейса на възела, за да качите и инсталирате главния сертификат. Можете също да проверите прокси връзката от интерфейса и да отстраните всички потенциални проблеми.

Преди да започнете

Вижте Поддръжка на прокси за общ преглед на поддържаните опции за прокси.
Изисквания към прокси сървъра

1	Въведете URL адреса за настройка на HDS възел `https://[HDS Възел IP или FQDN]/настройка` в уеб браузър, въведете администраторски идентификационни данни, които сте настроили за възела и след това щракнете върху Вход.
2	Отидете на Хранилище на доверие & Прокси , след което изберетеопция: Няма прокси сървър – опцията по подразбиране, преди да интегрирате прокси сървър. Не се изисква актуализация на сертификата. Прозрачен прокси сървър без проверка – възлите не са конфигурирани да използват определен адрес на прокси сървъра и не трябва да изискват промени, за да работят с прокси сървър без проверка. Не се изисква актуализация на сертификата. Прокси сървър за прозрачна проверка – възлите не са конфигурирани да използват определен адрес на прокси сървъра. Не httpS конфигурация промени са необходими в разполагането на защитата на хибридни данни, обаче HDS възли се нуждаят от главен сертификат, така че те се доверяват на прокси. Проверяващите пълномощници обикновено се използват от It за прилагане на политики, на които могат да бъдат посетени уебсайтовете и кои видове съдържание не са разрешени. Този тип прокси дешифрира целия ви трафик (дори HTTPS). Изричен прокси сървър – С изричния прокси сървър казвате на клиента (HDS възли) кой прокси сървър да използва, и тази опция поддържа няколко типа удостоверяване. След като изберете тази опция, трябва да въведете следната информация: Прокси IP/FQDN – адрес, който може да се използва за свързване с прокси машината. Прокси порт – номер на порт, който прокси сървърът използва за слушане за прокси трафик. Прокси протокол – изберете http (преглежда и управлява всички заявки, които се получават от клиента) или https (осигурява канал към сървъра и клиентът получава и валидира сертификата на сървъра). Изберете опция въз основа на това, което поддържа вашият прокси сървър. Тип удостоверяване – изберете измежду следните типове удостоверяване: Няма – Не се изисква допълнително удостоверяване. Налична за HTTP или HTTPS проксита. Основни—Използва се за HTTP потребителски агент, за да предостави потребителско име и парола при подаване на заявка. Използва Base64 кодиране. Налична за HTTP или HTTPS проксита. Ако изберете тази опция, трябва да въведете и потребителското име и паролата. Обобщаване – използва се за потвърждаване на акаунта, преди да се изпрати чувствителна информация. Прилага хеш функция на потребителското име и паролата преди изпращане по мрежата. Предлага се само за HTTPS проксита. Ако изберете тази опция, трябва да въведете и потребителското име и паролата. Изпълнете следващите стъпки за прозрачен проверяващ прокси, HTTP изрично прокси с базово удостоверяване или HTTPS изрично прокси.
3	Щракнете върху Качване на главен сертификат или Сертификат за краен обект и след това навигирайте до изберете главния сертификат запрокси. Сертификатът се качва, но все още не е инсталиран, защото трябва да рестартирате възела, за да инсталирате сертификата. Щракнете върху стрелката chevron по името на издателя на сертификата, за да получите повече подробности или щракнете върху Изтрий, ако сте направили грешка и искате да качите повторно файла.
4	Щракнете върху Проверка на прокси връзката, за да тествате мрежовата свързаност между възела и прокси. Ако тестът за връзка е неуспешен, ще видите съобщение за грешка, което показва причината и как можете да коригирате проблема. Ако видите съобщение, което казва, че външната DNS разделителна способност не е била успешна, възелът не е успял да достигне DNS сървъра. Това условие се очаква в много изрични прокси конфигурации. Можете да продължите с настройката и възелът ще функционира в режим на блокирано външно DNS разрешаване. Ако мислите, че това е грешка, изпълнете тези стъпки и след това вижте Изключване на режима на блокирано външно разрешаване на DNS.
5	След като тестът за връзка премине, за изрично прокси настроен само на https, включете превключването към Маршрут всички порт 443/444 https заявки от този възел през изрично прокси. Тази настройка изисква 15 секунди, за да влязат в сила.
6	Щракнете върху Инсталиране на всички сертификати в хранилището на гаранти (появява се за HTTPS изрично прокси или прозрачен проверяващ прокси) или Рестартиране (появява се за HTTP изрично прокси), прочетете подканата и след това щракнете върху Инсталиране, ако сте готови. Възелът се рестартира в рамките на няколко минути.
7	След рестартирането на възела влезте отново, ако е необходимо, след което отворете страницата Общ преглед, за да проверите проверките за свързване, за да се уверите, че всички те са в зелено състояние. Проверката на прокси връзката тества само поддомейн от webex.com. Ако има проблеми със свързването, често срещан проблем е, че някои от облачните домейни, изброени в инструкциите за инсталиране, се блокират в прокси.

Регистриране на първия възел в клъстера

Тази задача взема генеричния възел, който сте създали в Настройване на хибридна защита на данни VM, регистрира възела с облака на Webex и го превръща във възел на хибридна защита на данни.

Когато регистрирате първия си възел, създавате клъстер, към който е разпределен възелът. Клъстерът съдържа един или повече възли, разгърнати за осигуряване на резерв.

Преди да започнете

След като започнете да регистрирате възел, трябва да го завършите в рамките на 60 минути, или трябва да започнете отначало.
Погрижете се всички блокери на изскачащите прозорци във вашия браузър да са деактивирани или да разрешите изключение за admin.webex.com.

1	Влезте в https://admin.webex.com.
2	От менюто от лявата страна на екрана изберете Услуги.
3	В раздела „Хибридни услуги“ намерете „Хибридна защита на данни“ и щракнете върху Настройка. Показва се страницата с възел на хибридна защита на данни за регистриране.
4	Изберете Да , за да посочите, че сте настроили възела и сте готови да го регистрирате, след което щракнете върху Напред.
5	В първото поле въведете име за клъстера, към който искате да разпределите вашия възел на хибридна защита на данни. Препоръчваме ви да посочите клъстер въз основа на географското местоположение на клъстера. Примери: „Сан Франциско“ или „Ню Йорк“ или „Далас“
6	Във второто поле въведете вътрешния IP адрес или напълно квалифицирано име на домейн (FQDN) на вашия възел и щракнете върху Напред. Този IP адрес или FQDN трябва да съвпада с IP адреса или името на хоста и домейна, които сте използвали в Настройване на VM на хибридна защита на данни. Появява се съобщение, което показва, че можете да регистрирате възела в Webex.
7	Щракнете върху Към възел.
8	Щракнете върху Продължи в предупредителното съобщение. След няколко секунди ще бъдете пренасочени към тестовете за свързване на възлите за услугите на Webex. Ако всички тестове са успешни, се появява страницата \„Разрешаване на достъп до възел на хибридна защита на данни\“. Там потвърждавате, че искате да дадете разрешения на вашата организация в Webex за достъп до вашия възел.
9	Отметнете квадратчето Разрешаване на достъп до вашия възел на хибридна защита на данни и след това щракнете върху Продължи. Вашият акаунт е потвърден и съобщението \„Завършване на регистрацията\“ показва, че възелът вече е регистриран в облака на Webex.
10	Щракнете върху връзката или затворете раздела, за да се върнете към страницата на хибридна защита на данни в Control Hub. На страницата Хибридна защита на данни се показва новият клъстер, съдържащ възела, който сте регистрирали. Възелът автоматично ще изтегли най-новия софтуер от облака.

Създаване и регистриране на още възли

За да добавите допълнителни възли към вашия клъстер, просто създавате допълнителни VM и монтирате същия конфигурационен ISO файл, след което регистрирайте възела. Препоръчваме ви да имате поне 3 възела.

По това време резервните VM, които сте създали в Изпълнение на изискванията за хибридна защита на данните , са хостове в режим на готовност, които се използват само в случай на възстановяване след бедствие; те до тогава не са регистрирани в системата. За подробности вижте Възстановяване след бедствие с използване на Standby Data Center.

Преди да започнете

След като започнете да регистрирате възел, трябва да го завършите в рамките на 60 минути, или трябва да започнете отначало.
Погрижете се всички блокери на изскачащите прозорци във вашия браузър да са деактивирани или да разрешите изключение за admin.webex.com.

1	Създайте нова виртуална машина от OVA, като повторите стъпките в Инсталиране на HDS Host OVA.
2	Настройте първоначалната конфигурация на новия VM, като повторите стъпките в Настройване на хибридна защита на данни VM.
3	На новия VM повторете стъпките в Качване и монтиране на ISO на конфигурацията на HDS.
4	Ако настройвате прокси сървър за разполагането си, повторете стъпките в Конфигуриране на възела на HDS за интеграция на прокси сървър , както е необходимо за новия възел.
5	Регистрирайте възела. В https://admin.webex.com изберете Услуги от менюто от лявата страна на екрана. В раздела „Хибридни услуги“ намерете картата „Хибридна защита на данни“ и щракнете върху Ресурси. Показва се страницата с ресурси за хибридна защита на данни. Щракнете върху Добавяне на ресурс. В първото поле изберете името на съществуващия си клъстер. Във второто поле въведете вътрешния IP адрес или напълно квалифицирано име на домейн (FQDN) на вашия възел и щракнете върху Напред. Появява се съобщение, което показва, че можете да регистрирате възела в облака Webex. Щракнете върху Към възел. След няколко секунди ще бъдете пренасочени към тестовете за свързване на възлите за услугите на Webex. Ако всички тестове са успешни, се появява страницата \„Разрешаване на достъп до възел на хибридна защита на данни\“. Там потвърждавате, че искате да дадете разрешения на вашата организация за достъп до вашия възел. Отметнете квадратчето Разрешаване на достъп до вашия възел на хибридна защита на данни и след това щракнете върху Продължи. Вашият акаунт е потвърден и съобщението \„Завършване на регистрацията\“ показва, че възелът вече е регистриран в облака на Webex. Щракнете върху връзката или затворете раздела, за да се върнете към страницата на хибридна защита на данни в Control Hub. Възелът ви е регистриран. Имайте предвид, че докато не започнете пробен период, вашите възли генерират аларма, която показва, че услугата ви все още не е активирана.

Какво да направите след това

Изпълнение на пробен период и преминаване към производство (следваща глава)

Изпълнение на пробен период и преминаване към производство

Пробен в производствен поток на задачи

След като настроите клъстер на хибридна защита на данни, можете да стартирате пилотен проект, да добавите потребители към него и да започнете да го използвате за тестване и проверка на внедряването си в подготовка за преминаване към производство.

Преди да започнете

В тази задача изтегляте OVA файл на вашата машина (а не на сървърите, които сте настроили като възли на хибридна защита на данни). Ще използвате този файл по-късно в процеса на инсталиране.

1	Ако е приложимо, синхронизирайте груповия обект `HdsTrialGroup` . Ако вашата организация използва синхронизиране на указатели за потребители, трябва да изберете групов обект `HdsTrialGroup` за синхронизиране с облака, преди да можете да започнете пробен период. За инструкции вижте Ръководство за разполагане на Cisco Directory Connector.
2	Активиране на пробен период Започнете пробен период. Докато не изпълните тази задача, вашите възли генерират аларма, която показва, че услугата все още не е активирана.
3	Тестване на вашето разполагане на хибридна защита на данни Проверете дали ключови заявки преминават към вашето разполагане на хибридна защита на данни.
4	Наблюдение на изправността на хибридна защита на данни Проверете статуса и настройте известия по имейл за алармите.
5	Добавяне или премахване на потребители от вашия пробен период
6	Завършете пробната фаза с едно от следните действия: Преминаване от изпробване към производство Прекратете пробния си период, без да се премествате в производство

Активиране на пробен период

Преди да започнете

Ако вашата организация използва синхронизиране на указатели за потребители, трябва да изберете групов обект HdsTrialGroup за синхронизиране с облака, преди да можете да започнете пробен период за вашата организация. За инструкции вижте Ръководство за разполагане на Cisco Directory Connector.

1	Влезте в https://admin.webex.comи изберете Услуги.
2	Под Хибридна защита на данни щракнете върху Настройки.
3	В раздела „Статус на услугата“ щракнете върху Започване на пробен период. Статусът на услугата се променя на пробен режим.
4	Щракнете върху Добавяне на потребители и въведете имейл адреса на един или повече потребители, за да пилотирате използването на вашите възли на хибридна защита на данни за услуги за шифроване и индексиране. (Ако вашата организация използва синхронизиране на указатели, използвайте Active Directory, за да управлявате пробната група, `HdsTrialGroup`.)

Тестване на вашето разполагане на хибридна защита на данни

Използвайте тази процедура, за да тествате сценариите за шифроване на хибридна защита на данни.

Преди да започнете

Настройте своето разполагане на хибридна защита на данни.
Активирайте пробния период и добавете няколко пробни потребители.
Уверете се, че имате достъп до syslog, за да потвърдите, че ключовите заявки се подават към вашето разполагане на хибридна защита на данни.

1

Бутоните за дадено място се задават от създателя на мястото. Влезте в приложението Webex като един от пилотните потребители и след това създайте място и поканете поне един пилотен потребител и един непилотен потребител.

Ако деактивирате разполагането на хибридна защита на данни, съдържанието в местата, които създават пилотни потребители, вече не е достъпно, след като бъдат заменени кешираните от клиента копия на ключовете за шифроване.

2

Изпратете съобщения до новото място.

3

Проверете изхода на syslog, за да потвърдите, че ключовите заявки се прехвърлят към вашето разполагане на хибридна защита на данни.

