- Startseite
- /
- Artikel
Danke für Ihr Feedback.
Bereitstellungshandbuch für Multi-Tenant Hybrid Data Security (HDS) (Beta)
In diesem Artikel
Feedback?Neue und geänderte Informationen
Neue und geänderte Informationen
In dieser Tabelle werden neue Funktionen, Änderungen an vorhandenen Inhalten und alle wichtigen Fehler beschrieben, die im Bereitstellungsleitfaden für Multi-Tenant-Hybrid-Datensicherheit behoben wurden.
|
Datum |
Vorgenommenen Änderungen |
|---|---|
|
30. Januar 2025 |
Die SQL-Serverversion 2022 wurde zur Liste der unterstützten SQL-Server unter Anforderungen für Datenbankserver hinzugefügt. |
|
15. Januar 2025 |
Einschränkungen der Multi-Tenant-Hybrid-Datensicherheit hinzugefügt. |
|
08. Januar 2025 |
In Erste Einrichtung durchführen und Installationsdateien herunterladen wurde ein Hinweis hinzugefügt, dass das Klicken auf Einrichten auf der HDS-Karte in Partner Hub ein wichtiger Schritt des Installationsprozesses ist. |
|
07. Januar 2025 |
Aktualisierte Anforderungen für virtuelle Gastgeber, Bereitstellungsaufgaben für Hybrid-Datensicherheit und Installieren der HDS-Host-OVA , um neue Anforderungen von ESXi 7.0 anzuzeigen. |
|
13. Dezember 2024 |
Erste Veröffentlichung. |
Multi-Tenant Hybrid-Datensicherheit deaktivieren
Multi-Tenant-HDS-Deaktivierungsaufgabenablauf
Führen Sie diese Schritte aus, um Multi-Tenant-HDS vollständig zu deaktivieren.
Vorbereitungen
| 1 |
Entfernen Sie alle Kunden aus allen Ihren Clustern, wie unter Mandantenorganisationen entfernen erwähnt. |
| 2 |
Widerrufen Sie die CMKs aller Kunden, wie unter CMKs von Tenants, die aus HDS entfernt wurden erwähnt. |
| 3 |
Entfernen Sie alle Knoten aus all Ihren Clustern, wie unter Einen Knoten entfernen erwähnt. |
| 4 |
Löschen Sie alle Ihre Cluster aus Partner Hub mithilfe einer der folgenden beiden Methoden.
|
| 5 |
Klicken Sie auf der Übersichtsseite zur Hybrid-Datensicherheit auf die Registerkarte Einstellungen und klicken Sie auf der HDS-Statuskarte auf HDS deaktivieren . |
Erste Schritte mit der Multi-Tenant-Hybrid-Datensicherheit
Multi-Tenant Hybrid-Datensicherheit – Übersicht
Vom ersten Tag an stand die Datensicherheit im Mittelpunkt der Entwicklung der Webex-App. Der Eckpfeiler dieser Sicherheit ist die durchgängige Verschlüsselung von Inhalten, die durch die Interaktion der Webex-App-Clients mit dem Schlüsselverwaltungsdienst (Key Management Service, KMS) ermöglicht wird. Der KMS erstellt und verwaltet die Kryptografieschlüssel, mit denen die Clients ihre Nachrichten und Dateien dynamisch ver- und entschlüsseln.
Standardmäßig erhalten alle Webex-App-Kunden eine durchgängige Verschlüsselung mit dynamischen Schlüsseln, die im Cloud-KMS im Sicherheitsbereich von Cisco gespeichert werden. Mit Hybrid Data Security werden KMS und andere Sicherheitsfunktionen in das Rechenzentrum Ihres Unternehmens verschoben, damit die Schlüssel zu ihren verschlüsselten Inhalten ausschließlich bei Ihnen liegen.
Multi-Tenant Hybrid Data Security ermöglicht es Unternehmen, HDS über einen vertrauenswürdigen lokalen Partner zu nutzen, der als Dienstleister fungieren und lokale Verschlüsselungs- und andere Sicherheitsdienste verwalten kann. Diese Einrichtung ermöglicht der Partnerorganisation die vollständige Kontrolle über die Bereitstellung und Verwaltung von Verschlüsselungscodes und stellt sicher, dass die Benutzerdaten von Kundenorganisationen vor externem Zugriff geschützt sind. Partnerorganisationen richten HDS-Instanzen ein und erstellen nach Bedarf HDS-Cluster. Im Gegensatz zu einer normalen HDS-Bereitstellung, die auf eine einzelne Organisation beschränkt ist, kann jede Instanz mehrere Kundenorganisationen unterstützen.
Dadurch können kleinere Organisationen auch HDS nutzen, da Schlüsselverwaltungsdienst und Sicherheitsinfrastruktur wie Rechenzentren im Besitz des vertrauenswürdigen lokalen Partners sind.
So bietet Multi-Tenant Hybrid Data Security Datensouveränität und Datenkontrolle
- Benutzergenerierte Inhalte sind wie Cloud-Dienstanbieter vor externem Zugriff geschützt.
- Vertrauenswürdige Partner vor Ort verwalten die Verschlüsselungscodes von Kunden, mit denen sie bereits eine bestehende Beziehung haben.
- Option für lokalen technischen Support, falls vom Partner bereitgestellt.
- Unterstützt Meeting-, Messaging- und Calling-Inhalte.
Dieses Dokument soll Partnerorganisationen bei der Einrichtung und Verwaltung von Kunden in einem Multi-Tenant-Hybrid-Datensicherheitssystem unterstützen.
Einschränkungen der Multi-Tenant-Hybrid-Datensicherheit
- Partnerorganisationen dürfen keine vorhandene HDS-Bereitstellung in Control Hub aktiv haben.
- Mandanten- oder Kundenorganisationen, die von einem Partner verwaltet werden möchten, dürfen keine vorhandene HDS-Bereitstellung in Control Hub haben.
- Sobald der Partner Multi-Tenant-HDS bereitgestellt hat, können alle Benutzer von Kundenorganisationen sowie Benutzer der Partnerorganisation Multi-Tenant-HDS für ihre Verschlüsselungsdienste nutzen.
Die von ihnen verwaltete Partnerorganisation und Kundenorganisationen werden sich in derselben Multi-Tenant-HDS-Bereitstellung befinden.
Die Partnerorganisation verwendet Cloud-KMS nicht mehr, nachdem Multi-Tenant-HDS bereitgestellt wurde.
- Es gibt keinen Mechanismus, um Schlüssel nach einer HDS-Bereitstellung wieder in das Cloud-KMS zu verschieben.
- Derzeit kann jede Multi-Tenant-HDS-Bereitstellung nur über einen Cluster mit mehreren Knoten verfügen.
- Administratorrollen haben bestimmte Einschränkungen. Weitere Informationen finden Sie im Abschnitt unten.
Rollen in der Multi-Tenant-Hybrid-Datensicherheit
- Partner-Volladministrator – Kann Einstellungen für alle Kunden verwalten, die der Partner verwaltet. Außerdem können Sie bereits vorhandenen Benutzern in der Organisation Administratorrollen zuweisen und bestimmte Kunden für die Verwaltung durch Partneradministratoren zuweisen.
- Partneradministrator – Kann Einstellungen für Kunden verwalten, die der Administrator bereitgestellt hat oder die dem Benutzer zugewiesen wurden.
- Volladministrator – Administrator der Partnerorganisation, der berechtigt ist, Aufgaben auszuführen, z. B. die Änderung von Organisationseinstellungen, die Verwaltung von Lizenzen und das Zuweisen von Rollen.
- Durchgängige Multi-Tenant-HDS-Einrichtung und -Verwaltung aller Kundenorganisationen – Partner-Volladministrator und Volle Administratorrechte erforderlich.
- Verwaltung zugewiesener Mandanten-Organisationen – Partneradministrator und volle Administratorrechte erforderlich.
Sicherheitsbereichsarchitektur
Die Webex-Cloud-Architektur unterteilt verschiedene Arten von Diensten in separate Bereiche oder Vertrauensdomänen, wie unten dargestellt.
Um die Hybrid-Datensicherheit besser zu verstehen, schauen wir uns zunächst diesen reinen Cloud-Fall an, bei dem Cisco alle Funktionen in seinen Cloud-Bereichen bereitstellt. Der Identitätsdienst, der einzige Ort, an dem Benutzer direkt mit ihren persönlichen Informationen in Verbindung gebracht werden können, wie z. B. die E-Mail-Adresse, ist logisch und physisch vom Sicherheitsbereich in Rechenzentrum B getrennt. Er ist wiederum von dem Bereich getrennt, in dem verschlüsselte Inhalte letztendlich gespeichert werden, in Rechenzentrum C.
In diesem Diagramm ist der Client die Webex-App, die auf dem Laptop eines Benutzers ausgeführt wird und sich mit dem Identitätsdienst authentifiziert hat. Wenn der Benutzer eine Nachricht verfasst, die er an einen Bereich senden möchte, finden folgende Schritte statt:
-
Der Client stellt eine sichere Verbindung zum Schlüsselverwaltungsdienst her, und fordert anschließend einen Schlüssel zum Verschlüsseln der Nachricht an. Die sichere Verbindung verwendet ECDH und der Schlüsselverwaltungsdienst verschlüsselt den Schlüssel mit einem AES-256-Hauptschlüssel.
-
Die Nachricht wird verschlüsselt, bevor sie den Client verlässt. Der Client sendet sie an den Indexdienst, der verschlüsselte Suchindizes erstellt, um zukünftige Suchvorgänge nach Inhalten zu unterstützen.
-
Die verschlüsselte Nachricht wird an den Compliancedienst gesendet, damit Complianceprüfungen vorgenommen werden können.
-
Die verschlüsselte Nachricht wird im Speicherbereich abgelegt.
Wenn Sie die Hybrid-Datensicherheit bereitstellen, verschieben Sie die Sicherheitsbereichsfunktionen (KMS, Indexierung und Compliance) in Ihr lokales Rechenzentrum. Die anderen Cloud-Dienste, aus denen Webex besteht (einschließlich Identitätsspeicher und Inhaltsspeicher), verbleiben in den Bereichen von Cisco.
Zusammenarbeit mit anderen Organisationen
Benutzer in Ihrer Organisation können die Webex-App regelmäßig verwenden, um mit externen Teilnehmern in anderen Organisationen zusammenzuarbeiten. Wenn einer Ihrer Benutzer einen Schlüssel für einen Bereich anfordert, der Ihrer Organisation gehört (da er von einem Ihrer Benutzer erstellt wurde) sendet Ihr Schlüsselverwaltungsdienst den Schlüssel über einen mit ECDH gesicherten Kanal an den Client. Wenn eine andere Organisation jedoch den Schlüssel für den Bereich besitzt, leitet Ihr KMS die Anforderung über einen separaten ECDH-Kanal an die Webex-Cloud weiter, um den Schlüssel vom entsprechenden KMS zu erhalten, und gibt den Schlüssel dann an Ihren Benutzer im ursprünglichen Kanal zurück.
Der KMS-Dienst, der unter Organisation A ausgeführt wird, überprüft die Verbindungen zu KMSs in anderen Organisationen mit x.509-PKI-Zertifikaten. Weitere Informationen zur Erzeugung eines x.509-Zertifikats für die Verwendung mit Ihrer Multi-Tenant-Hybrid-Datensicherheitsbereitstellung finden Sie unter Vorbereiten Ihrer Umgebung .
Erwartungen an die Bereitstellung der Hybrid-Datensicherheit
Eine Bereitstellung der Hybrid-Datensicherheit erfordert ein erhebliches Engagement und ein Bewusstsein für die Risiken, die mit dem Besitz von Verschlüsselungscodes einhergehen.
Zur Bereitstellung der Hybrid-Datensicherheit müssen Sie Folgendes bereitstellen:
-
Ein sicheres Rechenzentrum in einem Land, das ein unterstützter Standort für die Cisco Webex Teams-Pläne ist.
-
Geräte, Software und Netzwerkzugriff, die unter Vorbereiten Ihrer Umgebung beschrieben werden.
Der vollständige Verlust der Konfigurations-ISO, die Sie für Hybrid Data Security erstellen, oder der von Ihnen bereitgestellten Datenbank führt zum Verlust der Schlüssel. Der Schlüsselverlust verhindert, dass Benutzer Bereichsinhalte und andere verschlüsselte Daten in der Webex-App entschlüsseln. Falls dies geschieht, können Sie eine neue Bereitstellung erstellen, es werden dabei jedoch nur neue Inhalte angezeigt. Gehen Sie folgendermaßen vor, damit Sie nicht den Zugriff auf die Daten verlieren:
-
Verwalten Sie die Sicherung und Wiederherstellung der Datenbank und die ISO-Konfigurationsdatei.
-
Bereiten Sie sich darauf vor, eine schnelle Notfallwiederherstellung durchzuführen, wenn eine Katastrophe eintritt, z. B. ein Fehler der Datenbank oder ein Absturz des Rechenzentrums.
Es gibt keinen Mechanismus, um Schlüssel nach einer HDS-Bereitstellung zurück in die Cloud zu verschieben.
Übergeordneter Einrichtungsprozess
Dieses Dokument behandelt die Einrichtung und Verwaltung einer Multi-Tenant-Hybrid-Datensicherheitsbereitstellung:
-
Hybrid-Datensicherheit einrichten – Dazu gehört die Vorbereitung der erforderlichen Infrastruktur und die Installation der Hybrid-Datensicherheitssoftware, der Aufbau eines HDS-Clusters, das Hinzufügen von Tenant-Organisationen zum Cluster und die Verwaltung ihrer Customer Main Keys (CMKs). Damit können alle Benutzer Ihrer Kundenorganisationen Ihr Hybrid-Datensicherheitscluster für Sicherheitsfunktionen verwenden.
Die Einrichtungs-, Aktivierungs- und Verwaltungsphase werden in den nächsten drei Kapiteln ausführlich behandelt.
-
Aufrechterhaltung Ihrer Hybrid-Datensicherheitsbereitstellung – Die Webex-Cloud stellt automatisch laufende Upgrades bereit. Ihre IT-Abteilung kann Ebene-1-Support anbieten und bei Bedarf den Cisco-Support hinzuziehen. Sie können Benachrichtigungen auf dem Bildschirm verwenden und E-Mail-basierte Warnungen in Partner Hub einrichten.
-
Allgemeine Warnungen, Schritte zur Fehlerbehebung und bekannte Probleme verstehen: Wenn bei der Bereitstellung oder Verwendung von Hybrid-Datensicherheit Probleme auftreten, können Sie das letzte Kapitel dieses Leitfadens und der Anhang „Bekannte Probleme“ bei der Ermittlung und Behebung des Problems helfen.
Bereitstellungsmodell für die Hybrid-Datensicherheit
Im Rechenzentrum Ihres Unternehmens stellen Sie die hybride Datensicherheit als ein Cluster von Knoten auf separaten virtuellen Hosts bereit. Die Knoten kommunizieren mit der Webex Cloud über sichere Websockets und sicheres HTTP.
Während des Installationsvorgangs stellen wir Ihnen die OVA-Datei bereit, mit der Sie die virtuelle Appliance auf den von Ihnen angegebenen VMs einrichten können. Mit dem HDS-Setuptool erstellen Sie eine benutzerdefinierte ISO-Clusterkonfigurationsdatei, die Sie bei den einzelnen Knoten mounten. Der Hybrid-Datensicherheitscluster verwendet den von Ihnen bereitgestellten Syslogd-Server und die PostgreSQL- oder Microsoft SQL Server-Datenbank. (Sie konfigurieren die Syslogd- und Datenbankverbindungsdetails im HDS Setup Tool.)
Die Mindestanzahl von Knoten in einem Cluster lautet zwei. Wir empfehlen mindestens drei pro Cluster. Die Tatsache, dass mehrere Knoten vorhanden sind, stellt sicher, dass der Dienst während eines Software-Upgrades oder anderer Wartungsaktivitäten auf einem Knoten nicht unterbrochen wird. (Die Webex-Cloud aktualisiert jeweils nur einen Knoten.)
Alle Knoten in einem Cluster greifen auf denselben Schlüsseldatenspeicher zu und sie protokollieren Aktivitäten auf demselben Syslog-Server. Die Knoten selbst besitzen keinen Status und verarbeiten Schlüsselanfragen nach dem Round-Robin-Verfahren, wie von der Cloud vorgegeben.
Knoten werden aktiv, wenn Sie sie in Partner Hub registrieren. Um einen einzelnen Knoten zu deaktivieren, können Sie die Registrierung aufheben und ggf. zu einem späteren Zeitpunkt erneut registrieren.
Standby-Rechenzentrum für die Notfallwiederherstellung
Während der Bereitstellung richten Sie ein sicheres Standby-Rechenzentrum ein. Bei einem Absturz des Rechenzentrums können Sie die Bereitstellung manuell auf das Standby-Rechenzentrum umstellen.
Die Datenbanken der aktiven und Standby-Rechenzentren sind synchronisiert, wodurch die Zeit für die Durchführung des Failovers minimiert wird.
Die aktiven Hybrid-Datensicherheitsknoten müssen sich immer im selben Rechenzentrum wie der aktive Datenbankserver befinden.
Proxy-Support
Die Hybriddatensicherheit unterstützt explizite, transparente Inspektionen und Nichtinspizierungsproxys. Sie können diese Proxys an Ihre Bereitstellung binden, damit Sie den Datenverkehr aus dem Unternehmen heraus in die-Cisco sichern und überwachen können. Sie können eine Netzwerkverwaltung auf den Knoten für Zertifikats-Management verwenden und den Status der gesamten Konnektivität überprüfen, nachdem Sie den Proxy auf den Knoten eingerichtet haben.
Die Hybrid Data Sicherheitshinweis unterstützt die folgenden Proxyoptionen:
-
Kein Proxy: Der Standardwert, wenn Sie nicht die Konfiguration von Vertrauensspeicher und Proxy für die Integration eines Proxys beim Einrichten des HDS-Knotens verwenden. Es ist keine Zertifikatsaktualisierung erforderlich.
-
Transparenter Proxy ohne Prüfung – Die Knoten sind nicht für die Verwendung einer bestimmten Proxyserveradresse konfiguriert und sollten keine Änderungen erfordern, um mit einem Proxy ohne Prüfung zu arbeiten. Es ist keine Zertifikatsaktualisierung erforderlich.
-
Transparentes Tunneln oder Proxyprüfen: Die Knoten sind nicht für die Verwendung einer bestimmten Proxyserveradresse konfiguriert. Es sind keine Änderungen bei der Konfigurationänderung von http oder HTTPS Allerdings benötigen die Knoten eine Stammzertifikat, sodass Sie dem Proxy Vertrauen. Die Inspektion von Proxys wird in der Regel von ihm verwendet, um Strategien durchzusetzen, welche Websites besichtigt werden können und welche Arten von Inhalten nicht zulässig sind. Diese Art von Proxy entschlüsselt den gesamten Datenverkehr (auch HTTPS).
-
Expliziter Proxy: Mit explizitem Proxy teilen Sie den HDS-Knoten mit, welcher Proxyserver und welches Authentifizierungsschema verwendet werden sollen. Um einen expliziten Proxy zu konfigurieren, müssen Sie die folgenden Informationen zu den einzelnen Knoten eingeben:
-
Proxy-IP/FQDN: Adresse, die verwendet werden kann, um die Proxy-Maschine zu erreichen.
-
Proxy-Port: Eine Portnummer, die der Proxy verwendet, um nach proxyem Datenverkehr zu suchen.
-
Proxy-Protokoll: Wählen Sie je nachdem, was Ihr Proxy-Server unterstützt, zwischen den folgenden Protokollen aus:
-
– Und steuert alle Anfragen, die der Client sendet.
-
HTTPS – stellt einen Kanal zum Server bereit. Der Client erhält und prüft das Zertifikat des Servers.
-
-
Authentifizierungstyp: Wählen Sie aus den folgenden Authentifizierungstypen aus:
-
Keine: Es ist keine weitere Authentifizierung erforderlich.
Verfügbar, wenn Sie entweder http oder HTTPS als Proxyprotokoll auswählen.
-
Basic – wird für einen HTTP-Benutzeragenten verwendet, um bei einer Anfrage einen Benutzernamen und ein Kennwort anzugeben. Zertifikatsformat verwendet.
Verfügbar, wenn Sie entweder http oder HTTPS als Proxyprotokoll auswählen.
Hiermit müssen Sie die Benutzername und das Passwort eines jeden Knotens eingeben.
-
Digest – wird verwendet, um das Konto vor dem Senden sensibler Informationen zu bestätigen. Gibt eine Hashfunktion auf die Benutzername und das Passwort ein, bevor Sie über das Netzwerk senden.
Nur verfügbar, wenn Sie HTTPS als Proxyprotokoll auswählen.
Hiermit müssen Sie die Benutzername und das Passwort eines jeden Knotens eingeben.
-
-
Beispiel für hybride Datensicherheitsknoten und Proxy
Dieses Diagramm zeigt eine Beispielverbindung zwischen der Hybriddatensicherheit, dem Netzwerk und einem Proxy. Für die transparente Inspektion und HTTPS explizite Überprüfung der Proxyoptionen müssen dieselben Stammzertifikat auf dem Proxy und auf den Hybriden Datensicherheitsknoten installiert sein.
Externer DNS Auflösungsmodus blockiert (explizite Proxykonfigurationen)
Wenn Sie einen Knoten registrieren oder die Proxykonfiguration des Knotens überprüfen, testet das Verfahren die DNS und die Konnektivität der Cisco WebEx. Bei Bereitstellungen mit expliziten Proxykonfigurationen, die keine externe DNS für interne Clients zulassen, wenn der Knoten die DNS-Server nicht Abfragen kann, geht er automatisch in den gesperrten externen DNS-Server. In diesem Modus können Knotenregistrierungen und andere Proxyverbindungstests fortgeführt werden.
Umgebung vorbereiten
Anforderungen für die Multi-Tenant-Hybrid-Datensicherheit
Cisco Webex-Lizenzanforderungen
So stellen Sie Multi-Tenant Hybrid Data Security bereit:
-
Partnerorganisationen: Wenden Sie sich an Ihren Cisco-Partner oder Account Manager und stellen Sie sicher, dass die Multi-Tenant-Funktion aktiviert ist.
-
Mandantenorganisationen: Sie benötigen Pro Pack für Cisco Webex Control Hub. (Siehe https://www.cisco.com/go/pro-pack.)
Docker Desktop-Anforderungen
Bevor Sie Ihre HDS-Knoten installieren, benötigen Sie Docker Desktop, um ein Setup-Programm auszuführen. Docker hat kürzlich sein Lizenzierungsmodell aktualisiert. Ihre Organisation benötigt möglicherweise ein kostenpflichtiges Abonnement für Docker Desktop. Weitere Informationen finden Sie im Docker-Blog-Post: " Docker aktualisiert und erweitert unsere Produktabonnements".
Anforderungen an das X.509-Zertifikat
Diese Zertifikatskette muss die folgenden Anforderungen erfüllen:
|
Anforderung |
Details |
|---|---|
|
Standardmäßig vertrauen wir den Zertifizierungsstellen in der Mozilla-Liste (mit Ausnahme von WoSign und StartCom) unter https://wiki.mozilla.org/CA:IncludedCAs. |
|
Der CN muss nicht erreichbar und kein Live-Host sein. Wir empfehlen die Verwendung eines Namens, der Ihre Organisation widerspiegelt, z. B. Der CN darf kein * (Platzhalter) enthalten. Der CN wird verwendet, um die Hybrid-Datensicherheitsknoten für Webex-App-Clients zu verifizieren. Alle Hybrid-Datensicherheitsknoten in Ihrem Cluster verwenden das gleiche Zertifikat. Ihr KMS identifiziert sich selbst unter Verwendung der CN-Domäne, nicht einer beliebigen Domäne, die in den x.509v3-SAN-Feldern definiert ist. Nachdem Sie einen Knoten mit diesem Zertifikat registriert haben, kann der CN-Domänenname nicht mehr geändert werden. |
|
Die KMS-Software unterstützt keine SHA1-Signaturen zum Validieren von Verbindungen zu KMS anderer Organisationen. |
|
Sie können das Format Ihres Zertifikats mithilfe einer Konvertierungssoftware wie OpenSSL ändern. Sie müssen das Passwort eingeben, wenn Sie das HDS-Setuptool ausführen. |
Die KMS-Software erzwingt keine Schlüsselnutzung und beschränkt erweiterte Schlüsselnutzung nicht. Einige Zertifizierungsstellen erfordern Beschränkungen einer erweiterten Schlüsselnutzung für jedes Zertifikat, wie z. B. Server-Authentifizierung. Die Server-Authentifizierung oder andere Einstellungen zu verwenden, ist zulässig.
Anforderungen für virtuelle Gastgeber
Die virtuellen Hosts, die Sie als Hybrid-Datensicherheitsknoten in Ihrem Cluster einrichten, haben die folgenden Anforderungen:
-
Mindestens zwei separate Hosts (3 empfohlen) befinden sich im gleichen sicheren Rechenzentrum
-
VMware ESXi 7.0 (oder höher) installiert und ausgeführt.
Sie müssen ein Upgrade durchführen, wenn Sie über eine frühere Version von ESXi verfügen.
-
Mindestens 4 vCPUs, 8 GB Hauptspeicher, 30 GB lokaler Festplattenspeicher pro Server
Datenbankserveranforderungen
Erstellen Sie eine neue Datenbank für die Schlüsselspeicherung. Verwenden Sie nicht die Standarddatenbank. Die HDS-Anwendungen erstellen bei Installation das Datenbankschema.
Für den Datenbankserver gibt es zwei Optionen. Die Anforderungen für jede dieser Komponenten lauten wie folgt:
|
PostgreSQL |
Microsoft SQL-Server |
|---|---|
|
|
|
Mindestens 8 vCPUs, 16 GB Hauptspeicher, ausreichend Festplattenkapazität und Überwachung zur Sicherstellung, dass dieser nicht überschritten wird (2 TB empfohlen, falls die Datenbank über längere Zeit ohne Erweiterung der Festplattenkapazität ausgeführt werden soll) |
Mindestens 8 vCPUs, 16 GB Hauptspeicher, ausreichend Festplattenkapazität und Überwachung zur Sicherstellung, dass dieser nicht überschritten wird (2 TB empfohlen, falls die Datenbank über längere Zeit ohne Erweiterung der Festplattenkapazität ausgeführt werden soll) |
Die HDS-Software installiert derzeit die folgenden Treiberversionen für die Kommunikation mit dem Datenbankserver:
|
PostgreSQL |
Microsoft SQL-Server |
|---|---|
|
Der Treiber Postgres JDBC 42.2.5 |
SQL Server JDBC-Treiber 4.6 Diese Treiberversion unterstützt SQL Server Always On (Always On Failover Cluster Instances und Always On-Verfügbarkeitsgruppen). |
Zusätzliche Anforderungen für die Windows-Authentifizierung gegen Microsoft SQL Server
Wenn Sie möchten, dass HDS-Knoten die Windows-Authentifizierung verwenden, um Zugriff auf Ihre Keystore-Datenbank auf Microsoft SQL Server zu erhalten, benötigen Sie die folgende Konfiguration in Ihrer Umgebung:
-
Die HDS-Knoten, die Active Directory-Infrastruktur und der MS SQL Server müssen alle mit dem NTP synchronisiert werden.
-
Das Windows-Konto, das Sie auf HDS-Knoten bereitstellen, muss Lese-/Schreibzugriff auf die Datenbank haben.
-
Die DNS-Server, die Sie für HDS-Knoten bereitstellen, müssen in der Lage sein, Ihr Key Distribution Center (KDC) aufzulösen.
-
Sie können die HDS-Datenbankinstanz auf Ihrem Microsoft SQL Server als Service Principal Name (SPN) in Ihrem Active Directory registrieren. Siehe Registrieren eines Dienstprinzipalnamens für Kerberos-Verbindungen.
Das HDS-Setup-Tool, der HDS-Launcher und das lokale KMS müssen für den Zugriff auf die Keystore-Datenbank die Windows-Authentifizierung verwenden. Sie verwenden die Details aus Ihrer ISO-Konfiguration, um die SPN zu konstruieren, wenn sie den Zugriff mit der Kerberos-Authentifizierung anfordern.
Anforderungen an externe Konnektivität
Konfigurieren Sie Ihre Firewall so, dass die folgende Konnektivität für die HDS-Anwendungen zugelassen ist:
|
Anwendung |
Protokoll |
Port |
Richtung von der App |
Ziel |
|---|---|---|---|---|
|
Hybrid-Datensicherheitsknoten |
TCP |
443 |
Ausgehend HTTPS und WSS |
|
|
HDS-Einrichtungstool |
TCP |
443 |
Ausgehendes HTTPS |
|
Die Hybrid-Datensicherheitsknoten funktionieren mit NAT (Network Access Translation) oder hinter einer Firewall, solange NAT oder Firewall die erforderlichen ausgehenden Verbindungen zu den in der vorangehenden Tabelle aufgeführten Domänenzielen zulässt. Für eingehende Verbindungen zu den Hybrid-Datensicherheitsknoten sollten keine Ports aus dem Internet sichtbar sein. In Ihrem Rechenzentrum benötigen Clients aus administrativen Gründen Zugriff auf die Hybrid-Datensicherheitsknoten auf den TCP-Ports 443 und 22.
Die URLs für die CI-Hosts (Common Identity) sind regionsspezifisch. Dies sind die aktuellen CI-Hosts:
|
Region |
Host-URLs der allgemeinen Identität |
|---|---|
|
Amerika |
|
|
Europäische Union |
|
|
Kanada |
|
| Singapur |
|
| Vereinigte Arabische Emirate |
|
Vorgaben für Proxy-Server
-
Wir unterstützen offiziell die folgenden Proxylösungen, die in ihre Hybriden Sicherheitsknoten integriert werden können.
-
Transparenter Proxy – Cisco Web Sicherheitsgerät (WSA).
-
Explizite –.
Squid-Proxys, die den HTTPS-Datenverkehr untersuchen, können die Einrichtung von Websocket-Verbindungen (wss:) beeinträchtigen. Informationen zur Behebung dieses Problems finden Sie unter Konfigurieren von Squid-Proxys für Hybrid-Datensicherheit.
-
-
Wir unterstützen die folgenden Authentifizierungskombinationen für explizite Proxys:
-
Keine Authentifizierung mit http oder HTTPS
-
Grundlegende Authentifizierung mit http oder HTTPS
-
Verdauungsauthentifizierung nur mit HTTPS
-
-
Um einen transparenten Proxy oder einen HTTPS expliziten Proxy zu erhalten, müssen Sie eine Kopie des Stammzertifikat des Stellvertreters besitzen. Die Bereitstellungsanweisungen in diesem Handbuch zeigen Ihnen, wie Sie die Kopie in die Vertrauensspeicher der Hybriden Datensicherheitsknoten hochladen können.
-
Das Netzwerk, das die HDS Nodes hostet, muss so konfiguriert sein, dass es den ausgehenden TCP Traffic auf Port 443 durch den Proxy zwingt
-
Proxys, die den Webverkehr inspizieren, können die Websteckverbindung beeinträchtigen. Wenn dieses Problem auftritt, wird das Problem durch Umgehung des Datenverkehrs zu
wbx2.comundciscospark.comgelöst.
Erfüllen der Voraussetzungen für die Hybrid-Datensicherheit
| 1 |
Stellen Sie sicher, dass Ihre Partnerorganisation die Multi-Tenant-HDS-Funktion aktiviert hat, und sichern Sie sich die Anmeldeinformationen für ein Konto mit vollen Partneradministratorrechten und vollen Administratorrechten. Stellen Sie sicher, dass Ihre Webex-Kundenorganisation für Pro Pack für Cisco Webex Control Hub aktiviert ist. Wenden Sie sich an Ihren Cisco-Partner oder an Ihren Account Manager, falls Sie Hilfe bei diesem Verfahren benötigen. Kundenorganisationen sollten keine vorhandene HDS-Bereitstellung haben. |
| 2 |
Wählen Sie einen Domänennamen für Ihre HDS-Bereitstellung (z. B. |
| 3 |
Bereiten Sie identische virtuelle Hosts vor, die Sie als Hybrid-Datensicherheitsknoten in Ihrem Cluster einrichten werden. Sie benötigen mindestens zwei separate Hosts (3 empfohlen), die sich im selben sicheren Rechenzentrum befinden und die Anforderungen unter Anforderungen für virtuelle Hosts erfüllen. |
| 4 |
Bereiten Sie den Datenbankserver vor, der als Schlüsseldatenspeicher für den Cluster dient, gemäß den Anforderungen für den Datenbankserver. Der Datenbankserver muss sich im sicheren Rechenzentrum mit den virtuellen Hosts befinden. |
| 5 |
Richten Sie für eine schnelle Notfallwiederherstellung eine Backup-Umgebung in einem anderen Rechenzentrum ein. Die Backup-Umgebung spiegelt die Produktionsumgebung von VMs und eines Backup-Datenbankservers wider. Wenn beispielsweise in der Produktion 3 VMs HDS-Knoten ausführen, sollte die Backup-Umgebung 3 VMs haben. |
| 6 |
Richten Sie einen syslog-Host ein, um Protokolle aus den Knoten im Cluster zu sammeln. Dokumentieren Sie dessen Netzwerkadresse und syslog-Port (Standard ist UDP 514). |
| 7 |
Erstellen Sie eine sichere Backup-Richtlinie für die Hybrid-Datensicherheitsknoten, den Datenbankserver und den Syslog-Host. Um einen nicht behebbaren Datenverlust zu vermeiden, müssen Sie mindestens die Datenbank und die für die Hybrid-Datensicherheitsknoten generierte Konfigurations-ISO-Datei sichern. Da auf den Hybrid-Datensicherheitsknoten die für die Ver- und Entschlüsselung von Inhalten verwendeten Schlüssel gespeichert werden, führt das Versäumnis, eine betriebliche Bereitstellung aufrechtzuerhalten, zum NICHT BEHEBBAREN VERLUST dieser Inhalte. Webex-App-Clients speichern ihre Schlüssel im Zwischenspeicher, sodass ein Ausfall möglicherweise nicht sofort spürbar ist, aber mit der Zeit offensichtlich wird. Vorübergehende Ausfälle sind unvermeidlich, aber behebbar. Bei einem vollständigen Verlust (keine Backups verfügbar) entweder der Datenbank oder der ISO-Konfigurationsdatei gehen jedoch Kundendaten unwiederbringlich verloren. Von den Betreibern der Hybrid-Datensicherheitsknoten wird erwartet, dass sie häufige Sicherungen der Datenbank und der Konfigurations-ISO-Datei erstellen und im Falle eines katastrophalen Ausfalls das Rechenzentrum für die Hybrid-Datensicherheit neu erstellen. |
| 8 |
Stellen Sie sicher, dass Ihre Firewall-Konfiguration eine Verbindung für Ihre Hybrid-Datensicherheitsknoten ermöglicht, wie unter Externe Verbindungsanforderungen beschrieben. |
| 9 |
Installieren Sie Docker ( https://www.docker.com) auf jedem lokalen Computer, auf dem ein unterstütztes Betriebssystem ausgeführt wird (Microsoft Windows 10 Professional, Enterprise 64-Bit oder Mac OSX Yosemite 10.10.3 oder höher) und ein Webbrowser, der unter http://127.0.0.1:8080. darauf zugreifen kann. Mit der Docker-Instanz können Sie das HDS Setup Tool herunterladen und ausführen, das die lokalen Konfigurationsinformationen für alle Hybrid-Datensicherheitsknoten erstellt. Möglicherweise benötigen Sie eine Docker Desktop-Lizenz. Weitere Informationen finden Sie unter Anforderungen für Docker Desktop . Um das HDS Setup Tool zu installieren und auszuführen, muss der lokale Computer über die unter Anforderungen an externe Konnektivität beschriebenen Konnektivität verfügen. |
| 10 |
Wenn Sie einen Proxy mit Hybrid Data Security integrieren, stellen Sie sicher, dass er die Anforderungen für den Proxy-Server erfüllt. |
Neue und geänderte Informationen
Neue und geänderte Informationen
In dieser Tabelle werden neue Funktionen, Änderungen an vorhandenen Inhalten und alle wichtigen Fehler beschrieben, die im Bereitstellungsleitfaden für Multi-Tenant-Hybrid-Datensicherheit behoben wurden.
|
Datum |
Vorgenommenen Änderungen |
|---|---|
|
13. Dezember 2024 |
Erste Version. |
Multi-Tenant Hybrid-Datensicherheit deaktivieren
Multi-Tenant-HDS-Deaktivierungsaufgabenablauf
Führen Sie diese Schritte aus, um Multi-Tenant-HDS vollständig zu deaktivieren.
Vorbereitungen
| 1 |
Entfernen Sie alle Kunden aus allen Ihren Clustern, wie unter Mandantenorganisationen entfernen erwähnt. |
| 2 |
Widerrufen Sie die CMKs aller Kunden, wie unter CMKs von Tenants, die aus HDS entfernt wurden erwähnt. |
| 3 |
Entfernen Sie alle Knoten aus all Ihren Clustern, wie unter Einen Knoten entfernen erwähnt. |
| 4 |
Löschen Sie alle Ihre Cluster aus Partner Hub mithilfe einer der folgenden beiden Methoden.
|
| 5 |
Klicken Sie auf der Übersichtsseite zur Hybrid-Datensicherheit auf die Registerkarte Einstellungen und klicken Sie auf der HDS-Statuskarte auf HDS deaktivieren . |
Erste Schritte mit der Multi-Tenant-Hybrid-Datensicherheit
Multi-Tenant Hybrid-Datensicherheit – Übersicht
Vom ersten Tag an stand die Datensicherheit im Mittelpunkt der Entwicklung der Webex-App. Der Eckpfeiler dieser Sicherheit ist die durchgängige Verschlüsselung von Inhalten, die durch die Interaktion der Webex-App-Clients mit dem Schlüsselverwaltungsdienst (Key Management Service, KMS) ermöglicht wird. Der KMS erstellt und verwaltet die Kryptografieschlüssel, mit denen die Clients ihre Nachrichten und Dateien dynamisch ver- und entschlüsseln.
Standardmäßig erhalten alle Webex-App-Kunden eine durchgängige Verschlüsselung mit dynamischen Schlüsseln, die im Cloud-KMS im Sicherheitsbereich von Cisco gespeichert werden. Mit Hybrid Data Security werden KMS und andere Sicherheitsfunktionen in das Rechenzentrum Ihres Unternehmens verschoben, damit die Schlüssel zu ihren verschlüsselten Inhalten ausschließlich bei Ihnen liegen.
Multi-Tenant Hybrid Data Security ermöglicht es Unternehmen, HDS über einen vertrauenswürdigen lokalen Partner zu nutzen, der als Dienstleister fungieren und lokale Verschlüsselungs- und andere Sicherheitsdienste verwalten kann. Diese Einrichtung ermöglicht der Partnerorganisation die vollständige Kontrolle über die Bereitstellung und Verwaltung von Verschlüsselungscodes und stellt sicher, dass die Benutzerdaten von Kundenorganisationen vor externem Zugriff geschützt sind. Partnerorganisationen richten HDS-Instanzen ein und erstellen nach Bedarf HDS-Cluster. Im Gegensatz zu einer normalen HDS-Bereitstellung, die auf eine einzelne Organisation beschränkt ist, kann jede Instanz mehrere Kundenorganisationen unterstützen.
Dadurch können kleinere Organisationen auch HDS nutzen, da Schlüsselverwaltungsdienst und Sicherheitsinfrastruktur wie Rechenzentren im Besitz des vertrauenswürdigen lokalen Partners sind.
So bietet Multi-Tenant Hybrid Data Security Datensouveränität und Datenkontrolle
- Benutzergenerierte Inhalte sind wie Cloud-Dienstanbieter vor externem Zugriff geschützt.
- Vertrauenswürdige Partner vor Ort verwalten die Verschlüsselungscodes von Kunden, mit denen sie bereits eine bestehende Beziehung haben.
- Option für lokalen technischen Support, falls vom Partner bereitgestellt.
- Unterstützt Meeting-, Messaging- und Calling-Inhalte.
Dieses Dokument soll Partnerorganisationen bei der Einrichtung und Verwaltung von Kunden in einem Multi-Tenant-Hybrid-Datensicherheitssystem unterstützen.
Rollen in der Multi-Tenant-Hybrid-Datensicherheit
- Partner-Volladministrator – Kann Einstellungen für alle Kunden verwalten, die der Partner verwaltet. Außerdem können Sie bereits vorhandenen Benutzern in der Organisation Administratorrollen zuweisen und bestimmte Kunden für die Verwaltung durch Partneradministratoren zuweisen.
- Partneradministrator – Kann Einstellungen für Kunden verwalten, die der Administrator bereitgestellt hat oder die dem Benutzer zugewiesen wurden.
- Volladministrator – Administrator der Partnerorganisation, der berechtigt ist, Aufgaben auszuführen, z. B. die Änderung von Organisationseinstellungen, die Verwaltung von Lizenzen und das Zuweisen von Rollen.
- Durchgängige Multi-Tenant-HDS-Einrichtung und -Verwaltung aller Kundenorganisationen – Partner-Volladministrator und Volle Administratorrechte erforderlich.
- Verwaltung zugewiesener Mandanten-Organisationen – Partneradministrator und volle Administratorrechte erforderlich.
Sicherheitsbereichsarchitektur
Die Webex-Cloud-Architektur unterteilt verschiedene Arten von Diensten in separate Bereiche oder Vertrauensdomänen, wie unten dargestellt.
Um die Hybrid-Datensicherheit besser zu verstehen, schauen wir uns zunächst diesen reinen Cloud-Fall an, bei dem Cisco alle Funktionen in seinen Cloud-Bereichen bereitstellt. Der Identitätsdienst, der einzige Ort, an dem Benutzer direkt mit ihren persönlichen Informationen in Verbindung gebracht werden können, wie z. B. die E-Mail-Adresse, ist logisch und physisch vom Sicherheitsbereich in Rechenzentrum B getrennt. Er ist wiederum von dem Bereich getrennt, in dem verschlüsselte Inhalte letztendlich gespeichert werden, in Rechenzentrum C.
In diesem Diagramm ist der Client die Webex-App, die auf dem Laptop eines Benutzers ausgeführt wird und sich mit dem Identitätsdienst authentifiziert hat. Wenn der Benutzer eine Nachricht verfasst, die er an einen Bereich senden möchte, finden folgende Schritte statt:
-
Der Client stellt eine sichere Verbindung zum Schlüsselverwaltungsdienst her, und fordert anschließend einen Schlüssel zum Verschlüsseln der Nachricht an. Die sichere Verbindung verwendet ECDH und der Schlüsselverwaltungsdienst verschlüsselt den Schlüssel mit einem AES-256-Hauptschlüssel.
-
Die Nachricht wird verschlüsselt, bevor sie den Client verlässt. Der Client sendet sie an den Indexdienst, der verschlüsselte Suchindizes erstellt, um zukünftige Suchvorgänge nach Inhalten zu unterstützen.
-
Die verschlüsselte Nachricht wird an den Compliancedienst gesendet, damit Complianceprüfungen vorgenommen werden können.
-
Die verschlüsselte Nachricht wird im Speicherbereich abgelegt.
Wenn Sie die Hybrid-Datensicherheit bereitstellen, verschieben Sie die Sicherheitsbereichsfunktionen (KMS, Indexierung und Compliance) in Ihr lokales Rechenzentrum. Die anderen Cloud-Dienste, aus denen Webex besteht (einschließlich Identitätsspeicher und Inhaltsspeicher), verbleiben in den Bereichen von Cisco.
Zusammenarbeit mit anderen Organisationen
Benutzer in Ihrer Organisation können die Webex-App regelmäßig verwenden, um mit externen Teilnehmern in anderen Organisationen zusammenzuarbeiten. Wenn einer Ihrer Benutzer einen Schlüssel für einen Bereich anfordert, der Ihrer Organisation gehört (da er von einem Ihrer Benutzer erstellt wurde) sendet Ihr Schlüsselverwaltungsdienst den Schlüssel über einen mit ECDH gesicherten Kanal an den Client. Wenn eine andere Organisation jedoch den Schlüssel für den Bereich besitzt, leitet Ihr KMS die Anforderung über einen separaten ECDH-Kanal an die Webex-Cloud weiter, um den Schlüssel vom entsprechenden KMS zu erhalten, und gibt den Schlüssel dann an Ihren Benutzer im ursprünglichen Kanal zurück.
Der KMS-Dienst, der unter Organisation A ausgeführt wird, überprüft die Verbindungen zu KMSs in anderen Organisationen mit x.509-PKI-Zertifikaten. Weitere Informationen zur Erzeugung eines x.509-Zertifikats für die Verwendung mit Ihrer Multi-Tenant-Hybrid-Datensicherheitsbereitstellung finden Sie unter Vorbereiten Ihrer Umgebung .
Erwartungen an die Bereitstellung der Hybrid-Datensicherheit
Eine Bereitstellung der Hybrid-Datensicherheit erfordert ein erhebliches Engagement und ein Bewusstsein für die Risiken, die mit dem Besitz von Verschlüsselungscodes einhergehen.
Zur Bereitstellung der Hybrid-Datensicherheit müssen Sie Folgendes bereitstellen:
-
Ein sicheres Rechenzentrum in einem Land, das ein unterstützter Standort für die Cisco Webex Teams-Pläne ist.
-
Geräte, Software und Netzwerkzugriff, die unter Vorbereiten Ihrer Umgebung beschrieben werden.
Der vollständige Verlust der Konfigurations-ISO, die Sie für Hybrid Data Security erstellen, oder der von Ihnen bereitgestellten Datenbank führt zum Verlust der Schlüssel. Der Schlüsselverlust verhindert, dass Benutzer Bereichsinhalte und andere verschlüsselte Daten in der Webex-App entschlüsseln. Falls dies geschieht, können Sie eine neue Bereitstellung erstellen, es werden dabei jedoch nur neue Inhalte angezeigt. Gehen Sie folgendermaßen vor, damit Sie nicht den Zugriff auf die Daten verlieren:
-
Verwalten Sie die Sicherung und Wiederherstellung der Datenbank und die ISO-Konfigurationsdatei.
-
Bereiten Sie sich darauf vor, eine schnelle Notfallwiederherstellung durchzuführen, wenn eine Katastrophe eintritt, z. B. ein Fehler der Datenbank oder ein Absturz des Rechenzentrums.
Es gibt keinen Mechanismus, um Schlüssel nach einer HDS-Bereitstellung zurück in die Cloud zu verschieben.
Übergeordneter Einrichtungsprozess
Dieses Dokument behandelt die Einrichtung und Verwaltung einer Multi-Tenant-Hybrid-Datensicherheitsbereitstellung:
-
Hybrid-Datensicherheit einrichten – Dazu gehört die Vorbereitung der erforderlichen Infrastruktur und die Installation der Hybrid-Datensicherheitssoftware, der Aufbau eines HDS-Clusters, das Hinzufügen von Tenant-Organisationen zum Cluster und die Verwaltung ihrer Customer Main Keys (CMKs). Damit können alle Benutzer Ihrer Kundenorganisationen Ihr Hybrid-Datensicherheitscluster für Sicherheitsfunktionen verwenden.
Die Einrichtungs-, Aktivierungs- und Verwaltungsphase werden in den nächsten drei Kapiteln ausführlich behandelt.
-
Aufrechterhaltung Ihrer Hybrid-Datensicherheitsbereitstellung – Die Webex-Cloud stellt automatisch laufende Upgrades bereit. Ihre IT-Abteilung kann Ebene-1-Support anbieten und bei Bedarf den Cisco-Support hinzuziehen. Sie können Benachrichtigungen auf dem Bildschirm verwenden und E-Mail-basierte Warnungen in Partner Hub einrichten.
-
Allgemeine Warnungen, Schritte zur Fehlerbehebung und bekannte Probleme verstehen: Wenn bei der Bereitstellung oder Verwendung von Hybrid-Datensicherheit Probleme auftreten, können Sie das letzte Kapitel dieses Leitfadens und der Anhang „Bekannte Probleme“ bei der Ermittlung und Behebung des Problems helfen.
Bereitstellungsmodell für die Hybrid-Datensicherheit
Im Rechenzentrum Ihres Unternehmens stellen Sie die hybride Datensicherheit als ein Cluster von Knoten auf separaten virtuellen Hosts bereit. Die Knoten kommunizieren mit der Webex Cloud über sichere Websockets und sicheres HTTP.
Während des Installationsvorgangs stellen wir Ihnen die OVA-Datei bereit, mit der Sie die virtuelle Appliance auf den von Ihnen angegebenen VMs einrichten können. Mit dem HDS-Setuptool erstellen Sie eine benutzerdefinierte ISO-Clusterkonfigurationsdatei, die Sie bei den einzelnen Knoten mounten. Der Hybrid-Datensicherheitscluster verwendet den von Ihnen bereitgestellten Syslogd-Server und die PostgreSQL- oder Microsoft SQL Server-Datenbank. (Sie konfigurieren die Syslogd- und Datenbankverbindungsdetails im HDS Setup Tool.)
Die Mindestanzahl von Knoten in einem Cluster lautet zwei. Wir empfehlen mindestens drei pro Cluster. Die Tatsache, dass mehrere Knoten vorhanden sind, stellt sicher, dass der Dienst während eines Software-Upgrades oder anderer Wartungsaktivitäten auf einem Knoten nicht unterbrochen wird. (Die Webex-Cloud aktualisiert jeweils nur einen Knoten.)
Alle Knoten in einem Cluster greifen auf denselben Schlüsseldatenspeicher zu und sie protokollieren Aktivitäten auf demselben Syslog-Server. Die Knoten selbst besitzen keinen Status und verarbeiten Schlüsselanfragen nach dem Round-Robin-Verfahren, wie von der Cloud vorgegeben.
Knoten werden aktiv, wenn Sie sie in Partner Hub registrieren. Um einen einzelnen Knoten zu deaktivieren, können Sie die Registrierung aufheben und ggf. zu einem späteren Zeitpunkt erneut registrieren.
Standby-Rechenzentrum für die Notfallwiederherstellung
Während der Bereitstellung richten Sie ein sicheres Standby-Rechenzentrum ein. Bei einem Absturz des Rechenzentrums können Sie die Bereitstellung manuell auf das Standby-Rechenzentrum umstellen.
Die Datenbanken der aktiven und Standby-Rechenzentren sind synchronisiert, wodurch die Zeit für die Durchführung des Failovers minimiert wird.
Die aktiven Hybrid-Datensicherheitsknoten müssen sich immer im selben Rechenzentrum wie der aktive Datenbankserver befinden.
Proxy-Support
Die Hybriddatensicherheit unterstützt explizite, transparente Inspektionen und Nichtinspizierungsproxys. Sie können diese Proxys an Ihre Bereitstellung binden, damit Sie den Datenverkehr aus dem Unternehmen heraus in die-Cisco sichern und überwachen können. Sie können eine Netzwerkverwaltung auf den Knoten für Zertifikats-Management verwenden und den Status der gesamten Konnektivität überprüfen, nachdem Sie den Proxy auf den Knoten eingerichtet haben.
Die Hybrid Data Sicherheitshinweis unterstützt die folgenden Proxyoptionen:
-
Kein Proxy: Der Standardwert, wenn Sie nicht die Konfiguration von Vertrauensspeicher und Proxy für die Integration eines Proxys beim Einrichten des HDS-Knotens verwenden. Es ist keine Zertifikatsaktualisierung erforderlich.
-
Transparenter Proxy ohne Prüfung – Die Knoten sind nicht für die Verwendung einer bestimmten Proxyserveradresse konfiguriert und sollten keine Änderungen erfordern, um mit einem Proxy ohne Prüfung zu arbeiten. Es ist keine Zertifikatsaktualisierung erforderlich.
-
Transparentes Tunneln oder Proxyprüfen: Die Knoten sind nicht für die Verwendung einer bestimmten Proxyserveradresse konfiguriert. Es sind keine Änderungen bei der Konfigurationänderung von http oder HTTPS Allerdings benötigen die Knoten eine Stammzertifikat, sodass Sie dem Proxy Vertrauen. Die Inspektion von Proxys wird in der Regel von ihm verwendet, um Strategien durchzusetzen, welche Websites besichtigt werden können und welche Arten von Inhalten nicht zulässig sind. Diese Art von Proxy entschlüsselt den gesamten Datenverkehr (auch HTTPS).
-
Expliziter Proxy: Mit explizitem Proxy teilen Sie den HDS-Knoten mit, welcher Proxyserver und welches Authentifizierungsschema verwendet werden sollen. Um einen expliziten Proxy zu konfigurieren, müssen Sie die folgenden Informationen zu den einzelnen Knoten eingeben:
-
Proxy-IP/FQDN: Adresse, die verwendet werden kann, um die Proxy-Maschine zu erreichen.
-
Proxy-Port: Eine Portnummer, die der Proxy verwendet, um nach proxyem Datenverkehr zu suchen.
-
Proxy-Protokoll: Wählen Sie je nachdem, was Ihr Proxy-Server unterstützt, zwischen den folgenden Protokollen aus:
-
– Und steuert alle Anfragen, die der Client sendet.
-
HTTPS – stellt einen Kanal zum Server bereit. Der Client erhält und prüft das Zertifikat des Servers.
-
-
Authentifizierungstyp: Wählen Sie aus den folgenden Authentifizierungstypen aus:
-
Keine: Es ist keine weitere Authentifizierung erforderlich.
Verfügbar, wenn Sie entweder http oder HTTPS als Proxyprotokoll auswählen.
-
Basic – wird für einen HTTP-Benutzeragenten verwendet, um bei einer Anfrage einen Benutzernamen und ein Kennwort anzugeben. Zertifikatsformat verwendet.
Verfügbar, wenn Sie entweder http oder HTTPS als Proxyprotokoll auswählen.
Hiermit müssen Sie die Benutzername und das Passwort eines jeden Knotens eingeben.
-
Digest – wird verwendet, um das Konto vor dem Senden sensibler Informationen zu bestätigen. Gibt eine Hashfunktion auf die Benutzername und das Passwort ein, bevor Sie über das Netzwerk senden.
Nur verfügbar, wenn Sie HTTPS als Proxyprotokoll auswählen.
Hiermit müssen Sie die Benutzername und das Passwort eines jeden Knotens eingeben.
-
-
Beispiel für hybride Datensicherheitsknoten und Proxy
Dieses Diagramm zeigt eine Beispielverbindung zwischen der Hybriddatensicherheit, dem Netzwerk und einem Proxy. Für die transparente Inspektion und HTTPS explizite Überprüfung der Proxyoptionen müssen dieselben Stammzertifikat auf dem Proxy und auf den Hybriden Datensicherheitsknoten installiert sein.
Externer DNS Auflösungsmodus blockiert (explizite Proxykonfigurationen)
Wenn Sie einen Knoten registrieren oder die Proxykonfiguration des Knotens überprüfen, testet das Verfahren die DNS und die Konnektivität der Cisco WebEx. Bei Bereitstellungen mit expliziten Proxykonfigurationen, die keine externe DNS für interne Clients zulassen, wenn der Knoten die DNS-Server nicht Abfragen kann, geht er automatisch in den gesperrten externen DNS-Server. In diesem Modus können Knotenregistrierungen und andere Proxyverbindungstests fortgeführt werden.
Umgebung vorbereiten
Anforderungen für die Multi-Tenant-Hybrid-Datensicherheit
Cisco Webex-Lizenzanforderungen
So stellen Sie Multi-Tenant Hybrid Data Security bereit:
-
Partnerorganisationen: Wenden Sie sich an Ihren Cisco-Partner oder Account Manager und stellen Sie sicher, dass die Multi-Tenant-Funktion aktiviert ist.
-
Mandantenorganisationen: Sie benötigen Pro Pack für Cisco Webex Control Hub. (Siehe https://www.cisco.com/go/pro-pack.)
Docker Desktop-Anforderungen
Bevor Sie Ihre HDS-Knoten installieren, benötigen Sie Docker Desktop, um ein Setup-Programm auszuführen. Docker hat kürzlich sein Lizenzierungsmodell aktualisiert. Ihre Organisation benötigt möglicherweise ein kostenpflichtiges Abonnement für Docker Desktop. Weitere Informationen finden Sie im Docker-Blog-Post: " Docker aktualisiert und erweitert unsere Produktabonnements".
Anforderungen an das X.509-Zertifikat
Diese Zertifikatskette muss die folgenden Anforderungen erfüllen:
|
Anforderung |
Details |
|---|---|
|
Standardmäßig vertrauen wir den Zertifizierungsstellen in der Mozilla-Liste (mit Ausnahme von WoSign und StartCom) unter https://wiki.mozilla.org/CA:IncludedCAs. |
|
Der CN muss nicht erreichbar und kein Live-Host sein. Wir empfehlen die Verwendung eines Namens, der Ihre Organisation widerspiegelt, z. B. Der CN darf kein * (Platzhalter) enthalten. Der CN wird verwendet, um die Hybrid-Datensicherheitsknoten für Webex-App-Clients zu verifizieren. Alle Hybrid-Datensicherheitsknoten in Ihrem Cluster verwenden das gleiche Zertifikat. Ihr KMS identifiziert sich selbst unter Verwendung der CN-Domäne, nicht einer beliebigen Domäne, die in den x.509v3-SAN-Feldern definiert ist. Nachdem Sie einen Knoten mit diesem Zertifikat registriert haben, kann der CN-Domänenname nicht mehr geändert werden. |
|
Die KMS-Software unterstützt keine SHA1-Signaturen zum Validieren von Verbindungen zu KMS anderer Organisationen. |
|
Sie können das Format Ihres Zertifikats mithilfe einer Konvertierungssoftware wie OpenSSL ändern. Sie müssen das Passwort eingeben, wenn Sie das HDS-Setuptool ausführen. |
Die KMS-Software erzwingt keine Schlüsselnutzung und beschränkt erweiterte Schlüsselnutzung nicht. Einige Zertifizierungsstellen erfordern Beschränkungen einer erweiterten Schlüsselnutzung für jedes Zertifikat, wie z. B. Server-Authentifizierung. Die Server-Authentifizierung oder andere Einstellungen zu verwenden, ist zulässig.
Anforderungen für virtuelle Gastgeber
Die virtuellen Hosts, die Sie als Hybrid-Datensicherheitsknoten in Ihrem Cluster einrichten, haben die folgenden Anforderungen:
-
Mindestens zwei separate Hosts (3 empfohlen) befinden sich im gleichen sicheren Rechenzentrum
-
VMware ESXi 6.5 (oder höher) installiert und ausgeführt.
Sie müssen ein Upgrade durchführen, wenn Sie über eine frühere Version von ESXi verfügen.
-
Mindestens 4 vCPUs, 8 GB Hauptspeicher, 30 GB lokaler Festplattenspeicher pro Server
Datenbankserveranforderungen
Erstellen Sie eine neue Datenbank für die Schlüsselspeicherung. Verwenden Sie nicht die Standarddatenbank. Die HDS-Anwendungen erstellen bei Installation das Datenbankschema.
Für den Datenbankserver gibt es zwei Optionen. Die Anforderungen für jede dieser Komponenten lauten wie folgt:
|
PostgreSQL |
Microsoft SQL-Server |
|---|---|
|
|
|
Mindestens 8 vCPUs, 16 GB Hauptspeicher, ausreichend Festplattenkapazität und Überwachung zur Sicherstellung, dass dieser nicht überschritten wird (2 TB empfohlen, falls die Datenbank über längere Zeit ohne Erweiterung der Festplattenkapazität ausgeführt werden soll) |
Mindestens 8 vCPUs, 16 GB Hauptspeicher, ausreichend Festplattenkapazität und Überwachung zur Sicherstellung, dass dieser nicht überschritten wird (2 TB empfohlen, falls die Datenbank über längere Zeit ohne Erweiterung der Festplattenkapazität ausgeführt werden soll) |
Die HDS-Software installiert derzeit die folgenden Treiberversionen für die Kommunikation mit dem Datenbankserver:
|
PostgreSQL |
Microsoft SQL-Server |
|---|---|
|
Der Treiber Postgres JDBC 42.2.5 |
SQL Server JDBC-Treiber 4.6 Diese Treiberversion unterstützt SQL Server Always On (Always On Failover Cluster Instances und Always On-Verfügbarkeitsgruppen). |
Zusätzliche Anforderungen für die Windows-Authentifizierung gegen Microsoft SQL Server
Wenn Sie möchten, dass HDS-Knoten die Windows-Authentifizierung verwenden, um Zugriff auf Ihre Keystore-Datenbank auf Microsoft SQL Server zu erhalten, benötigen Sie die folgende Konfiguration in Ihrer Umgebung:
-
Die HDS-Knoten, die Active Directory-Infrastruktur und der MS SQL Server müssen alle mit dem NTP synchronisiert werden.
-
Das Windows-Konto, das Sie auf HDS-Knoten bereitstellen, muss Lese-/Schreibzugriff auf die Datenbank haben.
-
Die DNS-Server, die Sie für HDS-Knoten bereitstellen, müssen in der Lage sein, Ihr Key Distribution Center (KDC) aufzulösen.
-
Sie können die HDS-Datenbankinstanz auf Ihrem Microsoft SQL Server als Service Principal Name (SPN) in Ihrem Active Directory registrieren. Siehe Registrieren eines Dienstprinzipalnamens für Kerberos-Verbindungen.
Das HDS-Setup-Tool, der HDS-Launcher und das lokale KMS müssen für den Zugriff auf die Keystore-Datenbank die Windows-Authentifizierung verwenden. Sie verwenden die Details aus Ihrer ISO-Konfiguration, um die SPN zu konstruieren, wenn sie den Zugriff mit der Kerberos-Authentifizierung anfordern.
Anforderungen an externe Konnektivität
Konfigurieren Sie Ihre Firewall so, dass die folgende Konnektivität für die HDS-Anwendungen zugelassen ist:
|
Anwendung |
Protokoll |
Port |
Richtung von der App |
Ziel |
|---|---|---|---|---|
|
Hybrid-Datensicherheitsknoten |
TCP |
443 |
Ausgehend HTTPS und WSS |
|
|
HDS-Einrichtungstool |
TCP |
443 |
Ausgehendes HTTPS |
|
Die Hybrid-Datensicherheitsknoten funktionieren mit NAT (Network Access Translation) oder hinter einer Firewall, solange NAT oder Firewall die erforderlichen ausgehenden Verbindungen zu den in der vorangehenden Tabelle aufgeführten Domänenzielen zulässt. Für eingehende Verbindungen zu den Hybrid-Datensicherheitsknoten sollten keine Ports aus dem Internet sichtbar sein. In Ihrem Rechenzentrum benötigen Clients aus administrativen Gründen Zugriff auf die Hybrid-Datensicherheitsknoten auf den TCP-Ports 443 und 22.
Die URLs für die CI-Hosts (Common Identity) sind regionsspezifisch. Dies sind die aktuellen CI-Hosts:
|
Region |
Host-URLs der allgemeinen Identität |
|---|---|
|
Amerika |
|
|
Europäische Union |
|
|
Kanada |
|
| Singapur |
|
| Vereinigte Arabische Emirate |
|
Vorgaben für Proxy-Server
-
Wir unterstützen offiziell die folgenden Proxylösungen, die in ihre Hybriden Sicherheitsknoten integriert werden können.
-
Transparenter Proxy – Cisco Web Sicherheitsgerät (WSA).
-
Explizite –.
Squid-Proxys, die den HTTPS-Datenverkehr untersuchen, können die Einrichtung von Websocket-Verbindungen (wss:) beeinträchtigen. Informationen zur Behebung dieses Problems finden Sie unter Konfigurieren von Squid-Proxys für Hybrid-Datensicherheit.
-
-
Wir unterstützen die folgenden Authentifizierungskombinationen für explizite Proxys:
-
Keine Authentifizierung mit http oder HTTPS
-
Grundlegende Authentifizierung mit http oder HTTPS
-
Verdauungsauthentifizierung nur mit HTTPS
-
-
Um einen transparenten Proxy oder einen HTTPS expliziten Proxy zu erhalten, müssen Sie eine Kopie des Stammzertifikat des Stellvertreters besitzen. Die Bereitstellungsanweisungen in diesem Handbuch zeigen Ihnen, wie Sie die Kopie in die Vertrauensspeicher der Hybriden Datensicherheitsknoten hochladen können.
-
Das Netzwerk, das die HDS Nodes hostet, muss so konfiguriert sein, dass es den ausgehenden TCP Traffic auf Port 443 durch den Proxy zwingt
-
Proxys, die den Webverkehr inspizieren, können die Websteckverbindung beeinträchtigen. Wenn dieses Problem auftritt, wird das Problem durch Umgehung des Datenverkehrs zu
wbx2.comundciscospark.comgelöst.
Erfüllen der Voraussetzungen für die Hybrid-Datensicherheit
| 1 |
Stellen Sie sicher, dass Ihre Partnerorganisation die Multi-Tenant-HDS-Funktion aktiviert hat, und sichern Sie sich die Anmeldeinformationen für ein Konto mit vollen Partneradministratorrechten und vollen Administratorrechten. Stellen Sie sicher, dass Ihre Webex-Kundenorganisation für Pro Pack für Cisco Webex Control Hub aktiviert ist. Wenden Sie sich an Ihren Cisco-Partner oder an Ihren Account Manager, falls Sie Hilfe bei diesem Verfahren benötigen. Kundenorganisationen sollten keine vorhandene HDS-Bereitstellung haben. |
| 2 |
Wählen Sie einen Domänennamen für Ihre HDS-Bereitstellung (z. B. |
| 3 |
Bereiten Sie identische virtuelle Hosts vor, die Sie als Hybrid-Datensicherheitsknoten in Ihrem Cluster einrichten werden. Sie benötigen mindestens zwei separate Hosts (3 empfohlen), die sich im selben sicheren Rechenzentrum befinden und die Anforderungen unter Anforderungen für virtuelle Hosts erfüllen. |
| 4 |
Bereiten Sie den Datenbankserver vor, der als Schlüsseldatenspeicher für den Cluster dient, gemäß den Anforderungen für den Datenbankserver. Der Datenbankserver muss sich im sicheren Rechenzentrum mit den virtuellen Hosts befinden. |
| 5 |
Richten Sie für eine schnelle Notfallwiederherstellung eine Backup-Umgebung in einem anderen Rechenzentrum ein. Die Backup-Umgebung spiegelt die Produktionsumgebung von VMs und eines Backup-Datenbankservers wider. Wenn beispielsweise in der Produktion 3 VMs HDS-Knoten ausführen, sollte die Backup-Umgebung 3 VMs haben. |
| 6 |
Richten Sie einen syslog-Host ein, um Protokolle aus den Knoten im Cluster zu sammeln. Dokumentieren Sie dessen Netzwerkadresse und syslog-Port (Standard ist UDP 514). |
| 7 |
Erstellen Sie eine sichere Backup-Richtlinie für die Hybrid-Datensicherheitsknoten, den Datenbankserver und den Syslog-Host. Um einen nicht behebbaren Datenverlust zu vermeiden, müssen Sie mindestens die Datenbank und die für die Hybrid-Datensicherheitsknoten generierte Konfigurations-ISO-Datei sichern. Da auf den Hybrid-Datensicherheitsknoten die für die Ver- und Entschlüsselung von Inhalten verwendeten Schlüssel gespeichert werden, führt das Versäumnis, eine betriebliche Bereitstellung aufrechtzuerhalten, zum NICHT BEHEBBAREN VERLUST dieser Inhalte. Webex-App-Clients speichern ihre Schlüssel im Zwischenspeicher, sodass ein Ausfall möglicherweise nicht sofort spürbar ist, aber mit der Zeit offensichtlich wird. Vorübergehende Ausfälle sind unvermeidlich, aber behebbar. Bei einem vollständigen Verlust (keine Backups verfügbar) entweder der Datenbank oder der ISO-Konfigurationsdatei gehen jedoch Kundendaten unwiederbringlich verloren. Von den Betreibern der Hybrid-Datensicherheitsknoten wird erwartet, dass sie häufige Sicherungen der Datenbank und der Konfigurations-ISO-Datei erstellen und im Falle eines katastrophalen Ausfalls das Rechenzentrum für die Hybrid-Datensicherheit neu erstellen. |
| 8 |
Stellen Sie sicher, dass Ihre Firewall-Konfiguration eine Verbindung für Ihre Hybrid-Datensicherheitsknoten ermöglicht, wie unter Externe Verbindungsanforderungen beschrieben. |
| 9 |
Installieren Sie Docker ( https://www.docker.com) auf jedem lokalen Computer, auf dem ein unterstütztes Betriebssystem ausgeführt wird (Microsoft Windows 10 Professional, Enterprise 64-Bit oder Mac OSX Yosemite 10.10.3 oder höher) und ein Webbrowser, der unter http://127.0.0.1:8080. darauf zugreifen kann. Mit der Docker-Instanz können Sie das HDS Setup Tool herunterladen und ausführen, das die lokalen Konfigurationsinformationen für alle Hybrid-Datensicherheitsknoten erstellt. Möglicherweise benötigen Sie eine Docker Desktop-Lizenz. Weitere Informationen finden Sie unter Anforderungen für Docker Desktop . Um das HDS Setup Tool zu installieren und auszuführen, muss der lokale Computer über die unter Anforderungen an externe Konnektivität beschriebenen Konnektivität verfügen. |
| 10 |
Wenn Sie einen Proxy mit Hybrid Data Security integrieren, stellen Sie sicher, dass er die Anforderungen für den Proxy-Server erfüllt. |
Hybrid-Datensicherheitscluster einrichten
Ablauf der Bereitstellungsaufgabe für die Hybrid-Datensicherheit
| 1 |
Erste Einrichtung durchführen und Installationsdateien herunterladen Laden Sie die OVA-Datei für eine spätere Verwendung auf Ihren lokalen Computer herunter. |
| 2 |
Erstellen einer ISO-Konfigurationsdatei für die HDS-Hosts Erstellen Sie mit dem HDS Setup Tool eine ISO-Konfigurationsdatei für die Hybrid-Datensicherheitsknoten. |
| 3 |
Erstellen Sie eine virtuelle Maschine aus der OVA-Datei und führen Sie eine erste Konfiguration durch, z. B. Netzwerkeinstellungen. Die Option zum Konfigurieren der Netzwerkeinstellungen während der OVA-Bereitstellung wurde mit ESXi 6.5 getestet. In früheren Versionen ist diese Option möglicherweise nicht verfügbar. |
| 4 |
Einrichten der Hybrid-Datensicherheits-VM Melden Sie sich bei der VM-Konsole an und legen Sie die Anmeldeinformationen fest. Konfigurieren Sie die Netzwerkeinstellungen für den Knoten, falls Sie diese bei der OVA-Bereitstellung nicht konfiguriert haben. |
| 5 |
Hochladen und Mounten der HDS-Konfigurations-ISO Konfigurieren Sie die VM aus der ISO-Konfigurationsdatei, die Sie mit dem HDS Setup Tool erstellt haben. |
| 6 |
Konfigurieren des HDS Knotens für Proxyintegration Wenn für die Netzwerkumgebung eine Proxy-Konfiguration erforderlich ist, geben Sie den Proxy-Typ an, den Sie für den Knoten verwenden möchten, und fügen Sie das Proxy-Zertifikat ggf. zum Vertrauensspeicher hinzu. |
| 7 |
Ersten Knoten im Cluster registrieren Registrieren Sie die VM in der Cisco Webex Cloud als Hybrid-Datensicherheitsknoten. |
| 8 |
Weitere Knoten erstellen und registrieren Schließen Sie die Cluster-Einrichtung ab. |
| 9 |
Aktivieren Sie Multi-Tenant-HDS in Partner Hub. Aktivieren Sie HDS und verwalten Sie Mandantenorganisationen in Partner Hub. |
Erste Einrichtung durchführen und Installationsdateien herunterladen
Bei dieser Aufgabe laden Sie eine OVA-Datei auf Ihren Computer herunter (nicht auf die Server, die Sie als Hybrid-Datensicherheitsknoten eingerichtet haben). Sie können diese Datei zu einem späteren Zeitpunkt im Installationsprozess verwenden.
| 1 |
Melden Sie sich bei Partner Hub an und klicken Sie auf Dienste. |
| 2 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach der Hybrid-Datensicherheitskarte und klicken Sie auf Einrichten. |
| 3 |
Klicken Sie auf Ressource hinzufügen und dann auf OVA-Datei herunterladen auf der Karte Software installieren und konfigurieren . Ältere Versionen des Softwarepakets (OVA) sind mit den neuesten Upgrades für die Hybrid-Datensicherheit nicht kompatibel. Dies kann zu Problemen beim Upgrade der Anwendung führen. Stellen Sie sicher, dass Sie die neueste Version der OVA-Datei herunterladen. Sie können die OVA auch jederzeit im Abschnitt Hilfe herunterladen. Klicken Sie auf . Der Download der OVA-Datei beginnt automatisch. Speichern Sie die Datei auf Ihrem Computer.
|
| 4 |
Klicken Sie optional auf Bereitstellungsleitfaden zur Hybrid-Datensicherheit anzeigen , um zu überprüfen, ob eine spätere Version dieses Leitfadens verfügbar ist. |
Erstellen einer ISO-Konfigurationsdatei für die HDS-Hosts
Beim Einrichtungsprozess für die Hybrid-Datensicherheit wird eine ISO-Datei erstellt. Anschließend verwenden Sie die ISO, um Ihren Hybrid-Datensicherheitshost zu konfigurieren.
Vorbereitungen
-
Das HDS Setup Tool wird als Docker Container auf einem lokalen Computer ausgeführt. Um darauf zu zugreifen, führen Sie Docker auf diesem Computer aus. Der Einrichtungsprozess erfordert die Anmeldeinformationen eines Partner Hub-Kontos mit vollständigen Administratorrechten.
Wenn das HDS Setup-Tool hinter einem Proxy in Ihrer Umgebung ausgeführt wird, geben Sie die Proxy-Einstellungen (Server, Port, Anmeldeinformationen) über die Docker-Umgebungsvariablen an, wenn Sie den Docker-Container in Schritt 5 unten aufrufen. Diese Tabelle enthält einige mögliche Umgebungsvariablen:
Beschreibung
Variable
HTTP-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORTHTTPS-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORT -
Die von Ihnen generierte ISO-Konfigurationsdatei enthält den Hauptschlüssel zur Verschlüsselung der PostgreSQL- oder Microsoft SQL Server-Datenbank. Sie benötigen die neueste Kopie dieser Datei, wenn Sie Konfigurationsänderungen wie die folgenden vornehmen:
-
Datenbank-Anmeldeinformationen
-
Zertifikats-Aktualisierungen
-
Änderungen an der Autorisierungsrichtlinie
-
-
Wenn Sie Datenbankverbindungen verschlüsseln möchten, richten Sie Ihre PostgreSQL- oder SQL Server-Bereitstellung für TLS ein.
| 1 |
Geben Sie in der Befehlszeile Ihres Computers den entsprechenden Befehl für Ihre Umgebung ein: In regulären Umgebungen: In FedRAMP-Umgebungen: Mit diesem Schritt werden die Bilder vorheriger HDS-Setup-Tools bereinigt. Wenn keine vorherigen Bilder angezeigt werden, erhalten Sie eine Fehlermeldung, die Sie ignorieren können. | ||||||||||
| 2 |
Um sich bei der Docker-Image-Registrierung anmelden zu können, geben Sie Folgendes ein: | ||||||||||
| 3 |
Geben Sie in der Passwortaufforderung diese Hash-Eingabe ein: | ||||||||||
| 4 |
Laden Sie das aktuellste stabile Bild für Ihre Umgebung herunter: In regulären Umgebungen: In FedRAMP-Umgebungen: | ||||||||||
| 5 |
Geben Sie nach Abschluss des Pull-Befehls den entsprechenden Befehl für Ihre Umgebung ein:
Wenn der Container ausgeführt wird, wird "Express server listening on port 8080" (Express-Server hören auf Port 8080) sehen. | ||||||||||
| 6 |
Das Setup-Tool unterstützt die Verbindung zu localhost über http://localhost:8080 nicht. Verwenden Sie http://127.0.0.1:8080 , um eine Verbindung zum Localhost herzustellen. Navigieren Sie in einem Webbrowser zum Localhost, Das Tool verwendet diesen ersten Eintrag des Benutzernamens, um die richtige Umgebung für dieses Konto festzulegen. Das Tool zeigt dann die Standard-Anmeldeaufforderung an. | ||||||||||
| 7 |
Wenn Sie dazu aufgefordert werden, geben Sie Ihre Partner Hub-Administratoranmeldeinformationen ein und klicken Sie dann auf Anmelden , um den Zugriff auf die für die Hybrid-Datensicherheit erforderlichen Dienste zu erlauben. | ||||||||||
| 8 |
Klicken Sie auf der Übersichtsseite des Setup Tool auf Get Started (Erste Schritte). | ||||||||||
| 9 |
Auf der Seite ISO-Import stehen Ihnen folgende Optionen zur Verfügung:
| ||||||||||
| 10 |
Überprüfen Sie, ob Ihr X.509-Zertifikat die Anforderungen in X.509-Zertifikatsanforderungen erfüllt.
| ||||||||||
| 11 |
Geben Sie die Datenbankadresse und das Konto für HDS ein, um auf Ihren Schlüsseldatenspeicher zuzugreifen: | ||||||||||
| 12 |
Wählen Sie einen TLS-Datenbankverbindungsmodus aus:
Wenn Sie das Stammzertifikat hochladen (falls erforderlich) und auf Weiter klicken, testet das HDS Setup Tool die TLS-Verbindung zum Datenbankserver. Das Tool überprüft auch den Zertifikat signer und den Hostnamen, falls vorhanden. Wenn ein Test fehlschlägt, zeigt das Tool eine Fehlermeldung an, in der das Problem beschrieben wird. Sie können auswählen, ob Sie den Fehler ignorieren und mit der Einrichtung fortfahren möchten. (Aufgrund von Verbindungsunterschieden können die HDS-Knoten möglicherweise eine TLS-Verbindung herstellen, auch wenn das HDS Setup Tool diese nicht erfolgreich testen kann.) | ||||||||||
| 13 |
Konfigurieren Sie auf der Seite Systemprotokolle Ihren Syslogd-Server: | ||||||||||
| 14 |
(Optional) Sie können den Standardwert für einige Datenbankverbindungsparameter unter Erweiterte Einstellungen ändern. Im Allgemeinen ist dieser Parameter der einzige, den Sie ändern möchten: | ||||||||||
| 15 |
Klicken Sie im Bildschirm Kennwort für Dienstkonten zurücksetzen auf Weiter . Passwörter für Dienstkonten haben eine Lebensdauer von neun Monaten. Verwenden Sie diesen Bildschirm, wenn Ihre Passwörter bald ablaufen oder Sie sie zurücksetzen möchten, um frühere ISO-Dateien ungültig zu machen. | ||||||||||
| 16 |
Klicken Sie auf Download ISO File (ISO-Datei herunterladen). Speichern Sie die Datei an einem leicht auffindbaren Speicherort. | ||||||||||
| 17 |
Erstellen Sie eine Sicherungskopie der ISO-Datei auf Ihrem lokalen System. Sichern Sie die Sicherungskopie sicher. Die Datei enthält einen Master-Verschlüsselungsschlüssel für die Datenbankinhalte. Beschränken Sie den Zugriff auf Administratoren für Hybrid-Datensicherheit, die Konfigurationsänderungen vornehmen sollten. | ||||||||||
| 18 |
Um das Setup Tool herunterzufahren, tippen Sie |
Nächste Schritte
Sichern Sie die ISO-Konfigurationsdatei. Sie benötigen sie, um weitere Knoten für die Wiederherstellung zu erstellen oder Konfigurationsänderungen vorzunehmen. Wenn Sie alle Kopien der ISO-Datei verlieren, haben Sie auch den Hauptschlüssel verloren. Die Schlüssel aus Ihrer PostgreSQL- oder Microsoft SQL Server-Datenbank können nicht wiederhergestellt werden.
Wir haben nie eine Kopie dieses Schlüssels und können nicht helfen, wenn Sie ihn verlieren.
Installieren des HDS Host OVA
| 1 |
Melden Sie sich über den VMware vSphere-Client auf Ihrem Computer bei dem ESXi virtuellen Host an. |
| 2 |
Wählen Sie Datei > OVF-Vorlage bereitstellen aus. |
| 3 |
Geben Sie im Assistenten den Speicherort der OVA-Datei an, die Sie zuvor heruntergeladen haben, und klicken Sie auf Weiter. |
| 4 |
Geben Sie auf der Seite Name und Ordner auswählen einen Namen der virtuellen Maschine für den Knoten ein (z. B. „HDS_Node_1“), wählen Sie einen Ort aus, an dem sich die Knotenbereitstellung der virtuellen Maschine befinden kann, und klicken Sie auf Weiter. |
| 5 |
Wählen Sie auf der Seite Berechnungsressource auswählen die Ziel-Berechnungsressource aus, und klicken Sie auf Weiter. Eine Validierungsprüfung wird ausgeführt. Nach Abschluss werden die Vorlagendetails angezeigt. |
| 6 |
Überprüfen Sie die Vorlagendetails, und klicken Sie dann auf Weiter. |
| 7 |
Wenn Sie aufgefordert werden, die Ressourcenkonfiguration auf der Seite Konfiguration auszuwählen, klicken Sie auf 4 CPU und dann auf Weiter. |
| 8 |
Klicken Sie auf der Seite Speicher auswählen auf Weiter , um das standardmäßige Festplattenformat und die VM-Speicherrichtlinie zu akzeptieren. |
| 9 |
Wählen Sie auf der Seite Netzwerke auswählen die Netzwerkoption aus der Liste der Einträge aus, um die gewünschte Konnektivität für die VM bereitzustellen. |
| 10 |
Konfigurieren Sie auf der Seite Vorlage anpassen die folgenden Netzwerkeinstellungen:
Wenn Sie dies vorziehen, können Sie die Konfiguration der Netzwerkeinstellungen überspringen und die Schritte unter Einrichten der Hybrid-Datensicherheit-VM befolgen, um die Einstellungen über die Knotenkonsole zu konfigurieren. Die Option zum Konfigurieren der Netzwerkeinstellungen während der OVA-Bereitstellung wurde mit ESXi 6.5 getestet. In früheren Versionen ist diese Option möglicherweise nicht verfügbar. |
| 11 |
Klicken Sie mit der rechten Maustaste auf die Knoten-VM, und wählen Sie . Die Hybrid-Datensicherheitssoftware wird als Gast auf dem VM-Host installiert. Sie können sich jetzt bei der Konsole anmelden und den Knoten konfigurieren. Leitfaden zur Fehlerbehebung Es kann zu einer Verzögerung von einigen Minuten kommen, bis die Knotencontainer angezeigt werden. Beim erstmaligen Start wird eine Bridge-Firewall-Nachricht angezeigt, während der Sie sich anmelden können. |
Einrichten der Hybrid-Datensicherheits-VM
Mit diesem Verfahren können Sie sich zum ersten Mal bei der VM-Konsole des Hybrid-Datensicherheitsknotens anmelden und die Anmeldeinformationen festlegen. Sie können auch die Konsole verwenden, um die Netzwerkeinstellungen für den Knoten zu konfigurieren, falls Sie diese bei der OVA-Bereitstellung nicht konfiguriert haben.
| 1 |
Wählen Sie im VMware vSphere-Client, Ihre Hybrid-Datensicherheitsknoten-VM und daraufhin die Registerkarte Console (Konsole) aus. Die VM fährt hoch und ein Anmeldebildschirm erscheint. Drücken Sie die Eingabetaste, falls der Anmeldebildschirm nicht angezeigt wird.
|
| 2 |
Verwenden Sie den folgenden Standard-Anmeldenamen und das Standardkennwort, um sich anzumelden und die Anmeldedaten zu ändern: Da Sie sich zum ersten Mal bei der VM anmelden, müssen Sie das Administratorkennwort ändern. |
| 3 |
Wenn Sie die Netzwerkeinstellungen bereits unter Installieren der HDS-Host-OVA konfiguriert haben, überspringen Sie den Rest dieses Verfahrens. Wählen Sie andernfalls im Hauptmenü die Option Konfiguration bearbeiten aus. |
| 4 |
Richten Sie eine statische Konfiguration ein und geben Sie die Daten für IP-Adresse, Maske, Gateway und DNS ein. Ihr Knoten hat jetzt eine interne IP-Adresse und einen DNS-Namen. DHCP wird nicht unterstützt. |
| 5 |
(Optional) Ändern Sie die Werte für Hostname, Domäne oder NTP-Server, wenn dies gemäß Ihren Netzwerkrichtlinien erforderlich ist. Sie müssen die Domäne nicht auf die Domäne ändern, über die Sie das X.509-Zertifikat erhalten haben. |
| 6 |
Speichern Sie die Netzwerkkonfiguration und starten Sie die VM neu, damit die Änderungen in Kraft treten. |
Hochladen und Mounten der HDS-Konfigurations-ISO
Vorbereitungen
Da die ISO-Datei den Hauptschlüssel enthält, sollte sie nur auf Basis eines "Need-to-Know"-Basis zugänglich gemacht werden, für den Zugriff durch die Hybrid Data Security-VMs und alle Administratoren, die möglicherweise Änderungen vornehmen müssen. Stellen Sie sicher, dass nur diese Administratoren Zugriff auf den Datenspeicher haben.
| 1 |
Laden Sie die ISO-Datei von Ihrem Computer hoch: |
| 2 |
Mounten Sie die ISO-Datei: |
Nächste Schritte
Wenn Ihre IT-Richtlinie dies erfordert, können Sie optional die ISO-Datei unmounten, nachdem alle Knoten die Konfigurationsänderungen übernommen haben. Weitere Informationen finden Sie unter (Optional) ISO nach HDS-Konfiguration unmounten .
Konfigurieren des HDS Knotens für Proxyintegration
Wenn die Netzwerkumgebung einen Proxy erfordert, geben Sie mit diesem Vorgang den Typ des Proxy an, den Sie in die Hybriddatensicherheit integrieren möchten. Wenn Sie einen transparenten Anrufproxy oder einen HTTPS expliziten Proxy wählen, können Sie die Stammzertifikat über die Schnittstelle des Knotens hochladen und installiert werden. Sie können auch die Proxyverbindung über die Schnittstelle überprüfen und mögliche Probleme beheben.
Vorbereitungen
-
Eine Übersicht der unterstützten Proxy-Optionen finden Sie unter Proxy-Unterstützung .
| 1 |
Geben Sie den HDS Knoten Setup URL |
| 2 |
Gehen Sie zu Trust Store & Proxyund wählen Sie dann eine Option:
Befolgen Sie die nächsten Schritte für einen transparenten Inspektionsproxy, einen HTTP expliziten Proxy mit Basisauthentifizierung oder einen HTTPS expliziten Proxy |
| 3 |
Klicken Sie auf ein Zertifikat für das Stammzertifikat oder Endnutzerzertifikat hochladen, und navigieren Sie dann zu einer Stammzertifikat für den Proxy. Das Zertifikat ist hochgeladen, aber noch nicht installiert, da Sie den Knoten neu starten müssen, um das Zertifikat zu installieren. Klicken Sie auf den Chevron Pfeil unter dem Namen des Zertifikats, um weitere Details zu erhalten, oder klicken Sie auf löschen, Wenn Sie Fehler gemacht haben und die Datei erneut hochladen möchten. |
| 4 |
Klicken Sie auf Stellvertreterverbindung prüfen , um die Netzwerkverbindung zwischen dem Knoten und dem Proxy zu testen. Wenn der Verbindungstest ausfällt, wird eine Fehlermeldung angezeigt, die den Grund und die Frage, wie Sie das Problem beheben können, anzeigt. Wenn Sie eine Meldung sehen, dass eine externe DNS nicht erfolgreich war, konnte der Knoten den DNS-Server nicht erreichen. Diese Bedingung wird in vielen expliziten Proxykonfigurationen erwartet. Sie können mit dem Setup fortfahren, und der Knoten wird im gesperrten externen DNS-Server funktionieren. Wenn Sie glauben, dass es sich um einen Fehler handelt, führen Sie die folgenden Schritte aus. Siehe Modus für blockierte externe DNS-Auflösung deaktivieren. |
| 5 |
Nach dem Durchführen des Verbindungstests, für expliziten Proxy, der nur auf HTTPS gesetzt ist, aktivieren Sie die Option so schalten Sie alle Port 443/444 https Anfragen aus diesem Knoten durch den expliziten Proxy Diese Einstellung benötigt 15 Sekunden, um wirksam zu werden. |
| 6 |
Klicken Sie auf alle-Zertifizierungsstellen in den Trust Store installieren (erscheint für einen HTTPS expliziten Proxy oder einen transparenten Inspektionskrimi) oder Neustart (erscheint für einen HTTP expliziten Proxy), lesen Sie die Aufforderung, und klicken Sie dann auf in Der Knoten startet innerhalb weniger Minuten. |
| 7 |
Nachdem der Knoten erneut gestartet wurde, melden Sie sich bei Bedarf erneut an, und öffnen Sie dann die Übersichtsseite, um die Verbindungsüberprüfungen zu überprüfen, um sicherzustellen, dass Sie alle im grünen Status sind. Die Proxyverbindung prüft nur eine Unterdomäne von WebEx.com. Wenn es Verbindungsprobleme gibt, ist ein häufiges Problem, dass einige der in den instructions aufgeführten-C-Domänen beim Proxy gesperrt werden. |
Ersten Knoten im Cluster registrieren
Bei der Registrierung Ihres ersten Knotens erstellen Sie ein Cluster, zu dem der Knoten zugewiesen wird. Ein Cluster umfasst einen oder mehrere Knoten, die aus Redundanzgründen bereitgestellt werden.
Vorbereitungen
-
Sie müssen die Registrierung eines Knotens nach dem Beginn innerhalb von 60 Minuten abschließen, andernfalls müssen Sie erneut beginnen.
-
Stellen Sie sicher, dass alle Popupblocker in Ihrem Browser deaktiviert sind oder dass Sie eine Ausnahme für admin.webex.com zulassen.
| 1 |
Melden Sie sich bei https://admin.webex.com an. |
| 2 |
Wählen Sie im Menü auf der linken Seite die Option Dienste aus. |
| 3 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach der Karte „Hybrid-Datensicherheit“, und klicken Sie auf Einrichten. |
| 4 |
Klicken Sie auf der sich öffnenden Seite auf Ressource hinzufügen. |
| 5 |
Geben Sie im ersten Feld der Karte Knoten hinzufügen einen Namen für das Cluster ein, dem Sie Ihren Hybrid-Datensicherheitsknoten zuweisen möchten. Benennen Sie Ihre Cluster nach Möglichkeit nach dem geografischen Standort der Clusterknoten. Beispiele: „San Francisco“ oder „New York“ oder „Dallas“ |
| 6 |
Geben Sie im zweiten Feld die interne IP-Adresse oder den vollqualifizierten Domänennamen (FQDN) Ihres Knotens ein und klicken Sie unten auf dem Bildschirm auf Hinzufügen . Diese IP-Adresse oder FQDN sollte mit der IP-Adresse oder dem Hostnamen und der Domäne übereinstimmen, die Sie beim Einrichten der Hybrid-Datensicherheit-VM verwendet haben. Es wird eine Meldung angezeigt, dass Sie Ihren Knoten in Webex registrieren können.
|
| 7 |
Klicken Sie auf Go to Node (Zum Knoten wechseln). Nach einigen Augenblicken werden Sie zu den Knoten-Konnektivitätstests für Webex-Dienste umgeleitet. Sind alle Tests erfolgreich, wird die Seite „Allow Access to Hybrid Data Security Node“ (Zugriff zu Hybrid-Datensicherheits-Knoten gewähren) angezeigt. Bestätigen Sie dort, dass Sie Ihrer Webex-Organisation die Zugriffsberechtigungen für Ihren Knoten erteilen möchten. |
| 8 |
Aktivieren Sie das Kontrollkästchen Allow Access to Your Hybrid Data Security Node (Zugriff zu Ihrem Hybrid-Datensicherheits-Knoten gewähren) und klicken Sie anschließend auf Continue (Weiter). Ihr Konto wird validiert, und die Meldung „Registrierung abgeschlossen“ zeigt an, dass Ihr Knoten jetzt in der Webex Cloud registriert ist.
|
| 9 |
Klicken Sie auf den Link oder schließen Sie die Registerkarte, um zur Partner Hub-Hybrid-Datensicherheitsseite zurückzukehren. Auf der Seite Hybrid-Datensicherheit wird das neue Cluster mit dem registrierten Knoten auf der Registerkarte Ressourcen angezeigt. Der Knoten lädt die aktuelle Software automatisch aus der Cloud herunter.
|
Weitere Knoten erstellen und registrieren
Vorbereitungen
-
Sie müssen die Registrierung eines Knotens nach dem Beginn innerhalb von 60 Minuten abschließen, andernfalls müssen Sie erneut beginnen.
-
Stellen Sie sicher, dass alle Popupblocker in Ihrem Browser deaktiviert sind oder dass Sie eine Ausnahme für admin.webex.com zulassen.
| 1 |
Erstellen Sie eine neue virtuelle Maschine über die OVA und wiederholen Sie die Schritte unter Installieren der HDS-Host-OVA. |
| 2 |
Richten Sie die Erstkonfiguration für die neue VM ein. Wiederholen Sie die Schritte unter Einrichten der Hybrid-Datensicherheit-VM. |
| 3 |
Wiederholen Sie auf der neuen VM die Schritte unter HDS-Konfigurations-ISO hochladen und mounten. |
| 4 |
Wenn Sie einen Proxy für Ihre Bereitstellung einrichten, wiederholen Sie die Schritte unter Konfigurieren des HDS-Knotens für die Proxy-Integration nach Bedarf für den neuen Knoten. |
| 5 |
Registrieren Sie den Knoten. |
Mandantenorganisationen für Multi-Tenant-Hybrid-Datensicherheit verwalten
Multi-Tenant HDS in Partner Hub aktivieren
Diese Aufgabe stellt sicher, dass alle Benutzer der Kundenorganisationen HDS für lokale Verschlüsselungsschlüssel und andere Sicherheitsdienste nutzen können.
Vorbereitungen
Stellen Sie sicher, dass Sie die Einrichtung Ihres Multi-Tenant-HDS-Clusters mit der erforderlichen Anzahl an Knoten abgeschlossen haben.
| 1 |
Melden Sie sich bei https://admin.webex.com an. |
| 2 |
Wählen Sie im Menü auf der linken Seite die Option Dienste aus. |
| 3 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach „Hybrid-Datensicherheit“ und klicken Sie auf Einstellungen bearbeiten. |
| 4 |
Klicken Sie auf der Karte HDS-Status auf HDS-Aktivierung . |
Mandantenorganisationen in Partner Hub hinzufügen
Weisen Sie bei dieser Aufgabe Kundenorganisationen Ihrem Hybrid-Datensicherheitscluster zu.
| 1 |
Melden Sie sich bei https://admin.webex.com an. |
| 2 |
Wählen Sie im Menü auf der linken Seite die Option Dienste aus. |
| 3 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach Hybrid-Datensicherheit und klicken Sie auf Alle anzeigen. |
| 4 |
Klicken Sie auf den Cluster, dem ein Kunde zugewiesen werden soll. |
| 5 |
Wechseln Sie zur Registerkarte Zugewiesene Kunden . |
| 6 |
Klicken Sie auf Kunden hinzufügen. |
| 7 |
Wählen Sie im Dropdown-Menü den Kunden aus, den Sie hinzufügen möchten. |
| 8 |
Klicken Sie auf Hinzufügen. Der Kunde wird dem Cluster hinzugefügt. |
| 9 |
Wiederholen Sie die Schritte 6 bis 8, um mehrere Kunden zu Ihrem Cluster hinzuzufügen. |
| 10 |
Klicken Sie auf Fertig am unteren Bildschirmrand, nachdem Sie die Kunden hinzugefügt haben. |
Nächste Schritte
Kundenhauptschlüssel (Customer Main Keys, CMKs) mit dem HDS Setup-Tool erstellen
Vorbereitungen
Weisen Sie Kunden dem entsprechenden Cluster zu, wie unter Mandantenorganisationen in Partner Hub hinzufügen beschrieben. Führen Sie das HDS Setup-Tool aus, um den Einrichtungsprozess für die neu hinzugefügten Kundenorganisationen abzuschließen.
-
Das HDS Setup Tool wird als Docker Container auf einem lokalen Computer ausgeführt. Um darauf zu zugreifen, führen Sie Docker auf diesem Computer aus. Der Einrichtungsprozess erfordert die Anmeldeinformationen eines Partner Hub-Kontos mit vollen Administratorrechten für Ihre Organisation.
Wenn das HDS Setup-Tool hinter einem Proxy in Ihrer Umgebung ausgeführt wird, geben Sie die Proxy-Einstellungen (Server, Port, Anmeldeinformationen) über die Docker-Umgebungsvariablen an, wenn Sie den Docker-Container in Schritt 5 aufrufen. Diese Tabelle enthält einige mögliche Umgebungsvariablen:
Beschreibung
Variable
HTTP-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORTHTTPS-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORT -
Die von Ihnen generierte ISO-Konfigurationsdatei enthält den Hauptschlüssel zur Verschlüsselung der PostgreSQL- oder Microsoft SQL Server-Datenbank. Sie benötigen die neueste Kopie dieser Datei, wenn Sie Konfigurationsänderungen wie die folgenden vornehmen:
-
Datenbank-Anmeldeinformationen
-
Zertifikats-Aktualisierungen
-
Änderungen an der Autorisierungsrichtlinie
-
-
Wenn Sie Datenbankverbindungen verschlüsseln möchten, richten Sie Ihre PostgreSQL- oder SQL Server-Bereitstellung für TLS ein.
Beim Einrichtungsprozess für die Hybrid-Datensicherheit wird eine ISO-Datei erstellt. Anschließend verwenden Sie die ISO, um Ihren Hybrid-Datensicherheitshost zu konfigurieren.
| 1 |
Geben Sie in der Befehlszeile Ihres Computers den entsprechenden Befehl für Ihre Umgebung ein: In regulären Umgebungen: In FedRAMP-Umgebungen: Mit diesem Schritt werden die Bilder vorheriger HDS-Setup-Tools bereinigt. Wenn keine vorherigen Bilder angezeigt werden, erhalten Sie eine Fehlermeldung, die Sie ignorieren können. |
| 2 |
Um sich bei der Docker-Image-Registrierung anmelden zu können, geben Sie Folgendes ein: |
| 3 |
Geben Sie in der Passwortaufforderung diese Hash-Eingabe ein: |
| 4 |
Laden Sie das aktuellste stabile Bild für Ihre Umgebung herunter: In regulären Umgebungen: In FedRAMP-Umgebungen: |
| 5 |
Geben Sie nach Abschluss des Pull-Befehls den entsprechenden Befehl für Ihre Umgebung ein:
Wenn der Container ausgeführt wird, wird "Express server listening on port 8080" (Express-Server hören auf Port 8080) sehen. |
| 6 |
Das Setup-Tool unterstützt die Verbindung zu localhost über http://localhost:8080 nicht. Verwenden Sie http://127.0.0.1:8080 , um eine Verbindung zum Localhost herzustellen. Navigieren Sie in einem Webbrowser zum Localhost, Das Tool verwendet diesen ersten Eintrag des Benutzernamens, um die richtige Umgebung für dieses Konto festzulegen. Das Tool zeigt dann die Standard-Anmeldeaufforderung an. |
| 7 |
Wenn Sie dazu aufgefordert werden, geben Sie Ihre Partner Hub-Administratoranmeldeinformationen ein und klicken Sie dann auf Anmelden , um den Zugriff auf die für die Hybrid-Datensicherheit erforderlichen Dienste zu erlauben. |
| 8 |
Klicken Sie auf der Übersichtsseite des Setup Tool auf Get Started (Erste Schritte). |
| 9 |
Klicken Sie auf der Seite ISO-Import auf Ja. |
| 10 |
Wählen Sie Ihre ISO-Datei im Browser aus und laden Sie sie hoch. Stellen Sie sicher, dass die Verbindung zu Ihrer Datenbank hergestellt wird, um eine CMK-Verwaltung durchzuführen. |
| 11 |
Gehen Sie zur Registerkarte Mandanten-CMK-Verwaltung , auf der Sie die folgenden drei Möglichkeiten zur Verwaltung von Mandanten-CMKs finden.
|
| 12 |
Sobald die CMK-Erstellung erfolgreich war, ändert sich der Status in der Tabelle von CMK-Verwaltung ausstehend zu CMK-Verwaltung. |
| 13 |
Wenn die CMK-Erstellung nicht erfolgreich war, wird ein Fehler angezeigt. |
Mandantenorganisationen entfernen
Vorbereitungen
Nach dem Entfernen können Benutzer von Kundenorganisationen HDS nicht mehr für ihre Verschlüsselungsanforderungen nutzen und verlieren alle vorhandenen Bereiche. Wenden Sie sich an Ihren Cisco-Partner oder Ihren Account Manager, bevor Sie Kundenorganisationen entfernen.
| 1 |
Melden Sie sich bei https://admin.webex.com an. |
| 2 |
Wählen Sie im Menü auf der linken Seite die Option Dienste aus. |
| 3 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach Hybrid-Datensicherheit und klicken Sie auf Alle anzeigen. |
| 4 |
Klicken Sie auf der Registerkarte Ressourcen auf den Cluster, aus dem Sie Kundenorganisationen entfernen möchten. |
| 5 |
Klicken Sie auf der sich öffnenden Seite auf Zugewiesene Kunden. |
| 6 |
Klicken Sie in der angezeigten Liste der Kundenorganisationen auf ... auf der rechten Seite der Kundenorganisation, die Sie entfernen möchten, und klicken Sie auf Aus Cluster entfernen. |
Nächste Schritte
Schließen Sie den Löschvorgang ab, indem Sie die CMKs der Kundenorganisationen sperren, wie unter CMKs von Tenants, die aus HDS entfernt wurden, beschrieben.
Widerrufen Sie die CMKs von Mandanten, die aus HDS entfernt wurden.
Vorbereitungen
Entfernen Sie Kunden aus dem entsprechenden Cluster, wie unter Mandantenorganisationen entfernen beschrieben. Führen Sie das HDS Setup-Tool aus, um den Entfernungsprozess für die Kundenorganisationen abzuschließen, die entfernt wurden.
-
Das HDS Setup Tool wird als Docker Container auf einem lokalen Computer ausgeführt. Um darauf zu zugreifen, führen Sie Docker auf diesem Computer aus. Der Einrichtungsprozess erfordert die Anmeldeinformationen eines Partner Hub-Kontos mit vollen Administratorrechten für Ihre Organisation.
Wenn das HDS Setup-Tool hinter einem Proxy in Ihrer Umgebung ausgeführt wird, geben Sie die Proxy-Einstellungen (Server, Port, Anmeldeinformationen) über die Docker-Umgebungsvariablen an, wenn Sie den Docker-Container in Schritt 5 aufrufen. Diese Tabelle enthält einige mögliche Umgebungsvariablen:
Beschreibung
Variable
HTTP-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORTHTTPS-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORT -
Die von Ihnen generierte ISO-Konfigurationsdatei enthält den Hauptschlüssel zur Verschlüsselung der PostgreSQL- oder Microsoft SQL Server-Datenbank. Sie benötigen die neueste Kopie dieser Datei, wenn Sie Konfigurationsänderungen wie die folgenden vornehmen:
-
Datenbank-Anmeldeinformationen
-
Zertifikats-Aktualisierungen
-
Änderungen an der Autorisierungsrichtlinie
-
-
Wenn Sie Datenbankverbindungen verschlüsseln möchten, richten Sie Ihre PostgreSQL- oder SQL Server-Bereitstellung für TLS ein.
Beim Einrichtungsprozess für die Hybrid-Datensicherheit wird eine ISO-Datei erstellt. Anschließend verwenden Sie die ISO, um Ihren Hybrid-Datensicherheitshost zu konfigurieren.
| 1 |
Geben Sie in der Befehlszeile Ihres Computers den entsprechenden Befehl für Ihre Umgebung ein: In regulären Umgebungen: In FedRAMP-Umgebungen: Mit diesem Schritt werden die Bilder vorheriger HDS-Setup-Tools bereinigt. Wenn keine vorherigen Bilder angezeigt werden, erhalten Sie eine Fehlermeldung, die Sie ignorieren können. |
| 2 |
Um sich bei der Docker-Image-Registrierung anmelden zu können, geben Sie Folgendes ein: |
| 3 |
Geben Sie in der Passwortaufforderung diese Hash-Eingabe ein: |
| 4 |
Laden Sie das aktuellste stabile Bild für Ihre Umgebung herunter: In regulären Umgebungen: In FedRAMP-Umgebungen: |
| 5 |
Geben Sie nach Abschluss des Pull-Befehls den entsprechenden Befehl für Ihre Umgebung ein:
Wenn der Container ausgeführt wird, wird "Express server listening on port 8080" (Express-Server hören auf Port 8080) sehen. |
| 6 |
Das Setup-Tool unterstützt die Verbindung zu localhost über http://localhost:8080 nicht. Verwenden Sie http://127.0.0.1:8080 , um eine Verbindung zum Localhost herzustellen. Navigieren Sie in einem Webbrowser zum Localhost, Das Tool verwendet diesen ersten Eintrag des Benutzernamens, um die richtige Umgebung für dieses Konto festzulegen. Das Tool zeigt dann die Standard-Anmeldeaufforderung an. |
| 7 |
Wenn Sie dazu aufgefordert werden, geben Sie Ihre Partner Hub-Administratoranmeldeinformationen ein und klicken Sie dann auf Anmelden , um den Zugriff auf die für die Hybrid-Datensicherheit erforderlichen Dienste zu erlauben. |
| 8 |
Klicken Sie auf der Übersichtsseite des Setup Tool auf Get Started (Erste Schritte). |
| 9 |
Klicken Sie auf der Seite ISO-Import auf Ja. |
| 10 |
Wählen Sie Ihre ISO-Datei im Browser aus und laden Sie sie hoch. |
| 11 |
Gehen Sie zur Registerkarte Mandanten-CMK-Verwaltung , auf der Sie die folgenden drei Möglichkeiten zur Verwaltung von Mandanten-CMKs finden.
|
| 12 |
Sobald die CMK-Sperrung erfolgreich ist, wird die Kundenorganisation nicht mehr in der Tabelle angezeigt. |
| 13 |
Wenn die CMK-Sperrung nicht erfolgreich ist, wird ein Fehler angezeigt. |
Testen Ihrer Hybrid-Datensicherheitsbereitstellung
Testen Ihrer Bereitstellung für die Hybrid-Datensicherheit
Vorbereitungen
-
Richten Sie die Multi-Tenant-Hybrid-Datensicherheitsbereitstellung ein.
-
Stellen Sie sicher, dass Sie auf das Syslog zugreifen können, um zu überprüfen, ob wichtige Anforderungen an Ihre Multi-Tenant-Hybrid-Datensicherheitsbereitstellung weitergeleitet werden.
| 1 |
Schlüssel für einen bestimmten Bereich werden vom Ersteller des Bereichs festgelegt. Melden Sie sich bei der Webex-App als einer der Benutzer der Kundenorganisation an und erstellen Sie einen Bereich. Wenn Sie die Hybrid-Datensicherheitsbereitstellung deaktivieren, sind Inhalte in von Benutzern erstellten Bereichen nicht mehr verfügbar, nachdem die im Client zwischengespeicherten Kopien der Verschlüsselungscodes ersetzt wurden. |
| 2 |
Senden Sie Nachrichten an den neuen Bereich. |
| 3 |
Überprüfen Sie die Syslog-Ausgabe, um sicherzustellen, dass die Schlüsselanforderungen an Ihre Hybrid-Datensicherheitsbereitstellung weitergeleitet werden. |
Überwachen des Status der Hybrid-Datensicherheit
| 1 |
Wählen Sie in Partner Hub im Menü auf der linken Seite des Bildschirms die Option Dienste aus. |
| 2 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach „Hybrid-Datensicherheit“ und klicken Sie auf Einstellungen bearbeiten. Die Seite „Hybrid Data Security Settings“ (Einstellungen für Hybrid-Datensicherheit) wird angezeigt.
|
| 3 |
Geben Sie im Abschnitt zu E-Mail-Benachrichtigungen eine oder mehrere Adressen durch Komma getrennt ein und drücken Sie Enter. |
HDS-Bereitstellung verwalten
Verwalten der HDS-Bereitstellung
Verwenden Sie die hier beschriebenen Aufgaben, um Ihre Hybrid-Datensicherheitsbereitstellung zu verwalten.
Festlegen des Upgrade-Zeitplans für Cluster
So legen Sie den Upgrade-Zeitplan fest:
| 1 |
Melden Sie sich bei Partner Hub an. |
| 2 |
Wählen Sie im Menü auf der linken Seite die Option Dienste aus. |
| 3 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach „Hybrid-Datensicherheit“ und klicken Sie auf Einrichten. |
| 4 |
Wählen Sie auf der Seite „Hybrid-Datensicherheitsressourcen“ den Cluster aus. |
| 5 |
Klicken Sie auf die Registerkarte Cluster-Einstellungen . |
| 6 |
Wählen Sie auf der Seite „Cluster-Einstellungen“ unter „Upgrade-Zeitplan“ die Uhrzeit und die Zeitzone für den Upgrade-Zeitplan aus. Hinweis: Unter der Zeitzone wird der nächste verfügbare Zeitpunkt für ein Upgrade angezeigt. Sie können das Upgrade bei Bedarf auf den folgenden Tag verschieben, indem Sie auf Um 24 Stunden verschieben klicken. |
Ändern der Knotenkonfiguration
-
Änderung der x.509-Zertifikate aufgrund Ablaufs oder anderer Gründe.
Wir unterstützen keine Änderung des CN-Domänennamens eines Zertifikats. Die Domäne muss mit der Originaldomäne übereinstimmen, die zur Registrierung des Clusters verwendet wurde.
-
Datenbankeinstellungen werden aktualisiert, um auf eine Replik der PostgreSQL- oder Microsoft SQL Server-Datenbank zu wechseln.
Wir unterstützen keine Migration von Daten von PostgreSQL zu Microsoft SQL Server oder auf den entgegengesetzten Weg. Um die Datenbankumgebung zu wechseln, starten Sie eine neue Bereitstellung von Hybrid Data Security.
-
Erstellen einer neuen Konfiguration, um ein neues Datenzentrum vorzubereiten.
Aus Sicherheitsgründen verwendet Hybrid Data Security Dienstkonto-Passwörter mit einer Laufzeit von neun Monaten. Nachdem das HDS Setup Tool diese Passwörter generiert hat, stellen Sie sie für jeden Ihrer HDS-Knoten in der ISO-Konfigurationsdatei bereit. Wenn die Kennwörter Ihrer Organisation fast ablaufen, erhalten Sie eine Benachrichtigung vom Webex-Team, mit der Sie das Passwort für Ihr Computerkonto zurücksetzen können. (Die E-Mail enthält den Text "Verwenden Sie die Maschinenkonto-API, um das Passwort zu aktualisieren"). Wenn Ihre Passwörter noch nicht abgelaufen sind, bietet Ihnen das Tool zwei Optionen:
-
Weiches Zurücksetzen – Das alte und das neue Kennwort können beide bis zu 10 Tage lang verwendet werden. Verwenden Sie diesen Zeitraum, um die ISO-Datei der Knoten schrittweise zu ersetzen.
-
Harte Zurücksetzung: Die alten Passwörter funktionieren sofort nicht mehr.
Wenn Ihre Passwörter ohne Zurücksetzen ablaufen, wirkt sich dies auf Ihren HDS-Dienst aus, was ein sofortiges Zurücksetzen und Ersetzen der ISO-Datei auf allen Knoten erfordert.
Verwenden Sie dieses Verfahren, um eine neue ISO-Konfigurationsdatei zu generieren und auf Ihren Cluster anzuwenden.
Vorbereitungen
-
Das HDS Setup Tool wird als Docker Container auf einem lokalen Computer ausgeführt. Um darauf zu zugreifen, führen Sie Docker auf diesem Computer aus. Der Einrichtungsprozess erfordert die Anmeldeinformationen eines Partner Hub-Kontos mit vollen Partneradministratorrechten.
Wenn das HDS Setup-Tool hinter einem Proxy in Ihrer Umgebung ausgeführt wird, geben Sie die Proxy-Einstellungen (Server, Port, Anmeldeinformationen) über die Docker-Umgebungsvariablen an, wenn Sie den Docker Container in 1.e aufrufen. Diese Tabelle enthält einige mögliche Umgebungsvariablen:
Beschreibung
Variable
HTTP-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORTHTTPS-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORT -
Um eine neue Konfiguration zu erstellen, benötigen Sie eine Kopie der aktuellen ISO-Konfigurationsdatei. Die ISO enthält den Masterschlüssel zur Verschlüsselung der PostgreSQL- oder Microsoft SQL Server-Datenbank. Sie benötigen die ISO-Datei, wenn Sie Konfigurationsänderungen vornehmen, wie z. B. Datenbank-Anmeldeinformationen, Zertifikataktualisierungen oder Änderungen an der Autorisierungsrichtlinie.
| 1 |
Führen Sie auf einem lokalen Computer, auf dem Docker läuft, das HDS Setup Tool aus. |
| 2 |
Wenn Sie nur einen HDS-Knoten ausführen, erstellen Sie eine neue VM für den Hybrid-Datensicherheitsknoten und registrieren Sie sie mithilfe der neuen ISO-Konfigurationsdatei. Detaillierte Anweisungen finden Sie unter Weitere Knoten erstellen und registrieren. |
| 3 |
Mounten Sie bei vorhandenen HDS-Knoten, auf denen die ältere Konfigurationsdatei ausgeführt wird, die ISO-Datei. Führen Sie für jeden Knoten des Knotens folgende Schritte durch, indem Sie jeden Knoten aktualisieren, bevor Sie den nächsten Knoten deaktivieren: |
| 4 |
Wiederholen Sie Schritt 3, um bei jedem weiteren Knoten zu ersetzen, auf dem noch die alte Konfiguration ausgeführt wird, die Konfiguration zu ersetzen. |
Blockierte externe DNS Auflösungsmodus deaktivieren
Wenn Sie einen Knoten registrieren oder die Proxykonfiguration des Knotens überprüfen, testet das Verfahren die DNS und die Konnektivität der Cisco WebEx. Wenn der DNS-Server des Knotens öffentliche DNS nicht auflösen kann, geht der Knoten automatisch in den gesperrten externen DNS-Server.
Wenn Ihre Knoten öffentliche DNS über interne DNS-Server auflösen können, aktivieren Sie diesen Modus, indem Sie den Proxyverbindungstest für jeden Knoten deaktivieren.
Vorbereitungen
| 1 |
Öffnen Sie in einem Webbrowser die Schnittstelle für den Hybrid-Datensicherheitsknoten (IP-Adresse/Einrichtung, https://192.0.2.0/setup), geben Sie beispielsweise die für den Knoten eingerichteten Admin-Anmeldeinformationen ein, und klicken Sie dann auf Anmelden. |
| 2 |
Gehen Sie zu Übersicht (Standardseite). Wenn diese Option aktiviert ist, wird die externe DNS auf "Ja" gesetzt . |
| 3 |
Gehen Sie zur Seite Vertrauensspeicher und Proxy . |
| 4 |
Klicken Sie auf Stellvertreterverbindung prüfen. Wenn Sie eine Meldung sehen, dass eine externe DNS nicht erfolgreich war, konnte der Knoten den DNS-Server nicht erreichen und wird in diesem Modus verbleiben. Andernfalls sollte nach dem Neustart des Knotens und der Rückfahrt zur Übersichtsseite die gesperrte externe DNS auf "Nein" gesetzt werden. |
Nächste Schritte
Entfernen eines Knotens
| 1 |
Melden Sie sich über den VMware vSphere-Client auf Ihrem Computer bei dem ESXi virtuellen Host an und schalten Sie die virtuelle Maschine aus. |
| 2 |
Entfernen des Knotens: |
| 3 |
Löschen Sie die VM im vSphere-Client. (Klicken Sie im linken Navigationsbereich mit der rechten Maustaste auf die VM, und klicken Sie auf Löschen.) Wenn Sie die VM nicht löschen, denken Sie daran, die Konfigurations-ISO-Datei zu deinstallieren. Ohne die ISO-Datei können Sie die VM nicht verwenden, um auf Ihre Sicherheitsdaten zuzugreifen. |
Notfallwiederherstellung mit Standby-Rechenzentrum
Der wichtigste Dienst, den Ihr Hybrid-Datensicherheitscluster bietet, ist die Erstellung und Speicherung von Schlüsseln, mit denen Nachrichten und andere in der Webex-Cloud gespeicherte Inhalte verschlüsselt werden. Für jeden Benutzer innerhalb der Organisation, der der Hybrid-Datensicherheit zugewiesen ist, werden neue Anforderungen zur Schlüsselerstellung an das Cluster weitergeleitet. Der Cluster ist zudem dafür verantwortlich, die erstellten Schlüssel an Benutzer zurückzusenden, die zum Abrufen von Schlüsseln berechtigt sind. Hierzu gehören beispielsweise Mitglieder eines Gesprächsraums.
Da der Cluster die wichtige Funktion erfüllt, diese Schlüssel bereitzustellen, ist es höchst wichtig, dass der Cluster in Betrieb bleibt und korrekte Backups erstellt werden. Der Verlust der Hybrid-Datensicherheitsdatenbank oder der für das Schema verwendeten Konfigurations-ISO führt zu einem NICHT BEHEBBAREN VERLUST von Kundeninhalten. Die folgenden Praktiken sind zwingend erforderlich, um einem derartigen Verlust vorzubeugen:
Wenn eine Katastrophe dazu führt, dass die HDS-Bereitstellung im primären Rechenzentrum nicht mehr verfügbar ist, führen Sie dieses Verfahren aus, um ein manuelles Failover auf das Standby-Rechenzentrum durchzuführen.
Vorbereitungen
| 1 |
Starten Sie das HDS-Setup-Tool und führen Sie die unter Erstellen einer Konfigurations-ISO für die HDS-Hosts beschriebenen Schritte aus. |
| 2 |
Schließen Sie den Konfigurationsprozess ab und speichern Sie die ISO-Datei an einem leicht auffindbaren Speicherort. |
| 3 |
Erstellen Sie eine Sicherungskopie der ISO-Datei auf Ihrem lokalen System. Sichern Sie die Sicherungskopie sicher. Die Datei enthält einen Master-Verschlüsselungsschlüssel für die Datenbankinhalte. Beschränken Sie den Zugriff auf Administratoren für Hybrid-Datensicherheit, die Konfigurationsänderungen vornehmen sollten. |
| 4 |
Rechtsklicken Sie im linken Navigationsbereich des VMware vSphere Client auf die VM. Klicken Sie daraufhin auf Edit Settings (Einstellungen bearbeiten). |
| 5 |
Klicken Sie auf Einstellungen bearbeiten >CD/DVD-Laufwerk 1 und wählen Sie Datenspeicher-ISO-Datei. Stellen Sie sicher, dass Verbunden und Verbinden beim Einschalten aktiviert sind, damit aktualisierte Konfigurationsänderungen nach dem Starten der Knoten wirksam werden können. |
| 6 |
Schalten Sie den HDS-Knoten ein und stellen Sie sicher, dass mindestens 15 Minuten lang keine Alarme vorhanden sind. |
| 7 |
Registrieren Sie den Knoten im Partner Hub. Weitere Informationen finden Sie unter Ersten Knoten im Cluster registrieren. |
| 8 |
Wiederholen Sie den Vorgang für jeden Knoten im Standby-Rechenzentrum. |
Nächste Schritte
(Optional) ISO nach HDS-Konfiguration aushängen
Die Standard-HDS-Konfiguration wird mit eingebauter ISO ausgeführt. Einige Kunden ziehen es jedoch vor, die ISO-Dateien nicht kontinuierlich eingebunden zu lassen. Sie können die ISO-Datei unmounten, nachdem alle HDS-Knoten die neue Konfiguration übernommen haben.
Sie verwenden weiterhin die ISO-Dateien, um Konfigurationsänderungen vorzunehmen. Wenn Sie eine neue ISO erstellen oder eine ISO über das Setup-Tool aktualisieren, müssen Sie die aktualisierte ISO auf allen HDS-Knoten mounten. Wenn alle Knoten die Konfigurationsänderungen übernommen haben, können Sie die ISO mit diesem Verfahren erneut deinstallieren.
Vorbereitungen
Aktualisieren Sie alle Ihre HDS-Knoten auf Version 2021.01.22.4720 oder höher.
| 1 |
Fahren Sie einen Ihrer HDS-Knoten herunter. |
| 2 |
Wählen Sie in der vCenter Server-Appliance den HDS-Knoten aus. |
| 3 |
Wählen Sie und deaktivieren Sie ISO-Datei für Datenspeicher. |
| 4 |
Schalten Sie den HDS-Knoten ein und stellen Sie sicher, dass mindestens 20 Minuten lang keine Alarme angezeigt werden. |
| 5 |
Wiederholen Sie dies für jeden HDS-Knoten der Reihe nach. |
Problembehandlung der Hybrid-Datensicherheit
Anzeigen von Warnungen und Beheben von Fehlern
Eine Hybrid-Datensicherheitsbereitstellung gilt als nicht verfügbar, wenn alle Knoten im Cluster nicht erreichbar sind oder der Cluster so langsam arbeitet, dass eine Zeitüberschreitung erforderlich ist. Wenn Benutzer Ihr Hybrid-Datensicherheitscluster nicht erreichen können, treten folgende Symptome auf:
-
Neue Bereiche können nicht erstellt werden (es konnten keine neuen Schlüssel erstellt werden)
-
Nachrichten- und Bereichstitel konnten für folgende Benutzer nicht entschlüsselt werden:
-
Neue zu einem Bereich hinzugefügte Benutzer (Schlüssel konnten nicht abgerufen werden)
-
Vorhandene Benutzer in einem Bereich, der einen neuen Client verwendet (Schlüssel konnten nicht abgerufen werden)
-
-
Vorhandene Benutzer in einem Bereich werden weiterhin erfolgreich ausgeführt, sofern ihre Clients über einen Cache für Verschlüsselungsschlüssel verfügen
Es ist wichtig, dass Sie Ihren Hybrid-Datensicherheitscluster ordnungsgemäß überwachen und alle Warnungen umgehend adressieren, um Dienstunterbrechungen zu vermeiden.
Warnungen
Wenn es ein Problem mit der Einrichtung der Hybrid-Datensicherheit gibt, zeigt Partner Hub Warnungen an den Administrator der Organisation an und sendet E-Mails an die konfigurierte E-Mail-Adresse. Die Warnungen betreffen viele gängige Szenarien.
|
Alarm |
Vorgang |
|---|---|
|
Fehler beim Zugriff auf die lokale Datenbank. |
Überprüfen Sie das System auf Datenbankfehler oder lokale Netzwerkprobleme. |
|
Fehler beim Herstellen einer Verbindung zur lokalen Datenbank. |
Vergewissern Sie sich, dass der Datenbankserver verfügbar ist und die richtigen Dienstkonto-Anmeldeinformationen in der Knotenkonfiguration verwendet wurden. |
|
Fehler beim Zugriff auf den Clouddienst. |
Überprüfen Sie, ob die Knoten auf die Webex-Server zugreifen können, wie unter Externe Verbindungsanforderungen angegeben. |
|
Registrierung des Clouddiensts wird erneuert. |
Registrierung von Clouddiensten wurde verworfen. Erneuerung der Registrierung wird durchgeführt. |
|
Registrierung des Clouddiensts wurde verworfen. |
Registrierung von Clouddiensten wurde beendet. Dienst wird beendet. |
|
Dienst noch nicht aktiviert. |
Aktivieren Sie HDS in Partner Hub. |
|
Konfigurierte Domäne stimmt nicht mit dem Serverzertifikat überein. |
Vergewissern Sie sich, dass das Serverzertifikat mit der konfigurierten Dienstaktivierungsdomäne übereinstimmt. Die wahrscheinlichste Ursache lautet, dass die Zertifikat-CN vor kurzem geändert wurde und nun von der CN abweicht, die während der ursprünglichen Einrichtung verwendet wurde. |
|
Clouddienste konnten nicht authentifiziert werden. |
Prüfen Sie die Daten auf korrekte Eingabe und einen möglichen Ablauf der Dienstkonto-Anmeldeinformationen. |
|
Lokale Schlüsselspeicherdatei konnte nicht geöffnet werden. |
Überprüfen Sie die lokale Schlüsselspeicherdatei auf Integrität und Kennwortgenauigkeit. |
|
Lokales Serverzertifikat ist ungültig. |
Überprüfen Sie das Ablaufdatum des Serverzertifikats und vergewissern Sie sich, dass es von einer vertrauenswürdigen Zertifizierungsstelle ausgestellt wurde. |
|
Metriken konnten nicht gepostet werden. |
Überprüfen Sie den Zugriff des lokalen Netzwerks auf externe Clouddienste. |
|
Das Verzeichnis /media/configdrive/hds ist nicht vorhanden. |
Überprüfen Sie die ISO-Mountkonfiguration auf dem virtuellen Host. Vergewissern Sie sich, dass die ISO-Datei vorhanden ist, die beim Neustart für das Mounten konfiguriert ist und das Mounten erfolgreich ausgeführt wird. |
|
Die Einrichtung der Mandanten-Organisation ist für die hinzugefügten Organisationen nicht abgeschlossen |
Schließen Sie die Einrichtung ab, indem Sie mit dem HDS Setup Tool CMKs für neu hinzugefügte Mandantenorganisationen erstellen. |
|
Die Einrichtung der Mandantenorganisation ist für die entfernten Organisationen nicht abgeschlossen |
Schließen Sie die Einrichtung ab, indem Sie die CMKs der Mandantenorganisationen, die mit dem HDS Setup Tool entfernt wurden, widerrufen. |
Problembehandlung der Hybrid-Datensicherheit
| 1 |
Prüfen Sie Partner Hub auf Warnungen und beheben Sie alle Elemente, die Sie dort finden. Weitere Informationen finden Sie im Bild unten. |
| 2 |
Überprüfen Sie die Syslog-Serverausgabe auf Aktivität aus der Hybrid-Datensicherheitsbereitstellung. Filtern Sie nach Wörtern wie „Warnung“ und „Fehler“, um bei der Fehlerbehebung zu helfen. |
| 3 |
Kontaktieren Sie den Cisco-Support. |
Sonstige Hinweise
Bekannte Probleme mit Hybrid-Datensicherheit
-
Wenn Sie Ihren Hybrid-Datensicherheitscluster herunterfahren (indem Sie ihn im Partner Hub löschen oder alle Knoten herunterfahren), Ihre Konfigurations-ISO-Datei verlieren oder den Zugriff auf die Keystore-Datenbank verlieren, können Webex-App-Benutzer von Kundenorganisationen keine Bereiche in ihrer Personenliste mehr verwenden, die mit Schlüsseln von Ihrem KMS erstellt wurden. Wir haben aktuell keine Problemumgehung oder Lösung für dieses Problem und empfehlen Ihnen dringend, Ihre HDS-Dienste nicht herunterzufahren, sobald sie aktive Benutzerkonten verarbeiten.
-
Ein Client, der über eine bestehende ECDH-Verbindung zu einem KMS verfügt, hält die Verbindung für einen Zeitraum aufrecht (ca. eine Stunde).
Generieren einer PKCS12-Datei mit OpenSSL
Vorbereitungen
-
OpenSSL ist eines der Tools, mit denen die PKCS12-Datei im richtigen Format für das Laden in das HDS-Setuptool erstellt werden kann. Es gibt auch andere Verfahren, keines davon wird von uns bevorzugt.
-
Wenn Sie sich für die Verwendung von OpenSSL entscheiden, stellen wir Ihnen dieses Verfahren als Richtlinie zur Verfügung, um eine Datei zu erstellen, die die X.509-Zertifikatsanforderungen in X.509-Zertifikatsanforderungen erfüllt. Machen Sie sich mit diesen Anforderungen vertraut, bevor Sie fortfahren.
-
Installieren Sie OpenSSL in einer unterstützten Umgebung. Software und Dokumentation finden Sie auf https://www.openssl.org.
-
Erstellen Sie einen privaten Schlüssel.
-
Beginnen Sie mit diesem Verfahren, wenn Sie das Serverzertifikat von Ihrer Zertifizierungsstelle (CA, Certificate Authority) erhalten.
| 1 |
Wenn Sie das Zertifikat von der CA erhalten, speichern Sie es als |
| 2 |
Zeigen Sie das Zertifikat als Text an, und überprüfen Sie die Details.
|
| 3 |
Erstellen Sie in einem Text-Editor eine Zertifikatpaketdatei namens
|
| 4 |
Erstellen Sie die P12-Datei mit dem Anzeigenamen
|
| 5 |
Überprüfen Sie die Zertifikatdetails. |
Nächste Schritte
Kehren Sie zurück zu Voraussetzungen für Hybrid-Datensicherheit erfüllen. Sie verwenden die Datei hdsnode.p12 und das Passwort, das Sie dafür festgelegt haben, unter Erstellen einer Konfigurations-ISO für die HDS-Hosts.
Sie können diese Dateien wiederverwenden, um ein neues Zertifikat anzufordern, wenn das ursprüngliche Zertifikat abläuft.
Datenverkehr zwischen den HDS-Knoten und der Cloud
Metriksammlung von ausgehendem Datenverkehr
Die Hybrid-Datensicherheitsknoten senden bestimmte Metriken an die Webex-Cloud. Dazu gehören Systemmetriken für max. Heap, verbrauchter Heap, CPU-Auslastung und Threadanzahl; Metriken zu synchronen und asynchronen Threads; Metriken zu Warnungen, darunter auch ein Schwellenwert der verschlüsselten Verbindungen, Latenz oder eine Anforderungswarteschlangenlänge; Metriken zum Datenspeicher; und Metriken zu verschlüsselten Verbindungen. Die Knoten senden verschlüsseltes Schlüsselmaterial über einen Out-of-Band-Kanal (separat von der Anforderung).
Eingehender Datenverkehr
Die Hybrid-Datensicherheitsknoten erhalten die folgenden Arten von eingehendem Datenverkehr von der Webex-Cloud:
-
Verschlüsselungsanforderungen von Clients, die vom Verschlüsselungsdienst umgeleitet werden
-
Upgrades für die Knoten-Software
Konfigurieren von Tintenfisch für die Hybriddatensicherheit
WebSocket kann nicht über SquID Proxy verbunden werden
Squid-Proxys, die den HTTPS-Datenverkehr prüfen, können die Einrichtung von Websocket-Verbindungen (wss:) beeinträchtigen, die für Hybrid Data Security erforderlich ist. Diese Abschnitte geben Anweisungen, wie Sie verschiedene Versionen von Squid konfigurieren, um WSS zu ignorieren: Datenverkehr für den ordnungsgemäßen Ablauf der Services.
Squid 4 und 5
Fügen Sie die on_unsupported_protocol Richtlinie zu squid.conf hinzu:
on_unsupported_protocol Alle tunnelSquid 3.5.27
Wir haben die Hybriddatensicherheit erfolgreich mit den folgenden Regeln getestet, die zu squid .conf hinzugefügt wurden. Diese Regeln können sich geändert werden, da wir Funktionen entwickeln und die WebEx Cisco aktualisieren.
acl wssMercuryConnection ssl::server_name_regex mercury-connection ssl_bump splice wssMercuryConnection acl step1 at_step SslBump1 acl step2 at_step SslBump2 acl step3 at_step SslBump3 ssl_bump peek step1 alle ssl_bump stare step2 alle ssl_bump bump step3 alleHybrid-Datensicherheitscluster einrichten
Ablauf der Bereitstellungsaufgabe für die Hybrid-Datensicherheit
| 1 |
Erste Einrichtung durchführen und Installationsdateien herunterladen Laden Sie die OVA-Datei für eine spätere Verwendung auf Ihren lokalen Computer herunter. |
| 2 |
Erstellen einer ISO-Konfigurationsdatei für die HDS-Hosts Erstellen Sie mit dem HDS Setup Tool eine ISO-Konfigurationsdatei für die Hybrid-Datensicherheitsknoten. |
| 3 |
Erstellen Sie eine virtuelle Maschine aus der OVA-Datei und führen Sie eine erste Konfiguration durch, z. B. Netzwerkeinstellungen. Die Option zum Konfigurieren der Netzwerkeinstellungen während der OVA-Bereitstellung wurde mit ESXi 7.0 getestet. In früheren Versionen ist diese Option möglicherweise nicht verfügbar. |
| 4 |
Einrichten der Hybrid-Datensicherheits-VM Melden Sie sich bei der VM-Konsole an und legen Sie die Anmeldeinformationen fest. Konfigurieren Sie die Netzwerkeinstellungen für den Knoten, falls Sie diese bei der OVA-Bereitstellung nicht konfiguriert haben. |
| 5 |
Hochladen und Mounten der HDS-Konfigurations-ISO Konfigurieren Sie die VM aus der ISO-Konfigurationsdatei, die Sie mit dem HDS Setup Tool erstellt haben. |
| 6 |
Konfigurieren des HDS Knotens für Proxyintegration Wenn für die Netzwerkumgebung eine Proxy-Konfiguration erforderlich ist, geben Sie den Proxy-Typ an, den Sie für den Knoten verwenden möchten, und fügen Sie das Proxy-Zertifikat ggf. zum Vertrauensspeicher hinzu. |
| 7 |
Ersten Knoten im Cluster registrieren Registrieren Sie die VM in der Cisco Webex Cloud als Hybrid-Datensicherheitsknoten. |
| 8 |
Weitere Knoten erstellen und registrieren Schließen Sie die Cluster-Einrichtung ab. |
| 9 |
Aktivieren Sie Multi-Tenant-HDS in Partner Hub. Aktivieren Sie HDS und verwalten Sie Mandantenorganisationen in Partner Hub. |
Erste Einrichtung durchführen und Installationsdateien herunterladen
Bei dieser Aufgabe laden Sie eine OVA-Datei auf Ihren Computer herunter (nicht auf die Server, die Sie als Hybrid-Datensicherheitsknoten eingerichtet haben). Sie können diese Datei zu einem späteren Zeitpunkt im Installationsprozess verwenden.
| 1 |
Melden Sie sich bei Partner Hub an und klicken Sie auf Dienste. |
| 2 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach der Hybrid-Datensicherheitskarte und klicken Sie auf Einrichten. Das Klicken auf Einrichten in Partner Hub ist entscheidend für den Bereitstellungsprozess. Fahren Sie mit der Installation nicht fort, ohne diesen Schritt abzuschließen. |
| 3 |
Klicken Sie auf Ressource hinzufügen und dann auf OVA-Datei herunterladen auf der Karte Software installieren und konfigurieren . Ältere Versionen des Softwarepakets (OVA) sind mit den neuesten Upgrades für die Hybrid-Datensicherheit nicht kompatibel. Dies kann zu Problemen beim Upgrade der Anwendung führen. Stellen Sie sicher, dass Sie die neueste Version der OVA-Datei herunterladen. Sie können die OVA auch jederzeit im Abschnitt Hilfe herunterladen. Klicken Sie auf . Der Download der OVA-Datei beginnt automatisch. Speichern Sie die Datei auf Ihrem Computer.
|
| 4 |
Klicken Sie optional auf Bereitstellungsleitfaden zur Hybrid-Datensicherheit anzeigen , um zu überprüfen, ob eine spätere Version dieses Leitfadens verfügbar ist. |
Erstellen einer ISO-Konfigurationsdatei für die HDS-Hosts
Beim Einrichtungsprozess für die Hybrid-Datensicherheit wird eine ISO-Datei erstellt. Anschließend verwenden Sie die ISO, um Ihren Hybrid-Datensicherheitshost zu konfigurieren.
Vorbereitungen
-
Das HDS Setup Tool wird als Docker Container auf einem lokalen Computer ausgeführt. Um darauf zu zugreifen, führen Sie Docker auf diesem Computer aus. Der Einrichtungsprozess erfordert die Anmeldeinformationen eines Partner Hub-Kontos mit vollständigen Administratorrechten.
Wenn das HDS Setup-Tool hinter einem Proxy in Ihrer Umgebung ausgeführt wird, geben Sie die Proxy-Einstellungen (Server, Port, Anmeldeinformationen) über die Docker-Umgebungsvariablen an, wenn Sie den Docker-Container in Schritt 5 unten aufrufen. Diese Tabelle enthält einige mögliche Umgebungsvariablen:
Beschreibung
Variable
HTTP-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORTHTTPS-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORT -
Die von Ihnen generierte ISO-Konfigurationsdatei enthält den Hauptschlüssel zur Verschlüsselung der PostgreSQL- oder Microsoft SQL Server-Datenbank. Sie benötigen die neueste Kopie dieser Datei, wenn Sie Konfigurationsänderungen wie die folgenden vornehmen:
-
Datenbank-Anmeldeinformationen
-
Zertifikats-Aktualisierungen
-
Änderungen an der Autorisierungsrichtlinie
-
-
Wenn Sie Datenbankverbindungen verschlüsseln möchten, richten Sie Ihre PostgreSQL- oder SQL Server-Bereitstellung für TLS ein.
| 1 |
Geben Sie in der Befehlszeile Ihres Computers den entsprechenden Befehl für Ihre Umgebung ein: In regulären Umgebungen: In FedRAMP-Umgebungen: Mit diesem Schritt werden die Bilder vorheriger HDS-Setup-Tools bereinigt. Wenn keine vorherigen Bilder angezeigt werden, erhalten Sie eine Fehlermeldung, die Sie ignorieren können. | ||||||||||
| 2 |
Um sich bei der Docker-Image-Registrierung anmelden zu können, geben Sie Folgendes ein: | ||||||||||
| 3 |
Geben Sie in der Passwortaufforderung diese Hash-Eingabe ein: | ||||||||||
| 4 |
Laden Sie das aktuellste stabile Bild für Ihre Umgebung herunter: In regulären Umgebungen: In FedRAMP-Umgebungen: | ||||||||||
| 5 |
Geben Sie nach Abschluss des Pull-Befehls den entsprechenden Befehl für Ihre Umgebung ein:
Wenn der Container ausgeführt wird, wird "Express server listening on port 8080" (Express-Server hören auf Port 8080) sehen. | ||||||||||
| 6 |
Das Setup-Tool unterstützt die Verbindung zu localhost über http://localhost:8080 nicht. Verwenden Sie http://127.0.0.1:8080 , um eine Verbindung zum Localhost herzustellen. Navigieren Sie in einem Webbrowser zum Localhost, Das Tool verwendet diesen ersten Eintrag des Benutzernamens, um die richtige Umgebung für dieses Konto festzulegen. Das Tool zeigt dann die Standard-Anmeldeaufforderung an. | ||||||||||
| 7 |
Wenn Sie dazu aufgefordert werden, geben Sie Ihre Partner Hub-Administratoranmeldeinformationen ein und klicken Sie dann auf Anmelden , um den Zugriff auf die für die Hybrid-Datensicherheit erforderlichen Dienste zu erlauben. | ||||||||||
| 8 |
Klicken Sie auf der Übersichtsseite des Setup Tool auf Get Started (Erste Schritte). | ||||||||||
| 9 |
Auf der Seite ISO-Import stehen Ihnen folgende Optionen zur Verfügung:
| ||||||||||
| 10 |
Überprüfen Sie, ob Ihr X.509-Zertifikat die Anforderungen in X.509-Zertifikatsanforderungen erfüllt.
| ||||||||||
| 11 |
Geben Sie die Datenbankadresse und das Konto für HDS ein, um auf Ihren Schlüsseldatenspeicher zuzugreifen: | ||||||||||
| 12 |
Wählen Sie einen TLS-Datenbankverbindungsmodus aus:
Wenn Sie das Stammzertifikat hochladen (falls erforderlich) und auf Weiter klicken, testet das HDS Setup Tool die TLS-Verbindung zum Datenbankserver. Das Tool überprüft auch den Zertifikat signer und den Hostnamen, falls vorhanden. Wenn ein Test fehlschlägt, zeigt das Tool eine Fehlermeldung an, in der das Problem beschrieben wird. Sie können auswählen, ob Sie den Fehler ignorieren und mit der Einrichtung fortfahren möchten. (Aufgrund von Verbindungsunterschieden können die HDS-Knoten möglicherweise eine TLS-Verbindung herstellen, auch wenn das HDS Setup Tool diese nicht erfolgreich testen kann.) | ||||||||||
| 13 |
Konfigurieren Sie auf der Seite Systemprotokolle Ihren Syslogd-Server: | ||||||||||
| 14 |
(Optional) Sie können den Standardwert für einige Datenbankverbindungsparameter unter Erweiterte Einstellungen ändern. Im Allgemeinen ist dieser Parameter der einzige, den Sie ändern möchten: | ||||||||||
| 15 |
Klicken Sie im Bildschirm Kennwort für Dienstkonten zurücksetzen auf Weiter . Passwörter für Dienstkonten haben eine Lebensdauer von neun Monaten. Verwenden Sie diesen Bildschirm, wenn Ihre Passwörter bald ablaufen oder Sie sie zurücksetzen möchten, um frühere ISO-Dateien ungültig zu machen. | ||||||||||
| 16 |
Klicken Sie auf Download ISO File (ISO-Datei herunterladen). Speichern Sie die Datei an einem leicht auffindbaren Speicherort. | ||||||||||
| 17 |
Erstellen Sie eine Sicherungskopie der ISO-Datei auf Ihrem lokalen System. Sichern Sie die Sicherungskopie sicher. Die Datei enthält einen Master-Verschlüsselungsschlüssel für die Datenbankinhalte. Beschränken Sie den Zugriff auf Administratoren für Hybrid-Datensicherheit, die Konfigurationsänderungen vornehmen sollten. | ||||||||||
| 18 |
Um das Setup Tool herunterzufahren, tippen Sie |
Nächste Schritte
Sichern Sie die ISO-Konfigurationsdatei. Sie benötigen sie, um weitere Knoten für die Wiederherstellung zu erstellen oder Konfigurationsänderungen vorzunehmen. Wenn Sie alle Kopien der ISO-Datei verlieren, haben Sie auch den Hauptschlüssel verloren. Die Schlüssel aus Ihrer PostgreSQL- oder Microsoft SQL Server-Datenbank können nicht wiederhergestellt werden.
Wir haben nie eine Kopie dieses Schlüssels und können nicht helfen, wenn Sie ihn verlieren.
Installieren des HDS Host OVA
| 1 |
Melden Sie sich über den VMware vSphere-Client auf Ihrem Computer bei dem ESXi virtuellen Host an. |
| 2 |
Wählen Sie Datei > OVF-Vorlage bereitstellen aus. |
| 3 |
Geben Sie im Assistenten den Speicherort der OVA-Datei an, die Sie zuvor heruntergeladen haben, und klicken Sie auf Weiter. |
| 4 |
Geben Sie auf der Seite Name und Ordner auswählen einen Namen der virtuellen Maschine für den Knoten ein (z. B. „HDS_Node_1“), wählen Sie einen Ort aus, an dem sich die Knotenbereitstellung der virtuellen Maschine befinden kann, und klicken Sie auf Weiter. |
| 5 |
Wählen Sie auf der Seite Berechnungsressource auswählen die Ziel-Berechnungsressource aus, und klicken Sie auf Weiter. Eine Validierungsprüfung wird ausgeführt. Nach Abschluss werden die Vorlagendetails angezeigt. |
| 6 |
Überprüfen Sie die Vorlagendetails, und klicken Sie dann auf Weiter. |
| 7 |
Wenn Sie aufgefordert werden, die Ressourcenkonfiguration auf der Seite Konfiguration auszuwählen, klicken Sie auf 4 CPU und dann auf Weiter. |
| 8 |
Klicken Sie auf der Seite Speicher auswählen auf Weiter , um das standardmäßige Festplattenformat und die VM-Speicherrichtlinie zu akzeptieren. |
| 9 |
Wählen Sie auf der Seite Netzwerke auswählen die Netzwerkoption aus der Liste der Einträge aus, um die gewünschte Konnektivität für die VM bereitzustellen. |
| 10 |
Konfigurieren Sie auf der Seite Vorlage anpassen die folgenden Netzwerkeinstellungen:
Wenn Sie dies vorziehen, können Sie die Konfiguration der Netzwerkeinstellungen überspringen und die Schritte unter Einrichten der Hybrid-Datensicherheit-VM befolgen, um die Einstellungen über die Knotenkonsole zu konfigurieren. Die Option zum Konfigurieren der Netzwerkeinstellungen während der OVA-Bereitstellung wurde mit ESXi 7.0 getestet. In früheren Versionen ist diese Option möglicherweise nicht verfügbar. |
| 11 |
Klicken Sie mit der rechten Maustaste auf die Knoten-VM, und wählen Sie . Die Hybrid-Datensicherheitssoftware wird als Gast auf dem VM-Host installiert. Sie können sich jetzt bei der Konsole anmelden und den Knoten konfigurieren. Leitfaden zur Fehlerbehebung Es kann zu einer Verzögerung von einigen Minuten kommen, bis die Knotencontainer angezeigt werden. Beim erstmaligen Start wird eine Bridge-Firewall-Nachricht angezeigt, während der Sie sich anmelden können. |
Einrichten der Hybrid-Datensicherheits-VM
Mit diesem Verfahren können Sie sich zum ersten Mal bei der VM-Konsole des Hybrid-Datensicherheitsknotens anmelden und die Anmeldeinformationen festlegen. Sie können auch die Konsole verwenden, um die Netzwerkeinstellungen für den Knoten zu konfigurieren, falls Sie diese bei der OVA-Bereitstellung nicht konfiguriert haben.
| 1 |
Wählen Sie im VMware vSphere-Client, Ihre Hybrid-Datensicherheitsknoten-VM und daraufhin die Registerkarte Console (Konsole) aus. Die VM fährt hoch und ein Anmeldebildschirm erscheint. Drücken Sie die Eingabetaste, falls der Anmeldebildschirm nicht angezeigt wird.
|
| 2 |
Verwenden Sie den folgenden Standard-Anmeldenamen und das Standardkennwort, um sich anzumelden und die Anmeldedaten zu ändern: Da Sie sich zum ersten Mal bei der VM anmelden, müssen Sie das Administratorkennwort ändern. |
| 3 |
Wenn Sie die Netzwerkeinstellungen bereits unter Installieren der HDS-Host-OVA konfiguriert haben, überspringen Sie den Rest dieses Verfahrens. Wählen Sie andernfalls im Hauptmenü die Option Konfiguration bearbeiten aus. |
| 4 |
Richten Sie eine statische Konfiguration ein und geben Sie die Daten für IP-Adresse, Maske, Gateway und DNS ein. Ihr Knoten hat jetzt eine interne IP-Adresse und einen DNS-Namen. DHCP wird nicht unterstützt. |
| 5 |
(Optional) Ändern Sie die Werte für Hostname, Domäne oder NTP-Server, wenn dies gemäß Ihren Netzwerkrichtlinien erforderlich ist. Sie müssen die Domäne nicht auf die Domäne ändern, über die Sie das X.509-Zertifikat erhalten haben. |
| 6 |
Speichern Sie die Netzwerkkonfiguration und starten Sie die VM neu, damit die Änderungen in Kraft treten. |
Hochladen und Mounten der HDS-Konfigurations-ISO
Vorbereitungen
Da die ISO-Datei den Hauptschlüssel enthält, sollte sie nur auf Basis eines "Need-to-Know"-Basis zugänglich gemacht werden, für den Zugriff durch die Hybrid Data Security-VMs und alle Administratoren, die möglicherweise Änderungen vornehmen müssen. Stellen Sie sicher, dass nur diese Administratoren Zugriff auf den Datenspeicher haben.
| 1 |
Laden Sie die ISO-Datei von Ihrem Computer hoch: |
| 2 |
Mounten Sie die ISO-Datei: |
Nächste Schritte
Wenn Ihre IT-Richtlinie dies erfordert, können Sie optional die ISO-Datei unmounten, nachdem alle Knoten die Konfigurationsänderungen übernommen haben. Weitere Informationen finden Sie unter (Optional) ISO nach HDS-Konfiguration unmounten .
Konfigurieren des HDS Knotens für Proxyintegration
Wenn die Netzwerkumgebung einen Proxy erfordert, geben Sie mit diesem Vorgang den Typ des Proxy an, den Sie in die Hybriddatensicherheit integrieren möchten. Wenn Sie einen transparenten Anrufproxy oder einen HTTPS expliziten Proxy wählen, können Sie die Stammzertifikat über die Schnittstelle des Knotens hochladen und installiert werden. Sie können auch die Proxyverbindung über die Schnittstelle überprüfen und mögliche Probleme beheben.
Vorbereitungen
-
Eine Übersicht der unterstützten Proxy-Optionen finden Sie unter Proxy-Unterstützung .
| 1 |
Geben Sie den HDS Knoten Setup URL |
| 2 |
Gehen Sie zu Trust Store & Proxyund wählen Sie dann eine Option:
Befolgen Sie die nächsten Schritte für einen transparenten Inspektionsproxy, einen HTTP expliziten Proxy mit Basisauthentifizierung oder einen HTTPS expliziten Proxy |
| 3 |
Klicken Sie auf ein Zertifikat für das Stammzertifikat oder Endnutzerzertifikat hochladen, und navigieren Sie dann zu einer Stammzertifikat für den Proxy. Das Zertifikat ist hochgeladen, aber noch nicht installiert, da Sie den Knoten neu starten müssen, um das Zertifikat zu installieren. Klicken Sie auf den Chevron Pfeil unter dem Namen des Zertifikats, um weitere Details zu erhalten, oder klicken Sie auf löschen, Wenn Sie Fehler gemacht haben und die Datei erneut hochladen möchten. |
| 4 |
Klicken Sie auf Stellvertreterverbindung prüfen , um die Netzwerkverbindung zwischen dem Knoten und dem Proxy zu testen. Wenn der Verbindungstest ausfällt, wird eine Fehlermeldung angezeigt, die den Grund und die Frage, wie Sie das Problem beheben können, anzeigt. Wenn Sie eine Meldung sehen, dass eine externe DNS nicht erfolgreich war, konnte der Knoten den DNS-Server nicht erreichen. Diese Bedingung wird in vielen expliziten Proxykonfigurationen erwartet. Sie können mit dem Setup fortfahren, und der Knoten wird im gesperrten externen DNS-Server funktionieren. Wenn Sie glauben, dass es sich um einen Fehler handelt, führen Sie die folgenden Schritte aus. Siehe Modus für blockierte externe DNS-Auflösung deaktivieren. |
| 5 |
Nach dem Durchführen des Verbindungstests, für expliziten Proxy, der nur auf HTTPS gesetzt ist, aktivieren Sie die Option so schalten Sie alle Port 443/444 https Anfragen aus diesem Knoten durch den expliziten Proxy Diese Einstellung benötigt 15 Sekunden, um wirksam zu werden. |
| 6 |
Klicken Sie auf alle-Zertifizierungsstellen in den Trust Store installieren (erscheint für einen HTTPS expliziten Proxy oder einen transparenten Inspektionskrimi) oder Neustart (erscheint für einen HTTP expliziten Proxy), lesen Sie die Aufforderung, und klicken Sie dann auf in Der Knoten startet innerhalb weniger Minuten. |
| 7 |
Nachdem der Knoten erneut gestartet wurde, melden Sie sich bei Bedarf erneut an, und öffnen Sie dann die Übersichtsseite, um die Verbindungsüberprüfungen zu überprüfen, um sicherzustellen, dass Sie alle im grünen Status sind. Die Proxyverbindung prüft nur eine Unterdomäne von WebEx.com. Wenn es Verbindungsprobleme gibt, ist ein häufiges Problem, dass einige der in den instructions aufgeführten-C-Domänen beim Proxy gesperrt werden. |
Ersten Knoten im Cluster registrieren
Bei der Registrierung Ihres ersten Knotens erstellen Sie ein Cluster, zu dem der Knoten zugewiesen wird. Ein Cluster umfasst einen oder mehrere Knoten, die aus Redundanzgründen bereitgestellt werden.
Vorbereitungen
-
Sie müssen die Registrierung eines Knotens nach dem Beginn innerhalb von 60 Minuten abschließen, andernfalls müssen Sie erneut beginnen.
-
Stellen Sie sicher, dass alle Popupblocker in Ihrem Browser deaktiviert sind oder dass Sie eine Ausnahme für admin.webex.com zulassen.
| 1 |
Melden Sie sich bei https://admin.webex.com an. |
| 2 |
Wählen Sie im Menü auf der linken Seite die Option Dienste aus. |
| 3 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach der Karte „Hybrid-Datensicherheit“, und klicken Sie auf Einrichten. |
| 4 |
Klicken Sie auf der sich öffnenden Seite auf Ressource hinzufügen. |
| 5 |
Geben Sie im ersten Feld der Karte Knoten hinzufügen einen Namen für das Cluster ein, dem Sie Ihren Hybrid-Datensicherheitsknoten zuweisen möchten. Benennen Sie Ihre Cluster nach Möglichkeit nach dem geografischen Standort der Clusterknoten. Beispiele: „San Francisco“ oder „New York“ oder „Dallas“ |
| 6 |
Geben Sie im zweiten Feld die interne IP-Adresse oder den vollqualifizierten Domänennamen (FQDN) Ihres Knotens ein und klicken Sie unten auf dem Bildschirm auf Hinzufügen . Diese IP-Adresse oder FQDN sollte mit der IP-Adresse oder dem Hostnamen und der Domäne übereinstimmen, die Sie beim Einrichten der Hybrid-Datensicherheit-VM verwendet haben. Es wird eine Meldung angezeigt, dass Sie Ihren Knoten in Webex registrieren können.
|
| 7 |
Klicken Sie auf Go to Node (Zum Knoten wechseln). Nach einigen Augenblicken werden Sie zu den Knoten-Konnektivitätstests für Webex-Dienste umgeleitet. Sind alle Tests erfolgreich, wird die Seite „Allow Access to Hybrid Data Security Node“ (Zugriff zu Hybrid-Datensicherheits-Knoten gewähren) angezeigt. Bestätigen Sie dort, dass Sie Ihrer Webex-Organisation die Zugriffsberechtigungen für Ihren Knoten erteilen möchten. |
| 8 |
Aktivieren Sie das Kontrollkästchen Allow Access to Your Hybrid Data Security Node (Zugriff zu Ihrem Hybrid-Datensicherheits-Knoten gewähren) und klicken Sie anschließend auf Continue (Weiter). Ihr Konto wird validiert, und die Meldung „Registrierung abgeschlossen“ zeigt an, dass Ihr Knoten jetzt in der Webex Cloud registriert ist.
|
| 9 |
Klicken Sie auf den Link oder schließen Sie die Registerkarte, um zur Partner Hub-Hybrid-Datensicherheitsseite zurückzukehren. Auf der Seite Hybrid-Datensicherheit wird das neue Cluster mit dem registrierten Knoten auf der Registerkarte Ressourcen angezeigt. Der Knoten lädt die aktuelle Software automatisch aus der Cloud herunter.
|
Weitere Knoten erstellen und registrieren
Vorbereitungen
-
Sie müssen die Registrierung eines Knotens nach dem Beginn innerhalb von 60 Minuten abschließen, andernfalls müssen Sie erneut beginnen.
-
Stellen Sie sicher, dass alle Popupblocker in Ihrem Browser deaktiviert sind oder dass Sie eine Ausnahme für admin.webex.com zulassen.
| 1 |
Erstellen Sie eine neue virtuelle Maschine über die OVA und wiederholen Sie die Schritte unter Installieren der HDS-Host-OVA. |
| 2 |
Richten Sie die Erstkonfiguration für die neue VM ein. Wiederholen Sie die Schritte unter Einrichten der Hybrid-Datensicherheit-VM. |
| 3 |
Wiederholen Sie auf der neuen VM die Schritte unter HDS-Konfigurations-ISO hochladen und mounten. |
| 4 |
Wenn Sie einen Proxy für Ihre Bereitstellung einrichten, wiederholen Sie die Schritte unter Konfigurieren des HDS-Knotens für die Proxy-Integration nach Bedarf für den neuen Knoten. |
| 5 |
Registrieren Sie den Knoten. |
Neue und geänderte Informationen
Neue und geänderte Informationen
In dieser Tabelle werden neue Funktionen, Änderungen an vorhandenen Inhalten und alle wichtigen Fehler beschrieben, die im Bereitstellungsleitfaden für Multi-Tenant-Hybrid-Datensicherheit behoben wurden.
|
Datum |
Vorgenommenen Änderungen |
|---|---|
|
08. Januar 2025 |
In Erste Einrichtung durchführen und Installationsdateien herunterladen wurde ein Hinweis hinzugefügt, dass das Klicken auf Einrichten auf der HDS-Karte in Partner Hub ein wichtiger Schritt des Installationsprozesses ist. |
|
07. Januar 2025 |
Aktualisierte Anforderungen für virtuelle Gastgeber, Bereitstellungsaufgaben für Hybrid-Datensicherheit und Installieren der HDS-Host-OVA , um neue Anforderungen von ESXi 7.0 anzuzeigen. |
|
13. Dezember 2024 |
Erste Veröffentlichung. |
Multi-Tenant Hybrid-Datensicherheit deaktivieren
Multi-Tenant-HDS-Deaktivierungsaufgabenablauf
Führen Sie diese Schritte aus, um Multi-Tenant-HDS vollständig zu deaktivieren.
Vorbereitungen
| 1 |
Entfernen Sie alle Kunden aus allen Ihren Clustern, wie unter Mandantenorganisationen entfernen erwähnt. |
| 2 |
Widerrufen Sie die CMKs aller Kunden, wie unter CMKs von Tenants, die aus HDS entfernt wurden erwähnt. |
| 3 |
Entfernen Sie alle Knoten aus all Ihren Clustern, wie unter Einen Knoten entfernen erwähnt. |
| 4 |
Löschen Sie alle Ihre Cluster aus Partner Hub mithilfe einer der folgenden beiden Methoden.
|
| 5 |
Klicken Sie auf der Übersichtsseite zur Hybrid-Datensicherheit auf die Registerkarte Einstellungen und klicken Sie auf der HDS-Statuskarte auf HDS deaktivieren . |
Erste Schritte mit der Multi-Tenant-Hybrid-Datensicherheit
Multi-Tenant Hybrid-Datensicherheit – Übersicht
Vom ersten Tag an stand die Datensicherheit im Mittelpunkt der Entwicklung der Webex-App. Der Eckpfeiler dieser Sicherheit ist die durchgängige Verschlüsselung von Inhalten, die durch die Interaktion der Webex-App-Clients mit dem Schlüsselverwaltungsdienst (Key Management Service, KMS) ermöglicht wird. Der KMS erstellt und verwaltet die Kryptografieschlüssel, mit denen die Clients ihre Nachrichten und Dateien dynamisch ver- und entschlüsseln.
Standardmäßig erhalten alle Webex-App-Kunden eine durchgängige Verschlüsselung mit dynamischen Schlüsseln, die im Cloud-KMS im Sicherheitsbereich von Cisco gespeichert werden. Mit Hybrid Data Security werden KMS und andere Sicherheitsfunktionen in das Rechenzentrum Ihres Unternehmens verschoben, damit die Schlüssel zu ihren verschlüsselten Inhalten ausschließlich bei Ihnen liegen.
Multi-Tenant Hybrid Data Security ermöglicht es Unternehmen, HDS über einen vertrauenswürdigen lokalen Partner zu nutzen, der als Dienstleister fungieren und lokale Verschlüsselungs- und andere Sicherheitsdienste verwalten kann. Diese Einrichtung ermöglicht der Partnerorganisation die vollständige Kontrolle über die Bereitstellung und Verwaltung von Verschlüsselungscodes und stellt sicher, dass die Benutzerdaten von Kundenorganisationen vor externem Zugriff geschützt sind. Partnerorganisationen richten HDS-Instanzen ein und erstellen nach Bedarf HDS-Cluster. Im Gegensatz zu einer normalen HDS-Bereitstellung, die auf eine einzelne Organisation beschränkt ist, kann jede Instanz mehrere Kundenorganisationen unterstützen.
Dadurch können kleinere Organisationen auch HDS nutzen, da Schlüsselverwaltungsdienst und Sicherheitsinfrastruktur wie Rechenzentren im Besitz des vertrauenswürdigen lokalen Partners sind.
So bietet Multi-Tenant Hybrid Data Security Datensouveränität und Datenkontrolle
- Benutzergenerierte Inhalte sind wie Cloud-Dienstanbieter vor externem Zugriff geschützt.
- Vertrauenswürdige Partner vor Ort verwalten die Verschlüsselungscodes von Kunden, mit denen sie bereits eine bestehende Beziehung haben.
- Option für lokalen technischen Support, falls vom Partner bereitgestellt.
- Unterstützt Meeting-, Messaging- und Calling-Inhalte.
Dieses Dokument soll Partnerorganisationen bei der Einrichtung und Verwaltung von Kunden in einem Multi-Tenant-Hybrid-Datensicherheitssystem unterstützen.
Rollen in der Multi-Tenant-Hybrid-Datensicherheit
- Partner-Volladministrator – Kann Einstellungen für alle Kunden verwalten, die der Partner verwaltet. Außerdem können Sie bereits vorhandenen Benutzern in der Organisation Administratorrollen zuweisen und bestimmte Kunden für die Verwaltung durch Partneradministratoren zuweisen.
- Partneradministrator – Kann Einstellungen für Kunden verwalten, die der Administrator bereitgestellt hat oder die dem Benutzer zugewiesen wurden.
- Volladministrator – Administrator der Partnerorganisation, der berechtigt ist, Aufgaben auszuführen, z. B. die Änderung von Organisationseinstellungen, die Verwaltung von Lizenzen und das Zuweisen von Rollen.
- Durchgängige Multi-Tenant-HDS-Einrichtung und -Verwaltung aller Kundenorganisationen – Partner-Volladministrator und Volle Administratorrechte erforderlich.
- Verwaltung zugewiesener Mandanten-Organisationen – Partneradministrator und volle Administratorrechte erforderlich.
Sicherheitsbereichsarchitektur
Die Webex-Cloud-Architektur unterteilt verschiedene Arten von Diensten in separate Bereiche oder Vertrauensdomänen, wie unten dargestellt.
Um die Hybrid-Datensicherheit besser zu verstehen, schauen wir uns zunächst diesen reinen Cloud-Fall an, bei dem Cisco alle Funktionen in seinen Cloud-Bereichen bereitstellt. Der Identitätsdienst, der einzige Ort, an dem Benutzer direkt mit ihren persönlichen Informationen in Verbindung gebracht werden können, wie z. B. die E-Mail-Adresse, ist logisch und physisch vom Sicherheitsbereich in Rechenzentrum B getrennt. Er ist wiederum von dem Bereich getrennt, in dem verschlüsselte Inhalte letztendlich gespeichert werden, in Rechenzentrum C.
In diesem Diagramm ist der Client die Webex-App, die auf dem Laptop eines Benutzers ausgeführt wird und sich mit dem Identitätsdienst authentifiziert hat. Wenn der Benutzer eine Nachricht verfasst, die er an einen Bereich senden möchte, finden folgende Schritte statt:
-
Der Client stellt eine sichere Verbindung zum Schlüsselverwaltungsdienst her, und fordert anschließend einen Schlüssel zum Verschlüsseln der Nachricht an. Die sichere Verbindung verwendet ECDH und der Schlüsselverwaltungsdienst verschlüsselt den Schlüssel mit einem AES-256-Hauptschlüssel.
-
Die Nachricht wird verschlüsselt, bevor sie den Client verlässt. Der Client sendet sie an den Indexdienst, der verschlüsselte Suchindizes erstellt, um zukünftige Suchvorgänge nach Inhalten zu unterstützen.
-
Die verschlüsselte Nachricht wird an den Compliancedienst gesendet, damit Complianceprüfungen vorgenommen werden können.
-
Die verschlüsselte Nachricht wird im Speicherbereich abgelegt.
Wenn Sie die Hybrid-Datensicherheit bereitstellen, verschieben Sie die Sicherheitsbereichsfunktionen (KMS, Indexierung und Compliance) in Ihr lokales Rechenzentrum. Die anderen Cloud-Dienste, aus denen Webex besteht (einschließlich Identitätsspeicher und Inhaltsspeicher), verbleiben in den Bereichen von Cisco.
Zusammenarbeit mit anderen Organisationen
Benutzer in Ihrer Organisation können die Webex-App regelmäßig verwenden, um mit externen Teilnehmern in anderen Organisationen zusammenzuarbeiten. Wenn einer Ihrer Benutzer einen Schlüssel für einen Bereich anfordert, der Ihrer Organisation gehört (da er von einem Ihrer Benutzer erstellt wurde) sendet Ihr Schlüsselverwaltungsdienst den Schlüssel über einen mit ECDH gesicherten Kanal an den Client. Wenn eine andere Organisation jedoch den Schlüssel für den Bereich besitzt, leitet Ihr KMS die Anforderung über einen separaten ECDH-Kanal an die Webex-Cloud weiter, um den Schlüssel vom entsprechenden KMS zu erhalten, und gibt den Schlüssel dann an Ihren Benutzer im ursprünglichen Kanal zurück.
Der KMS-Dienst, der unter Organisation A ausgeführt wird, überprüft die Verbindungen zu KMSs in anderen Organisationen mit x.509-PKI-Zertifikaten. Weitere Informationen zur Erzeugung eines x.509-Zertifikats für die Verwendung mit Ihrer Multi-Tenant-Hybrid-Datensicherheitsbereitstellung finden Sie unter Vorbereiten Ihrer Umgebung .
Erwartungen an die Bereitstellung der Hybrid-Datensicherheit
Eine Bereitstellung der Hybrid-Datensicherheit erfordert ein erhebliches Engagement und ein Bewusstsein für die Risiken, die mit dem Besitz von Verschlüsselungscodes einhergehen.
Zur Bereitstellung der Hybrid-Datensicherheit müssen Sie Folgendes bereitstellen:
-
Ein sicheres Rechenzentrum in einem Land, das ein unterstützter Standort für die Cisco Webex Teams-Pläne ist.
-
Geräte, Software und Netzwerkzugriff, die unter Vorbereiten Ihrer Umgebung beschrieben werden.
Der vollständige Verlust der Konfigurations-ISO, die Sie für Hybrid Data Security erstellen, oder der von Ihnen bereitgestellten Datenbank führt zum Verlust der Schlüssel. Der Schlüsselverlust verhindert, dass Benutzer Bereichsinhalte und andere verschlüsselte Daten in der Webex-App entschlüsseln. Falls dies geschieht, können Sie eine neue Bereitstellung erstellen, es werden dabei jedoch nur neue Inhalte angezeigt. Gehen Sie folgendermaßen vor, damit Sie nicht den Zugriff auf die Daten verlieren:
-
Verwalten Sie die Sicherung und Wiederherstellung der Datenbank und die ISO-Konfigurationsdatei.
-
Bereiten Sie sich darauf vor, eine schnelle Notfallwiederherstellung durchzuführen, wenn eine Katastrophe eintritt, z. B. ein Fehler der Datenbank oder ein Absturz des Rechenzentrums.
Es gibt keinen Mechanismus, um Schlüssel nach einer HDS-Bereitstellung zurück in die Cloud zu verschieben.
Übergeordneter Einrichtungsprozess
Dieses Dokument behandelt die Einrichtung und Verwaltung einer Multi-Tenant-Hybrid-Datensicherheitsbereitstellung:
-
Hybrid-Datensicherheit einrichten – Dazu gehört die Vorbereitung der erforderlichen Infrastruktur und die Installation der Hybrid-Datensicherheitssoftware, der Aufbau eines HDS-Clusters, das Hinzufügen von Tenant-Organisationen zum Cluster und die Verwaltung ihrer Customer Main Keys (CMKs). Damit können alle Benutzer Ihrer Kundenorganisationen Ihr Hybrid-Datensicherheitscluster für Sicherheitsfunktionen verwenden.
Die Einrichtungs-, Aktivierungs- und Verwaltungsphase werden in den nächsten drei Kapiteln ausführlich behandelt.
-
Aufrechterhaltung Ihrer Hybrid-Datensicherheitsbereitstellung – Die Webex-Cloud stellt automatisch laufende Upgrades bereit. Ihre IT-Abteilung kann Ebene-1-Support anbieten und bei Bedarf den Cisco-Support hinzuziehen. Sie können Benachrichtigungen auf dem Bildschirm verwenden und E-Mail-basierte Warnungen in Partner Hub einrichten.
-
Allgemeine Warnungen, Schritte zur Fehlerbehebung und bekannte Probleme verstehen: Wenn bei der Bereitstellung oder Verwendung von Hybrid-Datensicherheit Probleme auftreten, können Sie das letzte Kapitel dieses Leitfadens und der Anhang „Bekannte Probleme“ bei der Ermittlung und Behebung des Problems helfen.
Bereitstellungsmodell für die Hybrid-Datensicherheit
Im Rechenzentrum Ihres Unternehmens stellen Sie die hybride Datensicherheit als ein Cluster von Knoten auf separaten virtuellen Hosts bereit. Die Knoten kommunizieren mit der Webex Cloud über sichere Websockets und sicheres HTTP.
Während des Installationsvorgangs stellen wir Ihnen die OVA-Datei bereit, mit der Sie die virtuelle Appliance auf den von Ihnen angegebenen VMs einrichten können. Mit dem HDS-Setuptool erstellen Sie eine benutzerdefinierte ISO-Clusterkonfigurationsdatei, die Sie bei den einzelnen Knoten mounten. Der Hybrid-Datensicherheitscluster verwendet den von Ihnen bereitgestellten Syslogd-Server und die PostgreSQL- oder Microsoft SQL Server-Datenbank. (Sie konfigurieren die Syslogd- und Datenbankverbindungsdetails im HDS Setup Tool.)
Die Mindestanzahl von Knoten in einem Cluster lautet zwei. Wir empfehlen mindestens drei pro Cluster. Die Tatsache, dass mehrere Knoten vorhanden sind, stellt sicher, dass der Dienst während eines Software-Upgrades oder anderer Wartungsaktivitäten auf einem Knoten nicht unterbrochen wird. (Die Webex-Cloud aktualisiert jeweils nur einen Knoten.)
Alle Knoten in einem Cluster greifen auf denselben Schlüsseldatenspeicher zu und sie protokollieren Aktivitäten auf demselben Syslog-Server. Die Knoten selbst besitzen keinen Status und verarbeiten Schlüsselanfragen nach dem Round-Robin-Verfahren, wie von der Cloud vorgegeben.
Knoten werden aktiv, wenn Sie sie in Partner Hub registrieren. Um einen einzelnen Knoten zu deaktivieren, können Sie die Registrierung aufheben und ggf. zu einem späteren Zeitpunkt erneut registrieren.
Standby-Rechenzentrum für die Notfallwiederherstellung
Während der Bereitstellung richten Sie ein sicheres Standby-Rechenzentrum ein. Bei einem Absturz des Rechenzentrums können Sie die Bereitstellung manuell auf das Standby-Rechenzentrum umstellen.
Die Datenbanken der aktiven und Standby-Rechenzentren sind synchronisiert, wodurch die Zeit für die Durchführung des Failovers minimiert wird.
Die aktiven Hybrid-Datensicherheitsknoten müssen sich immer im selben Rechenzentrum wie der aktive Datenbankserver befinden.
Proxy-Support
Die Hybriddatensicherheit unterstützt explizite, transparente Inspektionen und Nichtinspizierungsproxys. Sie können diese Proxys an Ihre Bereitstellung binden, damit Sie den Datenverkehr aus dem Unternehmen heraus in die-Cisco sichern und überwachen können. Sie können eine Netzwerkverwaltung auf den Knoten für Zertifikats-Management verwenden und den Status der gesamten Konnektivität überprüfen, nachdem Sie den Proxy auf den Knoten eingerichtet haben.
Die Hybrid Data Sicherheitshinweis unterstützt die folgenden Proxyoptionen:
-
Kein Proxy: Der Standardwert, wenn Sie nicht die Konfiguration von Vertrauensspeicher und Proxy für die Integration eines Proxys beim Einrichten des HDS-Knotens verwenden. Es ist keine Zertifikatsaktualisierung erforderlich.
-
Transparenter Proxy ohne Prüfung – Die Knoten sind nicht für die Verwendung einer bestimmten Proxyserveradresse konfiguriert und sollten keine Änderungen erfordern, um mit einem Proxy ohne Prüfung zu arbeiten. Es ist keine Zertifikatsaktualisierung erforderlich.
-
Transparentes Tunneln oder Proxyprüfen: Die Knoten sind nicht für die Verwendung einer bestimmten Proxyserveradresse konfiguriert. Es sind keine Änderungen bei der Konfigurationänderung von http oder HTTPS Allerdings benötigen die Knoten eine Stammzertifikat, sodass Sie dem Proxy Vertrauen. Die Inspektion von Proxys wird in der Regel von ihm verwendet, um Strategien durchzusetzen, welche Websites besichtigt werden können und welche Arten von Inhalten nicht zulässig sind. Diese Art von Proxy entschlüsselt den gesamten Datenverkehr (auch HTTPS).
-
Expliziter Proxy: Mit explizitem Proxy teilen Sie den HDS-Knoten mit, welcher Proxyserver und welches Authentifizierungsschema verwendet werden sollen. Um einen expliziten Proxy zu konfigurieren, müssen Sie die folgenden Informationen zu den einzelnen Knoten eingeben:
-
Proxy-IP/FQDN: Adresse, die verwendet werden kann, um die Proxy-Maschine zu erreichen.
-
Proxy-Port: Eine Portnummer, die der Proxy verwendet, um nach proxyem Datenverkehr zu suchen.
-
Proxy-Protokoll: Wählen Sie je nachdem, was Ihr Proxy-Server unterstützt, zwischen den folgenden Protokollen aus:
-
– Und steuert alle Anfragen, die der Client sendet.
-
HTTPS – stellt einen Kanal zum Server bereit. Der Client erhält und prüft das Zertifikat des Servers.
-
-
Authentifizierungstyp: Wählen Sie aus den folgenden Authentifizierungstypen aus:
-
Keine: Es ist keine weitere Authentifizierung erforderlich.
Verfügbar, wenn Sie entweder http oder HTTPS als Proxyprotokoll auswählen.
-
Basic – wird für einen HTTP-Benutzeragenten verwendet, um bei einer Anfrage einen Benutzernamen und ein Kennwort anzugeben. Zertifikatsformat verwendet.
Verfügbar, wenn Sie entweder http oder HTTPS als Proxyprotokoll auswählen.
Hiermit müssen Sie die Benutzername und das Passwort eines jeden Knotens eingeben.
-
Digest – wird verwendet, um das Konto vor dem Senden sensibler Informationen zu bestätigen. Gibt eine Hashfunktion auf die Benutzername und das Passwort ein, bevor Sie über das Netzwerk senden.
Nur verfügbar, wenn Sie HTTPS als Proxyprotokoll auswählen.
Hiermit müssen Sie die Benutzername und das Passwort eines jeden Knotens eingeben.
-
-
Beispiel für hybride Datensicherheitsknoten und Proxy
Dieses Diagramm zeigt eine Beispielverbindung zwischen der Hybriddatensicherheit, dem Netzwerk und einem Proxy. Für die transparente Inspektion und HTTPS explizite Überprüfung der Proxyoptionen müssen dieselben Stammzertifikat auf dem Proxy und auf den Hybriden Datensicherheitsknoten installiert sein.
Externer DNS Auflösungsmodus blockiert (explizite Proxykonfigurationen)
Wenn Sie einen Knoten registrieren oder die Proxykonfiguration des Knotens überprüfen, testet das Verfahren die DNS und die Konnektivität der Cisco WebEx. Bei Bereitstellungen mit expliziten Proxykonfigurationen, die keine externe DNS für interne Clients zulassen, wenn der Knoten die DNS-Server nicht Abfragen kann, geht er automatisch in den gesperrten externen DNS-Server. In diesem Modus können Knotenregistrierungen und andere Proxyverbindungstests fortgeführt werden.
Umgebung vorbereiten
Anforderungen für die Multi-Tenant-Hybrid-Datensicherheit
Cisco Webex-Lizenzanforderungen
So stellen Sie Multi-Tenant Hybrid Data Security bereit:
-
Partnerorganisationen: Wenden Sie sich an Ihren Cisco-Partner oder Account Manager und stellen Sie sicher, dass die Multi-Tenant-Funktion aktiviert ist.
-
Mandantenorganisationen: Sie benötigen Pro Pack für Cisco Webex Control Hub. (Siehe https://www.cisco.com/go/pro-pack.)
Docker Desktop-Anforderungen
Bevor Sie Ihre HDS-Knoten installieren, benötigen Sie Docker Desktop, um ein Setup-Programm auszuführen. Docker hat kürzlich sein Lizenzierungsmodell aktualisiert. Ihre Organisation benötigt möglicherweise ein kostenpflichtiges Abonnement für Docker Desktop. Weitere Informationen finden Sie im Docker-Blog-Post: " Docker aktualisiert und erweitert unsere Produktabonnements".
Anforderungen an das X.509-Zertifikat
Diese Zertifikatskette muss die folgenden Anforderungen erfüllen:
|
Anforderung |
Details |
|---|---|
|
Standardmäßig vertrauen wir den Zertifizierungsstellen in der Mozilla-Liste (mit Ausnahme von WoSign und StartCom) unter https://wiki.mozilla.org/CA:IncludedCAs. |
|
Der CN muss nicht erreichbar und kein Live-Host sein. Wir empfehlen die Verwendung eines Namens, der Ihre Organisation widerspiegelt, z. B. Der CN darf kein * (Platzhalter) enthalten. Der CN wird verwendet, um die Hybrid-Datensicherheitsknoten für Webex-App-Clients zu verifizieren. Alle Hybrid-Datensicherheitsknoten in Ihrem Cluster verwenden das gleiche Zertifikat. Ihr KMS identifiziert sich selbst unter Verwendung der CN-Domäne, nicht einer beliebigen Domäne, die in den x.509v3-SAN-Feldern definiert ist. Nachdem Sie einen Knoten mit diesem Zertifikat registriert haben, kann der CN-Domänenname nicht mehr geändert werden. |
|
Die KMS-Software unterstützt keine SHA1-Signaturen zum Validieren von Verbindungen zu KMS anderer Organisationen. |
|
Sie können das Format Ihres Zertifikats mithilfe einer Konvertierungssoftware wie OpenSSL ändern. Sie müssen das Passwort eingeben, wenn Sie das HDS-Setuptool ausführen. |
Die KMS-Software erzwingt keine Schlüsselnutzung und beschränkt erweiterte Schlüsselnutzung nicht. Einige Zertifizierungsstellen erfordern Beschränkungen einer erweiterten Schlüsselnutzung für jedes Zertifikat, wie z. B. Server-Authentifizierung. Die Server-Authentifizierung oder andere Einstellungen zu verwenden, ist zulässig.
Anforderungen für virtuelle Gastgeber
Die virtuellen Hosts, die Sie als Hybrid-Datensicherheitsknoten in Ihrem Cluster einrichten, haben die folgenden Anforderungen:
-
Mindestens zwei separate Hosts (3 empfohlen) befinden sich im gleichen sicheren Rechenzentrum
-
VMware ESXi 7.0 (oder höher) installiert und ausgeführt.
Sie müssen ein Upgrade durchführen, wenn Sie über eine frühere Version von ESXi verfügen.
-
Mindestens 4 vCPUs, 8 GB Hauptspeicher, 30 GB lokaler Festplattenspeicher pro Server
Datenbankserveranforderungen
Erstellen Sie eine neue Datenbank für die Schlüsselspeicherung. Verwenden Sie nicht die Standarddatenbank. Die HDS-Anwendungen erstellen bei Installation das Datenbankschema.
Für den Datenbankserver gibt es zwei Optionen. Die Anforderungen für jede dieser Komponenten lauten wie folgt:
|
PostgreSQL |
Microsoft SQL-Server |
|---|---|
|
|
|
Mindestens 8 vCPUs, 16 GB Hauptspeicher, ausreichend Festplattenkapazität und Überwachung zur Sicherstellung, dass dieser nicht überschritten wird (2 TB empfohlen, falls die Datenbank über längere Zeit ohne Erweiterung der Festplattenkapazität ausgeführt werden soll) |
Mindestens 8 vCPUs, 16 GB Hauptspeicher, ausreichend Festplattenkapazität und Überwachung zur Sicherstellung, dass dieser nicht überschritten wird (2 TB empfohlen, falls die Datenbank über längere Zeit ohne Erweiterung der Festplattenkapazität ausgeführt werden soll) |
Die HDS-Software installiert derzeit die folgenden Treiberversionen für die Kommunikation mit dem Datenbankserver:
|
PostgreSQL |
Microsoft SQL-Server |
|---|---|
|
Der Treiber Postgres JDBC 42.2.5 |
SQL Server JDBC-Treiber 4.6 Diese Treiberversion unterstützt SQL Server Always On (Always On Failover Cluster Instances und Always On-Verfügbarkeitsgruppen). |
Zusätzliche Anforderungen für die Windows-Authentifizierung gegen Microsoft SQL Server
Wenn Sie möchten, dass HDS-Knoten die Windows-Authentifizierung verwenden, um Zugriff auf Ihre Keystore-Datenbank auf Microsoft SQL Server zu erhalten, benötigen Sie die folgende Konfiguration in Ihrer Umgebung:
-
Die HDS-Knoten, die Active Directory-Infrastruktur und der MS SQL Server müssen alle mit dem NTP synchronisiert werden.
-
Das Windows-Konto, das Sie auf HDS-Knoten bereitstellen, muss Lese-/Schreibzugriff auf die Datenbank haben.
-
Die DNS-Server, die Sie für HDS-Knoten bereitstellen, müssen in der Lage sein, Ihr Key Distribution Center (KDC) aufzulösen.
-
Sie können die HDS-Datenbankinstanz auf Ihrem Microsoft SQL Server als Service Principal Name (SPN) in Ihrem Active Directory registrieren. Siehe Registrieren eines Dienstprinzipalnamens für Kerberos-Verbindungen.
Das HDS-Setup-Tool, der HDS-Launcher und das lokale KMS müssen für den Zugriff auf die Keystore-Datenbank die Windows-Authentifizierung verwenden. Sie verwenden die Details aus Ihrer ISO-Konfiguration, um die SPN zu konstruieren, wenn sie den Zugriff mit der Kerberos-Authentifizierung anfordern.
Anforderungen an externe Konnektivität
Konfigurieren Sie Ihre Firewall so, dass die folgende Konnektivität für die HDS-Anwendungen zugelassen ist:
|
Anwendung |
Protokoll |
Port |
Richtung von der App |
Ziel |
|---|---|---|---|---|
|
Hybrid-Datensicherheitsknoten |
TCP |
443 |
Ausgehend HTTPS und WSS |
|
|
HDS-Einrichtungstool |
TCP |
443 |
Ausgehendes HTTPS |
|
Die Hybrid-Datensicherheitsknoten funktionieren mit NAT (Network Access Translation) oder hinter einer Firewall, solange NAT oder Firewall die erforderlichen ausgehenden Verbindungen zu den in der vorangehenden Tabelle aufgeführten Domänenzielen zulässt. Für eingehende Verbindungen zu den Hybrid-Datensicherheitsknoten sollten keine Ports aus dem Internet sichtbar sein. In Ihrem Rechenzentrum benötigen Clients aus administrativen Gründen Zugriff auf die Hybrid-Datensicherheitsknoten auf den TCP-Ports 443 und 22.
Die URLs für die CI-Hosts (Common Identity) sind regionsspezifisch. Dies sind die aktuellen CI-Hosts:
|
Region |
Host-URLs der allgemeinen Identität |
|---|---|
|
Amerika |
|
|
Europäische Union |
|
|
Kanada |
|
| Singapur |
|
| Vereinigte Arabische Emirate |
|
Vorgaben für Proxy-Server
-
Wir unterstützen offiziell die folgenden Proxylösungen, die in ihre Hybriden Sicherheitsknoten integriert werden können.
-
Transparenter Proxy – Cisco Web Sicherheitsgerät (WSA).
-
Explizite –.
Squid-Proxys, die den HTTPS-Datenverkehr untersuchen, können die Einrichtung von Websocket-Verbindungen (wss:) beeinträchtigen. Informationen zur Behebung dieses Problems finden Sie unter Konfigurieren von Squid-Proxys für Hybrid-Datensicherheit.
-
-
Wir unterstützen die folgenden Authentifizierungskombinationen für explizite Proxys:
-
Keine Authentifizierung mit http oder HTTPS
-
Grundlegende Authentifizierung mit http oder HTTPS
-
Verdauungsauthentifizierung nur mit HTTPS
-
-
Um einen transparenten Proxy oder einen HTTPS expliziten Proxy zu erhalten, müssen Sie eine Kopie des Stammzertifikat des Stellvertreters besitzen. Die Bereitstellungsanweisungen in diesem Handbuch zeigen Ihnen, wie Sie die Kopie in die Vertrauensspeicher der Hybriden Datensicherheitsknoten hochladen können.
-
Das Netzwerk, das die HDS Nodes hostet, muss so konfiguriert sein, dass es den ausgehenden TCP Traffic auf Port 443 durch den Proxy zwingt
-
Proxys, die den Webverkehr inspizieren, können die Websteckverbindung beeinträchtigen. Wenn dieses Problem auftritt, wird das Problem durch Umgehung des Datenverkehrs zu
wbx2.comundciscospark.comgelöst.