За да проверите за потребител, който първо създава защитен канал към KMS, филтрирайте на kms.data.method=create и kms.data.type=EPHEMERAL_KEY_COLLECTION:

Трябва да намерите запис като следния (идентификатори, съкратени за четливост):

2020-07-21 17:35:34.562 (+0000) ИНФОРМАЦИЯ KMS [pool-14-thread-1] - [KMS:ЗАЯВКА] получена, deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/0[~]9 ecdheKid: kms: //hds2.org5.portun.us/statickeys/3[~]0 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, kms.merc.id=8[~]a, kms.merc.sync=false, kms.data.uriHost=hds2.org5.portun.us, kms.data.type=EPHEMERAL_KEY_COLLECTION, kms.data.requestId=9[~]6, kms.data.uri=kms://hds2.org5.portun.us/ecdhe, kms.data.userId=0[~]2

За да проверите за потребител, който иска съществуващ ключ от KMS, филтрирайте на kms.data.method=retrieve и kms.data.type=KEY:

Трябва да намерите запис, като:

2020-07-21 17:44:19.889 (+0000) ИНФОРМАЦИЯ KMS [pool-14-thread-31] - [KMS:ЗАЯВКА] е получена, deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms: //hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_f[~]0, kms.data.method=retrieve, kms.merc.id=c[~]7, kms.merc.sync=false, kms.data.uriHost=ciscospark.com, kms.data.type=KEY, kms.data.requestId=9[~]3, kms.data.uri=kms://ciscospark.com/keys/d[~]2, kms.data.userId=1[~]b

За да проверите за потребител, който е поискал създаването на нов KMS ключ, филтрирайте на kms.data.method=create и kms.data.type=KEY_COLLECTION:

Трябва да намерите запис, като:

2020-07-21 17:44:21.975 (+0000) ИНФОРМАЦИЯ KMS [pool-14-thread-33] - [KMS:ЗАЯВКА] е получена, deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms: //hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_4[~]0, kms.data.method=create, kms.merc.id=6[~]e, kms.merc.sync=false, kms.data.uriHost=null, kms.data.type=KEY_COLLECTION, kms.data.requestId=6[~]4, kms.data.uri=/keys, kms.data.userId=1[~]b

За да проверите за потребител, който е поискал създаването на нов KMS ресурсен обект (KRO), когато се създава пространство или друг защитен ресурс, филтрирайте на kms.data.method=create и kms.data.type=RESOURCE_COLLECTION:

Трябва да намерите запис, като:

2020-07-21 17:44:22.808 (+0000) ИНФОРМАЦИЯ KMS [pool-15-thread-1] - [KMS:ЗАЯВКА] е получена, deviceId: https://wdm-a.wbx2.com/wdm/api/v1/devices/f[~]f ecdheKid: kms: //hds2.org5.portun.us/ecdhe/5[~]1 (EncryptionKmsMessageHandler.java:312) WEBEX_TRACKINGID=HdsIntTest_d[~]0, kms.data.method=create, kms.merc.id=5[~]3, kms.merc.sync=true, kms.data.uriHost=null, kms.data.type=RESOURCE_COLLECTION, kms.data.requestId=d[~]e, kms.data.uri=/resources, kms.data.userId=1[~]b

Наблюдение на изправността на хибридна защита на данни

Индикатор за състоянието в Control Hub ви показва дали всичко е наред с разполагането на хибридна защита на данни. За по-активно предупреждаване се запишете за известия по имейл. Ще бъдете уведомени, когато има аларми, засягащи услугата, или надстройки на софтуера.

1	В Control Hub изберете Услуги от менюто от лявата страна на екрана.
2	В раздела „Хибридни услуги“ намерете „Хибридна защита на данни“ и щракнете върху Настройки. Показва се страницата с настройки за хибридна защита на данни.
3	В раздела \„Имейл известия\“ въведете един или повече имейл адреси, разделени със запетаи, и натиснете Enter.

Добавяне или премахване на потребители от вашия пробен период

След като активирате пробен период и добавите първоначалния набор от пробни потребители, можете да добавяте или премахвате членове на пробния период по всяко време, докато пробната версия е активна.

Ако премахнете потребител от пробния период, клиентът на потребителя ще поиска ключове и създаване на ключове от облака KMS вместо вашия KMS. Ако клиентът се нуждае от ключ, който се съхранява във вашия KMS, KMS в облака ще го извлече от името на потребителя.

Ако вашата организация използва синхронизиране на указатели, използвайте Active Directory (вместо тази процедура), за да управлявате пробната група HdsTrialGroup; можете да видите членовете на групата в Control Hub, но не можете да ги добавяте или премахвате.

1	Влезте в Control Hub, след което изберете Услуги.
2	Под Хибридна защита на данни щракнете върху Настройки.
3	В раздела „Пробен режим“ на областта „Статус на услугата“ щракнете върху Добавяне на потребители или щракнете върху Преглед и редактиране , за да премахнете потребители от пробния период.
4	Въведете имейл адреса на един или повече потребители за добавяне, или щракнете върху X от ИД на потребител, за да премахнете потребителя от пробния период. След това щракнете върху Запиши.

Преминаване от изпробване към производство

Когато сте доволни, че разполагането ви работи добре за пробните потребители, можете да преминете към производство. Когато преминете към производство, всички потребители в организацията ще използват вашия локален домейн за хибридна защита на данни за ключове за шифроване и други услуги от областта на защитата. Не можете да се върнете към пробен режим от производство, освен ако не деактивирате услугата като част от възстановяването след бедствие. Повторното активиране на услугата изисква да настроите нова пробна версия.

1	Влезте в Control Hub, след което изберете Услуги.
2	Под Хибридна защита на данни щракнете върху Настройки.
3	В секцията „Статус на услугата“ щракнете върху Преместване в производство.
4	Потвърдете, че искате да преместите всички ваши потребители в производство.

Прекратете пробния си период, без да се премествате в производство

Ако по време на пробния си период решите да не продължите с разполагането на хибридна защита на данни, можете да деактивирате хибридната защита на данни, която приключва пробния период и премества пробните потребители обратно към услугите за защита на данни в облака. Потребителите на пробния период ще загубят достъп до данните, които са шифровани по време на пробния период.

1	Влезте в Control Hub, след което изберете Услуги.
2	Под Хибридна защита на данни щракнете върху Настройки.
3	В раздела Деактивиране щракнете върху Деактивиране.
4	Потвърдете, че искате да деактивирате услугата и да прекратите пробния период.

Управление на вашето разполагане на HDS

Управление на разполагането на HDS

Използвайте описаните тук задачи, за да управлявате своето разполагане на хибридна защита на данни.

Задаване на график за надстройване на клъстери

Надстройките на софтуера за хибридна защита на данни се извършват автоматично на ниво клъстер, което гарантира, че всички възли винаги изпълняват една и съща софтуерна версия. Надстройванията се извършват съгласно графика за надстройване за клъстера. Когато е налична надстройка на софтуера, имате възможност ръчно да надстроите клъстера преди планираното време за надстройване. Можете да зададете конкретен график за надстройване или да използвате графика по подразбиране от 3:00 ч. дневно в Съединените щати: Америка/Лос Анджелис. Можете също да изберете да отложите предстоящото надстройване, ако е необходимо.

За да зададете графика за надстройване:

1	Влезте в Control Hub.
2	На страницата за общ преглед под хибридни услуги изберете Хибридна защита на данните.
3	На страницата с ресурси за хибридна защита на данни изберете клъстера.
4	В панела „Общ преглед“ вдясно, под „Настройки на клъстера“ изберете името на клъстера.
5	На страницата „Настройки“ под „Надстройване“ изберете часа и часовата зона за графика за надстройване. Забележка: Под часовата зона се показват следващата налична дата и час на надстройване. Можете да отложите надстройването до следващия ден, ако е необходимо, като щракнете върху Отложи.

Промяна на конфигурацията на възела

От време на време може да се наложи да промените конфигурацията на вашия възел за защита на хибридни данни поради причина като:

Промяна на x.509 сертификати поради изтичане или други причини.

Не поддържаме промяна на CN името на домейн на сертификат. Домейнът трябва да съответства на оригиналния домейн, използван за регистриране на клъстера.
Актуализиране на настройките на базата данни за промяна на реплика на базата данни PostgreSQL или Microsoft SQL Server.

Не поддържаме мигриране на данни от PostgreSQL към Microsoft SQL Server или обратното. За да превключите средата на базата данни, започнете ново внедряване на Hybrid Data Security.
Създаване на нова конфигурация за подготовка на нов център за данни.

Също така, за целите на защитата, Hybrid Data Security използва пароли за сервизен акаунт, които имат деветмесечен живот. След като инструментът за настройка на HDS генерира тези пароли, ги разполагате на всеки от вашите HDS възли във файла ISO config. Когато паролите на вашата организация са към изтичане, получавате известие от екипа на Webex за нулиране на паролата за вашия машинен акаунт. (Имейлът включва текста „Използвайте API на машинния акаунт, за да актуализирате паролата.“) Ако вашите пароли все още не са изтекли, инструментът ви дава две опции:

Софтуерно нулиране – И двете стари и нови пароли работят до 10 дни. Използвайте този период, за да замените постепенно ISO файла на възлите.
Твърдо нулиране – Старите пароли спират да работят незабавно.

Ако вашите пароли изтекат без нулиране, това се отразява на вашата HDS услуга, изисквайки незабавно хардуерно нулиране и подмяна на ISO файла на всички възли.

Използвайте тази процедура, за да генерирате нов конфигурационен ISO файл и да го приложите към вашия клъстер.

Преди да започнете

Инструментът за настройка на HDS работи като Docker контейнер на локална машина. За достъп до него стартирайте Docker на тази машина. Процесът на настройка изисква идентификационните данни на акаунт в контролния център с пълни права на администратор за вашата организация.

Ако инструментът за настройка на HDS се изпълнява зад прокси сървър във вашата среда, осигурете настройките на прокси сървъра (сървър, порт, идентификационни данни) чрез променливите на средата за закачване на контейнера за закачване в 1.e. Тази таблица дава някои възможни променливи на средата:

Описание	Променлива
HTTP прокси без удостоверяване	`ГЛОБАЛЕН_АГЕНТ_HTTP_ПРОКСИ=http://СЪРВЪР_IP:PORT`
HTTPS прокси без удостоверяване	`ГЛОБАЛЕН_АГЕНТ_HTTPS_ПРОКСИ=http://СЪРВЪР_IP:PORT`
HTTP прокси с удостоверяване	`GLOBAL_AGENT_HTTP_PROXY=HTTP://USERNAME:PASSWORD@SERVER_IP:PORT`
HTTPS прокси с удостоверяване	`ГЛОБАЛЕН_АГЕНТ_HTTPS_PROXY=HTTP://USERNAME:PASSWORD@SERVER_IP:PORT`

Имате нужда от копие на текущия конфигурационен ISO файл, за да генерирате нова конфигурация. ISO съдържа главния ключ, криптиращ базата данни на PostgreSQL или Microsoft SQL Server. Имате нужда от ISO, когато правите промени в конфигурацията, включително идентификационни данни на база данни, актуализации на сертификати или промени в правилата за оторизация.

1	Използвайки Docker на локална машина, стартирайте HDS Setup Tool. В командния ред на вашата машина въведете подходящата команда за вашата среда: В нормални среди: `докер rmi ciscocitg/hds-setup: стабилен` В среди на FedRAMP: `докер rmi ciscocitg/hds-setup-fedramp: стабилен` Тази стъпка изчиства предишни изображения на инструмента за настройка на HDS. Ако няма предишни изображения, той връща грешка, която можете да игнорирате. За да влезете в регистъра на изображения на Docker, въведете следното: `докер вход -u hdscustomersro` При подканата за парола въведете този хеш: `dckr_pat_aDP6V4KkrvpBwa` Изтеглете най-новото стабилно изображение за вашата среда: В нормални среди: `докер издърпване ciscocitg/hds-setup: стабилен` В среди на FedRAMP: `докер издърпване ciscocitg/hds-setup-fedramp: стабилен` Уверете се, че сте изтеглили най-новия инструмент за настройка за тази процедура. Версиите на инструмента, създадени преди 22 февруари 2018 г., нямат екрани за нулиране на парола. Когато изтеглянето приключи, въведете подходящата команда за вашата среда: В нормални среди без прокси: `docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable` В нормални среди с HTTP прокси: `изпълнение на докера -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` В нормални среди с HTTPSпрокси: `изпълнение на докера -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable` В среди на FedRAMP без прокси: `докер изпълнение -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:стабилен` В среди на FedRAMP с HTTP прокси: `изпълнение на докера -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` В среди на FedRAMP с HTTPS прокси: `изпълнение на докера -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable` Когато контейнерът работи, виждате "Express сървър слушане на порт 8080." Използвайте браузър, за да се свържете с localhost, `http://127.0.0.1:8080`. Инструментът за настройка не поддържа свързване с localhost чрез http://localhost:8080. Използвайте http://127.0.0.1:8080 , за да се свържете с localhost. Когато получите подкана, въведете идентификационните си данни за влизане за клиент в Control Hub и след това щракнете върху Приемане , за да продължите. Импортирайте текущия конфигурационен ISO файл. Следвайте подканите, за да завършите инструмента и да изтеглите актуализирания файл. За да затворите инструмента за настройка, напишете `CTRL+C`. Създайте резервно копие на актуализирания файл в друг център за данни.
2	Ако имате работещ само един HDS възел, създайте нов VM възел на хибридна защита на данни и го регистрирайте, като използвате новия конфигурационен ISO файл. За по-подробни инструкции вижте Създаване и регистриране на още възли. Инсталирайте HDS хост OVA. Настройте HDS VM. Монтирайте актуализирания конфигурационен файл. Регистрирайте новия възел в контролния център.
3	За съществуващи HDS възли, които изпълняват по-стария конфигурационен файл, монтирайте ISO файла. Изпълнете следната процедура на всеки възел на свой ред, като актуализирате всеки възел, преди да изключите следващия възел: Изключете виртуалната машина. В левия панел за навигация на клиента VMware vSphere щракнете с десния бутон върху виртуалната машина и щракнете върху Редактиране на настройките. Щракнете върху `CD / DVD диск 1 , изберете опцията за монтиране от ISO файл и`прегледайте местоположението, където сте изтеглили новия конфигурационен ISO файл. Поставете отметка на Свързване при включване. Запазете промените си и включете виртуалната машина.
4	Повторете стъпка 3, за да замените конфигурацията на всеки останал възел, който изпълнява старата конфигурация.

Изключване на режим на блокирана външна DNS разделителна способност

Когато регистрирате възел или проверете конфигурацията на прокси сървъра на възела, процесът тества DNS справка и свързаност към облака Cisco Webex. Ако DNS сървърът на възела не може да разреши публични DNS имена, възелът автоматично преминава в режим на блокирана външна DNS разделителна способност.

Ако вашите възли са в състояние да разреши публични DNS имена чрез вътрешни DNS сървъри, можете да изключите този режим чрез повторно изпълнение на теста за прокси връзка на всеки възел.

Преди да започнете

Гарантирайте, че вашите вътрешни DNS сървъри могат да разрешават публични DNS имена, както и че вашите възли могат да комуникират с тях.

1	В уеб браузър отворете интерфейса на възела "Защита на хибридните данни" (IP адрес/настройка например въведете идентификационни данни за администриране, които https://192.0.2.0/setup), сте задали за възела, след което щракнете върху Влизане.
2	Отидете на Общ преглед (страницата по подразбиране). Когато е разрешено, блокирани външна DNS разделителна способност е зададена да .
3	Отидете на страницата Хранилище на доверие & Прокси.
4	Щракнете върху Проверка на прокси връзката. Ако видите съобщение, казващо, че външната DNS разделителна способност не е била успешна, възелът не е успял да достигне DNS сървъра и ще остане в този режим. В противен случай, след като рестартирате възела и да се върнете към страницата общ преглед, Блокиран външен DNS разделителна способност трябва да бъде зададено на не.