Erfüllen der Voraussetzungen für die Hybrid-Datensicherheit
| 1 |
Stellen Sie sicher, dass Ihre Partnerorganisation die Multi-Tenant-HDS-Funktion aktiviert hat, und sichern Sie sich die Anmeldeinformationen für ein Konto mit vollen Partneradministratorrechten und vollen Administratorrechten. Stellen Sie sicher, dass Ihre Webex-Kundenorganisation für Pro Pack für Cisco Webex Control Hub aktiviert ist. Wenden Sie sich an Ihren Cisco-Partner oder an Ihren Account Manager, falls Sie Hilfe bei diesem Verfahren benötigen. Kundenorganisationen sollten keine vorhandene HDS-Bereitstellung haben. |
| 2 |
Wählen Sie einen Domänennamen für Ihre HDS-Bereitstellung (z. B. |
| 3 |
Bereiten Sie identische virtuelle Hosts vor, die Sie als Hybrid-Datensicherheitsknoten in Ihrem Cluster einrichten werden. Sie benötigen mindestens zwei separate Hosts (3 empfohlen), die sich im selben sicheren Rechenzentrum befinden und die Anforderungen unter Anforderungen für virtuelle Hosts erfüllen. |
| 4 |
Bereiten Sie den Datenbankserver vor, der als Schlüsseldatenspeicher für den Cluster dient, gemäß den Anforderungen für den Datenbankserver. Der Datenbankserver muss sich im sicheren Rechenzentrum mit den virtuellen Hosts befinden. |
| 5 |
Richten Sie für eine schnelle Notfallwiederherstellung eine Backup-Umgebung in einem anderen Rechenzentrum ein. Die Backup-Umgebung spiegelt die Produktionsumgebung von VMs und eines Backup-Datenbankservers wider. Wenn beispielsweise in der Produktion 3 VMs HDS-Knoten ausführen, sollte die Backup-Umgebung 3 VMs haben. |
| 6 |
Richten Sie einen syslog-Host ein, um Protokolle aus den Knoten im Cluster zu sammeln. Dokumentieren Sie dessen Netzwerkadresse und syslog-Port (Standard ist UDP 514). |
| 7 |
Erstellen Sie eine sichere Backup-Richtlinie für die Hybrid-Datensicherheitsknoten, den Datenbankserver und den Syslog-Host. Um einen nicht behebbaren Datenverlust zu vermeiden, müssen Sie mindestens die Datenbank und die für die Hybrid-Datensicherheitsknoten generierte Konfigurations-ISO-Datei sichern. Da auf den Hybrid-Datensicherheitsknoten die für die Ver- und Entschlüsselung von Inhalten verwendeten Schlüssel gespeichert werden, führt das Versäumnis, eine betriebliche Bereitstellung aufrechtzuerhalten, zum NICHT BEHEBBAREN VERLUST dieser Inhalte. Webex-App-Clients speichern ihre Schlüssel im Zwischenspeicher, sodass ein Ausfall möglicherweise nicht sofort spürbar ist, aber mit der Zeit offensichtlich wird. Vorübergehende Ausfälle sind unvermeidlich, aber behebbar. Bei einem vollständigen Verlust (keine Backups verfügbar) entweder der Datenbank oder der ISO-Konfigurationsdatei gehen jedoch Kundendaten unwiederbringlich verloren. Von den Betreibern der Hybrid-Datensicherheitsknoten wird erwartet, dass sie häufige Sicherungen der Datenbank und der Konfigurations-ISO-Datei erstellen und im Falle eines katastrophalen Ausfalls das Rechenzentrum für die Hybrid-Datensicherheit neu erstellen. |
| 8 |
Stellen Sie sicher, dass Ihre Firewall-Konfiguration eine Verbindung für Ihre Hybrid-Datensicherheitsknoten ermöglicht, wie unter Externe Verbindungsanforderungen beschrieben. |
| 9 |
Installieren Sie Docker ( https://www.docker.com) auf jedem lokalen Computer, auf dem ein unterstütztes Betriebssystem ausgeführt wird (Microsoft Windows 10 Professional, Enterprise 64-Bit oder Mac OSX Yosemite 10.10.3 oder höher) und ein Webbrowser, der unter http://127.0.0.1:8080. darauf zugreifen kann. Mit der Docker-Instanz können Sie das HDS Setup Tool herunterladen und ausführen, das die lokalen Konfigurationsinformationen für alle Hybrid-Datensicherheitsknoten erstellt. Möglicherweise benötigen Sie eine Docker Desktop-Lizenz. Weitere Informationen finden Sie unter Anforderungen für Docker Desktop . Um das HDS Setup Tool zu installieren und auszuführen, muss der lokale Computer über die unter Anforderungen an externe Konnektivität beschriebenen Konnektivität verfügen. |
| 10 |
Wenn Sie einen Proxy mit Hybrid Data Security integrieren, stellen Sie sicher, dass er die Anforderungen für den Proxy-Server erfüllt. |
Hybrid-Datensicherheitscluster einrichten
Ablauf der Bereitstellungsaufgabe für die Hybrid-Datensicherheit
| 1 |
Erste Einrichtung durchführen und Installationsdateien herunterladen Laden Sie die OVA-Datei für eine spätere Verwendung auf Ihren lokalen Computer herunter. |
| 2 |
Erstellen einer ISO-Konfigurationsdatei für die HDS-Hosts Erstellen Sie mit dem HDS Setup Tool eine ISO-Konfigurationsdatei für die Hybrid-Datensicherheitsknoten. |
| 3 |
Erstellen Sie eine virtuelle Maschine aus der OVA-Datei und führen Sie eine erste Konfiguration durch, z. B. Netzwerkeinstellungen. Die Option zum Konfigurieren der Netzwerkeinstellungen während der OVA-Bereitstellung wurde mit ESXi 7.0 getestet. In früheren Versionen ist diese Option möglicherweise nicht verfügbar. |
| 4 |
Einrichten der Hybrid-Datensicherheits-VM Melden Sie sich bei der VM-Konsole an und legen Sie die Anmeldeinformationen fest. Konfigurieren Sie die Netzwerkeinstellungen für den Knoten, falls Sie diese bei der OVA-Bereitstellung nicht konfiguriert haben. |
| 5 |
Hochladen und Mounten der HDS-Konfigurations-ISO Konfigurieren Sie die VM aus der ISO-Konfigurationsdatei, die Sie mit dem HDS Setup Tool erstellt haben. |
| 6 |
Konfigurieren des HDS Knotens für Proxyintegration Wenn für die Netzwerkumgebung eine Proxy-Konfiguration erforderlich ist, geben Sie den Proxy-Typ an, den Sie für den Knoten verwenden möchten, und fügen Sie das Proxy-Zertifikat ggf. zum Vertrauensspeicher hinzu. |
| 7 |
Ersten Knoten im Cluster registrieren Registrieren Sie die VM in der Cisco Webex Cloud als Hybrid-Datensicherheitsknoten. |
| 8 |
Weitere Knoten erstellen und registrieren Schließen Sie die Cluster-Einrichtung ab. |
| 9 |
Aktivieren Sie Multi-Tenant-HDS in Partner Hub. Aktivieren Sie HDS und verwalten Sie Mandantenorganisationen in Partner Hub. |
Erste Einrichtung durchführen und Installationsdateien herunterladen
Bei dieser Aufgabe laden Sie eine OVA-Datei auf Ihren Computer herunter (nicht auf die Server, die Sie als Hybrid-Datensicherheitsknoten eingerichtet haben). Sie können diese Datei zu einem späteren Zeitpunkt im Installationsprozess verwenden.
| 1 |
Melden Sie sich bei Partner Hub an und klicken Sie auf Dienste. |
| 2 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach der Hybrid-Datensicherheitskarte und klicken Sie auf Einrichten. Das Klicken auf Einrichten in Partner Hub ist entscheidend für den Bereitstellungsprozess. Fahren Sie mit der Installation nicht fort, ohne diesen Schritt abzuschließen. |
| 3 |
Klicken Sie auf Ressource hinzufügen und dann auf OVA-Datei herunterladen auf der Karte Software installieren und konfigurieren . Ältere Versionen des Softwarepakets (OVA) sind mit den neuesten Upgrades für die Hybrid-Datensicherheit nicht kompatibel. Dies kann zu Problemen beim Upgrade der Anwendung führen. Stellen Sie sicher, dass Sie die neueste Version der OVA-Datei herunterladen. Sie können die OVA auch jederzeit im Abschnitt Hilfe herunterladen. Klicken Sie auf . Der Download der OVA-Datei beginnt automatisch. Speichern Sie die Datei auf Ihrem Computer.
|
| 4 |
Klicken Sie optional auf Bereitstellungsleitfaden zur Hybrid-Datensicherheit anzeigen , um zu überprüfen, ob eine spätere Version dieses Leitfadens verfügbar ist. |
Erstellen einer ISO-Konfigurationsdatei für die HDS-Hosts
Beim Einrichtungsprozess für die Hybrid-Datensicherheit wird eine ISO-Datei erstellt. Anschließend verwenden Sie die ISO, um Ihren Hybrid-Datensicherheitshost zu konfigurieren.
Vorbereitungen
-
Das HDS Setup Tool wird als Docker Container auf einem lokalen Computer ausgeführt. Um darauf zu zugreifen, führen Sie Docker auf diesem Computer aus. Der Einrichtungsprozess erfordert die Anmeldeinformationen eines Partner Hub-Kontos mit vollständigen Administratorrechten.
Wenn das HDS Setup-Tool hinter einem Proxy in Ihrer Umgebung ausgeführt wird, geben Sie die Proxy-Einstellungen (Server, Port, Anmeldeinformationen) über die Docker-Umgebungsvariablen an, wenn Sie den Docker-Container in Schritt 5 unten aufrufen. Diese Tabelle enthält einige mögliche Umgebungsvariablen:
Beschreibung
Variable
HTTP-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORTHTTPS-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORT -
Die von Ihnen generierte ISO-Konfigurationsdatei enthält den Hauptschlüssel zur Verschlüsselung der PostgreSQL- oder Microsoft SQL Server-Datenbank. Sie benötigen die neueste Kopie dieser Datei, wenn Sie Konfigurationsänderungen wie die folgenden vornehmen:
-
Datenbank-Anmeldeinformationen
-
Zertifikats-Aktualisierungen
-
Änderungen an der Autorisierungsrichtlinie
-
-
Wenn Sie Datenbankverbindungen verschlüsseln möchten, richten Sie Ihre PostgreSQL- oder SQL Server-Bereitstellung für TLS ein.
| 1 |
Geben Sie in der Befehlszeile Ihres Computers den entsprechenden Befehl für Ihre Umgebung ein: In regulären Umgebungen: In FedRAMP-Umgebungen: Mit diesem Schritt werden die Bilder vorheriger HDS-Setup-Tools bereinigt. Wenn keine vorherigen Bilder angezeigt werden, erhalten Sie eine Fehlermeldung, die Sie ignorieren können. | ||||||||||
| 2 |
Um sich bei der Docker-Image-Registrierung anmelden zu können, geben Sie Folgendes ein: | ||||||||||
| 3 |
Geben Sie in der Passwortaufforderung diese Hash-Eingabe ein: | ||||||||||
| 4 |
Laden Sie das aktuellste stabile Bild für Ihre Umgebung herunter: In regulären Umgebungen: In FedRAMP-Umgebungen: | ||||||||||
| 5 |
Geben Sie nach Abschluss des Pull-Befehls den entsprechenden Befehl für Ihre Umgebung ein:
Wenn der Container ausgeführt wird, wird "Express server listening on port 8080" (Express-Server hören auf Port 8080) sehen. | ||||||||||
| 6 |
Das Setup-Tool unterstützt die Verbindung zu localhost über http://localhost:8080 nicht. Verwenden Sie http://127.0.0.1:8080 , um eine Verbindung zum Localhost herzustellen. Navigieren Sie in einem Webbrowser zum Localhost, Das Tool verwendet diesen ersten Eintrag des Benutzernamens, um die richtige Umgebung für dieses Konto festzulegen. Das Tool zeigt dann die Standard-Anmeldeaufforderung an. | ||||||||||
| 7 |
Wenn Sie dazu aufgefordert werden, geben Sie Ihre Partner Hub-Administratoranmeldeinformationen ein und klicken Sie dann auf Anmelden , um den Zugriff auf die für die Hybrid-Datensicherheit erforderlichen Dienste zu erlauben. | ||||||||||
| 8 |
Klicken Sie auf der Übersichtsseite des Setup Tool auf Get Started (Erste Schritte). | ||||||||||
| 9 |
Auf der Seite ISO-Import stehen Ihnen folgende Optionen zur Verfügung:
| ||||||||||
| 10 |
Überprüfen Sie, ob Ihr X.509-Zertifikat die Anforderungen in X.509-Zertifikatsanforderungen erfüllt.
| ||||||||||
| 11 |
Geben Sie die Datenbankadresse und das Konto für HDS ein, um auf Ihren Schlüsseldatenspeicher zuzugreifen: | ||||||||||
| 12 |
Wählen Sie einen TLS-Datenbankverbindungsmodus aus:
Wenn Sie das Stammzertifikat hochladen (falls erforderlich) und auf Weiter klicken, testet das HDS Setup Tool die TLS-Verbindung zum Datenbankserver. Das Tool überprüft auch den Zertifikat signer und den Hostnamen, falls vorhanden. Wenn ein Test fehlschlägt, zeigt das Tool eine Fehlermeldung an, in der das Problem beschrieben wird. Sie können auswählen, ob Sie den Fehler ignorieren und mit der Einrichtung fortfahren möchten. (Aufgrund von Verbindungsunterschieden können die HDS-Knoten möglicherweise eine TLS-Verbindung herstellen, auch wenn das HDS Setup Tool diese nicht erfolgreich testen kann.) | ||||||||||
| 13 |
Konfigurieren Sie auf der Seite Systemprotokolle Ihren Syslogd-Server: | ||||||||||
| 14 |
(Optional) Sie können den Standardwert für einige Datenbankverbindungsparameter unter Erweiterte Einstellungen ändern. Im Allgemeinen ist dieser Parameter der einzige, den Sie ändern möchten: | ||||||||||
| 15 |
Klicken Sie im Bildschirm Kennwort für Dienstkonten zurücksetzen auf Weiter . Passwörter für Dienstkonten haben eine Lebensdauer von neun Monaten. Verwenden Sie diesen Bildschirm, wenn Ihre Passwörter bald ablaufen oder Sie sie zurücksetzen möchten, um frühere ISO-Dateien ungültig zu machen. | ||||||||||
| 16 |
Klicken Sie auf Download ISO File (ISO-Datei herunterladen). Speichern Sie die Datei an einem leicht auffindbaren Speicherort. | ||||||||||
| 17 |
Erstellen Sie eine Sicherungskopie der ISO-Datei auf Ihrem lokalen System. Sichern Sie die Sicherungskopie sicher. Die Datei enthält einen Master-Verschlüsselungsschlüssel für die Datenbankinhalte. Beschränken Sie den Zugriff auf Administratoren für Hybrid-Datensicherheit, die Konfigurationsänderungen vornehmen sollten. | ||||||||||
| 18 |
Um das Setup Tool herunterzufahren, tippen Sie |
Nächste Schritte
Sichern Sie die ISO-Konfigurationsdatei. Sie benötigen sie, um weitere Knoten für die Wiederherstellung zu erstellen oder Konfigurationsänderungen vorzunehmen. Wenn Sie alle Kopien der ISO-Datei verlieren, haben Sie auch den Hauptschlüssel verloren. Die Schlüssel aus Ihrer PostgreSQL- oder Microsoft SQL Server-Datenbank können nicht wiederhergestellt werden.
Wir haben nie eine Kopie dieses Schlüssels und können nicht helfen, wenn Sie ihn verlieren.
Installieren des HDS Host OVA
| 1 |
Melden Sie sich über den VMware vSphere-Client auf Ihrem Computer bei dem ESXi virtuellen Host an. |
| 2 |
Wählen Sie Datei > OVF-Vorlage bereitstellen aus. |
| 3 |
Geben Sie im Assistenten den Speicherort der OVA-Datei an, die Sie zuvor heruntergeladen haben, und klicken Sie auf Weiter. |
| 4 |
Geben Sie auf der Seite Name und Ordner auswählen einen Namen der virtuellen Maschine für den Knoten ein (z. B. „HDS_Node_1“), wählen Sie einen Ort aus, an dem sich die Knotenbereitstellung der virtuellen Maschine befinden kann, und klicken Sie auf Weiter. |
| 5 |
Wählen Sie auf der Seite Berechnungsressource auswählen die Ziel-Berechnungsressource aus, und klicken Sie auf Weiter. Eine Validierungsprüfung wird ausgeführt. Nach Abschluss werden die Vorlagendetails angezeigt. |
| 6 |
Überprüfen Sie die Vorlagendetails, und klicken Sie dann auf Weiter. |
| 7 |
Wenn Sie aufgefordert werden, die Ressourcenkonfiguration auf der Seite Konfiguration auszuwählen, klicken Sie auf 4 CPU und dann auf Weiter. |
| 8 |
Klicken Sie auf der Seite Speicher auswählen auf Weiter , um das standardmäßige Festplattenformat und die VM-Speicherrichtlinie zu akzeptieren. |
| 9 |
Wählen Sie auf der Seite Netzwerke auswählen die Netzwerkoption aus der Liste der Einträge aus, um die gewünschte Konnektivität für die VM bereitzustellen. |
| 10 |
Konfigurieren Sie auf der Seite Vorlage anpassen die folgenden Netzwerkeinstellungen:
Wenn Sie dies vorziehen, können Sie die Konfiguration der Netzwerkeinstellungen überspringen und die Schritte unter Einrichten der Hybrid-Datensicherheit-VM befolgen, um die Einstellungen über die Knotenkonsole zu konfigurieren. Die Option zum Konfigurieren der Netzwerkeinstellungen während der OVA-Bereitstellung wurde mit ESXi 7.0 getestet. In früheren Versionen ist diese Option möglicherweise nicht verfügbar. |
| 11 |
Klicken Sie mit der rechten Maustaste auf die Knoten-VM, und wählen Sie . Die Hybrid-Datensicherheitssoftware wird als Gast auf dem VM-Host installiert. Sie können sich jetzt bei der Konsole anmelden und den Knoten konfigurieren. Leitfaden zur Fehlerbehebung Es kann zu einer Verzögerung von einigen Minuten kommen, bis die Knotencontainer angezeigt werden. Beim erstmaligen Start wird eine Bridge-Firewall-Nachricht angezeigt, während der Sie sich anmelden können. |
Einrichten der Hybrid-Datensicherheits-VM
Mit diesem Verfahren können Sie sich zum ersten Mal bei der VM-Konsole des Hybrid-Datensicherheitsknotens anmelden und die Anmeldeinformationen festlegen. Sie können auch die Konsole verwenden, um die Netzwerkeinstellungen für den Knoten zu konfigurieren, falls Sie diese bei der OVA-Bereitstellung nicht konfiguriert haben.
| 1 |
Wählen Sie im VMware vSphere-Client, Ihre Hybrid-Datensicherheitsknoten-VM und daraufhin die Registerkarte Console (Konsole) aus. Die VM fährt hoch und ein Anmeldebildschirm erscheint. Drücken Sie die Eingabetaste, falls der Anmeldebildschirm nicht angezeigt wird.
|
| 2 |
Verwenden Sie den folgenden Standard-Anmeldenamen und das Standardkennwort, um sich anzumelden und die Anmeldedaten zu ändern: Da Sie sich zum ersten Mal bei der VM anmelden, müssen Sie das Administratorkennwort ändern. |
| 3 |
Wenn Sie die Netzwerkeinstellungen bereits unter Installieren der HDS-Host-OVA konfiguriert haben, überspringen Sie den Rest dieses Verfahrens. Wählen Sie andernfalls im Hauptmenü die Option Konfiguration bearbeiten aus. |
| 4 |
Richten Sie eine statische Konfiguration ein und geben Sie die Daten für IP-Adresse, Maske, Gateway und DNS ein. Ihr Knoten hat jetzt eine interne IP-Adresse und einen DNS-Namen. DHCP wird nicht unterstützt. |
| 5 |
(Optional) Ändern Sie die Werte für Hostname, Domäne oder NTP-Server, wenn dies gemäß Ihren Netzwerkrichtlinien erforderlich ist. Sie müssen die Domäne nicht auf die Domäne ändern, über die Sie das X.509-Zertifikat erhalten haben. |
| 6 |
Speichern Sie die Netzwerkkonfiguration und starten Sie die VM neu, damit die Änderungen in Kraft treten. |
Hochladen und Mounten der HDS-Konfigurations-ISO
Vorbereitungen
Da die ISO-Datei den Hauptschlüssel enthält, sollte sie nur auf Basis eines "Need-to-Know"-Basis zugänglich gemacht werden, für den Zugriff durch die Hybrid Data Security-VMs und alle Administratoren, die möglicherweise Änderungen vornehmen müssen. Stellen Sie sicher, dass nur diese Administratoren Zugriff auf den Datenspeicher haben.
| 1 |
Laden Sie die ISO-Datei von Ihrem Computer hoch: |
| 2 |
Mounten Sie die ISO-Datei: |
Nächste Schritte
Wenn Ihre IT-Richtlinie dies erfordert, können Sie optional die ISO-Datei unmounten, nachdem alle Knoten die Konfigurationsänderungen übernommen haben. Weitere Informationen finden Sie unter (Optional) ISO nach HDS-Konfiguration unmounten .
Konfigurieren des HDS Knotens für Proxyintegration
Wenn die Netzwerkumgebung einen Proxy erfordert, geben Sie mit diesem Vorgang den Typ des Proxy an, den Sie in die Hybriddatensicherheit integrieren möchten. Wenn Sie einen transparenten Anrufproxy oder einen HTTPS expliziten Proxy wählen, können Sie die Stammzertifikat über die Schnittstelle des Knotens hochladen und installiert werden. Sie können auch die Proxyverbindung über die Schnittstelle überprüfen und mögliche Probleme beheben.
Vorbereitungen
-
Eine Übersicht der unterstützten Proxy-Optionen finden Sie unter Proxy-Unterstützung .
| 1 |
Geben Sie den HDS Knoten Setup URL |
| 2 |
Gehen Sie zu Trust Store & Proxyund wählen Sie dann eine Option:
Befolgen Sie die nächsten Schritte für einen transparenten Inspektionsproxy, einen HTTP expliziten Proxy mit Basisauthentifizierung oder einen HTTPS expliziten Proxy |
| 3 |
Klicken Sie auf ein Zertifikat für das Stammzertifikat oder Endnutzerzertifikat hochladen, und navigieren Sie dann zu einer Stammzertifikat für den Proxy. Das Zertifikat ist hochgeladen, aber noch nicht installiert, da Sie den Knoten neu starten müssen, um das Zertifikat zu installieren. Klicken Sie auf den Chevron Pfeil unter dem Namen des Zertifikats, um weitere Details zu erhalten, oder klicken Sie auf löschen, Wenn Sie Fehler gemacht haben und die Datei erneut hochladen möchten. |
| 4 |
Klicken Sie auf Stellvertreterverbindung prüfen , um die Netzwerkverbindung zwischen dem Knoten und dem Proxy zu testen. Wenn der Verbindungstest ausfällt, wird eine Fehlermeldung angezeigt, die den Grund und die Frage, wie Sie das Problem beheben können, anzeigt. Wenn Sie eine Meldung sehen, dass eine externe DNS nicht erfolgreich war, konnte der Knoten den DNS-Server nicht erreichen. Diese Bedingung wird in vielen expliziten Proxykonfigurationen erwartet. Sie können mit dem Setup fortfahren, und der Knoten wird im gesperrten externen DNS-Server funktionieren. Wenn Sie glauben, dass es sich um einen Fehler handelt, führen Sie die folgenden Schritte aus. Siehe Modus für blockierte externe DNS-Auflösung deaktivieren. |
| 5 |
Nach dem Durchführen des Verbindungstests, für expliziten Proxy, der nur auf HTTPS gesetzt ist, aktivieren Sie die Option so schalten Sie alle Port 443/444 https Anfragen aus diesem Knoten durch den expliziten Proxy Diese Einstellung benötigt 15 Sekunden, um wirksam zu werden. |
| 6 |
Klicken Sie auf alle-Zertifizierungsstellen in den Trust Store installieren (erscheint für einen HTTPS expliziten Proxy oder einen transparenten Inspektionskrimi) oder Neustart (erscheint für einen HTTP expliziten Proxy), lesen Sie die Aufforderung, und klicken Sie dann auf in Der Knoten startet innerhalb weniger Minuten. |
| 7 |
Nachdem der Knoten erneut gestartet wurde, melden Sie sich bei Bedarf erneut an, und öffnen Sie dann die Übersichtsseite, um die Verbindungsüberprüfungen zu überprüfen, um sicherzustellen, dass Sie alle im grünen Status sind. Die Proxyverbindung prüft nur eine Unterdomäne von WebEx.com. Wenn es Verbindungsprobleme gibt, ist ein häufiges Problem, dass einige der in den instructions aufgeführten-C-Domänen beim Proxy gesperrt werden. |
Ersten Knoten im Cluster registrieren
Bei der Registrierung Ihres ersten Knotens erstellen Sie ein Cluster, zu dem der Knoten zugewiesen wird. Ein Cluster umfasst einen oder mehrere Knoten, die aus Redundanzgründen bereitgestellt werden.
Vorbereitungen
-
Sie müssen die Registrierung eines Knotens nach dem Beginn innerhalb von 60 Minuten abschließen, andernfalls müssen Sie erneut beginnen.
-
Stellen Sie sicher, dass alle Popupblocker in Ihrem Browser deaktiviert sind oder dass Sie eine Ausnahme für admin.webex.com zulassen.
| 1 |
Melden Sie sich bei https://admin.webex.com an. |
| 2 |
Wählen Sie im Menü auf der linken Seite die Option Dienste aus. |
| 3 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach der Karte „Hybrid-Datensicherheit“, und klicken Sie auf Einrichten. |
| 4 |
Klicken Sie auf der sich öffnenden Seite auf Ressource hinzufügen. |
| 5 |
Geben Sie im ersten Feld der Karte Knoten hinzufügen einen Namen für das Cluster ein, dem Sie Ihren Hybrid-Datensicherheitsknoten zuweisen möchten. Benennen Sie Ihre Cluster nach Möglichkeit nach dem geografischen Standort der Clusterknoten. Beispiele: „San Francisco“ oder „New York“ oder „Dallas“ |
| 6 |
Geben Sie im zweiten Feld die interne IP-Adresse oder den vollqualifizierten Domänennamen (FQDN) Ihres Knotens ein und klicken Sie unten auf dem Bildschirm auf Hinzufügen . Diese IP-Adresse oder FQDN sollte mit der IP-Adresse oder dem Hostnamen und der Domäne übereinstimmen, die Sie beim Einrichten der Hybrid-Datensicherheit-VM verwendet haben. Es wird eine Meldung angezeigt, dass Sie Ihren Knoten in Webex registrieren können.
|
| 7 |
Klicken Sie auf Go to Node (Zum Knoten wechseln). Nach einigen Augenblicken werden Sie zu den Knoten-Konnektivitätstests für Webex-Dienste umgeleitet. Sind alle Tests erfolgreich, wird die Seite „Allow Access to Hybrid Data Security Node“ (Zugriff zu Hybrid-Datensicherheits-Knoten gewähren) angezeigt. Bestätigen Sie dort, dass Sie Ihrer Webex-Organisation die Zugriffsberechtigungen für Ihren Knoten erteilen möchten. |
| 8 |
Aktivieren Sie das Kontrollkästchen Allow Access to Your Hybrid Data Security Node (Zugriff zu Ihrem Hybrid-Datensicherheits-Knoten gewähren) und klicken Sie anschließend auf Continue (Weiter). Ihr Konto wird validiert, und die Meldung „Registrierung abgeschlossen“ zeigt an, dass Ihr Knoten jetzt in der Webex Cloud registriert ist.
|
| 9 |
Klicken Sie auf den Link oder schließen Sie die Registerkarte, um zur Partner Hub-Hybrid-Datensicherheitsseite zurückzukehren. Auf der Seite Hybrid-Datensicherheit wird das neue Cluster mit dem registrierten Knoten auf der Registerkarte Ressourcen angezeigt. Der Knoten lädt die aktuelle Software automatisch aus der Cloud herunter.
|
Weitere Knoten erstellen und registrieren
Vorbereitungen
-
Sie müssen die Registrierung eines Knotens nach dem Beginn innerhalb von 60 Minuten abschließen, andernfalls müssen Sie erneut beginnen.
-
Stellen Sie sicher, dass alle Popupblocker in Ihrem Browser deaktiviert sind oder dass Sie eine Ausnahme für admin.webex.com zulassen.
| 1 |
Erstellen Sie eine neue virtuelle Maschine über die OVA und wiederholen Sie die Schritte unter Installieren der HDS-Host-OVA. |
| 2 |
Richten Sie die Erstkonfiguration für die neue VM ein. Wiederholen Sie die Schritte unter Einrichten der Hybrid-Datensicherheit-VM. |
| 3 |
Wiederholen Sie auf der neuen VM die Schritte unter HDS-Konfigurations-ISO hochladen und mounten. |
| 4 |
Wenn Sie einen Proxy für Ihre Bereitstellung einrichten, wiederholen Sie die Schritte unter Konfigurieren des HDS-Knotens für die Proxy-Integration nach Bedarf für den neuen Knoten. |
| 5 |
Registrieren Sie den Knoten. |
Mandantenorganisationen für Multi-Tenant-Hybrid-Datensicherheit verwalten
Multi-Tenant HDS in Partner Hub aktivieren
Diese Aufgabe stellt sicher, dass alle Benutzer der Kundenorganisationen HDS für lokale Verschlüsselungsschlüssel und andere Sicherheitsdienste nutzen können.
Vorbereitungen
Stellen Sie sicher, dass Sie die Einrichtung Ihres Multi-Tenant-HDS-Clusters mit der erforderlichen Anzahl an Knoten abgeschlossen haben.
| 1 |
Melden Sie sich bei https://admin.webex.com an. |
| 2 |
Wählen Sie im Menü auf der linken Seite die Option Dienste aus. |
| 3 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach „Hybrid-Datensicherheit“ und klicken Sie auf Einstellungen bearbeiten. |
| 4 |
Klicken Sie auf der Karte HDS-Status auf HDS-Aktivierung . |
Mandantenorganisationen in Partner Hub hinzufügen
Weisen Sie bei dieser Aufgabe Kundenorganisationen Ihrem Hybrid-Datensicherheitscluster zu.
| 1 |
Melden Sie sich bei https://admin.webex.com an. |
| 2 |
Wählen Sie im Menü auf der linken Seite die Option Dienste aus. |
| 3 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach Hybrid-Datensicherheit und klicken Sie auf Alle anzeigen. |
| 4 |
Klicken Sie auf den Cluster, dem ein Kunde zugewiesen werden soll. |
| 5 |
Wechseln Sie zur Registerkarte Zugewiesene Kunden . |
| 6 |
Klicken Sie auf Kunden hinzufügen. |
| 7 |
Wählen Sie im Dropdown-Menü den Kunden aus, den Sie hinzufügen möchten. |
| 8 |
Klicken Sie auf Hinzufügen. Der Kunde wird dem Cluster hinzugefügt. |
| 9 |
Wiederholen Sie die Schritte 6 bis 8, um mehrere Kunden zu Ihrem Cluster hinzuzufügen. |
| 10 |
Klicken Sie auf Fertig am unteren Bildschirmrand, nachdem Sie die Kunden hinzugefügt haben. |
Nächste Schritte
Kundenhauptschlüssel (Customer Main Keys, CMKs) mit dem HDS Setup-Tool erstellen
Vorbereitungen
Weisen Sie Kunden dem entsprechenden Cluster zu, wie unter Mandantenorganisationen in Partner Hub hinzufügen beschrieben. Führen Sie das HDS Setup-Tool aus, um den Einrichtungsprozess für die neu hinzugefügten Kundenorganisationen abzuschließen.
-
Das HDS Setup Tool wird als Docker Container auf einem lokalen Computer ausgeführt. Um darauf zu zugreifen, führen Sie Docker auf diesem Computer aus. Der Einrichtungsprozess erfordert die Anmeldeinformationen eines Partner Hub-Kontos mit vollen Administratorrechten für Ihre Organisation.
Wenn das HDS Setup-Tool hinter einem Proxy in Ihrer Umgebung ausgeführt wird, geben Sie die Proxy-Einstellungen (Server, Port, Anmeldeinformationen) über die Docker-Umgebungsvariablen an, wenn Sie den Docker-Container in Schritt 5 aufrufen. Diese Tabelle enthält einige mögliche Umgebungsvariablen:
Beschreibung
Variable
HTTP-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORTHTTPS-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORT -
Die von Ihnen generierte ISO-Konfigurationsdatei enthält den Hauptschlüssel zur Verschlüsselung der PostgreSQL- oder Microsoft SQL Server-Datenbank. Sie benötigen die neueste Kopie dieser Datei, wenn Sie Konfigurationsänderungen wie die folgenden vornehmen:
-
Datenbank-Anmeldeinformationen
-
Zertifikats-Aktualisierungen
-
Änderungen an der Autorisierungsrichtlinie
-
-
Wenn Sie Datenbankverbindungen verschlüsseln möchten, richten Sie Ihre PostgreSQL- oder SQL Server-Bereitstellung für TLS ein.
Beim Einrichtungsprozess für die Hybrid-Datensicherheit wird eine ISO-Datei erstellt. Anschließend verwenden Sie die ISO, um Ihren Hybrid-Datensicherheitshost zu konfigurieren.
| 1 |
Geben Sie in der Befehlszeile Ihres Computers den entsprechenden Befehl für Ihre Umgebung ein: In regulären Umgebungen: In FedRAMP-Umgebungen: Mit diesem Schritt werden die Bilder vorheriger HDS-Setup-Tools bereinigt. Wenn keine vorherigen Bilder angezeigt werden, erhalten Sie eine Fehlermeldung, die Sie ignorieren können. |
| 2 |
Um sich bei der Docker-Image-Registrierung anmelden zu können, geben Sie Folgendes ein: |
| 3 |
Geben Sie in der Passwortaufforderung diese Hash-Eingabe ein: |
| 4 |
Laden Sie das aktuellste stabile Bild für Ihre Umgebung herunter: In regulären Umgebungen: In FedRAMP-Umgebungen: |
| 5 |
Geben Sie nach Abschluss des Pull-Befehls den entsprechenden Befehl für Ihre Umgebung ein:
Wenn der Container ausgeführt wird, wird "Express server listening on port 8080" (Express-Server hören auf Port 8080) sehen. |
| 6 |
Das Setup-Tool unterstützt die Verbindung zu localhost über http://localhost:8080 nicht. Verwenden Sie http://127.0.0.1:8080 , um eine Verbindung zum Localhost herzustellen. Navigieren Sie in einem Webbrowser zum Localhost, Das Tool verwendet diesen ersten Eintrag des Benutzernamens, um die richtige Umgebung für dieses Konto festzulegen. Das Tool zeigt dann die Standard-Anmeldeaufforderung an. |
| 7 |
Wenn Sie dazu aufgefordert werden, geben Sie Ihre Partner Hub-Administratoranmeldeinformationen ein und klicken Sie dann auf Anmelden , um den Zugriff auf die für die Hybrid-Datensicherheit erforderlichen Dienste zu erlauben. |
| 8 |
Klicken Sie auf der Übersichtsseite des Setup Tool auf Get Started (Erste Schritte). |
| 9 |
Klicken Sie auf der Seite ISO-Import auf Ja. |
| 10 |
Wählen Sie Ihre ISO-Datei im Browser aus und laden Sie sie hoch. Stellen Sie sicher, dass die Verbindung zu Ihrer Datenbank hergestellt wird, um eine CMK-Verwaltung durchzuführen. |
| 11 |
Gehen Sie zur Registerkarte Mandanten-CMK-Verwaltung , auf der Sie die folgenden drei Möglichkeiten zur Verwaltung von Mandanten-CMKs finden.
|
| 12 |
Sobald die CMK-Erstellung erfolgreich war, ändert sich der Status in der Tabelle von CMK-Verwaltung ausstehend zu CMK-Verwaltung. |
| 13 |
Wenn die CMK-Erstellung nicht erfolgreich war, wird ein Fehler angezeigt. |
Mandantenorganisationen entfernen
Vorbereitungen
Nach dem Entfernen können Benutzer von Kundenorganisationen HDS nicht mehr für ihre Verschlüsselungsanforderungen nutzen und verlieren alle vorhandenen Bereiche. Wenden Sie sich an Ihren Cisco-Partner oder Ihren Account Manager, bevor Sie Kundenorganisationen entfernen.
| 1 |
Melden Sie sich bei https://admin.webex.com an. |
| 2 |
Wählen Sie im Menü auf der linken Seite die Option Dienste aus. |
| 3 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach Hybrid-Datensicherheit und klicken Sie auf Alle anzeigen. |
| 4 |
Klicken Sie auf der Registerkarte Ressourcen auf den Cluster, aus dem Sie Kundenorganisationen entfernen möchten. |
| 5 |
Klicken Sie auf der sich öffnenden Seite auf Zugewiesene Kunden. |
| 6 |
Klicken Sie in der angezeigten Liste der Kundenorganisationen auf ... auf der rechten Seite der Kundenorganisation, die Sie entfernen möchten, und klicken Sie auf Aus Cluster entfernen. |
Nächste Schritte
Schließen Sie den Löschvorgang ab, indem Sie die CMKs der Kundenorganisationen sperren, wie unter CMKs von Tenants, die aus HDS entfernt wurden, beschrieben.
Widerrufen Sie die CMKs von Mandanten, die aus HDS entfernt wurden.
Vorbereitungen
Entfernen Sie Kunden aus dem entsprechenden Cluster, wie unter Mandantenorganisationen entfernen beschrieben. Führen Sie das HDS Setup-Tool aus, um den Entfernungsprozess für die Kundenorganisationen abzuschließen, die entfernt wurden.
-
Das HDS Setup Tool wird als Docker Container auf einem lokalen Computer ausgeführt. Um darauf zu zugreifen, führen Sie Docker auf diesem Computer aus. Der Einrichtungsprozess erfordert die Anmeldeinformationen eines Partner Hub-Kontos mit vollen Administratorrechten für Ihre Organisation.
Wenn das HDS Setup-Tool hinter einem Proxy in Ihrer Umgebung ausgeführt wird, geben Sie die Proxy-Einstellungen (Server, Port, Anmeldeinformationen) über die Docker-Umgebungsvariablen an, wenn Sie den Docker-Container in Schritt 5 aufrufen. Diese Tabelle enthält einige mögliche Umgebungsvariablen:
Beschreibung
Variable
HTTP-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORTHTTPS-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORT -
Die von Ihnen generierte ISO-Konfigurationsdatei enthält den Hauptschlüssel zur Verschlüsselung der PostgreSQL- oder Microsoft SQL Server-Datenbank. Sie benötigen die neueste Kopie dieser Datei, wenn Sie Konfigurationsänderungen wie die folgenden vornehmen:
-
Datenbank-Anmeldeinformationen
-
Zertifikats-Aktualisierungen
-
Änderungen an der Autorisierungsrichtlinie
-
-
Wenn Sie Datenbankverbindungen verschlüsseln möchten, richten Sie Ihre PostgreSQL- oder SQL Server-Bereitstellung für TLS ein.
Beim Einrichtungsprozess für die Hybrid-Datensicherheit wird eine ISO-Datei erstellt. Anschließend verwenden Sie die ISO, um Ihren Hybrid-Datensicherheitshost zu konfigurieren.
| 1 |
Geben Sie in der Befehlszeile Ihres Computers den entsprechenden Befehl für Ihre Umgebung ein: In regulären Umgebungen: In FedRAMP-Umgebungen: Mit diesem Schritt werden die Bilder vorheriger HDS-Setup-Tools bereinigt. Wenn keine vorherigen Bilder angezeigt werden, erhalten Sie eine Fehlermeldung, die Sie ignorieren können. |
| 2 |
Um sich bei der Docker-Image-Registrierung anmelden zu können, geben Sie Folgendes ein: |
| 3 |
Geben Sie in der Passwortaufforderung diese Hash-Eingabe ein: |
| 4 |
Laden Sie das aktuellste stabile Bild für Ihre Umgebung herunter: In regulären Umgebungen: In FedRAMP-Umgebungen: |
| 5 |
Geben Sie nach Abschluss des Pull-Befehls den entsprechenden Befehl für Ihre Umgebung ein:
Wenn der Container ausgeführt wird, wird "Express server listening on port 8080" (Express-Server hören auf Port 8080) sehen. |
| 6 |
Das Setup-Tool unterstützt die Verbindung zu localhost über http://localhost:8080 nicht. Verwenden Sie http://127.0.0.1:8080 , um eine Verbindung zum Localhost herzustellen. Navigieren Sie in einem Webbrowser zum Localhost, Das Tool verwendet diesen ersten Eintrag des Benutzernamens, um die richtige Umgebung für dieses Konto festzulegen. Das Tool zeigt dann die Standard-Anmeldeaufforderung an. |
| 7 |
Wenn Sie dazu aufgefordert werden, geben Sie Ihre Partner Hub-Administratoranmeldeinformationen ein und klicken Sie dann auf Anmelden , um den Zugriff auf die für die Hybrid-Datensicherheit erforderlichen Dienste zu erlauben. |
| 8 |
Klicken Sie auf der Übersichtsseite des Setup Tool auf Get Started (Erste Schritte). |
| 9 |
Klicken Sie auf der Seite ISO-Import auf Ja. |
| 10 |
Wählen Sie Ihre ISO-Datei im Browser aus und laden Sie sie hoch. |
| 11 |
Gehen Sie zur Registerkarte Mandanten-CMK-Verwaltung , auf der Sie die folgenden drei Möglichkeiten zur Verwaltung von Mandanten-CMKs finden.
|
| 12 |
Sobald die CMK-Sperrung erfolgreich ist, wird die Kundenorganisation nicht mehr in der Tabelle angezeigt. |
| 13 |
Wenn die CMK-Sperrung nicht erfolgreich ist, wird ein Fehler angezeigt. |
Testen Ihrer Hybrid-Datensicherheitsbereitstellung
Testen Ihrer Bereitstellung für die Hybrid-Datensicherheit
Vorbereitungen
-
Richten Sie die Multi-Tenant-Hybrid-Datensicherheitsbereitstellung ein.
-
Stellen Sie sicher, dass Sie auf das Syslog zugreifen können, um zu überprüfen, ob wichtige Anforderungen an Ihre Multi-Tenant-Hybrid-Datensicherheitsbereitstellung weitergeleitet werden.
| 1 |
Schlüssel für einen bestimmten Bereich werden vom Ersteller des Bereichs festgelegt. Melden Sie sich bei der Webex-App als einer der Benutzer der Kundenorganisation an und erstellen Sie einen Bereich. Wenn Sie die Hybrid-Datensicherheitsbereitstellung deaktivieren, sind Inhalte in von Benutzern erstellten Bereichen nicht mehr verfügbar, nachdem die im Client zwischengespeicherten Kopien der Verschlüsselungscodes ersetzt wurden. |
| 2 |
Senden Sie Nachrichten an den neuen Bereich. |
| 3 |
Überprüfen Sie die Syslog-Ausgabe, um sicherzustellen, dass die Schlüsselanforderungen an Ihre Hybrid-Datensicherheitsbereitstellung weitergeleitet werden. |
Überwachen des Status der Hybrid-Datensicherheit
| 1 |
Wählen Sie in Partner Hub im Menü auf der linken Seite des Bildschirms die Option Dienste aus. |
| 2 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach „Hybrid-Datensicherheit“ und klicken Sie auf Einstellungen bearbeiten. Die Seite „Hybrid Data Security Settings“ (Einstellungen für Hybrid-Datensicherheit) wird angezeigt.
|
| 3 |
Geben Sie im Abschnitt zu E-Mail-Benachrichtigungen eine oder mehrere Adressen durch Komma getrennt ein und drücken Sie Enter. |
HDS-Bereitstellung verwalten
Verwalten der HDS-Bereitstellung
Verwenden Sie die hier beschriebenen Aufgaben, um Ihre Hybrid-Datensicherheitsbereitstellung zu verwalten.
Festlegen des Upgrade-Zeitplans für Cluster
So legen Sie den Upgrade-Zeitplan fest:
| 1 |
Melden Sie sich bei Partner Hub an. |
| 2 |
Wählen Sie im Menü auf der linken Seite die Option Dienste aus. |
| 3 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach „Hybrid-Datensicherheit“ und klicken Sie auf Einrichten. |
| 4 |
Wählen Sie auf der Seite „Hybrid-Datensicherheitsressourcen“ den Cluster aus. |
| 5 |
Klicken Sie auf die Registerkarte Cluster-Einstellungen . |
| 6 |
Wählen Sie auf der Seite „Cluster-Einstellungen“ unter „Upgrade-Zeitplan“ die Uhrzeit und die Zeitzone für den Upgrade-Zeitplan aus. Hinweis: Unter der Zeitzone wird der nächste verfügbare Zeitpunkt für ein Upgrade angezeigt. Sie können das Upgrade bei Bedarf auf den folgenden Tag verschieben, indem Sie auf Um 24 Stunden verschieben klicken. |
Ändern der Knotenkonfiguration
-
Änderung der x.509-Zertifikate aufgrund Ablaufs oder anderer Gründe.
Wir unterstützen keine Änderung des CN-Domänennamens eines Zertifikats. Die Domäne muss mit der Originaldomäne übereinstimmen, die zur Registrierung des Clusters verwendet wurde.
-
Datenbankeinstellungen werden aktualisiert, um auf eine Replik der PostgreSQL- oder Microsoft SQL Server-Datenbank zu wechseln.
Wir unterstützen keine Migration von Daten von PostgreSQL zu Microsoft SQL Server oder auf den entgegengesetzten Weg. Um die Datenbankumgebung zu wechseln, starten Sie eine neue Bereitstellung von Hybrid Data Security.
-
Erstellen einer neuen Konfiguration, um ein neues Datenzentrum vorzubereiten.
Aus Sicherheitsgründen verwendet Hybrid Data Security Dienstkonto-Passwörter mit einer Laufzeit von neun Monaten. Nachdem das HDS Setup Tool diese Passwörter generiert hat, stellen Sie sie für jeden Ihrer HDS-Knoten in der ISO-Konfigurationsdatei bereit. Wenn die Kennwörter Ihrer Organisation fast ablaufen, erhalten Sie eine Benachrichtigung vom Webex-Team, mit der Sie das Passwort für Ihr Computerkonto zurücksetzen können. (Die E-Mail enthält den Text "Verwenden Sie die Maschinenkonto-API, um das Passwort zu aktualisieren"). Wenn Ihre Passwörter noch nicht abgelaufen sind, bietet Ihnen das Tool zwei Optionen:
-
Weiches Zurücksetzen – Das alte und das neue Kennwort können beide bis zu 10 Tage lang verwendet werden. Verwenden Sie diesen Zeitraum, um die ISO-Datei der Knoten schrittweise zu ersetzen.
-
Harte Zurücksetzung: Die alten Passwörter funktionieren sofort nicht mehr.
Wenn Ihre Passwörter ohne Zurücksetzen ablaufen, wirkt sich dies auf Ihren HDS-Dienst aus, was ein sofortiges Zurücksetzen und Ersetzen der ISO-Datei auf allen Knoten erfordert.
Verwenden Sie dieses Verfahren, um eine neue ISO-Konfigurationsdatei zu generieren und auf Ihren Cluster anzuwenden.
Vorbereitungen
-
Das HDS Setup Tool wird als Docker Container auf einem lokalen Computer ausgeführt. Um darauf zu zugreifen, führen Sie Docker auf diesem Computer aus. Der Einrichtungsprozess erfordert die Anmeldeinformationen eines Partner Hub-Kontos mit vollen Partneradministratorrechten.
Wenn das HDS Setup-Tool hinter einem Proxy in Ihrer Umgebung ausgeführt wird, geben Sie die Proxy-Einstellungen (Server, Port, Anmeldeinformationen) über die Docker-Umgebungsvariablen an, wenn Sie den Docker Container in 1.e aufrufen. Diese Tabelle enthält einige mögliche Umgebungsvariablen:
Beschreibung
Variable
HTTP-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORTHTTPS-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORT -
Um eine neue Konfiguration zu erstellen, benötigen Sie eine Kopie der aktuellen ISO-Konfigurationsdatei. Die ISO enthält den Masterschlüssel zur Verschlüsselung der PostgreSQL- oder Microsoft SQL Server-Datenbank. Sie benötigen die ISO-Datei, wenn Sie Konfigurationsänderungen vornehmen, wie z. B. Datenbank-Anmeldeinformationen, Zertifikataktualisierungen oder Änderungen an der Autorisierungsrichtlinie.
| 1 |
Führen Sie auf einem lokalen Computer, auf dem Docker läuft, das HDS Setup Tool aus. |
| 2 |
Wenn Sie nur einen HDS-Knoten ausführen, erstellen Sie eine neue VM für den Hybrid-Datensicherheitsknoten und registrieren Sie sie mithilfe der neuen ISO-Konfigurationsdatei. Detaillierte Anweisungen finden Sie unter Weitere Knoten erstellen und registrieren. |
| 3 |
Mounten Sie bei vorhandenen HDS-Knoten, auf denen die ältere Konfigurationsdatei ausgeführt wird, die ISO-Datei. Führen Sie für jeden Knoten des Knotens folgende Schritte durch, indem Sie jeden Knoten aktualisieren, bevor Sie den nächsten Knoten deaktivieren: |
| 4 |
Wiederholen Sie Schritt 3, um bei jedem weiteren Knoten zu ersetzen, auf dem noch die alte Konfiguration ausgeführt wird, die Konfiguration zu ersetzen. |
Blockierte externe DNS Auflösungsmodus deaktivieren
Wenn Sie einen Knoten registrieren oder die Proxykonfiguration des Knotens überprüfen, testet das Verfahren die DNS und die Konnektivität der Cisco WebEx. Wenn der DNS-Server des Knotens öffentliche DNS nicht auflösen kann, geht der Knoten automatisch in den gesperrten externen DNS-Server.
Wenn Ihre Knoten öffentliche DNS über interne DNS-Server auflösen können, aktivieren Sie diesen Modus, indem Sie den Proxyverbindungstest für jeden Knoten deaktivieren.
Vorbereitungen
| 1 |
Öffnen Sie in einem Webbrowser die Schnittstelle für den Hybrid-Datensicherheitsknoten (IP-Adresse/Einrichtung, https://192.0.2.0/setup), geben Sie beispielsweise die für den Knoten eingerichteten Admin-Anmeldeinformationen ein, und klicken Sie dann auf Anmelden. |
| 2 |
Gehen Sie zu Übersicht (Standardseite). Wenn diese Option aktiviert ist, wird die externe DNS auf "Ja" gesetzt . |
| 3 |
Gehen Sie zur Seite Vertrauensspeicher und Proxy . |
| 4 |
Klicken Sie auf Stellvertreterverbindung prüfen. Wenn Sie eine Meldung sehen, dass eine externe DNS nicht erfolgreich war, konnte der Knoten den DNS-Server nicht erreichen und wird in diesem Modus verbleiben. Andernfalls sollte nach dem Neustart des Knotens und der Rückfahrt zur Übersichtsseite die gesperrte externe DNS auf "Nein" gesetzt werden. |
Nächste Schritte
Entfernen eines Knotens
| 1 |
Melden Sie sich über den VMware vSphere-Client auf Ihrem Computer bei dem ESXi virtuellen Host an und schalten Sie die virtuelle Maschine aus. |
| 2 |
Entfernen des Knotens: |
| 3 |
Löschen Sie die VM im vSphere-Client. (Klicken Sie im linken Navigationsbereich mit der rechten Maustaste auf die VM, und klicken Sie auf Löschen.) Wenn Sie die VM nicht löschen, denken Sie daran, die Konfigurations-ISO-Datei zu deinstallieren. Ohne die ISO-Datei können Sie die VM nicht verwenden, um auf Ihre Sicherheitsdaten zuzugreifen. |
Notfallwiederherstellung mit Standby-Rechenzentrum
Der wichtigste Dienst, den Ihr Hybrid-Datensicherheitscluster bietet, ist die Erstellung und Speicherung von Schlüsseln, mit denen Nachrichten und andere in der Webex-Cloud gespeicherte Inhalte verschlüsselt werden. Für jeden Benutzer innerhalb der Organisation, der der Hybrid-Datensicherheit zugewiesen ist, werden neue Anforderungen zur Schlüsselerstellung an das Cluster weitergeleitet. Der Cluster ist zudem dafür verantwortlich, die erstellten Schlüssel an Benutzer zurückzusenden, die zum Abrufen von Schlüsseln berechtigt sind. Hierzu gehören beispielsweise Mitglieder eines Gesprächsraums.
Da der Cluster die wichtige Funktion erfüllt, diese Schlüssel bereitzustellen, ist es höchst wichtig, dass der Cluster in Betrieb bleibt und korrekte Backups erstellt werden. Der Verlust der Hybrid-Datensicherheitsdatenbank oder der für das Schema verwendeten Konfigurations-ISO führt zu einem NICHT BEHEBBAREN VERLUST von Kundeninhalten. Die folgenden Praktiken sind zwingend erforderlich, um einem derartigen Verlust vorzubeugen:
Wenn eine Katastrophe dazu führt, dass die HDS-Bereitstellung im primären Rechenzentrum nicht mehr verfügbar ist, führen Sie dieses Verfahren aus, um ein manuelles Failover auf das Standby-Rechenzentrum durchzuführen.
Vorbereitungen
| 1 |
Starten Sie das HDS-Setup-Tool und führen Sie die unter Erstellen einer Konfigurations-ISO für die HDS-Hosts beschriebenen Schritte aus. |
| 2 |
Schließen Sie den Konfigurationsprozess ab und speichern Sie die ISO-Datei an einem leicht auffindbaren Speicherort. |
| 3 |
Erstellen Sie eine Sicherungskopie der ISO-Datei auf Ihrem lokalen System. Sichern Sie die Sicherungskopie sicher. Die Datei enthält einen Master-Verschlüsselungsschlüssel für die Datenbankinhalte. Beschränken Sie den Zugriff auf Administratoren für Hybrid-Datensicherheit, die Konfigurationsänderungen vornehmen sollten. |
| 4 |
Rechtsklicken Sie im linken Navigationsbereich des VMware vSphere Client auf die VM. Klicken Sie daraufhin auf Edit Settings (Einstellungen bearbeiten). |
| 5 |
Klicken Sie auf Einstellungen bearbeiten >CD/DVD-Laufwerk 1 und wählen Sie Datenspeicher-ISO-Datei. Stellen Sie sicher, dass Verbunden und Verbinden beim Einschalten aktiviert sind, damit aktualisierte Konfigurationsänderungen nach dem Starten der Knoten wirksam werden können. |
| 6 |
Schalten Sie den HDS-Knoten ein und stellen Sie sicher, dass mindestens 15 Minuten lang keine Alarme vorhanden sind. |
| 7 |
Registrieren Sie den Knoten im Partner Hub. Weitere Informationen finden Sie unter Ersten Knoten im Cluster registrieren. |
| 8 |
Wiederholen Sie den Vorgang für jeden Knoten im Standby-Rechenzentrum. |
Nächste Schritte
(Optional) ISO nach HDS-Konfiguration aushängen
Die Standard-HDS-Konfiguration wird mit eingebauter ISO ausgeführt. Einige Kunden ziehen es jedoch vor, die ISO-Dateien nicht kontinuierlich eingebunden zu lassen. Sie können die ISO-Datei unmounten, nachdem alle HDS-Knoten die neue Konfiguration übernommen haben.
Sie verwenden weiterhin die ISO-Dateien, um Konfigurationsänderungen vorzunehmen. Wenn Sie eine neue ISO erstellen oder eine ISO über das Setup-Tool aktualisieren, müssen Sie die aktualisierte ISO auf allen HDS-Knoten mounten. Wenn alle Knoten die Konfigurationsänderungen übernommen haben, können Sie die ISO mit diesem Verfahren erneut deinstallieren.
Vorbereitungen
Aktualisieren Sie alle Ihre HDS-Knoten auf Version 2021.01.22.4720 oder höher.
| 1 |
Fahren Sie einen Ihrer HDS-Knoten herunter. |
| 2 |
Wählen Sie in der vCenter Server-Appliance den HDS-Knoten aus. |
| 3 |
Wählen Sie und deaktivieren Sie ISO-Datei für Datenspeicher. |
| 4 |
Schalten Sie den HDS-Knoten ein und stellen Sie sicher, dass mindestens 20 Minuten lang keine Alarme angezeigt werden. |
| 5 |
Wiederholen Sie dies für jeden HDS-Knoten der Reihe nach. |
Problembehandlung der Hybrid-Datensicherheit
Anzeigen von Warnungen und Beheben von Fehlern
Eine Hybrid-Datensicherheitsbereitstellung gilt als nicht verfügbar, wenn alle Knoten im Cluster nicht erreichbar sind oder der Cluster so langsam arbeitet, dass eine Zeitüberschreitung erforderlich ist. Wenn Benutzer Ihr Hybrid-Datensicherheitscluster nicht erreichen können, treten folgende Symptome auf:
-
Neue Bereiche können nicht erstellt werden (es konnten keine neuen Schlüssel erstellt werden)
-
Nachrichten- und Bereichstitel konnten für folgende Benutzer nicht entschlüsselt werden:
-
Neue zu einem Bereich hinzugefügte Benutzer (Schlüssel konnten nicht abgerufen werden)
-
Vorhandene Benutzer in einem Bereich, der einen neuen Client verwendet (Schlüssel konnten nicht abgerufen werden)
-
-
Vorhandene Benutzer in einem Bereich werden weiterhin erfolgreich ausgeführt, sofern ihre Clients über einen Cache für Verschlüsselungsschlüssel verfügen
Es ist wichtig, dass Sie Ihren Hybrid-Datensicherheitscluster ordnungsgemäß überwachen und alle Warnungen umgehend adressieren, um Dienstunterbrechungen zu vermeiden.
Warnungen
Wenn es ein Problem mit der Einrichtung der Hybrid-Datensicherheit gibt, zeigt Partner Hub Warnungen an den Administrator der Organisation an und sendet E-Mails an die konfigurierte E-Mail-Adresse. Die Warnungen betreffen viele gängige Szenarien.
|
Alarm |
Vorgang |
|---|---|
|
Fehler beim Zugriff auf die lokale Datenbank. |
Überprüfen Sie das System auf Datenbankfehler oder lokale Netzwerkprobleme. |
|
Fehler beim Herstellen einer Verbindung zur lokalen Datenbank. |
Vergewissern Sie sich, dass der Datenbankserver verfügbar ist und die richtigen Dienstkonto-Anmeldeinformationen in der Knotenkonfiguration verwendet wurden. |
|
Fehler beim Zugriff auf den Clouddienst. |
Überprüfen Sie, ob die Knoten auf die Webex-Server zugreifen können, wie unter Externe Verbindungsanforderungen angegeben. |
|
Registrierung des Clouddiensts wird erneuert. |
Registrierung von Clouddiensten wurde verworfen. Erneuerung der Registrierung wird durchgeführt. |
|
Registrierung des Clouddiensts wurde verworfen. |
Registrierung von Clouddiensten wurde beendet. Dienst wird beendet. |
|
Dienst noch nicht aktiviert. |
Aktivieren Sie HDS in Partner Hub. |
|
Konfigurierte Domäne stimmt nicht mit dem Serverzertifikat überein. |
Vergewissern Sie sich, dass das Serverzertifikat mit der konfigurierten Dienstaktivierungsdomäne übereinstimmt. Die wahrscheinlichste Ursache lautet, dass die Zertifikat-CN vor kurzem geändert wurde und nun von der CN abweicht, die während der ursprünglichen Einrichtung verwendet wurde. |
|
Clouddienste konnten nicht authentifiziert werden. |
Prüfen Sie die Daten auf korrekte Eingabe und einen möglichen Ablauf der Dienstkonto-Anmeldeinformationen. |
|
Lokale Schlüsselspeicherdatei konnte nicht geöffnet werden. |
Überprüfen Sie die lokale Schlüsselspeicherdatei auf Integrität und Kennwortgenauigkeit. |
|
Lokales Serverzertifikat ist ungültig. |
Überprüfen Sie das Ablaufdatum des Serverzertifikats und vergewissern Sie sich, dass es von einer vertrauenswürdigen Zertifizierungsstelle ausgestellt wurde. |
|
Metriken konnten nicht gepostet werden. |
Überprüfen Sie den Zugriff des lokalen Netzwerks auf externe Clouddienste. |
|
Das Verzeichnis /media/configdrive/hds ist nicht vorhanden. |
Überprüfen Sie die ISO-Mountkonfiguration auf dem virtuellen Host. Vergewissern Sie sich, dass die ISO-Datei vorhanden ist, die beim Neustart für das Mounten konfiguriert ist und das Mounten erfolgreich ausgeführt wird. |
|
Die Einrichtung der Mandanten-Organisation ist für die hinzugefügten Organisationen nicht abgeschlossen |
Schließen Sie die Einrichtung ab, indem Sie mit dem HDS Setup Tool CMKs für neu hinzugefügte Mandantenorganisationen erstellen. |
|
Die Einrichtung der Mandantenorganisation ist für die entfernten Organisationen nicht abgeschlossen |
Schließen Sie die Einrichtung ab, indem Sie die CMKs der Mandantenorganisationen, die mit dem HDS Setup Tool entfernt wurden, widerrufen. |
Problembehandlung der Hybrid-Datensicherheit
| 1 |
Prüfen Sie Partner Hub auf Warnungen und beheben Sie alle Elemente, die Sie dort finden. Weitere Informationen finden Sie im Bild unten. |
| 2 |
Überprüfen Sie die Syslog-Serverausgabe auf Aktivität aus der Hybrid-Datensicherheitsbereitstellung. Filtern Sie nach Wörtern wie „Warnung“ und „Fehler“, um bei der Fehlerbehebung zu helfen. |
| 3 |
Kontaktieren Sie den Cisco-Support. |
Sonstige Hinweise
Bekannte Probleme mit Hybrid-Datensicherheit
-
Wenn Sie Ihren Hybrid-Datensicherheitscluster herunterfahren (indem Sie ihn im Partner Hub löschen oder alle Knoten herunterfahren), Ihre Konfigurations-ISO-Datei verlieren oder den Zugriff auf die Keystore-Datenbank verlieren, können Webex-App-Benutzer von Kundenorganisationen keine Bereiche in ihrer Personenliste mehr verwenden, die mit Schlüsseln von Ihrem KMS erstellt wurden. Wir haben aktuell keine Problemumgehung oder Lösung für dieses Problem und empfehlen Ihnen dringend, Ihre HDS-Dienste nicht herunterzufahren, sobald sie aktive Benutzerkonten verarbeiten.
-
Ein Client, der über eine bestehende ECDH-Verbindung zu einem KMS verfügt, hält die Verbindung für einen Zeitraum aufrecht (ca. eine Stunde).
Generieren einer PKCS12-Datei mit OpenSSL
Vorbereitungen
-
OpenSSL ist eines der Tools, mit denen die PKCS12-Datei im richtigen Format für das Laden in das HDS-Setuptool erstellt werden kann. Es gibt auch andere Verfahren, keines davon wird von uns bevorzugt.
-
Wenn Sie sich für die Verwendung von OpenSSL entscheiden, stellen wir Ihnen dieses Verfahren als Richtlinie zur Verfügung, um eine Datei zu erstellen, die die X.509-Zertifikatsanforderungen in X.509-Zertifikatsanforderungen erfüllt. Machen Sie sich mit diesen Anforderungen vertraut, bevor Sie fortfahren.
-
Installieren Sie OpenSSL in einer unterstützten Umgebung. Software und Dokumentation finden Sie auf https://www.openssl.org.
-
Erstellen Sie einen privaten Schlüssel.
-
Beginnen Sie mit diesem Verfahren, wenn Sie das Serverzertifikat von Ihrer Zertifizierungsstelle (CA, Certificate Authority) erhalten.
| 1 |
Wenn Sie das Zertifikat von der CA erhalten, speichern Sie es als |
| 2 |
Zeigen Sie das Zertifikat als Text an, und überprüfen Sie die Details.
|
| 3 |
Erstellen Sie in einem Text-Editor eine Zertifikatpaketdatei namens
|
| 4 |
Erstellen Sie die P12-Datei mit dem Anzeigenamen
|
| 5 |
Überprüfen Sie die Zertifikatdetails. |
Nächste Schritte
Kehren Sie zurück zu Voraussetzungen für Hybrid-Datensicherheit erfüllen. Sie verwenden die Datei hdsnode.p12 und das Passwort, das Sie dafür festgelegt haben, unter Erstellen einer Konfigurations-ISO für die HDS-Hosts.
Sie können diese Dateien wiederverwenden, um ein neues Zertifikat anzufordern, wenn das ursprüngliche Zertifikat abläuft.
Datenverkehr zwischen den HDS-Knoten und der Cloud
Metriksammlung von ausgehendem Datenverkehr
Die Hybrid-Datensicherheitsknoten senden bestimmte Metriken an die Webex-Cloud. Dazu gehören Systemmetriken für max. Heap, verbrauchter Heap, CPU-Auslastung und Threadanzahl; Metriken zu synchronen und asynchronen Threads; Metriken zu Warnungen, darunter auch ein Schwellenwert der verschlüsselten Verbindungen, Latenz oder eine Anforderungswarteschlangenlänge; Metriken zum Datenspeicher; und Metriken zu verschlüsselten Verbindungen. Die Knoten senden verschlüsseltes Schlüsselmaterial über einen Out-of-Band-Kanal (separat von der Anforderung).
Eingehender Datenverkehr
Die Hybrid-Datensicherheitsknoten erhalten die folgenden Arten von eingehendem Datenverkehr von der Webex-Cloud:
-
Verschlüsselungsanforderungen von Clients, die vom Verschlüsselungsdienst umgeleitet werden
-
Upgrades für die Knoten-Software
Konfigurieren von Tintenfisch für die Hybriddatensicherheit
WebSocket kann nicht über SquID Proxy verbunden werden
Squid-Proxys, die den HTTPS-Datenverkehr prüfen, können die Einrichtung von Websocket-Verbindungen (wss:) beeinträchtigen, die für Hybrid Data Security erforderlich ist. Diese Abschnitte geben Anweisungen, wie Sie verschiedene Versionen von Squid konfigurieren, um WSS zu ignorieren: Datenverkehr für den ordnungsgemäßen Ablauf der Services.
Squid 4 und 5
Fügen Sie die on_unsupported_protocol Richtlinie zu squid.conf hinzu:
on_unsupported_protocol Alle tunnelSquid 3.5.27
Wir haben die Hybriddatensicherheit erfolgreich mit den folgenden Regeln getestet, die zu squid .conf hinzugefügt wurden. Diese Regeln können sich geändert werden, da wir Funktionen entwickeln und die WebEx Cisco aktualisieren.
acl wssMercuryConnection ssl::server_name_regex mercury-connection ssl_bump splice wssMercuryConnection acl step1 at_step SslBump1 acl step2 at_step SslBump2 acl step3 at_step SslBump3 ssl_bump peek step1 alle ssl_bump stare step2 alle ssl_bump bump step3 alleNeue und geänderte Informationen
Neue und geänderte Informationen
In dieser Tabelle werden neue Funktionen, Änderungen an vorhandenen Inhalten und alle wichtigen Fehler beschrieben, die im Bereitstellungsleitfaden für Multi-Tenant-Hybrid-Datensicherheit behoben wurden.
|
Datum |
Vorgenommenen Änderungen |
|---|---|
|
08. Januar 2025 |
In Erste Einrichtung durchführen und Installationsdateien herunterladen wurde ein Hinweis hinzugefügt, dass das Klicken auf Einrichten auf der HDS-Karte in Partner Hub ein wichtiger Schritt des Installationsprozesses ist. |
|
07. Januar 2025 |
Aktualisierte Anforderungen für virtuelle Gastgeber, Bereitstellungsaufgaben für Hybrid-Datensicherheit und Installieren der HDS-Host-OVA , um neue Anforderungen von ESXi 7.0 anzuzeigen. |
|
13. Dezember 2024 |
Erste Veröffentlichung. |
Multi-Tenant Hybrid-Datensicherheit deaktivieren
Multi-Tenant-HDS-Deaktivierungsaufgabenablauf
Führen Sie diese Schritte aus, um Multi-Tenant-HDS vollständig zu deaktivieren.
Vorbereitungen
| 1 |
Entfernen Sie alle Kunden aus allen Ihren Clustern, wie unter Mandantenorganisationen entfernen erwähnt. |
| 2 |
Widerrufen Sie die CMKs aller Kunden, wie unter CMKs von Tenants, die aus HDS entfernt wurden erwähnt. |
| 3 |
Entfernen Sie alle Knoten aus all Ihren Clustern, wie unter Einen Knoten entfernen erwähnt. |
| 4 |
Löschen Sie alle Ihre Cluster aus Partner Hub mithilfe einer der folgenden beiden Methoden.
|
| 5 |
Klicken Sie auf der Übersichtsseite zur Hybrid-Datensicherheit auf die Registerkarte Einstellungen und klicken Sie auf der HDS-Statuskarte auf HDS deaktivieren . |
Erste Schritte mit der Multi-Tenant-Hybrid-Datensicherheit
Multi-Tenant Hybrid-Datensicherheit – Übersicht
Vom ersten Tag an stand die Datensicherheit im Mittelpunkt der Entwicklung der Webex-App. Der Eckpfeiler dieser Sicherheit ist die durchgängige Verschlüsselung von Inhalten, die durch die Interaktion der Webex-App-Clients mit dem Schlüsselverwaltungsdienst (Key Management Service, KMS) ermöglicht wird. Der KMS erstellt und verwaltet die Kryptografieschlüssel, mit denen die Clients ihre Nachrichten und Dateien dynamisch ver- und entschlüsseln.
Standardmäßig erhalten alle Webex-App-Kunden eine durchgängige Verschlüsselung mit dynamischen Schlüsseln, die im Cloud-KMS im Sicherheitsbereich von Cisco gespeichert werden. Mit Hybrid Data Security werden KMS und andere Sicherheitsfunktionen in das Rechenzentrum Ihres Unternehmens verschoben, damit die Schlüssel zu ihren verschlüsselten Inhalten ausschließlich bei Ihnen liegen.
Multi-Tenant Hybrid Data Security ermöglicht es Unternehmen, HDS über einen vertrauenswürdigen lokalen Partner zu nutzen, der als Dienstleister fungieren und lokale Verschlüsselungs- und andere Sicherheitsdienste verwalten kann. Diese Einrichtung ermöglicht der Partnerorganisation die vollständige Kontrolle über die Bereitstellung und Verwaltung von Verschlüsselungscodes und stellt sicher, dass die Benutzerdaten von Kundenorganisationen vor externem Zugriff geschützt sind. Partnerorganisationen richten HDS-Instanzen ein und erstellen nach Bedarf HDS-Cluster. Im Gegensatz zu einer normalen HDS-Bereitstellung, die auf eine einzelne Organisation beschränkt ist, kann jede Instanz mehrere Kundenorganisationen unterstützen.
Dadurch können kleinere Organisationen auch HDS nutzen, da Schlüsselverwaltungsdienst und Sicherheitsinfrastruktur wie Rechenzentren im Besitz des vertrauenswürdigen lokalen Partners sind.
So bietet Multi-Tenant Hybrid Data Security Datensouveränität und Datenkontrolle
- Benutzergenerierte Inhalte sind wie Cloud-Dienstanbieter vor externem Zugriff geschützt.
- Vertrauenswürdige Partner vor Ort verwalten die Verschlüsselungscodes von Kunden, mit denen sie bereits eine bestehende Beziehung haben.
- Option für lokalen technischen Support, falls vom Partner bereitgestellt.
- Unterstützt Meeting-, Messaging- und Calling-Inhalte.
Dieses Dokument soll Partnerorganisationen bei der Einrichtung und Verwaltung von Kunden in einem Multi-Tenant-Hybrid-Datensicherheitssystem unterstützen.
Rollen in der Multi-Tenant-Hybrid-Datensicherheit
- Partner-Volladministrator – Kann Einstellungen für alle Kunden verwalten, die der Partner verwaltet. Außerdem können Sie bereits vorhandenen Benutzern in der Organisation Administratorrollen zuweisen und bestimmte Kunden für die Verwaltung durch Partneradministratoren zuweisen.
- Partneradministrator – Kann Einstellungen für Kunden verwalten, die der Administrator bereitgestellt hat oder die dem Benutzer zugewiesen wurden.
- Volladministrator – Administrator der Partnerorganisation, der berechtigt ist, Aufgaben auszuführen, z. B. die Änderung von Organisationseinstellungen, die Verwaltung von Lizenzen und das Zuweisen von Rollen.
- Durchgängige Multi-Tenant-HDS-Einrichtung und -Verwaltung aller Kundenorganisationen – Partner-Volladministrator und Volle Administratorrechte erforderlich.
- Verwaltung zugewiesener Mandanten-Organisationen – Partneradministrator und volle Administratorrechte erforderlich.
Sicherheitsbereichsarchitektur
Die Webex-Cloud-Architektur unterteilt verschiedene Arten von Diensten in separate Bereiche oder Vertrauensdomänen, wie unten dargestellt.
Um die Hybrid-Datensicherheit besser zu verstehen, schauen wir uns zunächst diesen reinen Cloud-Fall an, bei dem Cisco alle Funktionen in seinen Cloud-Bereichen bereitstellt. Der Identitätsdienst, der einzige Ort, an dem Benutzer direkt mit ihren persönlichen Informationen in Verbindung gebracht werden können, wie z. B. die E-Mail-Adresse, ist logisch und physisch vom Sicherheitsbereich in Rechenzentrum B getrennt. Er ist wiederum von dem Bereich getrennt, in dem verschlüsselte Inhalte letztendlich gespeichert werden, in Rechenzentrum C.
In diesem Diagramm ist der Client die Webex-App, die auf dem Laptop eines Benutzers ausgeführt wird und sich mit dem Identitätsdienst authentifiziert hat. Wenn der Benutzer eine Nachricht verfasst, die er an einen Bereich senden möchte, finden folgende Schritte statt:
-
Der Client stellt eine sichere Verbindung zum Schlüsselverwaltungsdienst her, und fordert anschließend einen Schlüssel zum Verschlüsseln der Nachricht an. Die sichere Verbindung verwendet ECDH und der Schlüsselverwaltungsdienst verschlüsselt den Schlüssel mit einem AES-256-Hauptschlüssel.
-
Die Nachricht wird verschlüsselt, bevor sie den Client verlässt. Der Client sendet sie an den Indexdienst, der verschlüsselte Suchindizes erstellt, um zukünftige Suchvorgänge nach Inhalten zu unterstützen.
-
Die verschlüsselte Nachricht wird an den Compliancedienst gesendet, damit Complianceprüfungen vorgenommen werden können.
-
Die verschlüsselte Nachricht wird im Speicherbereich abgelegt.
Wenn Sie die Hybrid-Datensicherheit bereitstellen, verschieben Sie die Sicherheitsbereichsfunktionen (KMS, Indexierung und Compliance) in Ihr lokales Rechenzentrum. Die anderen Cloud-Dienste, aus denen Webex besteht (einschließlich Identitätsspeicher und Inhaltsspeicher), verbleiben in den Bereichen von Cisco.
Zusammenarbeit mit anderen Organisationen
Benutzer in Ihrer Organisation können die Webex-App regelmäßig verwenden, um mit externen Teilnehmern in anderen Organisationen zusammenzuarbeiten. Wenn einer Ihrer Benutzer einen Schlüssel für einen Bereich anfordert, der Ihrer Organisation gehört (da er von einem Ihrer Benutzer erstellt wurde) sendet Ihr Schlüsselverwaltungsdienst den Schlüssel über einen mit ECDH gesicherten Kanal an den Client. Wenn eine andere Organisation jedoch den Schlüssel für den Bereich besitzt, leitet Ihr KMS die Anforderung über einen separaten ECDH-Kanal an die Webex-Cloud weiter, um den Schlüssel vom entsprechenden KMS zu erhalten, und gibt den Schlüssel dann an Ihren Benutzer im ursprünglichen Kanal zurück.
Der KMS-Dienst, der unter Organisation A ausgeführt wird, überprüft die Verbindungen zu KMSs in anderen Organisationen mit x.509-PKI-Zertifikaten. Weitere Informationen zur Erzeugung eines x.509-Zertifikats für die Verwendung mit Ihrer Multi-Tenant-Hybrid-Datensicherheitsbereitstellung finden Sie unter Vorbereiten Ihrer Umgebung .
Erwartungen an die Bereitstellung der Hybrid-Datensicherheit
Eine Bereitstellung der Hybrid-Datensicherheit erfordert ein erhebliches Engagement und ein Bewusstsein für die Risiken, die mit dem Besitz von Verschlüsselungscodes einhergehen.
Zur Bereitstellung der Hybrid-Datensicherheit müssen Sie Folgendes bereitstellen:
-
Ein sicheres Rechenzentrum in einem Land, das ein unterstützter Standort für die Cisco Webex Teams-Pläne ist.
-
Geräte, Software und Netzwerkzugriff, die unter Vorbereiten Ihrer Umgebung beschrieben werden.
Der vollständige Verlust der Konfigurations-ISO, die Sie für Hybrid Data Security erstellen, oder der von Ihnen bereitgestellten Datenbank führt zum Verlust der Schlüssel. Der Schlüsselverlust verhindert, dass Benutzer Bereichsinhalte und andere verschlüsselte Daten in der Webex-App entschlüsseln. Falls dies geschieht, können Sie eine neue Bereitstellung erstellen, es werden dabei jedoch nur neue Inhalte angezeigt. Gehen Sie folgendermaßen vor, damit Sie nicht den Zugriff auf die Daten verlieren:
-
Verwalten Sie die Sicherung und Wiederherstellung der Datenbank und die ISO-Konfigurationsdatei.
-
Bereiten Sie sich darauf vor, eine schnelle Notfallwiederherstellung durchzuführen, wenn eine Katastrophe eintritt, z. B. ein Fehler der Datenbank oder ein Absturz des Rechenzentrums.
Es gibt keinen Mechanismus, um Schlüssel nach einer HDS-Bereitstellung zurück in die Cloud zu verschieben.
Übergeordneter Einrichtungsprozess
Dieses Dokument behandelt die Einrichtung und Verwaltung einer Multi-Tenant-Hybrid-Datensicherheitsbereitstellung:
-
Hybrid-Datensicherheit einrichten – Dazu gehört die Vorbereitung der erforderlichen Infrastruktur und die Installation der Hybrid-Datensicherheitssoftware, der Aufbau eines HDS-Clusters, das Hinzufügen von Tenant-Organisationen zum Cluster und die Verwaltung ihrer Customer Main Keys (CMKs). Damit können alle Benutzer Ihrer Kundenorganisationen Ihr Hybrid-Datensicherheitscluster für Sicherheitsfunktionen verwenden.
Die Einrichtungs-, Aktivierungs- und Verwaltungsphase werden in den nächsten drei Kapiteln ausführlich behandelt.
-
Aufrechterhaltung Ihrer Hybrid-Datensicherheitsbereitstellung – Die Webex-Cloud stellt automatisch laufende Upgrades bereit. Ihre IT-Abteilung kann Ebene-1-Support anbieten und bei Bedarf den Cisco-Support hinzuziehen. Sie können Benachrichtigungen auf dem Bildschirm verwenden und E-Mail-basierte Warnungen in Partner Hub einrichten.
-
Allgemeine Warnungen, Schritte zur Fehlerbehebung und bekannte Probleme verstehen: Wenn bei der Bereitstellung oder Verwendung von Hybrid-Datensicherheit Probleme auftreten, können Sie das letzte Kapitel dieses Leitfadens und der Anhang „Bekannte Probleme“ bei der Ermittlung und Behebung des Problems helfen.
Bereitstellungsmodell für die Hybrid-Datensicherheit
Im Rechenzentrum Ihres Unternehmens stellen Sie die hybride Datensicherheit als ein Cluster von Knoten auf separaten virtuellen Hosts bereit. Die Knoten kommunizieren mit der Webex Cloud über sichere Websockets und sicheres HTTP.
Während des Installationsvorgangs stellen wir Ihnen die OVA-Datei bereit, mit der Sie die virtuelle Appliance auf den von Ihnen angegebenen VMs einrichten können. Mit dem HDS-Setuptool erstellen Sie eine benutzerdefinierte ISO-Clusterkonfigurationsdatei, die Sie bei den einzelnen Knoten mounten. Der Hybrid-Datensicherheitscluster verwendet den von Ihnen bereitgestellten Syslogd-Server und die PostgreSQL- oder Microsoft SQL Server-Datenbank. (Sie konfigurieren die Syslogd- und Datenbankverbindungsdetails im HDS Setup Tool.)
Die Mindestanzahl von Knoten in einem Cluster lautet zwei. Wir empfehlen mindestens drei pro Cluster. Die Tatsache, dass mehrere Knoten vorhanden sind, stellt sicher, dass der Dienst während eines Software-Upgrades oder anderer Wartungsaktivitäten auf einem Knoten nicht unterbrochen wird. (Die Webex-Cloud aktualisiert jeweils nur einen Knoten.)
Alle Knoten in einem Cluster greifen auf denselben Schlüsseldatenspeicher zu und sie protokollieren Aktivitäten auf demselben Syslog-Server. Die Knoten selbst besitzen keinen Status und verarbeiten Schlüsselanfragen nach dem Round-Robin-Verfahren, wie von der Cloud vorgegeben.
Knoten werden aktiv, wenn Sie sie in Partner Hub registrieren. Um einen einzelnen Knoten zu deaktivieren, können Sie die Registrierung aufheben und ggf. zu einem späteren Zeitpunkt erneut registrieren.
Standby-Rechenzentrum für die Notfallwiederherstellung
Während der Bereitstellung richten Sie ein sicheres Standby-Rechenzentrum ein. Bei einem Absturz des Rechenzentrums können Sie die Bereitstellung manuell auf das Standby-Rechenzentrum umstellen.
Die Datenbanken der aktiven und Standby-Rechenzentren sind synchronisiert, wodurch die Zeit für die Durchführung des Failovers minimiert wird.
Die aktiven Hybrid-Datensicherheitsknoten müssen sich immer im selben Rechenzentrum wie der aktive Datenbankserver befinden.
Proxy-Support
Die Hybriddatensicherheit unterstützt explizite, transparente Inspektionen und Nichtinspizierungsproxys. Sie können diese Proxys an Ihre Bereitstellung binden, damit Sie den Datenverkehr aus dem Unternehmen heraus in die-Cisco sichern und überwachen können. Sie können eine Netzwerkverwaltung auf den Knoten für Zertifikats-Management verwenden und den Status der gesamten Konnektivität überprüfen, nachdem Sie den Proxy auf den Knoten eingerichtet haben.
Die Hybrid Data Sicherheitshinweis unterstützt die folgenden Proxyoptionen:
-
Kein Proxy: Der Standardwert, wenn Sie nicht die Konfiguration von Vertrauensspeicher und Proxy für die Integration eines Proxys beim Einrichten des HDS-Knotens verwenden. Es ist keine Zertifikatsaktualisierung erforderlich.
-
Transparenter Proxy ohne Prüfung – Die Knoten sind nicht für die Verwendung einer bestimmten Proxyserveradresse konfiguriert und sollten keine Änderungen erfordern, um mit einem Proxy ohne Prüfung zu arbeiten. Es ist keine Zertifikatsaktualisierung erforderlich.
-
Transparentes Tunneln oder Proxyprüfen: Die Knoten sind nicht für die Verwendung einer bestimmten Proxyserveradresse konfiguriert. Es sind keine Änderungen bei der Konfigurationänderung von http oder HTTPS Allerdings benötigen die Knoten eine Stammzertifikat, sodass Sie dem Proxy Vertrauen. Die Inspektion von Proxys wird in der Regel von ihm verwendet, um Strategien durchzusetzen, welche Websites besichtigt werden können und welche Arten von Inhalten nicht zulässig sind. Diese Art von Proxy entschlüsselt den gesamten Datenverkehr (auch HTTPS).
-
Expliziter Proxy: Mit explizitem Proxy teilen Sie den HDS-Knoten mit, welcher Proxyserver und welches Authentifizierungsschema verwendet werden sollen. Um einen expliziten Proxy zu konfigurieren, müssen Sie die folgenden Informationen zu den einzelnen Knoten eingeben:
-
Proxy-IP/FQDN: Adresse, die verwendet werden kann, um die Proxy-Maschine zu erreichen.
-
Proxy-Port: Eine Portnummer, die der Proxy verwendet, um nach proxyem Datenverkehr zu suchen.
-
Proxy-Protokoll: Wählen Sie je nachdem, was Ihr Proxy-Server unterstützt, zwischen den folgenden Protokollen aus:
-
– Und steuert alle Anfragen, die der Client sendet.
-
HTTPS – stellt einen Kanal zum Server bereit. Der Client erhält und prüft das Zertifikat des Servers.
-
-
Authentifizierungstyp: Wählen Sie aus den folgenden Authentifizierungstypen aus:
-
Keine: Es ist keine weitere Authentifizierung erforderlich.
Verfügbar, wenn Sie entweder http oder HTTPS als Proxyprotokoll auswählen.
-
Basic – wird für einen HTTP-Benutzeragenten verwendet, um bei einer Anfrage einen Benutzernamen und ein Kennwort anzugeben. Zertifikatsformat verwendet.
Verfügbar, wenn Sie entweder http oder HTTPS als Proxyprotokoll auswählen.
Hiermit müssen Sie die Benutzername und das Passwort eines jeden Knotens eingeben.
-
Digest – wird verwendet, um das Konto vor dem Senden sensibler Informationen zu bestätigen. Gibt eine Hashfunktion auf die Benutzername und das Passwort ein, bevor Sie über das Netzwerk senden.
Nur verfügbar, wenn Sie HTTPS als Proxyprotokoll auswählen.
Hiermit müssen Sie die Benutzername und das Passwort eines jeden Knotens eingeben.
-
-
Beispiel für hybride Datensicherheitsknoten und Proxy
Dieses Diagramm zeigt eine Beispielverbindung zwischen der Hybriddatensicherheit, dem Netzwerk und einem Proxy. Für die transparente Inspektion und HTTPS explizite Überprüfung der Proxyoptionen müssen dieselben Stammzertifikat auf dem Proxy und auf den Hybriden Datensicherheitsknoten installiert sein.
Externer DNS Auflösungsmodus blockiert (explizite Proxykonfigurationen)
Wenn Sie einen Knoten registrieren oder die Proxykonfiguration des Knotens überprüfen, testet das Verfahren die DNS und die Konnektivität der Cisco WebEx. Bei Bereitstellungen mit expliziten Proxykonfigurationen, die keine externe DNS für interne Clients zulassen, wenn der Knoten die DNS-Server nicht Abfragen kann, geht er automatisch in den gesperrten externen DNS-Server. In diesem Modus können Knotenregistrierungen und andere Proxyverbindungstests fortgeführt werden.
Umgebung vorbereiten
Anforderungen für die Multi-Tenant-Hybrid-Datensicherheit
Cisco Webex-Lizenzanforderungen
So stellen Sie Multi-Tenant Hybrid Data Security bereit:
-
Partnerorganisationen: Wenden Sie sich an Ihren Cisco-Partner oder Account Manager und stellen Sie sicher, dass die Multi-Tenant-Funktion aktiviert ist.
-
Mandantenorganisationen: Sie benötigen Pro Pack für Cisco Webex Control Hub. (Siehe https://www.cisco.com/go/pro-pack.)
Docker Desktop-Anforderungen
Bevor Sie Ihre HDS-Knoten installieren, benötigen Sie Docker Desktop, um ein Setup-Programm auszuführen. Docker hat kürzlich sein Lizenzierungsmodell aktualisiert. Ihre Organisation benötigt möglicherweise ein kostenpflichtiges Abonnement für Docker Desktop. Weitere Informationen finden Sie im Docker-Blog-Post: " Docker aktualisiert und erweitert unsere Produktabonnements".
Anforderungen an das X.509-Zertifikat
Diese Zertifikatskette muss die folgenden Anforderungen erfüllen:
|
Anforderung |
Details |
|---|---|
|
Standardmäßig vertrauen wir den Zertifizierungsstellen in der Mozilla-Liste (mit Ausnahme von WoSign und StartCom) unter https://wiki.mozilla.org/CA:IncludedCAs. |
|
Der CN muss nicht erreichbar und kein Live-Host sein. Wir empfehlen die Verwendung eines Namens, der Ihre Organisation widerspiegelt, z. B. Der CN darf kein * (Platzhalter) enthalten. Der CN wird verwendet, um die Hybrid-Datensicherheitsknoten für Webex-App-Clients zu verifizieren. Alle Hybrid-Datensicherheitsknoten in Ihrem Cluster verwenden das gleiche Zertifikat. Ihr KMS identifiziert sich selbst unter Verwendung der CN-Domäne, nicht einer beliebigen Domäne, die in den x.509v3-SAN-Feldern definiert ist. Nachdem Sie einen Knoten mit diesem Zertifikat registriert haben, kann der CN-Domänenname nicht mehr geändert werden. |
|
Die KMS-Software unterstützt keine SHA1-Signaturen zum Validieren von Verbindungen zu KMS anderer Organisationen. |
|
Sie können das Format Ihres Zertifikats mithilfe einer Konvertierungssoftware wie OpenSSL ändern. Sie müssen das Passwort eingeben, wenn Sie das HDS-Setuptool ausführen. |
Die KMS-Software erzwingt keine Schlüsselnutzung und beschränkt erweiterte Schlüsselnutzung nicht. Einige Zertifizierungsstellen erfordern Beschränkungen einer erweiterten Schlüsselnutzung für jedes Zertifikat, wie z. B. Server-Authentifizierung. Die Server-Authentifizierung oder andere Einstellungen zu verwenden, ist zulässig.
Anforderungen für virtuelle Gastgeber
Die virtuellen Hosts, die Sie als Hybrid-Datensicherheitsknoten in Ihrem Cluster einrichten, haben die folgenden Anforderungen:
-
Mindestens zwei separate Hosts (3 empfohlen) befinden sich im gleichen sicheren Rechenzentrum
-
VMware ESXi 7.0 (oder höher) installiert und ausgeführt.
Sie müssen ein Upgrade durchführen, wenn Sie über eine frühere Version von ESXi verfügen.
-
Mindestens 4 vCPUs, 8 GB Hauptspeicher, 30 GB lokaler Festplattenspeicher pro Server
Datenbankserveranforderungen
Erstellen Sie eine neue Datenbank für die Schlüsselspeicherung. Verwenden Sie nicht die Standarddatenbank. Die HDS-Anwendungen erstellen bei Installation das Datenbankschema.
Für den Datenbankserver gibt es zwei Optionen. Die Anforderungen für jede dieser Komponenten lauten wie folgt:
|
PostgreSQL |
Microsoft SQL-Server |
|---|---|
|
|
|
Mindestens 8 vCPUs, 16 GB Hauptspeicher, ausreichend Festplattenkapazität und Überwachung zur Sicherstellung, dass dieser nicht überschritten wird (2 TB empfohlen, falls die Datenbank über längere Zeit ohne Erweiterung der Festplattenkapazität ausgeführt werden soll) |
Mindestens 8 vCPUs, 16 GB Hauptspeicher, ausreichend Festplattenkapazität und Überwachung zur Sicherstellung, dass dieser nicht überschritten wird (2 TB empfohlen, falls die Datenbank über längere Zeit ohne Erweiterung der Festplattenkapazität ausgeführt werden soll) |
Die HDS-Software installiert derzeit die folgenden Treiberversionen für die Kommunikation mit dem Datenbankserver:
|
PostgreSQL |
Microsoft SQL-Server |
|---|---|
|
Der Treiber Postgres JDBC 42.2.5 |
SQL Server JDBC-Treiber 4.6 Diese Treiberversion unterstützt SQL Server Always On (Always On Failover Cluster Instances und Always On-Verfügbarkeitsgruppen). |
Zusätzliche Anforderungen für die Windows-Authentifizierung gegen Microsoft SQL Server
Wenn Sie möchten, dass HDS-Knoten die Windows-Authentifizierung verwenden, um Zugriff auf Ihre Keystore-Datenbank auf Microsoft SQL Server zu erhalten, benötigen Sie die folgende Konfiguration in Ihrer Umgebung:
-
Die HDS-Knoten, die Active Directory-Infrastruktur und der MS SQL Server müssen alle mit dem NTP synchronisiert werden.
-
Das Windows-Konto, das Sie auf HDS-Knoten bereitstellen, muss Lese-/Schreibzugriff auf die Datenbank haben.
-
Die DNS-Server, die Sie für HDS-Knoten bereitstellen, müssen in der Lage sein, Ihr Key Distribution Center (KDC) aufzulösen.
-
Sie können die HDS-Datenbankinstanz auf Ihrem Microsoft SQL Server als Service Principal Name (SPN) in Ihrem Active Directory registrieren. Siehe Registrieren eines Dienstprinzipalnamens für Kerberos-Verbindungen.
Das HDS-Setup-Tool, der HDS-Launcher und das lokale KMS müssen für den Zugriff auf die Keystore-Datenbank die Windows-Authentifizierung verwenden. Sie verwenden die Details aus Ihrer ISO-Konfiguration, um die SPN zu konstruieren, wenn sie den Zugriff mit der Kerberos-Authentifizierung anfordern.
Anforderungen an externe Konnektivität
Konfigurieren Sie Ihre Firewall so, dass die folgende Konnektivität für die HDS-Anwendungen zugelassen ist:
|
Anwendung |
Protokoll |
Port |
Richtung von der App |
Ziel |
|---|---|---|---|---|
|
Hybrid-Datensicherheitsknoten |
TCP |
443 |
Ausgehend HTTPS und WSS |
|
|
HDS-Einrichtungstool |
TCP |
443 |
Ausgehendes HTTPS |
|
Die Hybrid-Datensicherheitsknoten funktionieren mit NAT (Network Access Translation) oder hinter einer Firewall, solange NAT oder Firewall die erforderlichen ausgehenden Verbindungen zu den in der vorangehenden Tabelle aufgeführten Domänenzielen zulässt. Für eingehende Verbindungen zu den Hybrid-Datensicherheitsknoten sollten keine Ports aus dem Internet sichtbar sein. In Ihrem Rechenzentrum benötigen Clients aus administrativen Gründen Zugriff auf die Hybrid-Datensicherheitsknoten auf den TCP-Ports 443 und 22.
Die URLs für die CI-Hosts (Common Identity) sind regionsspezifisch. Dies sind die aktuellen CI-Hosts:
|
Region |
Host-URLs der allgemeinen Identität |
|---|---|
|
Amerika |
|
|
Europäische Union |
|
|
Kanada |
|
| Singapur |
|
| Vereinigte Arabische Emirate |
|
Vorgaben für Proxy-Server
-
Wir unterstützen offiziell die folgenden Proxylösungen, die in ihre Hybriden Sicherheitsknoten integriert werden können.
-
Transparenter Proxy – Cisco Web Sicherheitsgerät (WSA).
-
Explizite –.
Squid-Proxys, die den HTTPS-Datenverkehr untersuchen, können die Einrichtung von Websocket-Verbindungen (wss:) beeinträchtigen. Informationen zur Behebung dieses Problems finden Sie unter Konfigurieren von Squid-Proxys für Hybrid-Datensicherheit.
-
-
Wir unterstützen die folgenden Authentifizierungskombinationen für explizite Proxys:
-
Keine Authentifizierung mit http oder HTTPS
-
Grundlegende Authentifizierung mit http oder HTTPS
-
Verdauungsauthentifizierung nur mit HTTPS
-
-
Um einen transparenten Proxy oder einen HTTPS expliziten Proxy zu erhalten, müssen Sie eine Kopie des Stammzertifikat des Stellvertreters besitzen. Die Bereitstellungsanweisungen in diesem Handbuch zeigen Ihnen, wie Sie die Kopie in die Vertrauensspeicher der Hybriden Datensicherheitsknoten hochladen können.
-
Das Netzwerk, das die HDS Nodes hostet, muss so konfiguriert sein, dass es den ausgehenden TCP Traffic auf Port 443 durch den Proxy zwingt
-
Proxys, die den Webverkehr inspizieren, können die Websteckverbindung beeinträchtigen. Wenn dieses Problem auftritt, wird das Problem durch Umgehung des Datenverkehrs zu
wbx2.comundciscospark.comgelöst.
Erfüllen der Voraussetzungen für die Hybrid-Datensicherheit
| 1 |
Stellen Sie sicher, dass Ihre Partnerorganisation die Multi-Tenant-HDS-Funktion aktiviert hat, und sichern Sie sich die Anmeldeinformationen für ein Konto mit vollen Partneradministratorrechten und vollen Administratorrechten. Stellen Sie sicher, dass Ihre Webex-Kundenorganisation für Pro Pack für Cisco Webex Control Hub aktiviert ist. Wenden Sie sich an Ihren Cisco-Partner oder an Ihren Account Manager, falls Sie Hilfe bei diesem Verfahren benötigen. Kundenorganisationen sollten keine vorhandene HDS-Bereitstellung haben. |
| 2 |
Wählen Sie einen Domänennamen für Ihre HDS-Bereitstellung (z. B. |
| 3 |
Bereiten Sie identische virtuelle Hosts vor, die Sie als Hybrid-Datensicherheitsknoten in Ihrem Cluster einrichten werden. Sie benötigen mindestens zwei separate Hosts (3 empfohlen), die sich im selben sicheren Rechenzentrum befinden und die Anforderungen unter Anforderungen für virtuelle Hosts erfüllen. |
| 4 |
Bereiten Sie den Datenbankserver vor, der als Schlüsseldatenspeicher für den Cluster dient, gemäß den Anforderungen für den Datenbankserver. Der Datenbankserver muss sich im sicheren Rechenzentrum mit den virtuellen Hosts befinden. |
| 5 |
Richten Sie für eine schnelle Notfallwiederherstellung eine Backup-Umgebung in einem anderen Rechenzentrum ein. Die Backup-Umgebung spiegelt die Produktionsumgebung von VMs und eines Backup-Datenbankservers wider. Wenn beispielsweise in der Produktion 3 VMs HDS-Knoten ausführen, sollte die Backup-Umgebung 3 VMs haben. |
| 6 |
Richten Sie einen syslog-Host ein, um Protokolle aus den Knoten im Cluster zu sammeln. Dokumentieren Sie dessen Netzwerkadresse und syslog-Port (Standard ist UDP 514). |
| 7 |
Erstellen Sie eine sichere Backup-Richtlinie für die Hybrid-Datensicherheitsknoten, den Datenbankserver und den Syslog-Host. Um einen nicht behebbaren Datenverlust zu vermeiden, müssen Sie mindestens die Datenbank und die für die Hybrid-Datensicherheitsknoten generierte Konfigurations-ISO-Datei sichern. Da auf den Hybrid-Datensicherheitsknoten die für die Ver- und Entschlüsselung von Inhalten verwendeten Schlüssel gespeichert werden, führt das Versäumnis, eine betriebliche Bereitstellung aufrechtzuerhalten, zum NICHT BEHEBBAREN VERLUST dieser Inhalte. Webex-App-Clients speichern ihre Schlüssel im Zwischenspeicher, sodass ein Ausfall möglicherweise nicht sofort spürbar ist, aber mit der Zeit offensichtlich wird. Vorübergehende Ausfälle sind unvermeidlich, aber behebbar. Bei einem vollständigen Verlust (keine Backups verfügbar) entweder der Datenbank oder der ISO-Konfigurationsdatei gehen jedoch Kundendaten unwiederbringlich verloren. Von den Betreibern der Hybrid-Datensicherheitsknoten wird erwartet, dass sie häufige Sicherungen der Datenbank und der Konfigurations-ISO-Datei erstellen und im Falle eines katastrophalen Ausfalls das Rechenzentrum für die Hybrid-Datensicherheit neu erstellen. |
| 8 |
Stellen Sie sicher, dass Ihre Firewall-Konfiguration eine Verbindung für Ihre Hybrid-Datensicherheitsknoten ermöglicht, wie unter Externe Verbindungsanforderungen beschrieben. |
| 9 |
Installieren Sie Docker ( https://www.docker.com) auf jedem lokalen Computer, auf dem ein unterstütztes Betriebssystem ausgeführt wird (Microsoft Windows 10 Professional, Enterprise 64-Bit oder Mac OSX Yosemite 10.10.3 oder höher) und ein Webbrowser, der unter http://127.0.0.1:8080. darauf zugreifen kann. Mit der Docker-Instanz können Sie das HDS Setup Tool herunterladen und ausführen, das die lokalen Konfigurationsinformationen für alle Hybrid-Datensicherheitsknoten erstellt. Möglicherweise benötigen Sie eine Docker Desktop-Lizenz. Weitere Informationen finden Sie unter Anforderungen für Docker Desktop . Um das HDS Setup Tool zu installieren und auszuführen, muss der lokale Computer über die unter Anforderungen an externe Konnektivität beschriebenen Konnektivität verfügen. |
| 10 |
Wenn Sie einen Proxy mit Hybrid Data Security integrieren, stellen Sie sicher, dass er die Anforderungen für den Proxy-Server erfüllt. |
Hybrid-Datensicherheitscluster einrichten
Ablauf der Bereitstellungsaufgabe für die Hybrid-Datensicherheit
| 1 |
Erste Einrichtung durchführen und Installationsdateien herunterladen Laden Sie die OVA-Datei für eine spätere Verwendung auf Ihren lokalen Computer herunter. |
| 2 |
Erstellen einer ISO-Konfigurationsdatei für die HDS-Hosts Erstellen Sie mit dem HDS Setup Tool eine ISO-Konfigurationsdatei für die Hybrid-Datensicherheitsknoten. |
| 3 |
Erstellen Sie eine virtuelle Maschine aus der OVA-Datei und führen Sie eine erste Konfiguration durch, z. B. Netzwerkeinstellungen. Die Option zum Konfigurieren der Netzwerkeinstellungen während der OVA-Bereitstellung wurde mit ESXi 7.0 getestet. In früheren Versionen ist diese Option möglicherweise nicht verfügbar. |
| 4 |
Einrichten der Hybrid-Datensicherheits-VM Melden Sie sich bei der VM-Konsole an und legen Sie die Anmeldeinformationen fest. Konfigurieren Sie die Netzwerkeinstellungen für den Knoten, falls Sie diese bei der OVA-Bereitstellung nicht konfiguriert haben. |
| 5 |
Hochladen und Mounten der HDS-Konfigurations-ISO Konfigurieren Sie die VM aus der ISO-Konfigurationsdatei, die Sie mit dem HDS Setup Tool erstellt haben. |
| 6 |
Konfigurieren des HDS Knotens für Proxyintegration Wenn für die Netzwerkumgebung eine Proxy-Konfiguration erforderlich ist, geben Sie den Proxy-Typ an, den Sie für den Knoten verwenden möchten, und fügen Sie das Proxy-Zertifikat ggf. zum Vertrauensspeicher hinzu. |
| 7 |
Ersten Knoten im Cluster registrieren Registrieren Sie die VM in der Cisco Webex Cloud als Hybrid-Datensicherheitsknoten. |
| 8 |
Weitere Knoten erstellen und registrieren Schließen Sie die Cluster-Einrichtung ab. |
| 9 |
Aktivieren Sie Multi-Tenant-HDS in Partner Hub. Aktivieren Sie HDS und verwalten Sie Mandantenorganisationen in Partner Hub. |
Erste Einrichtung durchführen und Installationsdateien herunterladen
Bei dieser Aufgabe laden Sie eine OVA-Datei auf Ihren Computer herunter (nicht auf die Server, die Sie als Hybrid-Datensicherheitsknoten eingerichtet haben). Sie können diese Datei zu einem späteren Zeitpunkt im Installationsprozess verwenden.
| 1 |
Melden Sie sich bei Partner Hub an und klicken Sie auf Dienste. |
| 2 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach der Hybrid-Datensicherheitskarte und klicken Sie auf Einrichten. Das Klicken auf Einrichten in Partner Hub ist entscheidend für den Bereitstellungsprozess. Fahren Sie mit der Installation nicht fort, ohne diesen Schritt abzuschließen. |
| 3 |
Klicken Sie auf Ressource hinzufügen und dann auf OVA-Datei herunterladen auf der Karte Software installieren und konfigurieren . Ältere Versionen des Softwarepakets (OVA) sind mit den neuesten Upgrades für die Hybrid-Datensicherheit nicht kompatibel. Dies kann zu Problemen beim Upgrade der Anwendung führen. Stellen Sie sicher, dass Sie die neueste Version der OVA-Datei herunterladen. Sie können die OVA auch jederzeit im Abschnitt Hilfe herunterladen. Klicken Sie auf . Der Download der OVA-Datei beginnt automatisch. Speichern Sie die Datei auf Ihrem Computer.
|
| 4 |
Klicken Sie optional auf Bereitstellungsleitfaden zur Hybrid-Datensicherheit anzeigen , um zu überprüfen, ob eine spätere Version dieses Leitfadens verfügbar ist. |
Erstellen einer ISO-Konfigurationsdatei für die HDS-Hosts
Beim Einrichtungsprozess für die Hybrid-Datensicherheit wird eine ISO-Datei erstellt. Anschließend verwenden Sie die ISO, um Ihren Hybrid-Datensicherheitshost zu konfigurieren.
Vorbereitungen
-
Das HDS Setup Tool wird als Docker Container auf einem lokalen Computer ausgeführt. Um darauf zu zugreifen, führen Sie Docker auf diesem Computer aus. Der Einrichtungsprozess erfordert die Anmeldeinformationen eines Partner Hub-Kontos mit vollständigen Administratorrechten.
Wenn das HDS Setup-Tool hinter einem Proxy in Ihrer Umgebung ausgeführt wird, geben Sie die Proxy-Einstellungen (Server, Port, Anmeldeinformationen) über die Docker-Umgebungsvariablen an, wenn Sie den Docker-Container in Schritt 5 unten aufrufen. Diese Tabelle enthält einige mögliche Umgebungsvariablen:
Beschreibung
Variable
HTTP-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORTHTTPS-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORT -
Die von Ihnen generierte ISO-Konfigurationsdatei enthält den Hauptschlüssel zur Verschlüsselung der PostgreSQL- oder Microsoft SQL Server-Datenbank. Sie benötigen die neueste Kopie dieser Datei, wenn Sie Konfigurationsänderungen wie die folgenden vornehmen:
-
Datenbank-Anmeldeinformationen
-
Zertifikats-Aktualisierungen
-
Änderungen an der Autorisierungsrichtlinie
-
-
Wenn Sie Datenbankverbindungen verschlüsseln möchten, richten Sie Ihre PostgreSQL- oder SQL Server-Bereitstellung für TLS ein.
| 1 |
Geben Sie in der Befehlszeile Ihres Computers den entsprechenden Befehl für Ihre Umgebung ein: In regulären Umgebungen: In FedRAMP-Umgebungen: Mit diesem Schritt werden die Bilder vorheriger HDS-Setup-Tools bereinigt. Wenn keine vorherigen Bilder angezeigt werden, erhalten Sie eine Fehlermeldung, die Sie ignorieren können. | ||||||||||
| 2 |
Um sich bei der Docker-Image-Registrierung anmelden zu können, geben Sie Folgendes ein: | ||||||||||
| 3 |
Geben Sie in der Passwortaufforderung diese Hash-Eingabe ein: | ||||||||||
| 4 |
Laden Sie das aktuellste stabile Bild für Ihre Umgebung herunter: In regulären Umgebungen: In FedRAMP-Umgebungen: | ||||||||||
| 5 |
Geben Sie nach Abschluss des Pull-Befehls den entsprechenden Befehl für Ihre Umgebung ein:
Wenn der Container ausgeführt wird, wird "Express server listening on port 8080" (Express-Server hören auf Port 8080) sehen. | ||||||||||
| 6 |
Das Setup-Tool unterstützt die Verbindung zu localhost über http://localhost:8080 nicht. Verwenden Sie http://127.0.0.1:8080 , um eine Verbindung zum Localhost herzustellen. Navigieren Sie in einem Webbrowser zum Localhost, Das Tool verwendet diesen ersten Eintrag des Benutzernamens, um die richtige Umgebung für dieses Konto festzulegen. Das Tool zeigt dann die Standard-Anmeldeaufforderung an. | ||||||||||
| 7 |
Wenn Sie dazu aufgefordert werden, geben Sie Ihre Partner Hub-Administratoranmeldeinformationen ein und klicken Sie dann auf Anmelden , um den Zugriff auf die für die Hybrid-Datensicherheit erforderlichen Dienste zu erlauben. | ||||||||||
| 8 |
Klicken Sie auf der Übersichtsseite des Setup Tool auf Get Started (Erste Schritte). | ||||||||||
| 9 |
Auf der Seite ISO-Import stehen Ihnen folgende Optionen zur Verfügung:
| ||||||||||
| 10 |
Überprüfen Sie, ob Ihr X.509-Zertifikat die Anforderungen in X.509-Zertifikatsanforderungen erfüllt.
| ||||||||||
| 11 |
Geben Sie die Datenbankadresse und das Konto für HDS ein, um auf Ihren Schlüsseldatenspeicher zuzugreifen: | ||||||||||
| 12 |
Wählen Sie einen TLS-Datenbankverbindungsmodus aus:
Wenn Sie das Stammzertifikat hochladen (falls erforderlich) und auf Weiter klicken, testet das HDS Setup Tool die TLS-Verbindung zum Datenbankserver. Das Tool überprüft auch den Zertifikat signer und den Hostnamen, falls vorhanden. Wenn ein Test fehlschlägt, zeigt das Tool eine Fehlermeldung an, in der das Problem beschrieben wird. Sie können auswählen, ob Sie den Fehler ignorieren und mit der Einrichtung fortfahren möchten. (Aufgrund von Verbindungsunterschieden können die HDS-Knoten möglicherweise eine TLS-Verbindung herstellen, auch wenn das HDS Setup Tool diese nicht erfolgreich testen kann.) | ||||||||||
| 13 |
Konfigurieren Sie auf der Seite Systemprotokolle Ihren Syslogd-Server: | ||||||||||
| 14 |
(Optional) Sie können den Standardwert für einige Datenbankverbindungsparameter unter Erweiterte Einstellungen ändern. Im Allgemeinen ist dieser Parameter der einzige, den Sie ändern möchten: | ||||||||||
| 15 |
Klicken Sie im Bildschirm Kennwort für Dienstkonten zurücksetzen auf Weiter . Passwörter für Dienstkonten haben eine Lebensdauer von neun Monaten. Verwenden Sie diesen Bildschirm, wenn Ihre Passwörter bald ablaufen oder Sie sie zurücksetzen möchten, um frühere ISO-Dateien ungültig zu machen. | ||||||||||
| 16 |
Klicken Sie auf Download ISO File (ISO-Datei herunterladen). Speichern Sie die Datei an einem leicht auffindbaren Speicherort. | ||||||||||
| 17 |
Erstellen Sie eine Sicherungskopie der ISO-Datei auf Ihrem lokalen System. Sichern Sie die Sicherungskopie sicher. Die Datei enthält einen Master-Verschlüsselungsschlüssel für die Datenbankinhalte. Beschränken Sie den Zugriff auf Administratoren für Hybrid-Datensicherheit, die Konfigurationsänderungen vornehmen sollten. | ||||||||||
| 18 |
Um das Setup Tool herunterzufahren, tippen Sie |
Nächste Schritte
Sichern Sie die ISO-Konfigurationsdatei. Sie benötigen sie, um weitere Knoten für die Wiederherstellung zu erstellen oder Konfigurationsänderungen vorzunehmen. Wenn Sie alle Kopien der ISO-Datei verlieren, haben Sie auch den Hauptschlüssel verloren. Die Schlüssel aus Ihrer PostgreSQL- oder Microsoft SQL Server-Datenbank können nicht wiederhergestellt werden.
Wir haben nie eine Kopie dieses Schlüssels und können nicht helfen, wenn Sie ihn verlieren.
Installieren des HDS Host OVA
| 1 |
Melden Sie sich über den VMware vSphere-Client auf Ihrem Computer bei dem ESXi virtuellen Host an. |
| 2 |
Wählen Sie Datei > OVF-Vorlage bereitstellen aus. |
| 3 |
Geben Sie im Assistenten den Speicherort der OVA-Datei an, die Sie zuvor heruntergeladen haben, und klicken Sie auf Weiter. |
| 4 |
Geben Sie auf der Seite Name und Ordner auswählen einen Namen der virtuellen Maschine für den Knoten ein (z. B. „HDS_Node_1“), wählen Sie einen Ort aus, an dem sich die Knotenbereitstellung der virtuellen Maschine befinden kann, und klicken Sie auf Weiter. |
| 5 |
Wählen Sie auf der Seite Berechnungsressource auswählen die Ziel-Berechnungsressource aus, und klicken Sie auf Weiter. Eine Validierungsprüfung wird ausgeführt. Nach Abschluss werden die Vorlagendetails angezeigt. |
| 6 |
Überprüfen Sie die Vorlagendetails, und klicken Sie dann auf Weiter. |
| 7 |
Wenn Sie aufgefordert werden, die Ressourcenkonfiguration auf der Seite Konfiguration auszuwählen, klicken Sie auf 4 CPU und dann auf Weiter. |
| 8 |
Klicken Sie auf der Seite Speicher auswählen auf Weiter , um das standardmäßige Festplattenformat und die VM-Speicherrichtlinie zu akzeptieren. |
| 9 |
Wählen Sie auf der Seite Netzwerke auswählen die Netzwerkoption aus der Liste der Einträge aus, um die gewünschte Konnektivität für die VM bereitzustellen. |
| 10 |
Konfigurieren Sie auf der Seite Vorlage anpassen die folgenden Netzwerkeinstellungen:
Wenn Sie dies vorziehen, können Sie die Konfiguration der Netzwerkeinstellungen überspringen und die Schritte unter Einrichten der Hybrid-Datensicherheit-VM befolgen, um die Einstellungen über die Knotenkonsole zu konfigurieren. Die Option zum Konfigurieren der Netzwerkeinstellungen während der OVA-Bereitstellung wurde mit ESXi 7.0 getestet. In früheren Versionen ist diese Option möglicherweise nicht verfügbar. |
| 11 |
Klicken Sie mit der rechten Maustaste auf die Knoten-VM, und wählen Sie . Die Hybrid-Datensicherheitssoftware wird als Gast auf dem VM-Host installiert. Sie können sich jetzt bei der Konsole anmelden und den Knoten konfigurieren. Leitfaden zur Fehlerbehebung Es kann zu einer Verzögerung von einigen Minuten kommen, bis die Knotencontainer angezeigt werden. Beim erstmaligen Start wird eine Bridge-Firewall-Nachricht angezeigt, während der Sie sich anmelden können. |
Einrichten der Hybrid-Datensicherheits-VM
Mit diesem Verfahren können Sie sich zum ersten Mal bei der VM-Konsole des Hybrid-Datensicherheitsknotens anmelden und die Anmeldeinformationen festlegen. Sie können auch die Konsole verwenden, um die Netzwerkeinstellungen für den Knoten zu konfigurieren, falls Sie diese bei der OVA-Bereitstellung nicht konfiguriert haben.
| 1 |
Wählen Sie im VMware vSphere-Client, Ihre Hybrid-Datensicherheitsknoten-VM und daraufhin die Registerkarte Console (Konsole) aus. Die VM fährt hoch und ein Anmeldebildschirm erscheint. Drücken Sie die Eingabetaste, falls der Anmeldebildschirm nicht angezeigt wird.
|
| 2 |
Verwenden Sie den folgenden Standard-Anmeldenamen und das Standardkennwort, um sich anzumelden und die Anmeldedaten zu ändern: Da Sie sich zum ersten Mal bei der VM anmelden, müssen Sie das Administratorkennwort ändern. |
| 3 |
Wenn Sie die Netzwerkeinstellungen bereits unter Installieren der HDS-Host-OVA konfiguriert haben, überspringen Sie den Rest dieses Verfahrens. Wählen Sie andernfalls im Hauptmenü die Option Konfiguration bearbeiten aus. |
| 4 |
Richten Sie eine statische Konfiguration ein und geben Sie die Daten für IP-Adresse, Maske, Gateway und DNS ein. Ihr Knoten hat jetzt eine interne IP-Adresse und einen DNS-Namen. DHCP wird nicht unterstützt. |
| 5 |
(Optional) Ändern Sie die Werte für Hostname, Domäne oder NTP-Server, wenn dies gemäß Ihren Netzwerkrichtlinien erforderlich ist. Sie müssen die Domäne nicht auf die Domäne ändern, über die Sie das X.509-Zertifikat erhalten haben. |
| 6 |
Speichern Sie die Netzwerkkonfiguration und starten Sie die VM neu, damit die Änderungen in Kraft treten. |
Hochladen und Mounten der HDS-Konfigurations-ISO
Vorbereitungen
Da die ISO-Datei den Hauptschlüssel enthält, sollte sie nur auf Basis eines "Need-to-Know"-Basis zugänglich gemacht werden, für den Zugriff durch die Hybrid Data Security-VMs und alle Administratoren, die möglicherweise Änderungen vornehmen müssen. Stellen Sie sicher, dass nur diese Administratoren Zugriff auf den Datenspeicher haben.
| 1 |
Laden Sie die ISO-Datei von Ihrem Computer hoch: |
| 2 |
Mounten Sie die ISO-Datei: |
Nächste Schritte
Wenn Ihre IT-Richtlinie dies erfordert, können Sie optional die ISO-Datei unmounten, nachdem alle Knoten die Konfigurationsänderungen übernommen haben. Weitere Informationen finden Sie unter (Optional) ISO nach HDS-Konfiguration unmounten .
Konfigurieren des HDS Knotens für Proxyintegration
Wenn die Netzwerkumgebung einen Proxy erfordert, geben Sie mit diesem Vorgang den Typ des Proxy an, den Sie in die Hybriddatensicherheit integrieren möchten. Wenn Sie einen transparenten Anrufproxy oder einen HTTPS expliziten Proxy wählen, können Sie die Stammzertifikat über die Schnittstelle des Knotens hochladen und installiert werden. Sie können auch die Proxyverbindung über die Schnittstelle überprüfen und mögliche Probleme beheben.
Vorbereitungen
-
Eine Übersicht der unterstützten Proxy-Optionen finden Sie unter Proxy-Unterstützung .
| 1 |
Geben Sie den HDS Knoten Setup URL |
| 2 |
Gehen Sie zu Trust Store & Proxyund wählen Sie dann eine Option:
Befolgen Sie die nächsten Schritte für einen transparenten Inspektionsproxy, einen HTTP expliziten Proxy mit Basisauthentifizierung oder einen HTTPS expliziten Proxy |
| 3 |
Klicken Sie auf ein Zertifikat für das Stammzertifikat oder Endnutzerzertifikat hochladen, und navigieren Sie dann zu einer Stammzertifikat für den Proxy. Das Zertifikat ist hochgeladen, aber noch nicht installiert, da Sie den Knoten neu starten müssen, um das Zertifikat zu installieren. Klicken Sie auf den Chevron Pfeil unter dem Namen des Zertifikats, um weitere Details zu erhalten, oder klicken Sie auf löschen, Wenn Sie Fehler gemacht haben und die Datei erneut hochladen möchten. |
| 4 |
Klicken Sie auf Stellvertreterverbindung prüfen , um die Netzwerkverbindung zwischen dem Knoten und dem Proxy zu testen. Wenn der Verbindungstest ausfällt, wird eine Fehlermeldung angezeigt, die den Grund und die Frage, wie Sie das Problem beheben können, anzeigt. Wenn Sie eine Meldung sehen, dass eine externe DNS nicht erfolgreich war, konnte der Knoten den DNS-Server nicht erreichen. Diese Bedingung wird in vielen expliziten Proxykonfigurationen erwartet. Sie können mit dem Setup fortfahren, und der Knoten wird im gesperrten externen DNS-Server funktionieren. Wenn Sie glauben, dass es sich um einen Fehler handelt, führen Sie die folgenden Schritte aus. Siehe Modus für blockierte externe DNS-Auflösung deaktivieren. |
| 5 |
Nach dem Durchführen des Verbindungstests, für expliziten Proxy, der nur auf HTTPS gesetzt ist, aktivieren Sie die Option so schalten Sie alle Port 443/444 https Anfragen aus diesem Knoten durch den expliziten Proxy Diese Einstellung benötigt 15 Sekunden, um wirksam zu werden. |
| 6 |
Klicken Sie auf alle-Zertifizierungsstellen in den Trust Store installieren (erscheint für einen HTTPS expliziten Proxy oder einen transparenten Inspektionskrimi) oder Neustart (erscheint für einen HTTP expliziten Proxy), lesen Sie die Aufforderung, und klicken Sie dann auf in Der Knoten startet innerhalb weniger Minuten. |
| 7 |
Nachdem der Knoten erneut gestartet wurde, melden Sie sich bei Bedarf erneut an, und öffnen Sie dann die Übersichtsseite, um die Verbindungsüberprüfungen zu überprüfen, um sicherzustellen, dass Sie alle im grünen Status sind. Die Proxyverbindung prüft nur eine Unterdomäne von WebEx.com. Wenn es Verbindungsprobleme gibt, ist ein häufiges Problem, dass einige der in den instructions aufgeführten-C-Domänen beim Proxy gesperrt werden. |
Ersten Knoten im Cluster registrieren
Bei der Registrierung Ihres ersten Knotens erstellen Sie ein Cluster, zu dem der Knoten zugewiesen wird. Ein Cluster umfasst einen oder mehrere Knoten, die aus Redundanzgründen bereitgestellt werden.
Vorbereitungen
-
Sie müssen die Registrierung eines Knotens nach dem Beginn innerhalb von 60 Minuten abschließen, andernfalls müssen Sie erneut beginnen.
-
Stellen Sie sicher, dass alle Popupblocker in Ihrem Browser deaktiviert sind oder dass Sie eine Ausnahme für admin.webex.com zulassen.
| 1 |
Melden Sie sich bei https://admin.webex.com an. |
| 2 |
Wählen Sie im Menü auf der linken Seite die Option Dienste aus. |
| 3 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach der Karte „Hybrid-Datensicherheit“, und klicken Sie auf Einrichten. |
| 4 |
Klicken Sie auf der sich öffnenden Seite auf Ressource hinzufügen. |
| 5 |
Geben Sie im ersten Feld der Karte Knoten hinzufügen einen Namen für das Cluster ein, dem Sie Ihren Hybrid-Datensicherheitsknoten zuweisen möchten. Benennen Sie Ihre Cluster nach Möglichkeit nach dem geografischen Standort der Clusterknoten. Beispiele: „San Francisco“ oder „New York“ oder „Dallas“ |
| 6 |
Geben Sie im zweiten Feld die interne IP-Adresse oder den vollqualifizierten Domänennamen (FQDN) Ihres Knotens ein und klicken Sie unten auf dem Bildschirm auf Hinzufügen . Diese IP-Adresse oder FQDN sollte mit der IP-Adresse oder dem Hostnamen und der Domäne übereinstimmen, die Sie beim Einrichten der Hybrid-Datensicherheit-VM verwendet haben. Es wird eine Meldung angezeigt, dass Sie Ihren Knoten in Webex registrieren können.
|
| 7 |
Klicken Sie auf Go to Node (Zum Knoten wechseln). Nach einigen Augenblicken werden Sie zu den Knoten-Konnektivitätstests für Webex-Dienste umgeleitet. Sind alle Tests erfolgreich, wird die Seite „Allow Access to Hybrid Data Security Node“ (Zugriff zu Hybrid-Datensicherheits-Knoten gewähren) angezeigt. Bestätigen Sie dort, dass Sie Ihrer Webex-Organisation die Zugriffsberechtigungen für Ihren Knoten erteilen möchten. |
| 8 |
Aktivieren Sie das Kontrollkästchen Allow Access to Your Hybrid Data Security Node (Zugriff zu Ihrem Hybrid-Datensicherheits-Knoten gewähren) und klicken Sie anschließend auf Continue (Weiter). Ihr Konto wird validiert, und die Meldung „Registrierung abgeschlossen“ zeigt an, dass Ihr Knoten jetzt in der Webex Cloud registriert ist.
|
| 9 |
Klicken Sie auf den Link oder schließen Sie die Registerkarte, um zur Partner Hub-Hybrid-Datensicherheitsseite zurückzukehren. Auf der Seite Hybrid-Datensicherheit wird das neue Cluster mit dem registrierten Knoten auf der Registerkarte Ressourcen angezeigt. Der Knoten lädt die aktuelle Software automatisch aus der Cloud herunter.
|
Weitere Knoten erstellen und registrieren
Vorbereitungen
-
Sie müssen die Registrierung eines Knotens nach dem Beginn innerhalb von 60 Minuten abschließen, andernfalls müssen Sie erneut beginnen.
-
Stellen Sie sicher, dass alle Popupblocker in Ihrem Browser deaktiviert sind oder dass Sie eine Ausnahme für admin.webex.com zulassen.
| 1 |
Erstellen Sie eine neue virtuelle Maschine über die OVA und wiederholen Sie die Schritte unter Installieren der HDS-Host-OVA. |
| 2 |
Richten Sie die Erstkonfiguration für die neue VM ein. Wiederholen Sie die Schritte unter Einrichten der Hybrid-Datensicherheit-VM. |
| 3 |
Wiederholen Sie auf der neuen VM die Schritte unter HDS-Konfigurations-ISO hochladen und mounten. |
| 4 |
Wenn Sie einen Proxy für Ihre Bereitstellung einrichten, wiederholen Sie die Schritte unter Konfigurieren des HDS-Knotens für die Proxy-Integration nach Bedarf für den neuen Knoten. |
| 5 |
Registrieren Sie den Knoten. |
Mandantenorganisationen für Multi-Tenant-Hybrid-Datensicherheit verwalten
Multi-Tenant HDS in Partner Hub aktivieren
Diese Aufgabe stellt sicher, dass alle Benutzer der Kundenorganisationen HDS für lokale Verschlüsselungsschlüssel und andere Sicherheitsdienste nutzen können.
Vorbereitungen
Stellen Sie sicher, dass Sie die Einrichtung Ihres Multi-Tenant-HDS-Clusters mit der erforderlichen Anzahl an Knoten abgeschlossen haben.
| 1 |
Melden Sie sich bei https://admin.webex.com an. |
| 2 |
Wählen Sie im Menü auf der linken Seite die Option Dienste aus. |
| 3 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach „Hybrid-Datensicherheit“ und klicken Sie auf Einstellungen bearbeiten. |
| 4 |
Klicken Sie auf der Karte HDS-Status auf HDS-Aktivierung . |
Mandantenorganisationen in Partner Hub hinzufügen
Weisen Sie bei dieser Aufgabe Kundenorganisationen Ihrem Hybrid-Datensicherheitscluster zu.
| 1 |
Melden Sie sich bei https://admin.webex.com an. |
| 2 |
Wählen Sie im Menü auf der linken Seite die Option Dienste aus. |
| 3 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach Hybrid-Datensicherheit und klicken Sie auf Alle anzeigen. |
| 4 |
Klicken Sie auf den Cluster, dem ein Kunde zugewiesen werden soll. |
| 5 |
Wechseln Sie zur Registerkarte Zugewiesene Kunden . |
| 6 |
Klicken Sie auf Kunden hinzufügen. |
| 7 |
Wählen Sie im Dropdown-Menü den Kunden aus, den Sie hinzufügen möchten. |
| 8 |
Klicken Sie auf Hinzufügen. Der Kunde wird dem Cluster hinzugefügt. |
| 9 |
Wiederholen Sie die Schritte 6 bis 8, um mehrere Kunden zu Ihrem Cluster hinzuzufügen. |
| 10 |
Klicken Sie auf Fertig am unteren Bildschirmrand, nachdem Sie die Kunden hinzugefügt haben. |
Nächste Schritte
Kundenhauptschlüssel (Customer Main Keys, CMKs) mit dem HDS Setup-Tool erstellen
Vorbereitungen
Weisen Sie Kunden dem entsprechenden Cluster zu, wie unter Mandantenorganisationen in Partner Hub hinzufügen beschrieben. Führen Sie das HDS Setup-Tool aus, um den Einrichtungsprozess für die neu hinzugefügten Kundenorganisationen abzuschließen.
-
Das HDS Setup Tool wird als Docker Container auf einem lokalen Computer ausgeführt. Um darauf zu zugreifen, führen Sie Docker auf diesem Computer aus. Der Einrichtungsprozess erfordert die Anmeldeinformationen eines Partner Hub-Kontos mit vollen Administratorrechten für Ihre Organisation.
Wenn das HDS Setup-Tool hinter einem Proxy in Ihrer Umgebung ausgeführt wird, geben Sie die Proxy-Einstellungen (Server, Port, Anmeldeinformationen) über die Docker-Umgebungsvariablen an, wenn Sie den Docker-Container in Schritt 5 aufrufen. Diese Tabelle enthält einige mögliche Umgebungsvariablen:
Beschreibung
Variable
HTTP-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORTHTTPS-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORT -
Die von Ihnen generierte ISO-Konfigurationsdatei enthält den Hauptschlüssel zur Verschlüsselung der PostgreSQL- oder Microsoft SQL Server-Datenbank. Sie benötigen die neueste Kopie dieser Datei, wenn Sie Konfigurationsänderungen wie die folgenden vornehmen:
-
Datenbank-Anmeldeinformationen
-
Zertifikats-Aktualisierungen
-
Änderungen an der Autorisierungsrichtlinie
-
-
Wenn Sie Datenbankverbindungen verschlüsseln möchten, richten Sie Ihre PostgreSQL- oder SQL Server-Bereitstellung für TLS ein.
Beim Einrichtungsprozess für die Hybrid-Datensicherheit wird eine ISO-Datei erstellt. Anschließend verwenden Sie die ISO, um Ihren Hybrid-Datensicherheitshost zu konfigurieren.
| 1 |
Geben Sie in der Befehlszeile Ihres Computers den entsprechenden Befehl für Ihre Umgebung ein: In regulären Umgebungen: In FedRAMP-Umgebungen: Mit diesem Schritt werden die Bilder vorheriger HDS-Setup-Tools bereinigt. Wenn keine vorherigen Bilder angezeigt werden, erhalten Sie eine Fehlermeldung, die Sie ignorieren können. |
| 2 |
Um sich bei der Docker-Image-Registrierung anmelden zu können, geben Sie Folgendes ein: |
| 3 |
Geben Sie in der Passwortaufforderung diese Hash-Eingabe ein: |
| 4 |
Laden Sie das aktuellste stabile Bild für Ihre Umgebung herunter: In regulären Umgebungen: In FedRAMP-Umgebungen: |
| 5 |
Geben Sie nach Abschluss des Pull-Befehls den entsprechenden Befehl für Ihre Umgebung ein:
Wenn der Container ausgeführt wird, wird "Express server listening on port 8080" (Express-Server hören auf Port 8080) sehen. |
| 6 |
Das Setup-Tool unterstützt die Verbindung zu localhost über http://localhost:8080 nicht. Verwenden Sie http://127.0.0.1:8080 , um eine Verbindung zum Localhost herzustellen. Navigieren Sie in einem Webbrowser zum Localhost, Das Tool verwendet diesen ersten Eintrag des Benutzernamens, um die richtige Umgebung für dieses Konto festzulegen. Das Tool zeigt dann die Standard-Anmeldeaufforderung an. |
| 7 |
Wenn Sie dazu aufgefordert werden, geben Sie Ihre Partner Hub-Administratoranmeldeinformationen ein und klicken Sie dann auf Anmelden , um den Zugriff auf die für die Hybrid-Datensicherheit erforderlichen Dienste zu erlauben. |
| 8 |
Klicken Sie auf der Übersichtsseite des Setup Tool auf Get Started (Erste Schritte). |
| 9 |
Klicken Sie auf der Seite ISO-Import auf Ja. |
| 10 |
Wählen Sie Ihre ISO-Datei im Browser aus und laden Sie sie hoch. Stellen Sie sicher, dass die Verbindung zu Ihrer Datenbank hergestellt wird, um eine CMK-Verwaltung durchzuführen. |
| 11 |
Gehen Sie zur Registerkarte Mandanten-CMK-Verwaltung , auf der Sie die folgenden drei Möglichkeiten zur Verwaltung von Mandanten-CMKs finden.
|
| 12 |
Sobald die CMK-Erstellung erfolgreich war, ändert sich der Status in der Tabelle von CMK-Verwaltung ausstehend zu CMK-Verwaltung. |
| 13 |
Wenn die CMK-Erstellung nicht erfolgreich war, wird ein Fehler angezeigt. |
Mandantenorganisationen entfernen
Vorbereitungen
Nach dem Entfernen können Benutzer von Kundenorganisationen HDS nicht mehr für ihre Verschlüsselungsanforderungen nutzen und verlieren alle vorhandenen Bereiche. Wenden Sie sich an Ihren Cisco-Partner oder Ihren Account Manager, bevor Sie Kundenorganisationen entfernen.
| 1 |
Melden Sie sich bei https://admin.webex.com an. |
| 2 |
Wählen Sie im Menü auf der linken Seite die Option Dienste aus. |
| 3 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach Hybrid-Datensicherheit und klicken Sie auf Alle anzeigen. |
| 4 |
Klicken Sie auf der Registerkarte Ressourcen auf den Cluster, aus dem Sie Kundenorganisationen entfernen möchten. |
| 5 |
Klicken Sie auf der sich öffnenden Seite auf Zugewiesene Kunden. |
| 6 |
Klicken Sie in der angezeigten Liste der Kundenorganisationen auf ... auf der rechten Seite der Kundenorganisation, die Sie entfernen möchten, und klicken Sie auf Aus Cluster entfernen. |
Nächste Schritte
Schließen Sie den Löschvorgang ab, indem Sie die CMKs der Kundenorganisationen sperren, wie unter CMKs von Tenants, die aus HDS entfernt wurden, beschrieben.
Widerrufen Sie die CMKs von Mandanten, die aus HDS entfernt wurden.
Vorbereitungen
Entfernen Sie Kunden aus dem entsprechenden Cluster, wie unter Mandantenorganisationen entfernen beschrieben. Führen Sie das HDS Setup-Tool aus, um den Entfernungsprozess für die Kundenorganisationen abzuschließen, die entfernt wurden.
-
Das HDS Setup Tool wird als Docker Container auf einem lokalen Computer ausgeführt. Um darauf zu zugreifen, führen Sie Docker auf diesem Computer aus. Der Einrichtungsprozess erfordert die Anmeldeinformationen eines Partner Hub-Kontos mit vollen Administratorrechten für Ihre Organisation.
Wenn das HDS Setup-Tool hinter einem Proxy in Ihrer Umgebung ausgeführt wird, geben Sie die Proxy-Einstellungen (Server, Port, Anmeldeinformationen) über die Docker-Umgebungsvariablen an, wenn Sie den Docker-Container in Schritt 5 aufrufen. Diese Tabelle enthält einige mögliche Umgebungsvariablen:
Beschreibung
Variable
HTTP-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORTHTTPS-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORT -
Die von Ihnen generierte ISO-Konfigurationsdatei enthält den Hauptschlüssel zur Verschlüsselung der PostgreSQL- oder Microsoft SQL Server-Datenbank. Sie benötigen die neueste Kopie dieser Datei, wenn Sie Konfigurationsänderungen wie die folgenden vornehmen:
-
Datenbank-Anmeldeinformationen
-
Zertifikats-Aktualisierungen
-
Änderungen an der Autorisierungsrichtlinie
-
-
Wenn Sie Datenbankverbindungen verschlüsseln möchten, richten Sie Ihre PostgreSQL- oder SQL Server-Bereitstellung für TLS ein.
Beim Einrichtungsprozess für die Hybrid-Datensicherheit wird eine ISO-Datei erstellt. Anschließend verwenden Sie die ISO, um Ihren Hybrid-Datensicherheitshost zu konfigurieren.
| 1 |
Geben Sie in der Befehlszeile Ihres Computers den entsprechenden Befehl für Ihre Umgebung ein: In regulären Umgebungen: In FedRAMP-Umgebungen: Mit diesem Schritt werden die Bilder vorheriger HDS-Setup-Tools bereinigt. Wenn keine vorherigen Bilder angezeigt werden, erhalten Sie eine Fehlermeldung, die Sie ignorieren können. |
| 2 |
Um sich bei der Docker-Image-Registrierung anmelden zu können, geben Sie Folgendes ein: |
| 3 |
Geben Sie in der Passwortaufforderung diese Hash-Eingabe ein: |
| 4 |
Laden Sie das aktuellste stabile Bild für Ihre Umgebung herunter: In regulären Umgebungen: In FedRAMP-Umgebungen: |
| 5 |
Geben Sie nach Abschluss des Pull-Befehls den entsprechenden Befehl für Ihre Umgebung ein:
Wenn der Container ausgeführt wird, wird "Express server listening on port 8080" (Express-Server hören auf Port 8080) sehen. |
| 6 |
Das Setup-Tool unterstützt die Verbindung zu localhost über http://localhost:8080 nicht. Verwenden Sie http://127.0.0.1:8080 , um eine Verbindung zum Localhost herzustellen. Navigieren Sie in einem Webbrowser zum Localhost, Das Tool verwendet diesen ersten Eintrag des Benutzernamens, um die richtige Umgebung für dieses Konto festzulegen. Das Tool zeigt dann die Standard-Anmeldeaufforderung an. |
| 7 |
Wenn Sie dazu aufgefordert werden, geben Sie Ihre Partner Hub-Administratoranmeldeinformationen ein und klicken Sie dann auf Anmelden , um den Zugriff auf die für die Hybrid-Datensicherheit erforderlichen Dienste zu erlauben. |
| 8 |
Klicken Sie auf der Übersichtsseite des Setup Tool auf Get Started (Erste Schritte). |
| 9 |
Klicken Sie auf der Seite ISO-Import auf Ja. |
| 10 |
Wählen Sie Ihre ISO-Datei im Browser aus und laden Sie sie hoch. |
| 11 |
Gehen Sie zur Registerkarte Mandanten-CMK-Verwaltung , auf der Sie die folgenden drei Möglichkeiten zur Verwaltung von Mandanten-CMKs finden.
|
| 12 |
Sobald die CMK-Sperrung erfolgreich ist, wird die Kundenorganisation nicht mehr in der Tabelle angezeigt. |
| 13 |
Wenn die CMK-Sperrung nicht erfolgreich ist, wird ein Fehler angezeigt. |
Testen Ihrer Hybrid-Datensicherheitsbereitstellung
Testen Ihrer Bereitstellung für die Hybrid-Datensicherheit
Vorbereitungen
-
Richten Sie die Multi-Tenant-Hybrid-Datensicherheitsbereitstellung ein.
-
Stellen Sie sicher, dass Sie auf das Syslog zugreifen können, um zu überprüfen, ob wichtige Anforderungen an Ihre Multi-Tenant-Hybrid-Datensicherheitsbereitstellung weitergeleitet werden.
| 1 |
Schlüssel für einen bestimmten Bereich werden vom Ersteller des Bereichs festgelegt. Melden Sie sich bei der Webex-App als einer der Benutzer der Kundenorganisation an und erstellen Sie einen Bereich. Wenn Sie die Hybrid-Datensicherheitsbereitstellung deaktivieren, sind Inhalte in von Benutzern erstellten Bereichen nicht mehr verfügbar, nachdem die im Client zwischengespeicherten Kopien der Verschlüsselungscodes ersetzt wurden. |
| 2 |
Senden Sie Nachrichten an den neuen Bereich. |
| 3 |
Überprüfen Sie die Syslog-Ausgabe, um sicherzustellen, dass die Schlüsselanforderungen an Ihre Hybrid-Datensicherheitsbereitstellung weitergeleitet werden. |
Überwachen des Status der Hybrid-Datensicherheit
| 1 |
Wählen Sie in Partner Hub im Menü auf der linken Seite des Bildschirms die Option Dienste aus. |
| 2 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach „Hybrid-Datensicherheit“ und klicken Sie auf Einstellungen bearbeiten. Die Seite „Hybrid Data Security Settings“ (Einstellungen für Hybrid-Datensicherheit) wird angezeigt.
|
| 3 |
Geben Sie im Abschnitt zu E-Mail-Benachrichtigungen eine oder mehrere Adressen durch Komma getrennt ein und drücken Sie Enter. |
HDS-Bereitstellung verwalten
Verwalten der HDS-Bereitstellung
Verwenden Sie die hier beschriebenen Aufgaben, um Ihre Hybrid-Datensicherheitsbereitstellung zu verwalten.
Festlegen des Upgrade-Zeitplans für Cluster
So legen Sie den Upgrade-Zeitplan fest:
| 1 |
Melden Sie sich bei Partner Hub an. |
| 2 |
Wählen Sie im Menü auf der linken Seite die Option Dienste aus. |
| 3 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach „Hybrid-Datensicherheit“ und klicken Sie auf Einrichten. |
| 4 |
Wählen Sie auf der Seite „Hybrid-Datensicherheitsressourcen“ den Cluster aus. |
| 5 |
Klicken Sie auf die Registerkarte Cluster-Einstellungen . |
| 6 |
Wählen Sie auf der Seite „Cluster-Einstellungen“ unter „Upgrade-Zeitplan“ die Uhrzeit und die Zeitzone für den Upgrade-Zeitplan aus. Hinweis: Unter der Zeitzone wird der nächste verfügbare Zeitpunkt für ein Upgrade angezeigt. Sie können das Upgrade bei Bedarf auf den folgenden Tag verschieben, indem Sie auf Um 24 Stunden verschieben klicken. |
Ändern der Knotenkonfiguration
-
Änderung der x.509-Zertifikate aufgrund Ablaufs oder anderer Gründe.
Wir unterstützen keine Änderung des CN-Domänennamens eines Zertifikats. Die Domäne muss mit der Originaldomäne übereinstimmen, die zur Registrierung des Clusters verwendet wurde.
-
Datenbankeinstellungen werden aktualisiert, um auf eine Replik der PostgreSQL- oder Microsoft SQL Server-Datenbank zu wechseln.
Wir unterstützen keine Migration von Daten von PostgreSQL zu Microsoft SQL Server oder auf den entgegengesetzten Weg. Um die Datenbankumgebung zu wechseln, starten Sie eine neue Bereitstellung von Hybrid Data Security.
-
Erstellen einer neuen Konfiguration, um ein neues Datenzentrum vorzubereiten.
Aus Sicherheitsgründen verwendet Hybrid Data Security Dienstkonto-Passwörter mit einer Laufzeit von neun Monaten. Nachdem das HDS Setup Tool diese Passwörter generiert hat, stellen Sie sie für jeden Ihrer HDS-Knoten in der ISO-Konfigurationsdatei bereit. Wenn die Kennwörter Ihrer Organisation fast ablaufen, erhalten Sie eine Benachrichtigung vom Webex-Team, mit der Sie das Passwort für Ihr Computerkonto zurücksetzen können. (Die E-Mail enthält den Text "Verwenden Sie die Maschinenkonto-API, um das Passwort zu aktualisieren"). Wenn Ihre Passwörter noch nicht abgelaufen sind, bietet Ihnen das Tool zwei Optionen:
-
Weiches Zurücksetzen – Das alte und das neue Kennwort können beide bis zu 10 Tage lang verwendet werden. Verwenden Sie diesen Zeitraum, um die ISO-Datei der Knoten schrittweise zu ersetzen.
-
Harte Zurücksetzung: Die alten Passwörter funktionieren sofort nicht mehr.
Wenn Ihre Passwörter ohne Zurücksetzen ablaufen, wirkt sich dies auf Ihren HDS-Dienst aus, was ein sofortiges Zurücksetzen und Ersetzen der ISO-Datei auf allen Knoten erfordert.
Verwenden Sie dieses Verfahren, um eine neue ISO-Konfigurationsdatei zu generieren und auf Ihren Cluster anzuwenden.
Vorbereitungen
-
Das HDS Setup Tool wird als Docker Container auf einem lokalen Computer ausgeführt. Um darauf zu zugreifen, führen Sie Docker auf diesem Computer aus. Der Einrichtungsprozess erfordert die Anmeldeinformationen eines Partner Hub-Kontos mit vollen Partneradministratorrechten.
Wenn das HDS Setup-Tool hinter einem Proxy in Ihrer Umgebung ausgeführt wird, geben Sie die Proxy-Einstellungen (Server, Port, Anmeldeinformationen) über die Docker-Umgebungsvariablen an, wenn Sie den Docker Container in 1.e aufrufen. Diese Tabelle enthält einige mögliche Umgebungsvariablen:
Beschreibung
Variable
HTTP-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORTHTTPS-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORT -
Um eine neue Konfiguration zu erstellen, benötigen Sie eine Kopie der aktuellen ISO-Konfigurationsdatei. Die ISO enthält den Masterschlüssel zur Verschlüsselung der PostgreSQL- oder Microsoft SQL Server-Datenbank. Sie benötigen die ISO-Datei, wenn Sie Konfigurationsänderungen vornehmen, wie z. B. Datenbank-Anmeldeinformationen, Zertifikataktualisierungen oder Änderungen an der Autorisierungsrichtlinie.
| 1 |
Führen Sie auf einem lokalen Computer, auf dem Docker läuft, das HDS Setup Tool aus. |
| 2 |
Wenn Sie nur einen HDS-Knoten ausführen, erstellen Sie eine neue VM für den Hybrid-Datensicherheitsknoten und registrieren Sie sie mithilfe der neuen ISO-Konfigurationsdatei. Detaillierte Anweisungen finden Sie unter Weitere Knoten erstellen und registrieren. |
| 3 |
Mounten Sie bei vorhandenen HDS-Knoten, auf denen die ältere Konfigurationsdatei ausgeführt wird, die ISO-Datei. Führen Sie für jeden Knoten des Knotens folgende Schritte durch, indem Sie jeden Knoten aktualisieren, bevor Sie den nächsten Knoten deaktivieren: |
| 4 |
Wiederholen Sie Schritt 3, um bei jedem weiteren Knoten zu ersetzen, auf dem noch die alte Konfiguration ausgeführt wird, die Konfiguration zu ersetzen. |
Blockierte externe DNS Auflösungsmodus deaktivieren
Wenn Sie einen Knoten registrieren oder die Proxykonfiguration des Knotens überprüfen, testet das Verfahren die DNS und die Konnektivität der Cisco WebEx. Wenn der DNS-Server des Knotens öffentliche DNS nicht auflösen kann, geht der Knoten automatisch in den gesperrten externen DNS-Server.
Wenn Ihre Knoten öffentliche DNS über interne DNS-Server auflösen können, aktivieren Sie diesen Modus, indem Sie den Proxyverbindungstest für jeden Knoten deaktivieren.
Vorbereitungen
| 1 |
Öffnen Sie in einem Webbrowser die Schnittstelle für den Hybrid-Datensicherheitsknoten (IP-Adresse/Einrichtung, https://192.0.2.0/setup), geben Sie beispielsweise die für den Knoten eingerichteten Admin-Anmeldeinformationen ein, und klicken Sie dann auf Anmelden. |
| 2 |
Gehen Sie zu Übersicht (Standardseite). Wenn diese Option aktiviert ist, wird die externe DNS auf "Ja" gesetzt . |
| 3 |
Gehen Sie zur Seite Vertrauensspeicher und Proxy . |
| 4 |
Klicken Sie auf Stellvertreterverbindung prüfen. Wenn Sie eine Meldung sehen, dass eine externe DNS nicht erfolgreich war, konnte der Knoten den DNS-Server nicht erreichen und wird in diesem Modus verbleiben. Andernfalls sollte nach dem Neustart des Knotens und der Rückfahrt zur Übersichtsseite die gesperrte externe DNS auf "Nein" gesetzt werden. |
Nächste Schritte
Entfernen eines Knotens
| 1 |
Melden Sie sich über den VMware vSphere-Client auf Ihrem Computer bei dem ESXi virtuellen Host an und schalten Sie die virtuelle Maschine aus. |
| 2 |
Entfernen des Knotens: |
| 3 |
Löschen Sie die VM im vSphere-Client. (Klicken Sie im linken Navigationsbereich mit der rechten Maustaste auf die VM, und klicken Sie auf Löschen.) Wenn Sie die VM nicht löschen, denken Sie daran, die Konfigurations-ISO-Datei zu deinstallieren. Ohne die ISO-Datei können Sie die VM nicht verwenden, um auf Ihre Sicherheitsdaten zuzugreifen. |
Notfallwiederherstellung mit Standby-Rechenzentrum
Der wichtigste Dienst, den Ihr Hybrid-Datensicherheitscluster bietet, ist die Erstellung und Speicherung von Schlüsseln, mit denen Nachrichten und andere in der Webex-Cloud gespeicherte Inhalte verschlüsselt werden. Für jeden Benutzer innerhalb der Organisation, der der Hybrid-Datensicherheit zugewiesen ist, werden neue Anforderungen zur Schlüsselerstellung an das Cluster weitergeleitet. Der Cluster ist zudem dafür verantwortlich, die erstellten Schlüssel an Benutzer zurückzusenden, die zum Abrufen von Schlüsseln berechtigt sind. Hierzu gehören beispielsweise Mitglieder eines Gesprächsraums.
Da der Cluster die wichtige Funktion erfüllt, diese Schlüssel bereitzustellen, ist es höchst wichtig, dass der Cluster in Betrieb bleibt und korrekte Backups erstellt werden. Der Verlust der Hybrid-Datensicherheitsdatenbank oder der für das Schema verwendeten Konfigurations-ISO führt zu einem NICHT BEHEBBAREN VERLUST von Kundeninhalten. Die folgenden Praktiken sind zwingend erforderlich, um einem derartigen Verlust vorzubeugen:
Wenn eine Katastrophe dazu führt, dass die HDS-Bereitstellung im primären Rechenzentrum nicht mehr verfügbar ist, führen Sie dieses Verfahren aus, um ein manuelles Failover auf das Standby-Rechenzentrum durchzuführen.
Vorbereitungen
| 1 |
Starten Sie das HDS-Setup-Tool und führen Sie die unter Erstellen einer Konfigurations-ISO für die HDS-Hosts beschriebenen Schritte aus. |
| 2 |
Schließen Sie den Konfigurationsprozess ab und speichern Sie die ISO-Datei an einem leicht auffindbaren Speicherort. |
| 3 |
Erstellen Sie eine Sicherungskopie der ISO-Datei auf Ihrem lokalen System. Sichern Sie die Sicherungskopie sicher. Die Datei enthält einen Master-Verschlüsselungsschlüssel für die Datenbankinhalte. Beschränken Sie den Zugriff auf Administratoren für Hybrid-Datensicherheit, die Konfigurationsänderungen vornehmen sollten. |
| 4 |
Rechtsklicken Sie im linken Navigationsbereich des VMware vSphere Client auf die VM. Klicken Sie daraufhin auf Edit Settings (Einstellungen bearbeiten). |
| 5 |
Klicken Sie auf Einstellungen bearbeiten >CD/DVD-Laufwerk 1 und wählen Sie Datenspeicher-ISO-Datei. Stellen Sie sicher, dass Verbunden und Verbinden beim Einschalten aktiviert sind, damit aktualisierte Konfigurationsänderungen nach dem Starten der Knoten wirksam werden können. |
| 6 |
Schalten Sie den HDS-Knoten ein und stellen Sie sicher, dass mindestens 15 Minuten lang keine Alarme vorhanden sind. |
| 7 |
Registrieren Sie den Knoten im Partner Hub. Weitere Informationen finden Sie unter Ersten Knoten im Cluster registrieren. |
| 8 |
Wiederholen Sie den Vorgang für jeden Knoten im Standby-Rechenzentrum. |
Nächste Schritte
(Optional) ISO nach HDS-Konfiguration aushängen
Die Standard-HDS-Konfiguration wird mit eingebauter ISO ausgeführt. Einige Kunden ziehen es jedoch vor, die ISO-Dateien nicht kontinuierlich eingebunden zu lassen. Sie können die ISO-Datei unmounten, nachdem alle HDS-Knoten die neue Konfiguration übernommen haben.
Sie verwenden weiterhin die ISO-Dateien, um Konfigurationsänderungen vorzunehmen. Wenn Sie eine neue ISO erstellen oder eine ISO über das Setup-Tool aktualisieren, müssen Sie die aktualisierte ISO auf allen HDS-Knoten mounten. Wenn alle Knoten die Konfigurationsänderungen übernommen haben, können Sie die ISO mit diesem Verfahren erneut deinstallieren.
Vorbereitungen
Aktualisieren Sie alle Ihre HDS-Knoten auf Version 2021.01.22.4720 oder höher.
| 1 |
Fahren Sie einen Ihrer HDS-Knoten herunter. |
| 2 |
Wählen Sie in der vCenter Server-Appliance den HDS-Knoten aus. |
| 3 |
Wählen Sie und deaktivieren Sie ISO-Datei für Datenspeicher. |
| 4 |
Schalten Sie den HDS-Knoten ein und stellen Sie sicher, dass mindestens 20 Minuten lang keine Alarme angezeigt werden. |
| 5 |
Wiederholen Sie dies für jeden HDS-Knoten der Reihe nach. |
Problembehandlung der Hybrid-Datensicherheit
Anzeigen von Warnungen und Beheben von Fehlern
Eine Hybrid-Datensicherheitsbereitstellung gilt als nicht verfügbar, wenn alle Knoten im Cluster nicht erreichbar sind oder der Cluster so langsam arbeitet, dass eine Zeitüberschreitung erforderlich ist. Wenn Benutzer Ihr Hybrid-Datensicherheitscluster nicht erreichen können, treten folgende Symptome auf:
-
Neue Bereiche können nicht erstellt werden (es konnten keine neuen Schlüssel erstellt werden)
-
Nachrichten- und Bereichstitel konnten für folgende Benutzer nicht entschlüsselt werden:
-
Neue zu einem Bereich hinzugefügte Benutzer (Schlüssel konnten nicht abgerufen werden)
-
Vorhandene Benutzer in einem Bereich, der einen neuen Client verwendet (Schlüssel konnten nicht abgerufen werden)
-
-
Vorhandene Benutzer in einem Bereich werden weiterhin erfolgreich ausgeführt, sofern ihre Clients über einen Cache für Verschlüsselungsschlüssel verfügen
Es ist wichtig, dass Sie Ihren Hybrid-Datensicherheitscluster ordnungsgemäß überwachen und alle Warnungen umgehend adressieren, um Dienstunterbrechungen zu vermeiden.
Warnungen
Wenn es ein Problem mit der Einrichtung der Hybrid-Datensicherheit gibt, zeigt Partner Hub Warnungen an den Administrator der Organisation an und sendet E-Mails an die konfigurierte E-Mail-Adresse. Die Warnungen betreffen viele gängige Szenarien.
|
Alarm |
Vorgang |
|---|---|
|
Fehler beim Zugriff auf die lokale Datenbank. |
Überprüfen Sie das System auf Datenbankfehler oder lokale Netzwerkprobleme. |
|
Fehler beim Herstellen einer Verbindung zur lokalen Datenbank. |
Vergewissern Sie sich, dass der Datenbankserver verfügbar ist und die richtigen Dienstkonto-Anmeldeinformationen in der Knotenkonfiguration verwendet wurden. |
|
Fehler beim Zugriff auf den Clouddienst. |
Überprüfen Sie, ob die Knoten auf die Webex-Server zugreifen können, wie unter Externe Verbindungsanforderungen angegeben. |
|
Registrierung des Clouddiensts wird erneuert. |
Registrierung von Clouddiensten wurde verworfen. Erneuerung der Registrierung wird durchgeführt. |
|
Registrierung des Clouddiensts wurde verworfen. |
Registrierung von Clouddiensten wurde beendet. Dienst wird beendet. |
|
Dienst noch nicht aktiviert. |
Aktivieren Sie HDS in Partner Hub. |
|
Konfigurierte Domäne stimmt nicht mit dem Serverzertifikat überein. |
Vergewissern Sie sich, dass das Serverzertifikat mit der konfigurierten Dienstaktivierungsdomäne übereinstimmt. Die wahrscheinlichste Ursache lautet, dass die Zertifikat-CN vor kurzem geändert wurde und nun von der CN abweicht, die während der ursprünglichen Einrichtung verwendet wurde. |
|
Clouddienste konnten nicht authentifiziert werden. |
Prüfen Sie die Daten auf korrekte Eingabe und einen möglichen Ablauf der Dienstkonto-Anmeldeinformationen. |
|
Lokale Schlüsselspeicherdatei konnte nicht geöffnet werden. |
Überprüfen Sie die lokale Schlüsselspeicherdatei auf Integrität und Kennwortgenauigkeit. |
|
Lokales Serverzertifikat ist ungültig. |
Überprüfen Sie das Ablaufdatum des Serverzertifikats und vergewissern Sie sich, dass es von einer vertrauenswürdigen Zertifizierungsstelle ausgestellt wurde. |
|
Metriken konnten nicht gepostet werden. |
Überprüfen Sie den Zugriff des lokalen Netzwerks auf externe Clouddienste. |
|
Das Verzeichnis /media/configdrive/hds ist nicht vorhanden. |
Überprüfen Sie die ISO-Mountkonfiguration auf dem virtuellen Host. Vergewissern Sie sich, dass die ISO-Datei vorhanden ist, die beim Neustart für das Mounten konfiguriert ist und das Mounten erfolgreich ausgeführt wird. |
|
Die Einrichtung der Mandanten-Organisation ist für die hinzugefügten Organisationen nicht abgeschlossen |
Schließen Sie die Einrichtung ab, indem Sie mit dem HDS Setup Tool CMKs für neu hinzugefügte Mandantenorganisationen erstellen. |
|
Die Einrichtung der Mandantenorganisation ist für die entfernten Organisationen nicht abgeschlossen |
Schließen Sie die Einrichtung ab, indem Sie die CMKs der Mandantenorganisationen, die mit dem HDS Setup Tool entfernt wurden, widerrufen. |
Problembehandlung der Hybrid-Datensicherheit
| 1 |
Prüfen Sie Partner Hub auf Warnungen und beheben Sie alle Elemente, die Sie dort finden. Weitere Informationen finden Sie im Bild unten. |
| 2 |
Überprüfen Sie die Syslog-Serverausgabe auf Aktivität aus der Hybrid-Datensicherheitsbereitstellung. Filtern Sie nach Wörtern wie „Warnung“ und „Fehler“, um bei der Fehlerbehebung zu helfen. |
| 3 |
Kontaktieren Sie den Cisco-Support. |
Sonstige Hinweise
Bekannte Probleme mit Hybrid-Datensicherheit
-
Wenn Sie Ihren Hybrid-Datensicherheitscluster herunterfahren (indem Sie ihn im Partner Hub löschen oder alle Knoten herunterfahren), Ihre Konfigurations-ISO-Datei verlieren oder den Zugriff auf die Keystore-Datenbank verlieren, können Webex-App-Benutzer von Kundenorganisationen keine Bereiche in ihrer Personenliste mehr verwenden, die mit Schlüsseln von Ihrem KMS erstellt wurden. Wir haben aktuell keine Problemumgehung oder Lösung für dieses Problem und empfehlen Ihnen dringend, Ihre HDS-Dienste nicht herunterzufahren, sobald sie aktive Benutzerkonten verarbeiten.
-
Ein Client, der über eine bestehende ECDH-Verbindung zu einem KMS verfügt, hält die Verbindung für einen Zeitraum aufrecht (ca. eine Stunde).
Generieren einer PKCS12-Datei mit OpenSSL
Vorbereitungen
-
OpenSSL ist eines der Tools, mit denen die PKCS12-Datei im richtigen Format für das Laden in das HDS-Setuptool erstellt werden kann. Es gibt auch andere Verfahren, keines davon wird von uns bevorzugt.
-
Wenn Sie sich für die Verwendung von OpenSSL entscheiden, stellen wir Ihnen dieses Verfahren als Richtlinie zur Verfügung, um eine Datei zu erstellen, die die X.509-Zertifikatsanforderungen in X.509-Zertifikatsanforderungen erfüllt. Machen Sie sich mit diesen Anforderungen vertraut, bevor Sie fortfahren.
-
Installieren Sie OpenSSL in einer unterstützten Umgebung. Software und Dokumentation finden Sie auf https://www.openssl.org.
-
Erstellen Sie einen privaten Schlüssel.
-
Beginnen Sie mit diesem Verfahren, wenn Sie das Serverzertifikat von Ihrer Zertifizierungsstelle (CA, Certificate Authority) erhalten.
| 1 |
Wenn Sie das Zertifikat von der CA erhalten, speichern Sie es als |
| 2 |
Zeigen Sie das Zertifikat als Text an, und überprüfen Sie die Details.
|
| 3 |
Erstellen Sie in einem Text-Editor eine Zertifikatpaketdatei namens
|
| 4 |
Erstellen Sie die P12-Datei mit dem Anzeigenamen
|
| 5 |
Überprüfen Sie die Zertifikatdetails. |
Nächste Schritte
Kehren Sie zurück zu Voraussetzungen für Hybrid-Datensicherheit erfüllen. Sie verwenden die Datei hdsnode.p12 und das Passwort, das Sie dafür festgelegt haben, unter Erstellen einer Konfigurations-ISO für die HDS-Hosts.
Sie können diese Dateien wiederverwenden, um ein neues Zertifikat anzufordern, wenn das ursprüngliche Zertifikat abläuft.
Datenverkehr zwischen den HDS-Knoten und der Cloud
Metriksammlung von ausgehendem Datenverkehr
Die Hybrid-Datensicherheitsknoten senden bestimmte Metriken an die Webex-Cloud. Dazu gehören Systemmetriken für max. Heap, verbrauchter Heap, CPU-Auslastung und Threadanzahl; Metriken zu synchronen und asynchronen Threads; Metriken zu Warnungen, darunter auch ein Schwellenwert der verschlüsselten Verbindungen, Latenz oder eine Anforderungswarteschlangenlänge; Metriken zum Datenspeicher; und Metriken zu verschlüsselten Verbindungen. Die Knoten senden verschlüsseltes Schlüsselmaterial über einen Out-of-Band-Kanal (separat von der Anforderung).
Eingehender Datenverkehr
Die Hybrid-Datensicherheitsknoten erhalten die folgenden Arten von eingehendem Datenverkehr von der Webex-Cloud:
-
Verschlüsselungsanforderungen von Clients, die vom Verschlüsselungsdienst umgeleitet werden
-
Upgrades für die Knoten-Software
Konfigurieren von Tintenfisch für die Hybriddatensicherheit
WebSocket kann nicht über SquID Proxy verbunden werden
Squid-Proxys, die den HTTPS-Datenverkehr prüfen, können die Einrichtung von Websocket-Verbindungen (wss:) beeinträchtigen, die für Hybrid Data Security erforderlich ist. Diese Abschnitte geben Anweisungen, wie Sie verschiedene Versionen von Squid konfigurieren, um WSS zu ignorieren: Datenverkehr für den ordnungsgemäßen Ablauf der Services.
Squid 4 und 5
Fügen Sie die on_unsupported_protocol Richtlinie zu squid.conf hinzu:
on_unsupported_protocol Alle tunnelSquid 3.5.27
Wir haben die Hybriddatensicherheit erfolgreich mit den folgenden Regeln getestet, die zu squid .conf hinzugefügt wurden. Diese Regeln können sich geändert werden, da wir Funktionen entwickeln und die WebEx Cisco aktualisieren.
acl wssMercuryConnection ssl::server_name_regex mercury-connection ssl_bump splice wssMercuryConnection acl step1 at_step SslBump1 acl step2 at_step SslBump2 acl step3 at_step SslBump3 ssl_bump peek step1 alle ssl_bump stare step2 alle ssl_bump bump step3 alleNeue und geänderte Informationen
Neue und geänderte Informationen
In dieser Tabelle werden neue Funktionen, Änderungen an vorhandenen Inhalten und alle wichtigen Fehler beschrieben, die im Bereitstellungsleitfaden für Multi-Tenant-Hybrid-Datensicherheit behoben wurden.
|
Datum |
Vorgenommenen Änderungen |
|---|---|
|
08. Januar 2025 |
In Erste Einrichtung durchführen und Installationsdateien herunterladen wurde ein Hinweis hinzugefügt, dass das Klicken auf Einrichten auf der HDS-Karte in Partner Hub ein wichtiger Schritt des Installationsprozesses ist. |
|
07. Januar 2025 |
Aktualisierte Anforderungen für virtuelle Gastgeber, Bereitstellungsaufgaben für Hybrid-Datensicherheit und Installieren der HDS-Host-OVA , um neue Anforderungen von ESXi 7.0 anzuzeigen. |
|
13. Dezember 2024 |
Erste Veröffentlichung. |
Multi-Tenant Hybrid-Datensicherheit deaktivieren
Multi-Tenant-HDS-Deaktivierungsaufgabenablauf
Führen Sie diese Schritte aus, um Multi-Tenant-HDS vollständig zu deaktivieren.
Vorbereitungen
| 1 |
Entfernen Sie alle Kunden aus allen Ihren Clustern, wie unter Mandantenorganisationen entfernen erwähnt. |
| 2 |
Widerrufen Sie die CMKs aller Kunden, wie unter CMKs von Tenants, die aus HDS entfernt wurden erwähnt. |
| 3 |
Entfernen Sie alle Knoten aus all Ihren Clustern, wie unter Einen Knoten entfernen erwähnt. |
| 4 |
Löschen Sie alle Ihre Cluster aus Partner Hub mithilfe einer der folgenden beiden Methoden.
|
| 5 |
Klicken Sie auf der Übersichtsseite zur Hybrid-Datensicherheit auf die Registerkarte Einstellungen und klicken Sie auf der HDS-Statuskarte auf HDS deaktivieren . |
Erste Schritte mit der Multi-Tenant-Hybrid-Datensicherheit
Multi-Tenant Hybrid-Datensicherheit – Übersicht
Vom ersten Tag an stand die Datensicherheit im Mittelpunkt der Entwicklung der Webex-App. Der Eckpfeiler dieser Sicherheit ist die durchgängige Verschlüsselung von Inhalten, die durch die Interaktion der Webex-App-Clients mit dem Schlüsselverwaltungsdienst (Key Management Service, KMS) ermöglicht wird. Der KMS erstellt und verwaltet die Kryptografieschlüssel, mit denen die Clients ihre Nachrichten und Dateien dynamisch ver- und entschlüsseln.
Standardmäßig erhalten alle Webex-App-Kunden eine durchgängige Verschlüsselung mit dynamischen Schlüsseln, die im Cloud-KMS im Sicherheitsbereich von Cisco gespeichert werden. Mit Hybrid Data Security werden KMS und andere Sicherheitsfunktionen in das Rechenzentrum Ihres Unternehmens verschoben, damit die Schlüssel zu ihren verschlüsselten Inhalten ausschließlich bei Ihnen liegen.
Multi-Tenant Hybrid Data Security ermöglicht es Unternehmen, HDS über einen vertrauenswürdigen lokalen Partner zu nutzen, der als Dienstleister fungieren und lokale Verschlüsselungs- und andere Sicherheitsdienste verwalten kann. Diese Einrichtung ermöglicht der Partnerorganisation die vollständige Kontrolle über die Bereitstellung und Verwaltung von Verschlüsselungscodes und stellt sicher, dass die Benutzerdaten von Kundenorganisationen vor externem Zugriff geschützt sind. Partnerorganisationen richten HDS-Instanzen ein und erstellen nach Bedarf HDS-Cluster. Im Gegensatz zu einer normalen HDS-Bereitstellung, die auf eine einzelne Organisation beschränkt ist, kann jede Instanz mehrere Kundenorganisationen unterstützen.
Dadurch können kleinere Organisationen auch HDS nutzen, da Schlüsselverwaltungsdienst und Sicherheitsinfrastruktur wie Rechenzentren im Besitz des vertrauenswürdigen lokalen Partners sind.
So bietet Multi-Tenant Hybrid Data Security Datensouveränität und Datenkontrolle
- Benutzergenerierte Inhalte sind wie Cloud-Dienstanbieter vor externem Zugriff geschützt.
- Vertrauenswürdige Partner vor Ort verwalten die Verschlüsselungscodes von Kunden, mit denen sie bereits eine bestehende Beziehung haben.
- Option für lokalen technischen Support, falls vom Partner bereitgestellt.
- Unterstützt Meeting-, Messaging- und Calling-Inhalte.
Dieses Dokument soll Partnerorganisationen bei der Einrichtung und Verwaltung von Kunden in einem Multi-Tenant-Hybrid-Datensicherheitssystem unterstützen.
Rollen in der Multi-Tenant-Hybrid-Datensicherheit
- Partner-Volladministrator – Kann Einstellungen für alle Kunden verwalten, die der Partner verwaltet. Außerdem können Sie bereits vorhandenen Benutzern in der Organisation Administratorrollen zuweisen und bestimmte Kunden für die Verwaltung durch Partneradministratoren zuweisen.
- Partneradministrator – Kann Einstellungen für Kunden verwalten, die der Administrator bereitgestellt hat oder die dem Benutzer zugewiesen wurden.
- Volladministrator – Administrator der Partnerorganisation, der berechtigt ist, Aufgaben auszuführen, z. B. die Änderung von Organisationseinstellungen, die Verwaltung von Lizenzen und das Zuweisen von Rollen.
- Durchgängige Multi-Tenant-HDS-Einrichtung und -Verwaltung aller Kundenorganisationen – Partner-Volladministrator und Volle Administratorrechte erforderlich.
- Verwaltung zugewiesener Mandanten-Organisationen – Partneradministrator und volle Administratorrechte erforderlich.
Sicherheitsbereichsarchitektur
Die Webex-Cloud-Architektur unterteilt verschiedene Arten von Diensten in separate Bereiche oder Vertrauensdomänen, wie unten dargestellt.
Um die Hybrid-Datensicherheit besser zu verstehen, schauen wir uns zunächst diesen reinen Cloud-Fall an, bei dem Cisco alle Funktionen in seinen Cloud-Bereichen bereitstellt. Der Identitätsdienst, der einzige Ort, an dem Benutzer direkt mit ihren persönlichen Informationen in Verbindung gebracht werden können, wie z. B. die E-Mail-Adresse, ist logisch und physisch vom Sicherheitsbereich in Rechenzentrum B getrennt. Er ist wiederum von dem Bereich getrennt, in dem verschlüsselte Inhalte letztendlich gespeichert werden, in Rechenzentrum C.
In diesem Diagramm ist der Client die Webex-App, die auf dem Laptop eines Benutzers ausgeführt wird und sich mit dem Identitätsdienst authentifiziert hat. Wenn der Benutzer eine Nachricht verfasst, die er an einen Bereich senden möchte, finden folgende Schritte statt:
-
Der Client stellt eine sichere Verbindung zum Schlüsselverwaltungsdienst her, und fordert anschließend einen Schlüssel zum Verschlüsseln der Nachricht an. Die sichere Verbindung verwendet ECDH und der Schlüsselverwaltungsdienst verschlüsselt den Schlüssel mit einem AES-256-Hauptschlüssel.
-
Die Nachricht wird verschlüsselt, bevor sie den Client verlässt. Der Client sendet sie an den Indexdienst, der verschlüsselte Suchindizes erstellt, um zukünftige Suchvorgänge nach Inhalten zu unterstützen.
-
Die verschlüsselte Nachricht wird an den Compliancedienst gesendet, damit Complianceprüfungen vorgenommen werden können.
-
Die verschlüsselte Nachricht wird im Speicherbereich abgelegt.
Wenn Sie die Hybrid-Datensicherheit bereitstellen, verschieben Sie die Sicherheitsbereichsfunktionen (KMS, Indexierung und Compliance) in Ihr lokales Rechenzentrum. Die anderen Cloud-Dienste, aus denen Webex besteht (einschließlich Identitätsspeicher und Inhaltsspeicher), verbleiben in den Bereichen von Cisco.
Zusammenarbeit mit anderen Organisationen
Benutzer in Ihrer Organisation können die Webex-App regelmäßig verwenden, um mit externen Teilnehmern in anderen Organisationen zusammenzuarbeiten. Wenn einer Ihrer Benutzer einen Schlüssel für einen Bereich anfordert, der Ihrer Organisation gehört (da er von einem Ihrer Benutzer erstellt wurde) sendet Ihr Schlüsselverwaltungsdienst den Schlüssel über einen mit ECDH gesicherten Kanal an den Client. Wenn eine andere Organisation jedoch den Schlüssel für den Bereich besitzt, leitet Ihr KMS die Anforderung über einen separaten ECDH-Kanal an die Webex-Cloud weiter, um den Schlüssel vom entsprechenden KMS zu erhalten, und gibt den Schlüssel dann an Ihren Benutzer im ursprünglichen Kanal zurück.
Der KMS-Dienst, der unter Organisation A ausgeführt wird, überprüft die Verbindungen zu KMSs in anderen Organisationen mit x.509-PKI-Zertifikaten. Weitere Informationen zur Erzeugung eines x.509-Zertifikats für die Verwendung mit Ihrer Multi-Tenant-Hybrid-Datensicherheitsbereitstellung finden Sie unter Vorbereiten Ihrer Umgebung .
Erwartungen an die Bereitstellung der Hybrid-Datensicherheit
Eine Bereitstellung der Hybrid-Datensicherheit erfordert ein erhebliches Engagement und ein Bewusstsein für die Risiken, die mit dem Besitz von Verschlüsselungscodes einhergehen.
Zur Bereitstellung der Hybrid-Datensicherheit müssen Sie Folgendes bereitstellen:
-
Ein sicheres Rechenzentrum in einem Land, das ein unterstützter Standort für die Cisco Webex Teams-Pläne ist.
-
Geräte, Software und Netzwerkzugriff, die unter Vorbereiten Ihrer Umgebung beschrieben werden.
Der vollständige Verlust der Konfigurations-ISO, die Sie für Hybrid Data Security erstellen, oder der von Ihnen bereitgestellten Datenbank führt zum Verlust der Schlüssel. Der Schlüsselverlust verhindert, dass Benutzer Bereichsinhalte und andere verschlüsselte Daten in der Webex-App entschlüsseln. Falls dies geschieht, können Sie eine neue Bereitstellung erstellen, es werden dabei jedoch nur neue Inhalte angezeigt. Gehen Sie folgendermaßen vor, damit Sie nicht den Zugriff auf die Daten verlieren:
-
Verwalten Sie die Sicherung und Wiederherstellung der Datenbank und die ISO-Konfigurationsdatei.
-
Bereiten Sie sich darauf vor, eine schnelle Notfallwiederherstellung durchzuführen, wenn eine Katastrophe eintritt, z. B. ein Fehler der Datenbank oder ein Absturz des Rechenzentrums.
Es gibt keinen Mechanismus, um Schlüssel nach einer HDS-Bereitstellung zurück in die Cloud zu verschieben.
Übergeordneter Einrichtungsprozess
Dieses Dokument behandelt die Einrichtung und Verwaltung einer Multi-Tenant-Hybrid-Datensicherheitsbereitstellung:
-
Hybrid-Datensicherheit einrichten – Dazu gehört die Vorbereitung der erforderlichen Infrastruktur und die Installation der Hybrid-Datensicherheitssoftware, der Aufbau eines HDS-Clusters, das Hinzufügen von Tenant-Organisationen zum Cluster und die Verwaltung ihrer Customer Main Keys (CMKs). Damit können alle Benutzer Ihrer Kundenorganisationen Ihr Hybrid-Datensicherheitscluster für Sicherheitsfunktionen verwenden.
Die Einrichtungs-, Aktivierungs- und Verwaltungsphase werden in den nächsten drei Kapiteln ausführlich behandelt.
-
Aufrechterhaltung Ihrer Hybrid-Datensicherheitsbereitstellung – Die Webex-Cloud stellt automatisch laufende Upgrades bereit. Ihre IT-Abteilung kann Ebene-1-Support anbieten und bei Bedarf den Cisco-Support hinzuziehen. Sie können Benachrichtigungen auf dem Bildschirm verwenden und E-Mail-basierte Warnungen in Partner Hub einrichten.
-
Allgemeine Warnungen, Schritte zur Fehlerbehebung und bekannte Probleme verstehen: Wenn bei der Bereitstellung oder Verwendung von Hybrid-Datensicherheit Probleme auftreten, können Sie das letzte Kapitel dieses Leitfadens und der Anhang „Bekannte Probleme“ bei der Ermittlung und Behebung des Problems helfen.
Bereitstellungsmodell für die Hybrid-Datensicherheit
Im Rechenzentrum Ihres Unternehmens stellen Sie die hybride Datensicherheit als ein Cluster von Knoten auf separaten virtuellen Hosts bereit. Die Knoten kommunizieren mit der Webex Cloud über sichere Websockets und sicheres HTTP.
Während des Installationsvorgangs stellen wir Ihnen die OVA-Datei bereit, mit der Sie die virtuelle Appliance auf den von Ihnen angegebenen VMs einrichten können. Mit dem HDS-Setuptool erstellen Sie eine benutzerdefinierte ISO-Clusterkonfigurationsdatei, die Sie bei den einzelnen Knoten mounten. Der Hybrid-Datensicherheitscluster verwendet den von Ihnen bereitgestellten Syslogd-Server und die PostgreSQL- oder Microsoft SQL Server-Datenbank. (Sie konfigurieren die Syslogd- und Datenbankverbindungsdetails im HDS Setup Tool.)
Die Mindestanzahl von Knoten in einem Cluster lautet zwei. Wir empfehlen mindestens drei pro Cluster. Die Tatsache, dass mehrere Knoten vorhanden sind, stellt sicher, dass der Dienst während eines Software-Upgrades oder anderer Wartungsaktivitäten auf einem Knoten nicht unterbrochen wird. (Die Webex-Cloud aktualisiert jeweils nur einen Knoten.)
Alle Knoten in einem Cluster greifen auf denselben Schlüsseldatenspeicher zu und sie protokollieren Aktivitäten auf demselben Syslog-Server. Die Knoten selbst besitzen keinen Status und verarbeiten Schlüsselanfragen nach dem Round-Robin-Verfahren, wie von der Cloud vorgegeben.
Knoten werden aktiv, wenn Sie sie in Partner Hub registrieren. Um einen einzelnen Knoten zu deaktivieren, können Sie die Registrierung aufheben und ggf. zu einem späteren Zeitpunkt erneut registrieren.
Standby-Rechenzentrum für die Notfallwiederherstellung
Während der Bereitstellung richten Sie ein sicheres Standby-Rechenzentrum ein. Bei einem Absturz des Rechenzentrums können Sie die Bereitstellung manuell auf das Standby-Rechenzentrum umstellen.
Die Datenbanken der aktiven und Standby-Rechenzentren sind synchronisiert, wodurch die Zeit für die Durchführung des Failovers minimiert wird.
Die aktiven Hybrid-Datensicherheitsknoten müssen sich immer im selben Rechenzentrum wie der aktive Datenbankserver befinden.
Proxy-Support
Die Hybriddatensicherheit unterstützt explizite, transparente Inspektionen und Nichtinspizierungsproxys. Sie können diese Proxys an Ihre Bereitstellung binden, damit Sie den Datenverkehr aus dem Unternehmen heraus in die-Cisco sichern und überwachen können. Sie können eine Netzwerkverwaltung auf den Knoten für Zertifikats-Management verwenden und den Status der gesamten Konnektivität überprüfen, nachdem Sie den Proxy auf den Knoten eingerichtet haben.
Die Hybrid Data Sicherheitshinweis unterstützt die folgenden Proxyoptionen:
-
Kein Proxy: Der Standardwert, wenn Sie nicht die Konfiguration von Vertrauensspeicher und Proxy für die Integration eines Proxys beim Einrichten des HDS-Knotens verwenden. Es ist keine Zertifikatsaktualisierung erforderlich.
-
Transparenter Proxy ohne Prüfung – Die Knoten sind nicht für die Verwendung einer bestimmten Proxyserveradresse konfiguriert und sollten keine Änderungen erfordern, um mit einem Proxy ohne Prüfung zu arbeiten. Es ist keine Zertifikatsaktualisierung erforderlich.
-
Transparentes Tunneln oder Proxyprüfen: Die Knoten sind nicht für die Verwendung einer bestimmten Proxyserveradresse konfiguriert. Es sind keine Änderungen bei der Konfigurationänderung von http oder HTTPS Allerdings benötigen die Knoten eine Stammzertifikat, sodass Sie dem Proxy Vertrauen. Die Inspektion von Proxys wird in der Regel von ihm verwendet, um Strategien durchzusetzen, welche Websites besichtigt werden können und welche Arten von Inhalten nicht zulässig sind. Diese Art von Proxy entschlüsselt den gesamten Datenverkehr (auch HTTPS).
-
Expliziter Proxy: Mit explizitem Proxy teilen Sie den HDS-Knoten mit, welcher Proxyserver und welches Authentifizierungsschema verwendet werden sollen. Um einen expliziten Proxy zu konfigurieren, müssen Sie die folgenden Informationen zu den einzelnen Knoten eingeben:
-
Proxy-IP/FQDN: Adresse, die verwendet werden kann, um die Proxy-Maschine zu erreichen.
-
Proxy-Port: Eine Portnummer, die der Proxy verwendet, um nach proxyem Datenverkehr zu suchen.
-
Proxy-Protokoll: Wählen Sie je nachdem, was Ihr Proxy-Server unterstützt, zwischen den folgenden Protokollen aus:
-
– Und steuert alle Anfragen, die der Client sendet.
-
HTTPS – stellt einen Kanal zum Server bereit. Der Client erhält und prüft das Zertifikat des Servers.
-
-
Authentifizierungstyp: Wählen Sie aus den folgenden Authentifizierungstypen aus:
-
Keine: Es ist keine weitere Authentifizierung erforderlich.
Verfügbar, wenn Sie entweder http oder HTTPS als Proxyprotokoll auswählen.
-
Basic – wird für einen HTTP-Benutzeragenten verwendet, um bei einer Anfrage einen Benutzernamen und ein Kennwort anzugeben. Zertifikatsformat verwendet.
Verfügbar, wenn Sie entweder http oder HTTPS als Proxyprotokoll auswählen.
Hiermit müssen Sie die Benutzername und das Passwort eines jeden Knotens eingeben.
-
Digest – wird verwendet, um das Konto vor dem Senden sensibler Informationen zu bestätigen. Gibt eine Hashfunktion auf die Benutzername und das Passwort ein, bevor Sie über das Netzwerk senden.
Nur verfügbar, wenn Sie HTTPS als Proxyprotokoll auswählen.
Hiermit müssen Sie die Benutzername und das Passwort eines jeden Knotens eingeben.
-
-
Beispiel für hybride Datensicherheitsknoten und Proxy
Dieses Diagramm zeigt eine Beispielverbindung zwischen der Hybriddatensicherheit, dem Netzwerk und einem Proxy. Für die transparente Inspektion und HTTPS explizite Überprüfung der Proxyoptionen müssen dieselben Stammzertifikat auf dem Proxy und auf den Hybriden Datensicherheitsknoten installiert sein.
Externer DNS Auflösungsmodus blockiert (explizite Proxykonfigurationen)
Wenn Sie einen Knoten registrieren oder die Proxykonfiguration des Knotens überprüfen, testet das Verfahren die DNS und die Konnektivität der Cisco WebEx. Bei Bereitstellungen mit expliziten Proxykonfigurationen, die keine externe DNS für interne Clients zulassen, wenn der Knoten die DNS-Server nicht Abfragen kann, geht er automatisch in den gesperrten externen DNS-Server. In diesem Modus können Knotenregistrierungen und andere Proxyverbindungstests fortgeführt werden.
Umgebung vorbereiten
Anforderungen für die Multi-Tenant-Hybrid-Datensicherheit
Cisco Webex-Lizenzanforderungen
So stellen Sie Multi-Tenant Hybrid Data Security bereit:
-
Partnerorganisationen: Wenden Sie sich an Ihren Cisco-Partner oder Account Manager und stellen Sie sicher, dass die Multi-Tenant-Funktion aktiviert ist.
-
Mandantenorganisationen: Sie benötigen Pro Pack für Cisco Webex Control Hub. (Siehe https://www.cisco.com/go/pro-pack.)
Docker Desktop-Anforderungen
Bevor Sie Ihre HDS-Knoten installieren, benötigen Sie Docker Desktop, um ein Setup-Programm auszuführen. Docker hat kürzlich sein Lizenzierungsmodell aktualisiert. Ihre Organisation benötigt möglicherweise ein kostenpflichtiges Abonnement für Docker Desktop. Weitere Informationen finden Sie im Docker-Blog-Post: " Docker aktualisiert und erweitert unsere Produktabonnements".
Anforderungen an das X.509-Zertifikat
Diese Zertifikatskette muss die folgenden Anforderungen erfüllen:
|
Anforderung |
Details |
|---|---|
|
Standardmäßig vertrauen wir den Zertifizierungsstellen in der Mozilla-Liste (mit Ausnahme von WoSign und StartCom) unter https://wiki.mozilla.org/CA:IncludedCAs. |
|
Der CN muss nicht erreichbar und kein Live-Host sein. Wir empfehlen die Verwendung eines Namens, der Ihre Organisation widerspiegelt, z. B. Der CN darf kein * (Platzhalter) enthalten. Der CN wird verwendet, um die Hybrid-Datensicherheitsknoten für Webex-App-Clients zu verifizieren. Alle Hybrid-Datensicherheitsknoten in Ihrem Cluster verwenden das gleiche Zertifikat. Ihr KMS identifiziert sich selbst unter Verwendung der CN-Domäne, nicht einer beliebigen Domäne, die in den x.509v3-SAN-Feldern definiert ist. Nachdem Sie einen Knoten mit diesem Zertifikat registriert haben, kann der CN-Domänenname nicht mehr geändert werden. |
|
Die KMS-Software unterstützt keine SHA1-Signaturen zum Validieren von Verbindungen zu KMS anderer Organisationen. |
|
Sie können das Format Ihres Zertifikats mithilfe einer Konvertierungssoftware wie OpenSSL ändern. Sie müssen das Passwort eingeben, wenn Sie das HDS-Setuptool ausführen. |
Die KMS-Software erzwingt keine Schlüsselnutzung und beschränkt erweiterte Schlüsselnutzung nicht. Einige Zertifizierungsstellen erfordern Beschränkungen einer erweiterten Schlüsselnutzung für jedes Zertifikat, wie z. B. Server-Authentifizierung. Die Server-Authentifizierung oder andere Einstellungen zu verwenden, ist zulässig.
Anforderungen für virtuelle Gastgeber
Die virtuellen Hosts, die Sie als Hybrid-Datensicherheitsknoten in Ihrem Cluster einrichten, haben die folgenden Anforderungen:
-
Mindestens zwei separate Hosts (3 empfohlen) befinden sich im gleichen sicheren Rechenzentrum
-
VMware ESXi 7.0 (oder höher) installiert und ausgeführt.
Sie müssen ein Upgrade durchführen, wenn Sie über eine frühere Version von ESXi verfügen.
-
Mindestens 4 vCPUs, 8 GB Hauptspeicher, 30 GB lokaler Festplattenspeicher pro Server
Datenbankserveranforderungen
Erstellen Sie eine neue Datenbank für die Schlüsselspeicherung. Verwenden Sie nicht die Standarddatenbank. Die HDS-Anwendungen erstellen bei Installation das Datenbankschema.
Für den Datenbankserver gibt es zwei Optionen. Die Anforderungen für jede dieser Komponenten lauten wie folgt:
|
PostgreSQL |
Microsoft SQL-Server |
|---|---|
|
|
|
Mindestens 8 vCPUs, 16 GB Hauptspeicher, ausreichend Festplattenkapazität und Überwachung zur Sicherstellung, dass dieser nicht überschritten wird (2 TB empfohlen, falls die Datenbank über längere Zeit ohne Erweiterung der Festplattenkapazität ausgeführt werden soll) |
Mindestens 8 vCPUs, 16 GB Hauptspeicher, ausreichend Festplattenkapazität und Überwachung zur Sicherstellung, dass dieser nicht überschritten wird (2 TB empfohlen, falls die Datenbank über längere Zeit ohne Erweiterung der Festplattenkapazität ausgeführt werden soll) |
Die HDS-Software installiert derzeit die folgenden Treiberversionen für die Kommunikation mit dem Datenbankserver:
|
PostgreSQL |
Microsoft SQL-Server |
|---|---|
|
Der Treiber Postgres JDBC 42.2.5 |
SQL Server JDBC-Treiber 4.6 Diese Treiberversion unterstützt SQL Server Always On (Always On Failover Cluster Instances und Always On-Verfügbarkeitsgruppen). |
Zusätzliche Anforderungen für die Windows-Authentifizierung gegen Microsoft SQL Server
Wenn Sie möchten, dass HDS-Knoten die Windows-Authentifizierung verwenden, um Zugriff auf Ihre Keystore-Datenbank auf Microsoft SQL Server zu erhalten, benötigen Sie die folgende Konfiguration in Ihrer Umgebung:
-
Die HDS-Knoten, die Active Directory-Infrastruktur und der MS SQL Server müssen alle mit dem NTP synchronisiert werden.
-
Das Windows-Konto, das Sie auf HDS-Knoten bereitstellen, muss Lese-/Schreibzugriff auf die Datenbank haben.
-
Die DNS-Server, die Sie für HDS-Knoten bereitstellen, müssen in der Lage sein, Ihr Key Distribution Center (KDC) aufzulösen.