Какво да направите след това

Повторете теста за прокси връзка на всеки възел във вашия клъстер за защита на хибридни данни.

Премахване на възел

Използвайте тази процедура, за да премахнете възел на хибридна защита на данни от облака Webex. След като премахнете възела от клъстера, изтрийте виртуалната машина, за да предотвратите по-нататъшен достъп до вашите данни за защита.

1

Използвайте клиента на VMware vSphere на вашия компютър, за да влезете във виртуалния хост на ESXi и да изключите виртуалната машина.

2

Премахване на възела:

Влезте в Control Hub, след което изберете Услуги.
В картата на хибридна защита на данни щракнете върху Преглед на всички , за да покажете страницата с ресурси за хибридна защита на данни.
Изберете своя клъстер, за да се покаже неговият панел \„Общ преглед\“.
Щракнете върху Отваряне на списъка с възли.
В раздела „Възли“ изберете възела, който искате да премахнете.
Щракнете върху Действия > Дерегистриране на възел.

3

В клиента vSphere изтрийте VM. (В левия навигационен екран щракнете с десния бутон върху VM и щракнете върху Изтрий.)

Ако не изтриете VM, не забравяйте да демонтирате конфигурационния ISO файл. Без ISO файла не можете да използвате VM за достъп до вашите данни за защита.

Възстановяване след бедствие с използване на центъра за данни в режим на готовност

Най-критичната услуга, която вашият клъстер на хибридна защита на данни предоставя, е създаването и съхранението на ключове, използвани за шифроване на съобщения и друго съдържание, съхранени в облака на Webex. За всеки потребител в рамките на организацията, който е разпределен към хибридна защита на данни, заявките за създаване на нови ключове се насочват към клъстера. Клъстерът също така е отговорен за връщането на създадените ключове на всички потребители, упълномощени да ги извлекат, например членове на място за разговори.

Тъй като клъстерът изпълнява критичната функция за предоставяне на тези ключове, наложително е клъстерът да продължи да работи и да се поддържат подходящи резервни копия. Загубата на базата данни за хибридна защита на данни или на конфигурационния ISO, използван за схемата, ще доведе до НЕВЪЗСТАНОВИМА ЗАГУБА на клиентското съдържание. За предотвратяване на такава загуба са задължителни следните практики:

Ако при бедствие разполагането на HDS в основния център за данни стане недостъпно, следвайте тази процедура, за да се върнете ръчно към центъра за данни в режим на готовност.

1	Стартирайте инструмента за настройка на HDS и следвайте стъпките, споменати в Създаване на конфигурационен ISO за хостовете на HDS.
2	След конфигурирането на сървъра Syslogd щракнете върху Разширени настройки
3	На страницата Разширени настройки добавете конфигурацията по-долу или премахнете конфигурацията на `passiveMode` , за да направите възела активен. Възелът може да се справи с трафика, след като бъде конфигуриран. `пасивенРежим: невярно`
4	Завършете процеса на конфигуриране и запишете ISO файла на лесно за намиране място.
5	Направете резервно копие на ISO файла в локалната си система. Поддържайте архивното копие защитено. Този файл съдържа главен ключ за шифроване за съдържанието на базата с данни. Ограничете достъпа само до онези администратори на хибридна защита на данни, които трябва да направят промени в конфигурацията.
6	В левия навигационен екран на клиента VMware vSphere щракнете с десния бутон върху VM и щракнете върху Редактиране на настройките..
7	Щракнете върху Редактиране на настройките >CD/DVD диск 1 и изберете Datastore ISO файл. Уверете се, че са отметнати Свързани и Свързване при включване , за да могат актуализираните промени в конфигурацията да влязат в сила след стартиране на възлите.
8	Включете възела на HDS и се уверете, че няма аларми поне 15 минути.
9	Повторете процеса за всеки възел в центъра за данни в режим на готовност. Проверете изхода на syslog, за да потвърдите, че възлите на центъра за данни в режим на готовност не са в пасивен режим. „KMS, конфигурирани в пасивен режим“ не трябва да се показва в регистрационните файлове.

Какво да направите след това

След отказ, ако основният център за данни отново се активира, поставете отново центъра за данни в режим на готовност в пасивен режим, като следвате стъпките, описани в Настройка на центъра за данни в режим на готовност за възстановяване след бедствие.

(По избор) Демонтиране на ISO след конфигуриране на HDS

Стандартната конфигурация на HDS работи с монтирания ISO. Но някои клиенти предпочитат да не оставят ISO файловете постоянно монтирани. Можете да разглобите ISO файла, след като всички възли на HDS поемат новата конфигурация.

Все още използвате ISO файловете, за да направите промени в конфигурацията. Когато създавате нов ISO или актуализирате ISO чрез инструмента за настройка, трябва да монтирате актуализирания ISO на всички ваши HDS възли. След като всички ваши възли са приели промените в конфигурацията, можете да демонтирате ISO отново с тази процедура.

Преди да започнете

Надстройте всички ваши HDS възли до версия 2021.01.22.4720 или по-нова.

1	Затворете един от възлите си за HDS.
2	В уреда vCenter Server изберете възела на HDS.
3	Изберете Редактиране на настройките > CD/DVD диск и премахнете отметката от Datastore ISO файл.
4	Включете възела на HDS и се уверете, че няма аларми поне 20 минути.
5	Повторете за всеки HDS възел на смяна.

Отстраняване на неизправности в хибридна защита на данни

Преглед на предупрежденията и отстраняване на неизправности

Разполагането на хибридна защита на данни се счита за налично, ако всички възли в клъстера са недостъпни или клъстерът работи толкова бавно, че отнема време. Ако потребителите не могат да се свържат с вашия клъстер на хибридна защита на данни, те изпитват следните симптоми:

Не могат да се създават нови места (не могат да се създадат нови ключове)
Неуспешно дешифриране на съобщенията и заглавията на пространството за:
- Нови потребители, добавени към място (не могат да се извлекат ключове)
- Съществуващи потребители в място с помощта на нов клиент (не могат да се извлекат ключовете)
Съществуващите потребители в дадено място ще продължат да се изпълняват успешно, стига клиентите им да имат кеш с ключовете за шифроване

Важно е да наблюдавате правилно своя клъстер на хибридна защита на данни и да обръщате бързо към всички предупреждения, за да избегнете прекъсване на услугата.

Предупреждения

Ако има проблем с настройката на хибридна защита на данни, Control Hub показва предупреждения до администратора на организацията и изпраща имейли до конфигурирания имейл адрес. Предупрежденията обхващат много общи сценарии.

Таблица 1. Общи проблеми и стъпки за тяхното разрешаване
Предупреждение	Действие
Отказ на достъп до локална база данни.	Проверете за грешки в базата данни или проблеми с локалната мрежа.
Неуспешна връзка с локалната база данни.	Проверете дали сървърът с база данни е достъпен и дали са използвани правилните идентификационни данни за акаунта за услуга в конфигурацията на възела.
Неуспешен достъп до услугата в облака.	Проверете дали възлите имат достъп до сървърите на Webex, както е посочено в Изисквания за външна свързаност.
Подновяване на регистрацията за услуги в облака.	Регистрацията в услугите в облака беше прекъсната. Протича подновяване на регистрацията.
Регистрацията на услуги в облака е прекъсната.	Регистрирането в облачни услуги е прекратено. Услугата се затваря.
Услугата все още не е активирана.	Активирайте пробна версия или завършете преместването на пробната версия в производство.
Конфигурираният домейн не съответства на сертификата на сървъра.	Уверете се, че сертификатът на сървъра ви съответства на конфигурирания домейн за активиране на услугата. Най-вероятната причина е, че CN на сертификата наскоро е променен и сега е различен от CN, който е бил използван по време на първоначалната настройка.
Неуспешно удостоверяване в услугите в облака.	Проверете за точност и възможно изтичане на идентификационните данни за акаунта за услугата.
Неуспешно отваряне на локалния файл на клавиатурата.	Проверете за целостта и точността на паролата във файла с локалния клавиатура.
Сертификатът за локален сървър е невалиден.	Проверете датата на изтичане на сертификата на сървъра и потвърдете, че той е издаден от надежден сертифициращ орган.
Неуспешно публикуване на метриките.	Проверете достъпа до локалната мрежа до външни облачни услуги.
Директорията /media/configdrive/hds не съществува.	Проверете конфигурацията за монтаж на ISO на виртуалния хост. Проверете дали ISO файлът съществува, дали е конфигуриран да се монтира при рестартиране и дали се монтира успешно.

Отстраняване на неизправности в хибридна защита на данни

Използвайте следните общи насоки, когато отстранявате проблеми с хибридна защита на данни.

1	Прегледайте Control Hub за предупреждения и коригирайте всички елементи, които намерите там.
2	Прегледайте изхода на сървъра syslog за активност от разполагането на хибридна защита на данни.
3	Свържете се с поддръжката на Cisco.

Други бележки

Известни проблеми с хибридната защита на данните

Ако затворите своя клъстер на хибридна защита на данни (като го изтриете в Control Hub или като затворите всички възли), загубите своя ISO файл за конфигуриране или загубите достъп до базата данни на клавиатурата, вашите потребители на приложението Webex вече няма да могат да използват интервали в своя списък "Хора", създадени с ключове от вашия KMS. Това се отнася както за изпробване, така и за внедряване в производството. В момента нямаме заобиколно решение или корекция за този проблем и ви призовавам да не затваряте услугите си за HDS, след като обработват активни потребителски акаунти.
Клиент, който има съществуваща ECDH връзка към KMS, поддържа тази връзка за период от време (вероятно един час). Когато потребител стане член на изпробване на хибридна защита на данни, клиентът на потребителя продължава да използва съществуващата ECDH връзка, докато времето за изчакване изтече. Потребителят може също да излезе и да влезе отново в приложението Webex, за да актуализира местоположението, с което се свързва приложението за ключове за шифроване.

Същото поведение възниква, когато преместите изпробване в производство за организацията. Всички потребители, които не са пробни, със съществуващи ECDH връзки към предишните услуги за защита на данните ще продължат да използват тези услуги до предоговаряне на ECDH връзката (чрез изчакване или чрез излизане и обратно влизане).

Използване на OpenSSL за генериране на PKCS12 файл

Преди да започнете

OpenSSL е един инструмент, който може да се използва за създаване на PKCS12 файл в правилния формат за зареждане в инструмента за настройка на HDS. Има и други начини за това и ние не подкрепяме и не насърчаваме един път над друг.
Ако решите да използвате OpenSSL, ние предоставяме тази процедура като ръководство, за да ви помогнем да създадете файл, който отговаря на изискванията за сертификат X.509 в Изисквания за сертификат X.509. Разберете тези изисквания, преди да продължите.
Инсталирайте OpenSSL в поддържана среда. Вижте https://www.openssl.org софтуера и документацията.
Създайте частен ключ.
Започнете тази процедура, когато получите сертификата на сървъра от вашия сертифициращ орган (CA).

1	Когато получите сертификата на сървъра от вашия CA, запишете го като `hdsnode.pem`.
2	Показване на сертификата като текст и проверете подробностите. `openssl x509 -текст -noout -в hdsnode.pem`
3	Използвайте текстов редактор, за да създадете файл пакет сертификат, наречен `hdsnode-bundle.pem`. Пакетният файл трябва да включва сертификата на сървъра, всички междинни CA сертификати и корневи CA сертификати в следния формат: `-----начало на сертификат----- ### сертификат на сървър. ### -----край на сертификат--------------- начало на сертификат------ ### Междинен CA сертификат. ### -----край на сертификат--------------- начало на сертификат------ ### Корневи CA сертификат. ### -----край на сертификат-----`
4	Създайте .p12 файла с приятелското име `kms-частен-ключ`. `openssl pkcs12 -export -inkey hdsnode.key -in hdsnode-bundle.pem -name kms-private-key -caname kms-private-key -out hdsnode.p12`
5	Проверете подробностите за сертификата на сървъра. `openssl pkcs12 -в hdsnode.p12` Въведете парола при подкана да шифровате частния ключ, така че да се показва в изхода. След това се уверете, че частният ключ и първият сертификат включват линиите `friendlyName: kms-частен-ключ`. Пример: bash$ openssl pkcs12 -in hdsnode.p12 Въведете паролата за импортиране: MAC потвърди атрибути OK Bag friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 Ключови атрибути: Въведете фраза за преминаване на PEM: Потвърждаване – Въведете фраза за достъп до PEM: -----BEGIN ENCRYPTED PRIVATE KEY----- -----END ENCRYPTED PRIVATE KEY----- Bag Attributes friendlyName: kms-private-key localKeyID: 54 69 6D 65 20 31 34 39 30 37 33 32 35 30 39 33 31 34 subject=/CN=hds1.org6.portun.us issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE------ Bag Attributes friendlyName: CN=Let's Encrypt Authority X3,O=Let's Encrypt,C=US subject=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 issuer=/O=Digital Signature Trust Co./CN=DST Root CA X3 -----BEGIN CERTIFICATE----- -----END CERTIFICATE-----

Какво да направите след това

Върнете се, за да изпълните изискванията за хибридна защита на данни. Ще използвате файла hdsnode.p12 и паролата, която сте задали за него, в Създаване на конфигурационен ISO за организаторите на HDS.

Можете да използвате повторно тези файлове, за да поискате нов сертификат, когато първоначалният сертификат изтече.

Трафик между възлите на HDS и облака

Изходящ трафик за събиране на метрики

Възлите на хибридна защита на данни изпращат определени показатели към облака на Webex. Те включват системни метрики за heap max, използван heap, натоварване на процесора и брой нишки; метрики за синхронните и асинхронните нишки; метрики за предупрежденията, включващи праг на шифроване връзки, латентност или дължина на опашката за заявки; метрики за datastore; и метрики за връзката за шифроване. Възлите изпращат материали за шифрован ключ през нечестотен (отделен от заявката) канал.

Входящ трафик

Възлите на хибридна защита на данни получават следните типове входящ трафик от облака на Webex:

Заявки за шифроване от клиенти, които се маршрутизират от услугата за шифроване
Надстройки до софтуера за възли

Конфигуриране на прокси сървъри за хибридна защита на данните

Websocket не може да се свърже чрез сепия прокси

Прокси сървърите, които инспектират HTTPS трафика, могат да повлияят на създаването на websocket (в к:) връзки, които изискват хибридната защита на данните. Тези раздели дават насоки как да конфигурирате различни версии на Калмар, за да игнорирате wss: трафик за правилното функциониране на услугите.