-
Sie können die HDS-Datenbankinstanz auf Ihrem Microsoft SQL Server als Service Principal Name (SPN) in Ihrem Active Directory registrieren. Siehe Registrieren eines Dienstprinzipalnamens für Kerberos-Verbindungen.
Das HDS-Setup-Tool, der HDS-Launcher und das lokale KMS müssen für den Zugriff auf die Keystore-Datenbank die Windows-Authentifizierung verwenden. Sie verwenden die Details aus Ihrer ISO-Konfiguration, um die SPN zu konstruieren, wenn sie den Zugriff mit der Kerberos-Authentifizierung anfordern.
Anforderungen an externe Konnektivität
Konfigurieren Sie Ihre Firewall so, dass die folgende Konnektivität für die HDS-Anwendungen zugelassen ist:
|
Anwendung |
Protokoll |
Port |
Richtung von der App |
Ziel |
|---|---|---|---|---|
|
Hybrid-Datensicherheitsknoten |
TCP |
443 |
Ausgehend HTTPS und WSS |
|
|
HDS-Einrichtungstool |
TCP |
443 |
Ausgehendes HTTPS |
|
Die Hybrid-Datensicherheitsknoten funktionieren mit NAT (Network Access Translation) oder hinter einer Firewall, solange NAT oder Firewall die erforderlichen ausgehenden Verbindungen zu den in der vorangehenden Tabelle aufgeführten Domänenzielen zulässt. Für eingehende Verbindungen zu den Hybrid-Datensicherheitsknoten sollten keine Ports aus dem Internet sichtbar sein. In Ihrem Rechenzentrum benötigen Clients aus administrativen Gründen Zugriff auf die Hybrid-Datensicherheitsknoten auf den TCP-Ports 443 und 22.
Die URLs für die CI-Hosts (Common Identity) sind regionsspezifisch. Dies sind die aktuellen CI-Hosts:
|
Region |
Host-URLs der allgemeinen Identität |
|---|---|
|
Amerika |
|
|
Europäische Union |
|
|
Kanada |
|
| Singapur |
|
| Vereinigte Arabische Emirate |
|
Vorgaben für Proxy-Server
-
Wir unterstützen offiziell die folgenden Proxylösungen, die in ihre Hybriden Sicherheitsknoten integriert werden können.
-
Transparenter Proxy – Cisco Web Sicherheitsgerät (WSA).
-
Explizite –.
Squid-Proxys, die den HTTPS-Datenverkehr untersuchen, können die Einrichtung von Websocket-Verbindungen (wss:) beeinträchtigen. Informationen zur Behebung dieses Problems finden Sie unter Konfigurieren von Squid-Proxys für Hybrid-Datensicherheit.
-
-
Wir unterstützen die folgenden Authentifizierungskombinationen für explizite Proxys:
-
Keine Authentifizierung mit http oder HTTPS
-
Grundlegende Authentifizierung mit http oder HTTPS
-
Verdauungsauthentifizierung nur mit HTTPS
-
-
Um einen transparenten Proxy oder einen HTTPS expliziten Proxy zu erhalten, müssen Sie eine Kopie des Stammzertifikat des Stellvertreters besitzen. Die Bereitstellungsanweisungen in diesem Handbuch zeigen Ihnen, wie Sie die Kopie in die Vertrauensspeicher der Hybriden Datensicherheitsknoten hochladen können.
-
Das Netzwerk, das die HDS Nodes hostet, muss so konfiguriert sein, dass es den ausgehenden TCP Traffic auf Port 443 durch den Proxy zwingt
-
Proxys, die den Webverkehr inspizieren, können die Websteckverbindung beeinträchtigen. Wenn dieses Problem auftritt, wird das Problem durch Umgehung des Datenverkehrs zu
wbx2.comundciscospark.comgelöst.
Erfüllen der Voraussetzungen für die Hybrid-Datensicherheit
| 1 |
Stellen Sie sicher, dass Ihre Partnerorganisation die Multi-Tenant-HDS-Funktion aktiviert hat, und sichern Sie sich die Anmeldeinformationen für ein Konto mit vollen Partneradministratorrechten und vollen Administratorrechten. Stellen Sie sicher, dass Ihre Webex-Kundenorganisation für Pro Pack für Cisco Webex Control Hub aktiviert ist. Wenden Sie sich an Ihren Cisco-Partner oder an Ihren Account Manager, falls Sie Hilfe bei diesem Verfahren benötigen. Kundenorganisationen sollten keine vorhandene HDS-Bereitstellung haben. |
| 2 |
Wählen Sie einen Domänennamen für Ihre HDS-Bereitstellung (z. B. |
| 3 |
Bereiten Sie identische virtuelle Hosts vor, die Sie als Hybrid-Datensicherheitsknoten in Ihrem Cluster einrichten werden. Sie benötigen mindestens zwei separate Hosts (3 empfohlen), die sich im selben sicheren Rechenzentrum befinden und die Anforderungen unter Anforderungen für virtuelle Hosts erfüllen. |
| 4 |
Bereiten Sie den Datenbankserver vor, der als Schlüsseldatenspeicher für den Cluster dient, gemäß den Anforderungen für den Datenbankserver. Der Datenbankserver muss sich im sicheren Rechenzentrum mit den virtuellen Hosts befinden. |
| 5 |
Richten Sie für eine schnelle Notfallwiederherstellung eine Backup-Umgebung in einem anderen Rechenzentrum ein. Die Backup-Umgebung spiegelt die Produktionsumgebung von VMs und eines Backup-Datenbankservers wider. Wenn beispielsweise in der Produktion 3 VMs HDS-Knoten ausführen, sollte die Backup-Umgebung 3 VMs haben. |
| 6 |
Richten Sie einen syslog-Host ein, um Protokolle aus den Knoten im Cluster zu sammeln. Dokumentieren Sie dessen Netzwerkadresse und syslog-Port (Standard ist UDP 514). |
| 7 |
Erstellen Sie eine sichere Backup-Richtlinie für die Hybrid-Datensicherheitsknoten, den Datenbankserver und den Syslog-Host. Um einen nicht behebbaren Datenverlust zu vermeiden, müssen Sie mindestens die Datenbank und die für die Hybrid-Datensicherheitsknoten generierte Konfigurations-ISO-Datei sichern. Da auf den Hybrid-Datensicherheitsknoten die für die Ver- und Entschlüsselung von Inhalten verwendeten Schlüssel gespeichert werden, führt das Versäumnis, eine betriebliche Bereitstellung aufrechtzuerhalten, zum NICHT BEHEBBAREN VERLUST dieser Inhalte. Webex-App-Clients speichern ihre Schlüssel im Zwischenspeicher, sodass ein Ausfall möglicherweise nicht sofort spürbar ist, aber mit der Zeit offensichtlich wird. Vorübergehende Ausfälle sind unvermeidlich, aber behebbar. Bei einem vollständigen Verlust (keine Backups verfügbar) entweder der Datenbank oder der ISO-Konfigurationsdatei gehen jedoch Kundendaten unwiederbringlich verloren. Von den Betreibern der Hybrid-Datensicherheitsknoten wird erwartet, dass sie häufige Sicherungen der Datenbank und der Konfigurations-ISO-Datei erstellen und im Falle eines katastrophalen Ausfalls das Rechenzentrum für die Hybrid-Datensicherheit neu erstellen. |
| 8 |
Stellen Sie sicher, dass Ihre Firewall-Konfiguration eine Verbindung für Ihre Hybrid-Datensicherheitsknoten ermöglicht, wie unter Externe Verbindungsanforderungen beschrieben. |
| 9 |
Installieren Sie Docker ( https://www.docker.com) auf jedem lokalen Computer, auf dem ein unterstütztes Betriebssystem ausgeführt wird (Microsoft Windows 10 Professional, Enterprise 64-Bit oder Mac OSX Yosemite 10.10.3 oder höher) und ein Webbrowser, der unter http://127.0.0.1:8080. darauf zugreifen kann. Mit der Docker-Instanz können Sie das HDS Setup Tool herunterladen und ausführen, das die lokalen Konfigurationsinformationen für alle Hybrid-Datensicherheitsknoten erstellt. Möglicherweise benötigen Sie eine Docker Desktop-Lizenz. Weitere Informationen finden Sie unter Anforderungen für Docker Desktop . Um das HDS Setup Tool zu installieren und auszuführen, muss der lokale Computer über die unter Anforderungen an externe Konnektivität beschriebenen Konnektivität verfügen. |
| 10 |
Wenn Sie einen Proxy mit Hybrid Data Security integrieren, stellen Sie sicher, dass er die Anforderungen für den Proxy-Server erfüllt. |
Hybrid-Datensicherheitscluster einrichten
Ablauf der Bereitstellungsaufgabe für die Hybrid-Datensicherheit
| 1 |
Erste Einrichtung durchführen und Installationsdateien herunterladen Laden Sie die OVA-Datei für eine spätere Verwendung auf Ihren lokalen Computer herunter. |
| 2 |
Erstellen einer ISO-Konfigurationsdatei für die HDS-Hosts Erstellen Sie mit dem HDS Setup Tool eine ISO-Konfigurationsdatei für die Hybrid-Datensicherheitsknoten. |
| 3 |
Erstellen Sie eine virtuelle Maschine aus der OVA-Datei und führen Sie eine erste Konfiguration durch, z. B. Netzwerkeinstellungen. Die Option zum Konfigurieren der Netzwerkeinstellungen während der OVA-Bereitstellung wurde mit ESXi 7.0 getestet. In früheren Versionen ist diese Option möglicherweise nicht verfügbar. |
| 4 |
Einrichten der Hybrid-Datensicherheits-VM Melden Sie sich bei der VM-Konsole an und legen Sie die Anmeldeinformationen fest. Konfigurieren Sie die Netzwerkeinstellungen für den Knoten, falls Sie diese bei der OVA-Bereitstellung nicht konfiguriert haben. |
| 5 |
Hochladen und Mounten der HDS-Konfigurations-ISO Konfigurieren Sie die VM aus der ISO-Konfigurationsdatei, die Sie mit dem HDS Setup Tool erstellt haben. |
| 6 |
Konfigurieren des HDS Knotens für Proxyintegration Wenn für die Netzwerkumgebung eine Proxy-Konfiguration erforderlich ist, geben Sie den Proxy-Typ an, den Sie für den Knoten verwenden möchten, und fügen Sie das Proxy-Zertifikat ggf. zum Vertrauensspeicher hinzu. |
| 7 |
Ersten Knoten im Cluster registrieren Registrieren Sie die VM in der Cisco Webex Cloud als Hybrid-Datensicherheitsknoten. |
| 8 |
Weitere Knoten erstellen und registrieren Schließen Sie die Cluster-Einrichtung ab. |
| 9 |
Aktivieren Sie Multi-Tenant-HDS in Partner Hub. Aktivieren Sie HDS und verwalten Sie Mandantenorganisationen in Partner Hub. |
Erste Einrichtung durchführen und Installationsdateien herunterladen
Bei dieser Aufgabe laden Sie eine OVA-Datei auf Ihren Computer herunter (nicht auf die Server, die Sie als Hybrid-Datensicherheitsknoten eingerichtet haben). Sie können diese Datei zu einem späteren Zeitpunkt im Installationsprozess verwenden.
| 1 |
Melden Sie sich bei Partner Hub an und klicken Sie auf Dienste. |
| 2 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach der Hybrid-Datensicherheitskarte und klicken Sie auf Einrichten. Das Klicken auf Einrichten in Partner Hub ist entscheidend für den Bereitstellungsprozess. Fahren Sie mit der Installation nicht fort, ohne diesen Schritt abzuschließen. |
| 3 |
Klicken Sie auf Ressource hinzufügen und dann auf OVA-Datei herunterladen auf der Karte Software installieren und konfigurieren . Ältere Versionen des Softwarepakets (OVA) sind mit den neuesten Upgrades für die Hybrid-Datensicherheit nicht kompatibel. Dies kann zu Problemen beim Upgrade der Anwendung führen. Stellen Sie sicher, dass Sie die neueste Version der OVA-Datei herunterladen. Sie können die OVA auch jederzeit im Abschnitt Hilfe herunterladen. Klicken Sie auf . Der Download der OVA-Datei beginnt automatisch. Speichern Sie die Datei auf Ihrem Computer.
|
| 4 |
Klicken Sie optional auf Bereitstellungsleitfaden zur Hybrid-Datensicherheit anzeigen , um zu überprüfen, ob eine spätere Version dieses Leitfadens verfügbar ist. |
Erstellen einer ISO-Konfigurationsdatei für die HDS-Hosts
Beim Einrichtungsprozess für die Hybrid-Datensicherheit wird eine ISO-Datei erstellt. Anschließend verwenden Sie die ISO, um Ihren Hybrid-Datensicherheitshost zu konfigurieren.
Vorbereitungen
-
Das HDS Setup Tool wird als Docker Container auf einem lokalen Computer ausgeführt. Um darauf zu zugreifen, führen Sie Docker auf diesem Computer aus. Der Einrichtungsprozess erfordert die Anmeldeinformationen eines Partner Hub-Kontos mit vollständigen Administratorrechten.
Wenn das HDS Setup-Tool hinter einem Proxy in Ihrer Umgebung ausgeführt wird, geben Sie die Proxy-Einstellungen (Server, Port, Anmeldeinformationen) über die Docker-Umgebungsvariablen an, wenn Sie den Docker-Container in Schritt 5 unten aufrufen. Diese Tabelle enthält einige mögliche Umgebungsvariablen:
Beschreibung
Variable
HTTP-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORTHTTPS-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORT -
Die von Ihnen generierte ISO-Konfigurationsdatei enthält den Hauptschlüssel zur Verschlüsselung der PostgreSQL- oder Microsoft SQL Server-Datenbank. Sie benötigen die neueste Kopie dieser Datei, wenn Sie Konfigurationsänderungen wie die folgenden vornehmen:
-
Datenbank-Anmeldeinformationen
-
Zertifikats-Aktualisierungen
-
Änderungen an der Autorisierungsrichtlinie
-
-
Wenn Sie Datenbankverbindungen verschlüsseln möchten, richten Sie Ihre PostgreSQL- oder SQL Server-Bereitstellung für TLS ein.
| 1 |
Geben Sie in der Befehlszeile Ihres Computers den entsprechenden Befehl für Ihre Umgebung ein: In regulären Umgebungen: In FedRAMP-Umgebungen: Mit diesem Schritt werden die Bilder vorheriger HDS-Setup-Tools bereinigt. Wenn keine vorherigen Bilder angezeigt werden, erhalten Sie eine Fehlermeldung, die Sie ignorieren können. | ||||||||||
| 2 |
Um sich bei der Docker-Image-Registrierung anmelden zu können, geben Sie Folgendes ein: | ||||||||||
| 3 |
Geben Sie in der Passwortaufforderung diese Hash-Eingabe ein: | ||||||||||
| 4 |
Laden Sie das aktuellste stabile Bild für Ihre Umgebung herunter: In regulären Umgebungen: In FedRAMP-Umgebungen: | ||||||||||
| 5 |
Geben Sie nach Abschluss des Pull-Befehls den entsprechenden Befehl für Ihre Umgebung ein:
Wenn der Container ausgeführt wird, wird "Express server listening on port 8080" (Express-Server hören auf Port 8080) sehen. | ||||||||||
| 6 |
Das Setup-Tool unterstützt die Verbindung zu localhost über http://localhost:8080 nicht. Verwenden Sie http://127.0.0.1:8080 , um eine Verbindung zum Localhost herzustellen. Navigieren Sie in einem Webbrowser zum Localhost, Das Tool verwendet diesen ersten Eintrag des Benutzernamens, um die richtige Umgebung für dieses Konto festzulegen. Das Tool zeigt dann die Standard-Anmeldeaufforderung an. | ||||||||||
| 7 |
Wenn Sie dazu aufgefordert werden, geben Sie Ihre Partner Hub-Administratoranmeldeinformationen ein und klicken Sie dann auf Anmelden , um den Zugriff auf die für die Hybrid-Datensicherheit erforderlichen Dienste zu erlauben. | ||||||||||
| 8 |
Klicken Sie auf der Übersichtsseite des Setup Tool auf Get Started (Erste Schritte). | ||||||||||
| 9 |
Auf der Seite ISO-Import stehen Ihnen folgende Optionen zur Verfügung:
| ||||||||||
| 10 |
Überprüfen Sie, ob Ihr X.509-Zertifikat die Anforderungen in X.509-Zertifikatsanforderungen erfüllt.
| ||||||||||
| 11 |
Geben Sie die Datenbankadresse und das Konto für HDS ein, um auf Ihren Schlüsseldatenspeicher zuzugreifen: | ||||||||||
| 12 |
Wählen Sie einen TLS-Datenbankverbindungsmodus aus:
Wenn Sie das Stammzertifikat hochladen (falls erforderlich) und auf Weiter klicken, testet das HDS Setup Tool die TLS-Verbindung zum Datenbankserver. Das Tool überprüft auch den Zertifikat signer und den Hostnamen, falls vorhanden. Wenn ein Test fehlschlägt, zeigt das Tool eine Fehlermeldung an, in der das Problem beschrieben wird. Sie können auswählen, ob Sie den Fehler ignorieren und mit der Einrichtung fortfahren möchten. (Aufgrund von Verbindungsunterschieden können die HDS-Knoten möglicherweise eine TLS-Verbindung herstellen, auch wenn das HDS Setup Tool diese nicht erfolgreich testen kann.) | ||||||||||
| 13 |
Konfigurieren Sie auf der Seite Systemprotokolle Ihren Syslogd-Server: | ||||||||||
| 14 |
(Optional) Sie können den Standardwert für einige Datenbankverbindungsparameter unter Erweiterte Einstellungen ändern. Im Allgemeinen ist dieser Parameter der einzige, den Sie ändern möchten: | ||||||||||
| 15 |
Klicken Sie im Bildschirm Kennwort für Dienstkonten zurücksetzen auf Weiter . Passwörter für Dienstkonten haben eine Lebensdauer von neun Monaten. Verwenden Sie diesen Bildschirm, wenn Ihre Passwörter bald ablaufen oder Sie sie zurücksetzen möchten, um frühere ISO-Dateien ungültig zu machen. | ||||||||||
| 16 |
Klicken Sie auf Download ISO File (ISO-Datei herunterladen). Speichern Sie die Datei an einem leicht auffindbaren Speicherort. | ||||||||||
| 17 |
Erstellen Sie eine Sicherungskopie der ISO-Datei auf Ihrem lokalen System. Sichern Sie die Sicherungskopie sicher. Die Datei enthält einen Master-Verschlüsselungsschlüssel für die Datenbankinhalte. Beschränken Sie den Zugriff auf Administratoren für Hybrid-Datensicherheit, die Konfigurationsänderungen vornehmen sollten. | ||||||||||
| 18 |
Um das Setup Tool herunterzufahren, tippen Sie |
Nächste Schritte
Sichern Sie die ISO-Konfigurationsdatei. Sie benötigen sie, um weitere Knoten für die Wiederherstellung zu erstellen oder Konfigurationsänderungen vorzunehmen. Wenn Sie alle Kopien der ISO-Datei verlieren, haben Sie auch den Hauptschlüssel verloren. Die Schlüssel aus Ihrer PostgreSQL- oder Microsoft SQL Server-Datenbank können nicht wiederhergestellt werden.
Wir haben nie eine Kopie dieses Schlüssels und können nicht helfen, wenn Sie ihn verlieren.
Installieren des HDS Host OVA
| 1 |
Melden Sie sich über den VMware vSphere-Client auf Ihrem Computer bei dem ESXi virtuellen Host an. |
| 2 |
Wählen Sie Datei > OVF-Vorlage bereitstellen aus. |
| 3 |
Geben Sie im Assistenten den Speicherort der OVA-Datei an, die Sie zuvor heruntergeladen haben, und klicken Sie auf Weiter. |
| 4 |
Geben Sie auf der Seite Name und Ordner auswählen einen Namen der virtuellen Maschine für den Knoten ein (z. B. „HDS_Node_1“), wählen Sie einen Ort aus, an dem sich die Knotenbereitstellung der virtuellen Maschine befinden kann, und klicken Sie auf Weiter. |
| 5 |
Wählen Sie auf der Seite Berechnungsressource auswählen die Ziel-Berechnungsressource aus, und klicken Sie auf Weiter. Eine Validierungsprüfung wird ausgeführt. Nach Abschluss werden die Vorlagendetails angezeigt. |
| 6 |
Überprüfen Sie die Vorlagendetails, und klicken Sie dann auf Weiter. |
| 7 |
Wenn Sie aufgefordert werden, die Ressourcenkonfiguration auf der Seite Konfiguration auszuwählen, klicken Sie auf 4 CPU und dann auf Weiter. |
| 8 |
Klicken Sie auf der Seite Speicher auswählen auf Weiter , um das standardmäßige Festplattenformat und die VM-Speicherrichtlinie zu akzeptieren. |
| 9 |
Wählen Sie auf der Seite Netzwerke auswählen die Netzwerkoption aus der Liste der Einträge aus, um die gewünschte Konnektivität für die VM bereitzustellen. |
| 10 |
Konfigurieren Sie auf der Seite Vorlage anpassen die folgenden Netzwerkeinstellungen:
Wenn Sie dies vorziehen, können Sie die Konfiguration der Netzwerkeinstellungen überspringen und die Schritte unter Einrichten der Hybrid-Datensicherheit-VM befolgen, um die Einstellungen über die Knotenkonsole zu konfigurieren. Die Option zum Konfigurieren der Netzwerkeinstellungen während der OVA-Bereitstellung wurde mit ESXi 7.0 getestet. In früheren Versionen ist diese Option möglicherweise nicht verfügbar. |
| 11 |
Klicken Sie mit der rechten Maustaste auf die Knoten-VM, und wählen Sie . Die Hybrid-Datensicherheitssoftware wird als Gast auf dem VM-Host installiert. Sie können sich jetzt bei der Konsole anmelden und den Knoten konfigurieren. Leitfaden zur Fehlerbehebung Es kann zu einer Verzögerung von einigen Minuten kommen, bis die Knotencontainer angezeigt werden. Beim erstmaligen Start wird eine Bridge-Firewall-Nachricht angezeigt, während der Sie sich anmelden können. |
Einrichten der Hybrid-Datensicherheits-VM
Mit diesem Verfahren können Sie sich zum ersten Mal bei der VM-Konsole des Hybrid-Datensicherheitsknotens anmelden und die Anmeldeinformationen festlegen. Sie können auch die Konsole verwenden, um die Netzwerkeinstellungen für den Knoten zu konfigurieren, falls Sie diese bei der OVA-Bereitstellung nicht konfiguriert haben.
| 1 |
Wählen Sie im VMware vSphere-Client, Ihre Hybrid-Datensicherheitsknoten-VM und daraufhin die Registerkarte Console (Konsole) aus. Die VM fährt hoch und ein Anmeldebildschirm erscheint. Drücken Sie die Eingabetaste, falls der Anmeldebildschirm nicht angezeigt wird.
|
| 2 |
Verwenden Sie den folgenden Standard-Anmeldenamen und das Standardkennwort, um sich anzumelden und die Anmeldedaten zu ändern: Da Sie sich zum ersten Mal bei der VM anmelden, müssen Sie das Administratorkennwort ändern. |
| 3 |
Wenn Sie die Netzwerkeinstellungen bereits unter Installieren der HDS-Host-OVA konfiguriert haben, überspringen Sie den Rest dieses Verfahrens. Wählen Sie andernfalls im Hauptmenü die Option Konfiguration bearbeiten aus. |
| 4 |
Richten Sie eine statische Konfiguration ein und geben Sie die Daten für IP-Adresse, Maske, Gateway und DNS ein. Ihr Knoten hat jetzt eine interne IP-Adresse und einen DNS-Namen. DHCP wird nicht unterstützt. |
| 5 |
(Optional) Ändern Sie die Werte für Hostname, Domäne oder NTP-Server, wenn dies gemäß Ihren Netzwerkrichtlinien erforderlich ist. Sie müssen die Domäne nicht auf die Domäne ändern, über die Sie das X.509-Zertifikat erhalten haben. |
| 6 |
Speichern Sie die Netzwerkkonfiguration und starten Sie die VM neu, damit die Änderungen in Kraft treten. |
Hochladen und Mounten der HDS-Konfigurations-ISO
Vorbereitungen
Da die ISO-Datei den Hauptschlüssel enthält, sollte sie nur auf Basis eines "Need-to-Know"-Basis zugänglich gemacht werden, für den Zugriff durch die Hybrid Data Security-VMs und alle Administratoren, die möglicherweise Änderungen vornehmen müssen. Stellen Sie sicher, dass nur diese Administratoren Zugriff auf den Datenspeicher haben.
| 1 |
Laden Sie die ISO-Datei von Ihrem Computer hoch: |
| 2 |
Mounten Sie die ISO-Datei: |
Nächste Schritte
Wenn Ihre IT-Richtlinie dies erfordert, können Sie optional die ISO-Datei unmounten, nachdem alle Knoten die Konfigurationsänderungen übernommen haben. Weitere Informationen finden Sie unter (Optional) ISO nach HDS-Konfiguration unmounten .
Konfigurieren des HDS Knotens für Proxyintegration
Wenn die Netzwerkumgebung einen Proxy erfordert, geben Sie mit diesem Vorgang den Typ des Proxy an, den Sie in die Hybriddatensicherheit integrieren möchten. Wenn Sie einen transparenten Anrufproxy oder einen HTTPS expliziten Proxy wählen, können Sie die Stammzertifikat über die Schnittstelle des Knotens hochladen und installiert werden. Sie können auch die Proxyverbindung über die Schnittstelle überprüfen und mögliche Probleme beheben.
Vorbereitungen
-
Eine Übersicht der unterstützten Proxy-Optionen finden Sie unter Proxy-Unterstützung .
| 1 |
Geben Sie den HDS Knoten Setup URL |
| 2 |
Gehen Sie zu Trust Store & Proxyund wählen Sie dann eine Option:
Befolgen Sie die nächsten Schritte für einen transparenten Inspektionsproxy, einen HTTP expliziten Proxy mit Basisauthentifizierung oder einen HTTPS expliziten Proxy |
| 3 |
Klicken Sie auf ein Zertifikat für das Stammzertifikat oder Endnutzerzertifikat hochladen, und navigieren Sie dann zu einer Stammzertifikat für den Proxy. Das Zertifikat ist hochgeladen, aber noch nicht installiert, da Sie den Knoten neu starten müssen, um das Zertifikat zu installieren. Klicken Sie auf den Chevron Pfeil unter dem Namen des Zertifikats, um weitere Details zu erhalten, oder klicken Sie auf löschen, Wenn Sie Fehler gemacht haben und die Datei erneut hochladen möchten. |
| 4 |
Klicken Sie auf Stellvertreterverbindung prüfen , um die Netzwerkverbindung zwischen dem Knoten und dem Proxy zu testen. Wenn der Verbindungstest ausfällt, wird eine Fehlermeldung angezeigt, die den Grund und die Frage, wie Sie das Problem beheben können, anzeigt. Wenn Sie eine Meldung sehen, dass eine externe DNS nicht erfolgreich war, konnte der Knoten den DNS-Server nicht erreichen. Diese Bedingung wird in vielen expliziten Proxykonfigurationen erwartet. Sie können mit dem Setup fortfahren, und der Knoten wird im gesperrten externen DNS-Server funktionieren. Wenn Sie glauben, dass es sich um einen Fehler handelt, führen Sie die folgenden Schritte aus. Siehe Modus für blockierte externe DNS-Auflösung deaktivieren. |
| 5 |
Nach dem Durchführen des Verbindungstests, für expliziten Proxy, der nur auf HTTPS gesetzt ist, aktivieren Sie die Option so schalten Sie alle Port 443/444 https Anfragen aus diesem Knoten durch den expliziten Proxy Diese Einstellung benötigt 15 Sekunden, um wirksam zu werden. |
| 6 |
Klicken Sie auf alle-Zertifizierungsstellen in den Trust Store installieren (erscheint für einen HTTPS expliziten Proxy oder einen transparenten Inspektionskrimi) oder Neustart (erscheint für einen HTTP expliziten Proxy), lesen Sie die Aufforderung, und klicken Sie dann auf in Der Knoten startet innerhalb weniger Minuten. |
| 7 |
Nachdem der Knoten erneut gestartet wurde, melden Sie sich bei Bedarf erneut an, und öffnen Sie dann die Übersichtsseite, um die Verbindungsüberprüfungen zu überprüfen, um sicherzustellen, dass Sie alle im grünen Status sind. Die Proxyverbindung prüft nur eine Unterdomäne von WebEx.com. Wenn es Verbindungsprobleme gibt, ist ein häufiges Problem, dass einige der in den instructions aufgeführten-C-Domänen beim Proxy gesperrt werden. |
Ersten Knoten im Cluster registrieren
Bei der Registrierung Ihres ersten Knotens erstellen Sie ein Cluster, zu dem der Knoten zugewiesen wird. Ein Cluster umfasst einen oder mehrere Knoten, die aus Redundanzgründen bereitgestellt werden.
Vorbereitungen
-
Sie müssen die Registrierung eines Knotens nach dem Beginn innerhalb von 60 Minuten abschließen, andernfalls müssen Sie erneut beginnen.
-
Stellen Sie sicher, dass alle Popupblocker in Ihrem Browser deaktiviert sind oder dass Sie eine Ausnahme für admin.webex.com zulassen.
| 1 |
Melden Sie sich bei https://admin.webex.com an. |
| 2 |
Wählen Sie im Menü auf der linken Seite die Option Dienste aus. |
| 3 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach der Karte „Hybrid-Datensicherheit“, und klicken Sie auf Einrichten. |
| 4 |
Klicken Sie auf der sich öffnenden Seite auf Ressource hinzufügen. |
| 5 |
Geben Sie im ersten Feld der Karte Knoten hinzufügen einen Namen für das Cluster ein, dem Sie Ihren Hybrid-Datensicherheitsknoten zuweisen möchten. Benennen Sie Ihre Cluster nach Möglichkeit nach dem geografischen Standort der Clusterknoten. Beispiele: „San Francisco“ oder „New York“ oder „Dallas“ |
| 6 |
Geben Sie im zweiten Feld die interne IP-Adresse oder den vollqualifizierten Domänennamen (FQDN) Ihres Knotens ein und klicken Sie unten auf dem Bildschirm auf Hinzufügen . Diese IP-Adresse oder FQDN sollte mit der IP-Adresse oder dem Hostnamen und der Domäne übereinstimmen, die Sie beim Einrichten der Hybrid-Datensicherheit-VM verwendet haben. Es wird eine Meldung angezeigt, dass Sie Ihren Knoten in Webex registrieren können.
|
| 7 |
Klicken Sie auf Go to Node (Zum Knoten wechseln). Nach einigen Augenblicken werden Sie zu den Knoten-Konnektivitätstests für Webex-Dienste umgeleitet. Sind alle Tests erfolgreich, wird die Seite „Allow Access to Hybrid Data Security Node“ (Zugriff zu Hybrid-Datensicherheits-Knoten gewähren) angezeigt. Bestätigen Sie dort, dass Sie Ihrer Webex-Organisation die Zugriffsberechtigungen für Ihren Knoten erteilen möchten. |
| 8 |
Aktivieren Sie das Kontrollkästchen Allow Access to Your Hybrid Data Security Node (Zugriff zu Ihrem Hybrid-Datensicherheits-Knoten gewähren) und klicken Sie anschließend auf Continue (Weiter). Ihr Konto wird validiert, und die Meldung „Registrierung abgeschlossen“ zeigt an, dass Ihr Knoten jetzt in der Webex Cloud registriert ist.
|
| 9 |
Klicken Sie auf den Link oder schließen Sie die Registerkarte, um zur Partner Hub-Hybrid-Datensicherheitsseite zurückzukehren. Auf der Seite Hybrid-Datensicherheit wird das neue Cluster mit dem registrierten Knoten auf der Registerkarte Ressourcen angezeigt. Der Knoten lädt die aktuelle Software automatisch aus der Cloud herunter.
|
Weitere Knoten erstellen und registrieren
Vorbereitungen
-
Sie müssen die Registrierung eines Knotens nach dem Beginn innerhalb von 60 Minuten abschließen, andernfalls müssen Sie erneut beginnen.
-
Stellen Sie sicher, dass alle Popupblocker in Ihrem Browser deaktiviert sind oder dass Sie eine Ausnahme für admin.webex.com zulassen.
| 1 |
Erstellen Sie eine neue virtuelle Maschine über die OVA und wiederholen Sie die Schritte unter Installieren der HDS-Host-OVA. |
| 2 |
Richten Sie die Erstkonfiguration für die neue VM ein. Wiederholen Sie die Schritte unter Einrichten der Hybrid-Datensicherheit-VM. |
| 3 |
Wiederholen Sie auf der neuen VM die Schritte unter HDS-Konfigurations-ISO hochladen und mounten. |
| 4 |
Wenn Sie einen Proxy für Ihre Bereitstellung einrichten, wiederholen Sie die Schritte unter Konfigurieren des HDS-Knotens für die Proxy-Integration nach Bedarf für den neuen Knoten. |
| 5 |
Registrieren Sie den Knoten. |
Mandantenorganisationen für Multi-Tenant-Hybrid-Datensicherheit verwalten
Multi-Tenant HDS in Partner Hub aktivieren
Diese Aufgabe stellt sicher, dass alle Benutzer der Kundenorganisationen HDS für lokale Verschlüsselungsschlüssel und andere Sicherheitsdienste nutzen können.
Vorbereitungen
Stellen Sie sicher, dass Sie die Einrichtung Ihres Multi-Tenant-HDS-Clusters mit der erforderlichen Anzahl an Knoten abgeschlossen haben.
| 1 |
Melden Sie sich bei https://admin.webex.com an. |
| 2 |
Wählen Sie im Menü auf der linken Seite die Option Dienste aus. |
| 3 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach „Hybrid-Datensicherheit“ und klicken Sie auf Einstellungen bearbeiten. |
| 4 |
Klicken Sie auf der Karte HDS-Status auf HDS-Aktivierung . |
Mandantenorganisationen in Partner Hub hinzufügen
Weisen Sie bei dieser Aufgabe Kundenorganisationen Ihrem Hybrid-Datensicherheitscluster zu.
| 1 |
Melden Sie sich bei https://admin.webex.com an. |
| 2 |
Wählen Sie im Menü auf der linken Seite die Option Dienste aus. |
| 3 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach Hybrid-Datensicherheit und klicken Sie auf Alle anzeigen. |
| 4 |
Klicken Sie auf den Cluster, dem ein Kunde zugewiesen werden soll. |
| 5 |
Wechseln Sie zur Registerkarte Zugewiesene Kunden . |
| 6 |
Klicken Sie auf Kunden hinzufügen. |
| 7 |
Wählen Sie im Dropdown-Menü den Kunden aus, den Sie hinzufügen möchten. |
| 8 |
Klicken Sie auf Hinzufügen. Der Kunde wird dem Cluster hinzugefügt. |
| 9 |
Wiederholen Sie die Schritte 6 bis 8, um mehrere Kunden zu Ihrem Cluster hinzuzufügen. |
| 10 |
Klicken Sie auf Fertig am unteren Bildschirmrand, nachdem Sie die Kunden hinzugefügt haben. |
Nächste Schritte
Kundenhauptschlüssel (Customer Main Keys, CMKs) mit dem HDS Setup-Tool erstellen
Vorbereitungen
Weisen Sie Kunden dem entsprechenden Cluster zu, wie unter Mandantenorganisationen in Partner Hub hinzufügen beschrieben. Führen Sie das HDS Setup-Tool aus, um den Einrichtungsprozess für die neu hinzugefügten Kundenorganisationen abzuschließen.
-
Das HDS Setup Tool wird als Docker Container auf einem lokalen Computer ausgeführt. Um darauf zu zugreifen, führen Sie Docker auf diesem Computer aus. Der Einrichtungsprozess erfordert die Anmeldeinformationen eines Partner Hub-Kontos mit vollen Administratorrechten für Ihre Organisation.
Wenn das HDS Setup-Tool hinter einem Proxy in Ihrer Umgebung ausgeführt wird, geben Sie die Proxy-Einstellungen (Server, Port, Anmeldeinformationen) über die Docker-Umgebungsvariablen an, wenn Sie den Docker-Container in Schritt 5 aufrufen. Diese Tabelle enthält einige mögliche Umgebungsvariablen:
Beschreibung
Variable
HTTP-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORTHTTPS-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORT -
Die von Ihnen generierte ISO-Konfigurationsdatei enthält den Hauptschlüssel zur Verschlüsselung der PostgreSQL- oder Microsoft SQL Server-Datenbank. Sie benötigen die neueste Kopie dieser Datei, wenn Sie Konfigurationsänderungen wie die folgenden vornehmen:
-
Datenbank-Anmeldeinformationen
-
Zertifikats-Aktualisierungen
-
Änderungen an der Autorisierungsrichtlinie
-
-
Wenn Sie Datenbankverbindungen verschlüsseln möchten, richten Sie Ihre PostgreSQL- oder SQL Server-Bereitstellung für TLS ein.
Beim Einrichtungsprozess für die Hybrid-Datensicherheit wird eine ISO-Datei erstellt. Anschließend verwenden Sie die ISO, um Ihren Hybrid-Datensicherheitshost zu konfigurieren.
| 1 |
Geben Sie in der Befehlszeile Ihres Computers den entsprechenden Befehl für Ihre Umgebung ein: In regulären Umgebungen: In FedRAMP-Umgebungen: Mit diesem Schritt werden die Bilder vorheriger HDS-Setup-Tools bereinigt. Wenn keine vorherigen Bilder angezeigt werden, erhalten Sie eine Fehlermeldung, die Sie ignorieren können. |
| 2 |
Um sich bei der Docker-Image-Registrierung anmelden zu können, geben Sie Folgendes ein: |
| 3 |
Geben Sie in der Passwortaufforderung diese Hash-Eingabe ein: |
| 4 |
Laden Sie das aktuellste stabile Bild für Ihre Umgebung herunter: In regulären Umgebungen: In FedRAMP-Umgebungen: |
| 5 |
Geben Sie nach Abschluss des Pull-Befehls den entsprechenden Befehl für Ihre Umgebung ein:
Wenn der Container ausgeführt wird, wird "Express server listening on port 8080" (Express-Server hören auf Port 8080) sehen. |
| 6 |
Das Setup-Tool unterstützt die Verbindung zu localhost über http://localhost:8080 nicht. Verwenden Sie http://127.0.0.1:8080 , um eine Verbindung zum Localhost herzustellen. Navigieren Sie in einem Webbrowser zum Localhost, Das Tool verwendet diesen ersten Eintrag des Benutzernamens, um die richtige Umgebung für dieses Konto festzulegen. Das Tool zeigt dann die Standard-Anmeldeaufforderung an. |
| 7 |
Wenn Sie dazu aufgefordert werden, geben Sie Ihre Partner Hub-Administratoranmeldeinformationen ein und klicken Sie dann auf Anmelden , um den Zugriff auf die für die Hybrid-Datensicherheit erforderlichen Dienste zu erlauben. |
| 8 |
Klicken Sie auf der Übersichtsseite des Setup Tool auf Get Started (Erste Schritte). |
| 9 |
Klicken Sie auf der Seite ISO-Import auf Ja. |
| 10 |
Wählen Sie Ihre ISO-Datei im Browser aus und laden Sie sie hoch. Stellen Sie sicher, dass die Verbindung zu Ihrer Datenbank hergestellt wird, um eine CMK-Verwaltung durchzuführen. |
| 11 |
Gehen Sie zur Registerkarte Mandanten-CMK-Verwaltung , auf der Sie die folgenden drei Möglichkeiten zur Verwaltung von Mandanten-CMKs finden.
|
| 12 |
Sobald die CMK-Erstellung erfolgreich war, ändert sich der Status in der Tabelle von CMK-Verwaltung ausstehend zu CMK-Verwaltung. |
| 13 |
Wenn die CMK-Erstellung nicht erfolgreich war, wird ein Fehler angezeigt. |
Mandantenorganisationen entfernen
Vorbereitungen
Nach dem Entfernen können Benutzer von Kundenorganisationen HDS nicht mehr für ihre Verschlüsselungsanforderungen nutzen und verlieren alle vorhandenen Bereiche. Wenden Sie sich an Ihren Cisco-Partner oder Ihren Account Manager, bevor Sie Kundenorganisationen entfernen.
| 1 |
Melden Sie sich bei https://admin.webex.com an. |
| 2 |
Wählen Sie im Menü auf der linken Seite die Option Dienste aus. |
| 3 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach Hybrid-Datensicherheit und klicken Sie auf Alle anzeigen. |
| 4 |
Klicken Sie auf der Registerkarte Ressourcen auf den Cluster, aus dem Sie Kundenorganisationen entfernen möchten. |
| 5 |
Klicken Sie auf der sich öffnenden Seite auf Zugewiesene Kunden. |
| 6 |
Klicken Sie in der angezeigten Liste der Kundenorganisationen auf ... auf der rechten Seite der Kundenorganisation, die Sie entfernen möchten, und klicken Sie auf Aus Cluster entfernen. |
Nächste Schritte
Schließen Sie den Löschvorgang ab, indem Sie die CMKs der Kundenorganisationen sperren, wie unter CMKs von Tenants, die aus HDS entfernt wurden, beschrieben.
Widerrufen Sie die CMKs von Mandanten, die aus HDS entfernt wurden.
Vorbereitungen
Entfernen Sie Kunden aus dem entsprechenden Cluster, wie unter Mandantenorganisationen entfernen beschrieben. Führen Sie das HDS Setup-Tool aus, um den Entfernungsprozess für die Kundenorganisationen abzuschließen, die entfernt wurden.
-
Das HDS Setup Tool wird als Docker Container auf einem lokalen Computer ausgeführt. Um darauf zu zugreifen, führen Sie Docker auf diesem Computer aus. Der Einrichtungsprozess erfordert die Anmeldeinformationen eines Partner Hub-Kontos mit vollen Administratorrechten für Ihre Organisation.
Wenn das HDS Setup-Tool hinter einem Proxy in Ihrer Umgebung ausgeführt wird, geben Sie die Proxy-Einstellungen (Server, Port, Anmeldeinformationen) über die Docker-Umgebungsvariablen an, wenn Sie den Docker-Container in Schritt 5 aufrufen. Diese Tabelle enthält einige mögliche Umgebungsvariablen:
Beschreibung
Variable
HTTP-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORTHTTPS-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORT -
Die von Ihnen generierte ISO-Konfigurationsdatei enthält den Hauptschlüssel zur Verschlüsselung der PostgreSQL- oder Microsoft SQL Server-Datenbank. Sie benötigen die neueste Kopie dieser Datei, wenn Sie Konfigurationsänderungen wie die folgenden vornehmen:
-
Datenbank-Anmeldeinformationen
-
Zertifikats-Aktualisierungen
-
Änderungen an der Autorisierungsrichtlinie
-
-
Wenn Sie Datenbankverbindungen verschlüsseln möchten, richten Sie Ihre PostgreSQL- oder SQL Server-Bereitstellung für TLS ein.
Beim Einrichtungsprozess für die Hybrid-Datensicherheit wird eine ISO-Datei erstellt. Anschließend verwenden Sie die ISO, um Ihren Hybrid-Datensicherheitshost zu konfigurieren.
| 1 |
Geben Sie in der Befehlszeile Ihres Computers den entsprechenden Befehl für Ihre Umgebung ein: In regulären Umgebungen: In FedRAMP-Umgebungen: Mit diesem Schritt werden die Bilder vorheriger HDS-Setup-Tools bereinigt. Wenn keine vorherigen Bilder angezeigt werden, erhalten Sie eine Fehlermeldung, die Sie ignorieren können. |
| 2 |
Um sich bei der Docker-Image-Registrierung anmelden zu können, geben Sie Folgendes ein: |
| 3 |
Geben Sie in der Passwortaufforderung diese Hash-Eingabe ein: |
| 4 |
Laden Sie das aktuellste stabile Bild für Ihre Umgebung herunter: In regulären Umgebungen: In FedRAMP-Umgebungen: |
| 5 |
Geben Sie nach Abschluss des Pull-Befehls den entsprechenden Befehl für Ihre Umgebung ein:
Wenn der Container ausgeführt wird, wird "Express server listening on port 8080" (Express-Server hören auf Port 8080) sehen. |
| 6 |
Das Setup-Tool unterstützt die Verbindung zu localhost über http://localhost:8080 nicht. Verwenden Sie http://127.0.0.1:8080 , um eine Verbindung zum Localhost herzustellen. Navigieren Sie in einem Webbrowser zum Localhost, Das Tool verwendet diesen ersten Eintrag des Benutzernamens, um die richtige Umgebung für dieses Konto festzulegen. Das Tool zeigt dann die Standard-Anmeldeaufforderung an. |
| 7 |
Wenn Sie dazu aufgefordert werden, geben Sie Ihre Partner Hub-Administratoranmeldeinformationen ein und klicken Sie dann auf Anmelden , um den Zugriff auf die für die Hybrid-Datensicherheit erforderlichen Dienste zu erlauben. |
| 8 |
Klicken Sie auf der Übersichtsseite des Setup Tool auf Get Started (Erste Schritte). |
| 9 |
Klicken Sie auf der Seite ISO-Import auf Ja. |
| 10 |
Wählen Sie Ihre ISO-Datei im Browser aus und laden Sie sie hoch. |
| 11 |
Gehen Sie zur Registerkarte Mandanten-CMK-Verwaltung , auf der Sie die folgenden drei Möglichkeiten zur Verwaltung von Mandanten-CMKs finden.
|
| 12 |
Sobald die CMK-Sperrung erfolgreich ist, wird die Kundenorganisation nicht mehr in der Tabelle angezeigt. |
| 13 |
Wenn die CMK-Sperrung nicht erfolgreich ist, wird ein Fehler angezeigt. |
Testen Ihrer Hybrid-Datensicherheitsbereitstellung
Testen Ihrer Bereitstellung für die Hybrid-Datensicherheit
Vorbereitungen
-
Richten Sie die Multi-Tenant-Hybrid-Datensicherheitsbereitstellung ein.
-
Stellen Sie sicher, dass Sie auf das Syslog zugreifen können, um zu überprüfen, ob wichtige Anforderungen an Ihre Multi-Tenant-Hybrid-Datensicherheitsbereitstellung weitergeleitet werden.
| 1 |
Schlüssel für einen bestimmten Bereich werden vom Ersteller des Bereichs festgelegt. Melden Sie sich bei der Webex-App als einer der Benutzer der Kundenorganisation an und erstellen Sie einen Bereich. Wenn Sie die Hybrid-Datensicherheitsbereitstellung deaktivieren, sind Inhalte in von Benutzern erstellten Bereichen nicht mehr verfügbar, nachdem die im Client zwischengespeicherten Kopien der Verschlüsselungscodes ersetzt wurden. |
| 2 |
Senden Sie Nachrichten an den neuen Bereich. |
| 3 |
Überprüfen Sie die Syslog-Ausgabe, um sicherzustellen, dass die Schlüsselanforderungen an Ihre Hybrid-Datensicherheitsbereitstellung weitergeleitet werden. |
Überwachen des Status der Hybrid-Datensicherheit
| 1 |
Wählen Sie in Partner Hub im Menü auf der linken Seite des Bildschirms die Option Dienste aus. |
| 2 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach „Hybrid-Datensicherheit“ und klicken Sie auf Einstellungen bearbeiten. Die Seite „Hybrid Data Security Settings“ (Einstellungen für Hybrid-Datensicherheit) wird angezeigt.
|
| 3 |
Geben Sie im Abschnitt zu E-Mail-Benachrichtigungen eine oder mehrere Adressen durch Komma getrennt ein und drücken Sie Enter. |
HDS-Bereitstellung verwalten
Verwalten der HDS-Bereitstellung
Verwenden Sie die hier beschriebenen Aufgaben, um Ihre Hybrid-Datensicherheitsbereitstellung zu verwalten.
Festlegen des Upgrade-Zeitplans für Cluster
So legen Sie den Upgrade-Zeitplan fest:
| 1 |
Melden Sie sich bei Partner Hub an. |
| 2 |
Wählen Sie im Menü auf der linken Seite die Option Dienste aus. |
| 3 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach „Hybrid-Datensicherheit“ und klicken Sie auf Einrichten. |
| 4 |
Wählen Sie auf der Seite „Hybrid-Datensicherheitsressourcen“ den Cluster aus. |
| 5 |
Klicken Sie auf die Registerkarte Cluster-Einstellungen . |
| 6 |
Wählen Sie auf der Seite „Cluster-Einstellungen“ unter „Upgrade-Zeitplan“ die Uhrzeit und die Zeitzone für den Upgrade-Zeitplan aus. Hinweis: Unter der Zeitzone wird der nächste verfügbare Zeitpunkt für ein Upgrade angezeigt. Sie können das Upgrade bei Bedarf auf den folgenden Tag verschieben, indem Sie auf Um 24 Stunden verschieben klicken. |
Ändern der Knotenkonfiguration
-
Änderung der x.509-Zertifikate aufgrund Ablaufs oder anderer Gründe.
Wir unterstützen keine Änderung des CN-Domänennamens eines Zertifikats. Die Domäne muss mit der Originaldomäne übereinstimmen, die zur Registrierung des Clusters verwendet wurde.
-
Datenbankeinstellungen werden aktualisiert, um auf eine Replik der PostgreSQL- oder Microsoft SQL Server-Datenbank zu wechseln.
Wir unterstützen keine Migration von Daten von PostgreSQL zu Microsoft SQL Server oder auf den entgegengesetzten Weg. Um die Datenbankumgebung zu wechseln, starten Sie eine neue Bereitstellung von Hybrid Data Security.
-
Erstellen einer neuen Konfiguration, um ein neues Datenzentrum vorzubereiten.
Aus Sicherheitsgründen verwendet Hybrid Data Security Dienstkonto-Passwörter mit einer Laufzeit von neun Monaten. Nachdem das HDS Setup Tool diese Passwörter generiert hat, stellen Sie sie für jeden Ihrer HDS-Knoten in der ISO-Konfigurationsdatei bereit. Wenn die Kennwörter Ihrer Organisation fast ablaufen, erhalten Sie eine Benachrichtigung vom Webex-Team, mit der Sie das Passwort für Ihr Computerkonto zurücksetzen können. (Die E-Mail enthält den Text "Verwenden Sie die Maschinenkonto-API, um das Passwort zu aktualisieren"). Wenn Ihre Passwörter noch nicht abgelaufen sind, bietet Ihnen das Tool zwei Optionen:
-
Weiches Zurücksetzen – Das alte und das neue Kennwort können beide bis zu 10 Tage lang verwendet werden. Verwenden Sie diesen Zeitraum, um die ISO-Datei der Knoten schrittweise zu ersetzen.
-
Harte Zurücksetzung: Die alten Passwörter funktionieren sofort nicht mehr.
Wenn Ihre Passwörter ohne Zurücksetzen ablaufen, wirkt sich dies auf Ihren HDS-Dienst aus, was ein sofortiges Zurücksetzen und Ersetzen der ISO-Datei auf allen Knoten erfordert.
Verwenden Sie dieses Verfahren, um eine neue ISO-Konfigurationsdatei zu generieren und auf Ihren Cluster anzuwenden.
Vorbereitungen
-
Das HDS Setup Tool wird als Docker Container auf einem lokalen Computer ausgeführt. Um darauf zu zugreifen, führen Sie Docker auf diesem Computer aus. Der Einrichtungsprozess erfordert die Anmeldeinformationen eines Partner Hub-Kontos mit vollen Partneradministratorrechten.
Wenn das HDS Setup-Tool hinter einem Proxy in Ihrer Umgebung ausgeführt wird, geben Sie die Proxy-Einstellungen (Server, Port, Anmeldeinformationen) über die Docker-Umgebungsvariablen an, wenn Sie den Docker Container in 1.e aufrufen. Diese Tabelle enthält einige mögliche Umgebungsvariablen:
Beschreibung
Variable
HTTP-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORTHTTPS-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORT -
Um eine neue Konfiguration zu erstellen, benötigen Sie eine Kopie der aktuellen ISO-Konfigurationsdatei. Die ISO enthält den Masterschlüssel zur Verschlüsselung der PostgreSQL- oder Microsoft SQL Server-Datenbank. Sie benötigen die ISO-Datei, wenn Sie Konfigurationsänderungen vornehmen, wie z. B. Datenbank-Anmeldeinformationen, Zertifikataktualisierungen oder Änderungen an der Autorisierungsrichtlinie.
| 1 |
Führen Sie auf einem lokalen Computer, auf dem Docker läuft, das HDS Setup Tool aus. |
| 2 |
Wenn Sie nur einen HDS-Knoten ausführen, erstellen Sie eine neue VM für den Hybrid-Datensicherheitsknoten und registrieren Sie sie mithilfe der neuen ISO-Konfigurationsdatei. Detaillierte Anweisungen finden Sie unter Weitere Knoten erstellen und registrieren. |
| 3 |
Mounten Sie bei vorhandenen HDS-Knoten, auf denen die ältere Konfigurationsdatei ausgeführt wird, die ISO-Datei. Führen Sie für jeden Knoten des Knotens folgende Schritte durch, indem Sie jeden Knoten aktualisieren, bevor Sie den nächsten Knoten deaktivieren: |
| 4 |
Wiederholen Sie Schritt 3, um bei jedem weiteren Knoten zu ersetzen, auf dem noch die alte Konfiguration ausgeführt wird, die Konfiguration zu ersetzen. |
Blockierte externe DNS Auflösungsmodus deaktivieren
Wenn Sie einen Knoten registrieren oder die Proxykonfiguration des Knotens überprüfen, testet das Verfahren die DNS und die Konnektivität der Cisco WebEx. Wenn der DNS-Server des Knotens öffentliche DNS nicht auflösen kann, geht der Knoten automatisch in den gesperrten externen DNS-Server.
Wenn Ihre Knoten öffentliche DNS über interne DNS-Server auflösen können, aktivieren Sie diesen Modus, indem Sie den Proxyverbindungstest für jeden Knoten deaktivieren.
Vorbereitungen
| 1 |
Öffnen Sie in einem Webbrowser die Schnittstelle für den Hybrid-Datensicherheitsknoten (IP-Adresse/Einrichtung, https://192.0.2.0/setup), geben Sie beispielsweise die für den Knoten eingerichteten Admin-Anmeldeinformationen ein, und klicken Sie dann auf Anmelden. |
| 2 |
Gehen Sie zu Übersicht (Standardseite). Wenn diese Option aktiviert ist, wird die externe DNS auf "Ja" gesetzt . |
| 3 |
Gehen Sie zur Seite Vertrauensspeicher und Proxy . |
| 4 |
Klicken Sie auf Stellvertreterverbindung prüfen. Wenn Sie eine Meldung sehen, dass eine externe DNS nicht erfolgreich war, konnte der Knoten den DNS-Server nicht erreichen und wird in diesem Modus verbleiben. Andernfalls sollte nach dem Neustart des Knotens und der Rückfahrt zur Übersichtsseite die gesperrte externe DNS auf "Nein" gesetzt werden. |
Nächste Schritte
Entfernen eines Knotens
| 1 |
Melden Sie sich über den VMware vSphere-Client auf Ihrem Computer bei dem ESXi virtuellen Host an und schalten Sie die virtuelle Maschine aus. |
| 2 |
Entfernen des Knotens: |
| 3 |
Löschen Sie die VM im vSphere-Client. (Klicken Sie im linken Navigationsbereich mit der rechten Maustaste auf die VM, und klicken Sie auf Löschen.) Wenn Sie die VM nicht löschen, denken Sie daran, die Konfigurations-ISO-Datei zu deinstallieren. Ohne die ISO-Datei können Sie die VM nicht verwenden, um auf Ihre Sicherheitsdaten zuzugreifen. |
Notfallwiederherstellung mit Standby-Rechenzentrum
Der wichtigste Dienst, den Ihr Hybrid-Datensicherheitscluster bietet, ist die Erstellung und Speicherung von Schlüsseln, mit denen Nachrichten und andere in der Webex-Cloud gespeicherte Inhalte verschlüsselt werden. Für jeden Benutzer innerhalb der Organisation, der der Hybrid-Datensicherheit zugewiesen ist, werden neue Anforderungen zur Schlüsselerstellung an das Cluster weitergeleitet. Der Cluster ist zudem dafür verantwortlich, die erstellten Schlüssel an Benutzer zurückzusenden, die zum Abrufen von Schlüsseln berechtigt sind. Hierzu gehören beispielsweise Mitglieder eines Gesprächsraums.
Da der Cluster die wichtige Funktion erfüllt, diese Schlüssel bereitzustellen, ist es höchst wichtig, dass der Cluster in Betrieb bleibt und korrekte Backups erstellt werden. Der Verlust der Hybrid-Datensicherheitsdatenbank oder der für das Schema verwendeten Konfigurations-ISO führt zu einem NICHT BEHEBBAREN VERLUST von Kundeninhalten. Die folgenden Praktiken sind zwingend erforderlich, um einem derartigen Verlust vorzubeugen:
Wenn eine Katastrophe dazu führt, dass die HDS-Bereitstellung im primären Rechenzentrum nicht mehr verfügbar ist, führen Sie dieses Verfahren aus, um ein manuelles Failover auf das Standby-Rechenzentrum durchzuführen.
Vorbereitungen
| 1 |
Starten Sie das HDS-Setup-Tool und führen Sie die unter Erstellen einer Konfigurations-ISO für die HDS-Hosts beschriebenen Schritte aus. |
| 2 |
Schließen Sie den Konfigurationsprozess ab und speichern Sie die ISO-Datei an einem leicht auffindbaren Speicherort. |
| 3 |
Erstellen Sie eine Sicherungskopie der ISO-Datei auf Ihrem lokalen System. Sichern Sie die Sicherungskopie sicher. Die Datei enthält einen Master-Verschlüsselungsschlüssel für die Datenbankinhalte. Beschränken Sie den Zugriff auf Administratoren für Hybrid-Datensicherheit, die Konfigurationsänderungen vornehmen sollten. |
| 4 |
Rechtsklicken Sie im linken Navigationsbereich des VMware vSphere Client auf die VM. Klicken Sie daraufhin auf Edit Settings (Einstellungen bearbeiten). |
| 5 |
Klicken Sie auf Einstellungen bearbeiten >CD/DVD-Laufwerk 1 und wählen Sie Datenspeicher-ISO-Datei. Stellen Sie sicher, dass Verbunden und Verbinden beim Einschalten aktiviert sind, damit aktualisierte Konfigurationsänderungen nach dem Starten der Knoten wirksam werden können. |
| 6 |
Schalten Sie den HDS-Knoten ein und stellen Sie sicher, dass mindestens 15 Minuten lang keine Alarme vorhanden sind. |
| 7 |
Registrieren Sie den Knoten im Partner Hub. Weitere Informationen finden Sie unter Ersten Knoten im Cluster registrieren. |
| 8 |
Wiederholen Sie den Vorgang für jeden Knoten im Standby-Rechenzentrum. |
Nächste Schritte
(Optional) ISO nach HDS-Konfiguration aushängen
Die Standard-HDS-Konfiguration wird mit eingebauter ISO ausgeführt. Einige Kunden ziehen es jedoch vor, die ISO-Dateien nicht kontinuierlich eingebunden zu lassen. Sie können die ISO-Datei unmounten, nachdem alle HDS-Knoten die neue Konfiguration übernommen haben.
Sie verwenden weiterhin die ISO-Dateien, um Konfigurationsänderungen vorzunehmen. Wenn Sie eine neue ISO erstellen oder eine ISO über das Setup-Tool aktualisieren, müssen Sie die aktualisierte ISO auf allen HDS-Knoten mounten. Wenn alle Knoten die Konfigurationsänderungen übernommen haben, können Sie die ISO mit diesem Verfahren erneut deinstallieren.
Vorbereitungen
Aktualisieren Sie alle Ihre HDS-Knoten auf Version 2021.01.22.4720 oder höher.
| 1 |
Fahren Sie einen Ihrer HDS-Knoten herunter. |
| 2 |
Wählen Sie in der vCenter Server-Appliance den HDS-Knoten aus. |
| 3 |
Wählen Sie und deaktivieren Sie ISO-Datei für Datenspeicher. |
| 4 |
Schalten Sie den HDS-Knoten ein und stellen Sie sicher, dass mindestens 20 Minuten lang keine Alarme angezeigt werden. |
| 5 |
Wiederholen Sie dies für jeden HDS-Knoten der Reihe nach. |
Problembehandlung der Hybrid-Datensicherheit
Anzeigen von Warnungen und Beheben von Fehlern
Eine Hybrid-Datensicherheitsbereitstellung gilt als nicht verfügbar, wenn alle Knoten im Cluster nicht erreichbar sind oder der Cluster so langsam arbeitet, dass eine Zeitüberschreitung erforderlich ist. Wenn Benutzer Ihr Hybrid-Datensicherheitscluster nicht erreichen können, treten folgende Symptome auf:
-
Neue Bereiche können nicht erstellt werden (es konnten keine neuen Schlüssel erstellt werden)
-
Nachrichten- und Bereichstitel konnten für folgende Benutzer nicht entschlüsselt werden:
-
Neue zu einem Bereich hinzugefügte Benutzer (Schlüssel konnten nicht abgerufen werden)
-
Vorhandene Benutzer in einem Bereich, der einen neuen Client verwendet (Schlüssel konnten nicht abgerufen werden)
-
-
Vorhandene Benutzer in einem Bereich werden weiterhin erfolgreich ausgeführt, sofern ihre Clients über einen Cache für Verschlüsselungsschlüssel verfügen
Es ist wichtig, dass Sie Ihren Hybrid-Datensicherheitscluster ordnungsgemäß überwachen und alle Warnungen umgehend adressieren, um Dienstunterbrechungen zu vermeiden.
Warnungen
Wenn es ein Problem mit der Einrichtung der Hybrid-Datensicherheit gibt, zeigt Partner Hub Warnungen an den Administrator der Organisation an und sendet E-Mails an die konfigurierte E-Mail-Adresse. Die Warnungen betreffen viele gängige Szenarien.
|
Alarm |
Vorgang |
|---|---|
|
Fehler beim Zugriff auf die lokale Datenbank. |
Überprüfen Sie das System auf Datenbankfehler oder lokale Netzwerkprobleme. |
|
Fehler beim Herstellen einer Verbindung zur lokalen Datenbank. |
Vergewissern Sie sich, dass der Datenbankserver verfügbar ist und die richtigen Dienstkonto-Anmeldeinformationen in der Knotenkonfiguration verwendet wurden. |
|
Fehler beim Zugriff auf den Clouddienst. |
Überprüfen Sie, ob die Knoten auf die Webex-Server zugreifen können, wie unter Externe Verbindungsanforderungen angegeben. |
|
Registrierung des Clouddiensts wird erneuert. |
Registrierung von Clouddiensten wurde verworfen. Erneuerung der Registrierung wird durchgeführt. |
|
Registrierung des Clouddiensts wurde verworfen. |
Registrierung von Clouddiensten wurde beendet. Dienst wird beendet. |
|
Dienst noch nicht aktiviert. |
Aktivieren Sie HDS in Partner Hub. |
|
Konfigurierte Domäne stimmt nicht mit dem Serverzertifikat überein. |
Vergewissern Sie sich, dass das Serverzertifikat mit der konfigurierten Dienstaktivierungsdomäne übereinstimmt. Die wahrscheinlichste Ursache lautet, dass die Zertifikat-CN vor kurzem geändert wurde und nun von der CN abweicht, die während der ursprünglichen Einrichtung verwendet wurde. |
|
Clouddienste konnten nicht authentifiziert werden. |
Prüfen Sie die Daten auf korrekte Eingabe und einen möglichen Ablauf der Dienstkonto-Anmeldeinformationen. |
|
Lokale Schlüsselspeicherdatei konnte nicht geöffnet werden. |
Überprüfen Sie die lokale Schlüsselspeicherdatei auf Integrität und Kennwortgenauigkeit. |
|
Lokales Serverzertifikat ist ungültig. |
Überprüfen Sie das Ablaufdatum des Serverzertifikats und vergewissern Sie sich, dass es von einer vertrauenswürdigen Zertifizierungsstelle ausgestellt wurde. |
|
Metriken konnten nicht gepostet werden. |
Überprüfen Sie den Zugriff des lokalen Netzwerks auf externe Clouddienste. |
|
Das Verzeichnis /media/configdrive/hds ist nicht vorhanden. |
Überprüfen Sie die ISO-Mountkonfiguration auf dem virtuellen Host. Vergewissern Sie sich, dass die ISO-Datei vorhanden ist, die beim Neustart für das Mounten konfiguriert ist und das Mounten erfolgreich ausgeführt wird. |
|
Die Einrichtung der Mandanten-Organisation ist für die hinzugefügten Organisationen nicht abgeschlossen |
Schließen Sie die Einrichtung ab, indem Sie mit dem HDS Setup Tool CMKs für neu hinzugefügte Mandantenorganisationen erstellen. |
|
Die Einrichtung der Mandantenorganisation ist für die entfernten Organisationen nicht abgeschlossen |
Schließen Sie die Einrichtung ab, indem Sie die CMKs der Mandantenorganisationen, die mit dem HDS Setup Tool entfernt wurden, widerrufen. |
Problembehandlung der Hybrid-Datensicherheit
| 1 |
Prüfen Sie Partner Hub auf Warnungen und beheben Sie alle Elemente, die Sie dort finden. Weitere Informationen finden Sie im Bild unten. |
| 2 |
Überprüfen Sie die Syslog-Serverausgabe auf Aktivität aus der Hybrid-Datensicherheitsbereitstellung. Filtern Sie nach Wörtern wie „Warnung“ und „Fehler“, um bei der Fehlerbehebung zu helfen. |
| 3 |
Kontaktieren Sie den Cisco-Support. |
Sonstige Hinweise
Bekannte Probleme mit Hybrid-Datensicherheit
-
Wenn Sie Ihren Hybrid-Datensicherheitscluster herunterfahren (indem Sie ihn im Partner Hub löschen oder alle Knoten herunterfahren), Ihre Konfigurations-ISO-Datei verlieren oder den Zugriff auf die Keystore-Datenbank verlieren, können Webex-App-Benutzer von Kundenorganisationen keine Bereiche in ihrer Personenliste mehr verwenden, die mit Schlüsseln von Ihrem KMS erstellt wurden. Wir haben aktuell keine Problemumgehung oder Lösung für dieses Problem und empfehlen Ihnen dringend, Ihre HDS-Dienste nicht herunterzufahren, sobald sie aktive Benutzerkonten verarbeiten.
-
Ein Client, der über eine bestehende ECDH-Verbindung zu einem KMS verfügt, hält die Verbindung für einen Zeitraum aufrecht (ca. eine Stunde).
Generieren einer PKCS12-Datei mit OpenSSL
Vorbereitungen
-
OpenSSL ist eines der Tools, mit denen die PKCS12-Datei im richtigen Format für das Laden in das HDS-Setuptool erstellt werden kann. Es gibt auch andere Verfahren, keines davon wird von uns bevorzugt.
-
Wenn Sie sich für die Verwendung von OpenSSL entscheiden, stellen wir Ihnen dieses Verfahren als Richtlinie zur Verfügung, um eine Datei zu erstellen, die die X.509-Zertifikatsanforderungen in X.509-Zertifikatsanforderungen erfüllt. Machen Sie sich mit diesen Anforderungen vertraut, bevor Sie fortfahren.
-
Installieren Sie OpenSSL in einer unterstützten Umgebung. Software und Dokumentation finden Sie auf https://www.openssl.org.
-
Erstellen Sie einen privaten Schlüssel.
-
Beginnen Sie mit diesem Verfahren, wenn Sie das Serverzertifikat von Ihrer Zertifizierungsstelle (CA, Certificate Authority) erhalten.
| 1 |
Wenn Sie das Zertifikat von der CA erhalten, speichern Sie es als |
| 2 |
Zeigen Sie das Zertifikat als Text an, und überprüfen Sie die Details.
|
| 3 |
Erstellen Sie in einem Text-Editor eine Zertifikatpaketdatei namens
|
| 4 |
Erstellen Sie die P12-Datei mit dem Anzeigenamen
|
| 5 |
Überprüfen Sie die Zertifikatdetails. |
Nächste Schritte
Kehren Sie zurück zu Voraussetzungen für Hybrid-Datensicherheit erfüllen. Sie verwenden die Datei hdsnode.p12 und das Passwort, das Sie dafür festgelegt haben, unter Erstellen einer Konfigurations-ISO für die HDS-Hosts.
Sie können diese Dateien wiederverwenden, um ein neues Zertifikat anzufordern, wenn das ursprüngliche Zertifikat abläuft.
Datenverkehr zwischen den HDS-Knoten und der Cloud
Metriksammlung von ausgehendem Datenverkehr
Die Hybrid-Datensicherheitsknoten senden bestimmte Metriken an die Webex-Cloud. Dazu gehören Systemmetriken für max. Heap, verbrauchter Heap, CPU-Auslastung und Threadanzahl; Metriken zu synchronen und asynchronen Threads; Metriken zu Warnungen, darunter auch ein Schwellenwert der verschlüsselten Verbindungen, Latenz oder eine Anforderungswarteschlangenlänge; Metriken zum Datenspeicher; und Metriken zu verschlüsselten Verbindungen. Die Knoten senden verschlüsseltes Schlüsselmaterial über einen Out-of-Band-Kanal (separat von der Anforderung).
Eingehender Datenverkehr
Die Hybrid-Datensicherheitsknoten erhalten die folgenden Arten von eingehendem Datenverkehr von der Webex-Cloud:
-
Verschlüsselungsanforderungen von Clients, die vom Verschlüsselungsdienst umgeleitet werden
-
Upgrades für die Knoten-Software
Konfigurieren von Tintenfisch für die Hybriddatensicherheit
WebSocket kann nicht über SquID Proxy verbunden werden
Squid-Proxys, die den HTTPS-Datenverkehr prüfen, können die Einrichtung von Websocket-Verbindungen (wss:) beeinträchtigen, die für Hybrid Data Security erforderlich ist. Diese Abschnitte geben Anweisungen, wie Sie verschiedene Versionen von Squid konfigurieren, um WSS zu ignorieren: Datenverkehr für den ordnungsgemäßen Ablauf der Services.
Squid 4 und 5
Fügen Sie die on_unsupported_protocol Richtlinie zu squid.conf hinzu:
on_unsupported_protocol Alle tunnelSquid 3.5.27
Wir haben die Hybriddatensicherheit erfolgreich mit den folgenden Regeln getestet, die zu squid .conf hinzugefügt wurden. Diese Regeln können sich geändert werden, da wir Funktionen entwickeln und die WebEx Cisco aktualisieren.
acl wssMercuryConnection ssl::server_name_regex mercury-connection ssl_bump splice wssMercuryConnection acl step1 at_step SslBump1 acl step2 at_step SslBump2 acl step3 at_step SslBump3 ssl_bump peek step1 alle ssl_bump stare step2 alle ssl_bump bump step3 alleNeue und geänderte Informationen
Neue und geänderte Informationen
In dieser Tabelle werden neue Funktionen, Änderungen an vorhandenen Inhalten und alle wichtigen Fehler beschrieben, die im Bereitstellungsleitfaden für Multi-Tenant-Hybrid-Datensicherheit behoben wurden.
|
Datum |
Vorgenommenen Änderungen |
|---|---|
|
15. Januar 2025 |
Einschränkungen der Multi-Tenant-Hybrid-Datensicherheit hinzugefügt. |
|
08. Januar 2025 |
In Erste Einrichtung durchführen und Installationsdateien herunterladen wurde ein Hinweis hinzugefügt, dass das Klicken auf Einrichten auf der HDS-Karte in Partner Hub ein wichtiger Schritt des Installationsprozesses ist. |
|
07. Januar 2025 |
Aktualisierte Anforderungen für virtuelle Gastgeber, Bereitstellungsaufgaben für Hybrid-Datensicherheit und Installieren der HDS-Host-OVA , um neue Anforderungen von ESXi 7.0 anzuzeigen. |
|
13. Dezember 2024 |
Erste Veröffentlichung. |
Multi-Tenant Hybrid-Datensicherheit deaktivieren
Multi-Tenant-HDS-Deaktivierungsaufgabenablauf
Führen Sie diese Schritte aus, um Multi-Tenant-HDS vollständig zu deaktivieren.
Vorbereitungen
| 1 |
Entfernen Sie alle Kunden aus allen Ihren Clustern, wie unter Mandantenorganisationen entfernen erwähnt. |
| 2 |
Widerrufen Sie die CMKs aller Kunden, wie unter CMKs von Tenants, die aus HDS entfernt wurden erwähnt. |
| 3 |
Entfernen Sie alle Knoten aus all Ihren Clustern, wie unter Einen Knoten entfernen erwähnt. |
| 4 |
Löschen Sie alle Ihre Cluster aus Partner Hub mithilfe einer der folgenden beiden Methoden.
|
| 5 |
Klicken Sie auf der Übersichtsseite zur Hybrid-Datensicherheit auf die Registerkarte Einstellungen und klicken Sie auf der HDS-Statuskarte auf HDS deaktivieren . |
Erste Schritte mit der Multi-Tenant-Hybrid-Datensicherheit
Multi-Tenant Hybrid-Datensicherheit – Übersicht
Vom ersten Tag an stand die Datensicherheit im Mittelpunkt der Entwicklung der Webex-App. Der Eckpfeiler dieser Sicherheit ist die durchgängige Verschlüsselung von Inhalten, die durch die Interaktion der Webex-App-Clients mit dem Schlüsselverwaltungsdienst (Key Management Service, KMS) ermöglicht wird. Der KMS erstellt und verwaltet die Kryptografieschlüssel, mit denen die Clients ihre Nachrichten und Dateien dynamisch ver- und entschlüsseln.
Standardmäßig erhalten alle Webex-App-Kunden eine durchgängige Verschlüsselung mit dynamischen Schlüsseln, die im Cloud-KMS im Sicherheitsbereich von Cisco gespeichert werden. Mit Hybrid Data Security werden KMS und andere Sicherheitsfunktionen in das Rechenzentrum Ihres Unternehmens verschoben, damit die Schlüssel zu ihren verschlüsselten Inhalten ausschließlich bei Ihnen liegen.
Multi-Tenant Hybrid Data Security ermöglicht es Unternehmen, HDS über einen vertrauenswürdigen lokalen Partner zu nutzen, der als Dienstleister fungieren und lokale Verschlüsselungs- und andere Sicherheitsdienste verwalten kann. Diese Einrichtung ermöglicht der Partnerorganisation die vollständige Kontrolle über die Bereitstellung und Verwaltung von Verschlüsselungscodes und stellt sicher, dass die Benutzerdaten von Kundenorganisationen vor externem Zugriff geschützt sind. Partnerorganisationen richten HDS-Instanzen ein und erstellen nach Bedarf HDS-Cluster. Im Gegensatz zu einer normalen HDS-Bereitstellung, die auf eine einzelne Organisation beschränkt ist, kann jede Instanz mehrere Kundenorganisationen unterstützen.
Dadurch können kleinere Organisationen auch HDS nutzen, da Schlüsselverwaltungsdienst und Sicherheitsinfrastruktur wie Rechenzentren im Besitz des vertrauenswürdigen lokalen Partners sind.
So bietet Multi-Tenant Hybrid Data Security Datensouveränität und Datenkontrolle
- Benutzergenerierte Inhalte sind wie Cloud-Dienstanbieter vor externem Zugriff geschützt.
- Vertrauenswürdige Partner vor Ort verwalten die Verschlüsselungscodes von Kunden, mit denen sie bereits eine bestehende Beziehung haben.
- Option für lokalen technischen Support, falls vom Partner bereitgestellt.
- Unterstützt Meeting-, Messaging- und Calling-Inhalte.
Dieses Dokument soll Partnerorganisationen bei der Einrichtung und Verwaltung von Kunden in einem Multi-Tenant-Hybrid-Datensicherheitssystem unterstützen.
Einschränkungen der Multi-Tenant-Hybrid-Datensicherheit
- Partnerorganisationen dürfen keine vorhandene HDS-Bereitstellung in Control Hub aktiv haben.
- Mandanten- oder Kundenorganisationen, die von einem Partner verwaltet werden möchten, dürfen keine vorhandene HDS-Bereitstellung in Control Hub haben.
- Sobald der Partner Multi-Tenant-HDS bereitgestellt hat, können alle Benutzer von Kundenorganisationen sowie Benutzer der Partnerorganisation Multi-Tenant-HDS für ihre Verschlüsselungsdienste nutzen.
Die von ihnen verwaltete Partnerorganisation und Kundenorganisationen werden sich in derselben Multi-Tenant-HDS-Bereitstellung befinden.
Die Partnerorganisation verwendet Cloud-KMS nicht mehr, nachdem Multi-Tenant-HDS bereitgestellt wurde.
- Es gibt keinen Mechanismus, um Schlüssel nach einer HDS-Bereitstellung wieder in das Cloud-KMS zu verschieben.
- Derzeit kann jede Multi-Tenant-HDS-Bereitstellung nur über einen Cluster mit mehreren Knoten verfügen.
- Administratorrollen haben bestimmte Einschränkungen. Weitere Informationen finden Sie im Abschnitt unten.
Rollen in der Multi-Tenant-Hybrid-Datensicherheit
- Partner-Volladministrator – Kann Einstellungen für alle Kunden verwalten, die der Partner verwaltet. Außerdem können Sie bereits vorhandenen Benutzern in der Organisation Administratorrollen zuweisen und bestimmte Kunden für die Verwaltung durch Partneradministratoren zuweisen.
- Partneradministrator – Kann Einstellungen für Kunden verwalten, die der Administrator bereitgestellt hat oder die dem Benutzer zugewiesen wurden.
- Volladministrator – Administrator der Partnerorganisation, der berechtigt ist, Aufgaben auszuführen, z. B. die Änderung von Organisationseinstellungen, die Verwaltung von Lizenzen und das Zuweisen von Rollen.
- Durchgängige Multi-Tenant-HDS-Einrichtung und -Verwaltung aller Kundenorganisationen – Partner-Volladministrator und Volle Administratorrechte erforderlich.
- Verwaltung zugewiesener Mandanten-Organisationen – Partneradministrator und volle Administratorrechte erforderlich.
Sicherheitsbereichsarchitektur
Die Webex-Cloud-Architektur unterteilt verschiedene Arten von Diensten in separate Bereiche oder Vertrauensdomänen, wie unten dargestellt.
Um die Hybrid-Datensicherheit besser zu verstehen, schauen wir uns zunächst diesen reinen Cloud-Fall an, bei dem Cisco alle Funktionen in seinen Cloud-Bereichen bereitstellt. Der Identitätsdienst, der einzige Ort, an dem Benutzer direkt mit ihren persönlichen Informationen in Verbindung gebracht werden können, wie z. B. die E-Mail-Adresse, ist logisch und physisch vom Sicherheitsbereich in Rechenzentrum B getrennt. Er ist wiederum von dem Bereich getrennt, in dem verschlüsselte Inhalte letztendlich gespeichert werden, in Rechenzentrum C.
In diesem Diagramm ist der Client die Webex-App, die auf dem Laptop eines Benutzers ausgeführt wird und sich mit dem Identitätsdienst authentifiziert hat. Wenn der Benutzer eine Nachricht verfasst, die er an einen Bereich senden möchte, finden folgende Schritte statt:
-
Der Client stellt eine sichere Verbindung zum Schlüsselverwaltungsdienst her, und fordert anschließend einen Schlüssel zum Verschlüsseln der Nachricht an. Die sichere Verbindung verwendet ECDH und der Schlüsselverwaltungsdienst verschlüsselt den Schlüssel mit einem AES-256-Hauptschlüssel.
-
Die Nachricht wird verschlüsselt, bevor sie den Client verlässt. Der Client sendet sie an den Indexdienst, der verschlüsselte Suchindizes erstellt, um zukünftige Suchvorgänge nach Inhalten zu unterstützen.
-
Die verschlüsselte Nachricht wird an den Compliancedienst gesendet, damit Complianceprüfungen vorgenommen werden können.
-
Die verschlüsselte Nachricht wird im Speicherbereich abgelegt.
Wenn Sie die Hybrid-Datensicherheit bereitstellen, verschieben Sie die Sicherheitsbereichsfunktionen (KMS, Indexierung und Compliance) in Ihr lokales Rechenzentrum. Die anderen Cloud-Dienste, aus denen Webex besteht (einschließlich Identitätsspeicher und Inhaltsspeicher), verbleiben in den Bereichen von Cisco.
Zusammenarbeit mit anderen Organisationen
Benutzer in Ihrer Organisation können die Webex-App regelmäßig verwenden, um mit externen Teilnehmern in anderen Organisationen zusammenzuarbeiten. Wenn einer Ihrer Benutzer einen Schlüssel für einen Bereich anfordert, der Ihrer Organisation gehört (da er von einem Ihrer Benutzer erstellt wurde) sendet Ihr Schlüsselverwaltungsdienst den Schlüssel über einen mit ECDH gesicherten Kanal an den Client. Wenn eine andere Organisation jedoch den Schlüssel für den Bereich besitzt, leitet Ihr KMS die Anforderung über einen separaten ECDH-Kanal an die Webex-Cloud weiter, um den Schlüssel vom entsprechenden KMS zu erhalten, und gibt den Schlüssel dann an Ihren Benutzer im ursprünglichen Kanal zurück.
Der KMS-Dienst, der unter Organisation A ausgeführt wird, überprüft die Verbindungen zu KMSs in anderen Organisationen mit x.509-PKI-Zertifikaten. Weitere Informationen zur Erzeugung eines x.509-Zertifikats für die Verwendung mit Ihrer Multi-Tenant-Hybrid-Datensicherheitsbereitstellung finden Sie unter Vorbereiten Ihrer Umgebung .
Erwartungen an die Bereitstellung der Hybrid-Datensicherheit
Eine Bereitstellung der Hybrid-Datensicherheit erfordert ein erhebliches Engagement und ein Bewusstsein für die Risiken, die mit dem Besitz von Verschlüsselungscodes einhergehen.
Zur Bereitstellung der Hybrid-Datensicherheit müssen Sie Folgendes bereitstellen:
-
Ein sicheres Rechenzentrum in einem Land, das ein unterstützter Standort für die Cisco Webex Teams-Pläne ist.
-
Geräte, Software und Netzwerkzugriff, die unter Vorbereiten Ihrer Umgebung beschrieben werden.
Der vollständige Verlust der Konfigurations-ISO, die Sie für Hybrid Data Security erstellen, oder der von Ihnen bereitgestellten Datenbank führt zum Verlust der Schlüssel. Der Schlüsselverlust verhindert, dass Benutzer Bereichsinhalte und andere verschlüsselte Daten in der Webex-App entschlüsseln. Falls dies geschieht, können Sie eine neue Bereitstellung erstellen, es werden dabei jedoch nur neue Inhalte angezeigt. Gehen Sie folgendermaßen vor, damit Sie nicht den Zugriff auf die Daten verlieren:
-
Verwalten Sie die Sicherung und Wiederherstellung der Datenbank und die ISO-Konfigurationsdatei.
-
Bereiten Sie sich darauf vor, eine schnelle Notfallwiederherstellung durchzuführen, wenn eine Katastrophe eintritt, z. B. ein Fehler der Datenbank oder ein Absturz des Rechenzentrums.
Es gibt keinen Mechanismus, um Schlüssel nach einer HDS-Bereitstellung zurück in die Cloud zu verschieben.
Übergeordneter Einrichtungsprozess
Dieses Dokument behandelt die Einrichtung und Verwaltung einer Multi-Tenant-Hybrid-Datensicherheitsbereitstellung:
-
Hybrid-Datensicherheit einrichten – Dazu gehört die Vorbereitung der erforderlichen Infrastruktur und die Installation der Hybrid-Datensicherheitssoftware, der Aufbau eines HDS-Clusters, das Hinzufügen von Tenant-Organisationen zum Cluster und die Verwaltung ihrer Customer Main Keys (CMKs). Damit können alle Benutzer Ihrer Kundenorganisationen Ihr Hybrid-Datensicherheitscluster für Sicherheitsfunktionen verwenden.
Die Einrichtungs-, Aktivierungs- und Verwaltungsphase werden in den nächsten drei Kapiteln ausführlich behandelt.
-
Aufrechterhaltung Ihrer Hybrid-Datensicherheitsbereitstellung – Die Webex-Cloud stellt automatisch laufende Upgrades bereit. Ihre IT-Abteilung kann Ebene-1-Support anbieten und bei Bedarf den Cisco-Support hinzuziehen. Sie können Benachrichtigungen auf dem Bildschirm verwenden und E-Mail-basierte Warnungen in Partner Hub einrichten.
-
Allgemeine Warnungen, Schritte zur Fehlerbehebung und bekannte Probleme verstehen: Wenn bei der Bereitstellung oder Verwendung von Hybrid-Datensicherheit Probleme auftreten, können Sie das letzte Kapitel dieses Leitfadens und der Anhang „Bekannte Probleme“ bei der Ermittlung und Behebung des Problems helfen.
Bereitstellungsmodell für die Hybrid-Datensicherheit
Im Rechenzentrum Ihres Unternehmens stellen Sie die hybride Datensicherheit als ein Cluster von Knoten auf separaten virtuellen Hosts bereit. Die Knoten kommunizieren mit der Webex Cloud über sichere Websockets und sicheres HTTP.
Während des Installationsvorgangs stellen wir Ihnen die OVA-Datei bereit, mit der Sie die virtuelle Appliance auf den von Ihnen angegebenen VMs einrichten können. Mit dem HDS-Setuptool erstellen Sie eine benutzerdefinierte ISO-Clusterkonfigurationsdatei, die Sie bei den einzelnen Knoten mounten. Der Hybrid-Datensicherheitscluster verwendet den von Ihnen bereitgestellten Syslogd-Server und die PostgreSQL- oder Microsoft SQL Server-Datenbank. (Sie konfigurieren die Syslogd- und Datenbankverbindungsdetails im HDS Setup Tool.)
Die Mindestanzahl von Knoten in einem Cluster lautet zwei. Wir empfehlen mindestens drei pro Cluster. Die Tatsache, dass mehrere Knoten vorhanden sind, stellt sicher, dass der Dienst während eines Software-Upgrades oder anderer Wartungsaktivitäten auf einem Knoten nicht unterbrochen wird. (Die Webex-Cloud aktualisiert jeweils nur einen Knoten.)
Alle Knoten in einem Cluster greifen auf denselben Schlüsseldatenspeicher zu und sie protokollieren Aktivitäten auf demselben Syslog-Server. Die Knoten selbst besitzen keinen Status und verarbeiten Schlüsselanfragen nach dem Round-Robin-Verfahren, wie von der Cloud vorgegeben.
Knoten werden aktiv, wenn Sie sie in Partner Hub registrieren. Um einen einzelnen Knoten zu deaktivieren, können Sie die Registrierung aufheben und ggf. zu einem späteren Zeitpunkt erneut registrieren.
Standby-Rechenzentrum für die Notfallwiederherstellung
Während der Bereitstellung richten Sie ein sicheres Standby-Rechenzentrum ein. Bei einem Absturz des Rechenzentrums können Sie die Bereitstellung manuell auf das Standby-Rechenzentrum umstellen.
Die Datenbanken der aktiven und Standby-Rechenzentren sind synchronisiert, wodurch die Zeit für die Durchführung des Failovers minimiert wird.
Die aktiven Hybrid-Datensicherheitsknoten müssen sich immer im selben Rechenzentrum wie der aktive Datenbankserver befinden.
Proxy-Support
Die Hybriddatensicherheit unterstützt explizite, transparente Inspektionen und Nichtinspizierungsproxys. Sie können diese Proxys an Ihre Bereitstellung binden, damit Sie den Datenverkehr aus dem Unternehmen heraus in die-Cisco sichern und überwachen können. Sie können eine Netzwerkverwaltung auf den Knoten für Zertifikats-Management verwenden und den Status der gesamten Konnektivität überprüfen, nachdem Sie den Proxy auf den Knoten eingerichtet haben.
Die Hybrid Data Sicherheitshinweis unterstützt die folgenden Proxyoptionen:
-
Kein Proxy: Der Standardwert, wenn Sie nicht die Konfiguration von Vertrauensspeicher und Proxy für die Integration eines Proxys beim Einrichten des HDS-Knotens verwenden. Es ist keine Zertifikatsaktualisierung erforderlich.
-
Transparenter Proxy ohne Prüfung – Die Knoten sind nicht für die Verwendung einer bestimmten Proxyserveradresse konfiguriert und sollten keine Änderungen erfordern, um mit einem Proxy ohne Prüfung zu arbeiten. Es ist keine Zertifikatsaktualisierung erforderlich.
-
Transparentes Tunneln oder Proxyprüfen: Die Knoten sind nicht für die Verwendung einer bestimmten Proxyserveradresse konfiguriert. Es sind keine Änderungen bei der Konfigurationänderung von http oder HTTPS Allerdings benötigen die Knoten eine Stammzertifikat, sodass Sie dem Proxy Vertrauen. Die Inspektion von Proxys wird in der Regel von ihm verwendet, um Strategien durchzusetzen, welche Websites besichtigt werden können und welche Arten von Inhalten nicht zulässig sind. Diese Art von Proxy entschlüsselt den gesamten Datenverkehr (auch HTTPS).
-
Expliziter Proxy: Mit explizitem Proxy teilen Sie den HDS-Knoten mit, welcher Proxyserver und welches Authentifizierungsschema verwendet werden sollen. Um einen expliziten Proxy zu konfigurieren, müssen Sie die folgenden Informationen zu den einzelnen Knoten eingeben:
-
Proxy-IP/FQDN: Adresse, die verwendet werden kann, um die Proxy-Maschine zu erreichen.
-
Proxy-Port: Eine Portnummer, die der Proxy verwendet, um nach proxyem Datenverkehr zu suchen.
-
Proxy-Protokoll: Wählen Sie je nachdem, was Ihr Proxy-Server unterstützt, zwischen den folgenden Protokollen aus:
-
– Und steuert alle Anfragen, die der Client sendet.
-
HTTPS – stellt einen Kanal zum Server bereit. Der Client erhält und prüft das Zertifikat des Servers.
-
-
Authentifizierungstyp: Wählen Sie aus den folgenden Authentifizierungstypen aus:
-
Keine: Es ist keine weitere Authentifizierung erforderlich.
Verfügbar, wenn Sie entweder http oder HTTPS als Proxyprotokoll auswählen.
-
Basic – wird für einen HTTP-Benutzeragenten verwendet, um bei einer Anfrage einen Benutzernamen und ein Kennwort anzugeben. Zertifikatsformat verwendet.
Verfügbar, wenn Sie entweder http oder HTTPS als Proxyprotokoll auswählen.
Hiermit müssen Sie die Benutzername und das Passwort eines jeden Knotens eingeben.
-
Digest – wird verwendet, um das Konto vor dem Senden sensibler Informationen zu bestätigen. Gibt eine Hashfunktion auf die Benutzername und das Passwort ein, bevor Sie über das Netzwerk senden.
Nur verfügbar, wenn Sie HTTPS als Proxyprotokoll auswählen.
Hiermit müssen Sie die Benutzername und das Passwort eines jeden Knotens eingeben.
-
-
Beispiel für hybride Datensicherheitsknoten und Proxy
Dieses Diagramm zeigt eine Beispielverbindung zwischen der Hybriddatensicherheit, dem Netzwerk und einem Proxy. Für die transparente Inspektion und HTTPS explizite Überprüfung der Proxyoptionen müssen dieselben Stammzertifikat auf dem Proxy und auf den Hybriden Datensicherheitsknoten installiert sein.
Externer DNS Auflösungsmodus blockiert (explizite Proxykonfigurationen)
Wenn Sie einen Knoten registrieren oder die Proxykonfiguration des Knotens überprüfen, testet das Verfahren die DNS und die Konnektivität der Cisco WebEx. Bei Bereitstellungen mit expliziten Proxykonfigurationen, die keine externe DNS für interne Clients zulassen, wenn der Knoten die DNS-Server nicht Abfragen kann, geht er automatisch in den gesperrten externen DNS-Server. In diesem Modus können Knotenregistrierungen und andere Proxyverbindungstests fortgeführt werden.
Umgebung vorbereiten
Anforderungen für die Multi-Tenant-Hybrid-Datensicherheit
Cisco Webex-Lizenzanforderungen
So stellen Sie Multi-Tenant Hybrid Data Security bereit:
-
Partnerorganisationen: Wenden Sie sich an Ihren Cisco-Partner oder Account Manager und stellen Sie sicher, dass die Multi-Tenant-Funktion aktiviert ist.
-
Mandantenorganisationen: Sie benötigen Pro Pack für Cisco Webex Control Hub. (Siehe https://www.cisco.com/go/pro-pack.)
Docker Desktop-Anforderungen
Bevor Sie Ihre HDS-Knoten installieren, benötigen Sie Docker Desktop, um ein Setup-Programm auszuführen. Docker hat kürzlich sein Lizenzierungsmodell aktualisiert. Ihre Organisation benötigt möglicherweise ein kostenpflichtiges Abonnement für Docker Desktop. Weitere Informationen finden Sie im Docker-Blog-Post: " Docker aktualisiert und erweitert unsere Produktabonnements".