Калмята 4 и 5

Добавете on_unsupported_protocol директивата към squid.conf:

on_unsupported_protocol тунел

Сепия 3.5.27

Успешно тествахме Hybrid Data Security със следните правила, добавени към squid.conf. Тези правила подлежат на промяна, тъй като разработваме функции и актуализираме webex облака.

acl wssMercuryConnection ssl::server_name_regex mercury-connection ssl_bump splice wssMercuryConnection acl step1 at_step SslBump1 acl step2 at_step SslBump2 acl step3 at_step SslBump3 ssl_bump надничане step1 всички ssl_bump stare step2 всички ssl_bump bump step3 всички

Предговор

Нова и променена информация

Дата	Направени промени
03 март 2025 г.	Добавено е Изпълнение на инструмент за настройка на HDS с помощта на раздела Podman Desktop . Добавена е бележка в изискванията за настолен компютър за docker, която предоставя на клиентите алтернативна опция с отворен код. Актуализиран е Създаване на конфигурация ISO за хостовете на HDS и Промяна на конфигурацията на възела с инструкции за използване на Podman Desktop за клиенти без лиценз за Docker Desktop.
30 януари 2025 г.	Добавена е версия на SQL сървър 2022 към списъка с поддържани SQL сървъри в изискванията за сървър на базата данни.
07 януари 2025 г.	Актуализирани изисквания за виртуален хост, Поток от задачи за разполагане на хибридна защита на данни, и Инсталиране на HDS Host OVA , за да се покаже ново изискване на ESXi 7.0.
20 октомври 2023 г.	Актуализирана информация в изискванията към сървъра с база данни. Добавено е Настройване на Standby Data Center за възстановяване след бедствие. Актуализирана информация в Standby Data Center за възстановяване след бедствие и Възстановяване след бедствие чрез Standby Data Center.
07 август 2023 г.	Добавена е бележка в Изтегляне на инсталационни файлове. Добавена е бележка в Създаване на конфигурация ISO за хостовете на HDS и Промяна на конфигурацията на възела.
23 май 2023 г.	Изтрита информация от изискванията към сървъра за база данни , изискваща функция, която да бъде активирана чрез свързване с екипа за акаунти. Актуализирана информация в Изисквания за външна свързаност и добавена Канада към таблицата с хостове на CI. Добавена е бележка в Очакванията за разполагане на хибридна защита на данни по отношение на липсата на механизми за преместване на ключове обратно в облака.
06 декември 2022 г.	Изображенията на инструмента за настройка на HDS вече се хостват в хранилището `ciscocitg` dockerhub. Актуализирани са Създаване на конфигурация ISO за хостовете на HDS и Промяна на темите на конфигурация на възела , за да пресъздадете промените в командите.
23 ноември 2022 г.	HDS възлите вече могат да използват удостоверяване на Windows срещу Microsoft SQL Server. Актуализирана е темата за изискванията към сървъра с база данни с допълнителни изисквания за този режим на удостоверяване. Актуализиран е Създаване на конфигурационен ISO за хостовете на HDS с процедурата за конфигуриране на удостоверяване на Windows на възлите. Актуализирана е темата за изискванията към сървъра за база данни с нови минимални задължителни версии (PostgreSQL 10).
13 октомври 2021 г.	Docker Desktop трябва да стартира програма за настройка, преди да можете да инсталирате възли на HDS. Вижте Изисквания за закачане на работния плот.
юни 24, 2021	Имайте предвид, че можете да използвате повторно файла с частен ключ и CSR, за да поискате друг сертификат. Вижте Използване на OpenSSL за генериране на PKCS12 файл за подробности.
30 април 2021 г.	Променено е изискването за VM за локално място на твърдия диск на 30 GB. Вижте Изисквания за виртуален организатор за подробности.
24 февруари 2021	Инструментът за настройка на HDS вече може да се изпълнява зад прокси сървър. Вижте Създаване на конфигурация ISO за хостовете на HDS за подробности.
Февруари 2, 2021	HDS вече може да се изпълнява без монтиран ISO файл. Вижте (По избор) Демонтиране на ISO след конфигуриране на HDS за подробности.
11 януари 2021 г.	Добавена е информация за инструмента за настройка на HDS и прокси сървъри, за да се създаде конфигурационен ISO за хостовете на HDS.
13 октомври 2020 г	Изтегляне на инсталационни файлове е актуализирано.
08 октомври 2020 г.	Актуализиран е Създаване на конфигурация ISO за HDS хостовете и Промяна на конфигурацията на възела с команди за среди на FedRAMP.
14 август 2020 г	Актуализиран е Създаване на конфигурация ISO за хостовете на HDS и Промяна на конфигурацията на възела с промени в процеса на влизане.
5 август 2020 г	Актуализиран Тестване на внедряването на хибридна защита на данни за промени в съобщенията в регистрационните файлове. Актуализирани са изискванията за виртуален организатор , за да се премахне максималният брой организатори.
16 юни 2020 г	Актуализиран е Премахване на възел за промени в потребителския интерфейс на Control Hub.
4 юни 2020 г	Актуализиран е Създаване на конфигурационен ISO за хостовете на HDS за промени в разширените настройки, които може да зададете.
29 май 2020 г	Актуализиран е Създаване на конфигурационен ISO за хостовете на HDS , за да се покаже, че можете да използвате и TLS с бази данни на SQL Server, промени на потребителския интерфейс и други пояснения.
5 май 2020 г	Актуализирани са изискванията за виртуален хост, за да се покаже новото изискване на ESXi 6.5.
21 април 2020 г.	Актуализирани са Изисквания за външна свързаност с нови организатори на CI в Americas.
1 април 2020 г.	Актуализирани са Изисквания за външна свързаност с информация за регионалните организатори на CI.
20 февруари 2020 г	Актуализиран е Създаване на конфигурационен ISO за хостовете на HDS с информация за нов екран с незадължителни разширени настройки в инструмента за настройка на HDS.
14 февруари 2019 г.	Актуализирани са изискванията за прокси сървъра.
16 декември 2019 г.	Поясни изискването за режим на блокирано външно разрешаване на DNS, за да работи в Изисквания към прокси сървъра.
19 ноември 2019	Добавена е информация за режима на блокирано външно DNS разрешаване в следните раздели: Поддръжка на прокси Конфигуриране на HDS възел за интегриране на прокси сървър Изключване на режим на блокирана външна DNS разделителна способност
8 ноември 2019 г	Вече можете да конфигурирате мрежови настройки за даден възел, докато разполагате с OVA, а не след това. Следните раздели са съответно актуализирани: Поток на задачи за разполагане на хибридна защита на данни Инсталиране на HDS Host OVA Настройване на VM на хибридна защита на данни Опцията за конфигуриране на мрежовите настройки по време на разполагането на OVA е тествана с ESXi 6.5. Опцията може да не е налична в по-ранни версии.
6 септември 2019 г	Добавен е SQL Server Standard към изискванията за сървъра за база данни.
Август 29, 2019	Добавено е приложение Конфигуриране на прокси сървъри за хибридна защита на данни с насоки за конфигуриране на прокси сървъри за игнориране на трафика на уеб сокети за правилна работа.
Август 20, 2019	Добавени и актуализирани раздели, за да обхванат поддръжката на прокси сървър за комуникации с възела на хибридна защита на данни към облака на Webex. Поддръжка на прокси Изисквания към прокси сървъра Конфигуриране на HDS възел за интегриране на прокси сървър За достъп само до съдържанието на прокси поддръжката за съществуващо разполагане вижте помощната статия Поддръжка на прокси сървъра за хибридна защита на данни и Webex Video Mesh .
13 юни 2019 г.	Актуализиран е Пробен в производствен поток на задачи с напомняне за синхронизиране на груповия `HdsTrialGroup` обект преди започване на пробен период, ако вашата организация използва синхронизиране на указатели.
06 март 2019 г.	Премести изискванията и предварителните изисквания в отделна глава, Подготовка на средата. Добавен е Поток на задачи за разполагане на хибридна защита на данни общ преглед в главата Настройване на клъстер на хибридна защита на данни. Имайте предвид, че докато не започнете изпробване (като използвате инструкциите в следващата глава) вашите възли генерират аларма, която показва, че услугата ви все още не е активирана. Добавен е Пробен в производствения поток на задачи в главата Изпълнение на пробен период и преминаване към производство.
Февруари 28, 2019	Коригирано е количеството локално място на твърдия диск на сървър, което трябва да заделите при подготовката на виртуалните хостове, които стават възли на хибридна защита на данни, от 50 GB до 20 GB, за да се отрази размера на диска, който OVA създава.
26 февруари 2019 г.	Възлите на хибридна защита на данни вече поддържат шифровани връзки със сървъри с бази данни на PostgreSQL и шифровани връзки за регистриране към syslog сървър с възможност за TLS. Актуализиран е Създаване на конфигурационен ISO за хостовете на HDS с инструкции. Премахнати са целеви URL адреси от таблицата „Изисквания за свързаност с интернет за VMs с възли на хибридна защита на данни“. Таблицата сега се отнася до списъка, поддържан в таблицата „Допълнителни URL адреси за хибридни услуги на Webex Teams“ на Мрежови изисквания за услугите на Webex Teams.
Януари 24, 2019	Хибридната защита на данните вече поддържа Microsoft SQL Server като база данни. Винаги включен SQL Server (Винаги включен клъстер за преместване при отказ и винаги включен групи за наличност) се поддържа от JDBC драйвери, които се използват в хибридната защита на данните. Добавено съдържание, свързано с разполагане с SQL сървър. Поддръжката на Microsoft SQL Server е предназначена само за нови разполагания на хибридната защита на данните. Понастоящем не поддържаме мигриране на данни от PostgreSQL към Microsoft SQL Server в съществуващо разполагане.
5 ноември 2018 г.	Добавена е предварителна стъпка за изчистване на всички съществуващи екземпляри на hds на docker в Създаване на конфигурация ISO за хостовете на HDS и Промяна на конфигурацията на възела. Актуализирана е стъпката на ниво на достъп до ключ в Създаване на конфигурация ISO за хостовете на HDS , за да съответства на интерфейса.
19 октомври 2018 г.	Разделете информацията за връзката на защитната стена на изисквания към възлите и изисквания на машината за конфигуриране на ISO в Завършване на предварителните изисквания за хибридна защита на данните.
Юли 31, 2018	Добавен е порт 22 (SSH достъп) и информация за NAT и защитните стени връзки, за да изпълните изискванията за хибридна защита на данните.
21 май 2018 г.	Променена терминология, за да отрази ребрандиране на Cisco Spark: Хибридна защита на данни на Cisco Spark вече е хибридна защита на данни. Приложението Cisco Spark сега е приложението Webex App. Облакът на Cisco Collaboraton сега е облакът на Webex.
11 април 2018 г.	Добавен е Standby Data Center за възстановяване след бедствие. Актуализирано: Изпълнете изискванията за хибридна защита на данни , за да посочите, че средата за архивиране трябва да бъде в друг център за данни. Актуализирано е Възстановяване при бедствие с използване на Standby Data Center.
22 февруари 2018 г	Добавена е информация за 9-месечния жизнен цикъл на паролата за сервизния акаунт и използване на инструмента за настройка на HDS за нулиране на паролите за сервизния акаунт в Създаване на ISO конфигурация за хостовете на HDS и Промяна на конфигурацията на възела.
15 февруари 2018	В таблицата с изисквания за сертификат X.509 е посочено, че сертификатът не може да бъде заместващ сертификат и че KMS използва домейна CN, а не всеки домейн, който е дефиниран в полетата на SAN.509v3.
18 януари 2018	Добавено допълнение, Трафик между възлите на HDS и облака. Премахнат е разрешен проблем от Известни проблеми за хибридна защита на данни. Променен index.docker.io на .docker.io и добавен .cloudfront.net към списъка с изисквания за TCP свързаност за възлите на HDS в Завършване на предварителните изисквания за хибридна защита на данните. Актуализиран е Създаване на конфигурационен ISO за хостовете на HDS , за да се посочи, че ако хостът на базата данни и сървърът за syslogd не могат да се разрешават чрез DNS от HDS възлите, трябва да ги конфигурирате, като използвате IP адреси.
2 ноември 2017 г	Изяснено синхронизиране на указатели на HdsTrialGroup. Фиксирани инструкции за качване на ISO конфигурационния файл за монтаж във VM възлите.
18 август 2017 г.	Първо публикуване

Първи стъпки с хибридна защита на данни

Общ преглед на хибридна защита на данни

От първия ден сигурността на данните е основният фокус при проектирането на приложението Webex. Крайъгълният камък на тази защита е цялостното шифроване на съдържание, разрешено от клиентите на приложението Webex, които взаимодействат с услугата за управление на ключове (KMS). KMS отговаря за създаването и управлението на криптографски ключове, които клиентите използват за динамично криптиране и дешифриране на съобщения и файлове.

По подразбиране всички клиенти на приложението Webex получават цялостно шифроване с динамични ключове, съхранявани в облака KMS, в областта на защитата на Cisco. Хибридната защита на данните премества KMS и други свързани със сигурността функции във вашия корпоративен център за данни, така че никой освен вас не държи ключовете за вашето криптирано съдържание.

Архитектура на областта на сигурността

Архитектурата на облака на Webex разделя различните типове услуги в отделни области или домейни на доверие, както е описано по-долу.

За да разберем по-подробно хибридната защита на данните, нека първо разгледаме този случай в облака, където Cisco предоставя всички функции в своите облачни области. Услугата за самоличност, единственото място, където потребителите могат да бъдат пряко свързани с тяхната лична информация, като имейл адрес, е логично и физически отделена от областта на защитата в центъра за данни B. И двете от своя страна са отделени от областта, в която в крайна сметка се съхранява шифровано съдържание, в центъра за данни C.

На тази схема клиентът е приложението Webex, което се изпълнява на лаптопа на потребителя, и е удостоверен с услугата за самоличност. Когато потребителят композира съобщение за изпращане до интервал, се извършват следните стъпки:

Клиентът установява защитена връзка с услугата за управление на ключове (KMS), след което иска ключ за шифроване на съобщението. Защитената връзка използва ECDH, а KMS шифрова ключа с помощта на главния ключ AES-256.
Съобщението е шифровано преди да напусне клиента. Клиентът го изпраща на услугата за индексиране, която създава шифровани индекси за търсене, за да подпомогне при бъдещи търсения на съдържанието.
Шифрованото съобщение се изпраща на услугата за съответствие за проверки за съответствие.
Шифрованото съобщение се съхранява в областта на мястото за съхранение.

Когато разположите хибридна защита на данни, премествате функциите на областта на защитата (KMS, индексиране и съответствие) в своя локален център за данни. Другите услуги в облака, които съставляват Webex (включително съхранение на самоличност и съдържание), остават в областите на Cisco.

Сътрудничество с други организации

Потребителите във вашата организация могат редовно да използват приложението Webex за сътрудничество с външни участници в други организации. Когато един от вашите потребители поиска ключ за място, което е собственост на вашата организация (защото е създадено от един от вашите потребители), вашата KMS изпраща ключа на клиента чрез ECDH защитен канал. Когато обаче друга организация притежава ключа за пространството, вашият KMS маршрутизира заявката към облака Webex чрез отделен ECDH канал, за да получи ключа от съответния KMS и след това връща ключа на вашия потребител в оригиналния канал.

Услугата KMS, изпълнявана в организация А, валидира връзките към KMS в други организации, като използва x.509 PKI сертификати. Вижте Изисквания за хибридна защита на данни (в тази статия) за подробности относно генерирането на сертификат x.509, който да използвате с разполагането си на хибридна защита на данни.

Очаквания за внедряване на хибридна защита на данни

Внедряването на хибридна защита на данни изисква значителна ангажираност на клиентите и осведоменост за рисковете, които идват от притежанието на ключове за шифроване.

За да разположите хибридна защита на данни, трябва да предоставите:

Защитен център за данни в страна, която е поддържано местоположение за плановете на Cisco Webex Teams.
Оборудването, софтуерът и мрежовият достъп, описани в Изисквания за хибридна защита на данните.

Пълната загуба или на конфигурационния ISO, който изграждате за хибридна защита на данни, или на базата данни, която предоставяте, ще доведе до загуба на ключове. Загубата на ключове не позволява на потребителите да дешифрират съдържанието в пространството и други шифровани данни в приложението Webex. Ако това се случи, можете да изградите ново разполагане, но ще се вижда само новото съдържание. За да избегнете загуба на достъп до данни, трябва:

Управлявайте архивирането и възстановяването на базата данни и конфигурационния ISO.
Бъдете готови да извършите бързо възстановяване след бедствие, ако възникне катастрофа, като повреда на диска на базата данни или бедствие на центъра за данни.

Няма механизъм за преместване на ключовете обратно в облака след разполагане на HDS.

Процес на настройка на високо ниво

Този документ обхваща настройката и управлението на разполагането на хибридна защита на данни:

Настройка на хибридна защита на данни – това включва подготовка на необходимата инфраструктура и инсталиране на софтуера на хибридна защита на данни, тестване на внедряването ви с поднабор от потребители в пробен режим и след като тестването ви завърши, преминаване към производство. Това конвертира цялата организация, за да използва вашия клъстер на хибридна защита на данни за функции на защитата.
Етапите на настройка, изпробване и производство са подробно описани в следващите три глави.
Поддържайте разполагането на хибридна защита на данни – Облакът на Webex автоматично предоставя текущи надстройки. Вашият ИТ отдел може да предостави поддръжка от първо ниво за това разполагане и да ангажира поддръжката на Cisco, ако е необходимо. В Control Hub можете да използвате известия на екрана и да настроите имейл предупреждения.
Разбиране на често срещаните предупреждения, стъпките за отстраняване на неизправности и известни проблеми – ако срещнете проблеми при разполагането или използването на хибридна защита на данни, последната глава от това ръководство и приложението „Известни проблеми“ могат да ви помогнат да определите и коригирате проблема.

Модел на разполагане на хибридна защита на данни

В рамките на вашия корпоративен център за данни разполагате с хибридна защита на данни като един клъстер от възли на отделни виртуални хостове. Възлите комуникират с облака на Webex чрез защитени уеб сокети и защитен HTTP.

По време на процеса на инсталиране ви предоставяме файла OVA, за да настроите виртуалния уред на VMs, които предоставяте. Използвайте инструмента за настройка на HDS, за да създадете персонализиран ISO файл за конфигуриране на клъстери, който да монтирате на всеки възел. Клъстерът на хибридна защита на данни използва предоставения ви сървър Syslogd и базата данни на PostgreSQL или Microsoft SQL Server. (Можете да конфигурирате подробностите за връзката на Syslogd и базата данни в инструмента за настройка на HDS.)

Модел на разполагане на хибридна защита на данни

Минималният брой възли, които можете да имате в клъстер, е два. Препоръчваме поне по три на клъстер. Наличието на множество възли гарантира, че услугата не се прекъсва по време на надстройка на софтуера или друга дейност по поддръжка на даден възел. (Облакът на Webex надгражда само един възел в даден момент.)

Всички възли в клъстера имат достъп до един и същ файл с ключове и регистрационната активност към един и същ syslog сървър. Самите възли са без гражданство и обработват ключови заявки в кръгла форма, както е указано от облака.

Възлите стават активни, когато ги регистрирате в Control Hub. За да излезете от експлоатация отделен възел, можете да го дерегистрирате и по-късно да го регистрирате отново, ако е необходимо.

Поддържаме само един клъстер на организация.

Пробен режим на хибридна защита на данни

След като настроите разполагане на хибридна защита на данни, първо го изпробвайте с набор от пилотни потребители. По време на пробния период тези потребители използват вашия локален домейн за хибридна защита на данни за ключове за шифроване и други услуги от областта на защитата. Другите ви потребители продължават да използват областта на защита на облака.

Ако решите да не продължите с разполагането по време на пробния период и да деактивирате услугата, пилотните потребители и всички потребители, с които са взаимодействали чрез създаване на нови места по време на пробния период, ще загубят достъп до съобщенията и съдържанието. Те ще видят \„Това съобщение не може да бъде дешифрирано\“ в приложението Webex.

Ако сте доволни, че разполагането ви работи добре за пробните потребители и сте готови да разширите хибридната защита на данни до всички свои потребители, преместете разполагането в производство. Пилотните потребители продължават да имат достъп до ключовете, които са били използвани по време на пробния период. Не можете обаче да се движите напред-назад между производствения режим и първоначалното изпробване. Ако трябва да деактивирате услугата, например да извършите възстановяване след бедствие, когато активирате повторно, трябва да започнете нов пробен период и да настроите набора от пилотни потребители за новия пробен период, преди да се върнете към производствен режим. Дали потребителите запазват достъпа до данни в този момент зависи от това дали успешно сте поддържали резервни копия на хранилището за основни данни и конфигурационния файл за ISO за възлите на хибридна защита на данни във вашия клъстер.

Standby Data Center за възстановяване при бедствия

По време на разгръщането настройвате защитен център за данни в режим на готовност. В случай на бедствие на центъра за данни можете ръчно да не успеете при разполагането си в центъра за данни в режим на готовност.

Базите данни на активните центрове за данни и центровете за данни в режим на готовност са синхронизирани помежду си, което ще сведе до минимум времето, необходимо за извършване на превключването при отказ. ISO файлът на центъра за данни в режим на готовност се актуализира с допълнителни конфигурации, които гарантират, че възлите са регистрирани в организацията, но няма да се справят с трафика. Следователно възлите на центъра за данни в режим на готовност винаги остават актуални с най-новата версия на софтуера на HDS.

Активните възли на хибридна защита на данни трябва винаги да бъдат в същия център за данни като активния сървър с база данни.

Настройване на Standby Data Center за възстановяване при бедствия

Следвайте стъпките по-долу, за да конфигурирате ISO файла на центъра за данни в режим на готовност:

Преди да започнете

Центърът за данни в режим на готовност трябва да отразява производствената среда на VMs и архивна база данни PostgreSQL или Microsoft SQL Server. Например, ако производството има 3 VMs, работещи с HDS възли, резервната среда трябва да има 3 VMs. (Вижте Standby Data Center for Disaster Recovery за общ преглед на този модел на отказ.)
Уверете се, че синхронизирането на базата данни е разрешено между базата данни на активните и пасивните възли на клъстерите.

1	Стартирайте инструмента за настройка на HDS и следвайте стъпките, споменати в Създаване на конфигурационен ISO за хостовете на HDS. ISO файлът трябва да бъде копие на оригиналния ISO файл на основния център за данни, върху който трябва да се направят следните актуализации на конфигурацията.
2	След конфигурирането на сървъра Syslogd щракнете върху Разширени настройки
3	На страницата Разширени настройки добавете конфигурацията по-долу, за да поставите възела в пасивен режим. В този режим възелът ще бъде регистриран в организацията и свързан към облака, но няма да обработва никакъв трафик. `passiveMode: 'true'`
4	Завършете процеса на конфигуриране и запишете ISO файла на лесно за намиране място.
5	Направете резервно копие на ISO файла в локалната си система. Поддържайте архивното копие защитено. Този файл съдържа главен ключ за шифроване за съдържанието на базата с данни. Ограничете достъпа само до онези администратори на хибридна защита на данни, които трябва да направят промени в конфигурацията.
6	В левия навигационен екран на клиента VMware vSphere щракнете с десния бутон върху VM и щракнете върху Редактиране на настройките..
7	Щракнете върху Редактиране на настройките >CD/DVD диск 1 и изберете Datastore ISO файл. Уверете се, че са отметнати Свързани и Свързване при включване , за да могат актуализираните промени в конфигурацията да влязат в сила след стартиране на възлите.
8	Включете възела на HDS и се уверете, че няма аларми поне 15 минути.
9	Повторете процеса за всеки възел в центъра за данни в режим на готовност. Проверете регистрационните файлове в syslog, за да потвърдите, че възлите са в пасивен режим. Трябва да можете да виждате съобщението „KMS, конфигурирано в пасивен режим“ в регистрационните файлове в syslog.

Какво да направите след това

След като конфигурирате passiveMode в ISO файла и го запишете, можете да създадете друго копие на ISO файла без passiveMode конфигурацията и да го запишете на сигурно място. Това копие на ISO файла без конфигуриране може passiveMode да помогне при бърз процес на отказ по време на възстановяване след бедствие. Вижте Възстановяване при бедствие с използване на Standby Data Center за подробната процедура при отказ.

Поддръжка на прокси

Hybrid Data Security поддържа изрични, прозрачни проверяващи и неинспектационни проксита. Можете да свържете тези проксита към разполагането си, така че да можете да подсигурите и наблюдавате трафика от предприятието навън към облака. Можете да използвате администраторски интерфейс на платформа на възлите за управление на сертификати и да проверите цялостното състояние на свързване, след като настроите прокси сървъра на възлите.

Хибридните възли за защита на данните поддържат следните опции за прокси:

Няма прокси сървър – Стойността по подразбиране, ако не използвате конфигурацията за настройка на HDS възел на доверено хранилище и прокси сървър за интегриране на прокси сървър. Не се изисква актуализация на сертификата.
Прозрачен прокси сървър без проверка – възлите не са конфигурирани да използват определен адрес на прокси сървъра и не трябва да изискват промени, за да работят с прокси сървър без проверка. Не се изисква актуализация на сертификата.
Прозрачно тунелиране или проверка на прокси сървъра – възлите не са конфигурирани да използват определен адрес на прокси сървъра. На възлите не са необходими промени в конфигурацията на HTTP или HTTPS. Възлите обаче се нуждаят от главен сертификат, така че да се доверяват на прокси. Проверяващите пълномощници обикновено се използват от It за прилагане на политики, на които могат да бъдат посетени уебсайтовете и кои видове съдържание не са разрешени. Този тип прокси дешифрира целия ви трафик (дори HTTPS).
Изричен прокси сървър – С изричния прокси сървър казвате на HDS кои прокси сървъри и схема за удостоверяване да използват. За да конфигурирате изрично прокси, трябва да въведете следната информация на всеки възел:
1. Прокси IP/FQDN – адрес, който може да се използва за свързване с прокси машината.
2. Прокси порт – номер на порт, който прокси сървърът използва за слушане за прокси трафик.
3. Прокси протокол – в зависимост от това, което поддържа прокси сървърът ви, изберете между следните протоколи:
  - HTTP—Преглежда и контролира всички заявки, които клиентът изпраща.
  - HTTPS—Предоставя канал на сървъра. Клиентът получава и валидира сертификата на сървъра.
4. Тип удостоверяване – изберете измежду следните типове удостоверяване:
  - Няма – Не се изисква допълнително удостоверяване.
    
    Налично, ако изберете или HTTP Или HTTPS като протокол за прокси.
  - Основни—Използва се за HTTP потребителски агент, за да предостави потребителско име и парола при подаване на заявка. Използва Base64 кодиране.
    
    Налично, ако изберете или HTTP Или HTTPS като протокол за прокси.
    
    Изисква да въведете потребителското име и паролата на всеки възел.
  - Обобщаване – използва се за потвърждаване на акаунта, преди да се изпрати чувствителна информация. Прилага хеш функция на потребителското име и паролата преди изпращане по мрежата.
    
    Предлага се само ако изберете HTTPS като протокол за прокси.
    
    Изисква да въведете потребителското име и паролата на всеки възел.

Пример за хибридни данни сигурност възли и прокси

Тази диаграма показва примерна връзка между защитата на хибридните данни, мрежата и прокси. За прозрачния инспектиращ и HTTPS изричен инспектиращ прокси опции, един и същ главен сертификат трябва да бъде инсталиран на прокси и на хибридните възли за защита на данните.

Блокиран режим на външна DNS разделителна способност (изрични прокси конфигурации)

Когато регистрирате възел или проверете конфигурацията на прокси сървъра на възела, процесът тества DNS справка и свързаност към облака Cisco Webex. В разполагане с изрични прокси конфигурации, които не позволяват външна DNS разделителна способност за вътрешни клиенти, ако възелът не може да заявка DNS сървъри, тя автоматично преминава в режим блокирани външни DNS резолюция. В този режим може да се процедира регистрация на възли и други тестове за свързване на прокси.

Подгответе средата си

Изисквания за хибридна защита на данните

Изисквания за лицензи за Cisco Webex

За да разположите хибридна защита на данните:

Трябва да имате Pro Pack за Cisco Webex Control Hub. (Вижте https://www.cisco.com/go/pro-pack.)

Изисквания за закачане на работния плот

Преди да инсталирате възлите на HDS, трябва Docker Desktop, за да изпълните инсталационна програма. Docker наскоро актуализира своя модел на лицензиране. Вашата организация може да изисква платен абонамент за Docker Desktop. За подробности вижте публикацията в блога на Docker, " Docker е Актуализиране и разширяване на нашите абонаментиза продукти".

Клиентите без лиценз за Docker Desktop могат да използват инструмент за управление на контейнери с отворен код като Podman Desktop, за да стартират, управляват и създават контейнери. Вижте Стартиране на инструмент за настройка на HDS с помощта на Podman Desktop за подробности.