Anforderungen an das X.509-Zertifikat
Diese Zertifikatskette muss die folgenden Anforderungen erfüllen:
|
Anforderung |
Details |
|---|---|
|
Standardmäßig vertrauen wir den Zertifizierungsstellen in der Mozilla-Liste (mit Ausnahme von WoSign und StartCom) unter https://wiki.mozilla.org/CA:IncludedCAs. |
|
Der CN muss nicht erreichbar und kein Live-Host sein. Wir empfehlen die Verwendung eines Namens, der Ihre Organisation widerspiegelt, z. B. Der CN darf kein * (Platzhalter) enthalten. Der CN wird verwendet, um die Hybrid-Datensicherheitsknoten für Webex-App-Clients zu verifizieren. Alle Hybrid-Datensicherheitsknoten in Ihrem Cluster verwenden das gleiche Zertifikat. Ihr KMS identifiziert sich selbst unter Verwendung der CN-Domäne, nicht einer beliebigen Domäne, die in den x.509v3-SAN-Feldern definiert ist. Nachdem Sie einen Knoten mit diesem Zertifikat registriert haben, kann der CN-Domänenname nicht mehr geändert werden. |
|
Die KMS-Software unterstützt keine SHA1-Signaturen zum Validieren von Verbindungen zu KMS anderer Organisationen. |
|
Sie können das Format Ihres Zertifikats mithilfe einer Konvertierungssoftware wie OpenSSL ändern. Sie müssen das Passwort eingeben, wenn Sie das HDS-Setuptool ausführen. |
Die KMS-Software erzwingt keine Schlüsselnutzung und beschränkt erweiterte Schlüsselnutzung nicht. Einige Zertifizierungsstellen erfordern Beschränkungen einer erweiterten Schlüsselnutzung für jedes Zertifikat, wie z. B. Server-Authentifizierung. Die Server-Authentifizierung oder andere Einstellungen zu verwenden, ist zulässig.
Anforderungen für virtuelle Gastgeber
Die virtuellen Hosts, die Sie als Hybrid-Datensicherheitsknoten in Ihrem Cluster einrichten, haben die folgenden Anforderungen:
-
Mindestens zwei separate Hosts (3 empfohlen) befinden sich im gleichen sicheren Rechenzentrum
-
VMware ESXi 7.0 (oder höher) installiert und ausgeführt.
Sie müssen ein Upgrade durchführen, wenn Sie über eine frühere Version von ESXi verfügen.
-
Mindestens 4 vCPUs, 8 GB Hauptspeicher, 30 GB lokaler Festplattenspeicher pro Server
Datenbankserveranforderungen
Erstellen Sie eine neue Datenbank für die Schlüsselspeicherung. Verwenden Sie nicht die Standarddatenbank. Die HDS-Anwendungen erstellen bei Installation das Datenbankschema.
Für den Datenbankserver gibt es zwei Optionen. Die Anforderungen für jede dieser Komponenten lauten wie folgt:
|
PostgreSQL |
Microsoft SQL-Server |
|---|---|
|
|
|
Mindestens 8 vCPUs, 16 GB Hauptspeicher, ausreichend Festplattenkapazität und Überwachung zur Sicherstellung, dass dieser nicht überschritten wird (2 TB empfohlen, falls die Datenbank über längere Zeit ohne Erweiterung der Festplattenkapazität ausgeführt werden soll) |
Mindestens 8 vCPUs, 16 GB Hauptspeicher, ausreichend Festplattenkapazität und Überwachung zur Sicherstellung, dass dieser nicht überschritten wird (2 TB empfohlen, falls die Datenbank über längere Zeit ohne Erweiterung der Festplattenkapazität ausgeführt werden soll) |
Die HDS-Software installiert derzeit die folgenden Treiberversionen für die Kommunikation mit dem Datenbankserver:
|
PostgreSQL |
Microsoft SQL-Server |
|---|---|
|
Der Treiber Postgres JDBC 42.2.5 |
SQL Server JDBC-Treiber 4.6 Diese Treiberversion unterstützt SQL Server Always On (Always On Failover Cluster Instances und Always On-Verfügbarkeitsgruppen). |
Zusätzliche Anforderungen für die Windows-Authentifizierung gegen Microsoft SQL Server
Wenn Sie möchten, dass HDS-Knoten die Windows-Authentifizierung verwenden, um Zugriff auf Ihre Keystore-Datenbank auf Microsoft SQL Server zu erhalten, benötigen Sie die folgende Konfiguration in Ihrer Umgebung:
-
Die HDS-Knoten, die Active Directory-Infrastruktur und der MS SQL Server müssen alle mit dem NTP synchronisiert werden.
-
Das Windows-Konto, das Sie auf HDS-Knoten bereitstellen, muss Lese-/Schreibzugriff auf die Datenbank haben.
-
Die DNS-Server, die Sie für HDS-Knoten bereitstellen, müssen in der Lage sein, Ihr Key Distribution Center (KDC) aufzulösen.
-
Sie können die HDS-Datenbankinstanz auf Ihrem Microsoft SQL Server als Service Principal Name (SPN) in Ihrem Active Directory registrieren. Siehe Registrieren eines Dienstprinzipalnamens für Kerberos-Verbindungen.
Das HDS-Setup-Tool, der HDS-Launcher und das lokale KMS müssen für den Zugriff auf die Keystore-Datenbank die Windows-Authentifizierung verwenden. Sie verwenden die Details aus Ihrer ISO-Konfiguration, um die SPN zu konstruieren, wenn sie den Zugriff mit der Kerberos-Authentifizierung anfordern.
Anforderungen an externe Konnektivität
Konfigurieren Sie Ihre Firewall so, dass die folgende Konnektivität für die HDS-Anwendungen zugelassen ist:
|
Anwendung |
Protokoll |
Port |
Richtung von der App |
Ziel |
|---|---|---|---|---|
|
Hybrid-Datensicherheitsknoten |
TCP |
443 |
Ausgehend HTTPS und WSS |
|
|
HDS-Einrichtungstool |
TCP |
443 |
Ausgehendes HTTPS |
|
Die Hybrid-Datensicherheitsknoten funktionieren mit NAT (Network Access Translation) oder hinter einer Firewall, solange NAT oder Firewall die erforderlichen ausgehenden Verbindungen zu den in der vorangehenden Tabelle aufgeführten Domänenzielen zulässt. Für eingehende Verbindungen zu den Hybrid-Datensicherheitsknoten sollten keine Ports aus dem Internet sichtbar sein. In Ihrem Rechenzentrum benötigen Clients aus administrativen Gründen Zugriff auf die Hybrid-Datensicherheitsknoten auf den TCP-Ports 443 und 22.
Die URLs für die CI-Hosts (Common Identity) sind regionsspezifisch. Dies sind die aktuellen CI-Hosts:
|
Region |
Host-URLs der allgemeinen Identität |
|---|---|
|
Amerika |
|
|
Europäische Union |
|
|
Kanada |
|
| Singapur |
|
| Vereinigte Arabische Emirate |
|
Vorgaben für Proxy-Server
-
Wir unterstützen offiziell die folgenden Proxylösungen, die in ihre Hybriden Sicherheitsknoten integriert werden können.
-
Transparenter Proxy – Cisco Web Sicherheitsgerät (WSA).
-
Explizite –.
Squid-Proxys, die den HTTPS-Datenverkehr untersuchen, können die Einrichtung von Websocket-Verbindungen (wss:) beeinträchtigen. Informationen zur Behebung dieses Problems finden Sie unter Konfigurieren von Squid-Proxys für Hybrid-Datensicherheit.
-
-
Wir unterstützen die folgenden Authentifizierungskombinationen für explizite Proxys:
-
Keine Authentifizierung mit http oder HTTPS
-
Grundlegende Authentifizierung mit http oder HTTPS
-
Verdauungsauthentifizierung nur mit HTTPS
-
-
Um einen transparenten Proxy oder einen HTTPS expliziten Proxy zu erhalten, müssen Sie eine Kopie des Stammzertifikat des Stellvertreters besitzen. Die Bereitstellungsanweisungen in diesem Handbuch zeigen Ihnen, wie Sie die Kopie in die Vertrauensspeicher der Hybriden Datensicherheitsknoten hochladen können.
-
Das Netzwerk, das die HDS Nodes hostet, muss so konfiguriert sein, dass es den ausgehenden TCP Traffic auf Port 443 durch den Proxy zwingt
-
Proxys, die den Webverkehr inspizieren, können die Websteckverbindung beeinträchtigen. Wenn dieses Problem auftritt, wird das Problem durch Umgehung des Datenverkehrs zu
wbx2.comundciscospark.comgelöst.
Erfüllen der Voraussetzungen für die Hybrid-Datensicherheit
| 1 |
Stellen Sie sicher, dass Ihre Partnerorganisation die Multi-Tenant-HDS-Funktion aktiviert hat, und sichern Sie sich die Anmeldeinformationen für ein Konto mit vollen Partneradministratorrechten und vollen Administratorrechten. Stellen Sie sicher, dass Ihre Webex-Kundenorganisation für Pro Pack für Cisco Webex Control Hub aktiviert ist. Wenden Sie sich an Ihren Cisco-Partner oder an Ihren Account Manager, falls Sie Hilfe bei diesem Verfahren benötigen. Kundenorganisationen sollten keine vorhandene HDS-Bereitstellung haben. |
| 2 |
Wählen Sie einen Domänennamen für Ihre HDS-Bereitstellung (z. B. |
| 3 |
Bereiten Sie identische virtuelle Hosts vor, die Sie als Hybrid-Datensicherheitsknoten in Ihrem Cluster einrichten werden. Sie benötigen mindestens zwei separate Hosts (3 empfohlen), die sich im selben sicheren Rechenzentrum befinden und die Anforderungen unter Anforderungen für virtuelle Hosts erfüllen. |
| 4 |
Bereiten Sie den Datenbankserver vor, der als Schlüsseldatenspeicher für den Cluster dient, gemäß den Anforderungen für den Datenbankserver. Der Datenbankserver muss sich im sicheren Rechenzentrum mit den virtuellen Hosts befinden. |
| 5 |
Richten Sie für eine schnelle Notfallwiederherstellung eine Backup-Umgebung in einem anderen Rechenzentrum ein. Die Backup-Umgebung spiegelt die Produktionsumgebung von VMs und eines Backup-Datenbankservers wider. Wenn beispielsweise in der Produktion 3 VMs HDS-Knoten ausführen, sollte die Backup-Umgebung 3 VMs haben. |
| 6 |
Richten Sie einen syslog-Host ein, um Protokolle aus den Knoten im Cluster zu sammeln. Dokumentieren Sie dessen Netzwerkadresse und syslog-Port (Standard ist UDP 514). |
| 7 |
Erstellen Sie eine sichere Backup-Richtlinie für die Hybrid-Datensicherheitsknoten, den Datenbankserver und den Syslog-Host. Um einen nicht behebbaren Datenverlust zu vermeiden, müssen Sie mindestens die Datenbank und die für die Hybrid-Datensicherheitsknoten generierte Konfigurations-ISO-Datei sichern. Da auf den Hybrid-Datensicherheitsknoten die für die Ver- und Entschlüsselung von Inhalten verwendeten Schlüssel gespeichert werden, führt das Versäumnis, eine betriebliche Bereitstellung aufrechtzuerhalten, zum NICHT BEHEBBAREN VERLUST dieser Inhalte. Webex-App-Clients speichern ihre Schlüssel im Zwischenspeicher, sodass ein Ausfall möglicherweise nicht sofort spürbar ist, aber mit der Zeit offensichtlich wird. Vorübergehende Ausfälle sind unvermeidlich, aber behebbar. Bei einem vollständigen Verlust (keine Backups verfügbar) entweder der Datenbank oder der ISO-Konfigurationsdatei gehen jedoch Kundendaten unwiederbringlich verloren. Von den Betreibern der Hybrid-Datensicherheitsknoten wird erwartet, dass sie häufige Sicherungen der Datenbank und der Konfigurations-ISO-Datei erstellen und im Falle eines katastrophalen Ausfalls das Rechenzentrum für die Hybrid-Datensicherheit neu erstellen. |
| 8 |
Stellen Sie sicher, dass Ihre Firewall-Konfiguration eine Verbindung für Ihre Hybrid-Datensicherheitsknoten ermöglicht, wie unter Externe Verbindungsanforderungen beschrieben. |
| 9 |
Installieren Sie Docker ( https://www.docker.com) auf jedem lokalen Computer, auf dem ein unterstütztes Betriebssystem ausgeführt wird (Microsoft Windows 10 Professional, Enterprise 64-Bit oder Mac OSX Yosemite 10.10.3 oder höher) und ein Webbrowser, der unter http://127.0.0.1:8080. darauf zugreifen kann. Mit der Docker-Instanz können Sie das HDS Setup Tool herunterladen und ausführen, das die lokalen Konfigurationsinformationen für alle Hybrid-Datensicherheitsknoten erstellt. Möglicherweise benötigen Sie eine Docker Desktop-Lizenz. Weitere Informationen finden Sie unter Anforderungen für Docker Desktop . Um das HDS Setup Tool zu installieren und auszuführen, muss der lokale Computer über die unter Anforderungen an externe Konnektivität beschriebenen Konnektivität verfügen. |
| 10 |
Wenn Sie einen Proxy mit Hybrid Data Security integrieren, stellen Sie sicher, dass er die Anforderungen für den Proxy-Server erfüllt. |
Hybrid-Datensicherheitscluster einrichten
Ablauf der Bereitstellungsaufgabe für die Hybrid-Datensicherheit
| 1 |
Erste Einrichtung durchführen und Installationsdateien herunterladen Laden Sie die OVA-Datei für eine spätere Verwendung auf Ihren lokalen Computer herunter. |
| 2 |
Erstellen einer ISO-Konfigurationsdatei für die HDS-Hosts Erstellen Sie mit dem HDS Setup Tool eine ISO-Konfigurationsdatei für die Hybrid-Datensicherheitsknoten. |
| 3 |
Erstellen Sie eine virtuelle Maschine aus der OVA-Datei und führen Sie eine erste Konfiguration durch, z. B. Netzwerkeinstellungen. Die Option zum Konfigurieren der Netzwerkeinstellungen während der OVA-Bereitstellung wurde mit ESXi 7.0 getestet. In früheren Versionen ist diese Option möglicherweise nicht verfügbar. |
| 4 |
Einrichten der Hybrid-Datensicherheits-VM Melden Sie sich bei der VM-Konsole an und legen Sie die Anmeldeinformationen fest. Konfigurieren Sie die Netzwerkeinstellungen für den Knoten, falls Sie diese bei der OVA-Bereitstellung nicht konfiguriert haben. |
| 5 |
Hochladen und Mounten der HDS-Konfigurations-ISO Konfigurieren Sie die VM aus der ISO-Konfigurationsdatei, die Sie mit dem HDS Setup Tool erstellt haben. |
| 6 |
Konfigurieren des HDS Knotens für Proxyintegration Wenn für die Netzwerkumgebung eine Proxy-Konfiguration erforderlich ist, geben Sie den Proxy-Typ an, den Sie für den Knoten verwenden möchten, und fügen Sie das Proxy-Zertifikat ggf. zum Vertrauensspeicher hinzu. |
| 7 |
Ersten Knoten im Cluster registrieren Registrieren Sie die VM in der Cisco Webex Cloud als Hybrid-Datensicherheitsknoten. |
| 8 |
Weitere Knoten erstellen und registrieren Schließen Sie die Cluster-Einrichtung ab. |
| 9 |
Aktivieren Sie Multi-Tenant-HDS in Partner Hub. Aktivieren Sie HDS und verwalten Sie Mandantenorganisationen in Partner Hub. |
Erste Einrichtung durchführen und Installationsdateien herunterladen
Bei dieser Aufgabe laden Sie eine OVA-Datei auf Ihren Computer herunter (nicht auf die Server, die Sie als Hybrid-Datensicherheitsknoten eingerichtet haben). Sie können diese Datei zu einem späteren Zeitpunkt im Installationsprozess verwenden.
| 1 |
Melden Sie sich bei Partner Hub an und klicken Sie auf Dienste. |
| 2 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach der Hybrid-Datensicherheitskarte und klicken Sie auf Einrichten. Das Klicken auf Einrichten in Partner Hub ist entscheidend für den Bereitstellungsprozess. Fahren Sie mit der Installation nicht fort, ohne diesen Schritt abzuschließen. |
| 3 |
Klicken Sie auf Ressource hinzufügen und dann auf OVA-Datei herunterladen auf der Karte Software installieren und konfigurieren . Ältere Versionen des Softwarepakets (OVA) sind mit den neuesten Upgrades für die Hybrid-Datensicherheit nicht kompatibel. Dies kann zu Problemen beim Upgrade der Anwendung führen. Stellen Sie sicher, dass Sie die neueste Version der OVA-Datei herunterladen. Sie können die OVA auch jederzeit im Abschnitt Hilfe herunterladen. Klicken Sie auf . Der Download der OVA-Datei beginnt automatisch. Speichern Sie die Datei auf Ihrem Computer.
|
| 4 |
Klicken Sie optional auf Bereitstellungsleitfaden zur Hybrid-Datensicherheit anzeigen , um zu überprüfen, ob eine spätere Version dieses Leitfadens verfügbar ist. |
Erstellen einer ISO-Konfigurationsdatei für die HDS-Hosts
Beim Einrichtungsprozess für die Hybrid-Datensicherheit wird eine ISO-Datei erstellt. Anschließend verwenden Sie die ISO, um Ihren Hybrid-Datensicherheitshost zu konfigurieren.
Vorbereitungen
-
Das HDS Setup Tool wird als Docker Container auf einem lokalen Computer ausgeführt. Um darauf zu zugreifen, führen Sie Docker auf diesem Computer aus. Der Einrichtungsprozess erfordert die Anmeldeinformationen eines Partner Hub-Kontos mit vollständigen Administratorrechten.
Wenn das HDS Setup-Tool hinter einem Proxy in Ihrer Umgebung ausgeführt wird, geben Sie die Proxy-Einstellungen (Server, Port, Anmeldeinformationen) über die Docker-Umgebungsvariablen an, wenn Sie den Docker-Container in Schritt 5 unten aufrufen. Diese Tabelle enthält einige mögliche Umgebungsvariablen:
Beschreibung
Variable
HTTP-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORTHTTPS-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORT -
Die von Ihnen generierte ISO-Konfigurationsdatei enthält den Hauptschlüssel zur Verschlüsselung der PostgreSQL- oder Microsoft SQL Server-Datenbank. Sie benötigen die neueste Kopie dieser Datei, wenn Sie Konfigurationsänderungen wie die folgenden vornehmen:
-
Datenbank-Anmeldeinformationen
-
Zertifikats-Aktualisierungen
-
Änderungen an der Autorisierungsrichtlinie
-
-
Wenn Sie Datenbankverbindungen verschlüsseln möchten, richten Sie Ihre PostgreSQL- oder SQL Server-Bereitstellung für TLS ein.
| 1 |
Geben Sie in der Befehlszeile Ihres Computers den entsprechenden Befehl für Ihre Umgebung ein: In regulären Umgebungen: In FedRAMP-Umgebungen: Mit diesem Schritt werden die Bilder vorheriger HDS-Setup-Tools bereinigt. Wenn keine vorherigen Bilder angezeigt werden, erhalten Sie eine Fehlermeldung, die Sie ignorieren können. | ||||||||||
| 2 |
Um sich bei der Docker-Image-Registrierung anmelden zu können, geben Sie Folgendes ein: | ||||||||||
| 3 |
Geben Sie in der Passwortaufforderung diese Hash-Eingabe ein: | ||||||||||
| 4 |
Laden Sie das aktuellste stabile Bild für Ihre Umgebung herunter: In regulären Umgebungen: In FedRAMP-Umgebungen: | ||||||||||
| 5 |
Geben Sie nach Abschluss des Pull-Befehls den entsprechenden Befehl für Ihre Umgebung ein:
Wenn der Container ausgeführt wird, wird "Express server listening on port 8080" (Express-Server hören auf Port 8080) sehen. | ||||||||||
| 6 |
Das Setup-Tool unterstützt die Verbindung zu localhost über http://localhost:8080 nicht. Verwenden Sie http://127.0.0.1:8080 , um eine Verbindung zum Localhost herzustellen. Navigieren Sie in einem Webbrowser zum Localhost, Das Tool verwendet diesen ersten Eintrag des Benutzernamens, um die richtige Umgebung für dieses Konto festzulegen. Das Tool zeigt dann die Standard-Anmeldeaufforderung an. | ||||||||||
| 7 |
Wenn Sie dazu aufgefordert werden, geben Sie Ihre Partner Hub-Administratoranmeldeinformationen ein und klicken Sie dann auf Anmelden , um den Zugriff auf die für die Hybrid-Datensicherheit erforderlichen Dienste zu erlauben. | ||||||||||
| 8 |
Klicken Sie auf der Übersichtsseite des Setup Tool auf Get Started (Erste Schritte). | ||||||||||
| 9 |
Auf der Seite ISO-Import stehen Ihnen folgende Optionen zur Verfügung:
| ||||||||||
| 10 |
Überprüfen Sie, ob Ihr X.509-Zertifikat die Anforderungen in X.509-Zertifikatsanforderungen erfüllt.
| ||||||||||
| 11 |
Geben Sie die Datenbankadresse und das Konto für HDS ein, um auf Ihren Schlüsseldatenspeicher zuzugreifen: | ||||||||||
| 12 |
Wählen Sie einen TLS-Datenbankverbindungsmodus aus:
Wenn Sie das Stammzertifikat hochladen (falls erforderlich) und auf Weiter klicken, testet das HDS Setup Tool die TLS-Verbindung zum Datenbankserver. Das Tool überprüft auch den Zertifikat signer und den Hostnamen, falls vorhanden. Wenn ein Test fehlschlägt, zeigt das Tool eine Fehlermeldung an, in der das Problem beschrieben wird. Sie können auswählen, ob Sie den Fehler ignorieren und mit der Einrichtung fortfahren möchten. (Aufgrund von Verbindungsunterschieden können die HDS-Knoten möglicherweise eine TLS-Verbindung herstellen, auch wenn das HDS Setup Tool diese nicht erfolgreich testen kann.) | ||||||||||
| 13 |
Konfigurieren Sie auf der Seite Systemprotokolle Ihren Syslogd-Server: | ||||||||||
| 14 |
(Optional) Sie können den Standardwert für einige Datenbankverbindungsparameter unter Erweiterte Einstellungen ändern. Im Allgemeinen ist dieser Parameter der einzige, den Sie ändern möchten: | ||||||||||
| 15 |
Klicken Sie im Bildschirm Kennwort für Dienstkonten zurücksetzen auf Weiter . Passwörter für Dienstkonten haben eine Lebensdauer von neun Monaten. Verwenden Sie diesen Bildschirm, wenn Ihre Passwörter bald ablaufen oder Sie sie zurücksetzen möchten, um frühere ISO-Dateien ungültig zu machen. | ||||||||||
| 16 |
Klicken Sie auf Download ISO File (ISO-Datei herunterladen). Speichern Sie die Datei an einem leicht auffindbaren Speicherort. | ||||||||||
| 17 |
Erstellen Sie eine Sicherungskopie der ISO-Datei auf Ihrem lokalen System. Sichern Sie die Sicherungskopie sicher. Die Datei enthält einen Master-Verschlüsselungsschlüssel für die Datenbankinhalte. Beschränken Sie den Zugriff auf Administratoren für Hybrid-Datensicherheit, die Konfigurationsänderungen vornehmen sollten. | ||||||||||
| 18 |
Um das Setup Tool herunterzufahren, tippen Sie |
Nächste Schritte
Sichern Sie die ISO-Konfigurationsdatei. Sie benötigen sie, um weitere Knoten für die Wiederherstellung zu erstellen oder Konfigurationsänderungen vorzunehmen. Wenn Sie alle Kopien der ISO-Datei verlieren, haben Sie auch den Hauptschlüssel verloren. Die Schlüssel aus Ihrer PostgreSQL- oder Microsoft SQL Server-Datenbank können nicht wiederhergestellt werden.
Wir haben nie eine Kopie dieses Schlüssels und können nicht helfen, wenn Sie ihn verlieren.
Installieren des HDS Host OVA
| 1 |
Melden Sie sich über den VMware vSphere-Client auf Ihrem Computer bei dem ESXi virtuellen Host an. |
| 2 |
Wählen Sie Datei > OVF-Vorlage bereitstellen aus. |
| 3 |
Geben Sie im Assistenten den Speicherort der OVA-Datei an, die Sie zuvor heruntergeladen haben, und klicken Sie auf Weiter. |
| 4 |
Geben Sie auf der Seite Name und Ordner auswählen einen Namen der virtuellen Maschine für den Knoten ein (z. B. „HDS_Node_1“), wählen Sie einen Ort aus, an dem sich die Knotenbereitstellung der virtuellen Maschine befinden kann, und klicken Sie auf Weiter. |
| 5 |
Wählen Sie auf der Seite Berechnungsressource auswählen die Ziel-Berechnungsressource aus, und klicken Sie auf Weiter. Eine Validierungsprüfung wird ausgeführt. Nach Abschluss werden die Vorlagendetails angezeigt. |
| 6 |
Überprüfen Sie die Vorlagendetails, und klicken Sie dann auf Weiter. |
| 7 |
Wenn Sie aufgefordert werden, die Ressourcenkonfiguration auf der Seite Konfiguration auszuwählen, klicken Sie auf 4 CPU und dann auf Weiter. |
| 8 |
Klicken Sie auf der Seite Speicher auswählen auf Weiter , um das standardmäßige Festplattenformat und die VM-Speicherrichtlinie zu akzeptieren. |
| 9 |
Wählen Sie auf der Seite Netzwerke auswählen die Netzwerkoption aus der Liste der Einträge aus, um die gewünschte Konnektivität für die VM bereitzustellen. |
| 10 |
Konfigurieren Sie auf der Seite Vorlage anpassen die folgenden Netzwerkeinstellungen:
Wenn Sie dies vorziehen, können Sie die Konfiguration der Netzwerkeinstellungen überspringen und die Schritte unter Einrichten der Hybrid-Datensicherheit-VM befolgen, um die Einstellungen über die Knotenkonsole zu konfigurieren. Die Option zum Konfigurieren der Netzwerkeinstellungen während der OVA-Bereitstellung wurde mit ESXi 7.0 getestet. In früheren Versionen ist diese Option möglicherweise nicht verfügbar. |
| 11 |
Klicken Sie mit der rechten Maustaste auf die Knoten-VM, und wählen Sie . Die Hybrid-Datensicherheitssoftware wird als Gast auf dem VM-Host installiert. Sie können sich jetzt bei der Konsole anmelden und den Knoten konfigurieren. Leitfaden zur Fehlerbehebung Es kann zu einer Verzögerung von einigen Minuten kommen, bis die Knotencontainer angezeigt werden. Beim erstmaligen Start wird eine Bridge-Firewall-Nachricht angezeigt, während der Sie sich anmelden können. |
Einrichten der Hybrid-Datensicherheits-VM
Mit diesem Verfahren können Sie sich zum ersten Mal bei der VM-Konsole des Hybrid-Datensicherheitsknotens anmelden und die Anmeldeinformationen festlegen. Sie können auch die Konsole verwenden, um die Netzwerkeinstellungen für den Knoten zu konfigurieren, falls Sie diese bei der OVA-Bereitstellung nicht konfiguriert haben.
| 1 |
Wählen Sie im VMware vSphere-Client, Ihre Hybrid-Datensicherheitsknoten-VM und daraufhin die Registerkarte Console (Konsole) aus. Die VM fährt hoch und ein Anmeldebildschirm erscheint. Drücken Sie die Eingabetaste, falls der Anmeldebildschirm nicht angezeigt wird.
|
| 2 |
Verwenden Sie den folgenden Standard-Anmeldenamen und das Standardkennwort, um sich anzumelden und die Anmeldedaten zu ändern: Da Sie sich zum ersten Mal bei der VM anmelden, müssen Sie das Administratorkennwort ändern. |
| 3 |
Wenn Sie die Netzwerkeinstellungen bereits unter Installieren der HDS-Host-OVA konfiguriert haben, überspringen Sie den Rest dieses Verfahrens. Wählen Sie andernfalls im Hauptmenü die Option Konfiguration bearbeiten aus. |
| 4 |
Richten Sie eine statische Konfiguration ein und geben Sie die Daten für IP-Adresse, Maske, Gateway und DNS ein. Ihr Knoten hat jetzt eine interne IP-Adresse und einen DNS-Namen. DHCP wird nicht unterstützt. |
| 5 |
(Optional) Ändern Sie die Werte für Hostname, Domäne oder NTP-Server, wenn dies gemäß Ihren Netzwerkrichtlinien erforderlich ist. Sie müssen die Domäne nicht auf die Domäne ändern, über die Sie das X.509-Zertifikat erhalten haben. |
| 6 |
Speichern Sie die Netzwerkkonfiguration und starten Sie die VM neu, damit die Änderungen in Kraft treten. |
Hochladen und Mounten der HDS-Konfigurations-ISO
Vorbereitungen
Da die ISO-Datei den Hauptschlüssel enthält, sollte sie nur auf Basis eines "Need-to-Know"-Basis zugänglich gemacht werden, für den Zugriff durch die Hybrid Data Security-VMs und alle Administratoren, die möglicherweise Änderungen vornehmen müssen. Stellen Sie sicher, dass nur diese Administratoren Zugriff auf den Datenspeicher haben.
| 1 |
Laden Sie die ISO-Datei von Ihrem Computer hoch: |
| 2 |
Mounten Sie die ISO-Datei: |
Nächste Schritte
Wenn Ihre IT-Richtlinie dies erfordert, können Sie optional die ISO-Datei unmounten, nachdem alle Knoten die Konfigurationsänderungen übernommen haben. Weitere Informationen finden Sie unter (Optional) ISO nach HDS-Konfiguration unmounten .
Konfigurieren des HDS Knotens für Proxyintegration
Wenn die Netzwerkumgebung einen Proxy erfordert, geben Sie mit diesem Vorgang den Typ des Proxy an, den Sie in die Hybriddatensicherheit integrieren möchten. Wenn Sie einen transparenten Anrufproxy oder einen HTTPS expliziten Proxy wählen, können Sie die Stammzertifikat über die Schnittstelle des Knotens hochladen und installiert werden. Sie können auch die Proxyverbindung über die Schnittstelle überprüfen und mögliche Probleme beheben.
Vorbereitungen
-
Eine Übersicht der unterstützten Proxy-Optionen finden Sie unter Proxy-Unterstützung .
| 1 |
Geben Sie den HDS Knoten Setup URL |
| 2 |
Gehen Sie zu Trust Store & Proxyund wählen Sie dann eine Option:
Befolgen Sie die nächsten Schritte für einen transparenten Inspektionsproxy, einen HTTP expliziten Proxy mit Basisauthentifizierung oder einen HTTPS expliziten Proxy |
| 3 |
Klicken Sie auf ein Zertifikat für das Stammzertifikat oder Endnutzerzertifikat hochladen, und navigieren Sie dann zu einer Stammzertifikat für den Proxy. Das Zertifikat ist hochgeladen, aber noch nicht installiert, da Sie den Knoten neu starten müssen, um das Zertifikat zu installieren. Klicken Sie auf den Chevron Pfeil unter dem Namen des Zertifikats, um weitere Details zu erhalten, oder klicken Sie auf löschen, Wenn Sie Fehler gemacht haben und die Datei erneut hochladen möchten. |
| 4 |
Klicken Sie auf Stellvertreterverbindung prüfen , um die Netzwerkverbindung zwischen dem Knoten und dem Proxy zu testen. Wenn der Verbindungstest ausfällt, wird eine Fehlermeldung angezeigt, die den Grund und die Frage, wie Sie das Problem beheben können, anzeigt. Wenn Sie eine Meldung sehen, dass eine externe DNS nicht erfolgreich war, konnte der Knoten den DNS-Server nicht erreichen. Diese Bedingung wird in vielen expliziten Proxykonfigurationen erwartet. Sie können mit dem Setup fortfahren, und der Knoten wird im gesperrten externen DNS-Server funktionieren. Wenn Sie glauben, dass es sich um einen Fehler handelt, führen Sie die folgenden Schritte aus. Siehe Modus für blockierte externe DNS-Auflösung deaktivieren. |
| 5 |
Nach dem Durchführen des Verbindungstests, für expliziten Proxy, der nur auf HTTPS gesetzt ist, aktivieren Sie die Option so schalten Sie alle Port 443/444 https Anfragen aus diesem Knoten durch den expliziten Proxy Diese Einstellung benötigt 15 Sekunden, um wirksam zu werden. |
| 6 |
Klicken Sie auf alle-Zertifizierungsstellen in den Trust Store installieren (erscheint für einen HTTPS expliziten Proxy oder einen transparenten Inspektionskrimi) oder Neustart (erscheint für einen HTTP expliziten Proxy), lesen Sie die Aufforderung, und klicken Sie dann auf in Der Knoten startet innerhalb weniger Minuten. |
| 7 |
Nachdem der Knoten erneut gestartet wurde, melden Sie sich bei Bedarf erneut an, und öffnen Sie dann die Übersichtsseite, um die Verbindungsüberprüfungen zu überprüfen, um sicherzustellen, dass Sie alle im grünen Status sind. Die Proxyverbindung prüft nur eine Unterdomäne von WebEx.com. Wenn es Verbindungsprobleme gibt, ist ein häufiges Problem, dass einige der in den instructions aufgeführten-C-Domänen beim Proxy gesperrt werden. |
Ersten Knoten im Cluster registrieren
Bei der Registrierung Ihres ersten Knotens erstellen Sie ein Cluster, zu dem der Knoten zugewiesen wird. Ein Cluster umfasst einen oder mehrere Knoten, die aus Redundanzgründen bereitgestellt werden.
Vorbereitungen
-
Sie müssen die Registrierung eines Knotens nach dem Beginn innerhalb von 60 Minuten abschließen, andernfalls müssen Sie erneut beginnen.
-
Stellen Sie sicher, dass alle Popupblocker in Ihrem Browser deaktiviert sind oder dass Sie eine Ausnahme für admin.webex.com zulassen.
| 1 |
Melden Sie sich bei https://admin.webex.com an. |
| 2 |
Wählen Sie im Menü auf der linken Seite die Option Dienste aus. |
| 3 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach der Karte „Hybrid-Datensicherheit“, und klicken Sie auf Einrichten. |
| 4 |
Klicken Sie auf der sich öffnenden Seite auf Ressource hinzufügen. |
| 5 |
Geben Sie im ersten Feld der Karte Knoten hinzufügen einen Namen für das Cluster ein, dem Sie Ihren Hybrid-Datensicherheitsknoten zuweisen möchten. Benennen Sie Ihre Cluster nach Möglichkeit nach dem geografischen Standort der Clusterknoten. Beispiele: „San Francisco“ oder „New York“ oder „Dallas“ |
| 6 |
Geben Sie im zweiten Feld die interne IP-Adresse oder den vollqualifizierten Domänennamen (FQDN) Ihres Knotens ein und klicken Sie unten auf dem Bildschirm auf Hinzufügen . Diese IP-Adresse oder FQDN sollte mit der IP-Adresse oder dem Hostnamen und der Domäne übereinstimmen, die Sie beim Einrichten der Hybrid-Datensicherheit-VM verwendet haben. Es wird eine Meldung angezeigt, dass Sie Ihren Knoten in Webex registrieren können.
|
| 7 |
Klicken Sie auf Go to Node (Zum Knoten wechseln). Nach einigen Augenblicken werden Sie zu den Knoten-Konnektivitätstests für Webex-Dienste umgeleitet. Sind alle Tests erfolgreich, wird die Seite „Allow Access to Hybrid Data Security Node“ (Zugriff zu Hybrid-Datensicherheits-Knoten gewähren) angezeigt. Bestätigen Sie dort, dass Sie Ihrer Webex-Organisation die Zugriffsberechtigungen für Ihren Knoten erteilen möchten. |
| 8 |
Aktivieren Sie das Kontrollkästchen Allow Access to Your Hybrid Data Security Node (Zugriff zu Ihrem Hybrid-Datensicherheits-Knoten gewähren) und klicken Sie anschließend auf Continue (Weiter). Ihr Konto wird validiert, und die Meldung „Registrierung abgeschlossen“ zeigt an, dass Ihr Knoten jetzt in der Webex Cloud registriert ist.
|
| 9 |
Klicken Sie auf den Link oder schließen Sie die Registerkarte, um zur Partner Hub-Hybrid-Datensicherheitsseite zurückzukehren. Auf der Seite Hybrid-Datensicherheit wird das neue Cluster mit dem registrierten Knoten auf der Registerkarte Ressourcen angezeigt. Der Knoten lädt die aktuelle Software automatisch aus der Cloud herunter.
|
Weitere Knoten erstellen und registrieren
Vorbereitungen
-
Sie müssen die Registrierung eines Knotens nach dem Beginn innerhalb von 60 Minuten abschließen, andernfalls müssen Sie erneut beginnen.
-
Stellen Sie sicher, dass alle Popupblocker in Ihrem Browser deaktiviert sind oder dass Sie eine Ausnahme für admin.webex.com zulassen.
| 1 |
Erstellen Sie eine neue virtuelle Maschine über die OVA und wiederholen Sie die Schritte unter Installieren der HDS-Host-OVA. |
| 2 |
Richten Sie die Erstkonfiguration für die neue VM ein. Wiederholen Sie die Schritte unter Einrichten der Hybrid-Datensicherheit-VM. |
| 3 |
Wiederholen Sie auf der neuen VM die Schritte unter HDS-Konfigurations-ISO hochladen und mounten. |
| 4 |
Wenn Sie einen Proxy für Ihre Bereitstellung einrichten, wiederholen Sie die Schritte unter Konfigurieren des HDS-Knotens für die Proxy-Integration nach Bedarf für den neuen Knoten. |
| 5 |
Registrieren Sie den Knoten. |
Mandantenorganisationen für Multi-Tenant-Hybrid-Datensicherheit verwalten
Multi-Tenant HDS in Partner Hub aktivieren
Diese Aufgabe stellt sicher, dass alle Benutzer der Kundenorganisationen HDS für lokale Verschlüsselungsschlüssel und andere Sicherheitsdienste nutzen können.
Vorbereitungen
Stellen Sie sicher, dass Sie die Einrichtung Ihres Multi-Tenant-HDS-Clusters mit der erforderlichen Anzahl an Knoten abgeschlossen haben.
| 1 |
Melden Sie sich bei https://admin.webex.com an. |
| 2 |
Wählen Sie im Menü auf der linken Seite die Option Dienste aus. |
| 3 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach „Hybrid-Datensicherheit“ und klicken Sie auf Einstellungen bearbeiten. |
| 4 |
Klicken Sie auf der Karte HDS-Status auf HDS-Aktivierung . |
Mandantenorganisationen in Partner Hub hinzufügen
Weisen Sie bei dieser Aufgabe Kundenorganisationen Ihrem Hybrid-Datensicherheitscluster zu.
| 1 |
Melden Sie sich bei https://admin.webex.com an. |
| 2 |
Wählen Sie im Menü auf der linken Seite die Option Dienste aus. |
| 3 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach Hybrid-Datensicherheit und klicken Sie auf Alle anzeigen. |
| 4 |
Klicken Sie auf den Cluster, dem ein Kunde zugewiesen werden soll. |
| 5 |
Wechseln Sie zur Registerkarte Zugewiesene Kunden . |
| 6 |
Klicken Sie auf Kunden hinzufügen. |
| 7 |
Wählen Sie im Dropdown-Menü den Kunden aus, den Sie hinzufügen möchten. |
| 8 |
Klicken Sie auf Hinzufügen. Der Kunde wird dem Cluster hinzugefügt. |
| 9 |
Wiederholen Sie die Schritte 6 bis 8, um mehrere Kunden zu Ihrem Cluster hinzuzufügen. |
| 10 |
Klicken Sie auf Fertig am unteren Bildschirmrand, nachdem Sie die Kunden hinzugefügt haben. |
Nächste Schritte
Kundenhauptschlüssel (Customer Main Keys, CMKs) mit dem HDS Setup-Tool erstellen
Vorbereitungen
Weisen Sie Kunden dem entsprechenden Cluster zu, wie unter Mandantenorganisationen in Partner Hub hinzufügen beschrieben. Führen Sie das HDS Setup-Tool aus, um den Einrichtungsprozess für die neu hinzugefügten Kundenorganisationen abzuschließen.
-
Das HDS Setup Tool wird als Docker Container auf einem lokalen Computer ausgeführt. Um darauf zu zugreifen, führen Sie Docker auf diesem Computer aus. Der Einrichtungsprozess erfordert die Anmeldeinformationen eines Partner Hub-Kontos mit vollen Administratorrechten für Ihre Organisation.
Wenn das HDS Setup-Tool hinter einem Proxy in Ihrer Umgebung ausgeführt wird, geben Sie die Proxy-Einstellungen (Server, Port, Anmeldeinformationen) über die Docker-Umgebungsvariablen an, wenn Sie den Docker-Container in Schritt 5 aufrufen. Diese Tabelle enthält einige mögliche Umgebungsvariablen:
Beschreibung
Variable
HTTP-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORTHTTPS-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORT -
Die von Ihnen generierte ISO-Konfigurationsdatei enthält den Hauptschlüssel zur Verschlüsselung der PostgreSQL- oder Microsoft SQL Server-Datenbank. Sie benötigen die neueste Kopie dieser Datei, wenn Sie Konfigurationsänderungen wie die folgenden vornehmen:
-
Datenbank-Anmeldeinformationen
-
Zertifikats-Aktualisierungen
-
Änderungen an der Autorisierungsrichtlinie
-
-
Wenn Sie Datenbankverbindungen verschlüsseln möchten, richten Sie Ihre PostgreSQL- oder SQL Server-Bereitstellung für TLS ein.
Beim Einrichtungsprozess für die Hybrid-Datensicherheit wird eine ISO-Datei erstellt. Anschließend verwenden Sie die ISO, um Ihren Hybrid-Datensicherheitshost zu konfigurieren.
| 1 |
Geben Sie in der Befehlszeile Ihres Computers den entsprechenden Befehl für Ihre Umgebung ein: In regulären Umgebungen: In FedRAMP-Umgebungen: Mit diesem Schritt werden die Bilder vorheriger HDS-Setup-Tools bereinigt. Wenn keine vorherigen Bilder angezeigt werden, erhalten Sie eine Fehlermeldung, die Sie ignorieren können. |
| 2 |
Um sich bei der Docker-Image-Registrierung anmelden zu können, geben Sie Folgendes ein: |
| 3 |
Geben Sie in der Passwortaufforderung diese Hash-Eingabe ein: |
| 4 |
Laden Sie das aktuellste stabile Bild für Ihre Umgebung herunter: In regulären Umgebungen: In FedRAMP-Umgebungen: |
| 5 |
Geben Sie nach Abschluss des Pull-Befehls den entsprechenden Befehl für Ihre Umgebung ein:
Wenn der Container ausgeführt wird, wird "Express server listening on port 8080" (Express-Server hören auf Port 8080) sehen. |
| 6 |
Das Setup-Tool unterstützt die Verbindung zu localhost über http://localhost:8080 nicht. Verwenden Sie http://127.0.0.1:8080 , um eine Verbindung zum Localhost herzustellen. Navigieren Sie in einem Webbrowser zum Localhost, Das Tool verwendet diesen ersten Eintrag des Benutzernamens, um die richtige Umgebung für dieses Konto festzulegen. Das Tool zeigt dann die Standard-Anmeldeaufforderung an. |
| 7 |
Wenn Sie dazu aufgefordert werden, geben Sie Ihre Partner Hub-Administratoranmeldeinformationen ein und klicken Sie dann auf Anmelden , um den Zugriff auf die für die Hybrid-Datensicherheit erforderlichen Dienste zu erlauben. |
| 8 |
Klicken Sie auf der Übersichtsseite des Setup Tool auf Get Started (Erste Schritte). |
| 9 |
Klicken Sie auf der Seite ISO-Import auf Ja. |
| 10 |
Wählen Sie Ihre ISO-Datei im Browser aus und laden Sie sie hoch. Stellen Sie sicher, dass die Verbindung zu Ihrer Datenbank hergestellt wird, um eine CMK-Verwaltung durchzuführen. |
| 11 |
Gehen Sie zur Registerkarte Mandanten-CMK-Verwaltung , auf der Sie die folgenden drei Möglichkeiten zur Verwaltung von Mandanten-CMKs finden.
|
| 12 |
Sobald die CMK-Erstellung erfolgreich war, ändert sich der Status in der Tabelle von CMK-Verwaltung ausstehend zu CMK-Verwaltung. |
| 13 |
Wenn die CMK-Erstellung nicht erfolgreich war, wird ein Fehler angezeigt. |
Mandantenorganisationen entfernen
Vorbereitungen
Nach dem Entfernen können Benutzer von Kundenorganisationen HDS nicht mehr für ihre Verschlüsselungsanforderungen nutzen und verlieren alle vorhandenen Bereiche. Wenden Sie sich an Ihren Cisco-Partner oder Ihren Account Manager, bevor Sie Kundenorganisationen entfernen.
| 1 |
Melden Sie sich bei https://admin.webex.com an. |
| 2 |
Wählen Sie im Menü auf der linken Seite die Option Dienste aus. |
| 3 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach Hybrid-Datensicherheit und klicken Sie auf Alle anzeigen. |
| 4 |
Klicken Sie auf der Registerkarte Ressourcen auf den Cluster, aus dem Sie Kundenorganisationen entfernen möchten. |
| 5 |
Klicken Sie auf der sich öffnenden Seite auf Zugewiesene Kunden. |
| 6 |
Klicken Sie in der angezeigten Liste der Kundenorganisationen auf ... auf der rechten Seite der Kundenorganisation, die Sie entfernen möchten, und klicken Sie auf Aus Cluster entfernen. |
Nächste Schritte
Schließen Sie den Löschvorgang ab, indem Sie die CMKs der Kundenorganisationen sperren, wie unter CMKs von Tenants, die aus HDS entfernt wurden, beschrieben.
Widerrufen Sie die CMKs von Mandanten, die aus HDS entfernt wurden.
Vorbereitungen
Entfernen Sie Kunden aus dem entsprechenden Cluster, wie unter Mandantenorganisationen entfernen beschrieben. Führen Sie das HDS Setup-Tool aus, um den Entfernungsprozess für die Kundenorganisationen abzuschließen, die entfernt wurden.
-
Das HDS Setup Tool wird als Docker Container auf einem lokalen Computer ausgeführt. Um darauf zu zugreifen, führen Sie Docker auf diesem Computer aus. Der Einrichtungsprozess erfordert die Anmeldeinformationen eines Partner Hub-Kontos mit vollen Administratorrechten für Ihre Organisation.
Wenn das HDS Setup-Tool hinter einem Proxy in Ihrer Umgebung ausgeführt wird, geben Sie die Proxy-Einstellungen (Server, Port, Anmeldeinformationen) über die Docker-Umgebungsvariablen an, wenn Sie den Docker-Container in Schritt 5 aufrufen. Diese Tabelle enthält einige mögliche Umgebungsvariablen:
Beschreibung
Variable
HTTP-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORTHTTPS-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORT -
Die von Ihnen generierte ISO-Konfigurationsdatei enthält den Hauptschlüssel zur Verschlüsselung der PostgreSQL- oder Microsoft SQL Server-Datenbank. Sie benötigen die neueste Kopie dieser Datei, wenn Sie Konfigurationsänderungen wie die folgenden vornehmen:
-
Datenbank-Anmeldeinformationen
-
Zertifikats-Aktualisierungen
-
Änderungen an der Autorisierungsrichtlinie
-
-
Wenn Sie Datenbankverbindungen verschlüsseln möchten, richten Sie Ihre PostgreSQL- oder SQL Server-Bereitstellung für TLS ein.
Beim Einrichtungsprozess für die Hybrid-Datensicherheit wird eine ISO-Datei erstellt. Anschließend verwenden Sie die ISO, um Ihren Hybrid-Datensicherheitshost zu konfigurieren.
| 1 |
Geben Sie in der Befehlszeile Ihres Computers den entsprechenden Befehl für Ihre Umgebung ein: In regulären Umgebungen: In FedRAMP-Umgebungen: Mit diesem Schritt werden die Bilder vorheriger HDS-Setup-Tools bereinigt. Wenn keine vorherigen Bilder angezeigt werden, erhalten Sie eine Fehlermeldung, die Sie ignorieren können. |
| 2 |
Um sich bei der Docker-Image-Registrierung anmelden zu können, geben Sie Folgendes ein: |
| 3 |
Geben Sie in der Passwortaufforderung diese Hash-Eingabe ein: |
| 4 |
Laden Sie das aktuellste stabile Bild für Ihre Umgebung herunter: In regulären Umgebungen: In FedRAMP-Umgebungen: |
| 5 |
Geben Sie nach Abschluss des Pull-Befehls den entsprechenden Befehl für Ihre Umgebung ein:
Wenn der Container ausgeführt wird, wird "Express server listening on port 8080" (Express-Server hören auf Port 8080) sehen. |
| 6 |
Das Setup-Tool unterstützt die Verbindung zu localhost über http://localhost:8080 nicht. Verwenden Sie http://127.0.0.1:8080 , um eine Verbindung zum Localhost herzustellen. Navigieren Sie in einem Webbrowser zum Localhost, Das Tool verwendet diesen ersten Eintrag des Benutzernamens, um die richtige Umgebung für dieses Konto festzulegen. Das Tool zeigt dann die Standard-Anmeldeaufforderung an. |
| 7 |
Wenn Sie dazu aufgefordert werden, geben Sie Ihre Partner Hub-Administratoranmeldeinformationen ein und klicken Sie dann auf Anmelden , um den Zugriff auf die für die Hybrid-Datensicherheit erforderlichen Dienste zu erlauben. |
| 8 |
Klicken Sie auf der Übersichtsseite des Setup Tool auf Get Started (Erste Schritte). |
| 9 |
Klicken Sie auf der Seite ISO-Import auf Ja. |
| 10 |
Wählen Sie Ihre ISO-Datei im Browser aus und laden Sie sie hoch. |
| 11 |
Gehen Sie zur Registerkarte Mandanten-CMK-Verwaltung , auf der Sie die folgenden drei Möglichkeiten zur Verwaltung von Mandanten-CMKs finden.
|
| 12 |
Sobald die CMK-Sperrung erfolgreich ist, wird die Kundenorganisation nicht mehr in der Tabelle angezeigt. |
| 13 |
Wenn die CMK-Sperrung nicht erfolgreich ist, wird ein Fehler angezeigt. |
Testen Ihrer Hybrid-Datensicherheitsbereitstellung
Testen Ihrer Bereitstellung für die Hybrid-Datensicherheit
Vorbereitungen
-
Richten Sie die Multi-Tenant-Hybrid-Datensicherheitsbereitstellung ein.
-
Stellen Sie sicher, dass Sie auf das Syslog zugreifen können, um zu überprüfen, ob wichtige Anforderungen an Ihre Multi-Tenant-Hybrid-Datensicherheitsbereitstellung weitergeleitet werden.
| 1 |
Schlüssel für einen bestimmten Bereich werden vom Ersteller des Bereichs festgelegt. Melden Sie sich bei der Webex-App als einer der Benutzer der Kundenorganisation an und erstellen Sie einen Bereich. Wenn Sie die Hybrid-Datensicherheitsbereitstellung deaktivieren, sind Inhalte in von Benutzern erstellten Bereichen nicht mehr verfügbar, nachdem die im Client zwischengespeicherten Kopien der Verschlüsselungscodes ersetzt wurden. |
| 2 |
Senden Sie Nachrichten an den neuen Bereich. |
| 3 |
Überprüfen Sie die Syslog-Ausgabe, um sicherzustellen, dass die Schlüsselanforderungen an Ihre Hybrid-Datensicherheitsbereitstellung weitergeleitet werden. |
Überwachen des Status der Hybrid-Datensicherheit
| 1 |
Wählen Sie in Partner Hub im Menü auf der linken Seite des Bildschirms die Option Dienste aus. |
| 2 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach „Hybrid-Datensicherheit“ und klicken Sie auf Einstellungen bearbeiten. Die Seite „Hybrid Data Security Settings“ (Einstellungen für Hybrid-Datensicherheit) wird angezeigt.
|
| 3 |
Geben Sie im Abschnitt zu E-Mail-Benachrichtigungen eine oder mehrere Adressen durch Komma getrennt ein und drücken Sie Enter. |
HDS-Bereitstellung verwalten
Verwalten der HDS-Bereitstellung
Verwenden Sie die hier beschriebenen Aufgaben, um Ihre Hybrid-Datensicherheitsbereitstellung zu verwalten.
Festlegen des Upgrade-Zeitplans für Cluster
So legen Sie den Upgrade-Zeitplan fest:
| 1 |
Melden Sie sich bei Partner Hub an. |
| 2 |
Wählen Sie im Menü auf der linken Seite die Option Dienste aus. |
| 3 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach „Hybrid-Datensicherheit“ und klicken Sie auf Einrichten. |
| 4 |
Wählen Sie auf der Seite „Hybrid-Datensicherheitsressourcen“ den Cluster aus. |
| 5 |
Klicken Sie auf die Registerkarte Cluster-Einstellungen . |
| 6 |
Wählen Sie auf der Seite „Cluster-Einstellungen“ unter „Upgrade-Zeitplan“ die Uhrzeit und die Zeitzone für den Upgrade-Zeitplan aus. Hinweis: Unter der Zeitzone wird der nächste verfügbare Zeitpunkt für ein Upgrade angezeigt. Sie können das Upgrade bei Bedarf auf den folgenden Tag verschieben, indem Sie auf Um 24 Stunden verschieben klicken. |
Ändern der Knotenkonfiguration
-
Änderung der x.509-Zertifikate aufgrund Ablaufs oder anderer Gründe.
Wir unterstützen keine Änderung des CN-Domänennamens eines Zertifikats. Die Domäne muss mit der Originaldomäne übereinstimmen, die zur Registrierung des Clusters verwendet wurde.
-
Datenbankeinstellungen werden aktualisiert, um auf eine Replik der PostgreSQL- oder Microsoft SQL Server-Datenbank zu wechseln.
Wir unterstützen keine Migration von Daten von PostgreSQL zu Microsoft SQL Server oder auf den entgegengesetzten Weg. Um die Datenbankumgebung zu wechseln, starten Sie eine neue Bereitstellung von Hybrid Data Security.
-
Erstellen einer neuen Konfiguration, um ein neues Datenzentrum vorzubereiten.
Aus Sicherheitsgründen verwendet Hybrid Data Security Dienstkonto-Passwörter mit einer Laufzeit von neun Monaten. Nachdem das HDS Setup Tool diese Passwörter generiert hat, stellen Sie sie für jeden Ihrer HDS-Knoten in der ISO-Konfigurationsdatei bereit. Wenn die Kennwörter Ihrer Organisation fast ablaufen, erhalten Sie eine Benachrichtigung vom Webex-Team, mit der Sie das Passwort für Ihr Computerkonto zurücksetzen können. (Die E-Mail enthält den Text "Verwenden Sie die Maschinenkonto-API, um das Passwort zu aktualisieren"). Wenn Ihre Passwörter noch nicht abgelaufen sind, bietet Ihnen das Tool zwei Optionen:
-
Weiches Zurücksetzen – Das alte und das neue Kennwort können beide bis zu 10 Tage lang verwendet werden. Verwenden Sie diesen Zeitraum, um die ISO-Datei der Knoten schrittweise zu ersetzen.
-
Harte Zurücksetzung: Die alten Passwörter funktionieren sofort nicht mehr.
Wenn Ihre Passwörter ohne Zurücksetzen ablaufen, wirkt sich dies auf Ihren HDS-Dienst aus, was ein sofortiges Zurücksetzen und Ersetzen der ISO-Datei auf allen Knoten erfordert.
Verwenden Sie dieses Verfahren, um eine neue ISO-Konfigurationsdatei zu generieren und auf Ihren Cluster anzuwenden.
Vorbereitungen
-
Das HDS Setup Tool wird als Docker Container auf einem lokalen Computer ausgeführt. Um darauf zu zugreifen, führen Sie Docker auf diesem Computer aus. Der Einrichtungsprozess erfordert die Anmeldeinformationen eines Partner Hub-Kontos mit vollen Partneradministratorrechten.
Wenn das HDS Setup-Tool hinter einem Proxy in Ihrer Umgebung ausgeführt wird, geben Sie die Proxy-Einstellungen (Server, Port, Anmeldeinformationen) über die Docker-Umgebungsvariablen an, wenn Sie den Docker Container in 1.e aufrufen. Diese Tabelle enthält einige mögliche Umgebungsvariablen:
Beschreibung
Variable
HTTP-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORTHTTPS-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORT -
Um eine neue Konfiguration zu erstellen, benötigen Sie eine Kopie der aktuellen ISO-Konfigurationsdatei. Die ISO enthält den Masterschlüssel zur Verschlüsselung der PostgreSQL- oder Microsoft SQL Server-Datenbank. Sie benötigen die ISO-Datei, wenn Sie Konfigurationsänderungen vornehmen, wie z. B. Datenbank-Anmeldeinformationen, Zertifikataktualisierungen oder Änderungen an der Autorisierungsrichtlinie.
| 1 |
Führen Sie auf einem lokalen Computer, auf dem Docker läuft, das HDS Setup Tool aus. |
| 2 |
Wenn Sie nur einen HDS-Knoten ausführen, erstellen Sie eine neue VM für den Hybrid-Datensicherheitsknoten und registrieren Sie sie mithilfe der neuen ISO-Konfigurationsdatei. Detaillierte Anweisungen finden Sie unter Weitere Knoten erstellen und registrieren. |
| 3 |
Mounten Sie bei vorhandenen HDS-Knoten, auf denen die ältere Konfigurationsdatei ausgeführt wird, die ISO-Datei. Führen Sie für jeden Knoten des Knotens folgende Schritte durch, indem Sie jeden Knoten aktualisieren, bevor Sie den nächsten Knoten deaktivieren: |
| 4 |
Wiederholen Sie Schritt 3, um bei jedem weiteren Knoten zu ersetzen, auf dem noch die alte Konfiguration ausgeführt wird, die Konfiguration zu ersetzen. |
Blockierte externe DNS Auflösungsmodus deaktivieren
Wenn Sie einen Knoten registrieren oder die Proxykonfiguration des Knotens überprüfen, testet das Verfahren die DNS und die Konnektivität der Cisco WebEx. Wenn der DNS-Server des Knotens öffentliche DNS nicht auflösen kann, geht der Knoten automatisch in den gesperrten externen DNS-Server.
Wenn Ihre Knoten öffentliche DNS über interne DNS-Server auflösen können, aktivieren Sie diesen Modus, indem Sie den Proxyverbindungstest für jeden Knoten deaktivieren.
Vorbereitungen
| 1 |
Öffnen Sie in einem Webbrowser die Schnittstelle für den Hybrid-Datensicherheitsknoten (IP-Adresse/Einrichtung, https://192.0.2.0/setup), geben Sie beispielsweise die für den Knoten eingerichteten Admin-Anmeldeinformationen ein, und klicken Sie dann auf Anmelden. |
| 2 |
Gehen Sie zu Übersicht (Standardseite). Wenn diese Option aktiviert ist, wird die externe DNS auf "Ja" gesetzt . |
| 3 |
Gehen Sie zur Seite Vertrauensspeicher und Proxy . |
| 4 |
Klicken Sie auf Stellvertreterverbindung prüfen. Wenn Sie eine Meldung sehen, dass eine externe DNS nicht erfolgreich war, konnte der Knoten den DNS-Server nicht erreichen und wird in diesem Modus verbleiben. Andernfalls sollte nach dem Neustart des Knotens und der Rückfahrt zur Übersichtsseite die gesperrte externe DNS auf "Nein" gesetzt werden. |
Nächste Schritte
Entfernen eines Knotens
| 1 |
Melden Sie sich über den VMware vSphere-Client auf Ihrem Computer bei dem ESXi virtuellen Host an und schalten Sie die virtuelle Maschine aus. |
| 2 |
Entfernen des Knotens: |
| 3 |
Löschen Sie die VM im vSphere-Client. (Klicken Sie im linken Navigationsbereich mit der rechten Maustaste auf die VM, und klicken Sie auf Löschen.) Wenn Sie die VM nicht löschen, denken Sie daran, die Konfigurations-ISO-Datei zu deinstallieren. Ohne die ISO-Datei können Sie die VM nicht verwenden, um auf Ihre Sicherheitsdaten zuzugreifen. |
Notfallwiederherstellung mit Standby-Rechenzentrum
Der wichtigste Dienst, den Ihr Hybrid-Datensicherheitscluster bietet, ist die Erstellung und Speicherung von Schlüsseln, mit denen Nachrichten und andere in der Webex-Cloud gespeicherte Inhalte verschlüsselt werden. Für jeden Benutzer innerhalb der Organisation, der der Hybrid-Datensicherheit zugewiesen ist, werden neue Anforderungen zur Schlüsselerstellung an das Cluster weitergeleitet. Der Cluster ist zudem dafür verantwortlich, die erstellten Schlüssel an Benutzer zurückzusenden, die zum Abrufen von Schlüsseln berechtigt sind. Hierzu gehören beispielsweise Mitglieder eines Gesprächsraums.
Da der Cluster die wichtige Funktion erfüllt, diese Schlüssel bereitzustellen, ist es höchst wichtig, dass der Cluster in Betrieb bleibt und korrekte Backups erstellt werden. Der Verlust der Hybrid-Datensicherheitsdatenbank oder der für das Schema verwendeten Konfigurations-ISO führt zu einem NICHT BEHEBBAREN VERLUST von Kundeninhalten. Die folgenden Praktiken sind zwingend erforderlich, um einem derartigen Verlust vorzubeugen:
Wenn eine Katastrophe dazu führt, dass die HDS-Bereitstellung im primären Rechenzentrum nicht mehr verfügbar ist, führen Sie dieses Verfahren aus, um ein manuelles Failover auf das Standby-Rechenzentrum durchzuführen.
Vorbereitungen
| 1 |
Starten Sie das HDS-Setup-Tool und führen Sie die unter Erstellen einer Konfigurations-ISO für die HDS-Hosts beschriebenen Schritte aus. |
| 2 |
Schließen Sie den Konfigurationsprozess ab und speichern Sie die ISO-Datei an einem leicht auffindbaren Speicherort. |
| 3 |
Erstellen Sie eine Sicherungskopie der ISO-Datei auf Ihrem lokalen System. Sichern Sie die Sicherungskopie sicher. Die Datei enthält einen Master-Verschlüsselungsschlüssel für die Datenbankinhalte. Beschränken Sie den Zugriff auf Administratoren für Hybrid-Datensicherheit, die Konfigurationsänderungen vornehmen sollten. |
| 4 |
Rechtsklicken Sie im linken Navigationsbereich des VMware vSphere Client auf die VM. Klicken Sie daraufhin auf Edit Settings (Einstellungen bearbeiten). |
| 5 |
Klicken Sie auf Einstellungen bearbeiten >CD/DVD-Laufwerk 1 und wählen Sie Datenspeicher-ISO-Datei. Stellen Sie sicher, dass Verbunden und Verbinden beim Einschalten aktiviert sind, damit aktualisierte Konfigurationsänderungen nach dem Starten der Knoten wirksam werden können. |
| 6 |
Schalten Sie den HDS-Knoten ein und stellen Sie sicher, dass mindestens 15 Minuten lang keine Alarme vorhanden sind. |
| 7 |
Registrieren Sie den Knoten im Partner Hub. Weitere Informationen finden Sie unter Ersten Knoten im Cluster registrieren. |
| 8 |
Wiederholen Sie den Vorgang für jeden Knoten im Standby-Rechenzentrum. |
Nächste Schritte
(Optional) ISO nach HDS-Konfiguration aushängen
Die Standard-HDS-Konfiguration wird mit eingebauter ISO ausgeführt. Einige Kunden ziehen es jedoch vor, die ISO-Dateien nicht kontinuierlich eingebunden zu lassen. Sie können die ISO-Datei unmounten, nachdem alle HDS-Knoten die neue Konfiguration übernommen haben.
Sie verwenden weiterhin die ISO-Dateien, um Konfigurationsänderungen vorzunehmen. Wenn Sie eine neue ISO erstellen oder eine ISO über das Setup-Tool aktualisieren, müssen Sie die aktualisierte ISO auf allen HDS-Knoten mounten. Wenn alle Knoten die Konfigurationsänderungen übernommen haben, können Sie die ISO mit diesem Verfahren erneut deinstallieren.
Vorbereitungen
Aktualisieren Sie alle Ihre HDS-Knoten auf Version 2021.01.22.4720 oder höher.
| 1 |
Fahren Sie einen Ihrer HDS-Knoten herunter. |
| 2 |
Wählen Sie in der vCenter Server-Appliance den HDS-Knoten aus. |
| 3 |
Wählen Sie und deaktivieren Sie ISO-Datei für Datenspeicher. |
| 4 |
Schalten Sie den HDS-Knoten ein und stellen Sie sicher, dass mindestens 20 Minuten lang keine Alarme angezeigt werden. |
| 5 |
Wiederholen Sie dies für jeden HDS-Knoten der Reihe nach. |
Problembehandlung der Hybrid-Datensicherheit
Anzeigen von Warnungen und Beheben von Fehlern
Eine Hybrid-Datensicherheitsbereitstellung gilt als nicht verfügbar, wenn alle Knoten im Cluster nicht erreichbar sind oder der Cluster so langsam arbeitet, dass eine Zeitüberschreitung erforderlich ist. Wenn Benutzer Ihr Hybrid-Datensicherheitscluster nicht erreichen können, treten folgende Symptome auf:
-
Neue Bereiche können nicht erstellt werden (es konnten keine neuen Schlüssel erstellt werden)
-
Nachrichten- und Bereichstitel konnten für folgende Benutzer nicht entschlüsselt werden:
-
Neue zu einem Bereich hinzugefügte Benutzer (Schlüssel konnten nicht abgerufen werden)
-
Vorhandene Benutzer in einem Bereich, der einen neuen Client verwendet (Schlüssel konnten nicht abgerufen werden)
-
-
Vorhandene Benutzer in einem Bereich werden weiterhin erfolgreich ausgeführt, sofern ihre Clients über einen Cache für Verschlüsselungsschlüssel verfügen
Es ist wichtig, dass Sie Ihren Hybrid-Datensicherheitscluster ordnungsgemäß überwachen und alle Warnungen umgehend adressieren, um Dienstunterbrechungen zu vermeiden.
Warnungen
Wenn es ein Problem mit der Einrichtung der Hybrid-Datensicherheit gibt, zeigt Partner Hub Warnungen an den Administrator der Organisation an und sendet E-Mails an die konfigurierte E-Mail-Adresse. Die Warnungen betreffen viele gängige Szenarien.
|
Alarm |
Vorgang |
|---|---|
|
Fehler beim Zugriff auf die lokale Datenbank. |
Überprüfen Sie das System auf Datenbankfehler oder lokale Netzwerkprobleme. |
|
Fehler beim Herstellen einer Verbindung zur lokalen Datenbank. |
Vergewissern Sie sich, dass der Datenbankserver verfügbar ist und die richtigen Dienstkonto-Anmeldeinformationen in der Knotenkonfiguration verwendet wurden. |
|
Fehler beim Zugriff auf den Clouddienst. |
Überprüfen Sie, ob die Knoten auf die Webex-Server zugreifen können, wie unter Externe Verbindungsanforderungen angegeben. |
|
Registrierung des Clouddiensts wird erneuert. |
Registrierung von Clouddiensten wurde verworfen. Erneuerung der Registrierung wird durchgeführt. |
|
Registrierung des Clouddiensts wurde verworfen. |
Registrierung von Clouddiensten wurde beendet. Dienst wird beendet. |
|
Dienst noch nicht aktiviert. |
Aktivieren Sie HDS in Partner Hub. |
|
Konfigurierte Domäne stimmt nicht mit dem Serverzertifikat überein. |
Vergewissern Sie sich, dass das Serverzertifikat mit der konfigurierten Dienstaktivierungsdomäne übereinstimmt. Die wahrscheinlichste Ursache lautet, dass die Zertifikat-CN vor kurzem geändert wurde und nun von der CN abweicht, die während der ursprünglichen Einrichtung verwendet wurde. |
|
Clouddienste konnten nicht authentifiziert werden. |
Prüfen Sie die Daten auf korrekte Eingabe und einen möglichen Ablauf der Dienstkonto-Anmeldeinformationen. |
|
Lokale Schlüsselspeicherdatei konnte nicht geöffnet werden. |
Überprüfen Sie die lokale Schlüsselspeicherdatei auf Integrität und Kennwortgenauigkeit. |
|
Lokales Serverzertifikat ist ungültig. |
Überprüfen Sie das Ablaufdatum des Serverzertifikats und vergewissern Sie sich, dass es von einer vertrauenswürdigen Zertifizierungsstelle ausgestellt wurde. |
|
Metriken konnten nicht gepostet werden. |
Überprüfen Sie den Zugriff des lokalen Netzwerks auf externe Clouddienste. |
|
Das Verzeichnis /media/configdrive/hds ist nicht vorhanden. |
Überprüfen Sie die ISO-Mountkonfiguration auf dem virtuellen Host. Vergewissern Sie sich, dass die ISO-Datei vorhanden ist, die beim Neustart für das Mounten konfiguriert ist und das Mounten erfolgreich ausgeführt wird. |
|
Die Einrichtung der Mandanten-Organisation ist für die hinzugefügten Organisationen nicht abgeschlossen |
Schließen Sie die Einrichtung ab, indem Sie mit dem HDS Setup Tool CMKs für neu hinzugefügte Mandantenorganisationen erstellen. |
|
Die Einrichtung der Mandantenorganisation ist für die entfernten Organisationen nicht abgeschlossen |
Schließen Sie die Einrichtung ab, indem Sie die CMKs der Mandantenorganisationen, die mit dem HDS Setup Tool entfernt wurden, widerrufen. |
Problembehandlung der Hybrid-Datensicherheit
| 1 |
Prüfen Sie Partner Hub auf Warnungen und beheben Sie alle Elemente, die Sie dort finden. Weitere Informationen finden Sie im Bild unten. |
| 2 |
Überprüfen Sie die Syslog-Serverausgabe auf Aktivität aus der Hybrid-Datensicherheitsbereitstellung. Filtern Sie nach Wörtern wie „Warnung“ und „Fehler“, um bei der Fehlerbehebung zu helfen. |
| 3 |
Kontaktieren Sie den Cisco-Support. |
Sonstige Hinweise
Bekannte Probleme mit Hybrid-Datensicherheit
-
Wenn Sie Ihren Hybrid-Datensicherheitscluster herunterfahren (indem Sie ihn im Partner Hub löschen oder alle Knoten herunterfahren), Ihre Konfigurations-ISO-Datei verlieren oder den Zugriff auf die Keystore-Datenbank verlieren, können Webex-App-Benutzer von Kundenorganisationen keine Bereiche in ihrer Personenliste mehr verwenden, die mit Schlüsseln von Ihrem KMS erstellt wurden. Wir haben aktuell keine Problemumgehung oder Lösung für dieses Problem und empfehlen Ihnen dringend, Ihre HDS-Dienste nicht herunterzufahren, sobald sie aktive Benutzerkonten verarbeiten.
-
Ein Client, der über eine bestehende ECDH-Verbindung zu einem KMS verfügt, hält die Verbindung für einen Zeitraum aufrecht (ca. eine Stunde).
Generieren einer PKCS12-Datei mit OpenSSL
Vorbereitungen
-
OpenSSL ist eines der Tools, mit denen die PKCS12-Datei im richtigen Format für das Laden in das HDS-Setuptool erstellt werden kann. Es gibt auch andere Verfahren, keines davon wird von uns bevorzugt.
-
Wenn Sie sich für die Verwendung von OpenSSL entscheiden, stellen wir Ihnen dieses Verfahren als Richtlinie zur Verfügung, um eine Datei zu erstellen, die die X.509-Zertifikatsanforderungen in X.509-Zertifikatsanforderungen erfüllt. Machen Sie sich mit diesen Anforderungen vertraut, bevor Sie fortfahren.
-
Installieren Sie OpenSSL in einer unterstützten Umgebung. Software und Dokumentation finden Sie auf https://www.openssl.org.
-
Erstellen Sie einen privaten Schlüssel.
-
Beginnen Sie mit diesem Verfahren, wenn Sie das Serverzertifikat von Ihrer Zertifizierungsstelle (CA, Certificate Authority) erhalten.
| 1 |
Wenn Sie das Zertifikat von der CA erhalten, speichern Sie es als |
| 2 |
Zeigen Sie das Zertifikat als Text an, und überprüfen Sie die Details.
|
| 3 |
Erstellen Sie in einem Text-Editor eine Zertifikatpaketdatei namens
|
| 4 |
Erstellen Sie die P12-Datei mit dem Anzeigenamen
|
| 5 |
Überprüfen Sie die Zertifikatdetails. |
Nächste Schritte
Kehren Sie zurück zu Voraussetzungen für Hybrid-Datensicherheit erfüllen. Sie verwenden die Datei hdsnode.p12 und das Passwort, das Sie dafür festgelegt haben, unter Erstellen einer Konfigurations-ISO für die HDS-Hosts.
Sie können diese Dateien wiederverwenden, um ein neues Zertifikat anzufordern, wenn das ursprüngliche Zertifikat abläuft.
Datenverkehr zwischen den HDS-Knoten und der Cloud
Metriksammlung von ausgehendem Datenverkehr
Die Hybrid-Datensicherheitsknoten senden bestimmte Metriken an die Webex-Cloud. Dazu gehören Systemmetriken für max. Heap, verbrauchter Heap, CPU-Auslastung und Threadanzahl; Metriken zu synchronen und asynchronen Threads; Metriken zu Warnungen, darunter auch ein Schwellenwert der verschlüsselten Verbindungen, Latenz oder eine Anforderungswarteschlangenlänge; Metriken zum Datenspeicher; und Metriken zu verschlüsselten Verbindungen. Die Knoten senden verschlüsseltes Schlüsselmaterial über einen Out-of-Band-Kanal (separat von der Anforderung).
Eingehender Datenverkehr
Die Hybrid-Datensicherheitsknoten erhalten die folgenden Arten von eingehendem Datenverkehr von der Webex-Cloud:
-
Verschlüsselungsanforderungen von Clients, die vom Verschlüsselungsdienst umgeleitet werden
-
Upgrades für die Knoten-Software
Konfigurieren von Tintenfisch für die Hybriddatensicherheit
WebSocket kann nicht über SquID Proxy verbunden werden
Squid-Proxys, die den HTTPS-Datenverkehr prüfen, können die Einrichtung von Websocket-Verbindungen (wss:) beeinträchtigen, die für Hybrid Data Security erforderlich ist. Diese Abschnitte geben Anweisungen, wie Sie verschiedene Versionen von Squid konfigurieren, um WSS zu ignorieren: Datenverkehr für den ordnungsgemäßen Ablauf der Services.
Squid 4 und 5
Fügen Sie die on_unsupported_protocol Richtlinie zu squid.conf hinzu:
on_unsupported_protocol Alle tunnelSquid 3.5.27
Wir haben die Hybriddatensicherheit erfolgreich mit den folgenden Regeln getestet, die zu squid .conf hinzugefügt wurden. Diese Regeln können sich geändert werden, da wir Funktionen entwickeln und die WebEx Cisco aktualisieren.
acl wssMercuryConnection ssl::server_name_regex mercury-connection ssl_bump splice wssMercuryConnection acl step1 at_step SslBump1 acl step2 at_step SslBump2 acl step3 at_step SslBump3 ssl_bump peek step1 alle ssl_bump stare step2 alle ssl_bump bump step3 alleMandantenorganisationen für Multi-Tenant-Hybrid-Datensicherheit verwalten
Multi-Tenant HDS in Partner Hub aktivieren
Diese Aufgabe stellt sicher, dass alle Benutzer der Kundenorganisationen HDS für lokale Verschlüsselungsschlüssel und andere Sicherheitsdienste nutzen können.
Vorbereitungen
Stellen Sie sicher, dass Sie die Einrichtung Ihres Multi-Tenant-HDS-Clusters mit der erforderlichen Anzahl an Knoten abgeschlossen haben.
| 1 |
Melden Sie sich bei https://admin.webex.com an. |
| 2 |
Wählen Sie im Menü auf der linken Seite die Option Dienste aus. |
| 3 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach „Hybrid-Datensicherheit“ und klicken Sie auf Einstellungen bearbeiten. |
| 4 |
Klicken Sie auf der Karte HDS-Status auf HDS-Aktivierung . |
Mandantenorganisationen in Partner Hub hinzufügen
Weisen Sie bei dieser Aufgabe Kundenorganisationen Ihrem Hybrid-Datensicherheitscluster zu.
| 1 |
Melden Sie sich bei https://admin.webex.com an. |
| 2 |
Wählen Sie im Menü auf der linken Seite die Option Dienste aus. |
| 3 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach Hybrid-Datensicherheit und klicken Sie auf Alle anzeigen. |
| 4 |
Klicken Sie auf den Cluster, dem ein Kunde zugewiesen werden soll. |
| 5 |
Wechseln Sie zur Registerkarte Zugewiesene Kunden . |
| 6 |
Klicken Sie auf Kunden hinzufügen. |
| 7 |
Wählen Sie im Dropdown-Menü den Kunden aus, den Sie hinzufügen möchten. |
| 8 |
Klicken Sie auf Hinzufügen. Der Kunde wird dem Cluster hinzugefügt. |
| 9 |
Wiederholen Sie die Schritte 6 bis 8, um mehrere Kunden zu Ihrem Cluster hinzuzufügen. |
| 10 |
Klicken Sie auf Fertig am unteren Bildschirmrand, nachdem Sie die Kunden hinzugefügt haben. |
Nächste Schritte
Kundenhauptschlüssel (Customer Main Keys, CMKs) mit dem HDS Setup-Tool erstellen
Vorbereitungen
Weisen Sie Kunden dem entsprechenden Cluster zu, wie unter Mandantenorganisationen in Partner Hub hinzufügen beschrieben. Führen Sie das HDS Setup-Tool aus, um den Einrichtungsprozess für die neu hinzugefügten Kundenorganisationen abzuschließen.
-
Das HDS Setup Tool wird als Docker Container auf einem lokalen Computer ausgeführt. Um darauf zu zugreifen, führen Sie Docker auf diesem Computer aus. Der Einrichtungsprozess erfordert die Anmeldeinformationen eines Partner Hub-Kontos mit vollen Administratorrechten für Ihre Organisation.
Wenn das HDS Setup-Tool hinter einem Proxy in Ihrer Umgebung ausgeführt wird, geben Sie die Proxy-Einstellungen (Server, Port, Anmeldeinformationen) über die Docker-Umgebungsvariablen an, wenn Sie den Docker-Container in Schritt 5 aufrufen. Diese Tabelle enthält einige mögliche Umgebungsvariablen:
Beschreibung
Variable
HTTP-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORTHTTPS-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORT -
Die von Ihnen generierte ISO-Konfigurationsdatei enthält den Hauptschlüssel zur Verschlüsselung der PostgreSQL- oder Microsoft SQL Server-Datenbank. Sie benötigen die neueste Kopie dieser Datei, wenn Sie Konfigurationsänderungen wie die folgenden vornehmen:
-
Datenbank-Anmeldeinformationen
-
Zertifikats-Aktualisierungen
-
Änderungen an der Autorisierungsrichtlinie
-
-
Wenn Sie Datenbankverbindungen verschlüsseln möchten, richten Sie Ihre PostgreSQL- oder SQL Server-Bereitstellung für TLS ein.
Beim Einrichtungsprozess für die Hybrid-Datensicherheit wird eine ISO-Datei erstellt. Anschließend verwenden Sie die ISO, um Ihren Hybrid-Datensicherheitshost zu konfigurieren.
| 1 |
Geben Sie in der Befehlszeile Ihres Computers den entsprechenden Befehl für Ihre Umgebung ein: In regulären Umgebungen: In FedRAMP-Umgebungen: Mit diesem Schritt werden die Bilder vorheriger HDS-Setup-Tools bereinigt. Wenn keine vorherigen Bilder angezeigt werden, erhalten Sie eine Fehlermeldung, die Sie ignorieren können. |
| 2 |
Um sich bei der Docker-Image-Registrierung anmelden zu können, geben Sie Folgendes ein: |
| 3 |
Geben Sie in der Passwortaufforderung diese Hash-Eingabe ein: |
| 4 |
Laden Sie das aktuellste stabile Bild für Ihre Umgebung herunter: In regulären Umgebungen: In FedRAMP-Umgebungen: |
| 5 |
Geben Sie nach Abschluss des Pull-Befehls den entsprechenden Befehl für Ihre Umgebung ein:
Wenn der Container ausgeführt wird, wird "Express server listening on port 8080" (Express-Server hören auf Port 8080) sehen. |
| 6 |
Das Setup-Tool unterstützt die Verbindung zu localhost über http://localhost:8080 nicht. Verwenden Sie http://127.0.0.1:8080 , um eine Verbindung zum Localhost herzustellen. Navigieren Sie in einem Webbrowser zum Localhost, Das Tool verwendet diesen ersten Eintrag des Benutzernamens, um die richtige Umgebung für dieses Konto festzulegen. Das Tool zeigt dann die Standard-Anmeldeaufforderung an. |
| 7 |
Wenn Sie dazu aufgefordert werden, geben Sie Ihre Partner Hub-Administratoranmeldeinformationen ein und klicken Sie dann auf Anmelden , um den Zugriff auf die für die Hybrid-Datensicherheit erforderlichen Dienste zu erlauben. |
| 8 |
Klicken Sie auf der Übersichtsseite des Setup Tool auf Get Started (Erste Schritte). |
| 9 |
Klicken Sie auf der Seite ISO-Import auf Ja. |
| 10 |
Wählen Sie Ihre ISO-Datei im Browser aus und laden Sie sie hoch. Stellen Sie sicher, dass die Verbindung zu Ihrer Datenbank hergestellt wird, um eine CMK-Verwaltung durchzuführen. |
| 11 |
Gehen Sie zur Registerkarte Mandanten-CMK-Verwaltung , auf der Sie die folgenden drei Möglichkeiten zur Verwaltung von Mandanten-CMKs finden.
|
| 12 |
Sobald die CMK-Erstellung erfolgreich war, ändert sich der Status in der Tabelle von CMK-Verwaltung ausstehend zu CMK-Verwaltung. |
| 13 |
Wenn die CMK-Erstellung nicht erfolgreich war, wird ein Fehler angezeigt. |
Mandantenorganisationen entfernen
Vorbereitungen
Nach dem Entfernen können Benutzer von Kundenorganisationen HDS nicht mehr für ihre Verschlüsselungsanforderungen nutzen und verlieren alle vorhandenen Bereiche. Wenden Sie sich an Ihren Cisco-Partner oder Ihren Account Manager, bevor Sie Kundenorganisationen entfernen.
| 1 |
Melden Sie sich bei https://admin.webex.com an. |
| 2 |
Wählen Sie im Menü auf der linken Seite die Option Dienste aus. |
| 3 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach Hybrid-Datensicherheit und klicken Sie auf Alle anzeigen. |
| 4 |
Klicken Sie auf der Registerkarte Ressourcen auf den Cluster, aus dem Sie Kundenorganisationen entfernen möchten. |
| 5 |
Klicken Sie auf der sich öffnenden Seite auf Zugewiesene Kunden. |
| 6 |
Klicken Sie in der angezeigten Liste der Kundenorganisationen auf ... auf der rechten Seite der Kundenorganisation, die Sie entfernen möchten, und klicken Sie auf Aus Cluster entfernen. |
Nächste Schritte
Schließen Sie den Löschvorgang ab, indem Sie die CMKs der Kundenorganisationen sperren, wie unter CMKs von Tenants, die aus HDS entfernt wurden, beschrieben.
Widerrufen Sie die CMKs von Mandanten, die aus HDS entfernt wurden.
Vorbereitungen
Entfernen Sie Kunden aus dem entsprechenden Cluster, wie unter Mandantenorganisationen entfernen beschrieben. Führen Sie das HDS Setup-Tool aus, um den Entfernungsprozess für die Kundenorganisationen abzuschließen, die entfernt wurden.
-
Das HDS Setup Tool wird als Docker Container auf einem lokalen Computer ausgeführt. Um darauf zu zugreifen, führen Sie Docker auf diesem Computer aus. Der Einrichtungsprozess erfordert die Anmeldeinformationen eines Partner Hub-Kontos mit vollen Administratorrechten für Ihre Organisation.
Wenn das HDS Setup-Tool hinter einem Proxy in Ihrer Umgebung ausgeführt wird, geben Sie die Proxy-Einstellungen (Server, Port, Anmeldeinformationen) über die Docker-Umgebungsvariablen an, wenn Sie den Docker-Container in Schritt 5 aufrufen. Diese Tabelle enthält einige mögliche Umgebungsvariablen:
Beschreibung
Variable
HTTP-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORTHTTPS-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORT -
Die von Ihnen generierte ISO-Konfigurationsdatei enthält den Hauptschlüssel zur Verschlüsselung der PostgreSQL- oder Microsoft SQL Server-Datenbank. Sie benötigen die neueste Kopie dieser Datei, wenn Sie Konfigurationsänderungen wie die folgenden vornehmen:
-
Datenbank-Anmeldeinformationen
-
Zertifikats-Aktualisierungen
-
Änderungen an der Autorisierungsrichtlinie
-
-
Wenn Sie Datenbankverbindungen verschlüsseln möchten, richten Sie Ihre PostgreSQL- oder SQL Server-Bereitstellung für TLS ein.
Beim Einrichtungsprozess für die Hybrid-Datensicherheit wird eine ISO-Datei erstellt. Anschließend verwenden Sie die ISO, um Ihren Hybrid-Datensicherheitshost zu konfigurieren.
| 1 |
Geben Sie in der Befehlszeile Ihres Computers den entsprechenden Befehl für Ihre Umgebung ein: In regulären Umgebungen: In FedRAMP-Umgebungen: Mit diesem Schritt werden die Bilder vorheriger HDS-Setup-Tools bereinigt. Wenn keine vorherigen Bilder angezeigt werden, erhalten Sie eine Fehlermeldung, die Sie ignorieren können. |
| 2 |
Um sich bei der Docker-Image-Registrierung anmelden zu können, geben Sie Folgendes ein: |
| 3 |
Geben Sie in der Passwortaufforderung diese Hash-Eingabe ein: |
| 4 |
Laden Sie das aktuellste stabile Bild für Ihre Umgebung herunter: In regulären Umgebungen: In FedRAMP-Umgebungen: |
| 5 |
Geben Sie nach Abschluss des Pull-Befehls den entsprechenden Befehl für Ihre Umgebung ein:
Wenn der Container ausgeführt wird, wird "Express server listening on port 8080" (Express-Server hören auf Port 8080) sehen. |
| 6 |
Das Setup-Tool unterstützt die Verbindung zu localhost über http://localhost:8080 nicht. Verwenden Sie http://127.0.0.1:8080 , um eine Verbindung zum Localhost herzustellen. Navigieren Sie in einem Webbrowser zum Localhost, Das Tool verwendet diesen ersten Eintrag des Benutzernamens, um die richtige Umgebung für dieses Konto festzulegen. Das Tool zeigt dann die Standard-Anmeldeaufforderung an. |
| 7 |
Wenn Sie dazu aufgefordert werden, geben Sie Ihre Partner Hub-Administratoranmeldeinformationen ein und klicken Sie dann auf Anmelden , um den Zugriff auf die für die Hybrid-Datensicherheit erforderlichen Dienste zu erlauben. |
| 8 |
Klicken Sie auf der Übersichtsseite des Setup Tool auf Get Started (Erste Schritte). |
| 9 |
Klicken Sie auf der Seite ISO-Import auf Ja. |
| 10 |
Wählen Sie Ihre ISO-Datei im Browser aus und laden Sie sie hoch. |
| 11 |
Gehen Sie zur Registerkarte Mandanten-CMK-Verwaltung , auf der Sie die folgenden drei Möglichkeiten zur Verwaltung von Mandanten-CMKs finden.
|
| 12 |
Sobald die CMK-Sperrung erfolgreich ist, wird die Kundenorganisation nicht mehr in der Tabelle angezeigt. |
| 13 |
Wenn die CMK-Sperrung nicht erfolgreich ist, wird ein Fehler angezeigt. |
Testen Ihrer Hybrid-Datensicherheitsbereitstellung
Testen Ihrer Bereitstellung für die Hybrid-Datensicherheit
Vorbereitungen
-
Richten Sie die Multi-Tenant-Hybrid-Datensicherheitsbereitstellung ein.
-
Stellen Sie sicher, dass Sie auf das Syslog zugreifen können, um zu überprüfen, ob wichtige Anforderungen an Ihre Multi-Tenant-Hybrid-Datensicherheitsbereitstellung weitergeleitet werden.
| 1 |
Schlüssel für einen bestimmten Bereich werden vom Ersteller des Bereichs festgelegt. Melden Sie sich bei der Webex-App als einer der Benutzer der Kundenorganisation an und erstellen Sie einen Bereich. Wenn Sie die Hybrid-Datensicherheitsbereitstellung deaktivieren, sind Inhalte in von Benutzern erstellten Bereichen nicht mehr verfügbar, nachdem die im Client zwischengespeicherten Kopien der Verschlüsselungscodes ersetzt wurden. |
| 2 |
Senden Sie Nachrichten an den neuen Bereich. |
| 3 |
Überprüfen Sie die Syslog-Ausgabe, um sicherzustellen, dass die Schlüsselanforderungen an Ihre Hybrid-Datensicherheitsbereitstellung weitergeleitet werden. |
Überwachen des Status der Hybrid-Datensicherheit
| 1 |
Wählen Sie in Partner Hub im Menü auf der linken Seite des Bildschirms die Option Dienste aus. |
| 2 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach „Hybrid-Datensicherheit“ und klicken Sie auf Einstellungen bearbeiten. Die Seite „Hybrid Data Security Settings“ (Einstellungen für Hybrid-Datensicherheit) wird angezeigt.
|
| 3 |
Geben Sie im Abschnitt zu E-Mail-Benachrichtigungen eine oder mehrere Adressen durch Komma getrennt ein und drücken Sie Enter. |
HDS-Bereitstellung verwalten
Verwalten der HDS-Bereitstellung
Verwenden Sie die hier beschriebenen Aufgaben, um Ihre Hybrid-Datensicherheitsbereitstellung zu verwalten.
Festlegen des Upgrade-Zeitplans für Cluster
So legen Sie den Upgrade-Zeitplan fest:
| 1 |
Melden Sie sich bei Partner Hub an. |
| 2 |
Wählen Sie im Menü auf der linken Seite die Option Dienste aus. |
| 3 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach „Hybrid-Datensicherheit“ und klicken Sie auf Einrichten. |
| 4 |
Wählen Sie auf der Seite „Hybrid-Datensicherheitsressourcen“ den Cluster aus. |
| 5 |
Klicken Sie auf die Registerkarte Cluster-Einstellungen . |
| 6 |
Wählen Sie auf der Seite „Cluster-Einstellungen“ unter „Upgrade-Zeitplan“ die Uhrzeit und die Zeitzone für den Upgrade-Zeitplan aus. Hinweis: Unter der Zeitzone wird der nächste verfügbare Zeitpunkt für ein Upgrade angezeigt. Sie können das Upgrade bei Bedarf auf den folgenden Tag verschieben, indem Sie auf Um 24 Stunden verschieben klicken. |
Ändern der Knotenkonfiguration
-
Änderung der x.509-Zertifikate aufgrund Ablaufs oder anderer Gründe.
Wir unterstützen keine Änderung des CN-Domänennamens eines Zertifikats. Die Domäne muss mit der Originaldomäne übereinstimmen, die zur Registrierung des Clusters verwendet wurde.
-
Datenbankeinstellungen werden aktualisiert, um auf eine Replik der PostgreSQL- oder Microsoft SQL Server-Datenbank zu wechseln.
Wir unterstützen keine Migration von Daten von PostgreSQL zu Microsoft SQL Server oder auf den entgegengesetzten Weg. Um die Datenbankumgebung zu wechseln, starten Sie eine neue Bereitstellung von Hybrid Data Security.
-
Erstellen einer neuen Konfiguration, um ein neues Datenzentrum vorzubereiten.
Aus Sicherheitsgründen verwendet Hybrid Data Security Dienstkonto-Passwörter mit einer Laufzeit von neun Monaten. Nachdem das HDS Setup Tool diese Passwörter generiert hat, stellen Sie sie für jeden Ihrer HDS-Knoten in der ISO-Konfigurationsdatei bereit. Wenn die Kennwörter Ihrer Organisation fast ablaufen, erhalten Sie eine Benachrichtigung vom Webex-Team, mit der Sie das Passwort für Ihr Computerkonto zurücksetzen können. (Die E-Mail enthält den Text "Verwenden Sie die Maschinenkonto-API, um das Passwort zu aktualisieren"). Wenn Ihre Passwörter noch nicht abgelaufen sind, bietet Ihnen das Tool zwei Optionen:
-
Weiches Zurücksetzen – Das alte und das neue Kennwort können beide bis zu 10 Tage lang verwendet werden. Verwenden Sie diesen Zeitraum, um die ISO-Datei der Knoten schrittweise zu ersetzen.
-
Harte Zurücksetzung: Die alten Passwörter funktionieren sofort nicht mehr.
Wenn Ihre Passwörter ohne Zurücksetzen ablaufen, wirkt sich dies auf Ihren HDS-Dienst aus, was ein sofortiges Zurücksetzen und Ersetzen der ISO-Datei auf allen Knoten erfordert.
Verwenden Sie dieses Verfahren, um eine neue ISO-Konfigurationsdatei zu generieren und auf Ihren Cluster anzuwenden.
Vorbereitungen
-
Das HDS Setup Tool wird als Docker Container auf einem lokalen Computer ausgeführt. Um darauf zu zugreifen, führen Sie Docker auf diesem Computer aus. Der Einrichtungsprozess erfordert die Anmeldeinformationen eines Partner Hub-Kontos mit vollen Partneradministratorrechten.