X.509 Изисквания за сертификата

Веригата на сертификатите трябва да отговаря на следните изисквания:

Таблица 1. X.509 Изисквания за сертификата за разполагане на хибридна защита на данни
Изискване	Подробности
Подписан от надежден сертифициращ орган (CA)	По подразбиране се доверяваме на сертифициращите органи в списъка на Mozilla (с изключение на WoSign и StartCom) на https://wiki.mozilla.org/CA:IncludedCAs.
Носи общо име (CN) име на домейн, което идентифицира вашето разполагане на хибридна защита на данни Не е заместващ сертификат	CN не е нужно да е достъпен или хост на живо. Препоръчваме ви да използвате име, което отразява вашата организация, например `hds.company.com`. CN не трябва да съдържа * (заместващ символ). CN се използва за проверка на възлите на хибридна защита на данни за клиентите на приложението Webex. Всички възли на хибридна защита на данни във вашия клъстер използват един и същ сертификат. Вашият KMS се идентифицира с помощта на CN домейна, а не с произволен домейн, дефиниран в полетата x.509v3 SAN. След като сте регистрирали възел с този сертификат, не поддържаме промяна на името на CN домейна. Изберете домейн, който може да се прилага както за пробно, така и за производствени разполагания.
Подпис, който не е SHA1	Софтуерът KMS не поддържа подписи SHA1 за валидиране на връзки с KMS на други организации.
Форматиран като защитен с парола PKCS #12 файл Използвайте приятелското име на `kms-private-key` , за да маркирате сертификата, частния ключ и всички междинни сертификати за качване.	Можете да използвате конвертор, като OpenSSL, за да промените формата на сертификата си. Ще трябва да въведете паролата, когато стартирате инструмента за настройка на HDS.

Софтуерът KMS не налага използване на ключове или не разширява ограниченията за използване на ключове. Някои сертифициращи органи изискват за всеки сертификат да се прилагат разширени ограничения за използване на ключа, като например удостоверяване на сървъра. Добре е да използвате удостоверяване на сървъра или други настройки.

Изисквания за виртуален организатор

Виртуалните хостове, които ще настроите като възли на хибридна защита на данни във вашия клъстер, имат следните изисквания:

Поне два отделни хоста (препоръчва се 3), разположени съвместно в един и същ защитен център за данни
VMware ESXi 7.0 (или по-нова версия) е инсталиран и работи.

Трябва да надстроите, ако имате по-стара версия на ESXi.
Минимум 4 vCPU, 8 GB основна памет, 30 GB локално място на твърдия диск на сървър

Изисквания към сървъра за база данни

Създайте нова база данни за съхранение на ключове. Не използвайте базата данни по подразбиране. Приложенията на HDS, когато са инсталирани, създават схемата на базата с данни.

Има две опции за сървъра с база данни. Изискванията за всеки от тях са, както следва:

Таблица 2. Изисквания за сървъра с база данни по тип база данни
PostgreSQL	Microsoft SQL сървър
PostgreSQL 14, 15 или 16, инсталиран и се изпълнява.	Инсталиран е SQL Server 2016, 2017, 2019 или 2022 (корпоративен или стандартен). SQL Server 2016 изисква Service Pack 2 и Кумулативна актуализация 2 или по-нова версия.
Минимум 8 vCPU, 16 GB основна памет, достатъчно място на твърдия диск и наблюдение, за да се гарантира, че не е превишено (препоръчва се 2 TB, ако искате да стартирате базата данни дълго време, без да е необходимо да увеличавате мястото за съхранение)	Минимум 8 vCPU, 16 GB основна памет, достатъчно място на твърдия диск и наблюдение, за да се гарантира, че не е превишено (препоръчва се 2 TB, ако искате да стартирате базата данни дълго време, без да е необходимо да увеличавате мястото за съхранение)

HDS софтуерът в момента инсталира следните версии на драйвери за комуникация със сървъра с база данни:

PostgreSQL

Microsoft SQL сървър

Postgres JDBC драйвер 42.2.5

SQL Server JDBC драйвер 4.6

Тази версия на драйвера поддържа SQL Server Always On ( Винаги включен екземпляр на клъстера при отказ и Винаги включен групи за наличност).

Допълнителни изисквания за удостоверяване на Windows срещу Microsoft SQL Server

Ако искате HDS възлите да използват удостоверяване на Windows, за да получат достъп до вашата база данни на Keystore на Microsoft SQL Server, тогава е необходима следната конфигурация във вашата среда:

Възлите на HDS, инфраструктурата на Active Directory и MS SQL Server трябва да бъдат синхронизирани с NTP.
Акаунтът за Windows, който предоставяте на възли на HDS, трябва да има достъп за четене/запис до базата данни.
DNS сървърите, които предоставяте на HDS възли, трябва да могат да разрешават вашия център за разпределение на ключове (KDC).
Можете да регистрирате екземпляра на базата данни на HDS на Microsoft SQL Server като основно име на услуга (SPN) на Active Directory. Вижте Регистриране на основно име на услуга за Kerberos връзки.

Инструментът за настройка на HDS, HDS стартера и локалния KMS трябва да използват удостоверяване на Windows за достъп до базата данни на Keystore. Те използват подробностите от вашата ISO конфигурация, за да конструират SPN, когато заявяват достъп с удостоверяване на Kerberos.

Изисквания за външна връзка

Конфигурирайте защитната стена, за да разрешите следната свързаност за приложенията на хибридна защита на данни:

Приложение	Протокол	Порт	Посока от приложението	Местоназначение
Възли на хибридна защита на данни	TCP	443	Изходящи HTTPS и ВиК	Сървъри на Webex: .wbx2.com .ciscospark.com Всички организатори на Common Identity Други URL адреси, които са изброени за хибридна защита на данни в таблицата Допълнителни URL адреси за хибридни услуги на Webex на мрежовите изисквания за услугите на Webex
Инструмент за настройка на HDS	TCP	443	Изходящ HTTPS	*.wbx2.com Всички организатори на Common Identity hub.docker.com

Възлите на хибридна защита на данни работят с превод на мрежовия достъп (NAT) или зад защитна стена, при условие че NAT или защитната стена позволяват необходимите изходящи връзки към местоназначенията на домейна в предходната таблица. За връзки, влизащи във входящи възли на хибридна защита на данни, от интернет не трябва да се виждат портове. В рамките на вашия център за данни клиентите се нуждаят от достъп до възлите на хибридна защита на данни на TCP портове 443 и 22 за административни цели.

URL адресите за хостовете на Common Identity (CI) са специфични за региона. Това са текущите организатори на CI:

Регион	URL адреси на организатор на Common Identity
Северна и Южна Америка	https://idbroker.webex.com https://identity.webex.com https://idbroker-b-us.webex.com https://identity-b-us.webex.com
Европейски съюз	https://idbroker-eu.webex.com https://identity-eu.webex.com
Канада	https://idbroker-ca.webex.com https://identity-ca.webex.com
Сингапур	https://idbroker-sg.webex.com https://identity-sg.webex.com
Обединени арабски емирства	https://idbroker-ae.webex.com https://identity-ae.webex.com

Изисквания към прокси сървъра

Ние официално поддържаме следните прокси решения, които могат да се интегрират с вашите възли hybrid Data Security.
- Прозрачен прокси-Уред за уеб защита cisco (WSA).
- Изрична прокси-Сепия.
  
  Прокси сървърите, които инспектират HTTPS трафика, могат да попречат на установяването на websocket (wss:) връзки. За да работите по този проблем, вижте Конфигуриране на прокси сървъри за хибридна защита на данни.
Ние поддържаме следните комбинации от тип удостоверяване за изрични проксита:
- Без удостоверяване с HTTP или HTTPS
- Базово удостоверяване с HTTP или HTTPS
- Смилане на удостоверяване само с HTTPS
За прозрачен проверяващ прокси или HTTPS изрично прокси, трябва да имате копие на главния сертификат на прокси. Инструкциите за разполагане в това ръководство ви казват как да качите копието в магазините за доверие на хибридните възли за защита на данните.
Мрежата, хостваща HDS възлите, трябва да бъде конфигурирана да принуди изходящия TCP трафик на порт 443 да маршрутизира през прокси сървъра.
Прокситата, които инспектират уеб трафика, може да пречат на връзките с уеб гнездото. Ако възникне този проблем, заобикалянето (без проверка) на трафика към wbx2.com и ciscospark.com ще реши проблема.

Изпълнете предварителните изисквания за хибридна защита на данни

Използвайте този контролен списък, за да гарантирате, че сте готови да инсталирате и конфигурирате своя клъстер на хибридна защита на данни.

1	Уверете се, че вашата организация в Webex е разрешена за Pro Pack за Cisco Webex Control Hub, и получете идентификационните данни за акаунт с пълни права на администратор на организацията. Свържете се с вашия партньор в Cisco или мениджър на акаунти за помощ с този процес.
2	Изберете име на домейн за разполагането на HDS (например `hds.company.com`) и получете верига от сертификати, съдържаща сертификат X.509, частен ключ и всички междинни сертификати. Веригата на сертификатите трябва да отговаря на изискванията в X.509 Изисквания за сертификат.
3	Подгответе идентични виртуални хостове, които ще настроите като възли на хибридна защита на данни във вашия клъстер. Имате нужда от поне два отделни организатора (препоръчва се 3), разположени съвместно в един и същ защитен център за данни, които отговарят на изискванията в Изисквания за виртуален организатор.
4	Подгответе сървъра с база данни, който ще действа като хранилище на данни за ключа за клъстера в съответствие с изискванията за сървъра с база данни. Сървърът на базата данни трябва да бъде разположен съвместно в защитения център за данни с виртуалните хостове. Създайте база данни за съхранение на ключове. (Трябва да създадете тази база данни – не използвайте базата данни по подразбиране. Приложенията на HDS, когато са инсталирани, създават схемата на базата с данни.) Съберете подробностите, които ще използват възлите за комуникация със сървъра с база данни: име на хост или IP адрес (хост) и порт името на базата с данни (dbname) за съхранение на ключа потребителското име и паролата на потребител с всички привилегии в базата данни за съхранение на ключа
5	За бързо възстановяване след бедствие настройте архивна среда в друг център за данни. Резервната среда отразява производствената среда на VMs и резервен сървър с база данни. Например, ако производството има 3 VMs, работещи с HDS възли, резервната среда трябва да има 3 VMs.
6	Настройте хост на syslog, за да събирате регистрационни файлове от възлите в клъстера. Съберете мрежовия му адрес и порта за syslog (по подразбиране е UDP 514).
7	Създайте правила за защитено архивиране за възлите на хибридна защита на данни, сървъра с база данни и хоста на syslog. Като минимум, за да предотвратите невъзстановима загуба на данни, трябва да архивирате базата данни и конфигурационния ISO файл, генериран за възлите на хибридна защита на данни. Тъй като възлите на хибридна защита на данни съхраняват ключовете, използвани за шифроване и дешифроване на съдържание, неподдържането на оперативно разполагане ще доведе до НЕВЪЗСТАНОВИМА ЗАГУБА на това съдържание. Клиентите на приложението Webex кешират ключовете си, така че прекъсването може да не се забележи веднага, но ще стане очевидно с течение на времето. Въпреки че е невъзможно да се предотвратят временните прекъсвания, те са възстановими. Обаче пълната загуба (няма налични резервни копия) на базата данни или конфигурационния ISO файл ще доведе до невъзстановими клиентски данни. От операторите на възлите на хибридна защита на данни се очаква да поддържат чести резервни копия на базата данни и конфигурационния ISO файл и да бъдат готови да възстановят центъра за данни на хибридна защита на данни, ако възникне катастрофална грешка.
8	Уверете се, че конфигурацията на защитната ви стена позволява свързване за вашите възли на хибридна защита на данни, както е описано в Изисквания за външна свързаност.
9	Инсталирайте Docker ( https://www.docker.com) на всяка локална машина, работеща с поддържана операционна система (Microsoft Windows 10 Professional или Enterprise 64-битова или Mac OSX Yosemite 10.10.3 или по-нова версия) с уеб браузър, който може да получи достъп до нея на http://127.0.0.1:8080. Можете да използвате екземпляр на Docker, за да изтеглите и изпълните инструмента за настройка на HDS, който изгражда информацията за локална конфигурация за всички възли на хибридна защита на данни. Вашата организация може да се нуждае от лиценз за настолен компютър за docker. Вижте Изисквания за закачане на работния плот за повече информация. За да инсталирате и стартирате инструмента за настройка на HDS, локалната машина трябва да има възможността за свързване, описана в Изисквания за външна свързаност.
10	Ако интегрирате прокси сървър с хибридна защита на данните, уверете се, че той отговаря на изискванията за прокси сървър.
11	Ако вашата организация използва синхронизиране на указатели, създайте група в Active Directory, наречена `HdsTrialGroup`, и добавете пилотни потребители. Пробната група може да има до 250 потребители. Обектът `HdsTrialGroup` трябва да бъде синхронизиран с облака, преди да можете да започнете изпробване за вашата организация. За да синхронизирате групов обект, изберете го в менюто Конфигурация > Избор на обект на Directory Connector. (За подробни инструкции вижте Ръководство за разполагане на Cisco Directory Connector.) Бутоните за дадено място се задават от създателя на мястото. Когато избирате пилотни потребители, имайте предвид, че ако решите за постоянно да деактивирате разполагането на хибридна защита на данни, всички потребители губят достъп до съдържание в местата, които са създадени от пилотните потребители. Загубата става видима веднага щом приложенията на потребителите опреснят кешираните си копия на съдържанието.

Настройване на клъстер на хибридна защита на данни

Поток на задачи за разполагане на хибридна защита на данни

Преди да започнете

1	Изтегляне на инсталационните файлове Изтеглете OVA файла на вашата локална машина за по-късно използване.
2	Създаване на конфигурационен ISO за хостовете на HDS Използвайте инструмента за настройка на HDS, за да създадете ISO конфигурационен файл за възлите на хибридна защита на данни.
3	Инсталиране на HDS Host OVA Създайте виртуална машина от OVA файла и изпълнете първоначалната конфигурация, като например мрежови настройки. Опцията за конфигуриране на мрежовите настройки по време на разполагането на OVA е тествана с ESXi 7.0. Опцията може да не е налична в по-ранни версии.
4	Настройване на VM на хибридна защита на данни Влезте в конзолата на VM и задайте данните за вход. Конфигурирайте мрежовите настройки за възела, ако не сте ги конфигурирали към момента на разполагането на OVA.
5	Качване и монтиране на конфигурация ISO на HDS Конфигурирайте VM от ISO конфигурационния файл, който сте създали с инструмента за настройка на HDS.
6	Конфигуриране на HDS възел за интегриране на прокси сървър Ако мрежовата среда изисква конфигурация на прокси сървър, укажете типа прокси сървър, който ще използвате за възела, и добавете прокси сертификата към хранилището на гаранти, ако е необходимо.
7	Регистриране на първия възел в клъстера Регистрирайте VM с облака на Cisco Webex като възел на хибридна защита на данни.
8	Създаване и регистриране на още възли Завършете настройката на клъстера.
9	Докато не започнете пробен период, вашите възли генерират аларма, която показва, че услугата ви все още не е активирана.