Wenn das HDS Setup-Tool hinter einem Proxy in Ihrer Umgebung ausgeführt wird, geben Sie die Proxy-Einstellungen (Server, Port, Anmeldeinformationen) über die Docker-Umgebungsvariablen an, wenn Sie den Docker Container in 1.e aufrufen. Diese Tabelle enthält einige mögliche Umgebungsvariablen:
Beschreibung
Variable
HTTP-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORTHTTPS-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORT -
Um eine neue Konfiguration zu erstellen, benötigen Sie eine Kopie der aktuellen ISO-Konfigurationsdatei. Die ISO enthält den Masterschlüssel zur Verschlüsselung der PostgreSQL- oder Microsoft SQL Server-Datenbank. Sie benötigen die ISO-Datei, wenn Sie Konfigurationsänderungen vornehmen, wie z. B. Datenbank-Anmeldeinformationen, Zertifikataktualisierungen oder Änderungen an der Autorisierungsrichtlinie.
| 1 |
Führen Sie auf einem lokalen Computer, auf dem Docker läuft, das HDS Setup Tool aus. |
| 2 |
Wenn Sie nur einen HDS-Knoten ausführen, erstellen Sie eine neue VM für den Hybrid-Datensicherheitsknoten und registrieren Sie sie mithilfe der neuen ISO-Konfigurationsdatei. Detaillierte Anweisungen finden Sie unter Weitere Knoten erstellen und registrieren. |
| 3 |
Mounten Sie bei vorhandenen HDS-Knoten, auf denen die ältere Konfigurationsdatei ausgeführt wird, die ISO-Datei. Führen Sie für jeden Knoten des Knotens folgende Schritte durch, indem Sie jeden Knoten aktualisieren, bevor Sie den nächsten Knoten deaktivieren: |
| 4 |
Wiederholen Sie Schritt 3, um bei jedem weiteren Knoten zu ersetzen, auf dem noch die alte Konfiguration ausgeführt wird, die Konfiguration zu ersetzen. |
Blockierte externe DNS Auflösungsmodus deaktivieren
Wenn Sie einen Knoten registrieren oder die Proxykonfiguration des Knotens überprüfen, testet das Verfahren die DNS und die Konnektivität der Cisco WebEx. Wenn der DNS-Server des Knotens öffentliche DNS nicht auflösen kann, geht der Knoten automatisch in den gesperrten externen DNS-Server.
Wenn Ihre Knoten öffentliche DNS über interne DNS-Server auflösen können, aktivieren Sie diesen Modus, indem Sie den Proxyverbindungstest für jeden Knoten deaktivieren.
Vorbereitungen
| 1 |
Öffnen Sie in einem Webbrowser die Schnittstelle für den Hybrid-Datensicherheitsknoten (IP-Adresse/Einrichtung, https://192.0.2.0/setup), geben Sie beispielsweise die für den Knoten eingerichteten Admin-Anmeldeinformationen ein, und klicken Sie dann auf Anmelden. |
| 2 |
Gehen Sie zu Übersicht (Standardseite). Wenn diese Option aktiviert ist, wird die externe DNS auf "Ja" gesetzt . |
| 3 |
Gehen Sie zur Seite Vertrauensspeicher und Proxy . |
| 4 |
Klicken Sie auf Stellvertreterverbindung prüfen. Wenn Sie eine Meldung sehen, dass eine externe DNS nicht erfolgreich war, konnte der Knoten den DNS-Server nicht erreichen und wird in diesem Modus verbleiben. Andernfalls sollte nach dem Neustart des Knotens und der Rückfahrt zur Übersichtsseite die gesperrte externe DNS auf "Nein" gesetzt werden. |
Nächste Schritte
Entfernen eines Knotens
| 1 |
Melden Sie sich über den VMware vSphere-Client auf Ihrem Computer bei dem ESXi virtuellen Host an und schalten Sie die virtuelle Maschine aus. |
| 2 |
Entfernen des Knotens: |
| 3 |
Löschen Sie die VM im vSphere-Client. (Klicken Sie im linken Navigationsbereich mit der rechten Maustaste auf die VM, und klicken Sie auf Löschen.) Wenn Sie die VM nicht löschen, denken Sie daran, die Konfigurations-ISO-Datei zu deinstallieren. Ohne die ISO-Datei können Sie die VM nicht verwenden, um auf Ihre Sicherheitsdaten zuzugreifen. |
Notfallwiederherstellung mit Standby-Rechenzentrum
Der wichtigste Dienst, den Ihr Hybrid-Datensicherheitscluster bietet, ist die Erstellung und Speicherung von Schlüsseln, mit denen Nachrichten und andere in der Webex-Cloud gespeicherte Inhalte verschlüsselt werden. Für jeden Benutzer innerhalb der Organisation, der der Hybrid-Datensicherheit zugewiesen ist, werden neue Anforderungen zur Schlüsselerstellung an das Cluster weitergeleitet. Der Cluster ist zudem dafür verantwortlich, die erstellten Schlüssel an Benutzer zurückzusenden, die zum Abrufen von Schlüsseln berechtigt sind. Hierzu gehören beispielsweise Mitglieder eines Gesprächsraums.
Da der Cluster die wichtige Funktion erfüllt, diese Schlüssel bereitzustellen, ist es höchst wichtig, dass der Cluster in Betrieb bleibt und korrekte Backups erstellt werden. Der Verlust der Hybrid-Datensicherheitsdatenbank oder der für das Schema verwendeten Konfigurations-ISO führt zu einem NICHT BEHEBBAREN VERLUST von Kundeninhalten. Die folgenden Praktiken sind zwingend erforderlich, um einem derartigen Verlust vorzubeugen:
Wenn eine Katastrophe dazu führt, dass die HDS-Bereitstellung im primären Rechenzentrum nicht mehr verfügbar ist, führen Sie dieses Verfahren aus, um ein manuelles Failover auf das Standby-Rechenzentrum durchzuführen.
Vorbereitungen
| 1 |
Starten Sie das HDS-Setup-Tool und führen Sie die unter Erstellen einer Konfigurations-ISO für die HDS-Hosts beschriebenen Schritte aus. |
| 2 |
Schließen Sie den Konfigurationsprozess ab und speichern Sie die ISO-Datei an einem leicht auffindbaren Speicherort. |
| 3 |
Erstellen Sie eine Sicherungskopie der ISO-Datei auf Ihrem lokalen System. Sichern Sie die Sicherungskopie sicher. Die Datei enthält einen Master-Verschlüsselungsschlüssel für die Datenbankinhalte. Beschränken Sie den Zugriff auf Administratoren für Hybrid-Datensicherheit, die Konfigurationsänderungen vornehmen sollten. |
| 4 |
Rechtsklicken Sie im linken Navigationsbereich des VMware vSphere Client auf die VM. Klicken Sie daraufhin auf Edit Settings (Einstellungen bearbeiten). |
| 5 |
Klicken Sie auf Einstellungen bearbeiten >CD/DVD-Laufwerk 1 und wählen Sie Datenspeicher-ISO-Datei. Stellen Sie sicher, dass Verbunden und Verbinden beim Einschalten aktiviert sind, damit aktualisierte Konfigurationsänderungen nach dem Starten der Knoten wirksam werden können. |
| 6 |
Schalten Sie den HDS-Knoten ein und stellen Sie sicher, dass mindestens 15 Minuten lang keine Alarme vorhanden sind. |
| 7 |
Registrieren Sie den Knoten im Partner Hub. Weitere Informationen finden Sie unter Ersten Knoten im Cluster registrieren. |
| 8 |
Wiederholen Sie den Vorgang für jeden Knoten im Standby-Rechenzentrum. |
Nächste Schritte
(Optional) ISO nach HDS-Konfiguration aushängen
Die Standard-HDS-Konfiguration wird mit eingebauter ISO ausgeführt. Einige Kunden ziehen es jedoch vor, die ISO-Dateien nicht kontinuierlich eingebunden zu lassen. Sie können die ISO-Datei unmounten, nachdem alle HDS-Knoten die neue Konfiguration übernommen haben.
Sie verwenden weiterhin die ISO-Dateien, um Konfigurationsänderungen vorzunehmen. Wenn Sie eine neue ISO erstellen oder eine ISO über das Setup-Tool aktualisieren, müssen Sie die aktualisierte ISO auf allen HDS-Knoten mounten. Wenn alle Knoten die Konfigurationsänderungen übernommen haben, können Sie die ISO mit diesem Verfahren erneut deinstallieren.
Vorbereitungen
Aktualisieren Sie alle Ihre HDS-Knoten auf Version 2021.01.22.4720 oder höher.
| 1 |
Fahren Sie einen Ihrer HDS-Knoten herunter. |
| 2 |
Wählen Sie in der vCenter Server-Appliance den HDS-Knoten aus. |
| 3 |
Wählen Sie und deaktivieren Sie ISO-Datei für Datenspeicher. |
| 4 |
Schalten Sie den HDS-Knoten ein und stellen Sie sicher, dass mindestens 20 Minuten lang keine Alarme angezeigt werden. |
| 5 |
Wiederholen Sie dies für jeden HDS-Knoten der Reihe nach. |
Problembehandlung der Hybrid-Datensicherheit
Anzeigen von Warnungen und Beheben von Fehlern
Eine Hybrid-Datensicherheitsbereitstellung gilt als nicht verfügbar, wenn alle Knoten im Cluster nicht erreichbar sind oder der Cluster so langsam arbeitet, dass eine Zeitüberschreitung erforderlich ist. Wenn Benutzer Ihr Hybrid-Datensicherheitscluster nicht erreichen können, treten folgende Symptome auf:
-
Neue Bereiche können nicht erstellt werden (es konnten keine neuen Schlüssel erstellt werden)
-
Nachrichten- und Bereichstitel konnten für folgende Benutzer nicht entschlüsselt werden:
-
Neue zu einem Bereich hinzugefügte Benutzer (Schlüssel konnten nicht abgerufen werden)
-
Vorhandene Benutzer in einem Bereich, der einen neuen Client verwendet (Schlüssel konnten nicht abgerufen werden)
-
-
Vorhandene Benutzer in einem Bereich werden weiterhin erfolgreich ausgeführt, sofern ihre Clients über einen Cache für Verschlüsselungsschlüssel verfügen
Es ist wichtig, dass Sie Ihren Hybrid-Datensicherheitscluster ordnungsgemäß überwachen und alle Warnungen umgehend adressieren, um Dienstunterbrechungen zu vermeiden.
Warnungen
Wenn es ein Problem mit der Einrichtung der Hybrid-Datensicherheit gibt, zeigt Partner Hub Warnungen an den Administrator der Organisation an und sendet E-Mails an die konfigurierte E-Mail-Adresse. Die Warnungen betreffen viele gängige Szenarien.
|
Alarm |
Vorgang |
|---|---|
|
Fehler beim Zugriff auf die lokale Datenbank. |
Überprüfen Sie das System auf Datenbankfehler oder lokale Netzwerkprobleme. |
|
Fehler beim Herstellen einer Verbindung zur lokalen Datenbank. |
Vergewissern Sie sich, dass der Datenbankserver verfügbar ist und die richtigen Dienstkonto-Anmeldeinformationen in der Knotenkonfiguration verwendet wurden. |
|
Fehler beim Zugriff auf den Clouddienst. |
Überprüfen Sie, ob die Knoten auf die Webex-Server zugreifen können, wie unter Externe Verbindungsanforderungen angegeben. |
|
Registrierung des Clouddiensts wird erneuert. |
Registrierung von Clouddiensten wurde verworfen. Erneuerung der Registrierung wird durchgeführt. |
|
Registrierung des Clouddiensts wurde verworfen. |
Registrierung von Clouddiensten wurde beendet. Dienst wird beendet. |
|
Dienst noch nicht aktiviert. |
Aktivieren Sie HDS in Partner Hub. |
|
Konfigurierte Domäne stimmt nicht mit dem Serverzertifikat überein. |
Vergewissern Sie sich, dass das Serverzertifikat mit der konfigurierten Dienstaktivierungsdomäne übereinstimmt. Die wahrscheinlichste Ursache lautet, dass die Zertifikat-CN vor kurzem geändert wurde und nun von der CN abweicht, die während der ursprünglichen Einrichtung verwendet wurde. |
|
Clouddienste konnten nicht authentifiziert werden. |
Prüfen Sie die Daten auf korrekte Eingabe und einen möglichen Ablauf der Dienstkonto-Anmeldeinformationen. |
|
Lokale Schlüsselspeicherdatei konnte nicht geöffnet werden. |
Überprüfen Sie die lokale Schlüsselspeicherdatei auf Integrität und Kennwortgenauigkeit. |
|
Lokales Serverzertifikat ist ungültig. |
Überprüfen Sie das Ablaufdatum des Serverzertifikats und vergewissern Sie sich, dass es von einer vertrauenswürdigen Zertifizierungsstelle ausgestellt wurde. |
|
Metriken konnten nicht gepostet werden. |
Überprüfen Sie den Zugriff des lokalen Netzwerks auf externe Clouddienste. |
|
Das Verzeichnis /media/configdrive/hds ist nicht vorhanden. |
Überprüfen Sie die ISO-Mountkonfiguration auf dem virtuellen Host. Vergewissern Sie sich, dass die ISO-Datei vorhanden ist, die beim Neustart für das Mounten konfiguriert ist und das Mounten erfolgreich ausgeführt wird. |
|
Die Einrichtung der Mandanten-Organisation ist für die hinzugefügten Organisationen nicht abgeschlossen |
Schließen Sie die Einrichtung ab, indem Sie mit dem HDS Setup Tool CMKs für neu hinzugefügte Mandantenorganisationen erstellen. |
|
Die Einrichtung der Mandantenorganisation ist für die entfernten Organisationen nicht abgeschlossen |
Schließen Sie die Einrichtung ab, indem Sie die CMKs der Mandantenorganisationen, die mit dem HDS Setup Tool entfernt wurden, widerrufen. |
Problembehandlung der Hybrid-Datensicherheit
| 1 |
Prüfen Sie Partner Hub auf Warnungen und beheben Sie alle Elemente, die Sie dort finden. Weitere Informationen finden Sie im Bild unten. |
| 2 |
Überprüfen Sie die Syslog-Serverausgabe auf Aktivität aus der Hybrid-Datensicherheitsbereitstellung. Filtern Sie nach Wörtern wie „Warnung“ und „Fehler“, um bei der Fehlerbehebung zu helfen. |
| 3 |
Kontaktieren Sie den Cisco-Support. |
Sonstige Hinweise
Bekannte Probleme mit Hybrid-Datensicherheit
-
Wenn Sie Ihren Hybrid-Datensicherheitscluster herunterfahren (indem Sie ihn im Partner Hub löschen oder alle Knoten herunterfahren), Ihre Konfigurations-ISO-Datei verlieren oder den Zugriff auf die Keystore-Datenbank verlieren, können Webex-App-Benutzer von Kundenorganisationen keine Bereiche in ihrer Personenliste mehr verwenden, die mit Schlüsseln von Ihrem KMS erstellt wurden. Wir haben aktuell keine Problemumgehung oder Lösung für dieses Problem und empfehlen Ihnen dringend, Ihre HDS-Dienste nicht herunterzufahren, sobald sie aktive Benutzerkonten verarbeiten.
-
Ein Client, der über eine bestehende ECDH-Verbindung zu einem KMS verfügt, hält die Verbindung für einen Zeitraum aufrecht (ca. eine Stunde).
Generieren einer PKCS12-Datei mit OpenSSL
Vorbereitungen
-
OpenSSL ist eines der Tools, mit denen die PKCS12-Datei im richtigen Format für das Laden in das HDS-Setuptool erstellt werden kann. Es gibt auch andere Verfahren, keines davon wird von uns bevorzugt.
-
Wenn Sie sich für die Verwendung von OpenSSL entscheiden, stellen wir Ihnen dieses Verfahren als Richtlinie zur Verfügung, um eine Datei zu erstellen, die die X.509-Zertifikatsanforderungen in X.509-Zertifikatsanforderungen erfüllt. Machen Sie sich mit diesen Anforderungen vertraut, bevor Sie fortfahren.
-
Installieren Sie OpenSSL in einer unterstützten Umgebung. Software und Dokumentation finden Sie auf https://www.openssl.org.
-
Erstellen Sie einen privaten Schlüssel.
-
Beginnen Sie mit diesem Verfahren, wenn Sie das Serverzertifikat von Ihrer Zertifizierungsstelle (CA, Certificate Authority) erhalten.
| 1 |
Wenn Sie das Zertifikat von der CA erhalten, speichern Sie es als |
| 2 |
Zeigen Sie das Zertifikat als Text an, und überprüfen Sie die Details.
|
| 3 |
Erstellen Sie in einem Text-Editor eine Zertifikatpaketdatei namens
|
| 4 |
Erstellen Sie die P12-Datei mit dem Anzeigenamen
|
| 5 |
Überprüfen Sie die Zertifikatdetails. |
Nächste Schritte
Kehren Sie zurück zu Voraussetzungen für Hybrid-Datensicherheit erfüllen. Sie verwenden die Datei hdsnode.p12 und das Passwort, das Sie dafür festgelegt haben, unter Erstellen einer Konfigurations-ISO für die HDS-Hosts.
Sie können diese Dateien wiederverwenden, um ein neues Zertifikat anzufordern, wenn das ursprüngliche Zertifikat abläuft.
Datenverkehr zwischen den HDS-Knoten und der Cloud
Metriksammlung von ausgehendem Datenverkehr
Die Hybrid-Datensicherheitsknoten senden bestimmte Metriken an die Webex-Cloud. Dazu gehören Systemmetriken für max. Heap, verbrauchter Heap, CPU-Auslastung und Threadanzahl; Metriken zu synchronen und asynchronen Threads; Metriken zu Warnungen, darunter auch ein Schwellenwert der verschlüsselten Verbindungen, Latenz oder eine Anforderungswarteschlangenlänge; Metriken zum Datenspeicher; und Metriken zu verschlüsselten Verbindungen. Die Knoten senden verschlüsseltes Schlüsselmaterial über einen Out-of-Band-Kanal (separat von der Anforderung).
Eingehender Datenverkehr
Die Hybrid-Datensicherheitsknoten erhalten die folgenden Arten von eingehendem Datenverkehr von der Webex-Cloud:
-
Verschlüsselungsanforderungen von Clients, die vom Verschlüsselungsdienst umgeleitet werden
-
Upgrades für die Knoten-Software
Konfigurieren von Tintenfisch für die Hybriddatensicherheit
WebSocket kann nicht über SquID Proxy verbunden werden
Squid-Proxys, die den HTTPS-Datenverkehr prüfen, können die Einrichtung von Websocket-Verbindungen (wss:) beeinträchtigen, die für Hybrid Data Security erforderlich ist. Diese Abschnitte geben Anweisungen, wie Sie verschiedene Versionen von Squid konfigurieren, um WSS zu ignorieren: Datenverkehr für den ordnungsgemäßen Ablauf der Services.
Squid 4 und 5
Fügen Sie die on_unsupported_protocol Richtlinie zu squid.conf hinzu:
on_unsupported_protocol Alle tunnelSquid 3.5.27
Wir haben die Hybriddatensicherheit erfolgreich mit den folgenden Regeln getestet, die zu squid .conf hinzugefügt wurden. Diese Regeln können sich geändert werden, da wir Funktionen entwickeln und die WebEx Cisco aktualisieren.
acl wssMercuryConnection ssl::server_name_regex mercury-connection ssl_bump splice wssMercuryConnection acl step1 at_step SslBump1 acl step2 at_step SslBump2 acl step3 at_step SslBump3 ssl_bump peek step1 alle ssl_bump stare step2 alle ssl_bump bump step3 alleNeue und geänderte Informationen
Neue und geänderte Informationen
In dieser Tabelle werden neue Funktionen, Änderungen an vorhandenen Inhalten und alle wichtigen Fehler beschrieben, die im Bereitstellungsleitfaden für Multi-Tenant-Hybrid-Datensicherheit behoben wurden.
|
Datum |
Vorgenommenen Änderungen |
|---|---|
|
30. Januar 2025 |
Die SQL-Serverversion 2022 wurde zur Liste der unterstützten SQL-Server unter Anforderungen für Datenbankserver hinzugefügt. |
|
15. Januar 2025 |
Einschränkungen der Multi-Tenant-Hybrid-Datensicherheit hinzugefügt. |
|
08. Januar 2025 |
In Erste Einrichtung durchführen und Installationsdateien herunterladen wurde ein Hinweis hinzugefügt, dass das Klicken auf Einrichten auf der HDS-Karte in Partner Hub ein wichtiger Schritt des Installationsprozesses ist. |
|
07. Januar 2025 |
Aktualisierte Anforderungen für virtuelle Gastgeber, Bereitstellungsaufgaben für Hybrid-Datensicherheit und Installieren der HDS-Host-OVA , um neue Anforderungen von ESXi 7.0 anzuzeigen. |
|
13. Dezember 2024 |
Erste Veröffentlichung. |
Multi-Tenant Hybrid-Datensicherheit deaktivieren
Multi-Tenant-HDS-Deaktivierungsaufgabenablauf
Führen Sie diese Schritte aus, um Multi-Tenant-HDS vollständig zu deaktivieren.
Vorbereitungen
| 1 |
Entfernen Sie alle Kunden aus allen Ihren Clustern, wie unter Mandantenorganisationen entfernen erwähnt. |
| 2 |
Widerrufen Sie die CMKs aller Kunden, wie unter CMKs von Tenants, die aus HDS entfernt wurden erwähnt. |
| 3 |
Entfernen Sie alle Knoten aus all Ihren Clustern, wie unter Einen Knoten entfernen erwähnt. |
| 4 |
Löschen Sie alle Ihre Cluster aus Partner Hub mithilfe einer der folgenden beiden Methoden.
|
| 5 |
Klicken Sie auf der Übersichtsseite zur Hybrid-Datensicherheit auf die Registerkarte Einstellungen und klicken Sie auf der HDS-Statuskarte auf HDS deaktivieren . |
Erste Schritte mit der Multi-Tenant-Hybrid-Datensicherheit
Multi-Tenant Hybrid-Datensicherheit – Übersicht
Vom ersten Tag an stand die Datensicherheit im Mittelpunkt der Entwicklung der Webex-App. Der Eckpfeiler dieser Sicherheit ist die durchgängige Verschlüsselung von Inhalten, die durch die Interaktion der Webex-App-Clients mit dem Schlüsselverwaltungsdienst (Key Management Service, KMS) ermöglicht wird. Der KMS erstellt und verwaltet die Kryptografieschlüssel, mit denen die Clients ihre Nachrichten und Dateien dynamisch ver- und entschlüsseln.
Standardmäßig erhalten alle Webex-App-Kunden eine durchgängige Verschlüsselung mit dynamischen Schlüsseln, die im Cloud-KMS im Sicherheitsbereich von Cisco gespeichert werden. Mit Hybrid Data Security werden KMS und andere Sicherheitsfunktionen in das Rechenzentrum Ihres Unternehmens verschoben, damit die Schlüssel zu ihren verschlüsselten Inhalten ausschließlich bei Ihnen liegen.
Multi-Tenant Hybrid Data Security ermöglicht es Unternehmen, HDS über einen vertrauenswürdigen lokalen Partner zu nutzen, der als Dienstleister fungieren und lokale Verschlüsselungs- und andere Sicherheitsdienste verwalten kann. Diese Einrichtung ermöglicht der Partnerorganisation die vollständige Kontrolle über die Bereitstellung und Verwaltung von Verschlüsselungscodes und stellt sicher, dass die Benutzerdaten von Kundenorganisationen vor externem Zugriff geschützt sind. Partnerorganisationen richten HDS-Instanzen ein und erstellen nach Bedarf HDS-Cluster. Im Gegensatz zu einer normalen HDS-Bereitstellung, die auf eine einzelne Organisation beschränkt ist, kann jede Instanz mehrere Kundenorganisationen unterstützen.
Dadurch können kleinere Organisationen auch HDS nutzen, da Schlüsselverwaltungsdienst und Sicherheitsinfrastruktur wie Rechenzentren im Besitz des vertrauenswürdigen lokalen Partners sind.
So bietet Multi-Tenant Hybrid Data Security Datensouveränität und Datenkontrolle
- Benutzergenerierte Inhalte sind wie Cloud-Dienstanbieter vor externem Zugriff geschützt.
- Vertrauenswürdige Partner vor Ort verwalten die Verschlüsselungscodes von Kunden, mit denen sie bereits eine bestehende Beziehung haben.
- Option für lokalen technischen Support, falls vom Partner bereitgestellt.
- Unterstützt Meeting-, Messaging- und Calling-Inhalte.
Dieses Dokument soll Partnerorganisationen bei der Einrichtung und Verwaltung von Kunden in einem Multi-Tenant-Hybrid-Datensicherheitssystem unterstützen.
Einschränkungen der Multi-Tenant-Hybrid-Datensicherheit
- Partnerorganisationen dürfen keine vorhandene HDS-Bereitstellung in Control Hub aktiv haben.
- Mandanten- oder Kundenorganisationen, die von einem Partner verwaltet werden möchten, dürfen keine vorhandene HDS-Bereitstellung in Control Hub haben.
- Sobald der Partner Multi-Tenant-HDS bereitgestellt hat, können alle Benutzer von Kundenorganisationen sowie Benutzer der Partnerorganisation Multi-Tenant-HDS für ihre Verschlüsselungsdienste nutzen.
Die von ihnen verwaltete Partnerorganisation und Kundenorganisationen werden sich in derselben Multi-Tenant-HDS-Bereitstellung befinden.
Die Partnerorganisation verwendet Cloud-KMS nicht mehr, nachdem Multi-Tenant-HDS bereitgestellt wurde.
- Es gibt keinen Mechanismus, um Schlüssel nach einer HDS-Bereitstellung wieder in das Cloud-KMS zu verschieben.
- Derzeit kann jede Multi-Tenant-HDS-Bereitstellung nur über einen Cluster mit mehreren Knoten verfügen.
- Administratorrollen haben bestimmte Einschränkungen. Weitere Informationen finden Sie im Abschnitt unten.
Rollen in der Multi-Tenant-Hybrid-Datensicherheit
- Partner-Volladministrator – Kann Einstellungen für alle Kunden verwalten, die der Partner verwaltet. Außerdem können Sie bereits vorhandenen Benutzern in der Organisation Administratorrollen zuweisen und bestimmte Kunden für die Verwaltung durch Partneradministratoren zuweisen.
- Partneradministrator – Kann Einstellungen für Kunden verwalten, die der Administrator bereitgestellt hat oder die dem Benutzer zugewiesen wurden.
- Volladministrator – Administrator der Partnerorganisation, der berechtigt ist, Aufgaben auszuführen, z. B. die Änderung von Organisationseinstellungen, die Verwaltung von Lizenzen und das Zuweisen von Rollen.
- Durchgängige Multi-Tenant-HDS-Einrichtung und -Verwaltung aller Kundenorganisationen – Partner-Volladministrator und Volle Administratorrechte erforderlich.
- Verwaltung zugewiesener Mandanten-Organisationen – Partneradministrator und volle Administratorrechte erforderlich.
Sicherheitsbereichsarchitektur
Die Webex-Cloud-Architektur unterteilt verschiedene Arten von Diensten in separate Bereiche oder Vertrauensdomänen, wie unten dargestellt.
Um die Hybrid-Datensicherheit besser zu verstehen, schauen wir uns zunächst diesen reinen Cloud-Fall an, bei dem Cisco alle Funktionen in seinen Cloud-Bereichen bereitstellt. Der Identitätsdienst, der einzige Ort, an dem Benutzer direkt mit ihren persönlichen Informationen in Verbindung gebracht werden können, wie z. B. die E-Mail-Adresse, ist logisch und physisch vom Sicherheitsbereich in Rechenzentrum B getrennt. Er ist wiederum von dem Bereich getrennt, in dem verschlüsselte Inhalte letztendlich gespeichert werden, in Rechenzentrum C.
In diesem Diagramm ist der Client die Webex-App, die auf dem Laptop eines Benutzers ausgeführt wird und sich mit dem Identitätsdienst authentifiziert hat. Wenn der Benutzer eine Nachricht verfasst, die er an einen Bereich senden möchte, finden folgende Schritte statt:
-
Der Client stellt eine sichere Verbindung zum Schlüsselverwaltungsdienst her, und fordert anschließend einen Schlüssel zum Verschlüsseln der Nachricht an. Die sichere Verbindung verwendet ECDH und der Schlüsselverwaltungsdienst verschlüsselt den Schlüssel mit einem AES-256-Hauptschlüssel.
-
Die Nachricht wird verschlüsselt, bevor sie den Client verlässt. Der Client sendet sie an den Indexdienst, der verschlüsselte Suchindizes erstellt, um zukünftige Suchvorgänge nach Inhalten zu unterstützen.
-
Die verschlüsselte Nachricht wird an den Compliancedienst gesendet, damit Complianceprüfungen vorgenommen werden können.
-
Die verschlüsselte Nachricht wird im Speicherbereich abgelegt.
Wenn Sie die Hybrid-Datensicherheit bereitstellen, verschieben Sie die Sicherheitsbereichsfunktionen (KMS, Indexierung und Compliance) in Ihr lokales Rechenzentrum. Die anderen Cloud-Dienste, aus denen Webex besteht (einschließlich Identitätsspeicher und Inhaltsspeicher), verbleiben in den Bereichen von Cisco.
Zusammenarbeit mit anderen Organisationen
Benutzer in Ihrer Organisation können die Webex-App regelmäßig verwenden, um mit externen Teilnehmern in anderen Organisationen zusammenzuarbeiten. Wenn einer Ihrer Benutzer einen Schlüssel für einen Bereich anfordert, der Ihrer Organisation gehört (da er von einem Ihrer Benutzer erstellt wurde) sendet Ihr Schlüsselverwaltungsdienst den Schlüssel über einen mit ECDH gesicherten Kanal an den Client. Wenn eine andere Organisation jedoch den Schlüssel für den Bereich besitzt, leitet Ihr KMS die Anforderung über einen separaten ECDH-Kanal an die Webex-Cloud weiter, um den Schlüssel vom entsprechenden KMS zu erhalten, und gibt den Schlüssel dann an Ihren Benutzer im ursprünglichen Kanal zurück.
Der KMS-Dienst, der unter Organisation A ausgeführt wird, überprüft die Verbindungen zu KMSs in anderen Organisationen mit x.509-PKI-Zertifikaten. Weitere Informationen zur Erzeugung eines x.509-Zertifikats für die Verwendung mit Ihrer Multi-Tenant-Hybrid-Datensicherheitsbereitstellung finden Sie unter Vorbereiten Ihrer Umgebung .
Erwartungen an die Bereitstellung der Hybrid-Datensicherheit
Eine Bereitstellung der Hybrid-Datensicherheit erfordert ein erhebliches Engagement und ein Bewusstsein für die Risiken, die mit dem Besitz von Verschlüsselungscodes einhergehen.
Zur Bereitstellung der Hybrid-Datensicherheit müssen Sie Folgendes bereitstellen:
-
Ein sicheres Rechenzentrum in einem Land, das ein unterstützter Standort für die Cisco Webex Teams-Pläne ist.
-
Geräte, Software und Netzwerkzugriff, die unter Vorbereiten Ihrer Umgebung beschrieben werden.
Der vollständige Verlust der Konfigurations-ISO, die Sie für Hybrid Data Security erstellen, oder der von Ihnen bereitgestellten Datenbank führt zum Verlust der Schlüssel. Der Schlüsselverlust verhindert, dass Benutzer Bereichsinhalte und andere verschlüsselte Daten in der Webex-App entschlüsseln. Falls dies geschieht, können Sie eine neue Bereitstellung erstellen, es werden dabei jedoch nur neue Inhalte angezeigt. Gehen Sie folgendermaßen vor, damit Sie nicht den Zugriff auf die Daten verlieren:
-
Verwalten Sie die Sicherung und Wiederherstellung der Datenbank und die ISO-Konfigurationsdatei.
-
Bereiten Sie sich darauf vor, eine schnelle Notfallwiederherstellung durchzuführen, wenn eine Katastrophe eintritt, z. B. ein Fehler der Datenbank oder ein Absturz des Rechenzentrums.
Es gibt keinen Mechanismus, um Schlüssel nach einer HDS-Bereitstellung zurück in die Cloud zu verschieben.
Übergeordneter Einrichtungsprozess
Dieses Dokument behandelt die Einrichtung und Verwaltung einer Multi-Tenant-Hybrid-Datensicherheitsbereitstellung:
-
Hybrid-Datensicherheit einrichten – Dazu gehört die Vorbereitung der erforderlichen Infrastruktur und die Installation der Hybrid-Datensicherheitssoftware, der Aufbau eines HDS-Clusters, das Hinzufügen von Tenant-Organisationen zum Cluster und die Verwaltung ihrer Customer Main Keys (CMKs). Damit können alle Benutzer Ihrer Kundenorganisationen Ihr Hybrid-Datensicherheitscluster für Sicherheitsfunktionen verwenden.
Die Einrichtungs-, Aktivierungs- und Verwaltungsphase werden in den nächsten drei Kapiteln ausführlich behandelt.
-
Aufrechterhaltung Ihrer Hybrid-Datensicherheitsbereitstellung – Die Webex-Cloud stellt automatisch laufende Upgrades bereit. Ihre IT-Abteilung kann Ebene-1-Support anbieten und bei Bedarf den Cisco-Support hinzuziehen. Sie können Benachrichtigungen auf dem Bildschirm verwenden und E-Mail-basierte Warnungen in Partner Hub einrichten.
-
Allgemeine Warnungen, Schritte zur Fehlerbehebung und bekannte Probleme verstehen: Wenn bei der Bereitstellung oder Verwendung von Hybrid-Datensicherheit Probleme auftreten, können Sie das letzte Kapitel dieses Leitfadens und der Anhang „Bekannte Probleme“ bei der Ermittlung und Behebung des Problems helfen.
Bereitstellungsmodell für die Hybrid-Datensicherheit
Im Rechenzentrum Ihres Unternehmens stellen Sie die hybride Datensicherheit als ein Cluster von Knoten auf separaten virtuellen Hosts bereit. Die Knoten kommunizieren mit der Webex Cloud über sichere Websockets und sicheres HTTP.
Während des Installationsvorgangs stellen wir Ihnen die OVA-Datei bereit, mit der Sie die virtuelle Appliance auf den von Ihnen angegebenen VMs einrichten können. Mit dem HDS-Setuptool erstellen Sie eine benutzerdefinierte ISO-Clusterkonfigurationsdatei, die Sie bei den einzelnen Knoten mounten. Der Hybrid-Datensicherheitscluster verwendet den von Ihnen bereitgestellten Syslogd-Server und die PostgreSQL- oder Microsoft SQL Server-Datenbank. (Sie konfigurieren die Syslogd- und Datenbankverbindungsdetails im HDS Setup Tool.)
Die Mindestanzahl von Knoten in einem Cluster lautet zwei. Wir empfehlen mindestens drei pro Cluster. Die Tatsache, dass mehrere Knoten vorhanden sind, stellt sicher, dass der Dienst während eines Software-Upgrades oder anderer Wartungsaktivitäten auf einem Knoten nicht unterbrochen wird. (Die Webex-Cloud aktualisiert jeweils nur einen Knoten.)
Alle Knoten in einem Cluster greifen auf denselben Schlüsseldatenspeicher zu und sie protokollieren Aktivitäten auf demselben Syslog-Server. Die Knoten selbst besitzen keinen Status und verarbeiten Schlüsselanfragen nach dem Round-Robin-Verfahren, wie von der Cloud vorgegeben.
Knoten werden aktiv, wenn Sie sie in Partner Hub registrieren. Um einen einzelnen Knoten zu deaktivieren, können Sie die Registrierung aufheben und ggf. zu einem späteren Zeitpunkt erneut registrieren.
Standby-Rechenzentrum für die Notfallwiederherstellung
Während der Bereitstellung richten Sie ein sicheres Standby-Rechenzentrum ein. Bei einem Absturz des Rechenzentrums können Sie die Bereitstellung manuell auf das Standby-Rechenzentrum umstellen.
Die Datenbanken der aktiven und Standby-Rechenzentren sind synchronisiert, wodurch die Zeit für die Durchführung des Failovers minimiert wird.
Die aktiven Hybrid-Datensicherheitsknoten müssen sich immer im selben Rechenzentrum wie der aktive Datenbankserver befinden.
Proxy-Support
Die Hybriddatensicherheit unterstützt explizite, transparente Inspektionen und Nichtinspizierungsproxys. Sie können diese Proxys an Ihre Bereitstellung binden, damit Sie den Datenverkehr aus dem Unternehmen heraus in die-Cisco sichern und überwachen können. Sie können eine Netzwerkverwaltung auf den Knoten für Zertifikats-Management verwenden und den Status der gesamten Konnektivität überprüfen, nachdem Sie den Proxy auf den Knoten eingerichtet haben.
Die Hybrid Data Sicherheitshinweis unterstützt die folgenden Proxyoptionen:
-
Kein Proxy: Der Standardwert, wenn Sie nicht die Konfiguration von Vertrauensspeicher und Proxy für die Integration eines Proxys beim Einrichten des HDS-Knotens verwenden. Es ist keine Zertifikatsaktualisierung erforderlich.
-
Transparenter Proxy ohne Prüfung – Die Knoten sind nicht für die Verwendung einer bestimmten Proxyserveradresse konfiguriert und sollten keine Änderungen erfordern, um mit einem Proxy ohne Prüfung zu arbeiten. Es ist keine Zertifikatsaktualisierung erforderlich.
-
Transparentes Tunneln oder Proxyprüfen: Die Knoten sind nicht für die Verwendung einer bestimmten Proxyserveradresse konfiguriert. Es sind keine Änderungen bei der Konfigurationänderung von http oder HTTPS Allerdings benötigen die Knoten eine Stammzertifikat, sodass Sie dem Proxy Vertrauen. Die Inspektion von Proxys wird in der Regel von ihm verwendet, um Strategien durchzusetzen, welche Websites besichtigt werden können und welche Arten von Inhalten nicht zulässig sind. Diese Art von Proxy entschlüsselt den gesamten Datenverkehr (auch HTTPS).
-
Expliziter Proxy: Mit explizitem Proxy teilen Sie den HDS-Knoten mit, welcher Proxyserver und welches Authentifizierungsschema verwendet werden sollen. Um einen expliziten Proxy zu konfigurieren, müssen Sie die folgenden Informationen zu den einzelnen Knoten eingeben:
-
Proxy-IP/FQDN: Adresse, die verwendet werden kann, um die Proxy-Maschine zu erreichen.
-
Proxy-Port: Eine Portnummer, die der Proxy verwendet, um nach proxyem Datenverkehr zu suchen.
-
Proxy-Protokoll: Wählen Sie je nachdem, was Ihr Proxy-Server unterstützt, zwischen den folgenden Protokollen aus:
-
– Und steuert alle Anfragen, die der Client sendet.
-
HTTPS – stellt einen Kanal zum Server bereit. Der Client erhält und prüft das Zertifikat des Servers.
-
-
Authentifizierungstyp: Wählen Sie aus den folgenden Authentifizierungstypen aus:
-
Keine: Es ist keine weitere Authentifizierung erforderlich.
Verfügbar, wenn Sie entweder http oder HTTPS als Proxyprotokoll auswählen.
-
Basic – wird für einen HTTP-Benutzeragenten verwendet, um bei einer Anfrage einen Benutzernamen und ein Kennwort anzugeben. Zertifikatsformat verwendet.
Verfügbar, wenn Sie entweder http oder HTTPS als Proxyprotokoll auswählen.
Hiermit müssen Sie die Benutzername und das Passwort eines jeden Knotens eingeben.
-
Digest – wird verwendet, um das Konto vor dem Senden sensibler Informationen zu bestätigen. Gibt eine Hashfunktion auf die Benutzername und das Passwort ein, bevor Sie über das Netzwerk senden.
Nur verfügbar, wenn Sie HTTPS als Proxyprotokoll auswählen.
Hiermit müssen Sie die Benutzername und das Passwort eines jeden Knotens eingeben.
-
-
Beispiel für hybride Datensicherheitsknoten und Proxy
Dieses Diagramm zeigt eine Beispielverbindung zwischen der Hybriddatensicherheit, dem Netzwerk und einem Proxy. Für die transparente Inspektion und HTTPS explizite Überprüfung der Proxyoptionen müssen dieselben Stammzertifikat auf dem Proxy und auf den Hybriden Datensicherheitsknoten installiert sein.
Externer DNS Auflösungsmodus blockiert (explizite Proxykonfigurationen)
Wenn Sie einen Knoten registrieren oder die Proxykonfiguration des Knotens überprüfen, testet das Verfahren die DNS und die Konnektivität der Cisco WebEx. Bei Bereitstellungen mit expliziten Proxykonfigurationen, die keine externe DNS für interne Clients zulassen, wenn der Knoten die DNS-Server nicht Abfragen kann, geht er automatisch in den gesperrten externen DNS-Server. In diesem Modus können Knotenregistrierungen und andere Proxyverbindungstests fortgeführt werden.
Umgebung vorbereiten
Anforderungen für die Multi-Tenant-Hybrid-Datensicherheit
Cisco Webex-Lizenzanforderungen
So stellen Sie Multi-Tenant Hybrid Data Security bereit:
-
Partnerorganisationen: Wenden Sie sich an Ihren Cisco-Partner oder Account Manager und stellen Sie sicher, dass die Multi-Tenant-Funktion aktiviert ist.
-
Mandantenorganisationen: Sie benötigen Pro Pack für Cisco Webex Control Hub. (Siehe https://www.cisco.com/go/pro-pack.)
Docker Desktop-Anforderungen
Bevor Sie Ihre HDS-Knoten installieren, benötigen Sie Docker Desktop, um ein Setup-Programm auszuführen. Docker hat kürzlich sein Lizenzierungsmodell aktualisiert. Ihre Organisation benötigt möglicherweise ein kostenpflichtiges Abonnement für Docker Desktop. Weitere Informationen finden Sie im Docker-Blog-Post: " Docker aktualisiert und erweitert unsere Produktabonnements".
Anforderungen an das X.509-Zertifikat
Diese Zertifikatskette muss die folgenden Anforderungen erfüllen:
|
Anforderung |
Details |
|---|---|
|
Standardmäßig vertrauen wir den Zertifizierungsstellen in der Mozilla-Liste (mit Ausnahme von WoSign und StartCom) unter https://wiki.mozilla.org/CA:IncludedCAs. |
|
Der CN muss nicht erreichbar und kein Live-Host sein. Wir empfehlen die Verwendung eines Namens, der Ihre Organisation widerspiegelt, z. B. Der CN darf kein * (Platzhalter) enthalten. Der CN wird verwendet, um die Hybrid-Datensicherheitsknoten für Webex-App-Clients zu verifizieren. Alle Hybrid-Datensicherheitsknoten in Ihrem Cluster verwenden das gleiche Zertifikat. Ihr KMS identifiziert sich selbst unter Verwendung der CN-Domäne, nicht einer beliebigen Domäne, die in den x.509v3-SAN-Feldern definiert ist. Nachdem Sie einen Knoten mit diesem Zertifikat registriert haben, kann der CN-Domänenname nicht mehr geändert werden. |
|
Die KMS-Software unterstützt keine SHA1-Signaturen zum Validieren von Verbindungen zu KMS anderer Organisationen. |
|
Sie können das Format Ihres Zertifikats mithilfe einer Konvertierungssoftware wie OpenSSL ändern. Sie müssen das Passwort eingeben, wenn Sie das HDS-Setuptool ausführen. |
Die KMS-Software erzwingt keine Schlüsselnutzung und beschränkt erweiterte Schlüsselnutzung nicht. Einige Zertifizierungsstellen erfordern Beschränkungen einer erweiterten Schlüsselnutzung für jedes Zertifikat, wie z. B. Server-Authentifizierung. Die Server-Authentifizierung oder andere Einstellungen zu verwenden, ist zulässig.
Anforderungen für virtuelle Gastgeber
Die virtuellen Hosts, die Sie als Hybrid-Datensicherheitsknoten in Ihrem Cluster einrichten, haben die folgenden Anforderungen:
-
Mindestens zwei separate Hosts (3 empfohlen) befinden sich im gleichen sicheren Rechenzentrum
-
VMware ESXi 7.0 (oder höher) installiert und ausgeführt.
Sie müssen ein Upgrade durchführen, wenn Sie über eine frühere Version von ESXi verfügen.
-
Mindestens 4 vCPUs, 8 GB Hauptspeicher, 30 GB lokaler Festplattenspeicher pro Server
Datenbankserveranforderungen
Erstellen Sie eine neue Datenbank für die Schlüsselspeicherung. Verwenden Sie nicht die Standarddatenbank. Die HDS-Anwendungen erstellen bei Installation das Datenbankschema.
Für den Datenbankserver gibt es zwei Optionen. Die Anforderungen für jede dieser Komponenten lauten wie folgt:
|
PostgreSQL |
Microsoft SQL-Server |
|---|---|
|
|
|
Mindestens 8 vCPUs, 16 GB Hauptspeicher, ausreichend Festplattenkapazität und Überwachung zur Sicherstellung, dass dieser nicht überschritten wird (2 TB empfohlen, falls die Datenbank über längere Zeit ohne Erweiterung der Festplattenkapazität ausgeführt werden soll) |
Mindestens 8 vCPUs, 16 GB Hauptspeicher, ausreichend Festplattenkapazität und Überwachung zur Sicherstellung, dass dieser nicht überschritten wird (2 TB empfohlen, falls die Datenbank über längere Zeit ohne Erweiterung der Festplattenkapazität ausgeführt werden soll) |
Die HDS-Software installiert derzeit die folgenden Treiberversionen für die Kommunikation mit dem Datenbankserver:
|
PostgreSQL |
Microsoft SQL-Server |
|---|---|
|
Der Treiber Postgres JDBC 42.2.5 |
SQL Server JDBC-Treiber 4.6 Diese Treiberversion unterstützt SQL Server Always On (Always On Failover Cluster Instances und Always On-Verfügbarkeitsgruppen). |
Zusätzliche Anforderungen für die Windows-Authentifizierung gegen Microsoft SQL Server
Wenn Sie möchten, dass HDS-Knoten die Windows-Authentifizierung verwenden, um Zugriff auf Ihre Keystore-Datenbank auf Microsoft SQL Server zu erhalten, benötigen Sie die folgende Konfiguration in Ihrer Umgebung:
-
Die HDS-Knoten, die Active Directory-Infrastruktur und der MS SQL Server müssen alle mit dem NTP synchronisiert werden.
-
Das Windows-Konto, das Sie auf HDS-Knoten bereitstellen, muss Lese-/Schreibzugriff auf die Datenbank haben.
-
Die DNS-Server, die Sie für HDS-Knoten bereitstellen, müssen in der Lage sein, Ihr Key Distribution Center (KDC) aufzulösen.
-
Sie können die HDS-Datenbankinstanz auf Ihrem Microsoft SQL Server als Service Principal Name (SPN) in Ihrem Active Directory registrieren. Siehe Registrieren eines Dienstprinzipalnamens für Kerberos-Verbindungen.
Das HDS-Setup-Tool, der HDS-Launcher und das lokale KMS müssen für den Zugriff auf die Keystore-Datenbank die Windows-Authentifizierung verwenden. Sie verwenden die Details aus Ihrer ISO-Konfiguration, um die SPN zu konstruieren, wenn sie den Zugriff mit der Kerberos-Authentifizierung anfordern.
Anforderungen an externe Konnektivität
Konfigurieren Sie Ihre Firewall so, dass die folgende Konnektivität für die HDS-Anwendungen zugelassen ist:
|
Anwendung |
Protokoll |
Port |
Richtung von der App |
Ziel |
|---|---|---|---|---|
|
Hybrid-Datensicherheitsknoten |
TCP |
443 |
Ausgehend HTTPS und WSS |
|
|
HDS-Einrichtungstool |
TCP |
443 |
Ausgehendes HTTPS |
|
Die Hybrid-Datensicherheitsknoten funktionieren mit NAT (Network Access Translation) oder hinter einer Firewall, solange NAT oder Firewall die erforderlichen ausgehenden Verbindungen zu den in der vorangehenden Tabelle aufgeführten Domänenzielen zulässt. Für eingehende Verbindungen zu den Hybrid-Datensicherheitsknoten sollten keine Ports aus dem Internet sichtbar sein. In Ihrem Rechenzentrum benötigen Clients aus administrativen Gründen Zugriff auf die Hybrid-Datensicherheitsknoten auf den TCP-Ports 443 und 22.
Die URLs für die CI-Hosts (Common Identity) sind regionsspezifisch. Dies sind die aktuellen CI-Hosts:
|
Region |
Host-URLs der allgemeinen Identität |
|---|---|
|
Amerika |
|
|
Europäische Union |
|
|
Kanada |
|
| Singapur |
|
| Vereinigte Arabische Emirate |
|
Vorgaben für Proxy-Server
-
Wir unterstützen offiziell die folgenden Proxylösungen, die in ihre Hybriden Sicherheitsknoten integriert werden können.
-
Transparenter Proxy – Cisco Web Sicherheitsgerät (WSA).
-
Explizite –.
Squid-Proxys, die den HTTPS-Datenverkehr untersuchen, können die Einrichtung von Websocket-Verbindungen (wss:) beeinträchtigen. Informationen zur Behebung dieses Problems finden Sie unter Konfigurieren von Squid-Proxys für Hybrid-Datensicherheit.
-
-
Wir unterstützen die folgenden Authentifizierungskombinationen für explizite Proxys:
-
Keine Authentifizierung mit http oder HTTPS
-
Grundlegende Authentifizierung mit http oder HTTPS
-
Verdauungsauthentifizierung nur mit HTTPS
-
-
Um einen transparenten Proxy oder einen HTTPS expliziten Proxy zu erhalten, müssen Sie eine Kopie des Stammzertifikat des Stellvertreters besitzen. Die Bereitstellungsanweisungen in diesem Handbuch zeigen Ihnen, wie Sie die Kopie in die Vertrauensspeicher der Hybriden Datensicherheitsknoten hochladen können.
-
Das Netzwerk, das die HDS Nodes hostet, muss so konfiguriert sein, dass es den ausgehenden TCP Traffic auf Port 443 durch den Proxy zwingt
-
Proxys, die den Webverkehr inspizieren, können die Websteckverbindung beeinträchtigen. Wenn dieses Problem auftritt, wird das Problem durch Umgehung des Datenverkehrs zu
wbx2.comundciscospark.comgelöst.
Erfüllen der Voraussetzungen für die Hybrid-Datensicherheit
| 1 |
Stellen Sie sicher, dass Ihre Partnerorganisation die Multi-Tenant-HDS-Funktion aktiviert hat, und sichern Sie sich die Anmeldeinformationen für ein Konto mit vollen Partneradministratorrechten und vollen Administratorrechten. Stellen Sie sicher, dass Ihre Webex-Kundenorganisation für Pro Pack für Cisco Webex Control Hub aktiviert ist. Wenden Sie sich an Ihren Cisco-Partner oder an Ihren Account Manager, falls Sie Hilfe bei diesem Verfahren benötigen. Kundenorganisationen sollten keine vorhandene HDS-Bereitstellung haben. |
| 2 |
Wählen Sie einen Domänennamen für Ihre HDS-Bereitstellung (z. B. |
| 3 |
Bereiten Sie identische virtuelle Hosts vor, die Sie als Hybrid-Datensicherheitsknoten in Ihrem Cluster einrichten werden. Sie benötigen mindestens zwei separate Hosts (3 empfohlen), die sich im selben sicheren Rechenzentrum befinden und die Anforderungen unter Anforderungen für virtuelle Hosts erfüllen. |
| 4 |
Bereiten Sie den Datenbankserver vor, der als Schlüsseldatenspeicher für den Cluster dient, gemäß den Anforderungen für den Datenbankserver. Der Datenbankserver muss sich im sicheren Rechenzentrum mit den virtuellen Hosts befinden. |
| 5 |
Richten Sie für eine schnelle Notfallwiederherstellung eine Backup-Umgebung in einem anderen Rechenzentrum ein. Die Backup-Umgebung spiegelt die Produktionsumgebung von VMs und eines Backup-Datenbankservers wider. Wenn beispielsweise in der Produktion 3 VMs HDS-Knoten ausführen, sollte die Backup-Umgebung 3 VMs haben. |
| 6 |
Richten Sie einen syslog-Host ein, um Protokolle aus den Knoten im Cluster zu sammeln. Dokumentieren Sie dessen Netzwerkadresse und syslog-Port (Standard ist UDP 514). |
| 7 |
Erstellen Sie eine sichere Backup-Richtlinie für die Hybrid-Datensicherheitsknoten, den Datenbankserver und den Syslog-Host. Um einen nicht behebbaren Datenverlust zu vermeiden, müssen Sie mindestens die Datenbank und die für die Hybrid-Datensicherheitsknoten generierte Konfigurations-ISO-Datei sichern. Da auf den Hybrid-Datensicherheitsknoten die für die Ver- und Entschlüsselung von Inhalten verwendeten Schlüssel gespeichert werden, führt das Versäumnis, eine betriebliche Bereitstellung aufrechtzuerhalten, zum NICHT BEHEBBAREN VERLUST dieser Inhalte. Webex-App-Clients speichern ihre Schlüssel im Zwischenspeicher, sodass ein Ausfall möglicherweise nicht sofort spürbar ist, aber mit der Zeit offensichtlich wird. Vorübergehende Ausfälle sind unvermeidlich, aber behebbar. Bei einem vollständigen Verlust (keine Backups verfügbar) entweder der Datenbank oder der ISO-Konfigurationsdatei gehen jedoch Kundendaten unwiederbringlich verloren. Von den Betreibern der Hybrid-Datensicherheitsknoten wird erwartet, dass sie häufige Sicherungen der Datenbank und der Konfigurations-ISO-Datei erstellen und im Falle eines katastrophalen Ausfalls das Rechenzentrum für die Hybrid-Datensicherheit neu erstellen. |
| 8 |
Stellen Sie sicher, dass Ihre Firewall-Konfiguration eine Verbindung für Ihre Hybrid-Datensicherheitsknoten ermöglicht, wie unter Externe Verbindungsanforderungen beschrieben. |
| 9 |
Installieren Sie Docker ( https://www.docker.com) auf jedem lokalen Computer, auf dem ein unterstütztes Betriebssystem ausgeführt wird (Microsoft Windows 10 Professional, Enterprise 64-Bit oder Mac OSX Yosemite 10.10.3 oder höher) und ein Webbrowser, der unter http://127.0.0.1:8080. darauf zugreifen kann. Mit der Docker-Instanz können Sie das HDS Setup Tool herunterladen und ausführen, das die lokalen Konfigurationsinformationen für alle Hybrid-Datensicherheitsknoten erstellt. Möglicherweise benötigen Sie eine Docker Desktop-Lizenz. Weitere Informationen finden Sie unter Anforderungen für Docker Desktop . Um das HDS Setup Tool zu installieren und auszuführen, muss der lokale Computer über die unter Anforderungen an externe Konnektivität beschriebenen Konnektivität verfügen. |
| 10 |
Wenn Sie einen Proxy mit Hybrid Data Security integrieren, stellen Sie sicher, dass er die Anforderungen für den Proxy-Server erfüllt. |
Hybrid-Datensicherheitscluster einrichten
Ablauf der Bereitstellungsaufgabe für die Hybrid-Datensicherheit
| 1 |
Erste Einrichtung durchführen und Installationsdateien herunterladen Laden Sie die OVA-Datei für eine spätere Verwendung auf Ihren lokalen Computer herunter. |
| 2 |
Erstellen einer ISO-Konfigurationsdatei für die HDS-Hosts Erstellen Sie mit dem HDS Setup Tool eine ISO-Konfigurationsdatei für die Hybrid-Datensicherheitsknoten. |
| 3 |
Erstellen Sie eine virtuelle Maschine aus der OVA-Datei und führen Sie eine erste Konfiguration durch, z. B. Netzwerkeinstellungen. Die Option zum Konfigurieren der Netzwerkeinstellungen während der OVA-Bereitstellung wurde mit ESXi 7.0 getestet. In früheren Versionen ist diese Option möglicherweise nicht verfügbar. |
| 4 |
Einrichten der Hybrid-Datensicherheits-VM Melden Sie sich bei der VM-Konsole an und legen Sie die Anmeldeinformationen fest. Konfigurieren Sie die Netzwerkeinstellungen für den Knoten, falls Sie diese bei der OVA-Bereitstellung nicht konfiguriert haben. |
| 5 |
Hochladen und Mounten der HDS-Konfigurations-ISO Konfigurieren Sie die VM aus der ISO-Konfigurationsdatei, die Sie mit dem HDS Setup Tool erstellt haben. |
| 6 |
Konfigurieren des HDS Knotens für Proxyintegration Wenn für die Netzwerkumgebung eine Proxy-Konfiguration erforderlich ist, geben Sie den Proxy-Typ an, den Sie für den Knoten verwenden möchten, und fügen Sie das Proxy-Zertifikat ggf. zum Vertrauensspeicher hinzu. |
| 7 |
Ersten Knoten im Cluster registrieren Registrieren Sie die VM in der Cisco Webex Cloud als Hybrid-Datensicherheitsknoten. |
| 8 |
Weitere Knoten erstellen und registrieren Schließen Sie die Cluster-Einrichtung ab. |
| 9 |
Aktivieren Sie Multi-Tenant-HDS in Partner Hub. Aktivieren Sie HDS und verwalten Sie Mandantenorganisationen in Partner Hub. |
Erste Einrichtung durchführen und Installationsdateien herunterladen
Bei dieser Aufgabe laden Sie eine OVA-Datei auf Ihren Computer herunter (nicht auf die Server, die Sie als Hybrid-Datensicherheitsknoten eingerichtet haben). Sie können diese Datei zu einem späteren Zeitpunkt im Installationsprozess verwenden.
| 1 |
Melden Sie sich bei Partner Hub an und klicken Sie auf Dienste. |
| 2 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach der Hybrid-Datensicherheitskarte und klicken Sie auf Einrichten. Das Klicken auf Einrichten in Partner Hub ist entscheidend für den Bereitstellungsprozess. Fahren Sie mit der Installation nicht fort, ohne diesen Schritt abzuschließen. |
| 3 |
Klicken Sie auf Ressource hinzufügen und dann auf OVA-Datei herunterladen auf der Karte Software installieren und konfigurieren . Ältere Versionen des Softwarepakets (OVA) sind mit den neuesten Upgrades für die Hybrid-Datensicherheit nicht kompatibel. Dies kann zu Problemen beim Upgrade der Anwendung führen. Stellen Sie sicher, dass Sie die neueste Version der OVA-Datei herunterladen. Sie können die OVA auch jederzeit im Abschnitt Hilfe herunterladen. Klicken Sie auf . Der Download der OVA-Datei beginnt automatisch. Speichern Sie die Datei auf Ihrem Computer.
|
| 4 |
Klicken Sie optional auf Bereitstellungsleitfaden zur Hybrid-Datensicherheit anzeigen , um zu überprüfen, ob eine spätere Version dieses Leitfadens verfügbar ist. |
Erstellen einer ISO-Konfigurationsdatei für die HDS-Hosts
Beim Einrichtungsprozess für die Hybrid-Datensicherheit wird eine ISO-Datei erstellt. Anschließend verwenden Sie die ISO, um Ihren Hybrid-Datensicherheitshost zu konfigurieren.
Vorbereitungen
-
Das HDS Setup Tool wird als Docker Container auf einem lokalen Computer ausgeführt. Um darauf zu zugreifen, führen Sie Docker auf diesem Computer aus. Der Einrichtungsprozess erfordert die Anmeldeinformationen eines Partner Hub-Kontos mit vollständigen Administratorrechten.
Wenn das HDS Setup-Tool hinter einem Proxy in Ihrer Umgebung ausgeführt wird, geben Sie die Proxy-Einstellungen (Server, Port, Anmeldeinformationen) über die Docker-Umgebungsvariablen an, wenn Sie den Docker-Container in Schritt 5 unten aufrufen. Diese Tabelle enthält einige mögliche Umgebungsvariablen:
Beschreibung
Variable
HTTP-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORTHTTPS-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORT -
Die von Ihnen generierte ISO-Konfigurationsdatei enthält den Hauptschlüssel zur Verschlüsselung der PostgreSQL- oder Microsoft SQL Server-Datenbank. Sie benötigen die neueste Kopie dieser Datei, wenn Sie Konfigurationsänderungen wie die folgenden vornehmen:
-
Datenbank-Anmeldeinformationen
-
Zertifikats-Aktualisierungen
-
Änderungen an der Autorisierungsrichtlinie
-
-
Wenn Sie Datenbankverbindungen verschlüsseln möchten, richten Sie Ihre PostgreSQL- oder SQL Server-Bereitstellung für TLS ein.
| 1 |
Geben Sie in der Befehlszeile Ihres Computers den entsprechenden Befehl für Ihre Umgebung ein: In regulären Umgebungen: In FedRAMP-Umgebungen: Mit diesem Schritt werden die Bilder vorheriger HDS-Setup-Tools bereinigt. Wenn keine vorherigen Bilder angezeigt werden, erhalten Sie eine Fehlermeldung, die Sie ignorieren können. | ||||||||||
| 2 |
Um sich bei der Docker-Image-Registrierung anmelden zu können, geben Sie Folgendes ein: | ||||||||||
| 3 |
Geben Sie in der Passwortaufforderung diese Hash-Eingabe ein: | ||||||||||
| 4 |
Laden Sie das aktuellste stabile Bild für Ihre Umgebung herunter: In regulären Umgebungen: In FedRAMP-Umgebungen: | ||||||||||
| 5 |
Geben Sie nach Abschluss des Pull-Befehls den entsprechenden Befehl für Ihre Umgebung ein:
Wenn der Container ausgeführt wird, wird "Express server listening on port 8080" (Express-Server hören auf Port 8080) sehen. | ||||||||||
| 6 |
Das Setup-Tool unterstützt die Verbindung zu localhost über http://localhost:8080 nicht. Verwenden Sie http://127.0.0.1:8080 , um eine Verbindung zum Localhost herzustellen. Navigieren Sie in einem Webbrowser zum Localhost, Das Tool verwendet diesen ersten Eintrag des Benutzernamens, um die richtige Umgebung für dieses Konto festzulegen. Das Tool zeigt dann die Standard-Anmeldeaufforderung an. | ||||||||||
| 7 |
Wenn Sie dazu aufgefordert werden, geben Sie Ihre Partner Hub-Administratoranmeldeinformationen ein und klicken Sie dann auf Anmelden , um den Zugriff auf die für die Hybrid-Datensicherheit erforderlichen Dienste zu erlauben. | ||||||||||
| 8 |
Klicken Sie auf der Übersichtsseite des Setup Tool auf Get Started (Erste Schritte). | ||||||||||
| 9 |
Auf der Seite ISO-Import stehen Ihnen folgende Optionen zur Verfügung:
| ||||||||||
| 10 |
Überprüfen Sie, ob Ihr X.509-Zertifikat die Anforderungen in X.509-Zertifikatsanforderungen erfüllt.
| ||||||||||
| 11 |
Geben Sie die Datenbankadresse und das Konto für HDS ein, um auf Ihren Schlüsseldatenspeicher zuzugreifen: | ||||||||||
| 12 |
Wählen Sie einen TLS-Datenbankverbindungsmodus aus:
Wenn Sie das Stammzertifikat hochladen (falls erforderlich) und auf Weiter klicken, testet das HDS Setup Tool die TLS-Verbindung zum Datenbankserver. Das Tool überprüft auch den Zertifikat signer und den Hostnamen, falls vorhanden. Wenn ein Test fehlschlägt, zeigt das Tool eine Fehlermeldung an, in der das Problem beschrieben wird. Sie können auswählen, ob Sie den Fehler ignorieren und mit der Einrichtung fortfahren möchten. (Aufgrund von Verbindungsunterschieden können die HDS-Knoten möglicherweise eine TLS-Verbindung herstellen, auch wenn das HDS Setup Tool diese nicht erfolgreich testen kann.) | ||||||||||
| 13 |
Konfigurieren Sie auf der Seite Systemprotokolle Ihren Syslogd-Server: | ||||||||||
| 14 |
(Optional) Sie können den Standardwert für einige Datenbankverbindungsparameter unter Erweiterte Einstellungen ändern. Im Allgemeinen ist dieser Parameter der einzige, den Sie ändern möchten: | ||||||||||
| 15 |
Klicken Sie im Bildschirm Kennwort für Dienstkonten zurücksetzen auf Weiter . Passwörter für Dienstkonten haben eine Lebensdauer von neun Monaten. Verwenden Sie diesen Bildschirm, wenn Ihre Passwörter bald ablaufen oder Sie sie zurücksetzen möchten, um frühere ISO-Dateien ungültig zu machen. | ||||||||||
| 16 |
Klicken Sie auf Download ISO File (ISO-Datei herunterladen). Speichern Sie die Datei an einem leicht auffindbaren Speicherort. | ||||||||||
| 17 |
Erstellen Sie eine Sicherungskopie der ISO-Datei auf Ihrem lokalen System. Sichern Sie die Sicherungskopie sicher. Die Datei enthält einen Master-Verschlüsselungsschlüssel für die Datenbankinhalte. Beschränken Sie den Zugriff auf Administratoren für Hybrid-Datensicherheit, die Konfigurationsänderungen vornehmen sollten. | ||||||||||
| 18 |
Um das Setup Tool herunterzufahren, tippen Sie |
Nächste Schritte
Sichern Sie die ISO-Konfigurationsdatei. Sie benötigen sie, um weitere Knoten für die Wiederherstellung zu erstellen oder Konfigurationsänderungen vorzunehmen. Wenn Sie alle Kopien der ISO-Datei verlieren, haben Sie auch den Hauptschlüssel verloren. Die Schlüssel aus Ihrer PostgreSQL- oder Microsoft SQL Server-Datenbank können nicht wiederhergestellt werden.
Wir haben nie eine Kopie dieses Schlüssels und können nicht helfen, wenn Sie ihn verlieren.
Installieren des HDS Host OVA
| 1 |
Melden Sie sich über den VMware vSphere-Client auf Ihrem Computer bei dem ESXi virtuellen Host an. |
| 2 |
Wählen Sie Datei > OVF-Vorlage bereitstellen aus. |
| 3 |
Geben Sie im Assistenten den Speicherort der OVA-Datei an, die Sie zuvor heruntergeladen haben, und klicken Sie auf Weiter. |
| 4 |
Geben Sie auf der Seite Name und Ordner auswählen einen Namen der virtuellen Maschine für den Knoten ein (z. B. „HDS_Node_1“), wählen Sie einen Ort aus, an dem sich die Knotenbereitstellung der virtuellen Maschine befinden kann, und klicken Sie auf Weiter. |
| 5 |
Wählen Sie auf der Seite Berechnungsressource auswählen die Ziel-Berechnungsressource aus, und klicken Sie auf Weiter. Eine Validierungsprüfung wird ausgeführt. Nach Abschluss werden die Vorlagendetails angezeigt. |
| 6 |
Überprüfen Sie die Vorlagendetails, und klicken Sie dann auf Weiter. |
| 7 |
Wenn Sie aufgefordert werden, die Ressourcenkonfiguration auf der Seite Konfiguration auszuwählen, klicken Sie auf 4 CPU und dann auf Weiter. |
| 8 |
Klicken Sie auf der Seite Speicher auswählen auf Weiter , um das standardmäßige Festplattenformat und die VM-Speicherrichtlinie zu akzeptieren. |
| 9 |
Wählen Sie auf der Seite Netzwerke auswählen die Netzwerkoption aus der Liste der Einträge aus, um die gewünschte Konnektivität für die VM bereitzustellen. |
| 10 |
Konfigurieren Sie auf der Seite Vorlage anpassen die folgenden Netzwerkeinstellungen:
Wenn Sie dies vorziehen, können Sie die Konfiguration der Netzwerkeinstellungen überspringen und die Schritte unter Einrichten der Hybrid-Datensicherheit-VM befolgen, um die Einstellungen über die Knotenkonsole zu konfigurieren. Die Option zum Konfigurieren der Netzwerkeinstellungen während der OVA-Bereitstellung wurde mit ESXi 7.0 getestet. In früheren Versionen ist diese Option möglicherweise nicht verfügbar. |
| 11 |
Klicken Sie mit der rechten Maustaste auf die Knoten-VM, und wählen Sie . Die Hybrid-Datensicherheitssoftware wird als Gast auf dem VM-Host installiert. Sie können sich jetzt bei der Konsole anmelden und den Knoten konfigurieren. Leitfaden zur Fehlerbehebung Es kann zu einer Verzögerung von einigen Minuten kommen, bis die Knotencontainer angezeigt werden. Beim erstmaligen Start wird eine Bridge-Firewall-Nachricht angezeigt, während der Sie sich anmelden können. |
Einrichten der Hybrid-Datensicherheits-VM
Mit diesem Verfahren können Sie sich zum ersten Mal bei der VM-Konsole des Hybrid-Datensicherheitsknotens anmelden und die Anmeldeinformationen festlegen. Sie können auch die Konsole verwenden, um die Netzwerkeinstellungen für den Knoten zu konfigurieren, falls Sie diese bei der OVA-Bereitstellung nicht konfiguriert haben.
| 1 |
Wählen Sie im VMware vSphere-Client, Ihre Hybrid-Datensicherheitsknoten-VM und daraufhin die Registerkarte Console (Konsole) aus. Die VM fährt hoch und ein Anmeldebildschirm erscheint. Drücken Sie die Eingabetaste, falls der Anmeldebildschirm nicht angezeigt wird.
|
| 2 |
Verwenden Sie den folgenden Standard-Anmeldenamen und das Standardkennwort, um sich anzumelden und die Anmeldedaten zu ändern: Da Sie sich zum ersten Mal bei der VM anmelden, müssen Sie das Administratorkennwort ändern. |
| 3 |
Wenn Sie die Netzwerkeinstellungen bereits unter Installieren der HDS-Host-OVA konfiguriert haben, überspringen Sie den Rest dieses Verfahrens. Wählen Sie andernfalls im Hauptmenü die Option Konfiguration bearbeiten aus. |
| 4 |
Richten Sie eine statische Konfiguration ein und geben Sie die Daten für IP-Adresse, Maske, Gateway und DNS ein. Ihr Knoten hat jetzt eine interne IP-Adresse und einen DNS-Namen. DHCP wird nicht unterstützt. |
| 5 |
(Optional) Ändern Sie die Werte für Hostname, Domäne oder NTP-Server, wenn dies gemäß Ihren Netzwerkrichtlinien erforderlich ist. Sie müssen die Domäne nicht auf die Domäne ändern, über die Sie das X.509-Zertifikat erhalten haben. |
| 6 |
Speichern Sie die Netzwerkkonfiguration und starten Sie die VM neu, damit die Änderungen in Kraft treten. |
Hochladen und Mounten der HDS-Konfigurations-ISO
Vorbereitungen
Da die ISO-Datei den Hauptschlüssel enthält, sollte sie nur auf Basis eines "Need-to-Know"-Basis zugänglich gemacht werden, für den Zugriff durch die Hybrid Data Security-VMs und alle Administratoren, die möglicherweise Änderungen vornehmen müssen. Stellen Sie sicher, dass nur diese Administratoren Zugriff auf den Datenspeicher haben.
| 1 |
Laden Sie die ISO-Datei von Ihrem Computer hoch: |
| 2 |
Mounten Sie die ISO-Datei: |
Nächste Schritte
Wenn Ihre IT-Richtlinie dies erfordert, können Sie optional die ISO-Datei unmounten, nachdem alle Knoten die Konfigurationsänderungen übernommen haben. Weitere Informationen finden Sie unter (Optional) ISO nach HDS-Konfiguration unmounten .
Konfigurieren des HDS Knotens für Proxyintegration
Wenn die Netzwerkumgebung einen Proxy erfordert, geben Sie mit diesem Vorgang den Typ des Proxy an, den Sie in die Hybriddatensicherheit integrieren möchten. Wenn Sie einen transparenten Anrufproxy oder einen HTTPS expliziten Proxy wählen, können Sie die Stammzertifikat über die Schnittstelle des Knotens hochladen und installiert werden. Sie können auch die Proxyverbindung über die Schnittstelle überprüfen und mögliche Probleme beheben.
Vorbereitungen
-
Eine Übersicht der unterstützten Proxy-Optionen finden Sie unter Proxy-Unterstützung .
| 1 |
Geben Sie den HDS Knoten Setup URL |
| 2 |
Gehen Sie zu Trust Store & Proxyund wählen Sie dann eine Option:
Befolgen Sie die nächsten Schritte für einen transparenten Inspektionsproxy, einen HTTP expliziten Proxy mit Basisauthentifizierung oder einen HTTPS expliziten Proxy |
| 3 |
Klicken Sie auf ein Zertifikat für das Stammzertifikat oder Endnutzerzertifikat hochladen, und navigieren Sie dann zu einer Stammzertifikat für den Proxy. Das Zertifikat ist hochgeladen, aber noch nicht installiert, da Sie den Knoten neu starten müssen, um das Zertifikat zu installieren. Klicken Sie auf den Chevron Pfeil unter dem Namen des Zertifikats, um weitere Details zu erhalten, oder klicken Sie auf löschen, Wenn Sie Fehler gemacht haben und die Datei erneut hochladen möchten. |
| 4 |
Klicken Sie auf Stellvertreterverbindung prüfen , um die Netzwerkverbindung zwischen dem Knoten und dem Proxy zu testen. Wenn der Verbindungstest ausfällt, wird eine Fehlermeldung angezeigt, die den Grund und die Frage, wie Sie das Problem beheben können, anzeigt. Wenn Sie eine Meldung sehen, dass eine externe DNS nicht erfolgreich war, konnte der Knoten den DNS-Server nicht erreichen. Diese Bedingung wird in vielen expliziten Proxykonfigurationen erwartet. Sie können mit dem Setup fortfahren, und der Knoten wird im gesperrten externen DNS-Server funktionieren. Wenn Sie glauben, dass es sich um einen Fehler handelt, führen Sie die folgenden Schritte aus. Siehe Modus für blockierte externe DNS-Auflösung deaktivieren. |
| 5 |
Nach dem Durchführen des Verbindungstests, für expliziten Proxy, der nur auf HTTPS gesetzt ist, aktivieren Sie die Option so schalten Sie alle Port 443/444 https Anfragen aus diesem Knoten durch den expliziten Proxy Diese Einstellung benötigt 15 Sekunden, um wirksam zu werden. |
| 6 |
Klicken Sie auf alle-Zertifizierungsstellen in den Trust Store installieren (erscheint für einen HTTPS expliziten Proxy oder einen transparenten Inspektionskrimi) oder Neustart (erscheint für einen HTTP expliziten Proxy), lesen Sie die Aufforderung, und klicken Sie dann auf in Der Knoten startet innerhalb weniger Minuten. |
| 7 |
Nachdem der Knoten erneut gestartet wurde, melden Sie sich bei Bedarf erneut an, und öffnen Sie dann die Übersichtsseite, um die Verbindungsüberprüfungen zu überprüfen, um sicherzustellen, dass Sie alle im grünen Status sind. Die Proxyverbindung prüft nur eine Unterdomäne von WebEx.com. Wenn es Verbindungsprobleme gibt, ist ein häufiges Problem, dass einige der in den instructions aufgeführten-C-Domänen beim Proxy gesperrt werden. |
Ersten Knoten im Cluster registrieren
Bei der Registrierung Ihres ersten Knotens erstellen Sie ein Cluster, zu dem der Knoten zugewiesen wird. Ein Cluster umfasst einen oder mehrere Knoten, die aus Redundanzgründen bereitgestellt werden.
Vorbereitungen
-
Sie müssen die Registrierung eines Knotens nach dem Beginn innerhalb von 60 Minuten abschließen, andernfalls müssen Sie erneut beginnen.
-
Stellen Sie sicher, dass alle Popupblocker in Ihrem Browser deaktiviert sind oder dass Sie eine Ausnahme für admin.webex.com zulassen.
| 1 |
Melden Sie sich bei https://admin.webex.com an. |
| 2 |
Wählen Sie im Menü auf der linken Seite die Option Dienste aus. |
| 3 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach der Karte „Hybrid-Datensicherheit“, und klicken Sie auf Einrichten. |
| 4 |
Klicken Sie auf der sich öffnenden Seite auf Ressource hinzufügen. |
| 5 |
Geben Sie im ersten Feld der Karte Knoten hinzufügen einen Namen für das Cluster ein, dem Sie Ihren Hybrid-Datensicherheitsknoten zuweisen möchten. Benennen Sie Ihre Cluster nach Möglichkeit nach dem geografischen Standort der Clusterknoten. Beispiele: „San Francisco“ oder „New York“ oder „Dallas“ |
| 6 |
Geben Sie im zweiten Feld die interne IP-Adresse oder den vollqualifizierten Domänennamen (FQDN) Ihres Knotens ein und klicken Sie unten auf dem Bildschirm auf Hinzufügen . Diese IP-Adresse oder FQDN sollte mit der IP-Adresse oder dem Hostnamen und der Domäne übereinstimmen, die Sie beim Einrichten der Hybrid-Datensicherheit-VM verwendet haben. Es wird eine Meldung angezeigt, dass Sie Ihren Knoten in Webex registrieren können.
|
| 7 |
Klicken Sie auf Go to Node (Zum Knoten wechseln). Nach einigen Augenblicken werden Sie zu den Knoten-Konnektivitätstests für Webex-Dienste umgeleitet. Sind alle Tests erfolgreich, wird die Seite „Allow Access to Hybrid Data Security Node“ (Zugriff zu Hybrid-Datensicherheits-Knoten gewähren) angezeigt. Bestätigen Sie dort, dass Sie Ihrer Webex-Organisation die Zugriffsberechtigungen für Ihren Knoten erteilen möchten. |
| 8 |
Aktivieren Sie das Kontrollkästchen Allow Access to Your Hybrid Data Security Node (Zugriff zu Ihrem Hybrid-Datensicherheits-Knoten gewähren) und klicken Sie anschließend auf Continue (Weiter). Ihr Konto wird validiert, und die Meldung „Registrierung abgeschlossen“ zeigt an, dass Ihr Knoten jetzt in der Webex Cloud registriert ist.
|
| 9 |
Klicken Sie auf den Link oder schließen Sie die Registerkarte, um zur Partner Hub-Hybrid-Datensicherheitsseite zurückzukehren. Auf der Seite Hybrid-Datensicherheit wird das neue Cluster mit dem registrierten Knoten auf der Registerkarte Ressourcen angezeigt. Der Knoten lädt die aktuelle Software automatisch aus der Cloud herunter.
|
Weitere Knoten erstellen und registrieren
Vorbereitungen
-
Sie müssen die Registrierung eines Knotens nach dem Beginn innerhalb von 60 Minuten abschließen, andernfalls müssen Sie erneut beginnen.
-
Stellen Sie sicher, dass alle Popupblocker in Ihrem Browser deaktiviert sind oder dass Sie eine Ausnahme für admin.webex.com zulassen.
| 1 |
Erstellen Sie eine neue virtuelle Maschine über die OVA und wiederholen Sie die Schritte unter Installieren der HDS-Host-OVA. |
| 2 |
Richten Sie die Erstkonfiguration für die neue VM ein. Wiederholen Sie die Schritte unter Einrichten der Hybrid-Datensicherheit-VM. |
| 3 |
Wiederholen Sie auf der neuen VM die Schritte unter HDS-Konfigurations-ISO hochladen und mounten. |
| 4 |
Wenn Sie einen Proxy für Ihre Bereitstellung einrichten, wiederholen Sie die Schritte unter Konfigurieren des HDS-Knotens für die Proxy-Integration nach Bedarf für den neuen Knoten. |
| 5 |
Registrieren Sie den Knoten. |
Mandantenorganisationen für Multi-Tenant-Hybrid-Datensicherheit verwalten
Multi-Tenant HDS in Partner Hub aktivieren
Diese Aufgabe stellt sicher, dass alle Benutzer der Kundenorganisationen HDS für lokale Verschlüsselungsschlüssel und andere Sicherheitsdienste nutzen können.
Vorbereitungen
Stellen Sie sicher, dass Sie die Einrichtung Ihres Multi-Tenant-HDS-Clusters mit der erforderlichen Anzahl an Knoten abgeschlossen haben.
| 1 |
Melden Sie sich bei https://admin.webex.com an. |
| 2 |
Wählen Sie im Menü auf der linken Seite die Option Dienste aus. |
| 3 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach „Hybrid-Datensicherheit“ und klicken Sie auf Einstellungen bearbeiten. |
| 4 |
Klicken Sie auf der Karte HDS-Status auf HDS-Aktivierung . |
Mandantenorganisationen in Partner Hub hinzufügen
Weisen Sie bei dieser Aufgabe Kundenorganisationen Ihrem Hybrid-Datensicherheitscluster zu.
| 1 |
Melden Sie sich bei https://admin.webex.com an. |
| 2 |
Wählen Sie im Menü auf der linken Seite die Option Dienste aus. |
| 3 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach Hybrid-Datensicherheit und klicken Sie auf Alle anzeigen. |
| 4 |
Klicken Sie auf den Cluster, dem ein Kunde zugewiesen werden soll. |
| 5 |
Wechseln Sie zur Registerkarte Zugewiesene Kunden . |
| 6 |
Klicken Sie auf Kunden hinzufügen. |
| 7 |
Wählen Sie im Dropdown-Menü den Kunden aus, den Sie hinzufügen möchten. |
| 8 |
Klicken Sie auf Hinzufügen. Der Kunde wird dem Cluster hinzugefügt. |
| 9 |
Wiederholen Sie die Schritte 6 bis 8, um mehrere Kunden zu Ihrem Cluster hinzuzufügen. |
| 10 |
Klicken Sie auf Fertig am unteren Bildschirmrand, nachdem Sie die Kunden hinzugefügt haben. |
Nächste Schritte
Kundenhauptschlüssel (Customer Main Keys, CMKs) mit dem HDS Setup-Tool erstellen
Vorbereitungen
Weisen Sie Kunden dem entsprechenden Cluster zu, wie unter Mandantenorganisationen in Partner Hub hinzufügen beschrieben. Führen Sie das HDS Setup-Tool aus, um den Einrichtungsprozess für die neu hinzugefügten Kundenorganisationen abzuschließen.
-
Das HDS Setup Tool wird als Docker Container auf einem lokalen Computer ausgeführt. Um darauf zu zugreifen, führen Sie Docker auf diesem Computer aus. Der Einrichtungsprozess erfordert die Anmeldeinformationen eines Partner Hub-Kontos mit vollen Administratorrechten für Ihre Organisation.
Wenn das HDS Setup-Tool hinter einem Proxy in Ihrer Umgebung ausgeführt wird, geben Sie die Proxy-Einstellungen (Server, Port, Anmeldeinformationen) über die Docker-Umgebungsvariablen an, wenn Sie den Docker-Container in Schritt 5 aufrufen. Diese Tabelle enthält einige mögliche Umgebungsvariablen:
Beschreibung
Variable
HTTP-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORTHTTPS-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORT -
Die von Ihnen generierte ISO-Konfigurationsdatei enthält den Hauptschlüssel zur Verschlüsselung der PostgreSQL- oder Microsoft SQL Server-Datenbank. Sie benötigen die neueste Kopie dieser Datei, wenn Sie Konfigurationsänderungen wie die folgenden vornehmen:
-
Datenbank-Anmeldeinformationen
-
Zertifikats-Aktualisierungen
-
Änderungen an der Autorisierungsrichtlinie
-
-
Wenn Sie Datenbankverbindungen verschlüsseln möchten, richten Sie Ihre PostgreSQL- oder SQL Server-Bereitstellung für TLS ein.
Beim Einrichtungsprozess für die Hybrid-Datensicherheit wird eine ISO-Datei erstellt. Anschließend verwenden Sie die ISO, um Ihren Hybrid-Datensicherheitshost zu konfigurieren.
| 1 |
Geben Sie in der Befehlszeile Ihres Computers den entsprechenden Befehl für Ihre Umgebung ein: In regulären Umgebungen: In FedRAMP-Umgebungen: Mit diesem Schritt werden die Bilder vorheriger HDS-Setup-Tools bereinigt. Wenn keine vorherigen Bilder angezeigt werden, erhalten Sie eine Fehlermeldung, die Sie ignorieren können. |
| 2 |
Um sich bei der Docker-Image-Registrierung anmelden zu können, geben Sie Folgendes ein: |
| 3 |
Geben Sie in der Passwortaufforderung diese Hash-Eingabe ein: |
| 4 |
Laden Sie das aktuellste stabile Bild für Ihre Umgebung herunter: In regulären Umgebungen: In FedRAMP-Umgebungen: |
| 5 |
Geben Sie nach Abschluss des Pull-Befehls den entsprechenden Befehl für Ihre Umgebung ein:
Wenn der Container ausgeführt wird, wird "Express server listening on port 8080" (Express-Server hören auf Port 8080) sehen. |
| 6 |
Das Setup-Tool unterstützt die Verbindung zu localhost über http://localhost:8080 nicht. Verwenden Sie http://127.0.0.1:8080 , um eine Verbindung zum Localhost herzustellen. Navigieren Sie in einem Webbrowser zum Localhost, Das Tool verwendet diesen ersten Eintrag des Benutzernamens, um die richtige Umgebung für dieses Konto festzulegen. Das Tool zeigt dann die Standard-Anmeldeaufforderung an. |
| 7 |
Wenn Sie dazu aufgefordert werden, geben Sie Ihre Partner Hub-Administratoranmeldeinformationen ein und klicken Sie dann auf Anmelden , um den Zugriff auf die für die Hybrid-Datensicherheit erforderlichen Dienste zu erlauben. |
| 8 |
Klicken Sie auf der Übersichtsseite des Setup Tool auf Get Started (Erste Schritte). |
| 9 |
Klicken Sie auf der Seite ISO-Import auf Ja. |
| 10 |
Wählen Sie Ihre ISO-Datei im Browser aus und laden Sie sie hoch. Stellen Sie sicher, dass die Verbindung zu Ihrer Datenbank hergestellt wird, um eine CMK-Verwaltung durchzuführen. |
| 11 |
Gehen Sie zur Registerkarte Mandanten-CMK-Verwaltung , auf der Sie die folgenden drei Möglichkeiten zur Verwaltung von Mandanten-CMKs finden.
|
| 12 |
Sobald die CMK-Erstellung erfolgreich war, ändert sich der Status in der Tabelle von CMK-Verwaltung ausstehend zu CMK-Verwaltung. |
| 13 |
Wenn die CMK-Erstellung nicht erfolgreich war, wird ein Fehler angezeigt. |
Mandantenorganisationen entfernen
Vorbereitungen
Nach dem Entfernen können Benutzer von Kundenorganisationen HDS nicht mehr für ihre Verschlüsselungsanforderungen nutzen und verlieren alle vorhandenen Bereiche. Wenden Sie sich an Ihren Cisco-Partner oder Ihren Account Manager, bevor Sie Kundenorganisationen entfernen.
| 1 |
Melden Sie sich bei https://admin.webex.com an. |
| 2 |
Wählen Sie im Menü auf der linken Seite die Option Dienste aus. |
| 3 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach Hybrid-Datensicherheit und klicken Sie auf Alle anzeigen. |
| 4 |
Klicken Sie auf der Registerkarte Ressourcen auf den Cluster, aus dem Sie Kundenorganisationen entfernen möchten. |
| 5 |
Klicken Sie auf der sich öffnenden Seite auf Zugewiesene Kunden. |
| 6 |
Klicken Sie in der angezeigten Liste der Kundenorganisationen auf ... auf der rechten Seite der Kundenorganisation, die Sie entfernen möchten, und klicken Sie auf Aus Cluster entfernen. |
Nächste Schritte
Schließen Sie den Löschvorgang ab, indem Sie die CMKs der Kundenorganisationen sperren, wie unter CMKs von Tenants, die aus HDS entfernt wurden, beschrieben.
Widerrufen Sie die CMKs von Mandanten, die aus HDS entfernt wurden.
Vorbereitungen
Entfernen Sie Kunden aus dem entsprechenden Cluster, wie unter Mandantenorganisationen entfernen beschrieben. Führen Sie das HDS Setup-Tool aus, um den Entfernungsprozess für die Kundenorganisationen abzuschließen, die entfernt wurden.
-
Das HDS Setup Tool wird als Docker Container auf einem lokalen Computer ausgeführt. Um darauf zu zugreifen, führen Sie Docker auf diesem Computer aus. Der Einrichtungsprozess erfordert die Anmeldeinformationen eines Partner Hub-Kontos mit vollen Administratorrechten für Ihre Organisation.
Wenn das HDS Setup-Tool hinter einem Proxy in Ihrer Umgebung ausgeführt wird, geben Sie die Proxy-Einstellungen (Server, Port, Anmeldeinformationen) über die Docker-Umgebungsvariablen an, wenn Sie den Docker-Container in Schritt 5 aufrufen. Diese Tabelle enthält einige mögliche Umgebungsvariablen:
Beschreibung
Variable
HTTP-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORTHTTPS-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORT -
Die von Ihnen generierte ISO-Konfigurationsdatei enthält den Hauptschlüssel zur Verschlüsselung der PostgreSQL- oder Microsoft SQL Server-Datenbank. Sie benötigen die neueste Kopie dieser Datei, wenn Sie Konfigurationsänderungen wie die folgenden vornehmen:
-
Datenbank-Anmeldeinformationen
-
Zertifikats-Aktualisierungen
-
Änderungen an der Autorisierungsrichtlinie
-
-
Wenn Sie Datenbankverbindungen verschlüsseln möchten, richten Sie Ihre PostgreSQL- oder SQL Server-Bereitstellung für TLS ein.
Beim Einrichtungsprozess für die Hybrid-Datensicherheit wird eine ISO-Datei erstellt. Anschließend verwenden Sie die ISO, um Ihren Hybrid-Datensicherheitshost zu konfigurieren.
| 1 |
Geben Sie in der Befehlszeile Ihres Computers den entsprechenden Befehl für Ihre Umgebung ein: In regulären Umgebungen: In FedRAMP-Umgebungen: Mit diesem Schritt werden die Bilder vorheriger HDS-Setup-Tools bereinigt. Wenn keine vorherigen Bilder angezeigt werden, erhalten Sie eine Fehlermeldung, die Sie ignorieren können. |
| 2 |
Um sich bei der Docker-Image-Registrierung anmelden zu können, geben Sie Folgendes ein: |
| 3 |
Geben Sie in der Passwortaufforderung diese Hash-Eingabe ein: |
| 4 |
Laden Sie das aktuellste stabile Bild für Ihre Umgebung herunter: In regulären Umgebungen: In FedRAMP-Umgebungen: |
| 5 |
Geben Sie nach Abschluss des Pull-Befehls den entsprechenden Befehl für Ihre Umgebung ein:
Wenn der Container ausgeführt wird, wird "Express server listening on port 8080" (Express-Server hören auf Port 8080) sehen. |
| 6 |
Das Setup-Tool unterstützt die Verbindung zu localhost über http://localhost:8080 nicht. Verwenden Sie http://127.0.0.1:8080 , um eine Verbindung zum Localhost herzustellen. Navigieren Sie in einem Webbrowser zum Localhost, Das Tool verwendet diesen ersten Eintrag des Benutzernamens, um die richtige Umgebung für dieses Konto festzulegen. Das Tool zeigt dann die Standard-Anmeldeaufforderung an. |
| 7 |
Wenn Sie dazu aufgefordert werden, geben Sie Ihre Partner Hub-Administratoranmeldeinformationen ein und klicken Sie dann auf Anmelden , um den Zugriff auf die für die Hybrid-Datensicherheit erforderlichen Dienste zu erlauben. |
| 8 |
Klicken Sie auf der Übersichtsseite des Setup Tool auf Get Started (Erste Schritte). |
| 9 |
Klicken Sie auf der Seite ISO-Import auf Ja. |
| 10 |
Wählen Sie Ihre ISO-Datei im Browser aus und laden Sie sie hoch. |
| 11 |
Gehen Sie zur Registerkarte Mandanten-CMK-Verwaltung , auf der Sie die folgenden drei Möglichkeiten zur Verwaltung von Mandanten-CMKs finden.
|
| 12 |
Sobald die CMK-Sperrung erfolgreich ist, wird die Kundenorganisation nicht mehr in der Tabelle angezeigt. |
| 13 |
Wenn die CMK-Sperrung nicht erfolgreich ist, wird ein Fehler angezeigt. |
Testen Ihrer Hybrid-Datensicherheitsbereitstellung
Testen Ihrer Bereitstellung für die Hybrid-Datensicherheit
Vorbereitungen
-
Richten Sie die Multi-Tenant-Hybrid-Datensicherheitsbereitstellung ein.
-
Stellen Sie sicher, dass Sie auf das Syslog zugreifen können, um zu überprüfen, ob wichtige Anforderungen an Ihre Multi-Tenant-Hybrid-Datensicherheitsbereitstellung weitergeleitet werden.
| 1 |
Schlüssel für einen bestimmten Bereich werden vom Ersteller des Bereichs festgelegt. Melden Sie sich bei der Webex-App als einer der Benutzer der Kundenorganisation an und erstellen Sie einen Bereich. Wenn Sie die Hybrid-Datensicherheitsbereitstellung deaktivieren, sind Inhalte in von Benutzern erstellten Bereichen nicht mehr verfügbar, nachdem die im Client zwischengespeicherten Kopien der Verschlüsselungscodes ersetzt wurden. |
| 2 |
Senden Sie Nachrichten an den neuen Bereich. |
| 3 |
Überprüfen Sie die Syslog-Ausgabe, um sicherzustellen, dass die Schlüsselanforderungen an Ihre Hybrid-Datensicherheitsbereitstellung weitergeleitet werden. |
Überwachen des Status der Hybrid-Datensicherheit
| 1 |
Wählen Sie in Partner Hub im Menü auf der linken Seite des Bildschirms die Option Dienste aus. |
| 2 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach „Hybrid-Datensicherheit“ und klicken Sie auf Einstellungen bearbeiten. Die Seite „Hybrid Data Security Settings“ (Einstellungen für Hybrid-Datensicherheit) wird angezeigt.
|
| 3 |
Geben Sie im Abschnitt zu E-Mail-Benachrichtigungen eine oder mehrere Adressen durch Komma getrennt ein und drücken Sie Enter. |
HDS-Bereitstellung verwalten
Verwalten der HDS-Bereitstellung
Verwenden Sie die hier beschriebenen Aufgaben, um Ihre Hybrid-Datensicherheitsbereitstellung zu verwalten.