Изтегляне на инсталационните файлове

1	Влезте в https://admin.webex.com и щракнете върху Услуги.
2	В раздела „Хибридни услуги“ намерете картата „Хибридна защита на данни“ и след това щракнете върху Настройка. Ако картата е деактивирана или не я виждате, се свържете с екипа за вашия акаунт или с партньорската си организация. Дайте им номера на акаунта си и помолете организацията ви да активира за хибридна защита на данните. За да намерите номера на акаунта, щракнете върху зъбното колело горе вдясно до името на вашата организация. Можете също да изтеглите OVA по всяко време от раздела Помощ на страницата Настройки . На картата на хибридна защита на данни щракнете върху Редактиране на настройките , за да отворите страницата. След това щракнете върху Изтегляне на софтуера за хибридна защита на данни в раздела Помощ . По-старите версии на софтуерния пакет (OVA) няма да бъдат съвместими с най-новите надстройки на хибридна защита на данни. Това може да доведе до проблеми при надстройване на приложението. Уверете се, че сте изтеглили най-новата версия на OVA файла.
3	Изберете Не , за да посочите, че все още не сте настроили възела, след което щракнете върху Напред. OVA файлът започва автоматично да се изтегля. Запишете файла на местоположение на машината си.
4	Като опция щракнете върху Отваряне на ръководство за разполагане , за да проверите дали има налична по-нова версия на това ръководство.

Създаване на конфигурационен ISO за хостовете на HDS

Процесът на настройка на хибридна защита на данни създава ISO файл. След това използвайте ISO, за да конфигурирате своя хост на хибридна защита на данни.

Преди да започнете

Инструментът за настройка на HDS работи като Docker контейнер на локална машина. За достъп до него стартирайте Docker на тази машина. Процесът на настройка изисква идентификационните данни на акаунт в контролния център с пълни права на администратор за вашата организация.

Ако нямате лиценз за Docker Desktop, можете да използвате Podman Desktop, за да изпълните инструмента за настройка на HDS за стъпки 1 до 5 в процедурата по-долу. Вижте Стартиране на инструмент за настройка на HDS с помощта на Podman Desktop за подробности.

Ако инструментът за настройка на HDS се изпълнява зад прокси сървър във вашата среда, осигурете настройките на прокси сървъра (сървър, порт, идентификационни данни) чрез променливите на средата за закачване на контейнера за закачване в стъпка 5. Тази таблица дава някои възможни променливи на средата:

Описание

Променлива

HTTP прокси без удостоверяване

GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT

HTTPS прокси без удостоверяване

GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT

HTTP прокси с удостоверяване

GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT

HTTPS прокси с удостоверяване

GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Конфигурационният ISO файл, който генерирате, съдържа главния ключ, шифрован в базата данни на PostgreSQL или Microsoft SQL Server. Трябва ви най-новото копие на този файл по всяко време, когато правите промени в конфигурацията, като тези:
- Идентификационни данни за базата данни
- Актуализации на сертификата
- Промени в правилата за упълномощаване
Ако планирате да шифровате връзките с бази данни, настройте разполагането на вашия PostgreSQL или SQL Server за TLS.

1

В командния ред на вашата машина въведете подходящата команда за вашата среда:

В нормални среди:

docker rmi ciscocitg/hds-setup:stable

В среди на FedRAMP:

docker rmi ciscocitg/hds-setup-fedramp:stable

Тази стъпка изчиства предишни изображения на инструмента за настройка на HDS. Ако няма предишни изображения, той връща грешка, която можете да игнорирате.

2

За да влезете в регистъра на изображения на Docker, въведете следното:

docker login -u hdscustomersro

3

При подканата за парола въведете този хеш:

dckr_pat_aDP6V4KkrvpBwaQf6m6ROkvKUIo

4

Изтеглете най-новото стабилно изображение за вашата среда:

В нормални среди:

docker pull ciscocitg/hds-setup:stable

В среди на FedRAMP:

docker pull ciscocitg/hds-setup-fedramp:stable

5

Когато изтеглянето приключи, въведете подходящата команда за вашата среда:

В нормални среди без прокси:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup:stable

В нормални среди с HTTP прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

В редовни среди с HTTPS прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup:stable

В среди на FedRAMP без прокси:

docker run -p 8080:8080 --rm -it ciscocitg/hds-setup-fedramp:stable

В среди на FedRAMP с HTTP прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

В среди на FedRAMP с HTTPS прокси:

docker run -p 8080:8080 --rm -it -e GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT ciscocitg/hds-setup-fedramp:stable

Когато контейнерът работи, виждате „Експресен сървър слуша на порт 8080“.

6

Инструментът за настройка не поддържа свързване с localhost чрез http://localhost:8080. Използвайте http://127.0.0.1:8080 , за да се свържете с localhost.

Използвайте уеб браузър, за да отидете в локалния организатор, http://127.0.0.1:8080 и въведете потребителското име на администратора на клиента за Control Hub в подканата.

Инструментът използва този първи запис на потребителското име, за да зададе правилната среда за този акаунт. След това инструментът показва стандартната подкана за влизане.

7

Когато бъдете подканени, въведете идентификационните си данни за вход на администратор на клиенти в Control Hub и след това щракнете върху Влизане , за да позволите достъп до необходимите услуги за хибридна защита на данни.

8

На страницата „Преглед на инструмента за настройка“ щракнете върху Първи стъпки.

9

На страницата Импортиране на ISO имате следните опции:

Не– Ако създавате първия си HDS възел, нямате ISO файл за качване.
Да – Ако вече сте създали HDS възли, тогава изберете своя ISO файл в прегледа и го качете.

10

Проверете дали вашият сертификат X.509 отговаря на изискванията в X.509 Изисквания за сертификат.

Ако никога не сте качили сертификат преди, качете сертификата X.509, въведете паролата и щракнете върху Продължи.
Ако сертификатът ви е ОК, щракнете върху Продължи.
Ако сертификатът ви е изтекъл или искате да го замените, изберете Не за Продължаване на използването на веригата за сертификати на HDS и частния ключ от предишния ISO?. Качете нов сертификат X.509, въведете паролата и щракнете върху Продължи.

11

Въведете адреса на базата данни и акаунта за HDS, за да получите достъп до ключовия си datastore:

Изберете вашия тип база данни (PostgreSQL или Microsoft SQL Server).

Ако изберете Microsoft SQL Server, получавате поле за тип удостоверяване.
(Само за Microsoft SQL Server ) Изберете вашия тип удостоверяване:
- Базово удостоверяване: Необходимо е име на локален акаунт за SQL Server в полето Потребителско име .
- Удостоверяване на Windows: Имате нужда от акаунт за Windows във формат username@DOMAIN в полето Потребителско име .
Въведете адреса на сървъра с база данни във формуляра : или :.

Пример:
dbhost.example.org:1433 или 198.51.100.17:1433

Можете да използвате IP адрес за базово удостоверяване, ако възлите не могат да използват DNS за решаване на името на хоста.

Ако използвате удостоверяване на Windows, трябва да въведете напълно квалифицирано име на домейн във формат dbhost.example.org:1433
Въведете името на базата данни.
Въведете Потребителско име и Парола на потребител с всички привилегии в базата данни за съхранение на ключа.

12

Изберете режим на свързване с база данни TLS:

Режим	Описание
Предпочитане на TLS (опция по подразбиране)	HDS възлите не изискват TLS да се свърже със сървъра на базата данни. Ако разрешите TLS на сървъра с база данни, възлите правят опит за шифрована връзка.
Изисквайте TLS	HDS възли се свързват само ако сървърът на базата данни може да договори TLS.
Изисквайте TLS и проверете подписвача на сертификати	Този режим не е приложим за бази данни на SQL Server. HDS възли се свързват само ако сървърът на базата данни може да договори TLS. След установяването на TLS връзка възелът сравнява подписващия на сертификата от сървъра на базата данни с органа за сертифициране в корневи сертификат в базата данни. Ако не съвпадат, възелът изпуска връзката. Използвайте контролата за главен сертификат на базата данни под падащото, за да качите главния сертификат за тази опция.
Изисквайте TLS и проверете подписалия сертификат и хостовото име	HDS възли се свързват само ако сървърът на базата данни може да договори TLS. След установяването на TLS връзка възелът сравнява подписващия на сертификата от сървъра на базата данни с органа за сертифициране в корневи сертификат в базата данни. Ако не съвпадат, възелът изпуска връзката. Възлите също така проверяват дали името на хоста в сертификата на сървъра съвпада с името на хоста в полето Хост и порт в базата данни . Имената трябва да съвпадат точно или възелът пуска връзката. Използвайте контролата за главен сертификат на базата данни под падащото, за да качите главния сертификат за тази опция.

Когато качите корневи сертификат (ако е необходимо) и щракнете върху Продължи, инструментът за настройка на хибридна защита на данни тества TLS връзката към сървъра с база данни. Инструментът също така проверява подписалите сертификата и hostname, ако е приложимо. Ако даден тест е неуспешен, инструментът показва съобщение за грешка, описващо проблема. Можете да изберете дали да игнорирате грешката и да продължите с настройката. (Поради разликите в свързването възлите на HDS може да са в състояние да установят TLS връзката, дори ако машината с инструмента за настройка на HDS не може да я тества успешно.)

13

На страницата „Системни регистрационни файлове“ конфигурирайте сървъра си за Syslogd:

Въведете URL адреса на сървъра syslog.

Ако сървърът не може да се разрешава чрез DNS от възлите за вашия HDS клъстер, използвайте IP адрес в URL.

Пример:
udp://10.92.43.23:514 показва влизане в хоста Syslogd 10.92.43.23 на UDP порт 514.
Ако настроите сървъра си да използва TLS шифроване, отметнете Конфигуриран ли е вашият сървър syslog за SSL шифроване?.

Ако отметнете това квадратче, трябва да въведете URL адрес на TCP, например tcp://10.92.43.23:514.
От падащия списък Избор на прекратяване на запис в syslog изберете подходящата настройка за вашия ISO файл: Избор или нов ред се използва за Graylog и Rsyslog TCP
- Нулев байт -- \x00
- Нов ред – \n – Изберете този избор за Graylog и Rsyslog TCP.
Щракнете върху Продължаване.

14

(По избор) Можете да промените стойността по подразбиране за някои параметри на връзката с база данни в Разширени настройки. По принцип този параметър е единственият, който може да искате да промените:

app_datasource_connection_pool_maxSize: 10

15

Щракнете върху Продължи на екрана Нулиране на паролата за акаунти за услуги .

Паролите за акаунта за услугата имат деветмесечен живот. Използвайте този екран, когато паролите ви наближават изтичане или искате да ги нулирате, за да invalidate previous ISO files.

16

Щракнете върху Изтегляне на ISO файл. Запишете файла на лесно за намиране място.

17

Направете резервно копие на ISO файла в локалната си система.

Поддържайте архивното копие защитено. Този файл съдържа главен ключ за шифроване за съдържанието на базата с данни. Ограничете достъпа само до онези администратори на хибридна защита на данни, които трябва да направят промени в конфигурацията.

18

За да затворите инструмента за настройка, въведете CTRL+C.

Какво да направите след това

Архивиране на конфигурационния ISO файл. Необходимо е, за да създадете повече възли за възстановяване или да направите промени в конфигурацията. Ако загубите всички копия на ISO файла, ще загубите и главния ключ. Възстановяването на ключовете от вашата база данни PostgreSQL или Microsoft SQL Server не е възможно.

Никога не разполагаме с копие на този ключ и не можем да ви помогнем, ако го изгубите.

Инсталиране на HDS Host OVA

Използвайте тази процедура, за да създадете виртуална машина от OVA файла.

1	Използвайте клиента VMware vSphere на вашия компютър, за да влезете във виртуалния хост на ESXi.
2	Изберете Файл > Разполагане на OVF шаблон.
3	В съветника укажете местоположението на OVA файла, който сте изтеглили по-рано, след което щракнете върху Напред.
4	На страницата Избор на име и папка въведете име на виртуална машина за възела (например "HDS_Node_1"), изберете местоположение, където може да се намира разполагането на възела на виртуалната машина, след което щракнете върху Напред.
5	На страницата Избор на изчислителен ресурс изберете целевия изчислителен ресурс и след това щракнете върху Напред. Извършва се проверка за валидиране. След като завърши, се показват подробностите за шаблона.
6	Проверете подробностите за шаблона и след това щракнете върху Напред.
7	Ако от вас бъде поискано да изберете конфигурацията на ресурсите на страницата Конфигурация , щракнете върху 4 процесора и след това щракнете върху Напред.
8	На страницата Избор на място за съхранение щракнете върху Напред , за да приемете формата на диска по подразбиране и правилата за съхранение на VM.
9	На страницата Избор на мрежи изберете опцията за мрежа от списъка със записи, за да осигурите желаната свързаност към VM.
10	На страницата Персонализиране на шаблон конфигурирайте следните мрежови настройки: Име на хост – въведете FQDN (име на хост и домейн) или една дума име на хост за възела. Не е необходимо да задавате домейна да съвпада с домейна, който сте използвали, за да получите сертификата X.509. За да гарантирате успешна регистрация в облака, използвайте само малки знаци във FQDN или името на хоста, които сте задали за възела. Капитализацията не се поддържа в този момент. Общата дължина на FQDN не трябва да надвишава 64 знака. IP адрес – Въведете IP адреса за вътрешния интерфейс на възела. Възелът трябва да има вътрешен IP адрес и DNS име. DHCP не се поддържа. Маска – Въведете адреса на маската на подмрежата с точка и запетая. Например 255.255.255.0. Шлюз – въведете IP адреса на шлюза. Шлюза е мрежов възел, който служи като точка за достъп до друга мрежа. DNS сървъри – Въведете списък с DNS сървъри, разделени със запетая, които обработват преобразуването на имената на домейни в цифрови IP адреси. (Разрешени са до 4 DNS записа.) NTP сървъри – Въведете NTP сървъра на вашата организация или друг външен NTP сървър, който може да се използва във вашата организация. NTP сървърите по подразбиране може да не работят за всички предприятия. Можете също да използвате списък, разделен със запетая, за да въведете няколко NTP сървъра. Разположете всички възли в една и съща подмрежа или VLAN, така че всички възли в клъстера да са достъпни от клиентите във вашата мрежа за административни цели. Ако предпочитате, можете да пропуснете конфигурацията на мрежовите настройки и да следвате стъпките в Настройване на VM на хибридна защита на данни , за да конфигурирате настройките от конзолата за възли. Опцията за конфигуриране на мрежовите настройки по време на разполагането на OVA е тествана с ESXi 7.0. Опцията може да не е налична в по-ранни версии.
11	Щракнете с десния бутон върху възела VM и след това изберете Захранване > Включване. Софтуерът за хибридна защита на данни е инсталиран като гост на VM Host. Вече сте готови да влезете в конзолата и да конфигурирате възела. Съвети за отстраняване на неизправности Може да усетите забавяне от няколко минути, преди контейнерите с възли да се появят. На конзолата се появява съобщение за защитна стена на мост по време на първото зареждане, по време на което не можете да влезете.

Настройване на VM на хибридна защита на данни

Използвайте тази процедура, за да влезете за първи път в конзолата на възела на хибридна защита на данни и да зададете данните за вход. Можете също да използвате конзолата, за да конфигурирате мрежовите настройки за възела, ако не сте ги конфигурирали по време на разполагането на OVA.

1	В клиента на VMware vSphere изберете своя възел на хибридна защита на данни VM и изберете раздела Конзола . VM се зарежда и се появява подкана за влизане. Ако подканата за влизане не се покаже, натиснете Enter.
2	Използвайте следните данни за влизане и парола по подразбиране, за да влезете и да промените идентификационните данни: Влизане: `admin` Парола: `cisco` Тъй като влизате във вашия VM за първи път, трябва да промените паролата на администратора.
3	Ако вече сте конфигурирали мрежовите настройки в Инсталиране на HDS Host OVA, пропуснете останалата част от тази процедура. В противен случай в главното меню изберете опцията Редактиране на конфигурацията .
4	Настройте статична конфигурация с IP адрес, маска, шлюз и DNS информация. Възелът трябва да има вътрешен IP адрес и DNS име. DHCP не се поддържа.
5	(По избор) Променете името на хоста, домейна или NTP сървъра(ите), ако е необходимо, за да съответстват на мрежовите ви правила. Не е необходимо да задавате домейна да съвпада с домейна, който сте използвали, за да получите сертификата X.509.
6	Запишете мрежовата конфигурация и рестартирайте VM, за да влязат в сила промените.

Качване и монтиране на конфигурация ISO на HDS

Използвайте тази процедура, за да конфигурирате виртуалната машина от ISO файла, който сте създали с инструмента за настройка на HDS.

Преди да започнете

Тъй като ISO файлът съдържа главния ключ, той трябва да бъде изложен само на база „трябва да знаете“, за достъп от VM на хибридна защита на данни и всички администратори, които може да се наложи да направят промени. Уверете се, че само тези администратори имат достъп до datastore.

1

Качете ISO файла от компютъра си:

В левия навигационен екран на клиента VMware vSphere щракнете върху сървъра ESXi.
В списъка с хардуери на раздела за конфигуриране щракнете върху Място за съхранение.
В списъка Datastores щракнете с десния бутон върху datastore за вашите VMs и щракнете върху Преглед на Datastore.
Щракнете върху иконата Качване на файлове и след това щракнете върху Качване на файл.
Намерете местоположението, където сте изтеглили ISO файла на компютъра си, и щракнете върху Отвори.
Щракнете върху Да , за да приемете предупреждението за операцията за качване/изтегляне, и затворете диалоговия прозорец за данни.

2

Монтиране на ISO файла:

В левия панел за навигация на клиента VMware vSphere щракнете с десния бутон върху виртуалната машина и щракнете върху Редактиране на настройките.
Щракнете върху OK , за да приемете предупреждението за ограничени опции за редактиране.
Щракнете върху CD/DVD Drive 1, изберете опцията за монтаж от ISO файл datastore и намерете местоположението, където сте качили конфигурационния ISO файл.
Отметнете Свързан и Свързване при включване.
Запишете промените си и рестартирайте виртуалната машина.

Какво да направите след това

Ако правилата за ИТ изискват, можете по избор да демонтирате ISO файла, след като всички ваши възли поемат промените в конфигурацията. Вижте (По избор) Демонтиране на ISO след конфигуриране на HDS за подробности.

Конфигуриране на HDS възел за интегриране на прокси сървър

Ако мрежовата среда изисква прокси, използвайте тази процедура, за да укажете вида на прокси, който искате да интегрирате с Hybrid Data Security. Ако изберете прозрачен проверяващ прокси или HTTPS изричен прокси, можете да използвате интерфейса на възела, за да качите и инсталирате главния сертификат. Можете също да проверите прокси връзката от интерфейса и да отстраните всички потенциални проблеми.

Преди да започнете

Вижте Поддръжка на прокси за общ преглед на поддържаните опции за прокси.
Изисквания към прокси сървъра

1	Въведете URL адреса за настройка на възела на HDS `https://[HDS Node IP or FQDN]/setup` в уеб браузър, въведете данните за вход на администратор, които сте настроили за възела, след което щракнете върху Влизане.
2	Отидете на Хранилище на доверие & Прокси , след което изберетеопция: Няма прокси сървър – опцията по подразбиране, преди да интегрирате прокси сървър. Не се изисква актуализация на сертификата. Прозрачен прокси сървър без проверка – възлите не са конфигурирани да използват определен адрес на прокси сървъра и не трябва да изискват промени, за да работят с прокси сървър без проверка. Не се изисква актуализация на сертификата. Прокси сървър за прозрачна проверка – възлите не са конфигурирани да използват определен адрес на прокси сървъра. Не httpS конфигурация промени са необходими в разполагането на защитата на хибридни данни, обаче HDS възли се нуждаят от главен сертификат, така че те се доверяват на прокси. Проверяващите пълномощници обикновено се използват от It за прилагане на политики, на които могат да бъдат посетени уебсайтовете и кои видове съдържание не са разрешени. Този тип прокси дешифрира целия ви трафик (дори HTTPS). Изричен прокси сървър – С изричния прокси сървър казвате на клиента (HDS възли) кой прокси сървър да използва, и тази опция поддържа няколко типа удостоверяване. След като изберете тази опция, трябва да въведете следната информация: Прокси IP/FQDN – адрес, който може да се използва за свързване с прокси машината. Прокси порт – номер на порт, който прокси сървърът използва за слушане за прокси трафик. Прокси протокол – изберете http (преглежда и управлява всички заявки, които се получават от клиента) или https (осигурява канал към сървъра и клиентът получава и валидира сертификата на сървъра). Изберете опция въз основа на това, което поддържа вашият прокси сървър. Тип удостоверяване – изберете измежду следните типове удостоверяване: Няма – Не се изисква допълнително удостоверяване. Налична за HTTP или HTTPS проксита. Основни—Използва се за HTTP потребителски агент, за да предостави потребителско име и парола при подаване на заявка. Използва Base64 кодиране. Налична за HTTP или HTTPS проксита. Ако изберете тази опция, трябва да въведете и потребителското име и паролата. Обобщаване – използва се за потвърждаване на акаунта, преди да се изпрати чувствителна информация. Прилага хеш функция на потребителското име и паролата преди изпращане по мрежата. Предлага се само за HTTPS проксита. Ако изберете тази опция, трябва да въведете и потребителското име и паролата. Изпълнете следващите стъпки за прозрачен проверяващ прокси, HTTP изрично прокси с базово удостоверяване или HTTPS изрично прокси.
3	Щракнете върху Качване на главен сертификат или Сертификат за краен обект и след това навигирайте до изберете главния сертификат запрокси. Сертификатът се качва, но все още не е инсталиран, защото трябва да рестартирате възела, за да инсталирате сертификата. Щракнете върху стрелката chevron по името на издателя на сертификата, за да получите повече подробности или щракнете върху Изтрий, ако сте направили грешка и искате да качите повторно файла.
4	Щракнете върху Проверка на прокси връзката, за да тествате мрежовата свързаност между възела и прокси. Ако тестът за връзка е неуспешен, ще видите съобщение за грешка, което показва причината и как можете да коригирате проблема. Ако видите съобщение, което казва, че външната DNS разделителна способност не е била успешна, възелът не е успял да достигне DNS сървъра. Това условие се очаква в много изрични прокси конфигурации. Можете да продължите с настройката и възелът ще функционира в режим на блокирано външно DNS разрешаване. Ако мислите, че това е грешка, изпълнете тези стъпки и след това вижте Изключване на режима на блокирано външно разрешаване на DNS.
5	След като тестът за връзка премине, за изрично прокси настроен само на https, включете превключването към Маршрут всички порт 443/444 https заявки от този възел през изрично прокси. Тази настройка изисква 15 секунди, за да влязат в сила.
6	Щракнете върху Инсталиране на всички сертификати в хранилището на гаранти (появява се за HTTPS изрично прокси или прозрачен проверяващ прокси) или Рестартиране (появява се за HTTP изрично прокси), прочетете подканата и след това щракнете върху Инсталиране, ако сте готови. Възелът се рестартира в рамките на няколко минути.
7	След рестартирането на възела влезте отново, ако е необходимо, след което отворете страницата Общ преглед, за да проверите проверките за свързване, за да се уверите, че всички те са в зелено състояние. Проверката на прокси връзката тества само поддомейн от webex.com. Ако има проблеми със свързването, често срещан проблем е, че някои от облачните домейни, изброени в инструкциите за инсталиране, се блокират в прокси.

Регистриране на първия възел в клъстера

Тази задача взема генеричния възел, който сте създали в Настройване на хибридна защита на данни VM, регистрира възела с облака на Webex и го превръща във възел на хибридна защита на данни.

Когато регистрирате първия си възел, създавате клъстер, към който е разпределен възелът. Клъстерът съдържа един или повече възли, разгърнати за осигуряване на резерв.

Преди да започнете

След като започнете да регистрирате възел, трябва да го завършите в рамките на 60 минути, или трябва да започнете отначало.
Погрижете се всички блокери на изскачащите прозорци във вашия браузър да са деактивирани или да разрешите изключение за admin.webex.com.

1	Влезте в https://admin.webex.com.
2	От менюто от лявата страна на екрана изберете Услуги.
3	В раздела „Хибридни услуги“ намерете „Хибридна защита на данни“ и щракнете върху Настройка. Показва се страницата с възел на хибридна защита на данни за регистриране.
4	Изберете Да , за да посочите, че сте настроили възела и сте готови да го регистрирате, след което щракнете върху Напред.
5	В първото поле въведете име за клъстера, към който искате да разпределите вашия възел на хибридна защита на данни. Препоръчваме ви да посочите клъстер въз основа на географското местоположение на клъстера. Примери: „Сан Франциско“ или „Ню Йорк“ или „Далас“
6	Във второто поле въведете вътрешния IP адрес или напълно квалифицирано име на домейн (FQDN) на вашия възел и щракнете върху Напред. Този IP адрес или FQDN трябва да съвпада с IP адреса или името на хоста и домейна, които сте използвали в Настройване на VM на хибридна защита на данни. Появява се съобщение, което показва, че можете да регистрирате възела в Webex.
7	Щракнете върху Към възел.
8	Щракнете върху Продължи в предупредителното съобщение. След няколко секунди ще бъдете пренасочени към тестовете за свързване на възлите за услугите на Webex. Ако всички тестове са успешни, се появява страницата \„Разрешаване на достъп до възел на хибридна защита на данни\“. Там потвърждавате, че искате да дадете разрешения на вашата организация в Webex за достъп до вашия възел.
9	Отметнете квадратчето Разрешаване на достъп до вашия възел на хибридна защита на данни и след това щракнете върху Продължи. Вашият акаунт е потвърден и съобщението \„Завършване на регистрацията\“ показва, че възелът вече е регистриран в облака на Webex.
10	Щракнете върху връзката или затворете раздела, за да се върнете към страницата на хибридна защита на данни в Control Hub. На страницата Хибридна защита на данни се показва новият клъстер, съдържащ възела, който сте регистрирали. Възелът автоматично ще изтегли най-новия софтуер от облака.

Създаване и регистриране на още възли

За да добавите допълнителни възли към вашия клъстер, просто създавате допълнителни VM и монтирате същия конфигурационен ISO файл, след което регистрирайте възела. Препоръчваме ви да имате поне 3 възела.

По това време резервните VM, които сте създали в Изпълнение на изискванията за хибридна защита на данните , са хостове в режим на готовност, които се използват само в случай на възстановяване след бедствие; те до тогава не са регистрирани в системата. За подробности вижте Възстановяване след бедствие с използване на Standby Data Center.

Преди да започнете

След като започнете да регистрирате възел, трябва да го завършите в рамките на 60 минути, или трябва да започнете отначало.
Погрижете се всички блокери на изскачащите прозорци във вашия браузър да са деактивирани или да разрешите изключение за admin.webex.com.

1	Създайте нова виртуална машина от OVA, като повторите стъпките в Инсталиране на HDS Host OVA.
2	Настройте първоначалната конфигурация на новия VM, като повторите стъпките в Настройване на хибридна защита на данни VM.
3	На новия VM повторете стъпките в Качване и монтиране на ISO на конфигурацията на HDS.
4	Ако настройвате прокси сървър за разполагането си, повторете стъпките в Конфигуриране на възела на HDS за интеграция на прокси сървър , както е необходимо за новия възел.
5	Регистрирайте възела. В https://admin.webex.com изберете Услуги от менюто от лявата страна на екрана. В раздела „Хибридни услуги“ намерете картата „Хибридна защита на данни“ и щракнете върху Ресурси. Показва се страницата с ресурси за хибридна защита на данни. Щракнете върху Добавяне на ресурс. В първото поле изберете името на съществуващия си клъстер. Във второто поле въведете вътрешния IP адрес или напълно квалифицирано име на домейн (FQDN) на вашия възел и щракнете върху Напред. Появява се съобщение, което показва, че можете да регистрирате възела в облака Webex. Щракнете върху Към възел. След няколко секунди ще бъдете пренасочени към тестовете за свързване на възлите за услугите на Webex. Ако всички тестове са успешни, се появява страницата \„Разрешаване на достъп до възел на хибридна защита на данни\“. Там потвърждавате, че искате да дадете разрешения на вашата организация за достъп до вашия възел. Отметнете квадратчето Разрешаване на достъп до вашия възел на хибридна защита на данни и след това щракнете върху Продължи. Вашият акаунт е потвърден и съобщението \„Завършване на регистрацията\“ показва, че възелът вече е регистриран в облака на Webex. Щракнете върху връзката или затворете раздела, за да се върнете към страницата на хибридна защита на данни в Control Hub. Възелът ви е регистриран. Имайте предвид, че докато не започнете пробен период, вашите възли генерират аларма, която показва, че услугата ви все още не е активирана.

Какво да направите след това

Изпълнение на пробен период и преминаване към производство (следваща глава)

Изпълнение на пробен период и преминаване към производство

Пробен в производствен поток на задачи

След като настроите клъстер на хибридна защита на данни, можете да стартирате пилотен проект, да добавите потребители към него и да започнете да го използвате за тестване и проверка на внедряването си в подготовка за преминаване към производство.

Преди да започнете