Festlegen des Upgrade-Zeitplans für Cluster
So legen Sie den Upgrade-Zeitplan fest:
| 1 |
Melden Sie sich bei Partner Hub an. |
| 2 |
Wählen Sie im Menü auf der linken Seite die Option Dienste aus. |
| 3 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach „Hybrid-Datensicherheit“ und klicken Sie auf Einrichten. |
| 4 |
Wählen Sie auf der Seite „Hybrid-Datensicherheitsressourcen“ den Cluster aus. |
| 5 |
Klicken Sie auf die Registerkarte Cluster-Einstellungen . |
| 6 |
Wählen Sie auf der Seite „Cluster-Einstellungen“ unter „Upgrade-Zeitplan“ die Uhrzeit und die Zeitzone für den Upgrade-Zeitplan aus. Hinweis: Unter der Zeitzone wird der nächste verfügbare Zeitpunkt für ein Upgrade angezeigt. Sie können das Upgrade bei Bedarf auf den folgenden Tag verschieben, indem Sie auf Um 24 Stunden verschieben klicken. |
Ändern der Knotenkonfiguration
-
Änderung der x.509-Zertifikate aufgrund Ablaufs oder anderer Gründe.
Wir unterstützen keine Änderung des CN-Domänennamens eines Zertifikats. Die Domäne muss mit der Originaldomäne übereinstimmen, die zur Registrierung des Clusters verwendet wurde.
-
Datenbankeinstellungen werden aktualisiert, um auf eine Replik der PostgreSQL- oder Microsoft SQL Server-Datenbank zu wechseln.
Wir unterstützen keine Migration von Daten von PostgreSQL zu Microsoft SQL Server oder auf den entgegengesetzten Weg. Um die Datenbankumgebung zu wechseln, starten Sie eine neue Bereitstellung von Hybrid Data Security.
-
Erstellen einer neuen Konfiguration, um ein neues Datenzentrum vorzubereiten.
Aus Sicherheitsgründen verwendet Hybrid Data Security Dienstkonto-Passwörter mit einer Laufzeit von neun Monaten. Nachdem das HDS Setup Tool diese Passwörter generiert hat, stellen Sie sie für jeden Ihrer HDS-Knoten in der ISO-Konfigurationsdatei bereit. Wenn die Kennwörter Ihrer Organisation fast ablaufen, erhalten Sie eine Benachrichtigung vom Webex-Team, mit der Sie das Passwort für Ihr Computerkonto zurücksetzen können. (Die E-Mail enthält den Text "Verwenden Sie die Maschinenkonto-API, um das Passwort zu aktualisieren"). Wenn Ihre Passwörter noch nicht abgelaufen sind, bietet Ihnen das Tool zwei Optionen:
-
Weiches Zurücksetzen – Das alte und das neue Kennwort können beide bis zu 10 Tage lang verwendet werden. Verwenden Sie diesen Zeitraum, um die ISO-Datei der Knoten schrittweise zu ersetzen.
-
Harte Zurücksetzung: Die alten Passwörter funktionieren sofort nicht mehr.
Wenn Ihre Passwörter ohne Zurücksetzen ablaufen, wirkt sich dies auf Ihren HDS-Dienst aus, was ein sofortiges Zurücksetzen und Ersetzen der ISO-Datei auf allen Knoten erfordert.
Verwenden Sie dieses Verfahren, um eine neue ISO-Konfigurationsdatei zu generieren und auf Ihren Cluster anzuwenden.
Vorbereitungen
-
Das HDS Setup Tool wird als Docker Container auf einem lokalen Computer ausgeführt. Um darauf zu zugreifen, führen Sie Docker auf diesem Computer aus. Der Einrichtungsprozess erfordert die Anmeldeinformationen eines Partner Hub-Kontos mit vollen Partneradministratorrechten.
Wenn das HDS Setup-Tool hinter einem Proxy in Ihrer Umgebung ausgeführt wird, geben Sie die Proxy-Einstellungen (Server, Port, Anmeldeinformationen) über die Docker-Umgebungsvariablen an, wenn Sie den Docker Container in 1.e aufrufen. Diese Tabelle enthält einige mögliche Umgebungsvariablen:
Beschreibung
Variable
HTTP-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-Proxy ohne Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTP_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORTHTTPS-Proxy mit Authentifizierung
GLOBALER_AGENT_HTTPS_PROXY=http://BENUTZERNAME:PASSWORD@SERVER_IP:PORT -
Um eine neue Konfiguration zu erstellen, benötigen Sie eine Kopie der aktuellen ISO-Konfigurationsdatei. Die ISO enthält den Masterschlüssel zur Verschlüsselung der PostgreSQL- oder Microsoft SQL Server-Datenbank. Sie benötigen die ISO-Datei, wenn Sie Konfigurationsänderungen vornehmen, wie z. B. Datenbank-Anmeldeinformationen, Zertifikataktualisierungen oder Änderungen an der Autorisierungsrichtlinie.
| 1 |
Führen Sie auf einem lokalen Computer, auf dem Docker läuft, das HDS Setup Tool aus. |
| 2 |
Wenn Sie nur einen HDS-Knoten ausführen, erstellen Sie eine neue VM für den Hybrid-Datensicherheitsknoten und registrieren Sie sie mithilfe der neuen ISO-Konfigurationsdatei. Detaillierte Anweisungen finden Sie unter Weitere Knoten erstellen und registrieren. |
| 3 |
Mounten Sie bei vorhandenen HDS-Knoten, auf denen die ältere Konfigurationsdatei ausgeführt wird, die ISO-Datei. Führen Sie für jeden Knoten des Knotens folgende Schritte durch, indem Sie jeden Knoten aktualisieren, bevor Sie den nächsten Knoten deaktivieren: |
| 4 |
Wiederholen Sie Schritt 3, um bei jedem weiteren Knoten zu ersetzen, auf dem noch die alte Konfiguration ausgeführt wird, die Konfiguration zu ersetzen. |
Blockierte externe DNS Auflösungsmodus deaktivieren
Wenn Sie einen Knoten registrieren oder die Proxykonfiguration des Knotens überprüfen, testet das Verfahren die DNS und die Konnektivität der Cisco WebEx. Wenn der DNS-Server des Knotens öffentliche DNS nicht auflösen kann, geht der Knoten automatisch in den gesperrten externen DNS-Server.
Wenn Ihre Knoten öffentliche DNS über interne DNS-Server auflösen können, aktivieren Sie diesen Modus, indem Sie den Proxyverbindungstest für jeden Knoten deaktivieren.
Vorbereitungen
| 1 |
Öffnen Sie in einem Webbrowser die Schnittstelle für den Hybrid-Datensicherheitsknoten (IP-Adresse/Einrichtung, https://192.0.2.0/setup), geben Sie beispielsweise die für den Knoten eingerichteten Admin-Anmeldeinformationen ein, und klicken Sie dann auf Anmelden. |
| 2 |
Gehen Sie zu Übersicht (Standardseite). Wenn diese Option aktiviert ist, wird die externe DNS auf "Ja" gesetzt . |
| 3 |
Gehen Sie zur Seite Vertrauensspeicher und Proxy . |
| 4 |
Klicken Sie auf Stellvertreterverbindung prüfen. Wenn Sie eine Meldung sehen, dass eine externe DNS nicht erfolgreich war, konnte der Knoten den DNS-Server nicht erreichen und wird in diesem Modus verbleiben. Andernfalls sollte nach dem Neustart des Knotens und der Rückfahrt zur Übersichtsseite die gesperrte externe DNS auf "Nein" gesetzt werden. |
Nächste Schritte
Entfernen eines Knotens
| 1 |
Melden Sie sich über den VMware vSphere-Client auf Ihrem Computer bei dem ESXi virtuellen Host an und schalten Sie die virtuelle Maschine aus. |
| 2 |
Entfernen des Knotens: |
| 3 |
Löschen Sie die VM im vSphere-Client. (Klicken Sie im linken Navigationsbereich mit der rechten Maustaste auf die VM, und klicken Sie auf Löschen.) Wenn Sie die VM nicht löschen, denken Sie daran, die Konfigurations-ISO-Datei zu deinstallieren. Ohne die ISO-Datei können Sie die VM nicht verwenden, um auf Ihre Sicherheitsdaten zuzugreifen. |
Notfallwiederherstellung mit Standby-Rechenzentrum
Der wichtigste Dienst, den Ihr Hybrid-Datensicherheitscluster bietet, ist die Erstellung und Speicherung von Schlüsseln, mit denen Nachrichten und andere in der Webex-Cloud gespeicherte Inhalte verschlüsselt werden. Für jeden Benutzer innerhalb der Organisation, der der Hybrid-Datensicherheit zugewiesen ist, werden neue Anforderungen zur Schlüsselerstellung an das Cluster weitergeleitet. Der Cluster ist zudem dafür verantwortlich, die erstellten Schlüssel an Benutzer zurückzusenden, die zum Abrufen von Schlüsseln berechtigt sind. Hierzu gehören beispielsweise Mitglieder eines Gesprächsraums.
Da der Cluster die wichtige Funktion erfüllt, diese Schlüssel bereitzustellen, ist es höchst wichtig, dass der Cluster in Betrieb bleibt und korrekte Backups erstellt werden. Der Verlust der Hybrid-Datensicherheitsdatenbank oder der für das Schema verwendeten Konfigurations-ISO führt zu einem NICHT BEHEBBAREN VERLUST von Kundeninhalten. Die folgenden Praktiken sind zwingend erforderlich, um einem derartigen Verlust vorzubeugen:
Wenn eine Katastrophe dazu führt, dass die HDS-Bereitstellung im primären Rechenzentrum nicht mehr verfügbar ist, führen Sie dieses Verfahren aus, um ein manuelles Failover auf das Standby-Rechenzentrum durchzuführen.
Vorbereitungen
| 1 |
Starten Sie das HDS-Setup-Tool und führen Sie die unter Erstellen einer Konfigurations-ISO für die HDS-Hosts beschriebenen Schritte aus. |
| 2 |
Schließen Sie den Konfigurationsprozess ab und speichern Sie die ISO-Datei an einem leicht auffindbaren Speicherort. |
| 3 |
Erstellen Sie eine Sicherungskopie der ISO-Datei auf Ihrem lokalen System. Sichern Sie die Sicherungskopie sicher. Die Datei enthält einen Master-Verschlüsselungsschlüssel für die Datenbankinhalte. Beschränken Sie den Zugriff auf Administratoren für Hybrid-Datensicherheit, die Konfigurationsänderungen vornehmen sollten. |
| 4 |
Rechtsklicken Sie im linken Navigationsbereich des VMware vSphere Client auf die VM. Klicken Sie daraufhin auf Edit Settings (Einstellungen bearbeiten). |
| 5 |
Klicken Sie auf Einstellungen bearbeiten >CD/DVD-Laufwerk 1 und wählen Sie Datenspeicher-ISO-Datei. Stellen Sie sicher, dass Verbunden und Verbinden beim Einschalten aktiviert sind, damit aktualisierte Konfigurationsänderungen nach dem Starten der Knoten wirksam werden können. |
| 6 |
Schalten Sie den HDS-Knoten ein und stellen Sie sicher, dass mindestens 15 Minuten lang keine Alarme vorhanden sind. |
| 7 |
Registrieren Sie den Knoten im Partner Hub. Weitere Informationen finden Sie unter Ersten Knoten im Cluster registrieren. |
| 8 |
Wiederholen Sie den Vorgang für jeden Knoten im Standby-Rechenzentrum. |
Nächste Schritte
(Optional) ISO nach HDS-Konfiguration aushängen
Die Standard-HDS-Konfiguration wird mit eingebauter ISO ausgeführt. Einige Kunden ziehen es jedoch vor, die ISO-Dateien nicht kontinuierlich eingebunden zu lassen. Sie können die ISO-Datei unmounten, nachdem alle HDS-Knoten die neue Konfiguration übernommen haben.
Sie verwenden weiterhin die ISO-Dateien, um Konfigurationsänderungen vorzunehmen. Wenn Sie eine neue ISO erstellen oder eine ISO über das Setup-Tool aktualisieren, müssen Sie die aktualisierte ISO auf allen HDS-Knoten mounten. Wenn alle Knoten die Konfigurationsänderungen übernommen haben, können Sie die ISO mit diesem Verfahren erneut deinstallieren.
Vorbereitungen
Aktualisieren Sie alle Ihre HDS-Knoten auf Version 2021.01.22.4720 oder höher.
| 1 |
Fahren Sie einen Ihrer HDS-Knoten herunter. |
| 2 |
Wählen Sie in der vCenter Server-Appliance den HDS-Knoten aus. |
| 3 |
Wählen Sie und deaktivieren Sie ISO-Datei für Datenspeicher. |
| 4 |
Schalten Sie den HDS-Knoten ein und stellen Sie sicher, dass mindestens 20 Minuten lang keine Alarme angezeigt werden. |
| 5 |
Wiederholen Sie dies für jeden HDS-Knoten der Reihe nach. |
Problembehandlung der Hybrid-Datensicherheit
Anzeigen von Warnungen und Beheben von Fehlern
Eine Hybrid-Datensicherheitsbereitstellung gilt als nicht verfügbar, wenn alle Knoten im Cluster nicht erreichbar sind oder der Cluster so langsam arbeitet, dass eine Zeitüberschreitung erforderlich ist. Wenn Benutzer Ihr Hybrid-Datensicherheitscluster nicht erreichen können, treten folgende Symptome auf:
-
Neue Bereiche können nicht erstellt werden (es konnten keine neuen Schlüssel erstellt werden)
-
Nachrichten- und Bereichstitel konnten für folgende Benutzer nicht entschlüsselt werden:
-
Neue zu einem Bereich hinzugefügte Benutzer (Schlüssel konnten nicht abgerufen werden)
-
Vorhandene Benutzer in einem Bereich, der einen neuen Client verwendet (Schlüssel konnten nicht abgerufen werden)
-
-
Vorhandene Benutzer in einem Bereich werden weiterhin erfolgreich ausgeführt, sofern ihre Clients über einen Cache für Verschlüsselungsschlüssel verfügen
Es ist wichtig, dass Sie Ihren Hybrid-Datensicherheitscluster ordnungsgemäß überwachen und alle Warnungen umgehend adressieren, um Dienstunterbrechungen zu vermeiden.
Warnungen
Wenn es ein Problem mit der Einrichtung der Hybrid-Datensicherheit gibt, zeigt Partner Hub Warnungen an den Administrator der Organisation an und sendet E-Mails an die konfigurierte E-Mail-Adresse. Die Warnungen betreffen viele gängige Szenarien.
|
Alarm |
Vorgang |
|---|---|
|
Fehler beim Zugriff auf die lokale Datenbank. |
Überprüfen Sie das System auf Datenbankfehler oder lokale Netzwerkprobleme. |
|
Fehler beim Herstellen einer Verbindung zur lokalen Datenbank. |
Vergewissern Sie sich, dass der Datenbankserver verfügbar ist und die richtigen Dienstkonto-Anmeldeinformationen in der Knotenkonfiguration verwendet wurden. |
|
Fehler beim Zugriff auf den Clouddienst. |
Überprüfen Sie, ob die Knoten auf die Webex-Server zugreifen können, wie unter Externe Verbindungsanforderungen angegeben. |
|
Registrierung des Clouddiensts wird erneuert. |
Registrierung von Clouddiensten wurde verworfen. Erneuerung der Registrierung wird durchgeführt. |
|
Registrierung des Clouddiensts wurde verworfen. |
Registrierung von Clouddiensten wurde beendet. Dienst wird beendet. |
|
Dienst noch nicht aktiviert. |
Aktivieren Sie HDS in Partner Hub. |
|
Konfigurierte Domäne stimmt nicht mit dem Serverzertifikat überein. |
Vergewissern Sie sich, dass das Serverzertifikat mit der konfigurierten Dienstaktivierungsdomäne übereinstimmt. Die wahrscheinlichste Ursache lautet, dass die Zertifikat-CN vor kurzem geändert wurde und nun von der CN abweicht, die während der ursprünglichen Einrichtung verwendet wurde. |
|
Clouddienste konnten nicht authentifiziert werden. |
Prüfen Sie die Daten auf korrekte Eingabe und einen möglichen Ablauf der Dienstkonto-Anmeldeinformationen. |
|
Lokale Schlüsselspeicherdatei konnte nicht geöffnet werden. |
Überprüfen Sie die lokale Schlüsselspeicherdatei auf Integrität und Kennwortgenauigkeit. |
|
Lokales Serverzertifikat ist ungültig. |
Überprüfen Sie das Ablaufdatum des Serverzertifikats und vergewissern Sie sich, dass es von einer vertrauenswürdigen Zertifizierungsstelle ausgestellt wurde. |
|
Metriken konnten nicht gepostet werden. |
Überprüfen Sie den Zugriff des lokalen Netzwerks auf externe Clouddienste. |
|
Das Verzeichnis /media/configdrive/hds ist nicht vorhanden. |
Überprüfen Sie die ISO-Mountkonfiguration auf dem virtuellen Host. Vergewissern Sie sich, dass die ISO-Datei vorhanden ist, die beim Neustart für das Mounten konfiguriert ist und das Mounten erfolgreich ausgeführt wird. |
|
Die Einrichtung der Mandanten-Organisation ist für die hinzugefügten Organisationen nicht abgeschlossen |
Schließen Sie die Einrichtung ab, indem Sie mit dem HDS Setup Tool CMKs für neu hinzugefügte Mandantenorganisationen erstellen. |
|
Die Einrichtung der Mandantenorganisation ist für die entfernten Organisationen nicht abgeschlossen |
Schließen Sie die Einrichtung ab, indem Sie die CMKs der Mandantenorganisationen, die mit dem HDS Setup Tool entfernt wurden, widerrufen. |
Problembehandlung der Hybrid-Datensicherheit
| 1 |
Prüfen Sie Partner Hub auf Warnungen und beheben Sie alle Elemente, die Sie dort finden. Weitere Informationen finden Sie im Bild unten. |
| 2 |
Überprüfen Sie die Syslog-Serverausgabe auf Aktivität aus der Hybrid-Datensicherheitsbereitstellung. Filtern Sie nach Wörtern wie „Warnung“ und „Fehler“, um bei der Fehlerbehebung zu helfen. |
| 3 |
Kontaktieren Sie den Cisco-Support. |
Sonstige Hinweise
Bekannte Probleme mit Hybrid-Datensicherheit
-
Wenn Sie Ihren Hybrid-Datensicherheitscluster herunterfahren (indem Sie ihn im Partner Hub löschen oder alle Knoten herunterfahren), Ihre Konfigurations-ISO-Datei verlieren oder den Zugriff auf die Keystore-Datenbank verlieren, können Webex-App-Benutzer von Kundenorganisationen keine Bereiche in ihrer Personenliste mehr verwenden, die mit Schlüsseln von Ihrem KMS erstellt wurden. Wir haben aktuell keine Problemumgehung oder Lösung für dieses Problem und empfehlen Ihnen dringend, Ihre HDS-Dienste nicht herunterzufahren, sobald sie aktive Benutzerkonten verarbeiten.
-
Ein Client, der über eine bestehende ECDH-Verbindung zu einem KMS verfügt, hält die Verbindung für einen Zeitraum aufrecht (ca. eine Stunde).
Generieren einer PKCS12-Datei mit OpenSSL
Vorbereitungen
-
OpenSSL ist eines der Tools, mit denen die PKCS12-Datei im richtigen Format für das Laden in das HDS-Setuptool erstellt werden kann. Es gibt auch andere Verfahren, keines davon wird von uns bevorzugt.
-
Wenn Sie sich für die Verwendung von OpenSSL entscheiden, stellen wir Ihnen dieses Verfahren als Richtlinie zur Verfügung, um eine Datei zu erstellen, die die X.509-Zertifikatsanforderungen in X.509-Zertifikatsanforderungen erfüllt. Machen Sie sich mit diesen Anforderungen vertraut, bevor Sie fortfahren.
-
Installieren Sie OpenSSL in einer unterstützten Umgebung. Software und Dokumentation finden Sie auf https://www.openssl.org.
-
Erstellen Sie einen privaten Schlüssel.
-
Beginnen Sie mit diesem Verfahren, wenn Sie das Serverzertifikat von Ihrer Zertifizierungsstelle (CA, Certificate Authority) erhalten.
| 1 |
Wenn Sie das Zertifikat von der CA erhalten, speichern Sie es als |
| 2 |
Zeigen Sie das Zertifikat als Text an, und überprüfen Sie die Details.
|
| 3 |
Erstellen Sie in einem Text-Editor eine Zertifikatpaketdatei namens
|
| 4 |
Erstellen Sie die P12-Datei mit dem Anzeigenamen
|
| 5 |
Überprüfen Sie die Zertifikatdetails. |
Nächste Schritte
Kehren Sie zurück zu Voraussetzungen für Hybrid-Datensicherheit erfüllen. Sie verwenden die Datei hdsnode.p12 und das Passwort, das Sie dafür festgelegt haben, unter Erstellen einer Konfigurations-ISO für die HDS-Hosts.
Sie können diese Dateien wiederverwenden, um ein neues Zertifikat anzufordern, wenn das ursprüngliche Zertifikat abläuft.
Datenverkehr zwischen den HDS-Knoten und der Cloud
Metriksammlung von ausgehendem Datenverkehr
Die Hybrid-Datensicherheitsknoten senden bestimmte Metriken an die Webex-Cloud. Dazu gehören Systemmetriken für max. Heap, verbrauchter Heap, CPU-Auslastung und Threadanzahl; Metriken zu synchronen und asynchronen Threads; Metriken zu Warnungen, darunter auch ein Schwellenwert der verschlüsselten Verbindungen, Latenz oder eine Anforderungswarteschlangenlänge; Metriken zum Datenspeicher; und Metriken zu verschlüsselten Verbindungen. Die Knoten senden verschlüsseltes Schlüsselmaterial über einen Out-of-Band-Kanal (separat von der Anforderung).
Eingehender Datenverkehr
Die Hybrid-Datensicherheitsknoten erhalten die folgenden Arten von eingehendem Datenverkehr von der Webex-Cloud:
-
Verschlüsselungsanforderungen von Clients, die vom Verschlüsselungsdienst umgeleitet werden
-
Upgrades für die Knoten-Software
Konfigurieren von Tintenfisch für die Hybriddatensicherheit
WebSocket kann nicht über SquID Proxy verbunden werden
Squid-Proxys, die den HTTPS-Datenverkehr prüfen, können die Einrichtung von Websocket-Verbindungen (wss:) beeinträchtigen, die für Hybrid Data Security erforderlich ist. Diese Abschnitte geben Anweisungen, wie Sie verschiedene Versionen von Squid konfigurieren, um WSS zu ignorieren: Datenverkehr für den ordnungsgemäßen Ablauf der Services.
Squid 4 und 5
Fügen Sie die on_unsupported_protocol Richtlinie zu squid.conf hinzu:
on_unsupported_protocol Alle tunnelSquid 3.5.27
Wir haben die Hybriddatensicherheit erfolgreich mit den folgenden Regeln getestet, die zu squid .conf hinzugefügt wurden. Diese Regeln können sich geändert werden, da wir Funktionen entwickeln und die WebEx Cisco aktualisieren.
acl wssMercuryConnection ssl::server_name_regex mercury-connection ssl_bump splice wssMercuryConnection acl step1 at_step SslBump1 acl step2 at_step SslBump2 acl step3 at_step SslBump3 ssl_bump peek step1 alle ssl_bump stare step2 alle ssl_bump bump step3 alleNeue und geänderte Informationen
Neue und geänderte Informationen
In dieser Tabelle werden neue Funktionen, Änderungen an vorhandenen Inhalten und alle wichtigen Fehler beschrieben, die im Bereitstellungsleitfaden für Multi-Tenant-Hybrid-Datensicherheit behoben wurden.
|
Datum |
Vorgenommenen Änderungen |
|---|---|
|
4. März 2025 |
|
|
30. Januar 2025 |
Die SQL-Serverversion 2022 wurde zur Liste der unterstützten SQL-Server unter Anforderungen für Datenbankserver hinzugefügt. |
|
15. Januar 2025 |
Einschränkungen der Multi-Tenant-Hybrid-Datensicherheit hinzugefügt. |
|
08. Januar 2025 |
In Erste Einrichtung durchführen und Installationsdateien herunterladen wurde ein Hinweis hinzugefügt, dass das Klicken auf Einrichten auf der HDS-Karte in Partner Hub ein wichtiger Schritt des Installationsprozesses ist. |
|
07. Januar 2025 |
Aktualisierte Anforderungen für virtuelle Gastgeber, Bereitstellungsaufgaben für Hybrid-Datensicherheit und Installieren der HDS-Host-OVA , um neue Anforderungen von ESXi 7.0 anzuzeigen. |
|
13. Dezember 2024 |
Erste Veröffentlichung. |
Multi-Tenant Hybrid-Datensicherheit deaktivieren
Multi-Tenant-HDS-Deaktivierungsaufgabenablauf
Führen Sie diese Schritte aus, um Multi-Tenant-HDS vollständig zu deaktivieren.
Vorbereitungen
| 1 |
Entfernen Sie alle Kunden aus allen Ihren Clustern, wie unter Mandantenorganisationen entfernen erwähnt. |
| 2 |
Widerrufen Sie die CMKs aller Kunden, wie unter CMKs von Tenants, die aus HDS entfernt wurden erwähnt. |
| 3 |
Entfernen Sie alle Knoten aus all Ihren Clustern, wie unter Einen Knoten entfernen erwähnt. |
| 4 |
Löschen Sie alle Ihre Cluster aus Partner Hub mithilfe einer der folgenden beiden Methoden.
|
| 5 |
Klicken Sie auf der Übersichtsseite zur Hybrid-Datensicherheit auf die Registerkarte Einstellungen und klicken Sie auf der HDS-Statuskarte auf HDS deaktivieren . |
Erste Schritte mit der Multi-Tenant-Hybrid-Datensicherheit
Multi-Tenant Hybrid-Datensicherheit – Übersicht
Vom ersten Tag an stand die Datensicherheit im Mittelpunkt der Entwicklung der Webex-App. Der Eckpfeiler dieser Sicherheit ist die durchgängige Verschlüsselung von Inhalten, die durch die Interaktion der Webex-App-Clients mit dem Schlüsselverwaltungsdienst (Key Management Service, KMS) ermöglicht wird. Der KMS erstellt und verwaltet die Kryptografieschlüssel, mit denen die Clients ihre Nachrichten und Dateien dynamisch ver- und entschlüsseln.
Standardmäßig erhalten alle Webex-App-Kunden eine durchgängige Verschlüsselung mit dynamischen Schlüsseln, die im Cloud-KMS im Sicherheitsbereich von Cisco gespeichert werden. Mit Hybrid Data Security werden KMS und andere Sicherheitsfunktionen in das Rechenzentrum Ihres Unternehmens verschoben, damit die Schlüssel zu ihren verschlüsselten Inhalten ausschließlich bei Ihnen liegen.
Multi-Tenant Hybrid Data Security ermöglicht es Unternehmen, HDS über einen vertrauenswürdigen lokalen Partner zu nutzen, der als Dienstleister fungieren und lokale Verschlüsselungs- und andere Sicherheitsdienste verwalten kann. Diese Einrichtung ermöglicht der Partnerorganisation die vollständige Kontrolle über die Bereitstellung und Verwaltung von Verschlüsselungscodes und stellt sicher, dass die Benutzerdaten von Kundenorganisationen vor externem Zugriff geschützt sind. Partnerorganisationen richten HDS-Instanzen ein und erstellen nach Bedarf HDS-Cluster. Im Gegensatz zu einer normalen HDS-Bereitstellung, die auf eine einzelne Organisation beschränkt ist, kann jede Instanz mehrere Kundenorganisationen unterstützen.
Dadurch können kleinere Organisationen auch HDS nutzen, da Schlüsselverwaltungsdienst und Sicherheitsinfrastruktur wie Rechenzentren im Besitz des vertrauenswürdigen lokalen Partners sind.
So bietet Multi-Tenant Hybrid Data Security Datensouveränität und Datenkontrolle
- Benutzergenerierte Inhalte sind wie Cloud-Dienstanbieter vor externem Zugriff geschützt.
- Vertrauenswürdige Partner vor Ort verwalten die Verschlüsselungscodes von Kunden, mit denen sie bereits eine bestehende Beziehung haben.
- Option für lokalen technischen Support, falls vom Partner bereitgestellt.
- Unterstützt Meeting-, Messaging- und Calling-Inhalte.
Dieses Dokument soll Partnerorganisationen bei der Einrichtung und Verwaltung von Kunden in einem Multi-Tenant-Hybrid-Datensicherheitssystem unterstützen.
Einschränkungen der Multi-Tenant-Hybrid-Datensicherheit
- Partnerorganisationen dürfen keine vorhandene HDS-Bereitstellung in Control Hub aktiv haben.
- Mandanten- oder Kundenorganisationen, die von einem Partner verwaltet werden möchten, dürfen keine vorhandene HDS-Bereitstellung in Control Hub haben.
- Sobald der Partner Multi-Tenant-HDS bereitgestellt hat, können alle Benutzer von Kundenorganisationen sowie Benutzer der Partnerorganisation Multi-Tenant-HDS für ihre Verschlüsselungsdienste nutzen.
Die von ihnen verwaltete Partnerorganisation und Kundenorganisationen werden sich in derselben Multi-Tenant-HDS-Bereitstellung befinden.
Die Partnerorganisation verwendet Cloud-KMS nicht mehr, nachdem Multi-Tenant-HDS bereitgestellt wurde.
- Es gibt keinen Mechanismus, um Schlüssel nach einer HDS-Bereitstellung wieder in das Cloud-KMS zu verschieben.
- Derzeit kann jede Multi-Tenant-HDS-Bereitstellung nur über einen Cluster mit mehreren Knoten verfügen.
- Administratorrollen haben bestimmte Einschränkungen. Weitere Informationen finden Sie im Abschnitt unten.
Rollen in der Multi-Tenant-Hybrid-Datensicherheit
- Partner-Volladministrator – Kann Einstellungen für alle Kunden verwalten, die der Partner verwaltet. Außerdem können Sie bereits vorhandenen Benutzern in der Organisation Administratorrollen zuweisen und bestimmte Kunden für die Verwaltung durch Partneradministratoren zuweisen.
- Partneradministrator – Kann Einstellungen für Kunden verwalten, die der Administrator bereitgestellt hat oder die dem Benutzer zugewiesen wurden.
- Volladministrator – Administrator der Partnerorganisation, der berechtigt ist, Aufgaben auszuführen, z. B. die Änderung von Organisationseinstellungen, die Verwaltung von Lizenzen und das Zuweisen von Rollen.
- Durchgängige Multi-Tenant-HDS-Einrichtung und -Verwaltung aller Kundenorganisationen – Partner-Volladministrator und Volle Administratorrechte erforderlich.
- Verwaltung zugewiesener Mandanten-Organisationen – Partneradministrator und volle Administratorrechte erforderlich.
Sicherheitsbereichsarchitektur
Die Webex-Cloud-Architektur unterteilt verschiedene Arten von Diensten in separate Bereiche oder Vertrauensdomänen, wie unten dargestellt.
Um die Hybrid-Datensicherheit besser zu verstehen, schauen wir uns zunächst diesen reinen Cloud-Fall an, bei dem Cisco alle Funktionen in seinen Cloud-Bereichen bereitstellt. Der Identitätsdienst, der einzige Ort, an dem Benutzer direkt mit ihren persönlichen Informationen in Verbindung gebracht werden können, wie z. B. die E-Mail-Adresse, ist logisch und physisch vom Sicherheitsbereich in Rechenzentrum B getrennt. Er ist wiederum von dem Bereich getrennt, in dem verschlüsselte Inhalte letztendlich gespeichert werden, in Rechenzentrum C.
In diesem Diagramm ist der Client die Webex-App, die auf dem Laptop eines Benutzers ausgeführt wird und sich mit dem Identitätsdienst authentifiziert hat. Wenn der Benutzer eine Nachricht verfasst, die er an einen Bereich senden möchte, finden folgende Schritte statt:
-
Der Client stellt eine sichere Verbindung zum Schlüsselverwaltungsdienst her, und fordert anschließend einen Schlüssel zum Verschlüsseln der Nachricht an. Die sichere Verbindung verwendet ECDH und der Schlüsselverwaltungsdienst verschlüsselt den Schlüssel mit einem AES-256-Hauptschlüssel.
-
Die Nachricht wird verschlüsselt, bevor sie den Client verlässt. Der Client sendet sie an den Indexdienst, der verschlüsselte Suchindizes erstellt, um zukünftige Suchvorgänge nach Inhalten zu unterstützen.
-
Die verschlüsselte Nachricht wird an den Compliancedienst gesendet, damit Complianceprüfungen vorgenommen werden können.
-
Die verschlüsselte Nachricht wird im Speicherbereich abgelegt.
Wenn Sie die Hybrid-Datensicherheit bereitstellen, verschieben Sie die Sicherheitsbereichsfunktionen (KMS, Indexierung und Compliance) in Ihr lokales Rechenzentrum. Die anderen Cloud-Dienste, aus denen Webex besteht (einschließlich Identitätsspeicher und Inhaltsspeicher), verbleiben in den Bereichen von Cisco.
Zusammenarbeit mit anderen Organisationen
Benutzer in Ihrer Organisation können die Webex-App regelmäßig verwenden, um mit externen Teilnehmern in anderen Organisationen zusammenzuarbeiten. Wenn einer Ihrer Benutzer einen Schlüssel für einen Bereich anfordert, der Ihrer Organisation gehört (da er von einem Ihrer Benutzer erstellt wurde) sendet Ihr Schlüsselverwaltungsdienst den Schlüssel über einen mit ECDH gesicherten Kanal an den Client. Wenn eine andere Organisation jedoch den Schlüssel für den Bereich besitzt, leitet Ihr KMS die Anforderung über einen separaten ECDH-Kanal an die Webex-Cloud weiter, um den Schlüssel vom entsprechenden KMS zu erhalten, und gibt den Schlüssel dann an Ihren Benutzer im ursprünglichen Kanal zurück.
Der KMS-Dienst, der unter Organisation A ausgeführt wird, überprüft die Verbindungen zu KMSs in anderen Organisationen mit x.509-PKI-Zertifikaten. Weitere Informationen zur Erzeugung eines x.509-Zertifikats für die Verwendung mit Ihrer Multi-Tenant-Hybrid-Datensicherheitsbereitstellung finden Sie unter Vorbereiten Ihrer Umgebung .
Erwartungen an die Bereitstellung der Hybrid-Datensicherheit
Eine Bereitstellung der Hybrid-Datensicherheit erfordert ein erhebliches Engagement und ein Bewusstsein für die Risiken, die mit dem Besitz von Verschlüsselungscodes einhergehen.
Zur Bereitstellung der Hybrid-Datensicherheit müssen Sie Folgendes bereitstellen:
-
Ein sicheres Rechenzentrum in einem Land, das ein unterstützter Standort für die Cisco Webex Teams-Pläne ist.
-
Geräte, Software und Netzwerkzugriff, die unter Vorbereiten Ihrer Umgebung beschrieben werden.
Der vollständige Verlust der Konfigurations-ISO, die Sie für Hybrid Data Security erstellen, oder der von Ihnen bereitgestellten Datenbank führt zum Verlust der Schlüssel. Der Schlüsselverlust verhindert, dass Benutzer Bereichsinhalte und andere verschlüsselte Daten in der Webex-App entschlüsseln. Falls dies geschieht, können Sie eine neue Bereitstellung erstellen, es werden dabei jedoch nur neue Inhalte angezeigt. Gehen Sie folgendermaßen vor, damit Sie nicht den Zugriff auf die Daten verlieren:
-
Verwalten Sie die Sicherung und Wiederherstellung der Datenbank und die ISO-Konfigurationsdatei.
-
Bereiten Sie sich darauf vor, eine schnelle Notfallwiederherstellung durchzuführen, wenn eine Katastrophe eintritt, z. B. ein Fehler der Datenbank oder ein Absturz des Rechenzentrums.
Es gibt keinen Mechanismus, um Schlüssel nach einer HDS-Bereitstellung zurück in die Cloud zu verschieben.
Übergeordneter Einrichtungsprozess
Dieses Dokument behandelt die Einrichtung und Verwaltung einer Multi-Tenant-Hybrid-Datensicherheitsbereitstellung:
-
Hybrid-Datensicherheit einrichten – Dazu gehört die Vorbereitung der erforderlichen Infrastruktur und die Installation der Hybrid-Datensicherheitssoftware, der Aufbau eines HDS-Clusters, das Hinzufügen von Tenant-Organisationen zum Cluster und die Verwaltung ihrer Customer Main Keys (CMKs). Damit können alle Benutzer Ihrer Kundenorganisationen Ihr Hybrid-Datensicherheitscluster für Sicherheitsfunktionen verwenden.
Die Einrichtungs-, Aktivierungs- und Verwaltungsphase werden in den nächsten drei Kapiteln ausführlich behandelt.
-
Aufrechterhaltung Ihrer Hybrid-Datensicherheitsbereitstellung – Die Webex-Cloud stellt automatisch laufende Upgrades bereit. Ihre IT-Abteilung kann Ebene-1-Support anbieten und bei Bedarf den Cisco-Support hinzuziehen. Sie können Benachrichtigungen auf dem Bildschirm verwenden und E-Mail-basierte Warnungen in Partner Hub einrichten.
-
Allgemeine Warnungen, Schritte zur Fehlerbehebung und bekannte Probleme verstehen: Wenn bei der Bereitstellung oder Verwendung von Hybrid-Datensicherheit Probleme auftreten, können Sie das letzte Kapitel dieses Leitfadens und der Anhang „Bekannte Probleme“ bei der Ermittlung und Behebung des Problems helfen.
Bereitstellungsmodell für die Hybrid-Datensicherheit
Im Rechenzentrum Ihres Unternehmens stellen Sie die hybride Datensicherheit als ein Cluster von Knoten auf separaten virtuellen Hosts bereit. Die Knoten kommunizieren mit der Webex Cloud über sichere Websockets und sicheres HTTP.
Während des Installationsvorgangs stellen wir Ihnen die OVA-Datei bereit, mit der Sie die virtuelle Appliance auf den von Ihnen angegebenen VMs einrichten können. Mit dem HDS-Setuptool erstellen Sie eine benutzerdefinierte ISO-Clusterkonfigurationsdatei, die Sie bei den einzelnen Knoten mounten. Der Hybrid-Datensicherheitscluster verwendet den von Ihnen bereitgestellten Syslogd-Server und die PostgreSQL- oder Microsoft SQL Server-Datenbank. (Sie konfigurieren die Syslogd- und Datenbankverbindungsdetails im HDS Setup Tool.)
Die Mindestanzahl von Knoten in einem Cluster lautet zwei. Wir empfehlen mindestens drei pro Cluster. Die Tatsache, dass mehrere Knoten vorhanden sind, stellt sicher, dass der Dienst während eines Software-Upgrades oder anderer Wartungsaktivitäten auf einem Knoten nicht unterbrochen wird. (Die Webex-Cloud aktualisiert jeweils nur einen Knoten.)
Alle Knoten in einem Cluster greifen auf denselben Schlüsseldatenspeicher zu und sie protokollieren Aktivitäten auf demselben Syslog-Server. Die Knoten selbst besitzen keinen Status und verarbeiten Schlüsselanfragen nach dem Round-Robin-Verfahren, wie von der Cloud vorgegeben.
Knoten werden aktiv, wenn Sie sie in Partner Hub registrieren. Um einen einzelnen Knoten zu deaktivieren, können Sie die Registrierung aufheben und ggf. zu einem späteren Zeitpunkt erneut registrieren.
Standby-Rechenzentrum für die Notfallwiederherstellung
Während der Bereitstellung richten Sie ein sicheres Standby-Rechenzentrum ein. Bei einem Absturz des Rechenzentrums können Sie die Bereitstellung manuell auf das Standby-Rechenzentrum umstellen.
Die Datenbanken der aktiven und Standby-Rechenzentren sind synchronisiert, wodurch die Zeit für die Durchführung des Failovers minimiert wird.
Die aktiven Hybrid-Datensicherheitsknoten müssen sich immer im selben Rechenzentrum wie der aktive Datenbankserver befinden.
Proxy-Support
Die Hybriddatensicherheit unterstützt explizite, transparente Inspektionen und Nichtinspizierungsproxys. Sie können diese Proxys an Ihre Bereitstellung binden, damit Sie den Datenverkehr aus dem Unternehmen heraus in die-Cisco sichern und überwachen können. Sie können eine Netzwerkverwaltung auf den Knoten für Zertifikats-Management verwenden und den Status der gesamten Konnektivität überprüfen, nachdem Sie den Proxy auf den Knoten eingerichtet haben.
Die Hybrid Data Sicherheitshinweis unterstützt die folgenden Proxyoptionen:
-
Kein Proxy: Der Standardwert, wenn Sie nicht die Konfiguration von Vertrauensspeicher und Proxy für die Integration eines Proxys beim Einrichten des HDS-Knotens verwenden. Es ist keine Zertifikatsaktualisierung erforderlich.
-
Transparenter Proxy ohne Prüfung – Die Knoten sind nicht für die Verwendung einer bestimmten Proxyserveradresse konfiguriert und sollten keine Änderungen erfordern, um mit einem Proxy ohne Prüfung zu arbeiten. Es ist keine Zertifikatsaktualisierung erforderlich.
-
Transparentes Tunneln oder Proxyprüfen: Die Knoten sind nicht für die Verwendung einer bestimmten Proxyserveradresse konfiguriert. Es sind keine Änderungen bei der Konfigurationänderung von http oder HTTPS Allerdings benötigen die Knoten eine Stammzertifikat, sodass Sie dem Proxy Vertrauen. Die Inspektion von Proxys wird in der Regel von ihm verwendet, um Strategien durchzusetzen, welche Websites besichtigt werden können und welche Arten von Inhalten nicht zulässig sind. Diese Art von Proxy entschlüsselt den gesamten Datenverkehr (auch HTTPS).
-
Expliziter Proxy: Mit explizitem Proxy teilen Sie den HDS-Knoten mit, welcher Proxyserver und welches Authentifizierungsschema verwendet werden sollen. Um einen expliziten Proxy zu konfigurieren, müssen Sie die folgenden Informationen zu den einzelnen Knoten eingeben:
-
Proxy-IP/FQDN: Adresse, die verwendet werden kann, um die Proxy-Maschine zu erreichen.
-
Proxy-Port: Eine Portnummer, die der Proxy verwendet, um nach proxyem Datenverkehr zu suchen.
-
Proxy-Protokoll: Wählen Sie je nachdem, was Ihr Proxy-Server unterstützt, zwischen den folgenden Protokollen aus:
-
– Und steuert alle Anfragen, die der Client sendet.
-
HTTPS – stellt einen Kanal zum Server bereit. Der Client erhält und prüft das Zertifikat des Servers.
-
-
Authentifizierungstyp: Wählen Sie aus den folgenden Authentifizierungstypen aus:
-
Keine: Es ist keine weitere Authentifizierung erforderlich.
Verfügbar, wenn Sie entweder http oder HTTPS als Proxyprotokoll auswählen.
-
Basic – wird für einen HTTP-Benutzeragenten verwendet, um bei einer Anfrage einen Benutzernamen und ein Kennwort anzugeben. Zertifikatsformat verwendet.
Verfügbar, wenn Sie entweder http oder HTTPS als Proxyprotokoll auswählen.
Hiermit müssen Sie die Benutzername und das Passwort eines jeden Knotens eingeben.
-
Digest – wird verwendet, um das Konto vor dem Senden sensibler Informationen zu bestätigen. Gibt eine Hashfunktion auf die Benutzername und das Passwort ein, bevor Sie über das Netzwerk senden.
Nur verfügbar, wenn Sie HTTPS als Proxyprotokoll auswählen.
Hiermit müssen Sie die Benutzername und das Passwort eines jeden Knotens eingeben.
-
-
Beispiel für hybride Datensicherheitsknoten und Proxy
Dieses Diagramm zeigt eine Beispielverbindung zwischen der Hybriddatensicherheit, dem Netzwerk und einem Proxy. Für die transparente Inspektion und HTTPS explizite Überprüfung der Proxyoptionen müssen dieselben Stammzertifikat auf dem Proxy und auf den Hybriden Datensicherheitsknoten installiert sein.
Externer DNS Auflösungsmodus blockiert (explizite Proxykonfigurationen)
Wenn Sie einen Knoten registrieren oder die Proxykonfiguration des Knotens überprüfen, testet das Verfahren die DNS und die Konnektivität der Cisco WebEx. Bei Bereitstellungen mit expliziten Proxykonfigurationen, die keine externe DNS für interne Clients zulassen, wenn der Knoten die DNS-Server nicht Abfragen kann, geht er automatisch in den gesperrten externen DNS-Server. In diesem Modus können Knotenregistrierungen und andere Proxyverbindungstests fortgeführt werden.
Umgebung vorbereiten
Anforderungen für die Multi-Tenant-Hybrid-Datensicherheit
Cisco Webex-Lizenzanforderungen
So stellen Sie Multi-Tenant Hybrid Data Security bereit:
-
Partnerorganisationen: Wenden Sie sich an Ihren Cisco-Partner oder Account Manager und stellen Sie sicher, dass die Multi-Tenant-Funktion aktiviert ist.
-
Mandantenorganisationen: Sie benötigen Pro Pack für Cisco Webex Control Hub. (Siehe https://www.cisco.com/go/pro-pack.)
Docker Desktop-Anforderungen
Bevor Sie Ihre HDS-Knoten installieren, benötigen Sie Docker Desktop, um ein Setup-Programm auszuführen. Docker hat kürzlich sein Lizenzierungsmodell aktualisiert. Ihre Organisation benötigt möglicherweise ein kostenpflichtiges Abonnement für Docker Desktop. Weitere Informationen finden Sie im Docker-Blog-Post: " Docker aktualisiert und erweitert unsere Produktabonnements".
Kunden ohne Docker Desktop-Lizenz können ein Open-Source-Container-Verwaltungstool wie Podman Desktop zum Ausführen, Verwalten und Erstellen von Containern verwenden. Weitere Details finden Sie unter HDS Setup Tool mit Podman Desktop ausführen .
Anforderungen an das X.509-Zertifikat
Diese Zertifikatskette muss die folgenden Anforderungen erfüllen:
|
Anforderung |
Details |
|---|---|
|
Standardmäßig vertrauen wir den Zertifizierungsstellen in der Mozilla-Liste (mit Ausnahme von WoSign und StartCom) unter https://wiki.mozilla.org/CA:IncludedCAs. |
|
Der CN muss nicht erreichbar und kein Live-Host sein. Wir empfehlen Ihnen, einen Namen zu verwenden, der Ihre Organisation widerspiegelt, z. B. Der CN darf kein * (Platzhalter) enthalten. Der CN wird verwendet, um die Hybrid-Datensicherheitsknoten für Webex-App-Clients zu verifizieren. Alle Hybrid-Datensicherheitsknoten in Ihrem Cluster verwenden das gleiche Zertifikat. Ihr KMS identifiziert sich selbst unter Verwendung der CN-Domäne, nicht einer beliebigen Domäne, die in den x.509v3-SAN-Feldern definiert ist. Nachdem Sie einen Knoten mit diesem Zertifikat registriert haben, kann der CN-Domänenname nicht mehr geändert werden. |
|
Die KMS-Software unterstützt keine SHA1-Signaturen zum Validieren von Verbindungen zu KMS anderer Organisationen. |
|
Sie können das Format Ihres Zertifikats mithilfe einer Konvertierungssoftware wie OpenSSL ändern. Sie müssen das Passwort eingeben, wenn Sie das HDS-Setuptool ausführen. |
Die KMS-Software erzwingt keine Schlüsselnutzung und beschränkt erweiterte Schlüsselnutzung nicht. Einige Zertifizierungsstellen erfordern Beschränkungen einer erweiterten Schlüsselnutzung für jedes Zertifikat, wie z. B. Server-Authentifizierung. Die Server-Authentifizierung oder andere Einstellungen zu verwenden, ist zulässig.
Anforderungen für virtuelle Gastgeber
Die virtuellen Hosts, die Sie als Hybrid-Datensicherheitsknoten in Ihrem Cluster einrichten, haben die folgenden Anforderungen:
-
Mindestens zwei separate Hosts (3 empfohlen) befinden sich im gleichen sicheren Rechenzentrum
-
VMware ESXi 7.0 (oder höher) installiert und ausgeführt.
Sie müssen ein Upgrade durchführen, wenn Sie über eine frühere Version von ESXi verfügen.
-
Mindestens 4 vCPUs, 8 GB Hauptspeicher, 30 GB lokaler Festplattenspeicher pro Server
Datenbankserveranforderungen
Erstellen Sie eine neue Datenbank für die Schlüsselspeicherung. Verwenden Sie nicht die Standarddatenbank. Die HDS-Anwendungen erstellen bei Installation das Datenbankschema.
Für den Datenbankserver gibt es zwei Optionen. Die Anforderungen für jede dieser Komponenten lauten wie folgt:
|
PostgreSQL |
Microsoft SQL-Server |
|---|---|
|
|
|
Mindestens 8 vCPUs, 16 GB Hauptspeicher, ausreichend Festplattenkapazität und Überwachung zur Sicherstellung, dass dieser nicht überschritten wird (2 TB empfohlen, falls die Datenbank über längere Zeit ohne Erweiterung der Festplattenkapazität ausgeführt werden soll) |
Mindestens 8 vCPUs, 16 GB Hauptspeicher, ausreichend Festplattenkapazität und Überwachung zur Sicherstellung, dass dieser nicht überschritten wird (2 TB empfohlen, falls die Datenbank über längere Zeit ohne Erweiterung der Festplattenkapazität ausgeführt werden soll) |
Die HDS-Software installiert derzeit die folgenden Treiberversionen für die Kommunikation mit dem Datenbankserver:
|
PostgreSQL |
Microsoft SQL-Server |
|---|---|
|
Der Treiber Postgres JDBC 42.2.5 |
SQL Server JDBC-Treiber 4.6 Diese Treiberversion unterstützt SQL Server Always On (Always On Failover Cluster Instances und Always On-Verfügbarkeitsgruppen). |
Zusätzliche Anforderungen für die Windows-Authentifizierung gegen Microsoft SQL Server
Wenn Sie möchten, dass HDS-Knoten die Windows-Authentifizierung verwenden, um Zugriff auf Ihre Keystore-Datenbank auf Microsoft SQL Server zu erhalten, benötigen Sie die folgende Konfiguration in Ihrer Umgebung:
-
Die HDS-Knoten, die Active Directory-Infrastruktur und der MS SQL Server müssen alle mit dem NTP synchronisiert werden.
-
Das Windows-Konto, das Sie auf HDS-Knoten bereitstellen, muss Lese-/Schreibzugriff auf die Datenbank haben.
-
Die DNS-Server, die Sie für HDS-Knoten bereitstellen, müssen in der Lage sein, Ihr Key Distribution Center (KDC) aufzulösen.
-
Sie können die HDS-Datenbankinstanz auf Ihrem Microsoft SQL Server als Service Principal Name (SPN) in Ihrem Active Directory registrieren. Siehe Registrieren eines Dienstprinzipalnamens für Kerberos-Verbindungen.
Das HDS-Setup-Tool, der HDS-Launcher und das lokale KMS müssen für den Zugriff auf die Keystore-Datenbank die Windows-Authentifizierung verwenden. Sie verwenden die Details aus Ihrer ISO-Konfiguration, um die SPN zu konstruieren, wenn sie den Zugriff mit der Kerberos-Authentifizierung anfordern.
Anforderungen an externe Konnektivität
Konfigurieren Sie Ihre Firewall so, dass die folgende Konnektivität für die HDS-Anwendungen zugelassen ist:
|
Anwendung |
Protokoll |
Port |
Richtung von der App |
Ziel |
|---|---|---|---|---|
|
Hybrid-Datensicherheitsknoten |
TCP |
443 |
Ausgehend HTTPS und WSS |
|
|
HDS-Einrichtungstool |
TCP |
443 |
Ausgehendes HTTPS |
|
Die Hybrid-Datensicherheitsknoten funktionieren mit NAT (Network Access Translation) oder hinter einer Firewall, solange NAT oder Firewall die erforderlichen ausgehenden Verbindungen zu den in der vorangehenden Tabelle aufgeführten Domänenzielen zulässt. Für eingehende Verbindungen zu den Hybrid-Datensicherheitsknoten sollten keine Ports aus dem Internet sichtbar sein. In Ihrem Rechenzentrum benötigen Clients aus administrativen Gründen Zugriff auf die Hybrid-Datensicherheitsknoten auf den TCP-Ports 443 und 22.
Die URLs für die CI-Hosts (Common Identity) sind regionsspezifisch. Dies sind die aktuellen CI-Hosts:
|
Region |
Host-URLs der allgemeinen Identität |
|---|---|
|
Amerika |
|
|
Europäische Union |
|
|
Kanada |
|
| Singapur |
|
| Vereinigte Arabische Emirate |
|
Vorgaben für Proxy-Server
-
Wir unterstützen offiziell die folgenden Proxylösungen, die in ihre Hybriden Sicherheitsknoten integriert werden können.
-
Transparenter Proxy – Cisco Web Sicherheitsgerät (WSA).
-
Explizite –.
Squid-Proxys, die den HTTPS-Datenverkehr untersuchen, können die Einrichtung von Websocket-Verbindungen (wss:) beeinträchtigen. Informationen zur Behebung dieses Problems finden Sie unter Konfigurieren von Squid-Proxys für Hybrid-Datensicherheit.
-
-
Wir unterstützen die folgenden Authentifizierungskombinationen für explizite Proxys:
-
Keine Authentifizierung mit http oder HTTPS
-
Grundlegende Authentifizierung mit http oder HTTPS
-
Verdauungsauthentifizierung nur mit HTTPS
-
-
Um einen transparenten Proxy oder einen HTTPS expliziten Proxy zu erhalten, müssen Sie eine Kopie des Stammzertifikat des Stellvertreters besitzen. Die Bereitstellungsanweisungen in diesem Handbuch zeigen Ihnen, wie Sie die Kopie in die Vertrauensspeicher der Hybriden Datensicherheitsknoten hochladen können.
-
Das Netzwerk, das die HDS Nodes hostet, muss so konfiguriert sein, dass es den ausgehenden TCP Traffic auf Port 443 durch den Proxy zwingt
-
Proxys, die den Webverkehr inspizieren, können die Websteckverbindung beeinträchtigen. Wenn dieses Problem auftritt, wird das Problem durch Umgehung (nicht Inspektion) des Datenverkehrs zu
wbx2.comundciscospark.comgelöst.
Erfüllen der Voraussetzungen für die Hybrid-Datensicherheit
| 1 |
Stellen Sie sicher, dass Ihre Partnerorganisation die Multi-Tenant-HDS-Funktion aktiviert hat, und holen Sie sich die Anmeldeinformationen für ein Konto mit vollen Partneradministratorrechten und vollen Administratorrechten. Stellen Sie sicher, dass Ihre Webex-Kundenorganisation für Pro Pack für Cisco Webex Control Hub aktiviert ist. Wenden Sie sich an Ihren Cisco-Partner oder an Ihren Account Manager, falls Sie Hilfe bei diesem Verfahren benötigen. Kundenorganisationen sollten keine vorhandene HDS-Bereitstellung haben. |
| 2 |
Wählen Sie einen Domänennamen für Ihre HDS-Bereitstellung aus (z. B. |
| 3 |
Bereiten Sie identische virtuelle Hosts vor, die Sie als Hybrid-Datensicherheitsknoten in Ihrem Cluster einrichten werden. Sie benötigen mindestens zwei separate Hosts (3 empfohlen), die sich im selben sicheren Rechenzentrum befinden und die Anforderungen unter Anforderungen für virtuelle Hosts erfüllen. |
| 4 |
Bereiten Sie den Datenbankserver vor, der als Schlüsseldatenspeicher für den Cluster dient, gemäß den Anforderungen für den Datenbankserver. Der Datenbankserver muss sich im sicheren Rechenzentrum mit den virtuellen Hosts befinden. |
| 5 |
Richten Sie für eine schnelle Notfallwiederherstellung eine Backup-Umgebung in einem anderen Rechenzentrum ein. Die Backup-Umgebung spiegelt die Produktionsumgebung von VMs und eines Backup-Datenbankservers wider. Wenn beispielsweise in der Produktion 3 VMs HDS-Knoten ausführen, sollte die Backup-Umgebung 3 VMs haben. |
| 6 |
Richten Sie einen syslog-Host ein, um Protokolle aus den Knoten im Cluster zu sammeln. Dokumentieren Sie dessen Netzwerkadresse und syslog-Port (Standard ist UDP 514). |
| 7 |
Erstellen Sie eine sichere Backup-Richtlinie für die Hybrid-Datensicherheitsknoten, den Datenbankserver und den Syslog-Host. Um einen nicht behebbaren Datenverlust zu vermeiden, müssen Sie mindestens die Datenbank und die für die Hybrid-Datensicherheitsknoten generierte Konfigurations-ISO-Datei sichern. Da auf den Hybrid-Datensicherheitsknoten die für die Ver- und Entschlüsselung von Inhalten verwendeten Schlüssel gespeichert werden, führt das Versäumnis, eine betriebliche Bereitstellung aufrechtzuerhalten, zum NICHT BEHEBBAREN VERLUST dieser Inhalte. Webex-App-Clients speichern ihre Schlüssel im Zwischenspeicher, sodass ein Ausfall möglicherweise nicht sofort spürbar ist, aber mit der Zeit offensichtlich wird. Vorübergehende Ausfälle sind unvermeidlich, aber behebbar. Bei einem vollständigen Verlust (keine Backups verfügbar) entweder der Datenbank oder der ISO-Konfigurationsdatei gehen jedoch Kundendaten unwiederbringlich verloren. Von den Betreibern der Hybrid-Datensicherheitsknoten wird erwartet, dass sie häufige Sicherungen der Datenbank und der Konfigurations-ISO-Datei erstellen und im Falle eines katastrophalen Ausfalls das Rechenzentrum für die Hybrid-Datensicherheit neu erstellen. |
| 8 |
Stellen Sie sicher, dass Ihre Firewall-Konfiguration eine Verbindung für Ihre Hybrid-Datensicherheitsknoten ermöglicht, wie unter Externe Verbindungsanforderungen beschrieben. |
| 9 |
Installieren Sie Docker ( https://www.docker.com) auf jedem lokalen Computer, auf dem ein unterstütztes Betriebssystem ausgeführt wird (Microsoft Windows 10 Professional, Enterprise 64-Bit oder Mac OSX Yosemite 10.10.3 oder höher) und ein Webbrowser, der unter http://127.0.0.1:8080. darauf zugreifen kann. Mit der Docker-Instanz können Sie das HDS Setup Tool herunterladen und ausführen, das die lokalen Konfigurationsinformationen für alle Hybrid-Datensicherheitsknoten erstellt. Möglicherweise benötigen Sie eine Docker Desktop-Lizenz. Weitere Informationen finden Sie unter Anforderungen für Docker Desktop . Um das HDS Setup Tool zu installieren und auszuführen, muss der lokale Computer über die unter Anforderungen an externe Konnektivität beschriebenen Konnektivität verfügen. |
| 10 |
Wenn Sie einen Proxy mit Hybrid Data Security integrieren, stellen Sie sicher, dass er die Anforderungen für den Proxy-Server erfüllt. |
Hybrid-Datensicherheitscluster einrichten
Ablauf der Bereitstellungsaufgabe für die Hybrid-Datensicherheit
| 1 |
Erste Einrichtung durchführen und Installationsdateien herunterladen Laden Sie die OVA-Datei für eine spätere Verwendung auf Ihren lokalen Computer herunter. |
| 2 |
Erstellen einer ISO-Konfigurationsdatei für die HDS-Hosts Erstellen Sie mit dem HDS Setup Tool eine ISO-Konfigurationsdatei für die Hybrid-Datensicherheitsknoten. |
| 3 |
Erstellen Sie eine virtuelle Maschine aus der OVA-Datei und führen Sie eine erste Konfiguration durch, z. B. Netzwerkeinstellungen. Die Option zum Konfigurieren der Netzwerkeinstellungen während der OVA-Bereitstellung wurde mit ESXi 7.0 getestet. In früheren Versionen ist diese Option möglicherweise nicht verfügbar. |
| 4 |
Einrichten der Hybrid-Datensicherheits-VM Melden Sie sich bei der VM-Konsole an und legen Sie die Anmeldeinformationen fest. Konfigurieren Sie die Netzwerkeinstellungen für den Knoten, falls Sie diese bei der OVA-Bereitstellung nicht konfiguriert haben. |
| 5 |
Hochladen und Mounten der HDS-Konfigurations-ISO Konfigurieren Sie die VM aus der ISO-Konfigurationsdatei, die Sie mit dem HDS Setup Tool erstellt haben. |
| 6 |
Konfigurieren des HDS Knotens für Proxyintegration Wenn für die Netzwerkumgebung eine Proxy-Konfiguration erforderlich ist, geben Sie den Proxy-Typ an, den Sie für den Knoten verwenden möchten, und fügen Sie das Proxy-Zertifikat ggf. zum Vertrauensspeicher hinzu. |
| 7 |
Ersten Knoten im Cluster registrieren Registrieren Sie die VM in der Cisco Webex Cloud als Hybrid-Datensicherheitsknoten. |
| 8 |
Weitere Knoten erstellen und registrieren Schließen Sie die Cluster-Einrichtung ab. |
| 9 |
Aktivieren Sie Multi-Tenant-HDS in Partner Hub. Aktivieren Sie HDS und verwalten Sie Mandantenorganisationen in Partner Hub. |
Erste Einrichtung durchführen und Installationsdateien herunterladen
Bei dieser Aufgabe laden Sie eine OVA-Datei auf Ihren Computer herunter (nicht auf die Server, die Sie als Hybrid-Datensicherheitsknoten eingerichtet haben). Sie können diese Datei zu einem späteren Zeitpunkt im Installationsprozess verwenden.
| 1 |
Melden Sie sich bei Partner Hub an und klicken Sie auf Dienste. |
| 2 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach der Hybrid-Datensicherheitskarte und klicken Sie auf Einrichten. Das Klicken auf Einrichten in Partner Hub ist entscheidend für den Bereitstellungsprozess. Fahren Sie mit der Installation nicht fort, ohne diesen Schritt abzuschließen. |
| 3 |
Klicken Sie auf Ressource hinzufügen und dann auf OVA-Datei herunterladen auf der Karte Software installieren und konfigurieren . Ältere Versionen des Softwarepakets (OVA) sind mit den neuesten Upgrades für die Hybrid-Datensicherheit nicht kompatibel. Dies kann zu Problemen beim Upgrade der Anwendung führen. Stellen Sie sicher, dass Sie die neueste Version der OVA-Datei herunterladen. Sie können die OVA auch jederzeit im Abschnitt Hilfe herunterladen. Klicken Sie auf . Der Download der OVA-Datei beginnt automatisch. Speichern Sie die Datei auf Ihrem Computer.
|
| 4 |
Klicken Sie optional auf Bereitstellungsleitfaden zur Hybrid-Datensicherheit anzeigen , um zu überprüfen, ob eine spätere Version dieses Leitfadens verfügbar ist. |
Erstellen einer ISO-Konfigurationsdatei für die HDS-Hosts
Beim Einrichtungsprozess für die Hybrid-Datensicherheit wird eine ISO-Datei erstellt. Anschließend verwenden Sie die ISO, um Ihren Hybrid-Datensicherheitshost zu konfigurieren.
Vorbereitungen
-
Das HDS Setup Tool wird als Docker Container auf einem lokalen Computer ausgeführt. Um darauf zu zugreifen, führen Sie Docker auf diesem Computer aus. Der Einrichtungsprozess erfordert die Anmeldeinformationen eines Partner Hub-Kontos mit vollständigen Administratorrechten.
Wenn Sie keine Docker Desktop-Lizenz haben, können Sie Podman Desktop verwenden, um das HDS Setup Tool für die Schritte 1 bis 5 im folgenden Verfahren auszuführen. Weitere Details finden Sie unter HDS Setup Tool mit Podman Desktop ausführen .
Wenn das HDS Setup-Tool hinter einem Proxy in Ihrer Umgebung ausgeführt wird, geben Sie die Proxy-Einstellungen (Server, Port, Anmeldeinformationen) über die Docker-Umgebungsvariablen an, wenn Sie den Docker-Container in Schritt 5 unten aufrufen. Diese Tabelle enthält einige mögliche Umgebungsvariablen:
Beschreibung
Variable
HTTP-Proxy ohne Authentifizierung
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-Proxy ohne Authentifizierung
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-Proxy mit Authentifizierung
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-Proxy mit Authentifizierung
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Die von Ihnen generierte ISO-Konfigurationsdatei enthält den Hauptschlüssel zur Verschlüsselung der PostgreSQL- oder Microsoft SQL Server-Datenbank. Sie benötigen die neueste Kopie dieser Datei, wenn Sie Konfigurationsänderungen wie die folgenden vornehmen:
-
Datenbank-Anmeldeinformationen
-
Zertifikats-Aktualisierungen
-
Änderungen an der Autorisierungsrichtlinie
-
-
Wenn Sie Datenbankverbindungen verschlüsseln möchten, richten Sie Ihre PostgreSQL- oder SQL Server-Bereitstellung für TLS ein.
| 1 |
Geben Sie in der Befehlszeile Ihres Computers den entsprechenden Befehl für Ihre Umgebung ein: In regulären Umgebungen: In FedRAMP-Umgebungen: Mit diesem Schritt werden die Bilder vorheriger HDS-Setup-Tools bereinigt. Wenn keine vorherigen Bilder angezeigt werden, erhalten Sie eine Fehlermeldung, die Sie ignorieren können. | ||||||||||
| 2 |
Um sich bei der Docker-Image-Registrierung anmelden zu können, geben Sie Folgendes ein: | ||||||||||
| 3 |
Geben Sie in der Passwortaufforderung diese Hash-Eingabe ein: | ||||||||||
| 4 |
Laden Sie das aktuellste stabile Bild für Ihre Umgebung herunter: In regulären Umgebungen: In FedRAMP-Umgebungen: | ||||||||||
| 5 |
Geben Sie nach Abschluss des Pull-Befehls den entsprechenden Befehl für Ihre Umgebung ein:
Wenn der Container ausgeführt wird, wird "Express server listening on port 8080" (Express-Server hören auf Port 8080) sehen. | ||||||||||
| 6 |
Das Setup-Tool unterstützt die Verbindung zu localhost über http://localhost:8080 nicht. Verwenden Sie http://127.0.0.1:8080 , um eine Verbindung zum Localhost herzustellen. Navigieren Sie in einem Webbrowser zum Localhost, Das Tool verwendet diesen ersten Eintrag des Benutzernamens, um die richtige Umgebung für dieses Konto festzulegen. Das Tool zeigt dann die Standard-Anmeldeaufforderung an. | ||||||||||
| 7 |
Wenn Sie dazu aufgefordert werden, geben Sie Ihre Partner Hub-Administratoranmeldeinformationen ein und klicken Sie dann auf Anmelden , um den Zugriff auf die für die Hybrid-Datensicherheit erforderlichen Dienste zu erlauben. | ||||||||||
| 8 |
Klicken Sie auf der Übersichtsseite des Setup Tool auf Get Started (Erste Schritte). | ||||||||||
| 9 |
Auf der Seite ISO-Import stehen Ihnen folgende Optionen zur Verfügung:
| ||||||||||
| 10 |
Überprüfen Sie, ob Ihr X.509-Zertifikat die Anforderungen in X.509-Zertifikatsanforderungen erfüllt.
| ||||||||||
| 11 |
Geben Sie die Datenbankadresse und das Konto für HDS ein, um auf Ihren Schlüsseldatenspeicher zuzugreifen: | ||||||||||
| 12 |
Wählen Sie einen TLS-Datenbankverbindungsmodus aus:
Wenn Sie das Stammzertifikat hochladen (falls erforderlich) und auf Weiter klicken, testet das HDS Setup Tool die TLS-Verbindung zum Datenbankserver. Das Tool überprüft auch den Zertifikat signer und den Hostnamen, falls vorhanden. Wenn ein Test fehlschlägt, zeigt das Tool eine Fehlermeldung an, in der das Problem beschrieben wird. Sie können auswählen, ob Sie den Fehler ignorieren und mit der Einrichtung fortfahren möchten. (Aufgrund von Verbindungsunterschieden können die HDS-Knoten möglicherweise eine TLS-Verbindung herstellen, auch wenn das HDS Setup Tool diese nicht erfolgreich testen kann.) | ||||||||||
| 13 |
Konfigurieren Sie auf der Seite Systemprotokolle Ihren Syslogd-Server: | ||||||||||
| 14 |
(Optional) Sie können den Standardwert für einige Datenbankverbindungsparameter unter Erweiterte Einstellungen ändern. Im Allgemeinen ist dieser Parameter der einzige, den Sie ändern möchten: | ||||||||||
| 15 |
Klicken Sie im Bildschirm Kennwort für Dienstkonten zurücksetzen auf Weiter . Passwörter für Dienstkonten haben eine Lebensdauer von neun Monaten. Verwenden Sie diesen Bildschirm, wenn Ihre Passwörter bald ablaufen oder Sie sie zurücksetzen möchten, um frühere ISO-Dateien ungültig zu machen. | ||||||||||
| 16 |
Klicken Sie auf Download ISO File (ISO-Datei herunterladen). Speichern Sie die Datei an einem leicht auffindbaren Speicherort. | ||||||||||
| 17 |
Erstellen Sie eine Sicherungskopie der ISO-Datei auf Ihrem lokalen System. Sichern Sie die Sicherungskopie sicher. Die Datei enthält einen Master-Verschlüsselungsschlüssel für die Datenbankinhalte. Beschränken Sie den Zugriff auf Administratoren für Hybrid-Datensicherheit, die Konfigurationsänderungen vornehmen sollten. | ||||||||||
| 18 |
Um das Setup-Tool herunterzufahren, geben Sie |
Nächste Schritte
Sichern Sie die ISO-Konfigurationsdatei. Sie benötigen sie, um weitere Knoten für die Wiederherstellung zu erstellen oder Konfigurationsänderungen vorzunehmen. Wenn Sie alle Kopien der ISO-Datei verlieren, haben Sie auch den Hauptschlüssel verloren. Die Schlüssel aus Ihrer PostgreSQL- oder Microsoft SQL Server-Datenbank können nicht wiederhergestellt werden.
Wir haben nie eine Kopie dieses Schlüssels und können nicht helfen, wenn Sie ihn verlieren.
Installieren des HDS Host OVA
| 1 |
Melden Sie sich über den VMware vSphere-Client auf Ihrem Computer bei dem ESXi virtuellen Host an. |
| 2 |
Wählen Sie Datei > OVF-Vorlage bereitstellen aus. |
| 3 |
Geben Sie im Assistenten den Speicherort der OVA-Datei an, die Sie zuvor heruntergeladen haben, und klicken Sie auf Weiter. |
| 4 |
Geben Sie auf der Seite Name und Ordner auswählen einen Namen der virtuellen Maschine für den Knoten ein (z. B. „HDS_Node_1“), wählen Sie einen Ort aus, an dem sich die Knotenbereitstellung der virtuellen Maschine befinden kann, und klicken Sie auf Weiter. |
| 5 |
Wählen Sie auf der Seite Berechnungsressource auswählen die Ziel-Berechnungsressource aus, und klicken Sie auf Weiter. Eine Validierungsprüfung wird ausgeführt. Nach Abschluss werden die Vorlagendetails angezeigt. |
| 6 |
Überprüfen Sie die Vorlagendetails, und klicken Sie dann auf Weiter. |
| 7 |
Wenn Sie aufgefordert werden, die Ressourcenkonfiguration auf der Seite Konfiguration auszuwählen, klicken Sie auf 4 CPU und dann auf Weiter. |
| 8 |
Klicken Sie auf der Seite Speicher auswählen auf Weiter , um das standardmäßige Festplattenformat und die VM-Speicherrichtlinie zu akzeptieren. |
| 9 |
Wählen Sie auf der Seite Netzwerke auswählen die Netzwerkoption aus der Liste der Einträge aus, um die gewünschte Konnektivität für die VM bereitzustellen. |
| 10 |
Konfigurieren Sie auf der Seite Vorlage anpassen die folgenden Netzwerkeinstellungen:
Wenn Sie dies vorziehen, können Sie die Konfiguration der Netzwerkeinstellungen überspringen und die Schritte unter Einrichten der Hybrid-Datensicherheit-VM befolgen, um die Einstellungen über die Knotenkonsole zu konfigurieren. Die Option zum Konfigurieren der Netzwerkeinstellungen während der OVA-Bereitstellung wurde mit ESXi 7.0 getestet. In früheren Versionen ist diese Option möglicherweise nicht verfügbar. |
| 11 |
Klicken Sie mit der rechten Maustaste auf die Knoten-VM, und wählen Sie . Die Hybrid-Datensicherheitssoftware wird als Gast auf dem VM-Host installiert. Sie können sich jetzt bei der Konsole anmelden und den Knoten konfigurieren. Leitfaden zur Fehlerbehebung Es kann zu einer Verzögerung von einigen Minuten kommen, bis die Knotencontainer angezeigt werden. Beim erstmaligen Start wird eine Bridge-Firewall-Nachricht angezeigt, während der Sie sich anmelden können. |
Einrichten der Hybrid-Datensicherheits-VM
Mit diesem Verfahren können Sie sich zum ersten Mal bei der VM-Konsole des Hybrid-Datensicherheitsknotens anmelden und die Anmeldeinformationen festlegen. Sie können auch die Konsole verwenden, um die Netzwerkeinstellungen für den Knoten zu konfigurieren, falls Sie diese bei der OVA-Bereitstellung nicht konfiguriert haben.
| 1 |
Wählen Sie im VMware vSphere-Client, Ihre Hybrid-Datensicherheitsknoten-VM und daraufhin die Registerkarte Console (Konsole) aus. Die VM fährt hoch und ein Anmeldebildschirm erscheint. Drücken Sie die Eingabetaste, falls der Anmeldebildschirm nicht angezeigt wird.
|
| 2 |
Verwenden Sie den folgenden Standard-Anmeldenamen und das Standardkennwort, um sich anzumelden und die Anmeldedaten zu ändern: Da Sie sich zum ersten Mal bei der VM anmelden, müssen Sie das Administratorkennwort ändern. |
| 3 |
Wenn Sie die Netzwerkeinstellungen bereits unter Installieren der HDS-Host-OVA konfiguriert haben, überspringen Sie den Rest dieses Verfahrens. Wählen Sie andernfalls im Hauptmenü die Option Konfiguration bearbeiten aus. |
| 4 |
Richten Sie eine statische Konfiguration ein und geben Sie die Daten für IP-Adresse, Maske, Gateway und DNS ein. Ihr Knoten hat jetzt eine interne IP-Adresse und einen DNS-Namen. DHCP wird nicht unterstützt. |
| 5 |
(Optional) Ändern Sie die Werte für Hostname, Domäne oder NTP-Server, wenn dies gemäß Ihren Netzwerkrichtlinien erforderlich ist. Sie müssen die Domäne nicht auf die Domäne ändern, über die Sie das X.509-Zertifikat erhalten haben. |
| 6 |
Speichern Sie die Netzwerkkonfiguration und starten Sie die VM neu, damit die Änderungen in Kraft treten. |
Hochladen und Mounten der HDS-Konfigurations-ISO
Vorbereitungen
Da die ISO-Datei den Hauptschlüssel enthält, sollte sie nur auf Basis eines "Need-to-Know"-Basis zugänglich gemacht werden, für den Zugriff durch die Hybrid Data Security-VMs und alle Administratoren, die möglicherweise Änderungen vornehmen müssen. Stellen Sie sicher, dass nur diese Administratoren Zugriff auf den Datenspeicher haben.
| 1 |
Laden Sie die ISO-Datei von Ihrem Computer hoch: |
| 2 |
Mounten Sie die ISO-Datei: |
Nächste Schritte
Wenn Ihre IT-Richtlinie dies erfordert, können Sie optional die ISO-Datei unmounten, nachdem alle Knoten die Konfigurationsänderungen übernommen haben. Weitere Informationen finden Sie unter (Optional) ISO nach HDS-Konfiguration unmounten .
Konfigurieren des HDS Knotens für Proxyintegration
Wenn die Netzwerkumgebung einen Proxy erfordert, geben Sie mit diesem Vorgang den Typ des Proxy an, den Sie in die Hybriddatensicherheit integrieren möchten. Wenn Sie einen transparenten Anrufproxy oder einen HTTPS expliziten Proxy wählen, können Sie die Stammzertifikat über die Schnittstelle des Knotens hochladen und installiert werden. Sie können auch die Proxyverbindung über die Schnittstelle überprüfen und mögliche Probleme beheben.
Vorbereitungen
-
Eine Übersicht der unterstützten Proxy-Optionen finden Sie unter Proxy-Unterstützung .
| 1 |
Geben Sie die URL zur Einrichtung des HDS-Knotens |
| 2 |
Gehen Sie zu Trust Store & Proxyund wählen Sie dann eine Option:
Befolgen Sie die nächsten Schritte für einen transparenten Inspektionsproxy, einen HTTP expliziten Proxy mit Basisauthentifizierung oder einen HTTPS expliziten Proxy |
| 3 |
Klicken Sie auf ein Zertifikat für das Stammzertifikat oder Endnutzerzertifikat hochladen, und navigieren Sie dann zu einer Stammzertifikat für den Proxy. Das Zertifikat ist hochgeladen, aber noch nicht installiert, da Sie den Knoten neu starten müssen, um das Zertifikat zu installieren. Klicken Sie auf den Chevron Pfeil unter dem Namen des Zertifikats, um weitere Details zu erhalten, oder klicken Sie auf löschen, Wenn Sie Fehler gemacht haben und die Datei erneut hochladen möchten. |
| 4 |
Klicken Sie auf Stellvertreterverbindung prüfen , um die Netzwerkverbindung zwischen dem Knoten und dem Proxy zu testen. Wenn der Verbindungstest ausfällt, wird eine Fehlermeldung angezeigt, die den Grund und die Frage, wie Sie das Problem beheben können, anzeigt. Wenn Sie eine Meldung sehen, dass eine externe DNS nicht erfolgreich war, konnte der Knoten den DNS-Server nicht erreichen. Diese Bedingung wird in vielen expliziten Proxykonfigurationen erwartet. Sie können mit dem Setup fortfahren, und der Knoten wird im gesperrten externen DNS-Server funktionieren. Wenn Sie glauben, dass es sich um einen Fehler handelt, führen Sie die folgenden Schritte aus. Siehe Modus für blockierte externe DNS-Auflösung deaktivieren. |
| 5 |
Nach dem Durchführen des Verbindungstests, für expliziten Proxy, der nur auf HTTPS gesetzt ist, aktivieren Sie die Option so schalten Sie alle Port 443/444 https Anfragen aus diesem Knoten durch den expliziten Proxy Diese Einstellung benötigt 15 Sekunden, um wirksam zu werden. |
| 6 |
Klicken Sie auf alle-Zertifizierungsstellen in den Trust Store installieren (erscheint für einen HTTPS expliziten Proxy oder einen transparenten Inspektionskrimi) oder Neustart (erscheint für einen HTTP expliziten Proxy), lesen Sie die Aufforderung, und klicken Sie dann auf in Der Knoten startet innerhalb weniger Minuten. |
| 7 |
Nachdem der Knoten erneut gestartet wurde, melden Sie sich bei Bedarf erneut an, und öffnen Sie dann die Übersichtsseite, um die Verbindungsüberprüfungen zu überprüfen, um sicherzustellen, dass Sie alle im grünen Status sind. Die Proxyverbindung prüft nur eine Unterdomäne von WebEx.com. Wenn es Verbindungsprobleme gibt, ist ein häufiges Problem, dass einige der in den instructions aufgeführten-C-Domänen beim Proxy gesperrt werden. |
Ersten Knoten im Cluster registrieren
Bei der Registrierung Ihres ersten Knotens erstellen Sie ein Cluster, zu dem der Knoten zugewiesen wird. Ein Cluster umfasst einen oder mehrere Knoten, die aus Redundanzgründen bereitgestellt werden.
Vorbereitungen
-
Sie müssen die Registrierung eines Knotens nach dem Beginn innerhalb von 60 Minuten abschließen, andernfalls müssen Sie erneut beginnen.
-
Stellen Sie sicher, dass alle Popupblocker in Ihrem Browser deaktiviert sind oder dass Sie eine Ausnahme für admin.webex.com zulassen.
| 1 |
Melden Sie sich bei https://admin.webex.com an. |
| 2 |
Wählen Sie im Menü auf der linken Seite die Option Dienste aus. |
| 3 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach der Karte „Hybrid-Datensicherheit“, und klicken Sie auf Einrichten. |
| 4 |
Klicken Sie auf der sich öffnenden Seite auf Ressource hinzufügen. |
| 5 |
Geben Sie im ersten Feld der Karte Knoten hinzufügen einen Namen für das Cluster ein, dem Sie Ihren Hybrid-Datensicherheitsknoten zuweisen möchten. Benennen Sie Ihre Cluster nach Möglichkeit nach dem geografischen Standort der Clusterknoten. Beispiele: „San Francisco“ oder „New York“ oder „Dallas“ |
| 6 |
Geben Sie im zweiten Feld die interne IP-Adresse oder den vollqualifizierten Domänennamen (FQDN) Ihres Knotens ein und klicken Sie unten auf dem Bildschirm auf Hinzufügen . Diese IP-Adresse oder FQDN sollte mit der IP-Adresse oder dem Hostnamen und der Domäne übereinstimmen, die Sie beim Einrichten der Hybrid-Datensicherheit-VM verwendet haben. Es wird eine Meldung angezeigt, dass Sie Ihren Knoten in Webex registrieren können.
|
| 7 |
Klicken Sie auf Go to Node (Zum Knoten wechseln). Nach einigen Augenblicken werden Sie zu den Knoten-Konnektivitätstests für Webex-Dienste umgeleitet. Sind alle Tests erfolgreich, wird die Seite „Allow Access to Hybrid Data Security Node“ (Zugriff zu Hybrid-Datensicherheits-Knoten gewähren) angezeigt. Bestätigen Sie dort, dass Sie Ihrer Webex-Organisation die Zugriffsberechtigungen für Ihren Knoten erteilen möchten. |
| 8 |
Aktivieren Sie das Kontrollkästchen Allow Access to Your Hybrid Data Security Node (Zugriff zu Ihrem Hybrid-Datensicherheits-Knoten gewähren) und klicken Sie anschließend auf Continue (Weiter). Ihr Konto wird validiert, und die Meldung „Registrierung abgeschlossen“ zeigt an, dass Ihr Knoten jetzt in der Webex Cloud registriert ist.
|
| 9 |
Klicken Sie auf den Link oder schließen Sie die Registerkarte, um zur Partner Hub-Hybrid-Datensicherheitsseite zurückzukehren. Auf der Seite Hybrid-Datensicherheit wird das neue Cluster mit dem registrierten Knoten auf der Registerkarte Ressourcen angezeigt. Der Knoten lädt die aktuelle Software automatisch aus der Cloud herunter.
|
Weitere Knoten erstellen und registrieren
Vorbereitungen
-
Sie müssen die Registrierung eines Knotens nach dem Beginn innerhalb von 60 Minuten abschließen, andernfalls müssen Sie erneut beginnen.
-
Stellen Sie sicher, dass alle Popupblocker in Ihrem Browser deaktiviert sind oder dass Sie eine Ausnahme für admin.webex.com zulassen.
| 1 |
Erstellen Sie eine neue virtuelle Maschine über die OVA und wiederholen Sie die Schritte unter Installieren der HDS-Host-OVA. |
| 2 |
Richten Sie die Erstkonfiguration für die neue VM ein. Wiederholen Sie die Schritte unter Einrichten der Hybrid-Datensicherheit-VM. |
| 3 |
Wiederholen Sie auf der neuen VM die Schritte unter HDS-Konfigurations-ISO hochladen und mounten. |
| 4 |
Wenn Sie einen Proxy für Ihre Bereitstellung einrichten, wiederholen Sie die Schritte unter Konfigurieren des HDS-Knotens für die Proxy-Integration nach Bedarf für den neuen Knoten. |
| 5 |
Registrieren Sie den Knoten. |
Mandantenorganisationen für Multi-Tenant-Hybrid-Datensicherheit verwalten
Multi-Tenant HDS in Partner Hub aktivieren
Diese Aufgabe stellt sicher, dass alle Benutzer der Kundenorganisationen HDS für lokale Verschlüsselungsschlüssel und andere Sicherheitsdienste nutzen können.
Vorbereitungen
Stellen Sie sicher, dass Sie die Einrichtung Ihres Multi-Tenant-HDS-Clusters mit der erforderlichen Anzahl an Knoten abgeschlossen haben.
| 1 |
Melden Sie sich bei https://admin.webex.com an. |
| 2 |
Wählen Sie im Menü auf der linken Seite die Option Dienste aus. |
| 3 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach „Hybrid-Datensicherheit“ und klicken Sie auf Einstellungen bearbeiten. |
| 4 |
Klicken Sie auf der Karte HDS-Status auf HDS-Aktivierung . |
Mandantenorganisationen in Partner Hub hinzufügen
Weisen Sie bei dieser Aufgabe Kundenorganisationen Ihrem Hybrid-Datensicherheitscluster zu.
| 1 |
Melden Sie sich bei https://admin.webex.com an. |
| 2 |
Wählen Sie im Menü auf der linken Seite die Option Dienste aus. |
| 3 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach Hybrid-Datensicherheit und klicken Sie auf Alle anzeigen. |
| 4 |
Klicken Sie auf den Cluster, dem ein Kunde zugewiesen werden soll. |
| 5 |
Wechseln Sie zur Registerkarte Zugewiesene Kunden . |
| 6 |
Klicken Sie auf Kunden hinzufügen. |
| 7 |
Wählen Sie im Dropdown-Menü den Kunden aus, den Sie hinzufügen möchten. |
| 8 |
Klicken Sie auf Hinzufügen. Der Kunde wird dem Cluster hinzugefügt. |
| 9 |
Wiederholen Sie die Schritte 6 bis 8, um mehrere Kunden zu Ihrem Cluster hinzuzufügen. |
| 10 |
Klicken Sie auf Fertig am unteren Bildschirmrand, nachdem Sie die Kunden hinzugefügt haben. |
Nächste Schritte
Kundenhauptschlüssel (Customer Main Keys, CMKs) mit dem HDS Setup-Tool erstellen
Vorbereitungen
Weisen Sie Kunden dem entsprechenden Cluster zu, wie unter Mandantenorganisationen in Partner Hub hinzufügen beschrieben. Führen Sie das HDS Setup-Tool aus, um den Einrichtungsprozess für die neu hinzugefügten Kundenorganisationen abzuschließen.
-
Das HDS Setup Tool wird als Docker Container auf einem lokalen Computer ausgeführt. Um darauf zu zugreifen, führen Sie Docker auf diesem Computer aus. Der Einrichtungsprozess erfordert die Anmeldeinformationen eines Partner Hub-Kontos mit vollen Administratorrechten für Ihre Organisation.
Wenn das HDS Setup-Tool hinter einem Proxy in Ihrer Umgebung ausgeführt wird, geben Sie die Proxy-Einstellungen (Server, Port, Anmeldeinformationen) über die Docker-Umgebungsvariablen an, wenn Sie den Docker-Container in Schritt 5 aufrufen. Diese Tabelle enthält einige mögliche Umgebungsvariablen:
Beschreibung
Variable
HTTP-Proxy ohne Authentifizierung
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-Proxy ohne Authentifizierung
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-Proxy mit Authentifizierung
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-Proxy mit Authentifizierung
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Die von Ihnen generierte ISO-Konfigurationsdatei enthält den Hauptschlüssel zur Verschlüsselung der PostgreSQL- oder Microsoft SQL Server-Datenbank. Sie benötigen die neueste Kopie dieser Datei, wenn Sie Konfigurationsänderungen wie die folgenden vornehmen:
-
Datenbank-Anmeldeinformationen
-
Zertifikats-Aktualisierungen
-
Änderungen an der Autorisierungsrichtlinie
-
-
Wenn Sie Datenbankverbindungen verschlüsseln möchten, richten Sie Ihre PostgreSQL- oder SQL Server-Bereitstellung für TLS ein.
Beim Einrichtungsprozess für die Hybrid-Datensicherheit wird eine ISO-Datei erstellt. Anschließend verwenden Sie die ISO, um Ihren Hybrid-Datensicherheitshost zu konfigurieren.
| 1 |
Geben Sie in der Befehlszeile Ihres Computers den entsprechenden Befehl für Ihre Umgebung ein: In regulären Umgebungen: In FedRAMP-Umgebungen: Mit diesem Schritt werden die Bilder vorheriger HDS-Setup-Tools bereinigt. Wenn keine vorherigen Bilder angezeigt werden, erhalten Sie eine Fehlermeldung, die Sie ignorieren können. |
| 2 |
Um sich bei der Docker-Image-Registrierung anmelden zu können, geben Sie Folgendes ein: |
| 3 |
Geben Sie in der Passwortaufforderung diese Hash-Eingabe ein: |
| 4 |
Laden Sie das aktuellste stabile Bild für Ihre Umgebung herunter: In regulären Umgebungen: In FedRAMP-Umgebungen: |
| 5 |
Geben Sie nach Abschluss des Pull-Befehls den entsprechenden Befehl für Ihre Umgebung ein:
Wenn der Container ausgeführt wird, wird "Express server listening on port 8080" (Express-Server hören auf Port 8080) sehen. |
| 6 |
Das Setup-Tool unterstützt die Verbindung zu localhost über http://localhost:8080 nicht. Verwenden Sie http://127.0.0.1:8080 , um eine Verbindung zum Localhost herzustellen. Navigieren Sie in einem Webbrowser zum Localhost, Das Tool verwendet diesen ersten Eintrag des Benutzernamens, um die richtige Umgebung für dieses Konto festzulegen. Das Tool zeigt dann die Standard-Anmeldeaufforderung an. |
| 7 |
Wenn Sie dazu aufgefordert werden, geben Sie Ihre Partner Hub-Administratoranmeldeinformationen ein und klicken Sie dann auf Anmelden , um den Zugriff auf die für die Hybrid-Datensicherheit erforderlichen Dienste zu erlauben. |
| 8 |
Klicken Sie auf der Übersichtsseite des Setup Tool auf Get Started (Erste Schritte). |
| 9 |
Klicken Sie auf der Seite ISO-Import auf Ja. |
| 10 |
Wählen Sie Ihre ISO-Datei im Browser aus und laden Sie sie hoch. Stellen Sie sicher, dass die Verbindung zu Ihrer Datenbank hergestellt wird, um eine CMK-Verwaltung durchzuführen. |
| 11 |
Gehen Sie zur Registerkarte Mandanten-CMK-Verwaltung , auf der Sie die folgenden drei Möglichkeiten zur Verwaltung von Mandanten-CMKs finden.
|
| 12 |
Sobald die CMK-Erstellung erfolgreich war, ändert sich der Status in der Tabelle von CMK-Verwaltung ausstehend zu CMK-Verwaltung. |
| 13 |
Wenn die CMK-Erstellung nicht erfolgreich war, wird ein Fehler angezeigt. |
Mandantenorganisationen entfernen
Vorbereitungen
Nach dem Entfernen können Benutzer von Kundenorganisationen HDS nicht mehr für ihre Verschlüsselungsanforderungen nutzen und verlieren alle vorhandenen Bereiche. Wenden Sie sich an Ihren Cisco-Partner oder Ihren Account Manager, bevor Sie Kundenorganisationen entfernen.
| 1 |
Melden Sie sich bei https://admin.webex.com an. |
| 2 |
Wählen Sie im Menü auf der linken Seite die Option Dienste aus. |
| 3 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach Hybrid-Datensicherheit und klicken Sie auf Alle anzeigen. |
| 4 |
Klicken Sie auf der Registerkarte Ressourcen auf den Cluster, aus dem Sie Kundenorganisationen entfernen möchten. |
| 5 |
Klicken Sie auf der sich öffnenden Seite auf Zugewiesene Kunden. |
| 6 |
Klicken Sie in der angezeigten Liste der Kundenorganisationen auf ... auf der rechten Seite der Kundenorganisation, die Sie entfernen möchten, und klicken Sie auf Aus Cluster entfernen. |
Nächste Schritte
Schließen Sie den Löschvorgang ab, indem Sie die CMKs der Kundenorganisationen sperren, wie unter CMKs von Tenants, die aus HDS entfernt wurden, beschrieben.
Widerrufen Sie die CMKs von Mandanten, die aus HDS entfernt wurden.
Vorbereitungen
Entfernen Sie Kunden aus dem entsprechenden Cluster, wie unter Mandantenorganisationen entfernen beschrieben. Führen Sie das HDS Setup-Tool aus, um den Entfernungsprozess für die Kundenorganisationen abzuschließen, die entfernt wurden.
-
Das HDS Setup Tool wird als Docker Container auf einem lokalen Computer ausgeführt. Um darauf zu zugreifen, führen Sie Docker auf diesem Computer aus. Der Einrichtungsprozess erfordert die Anmeldeinformationen eines Partner Hub-Kontos mit vollen Administratorrechten für Ihre Organisation.
Wenn das HDS Setup-Tool hinter einem Proxy in Ihrer Umgebung ausgeführt wird, geben Sie die Proxy-Einstellungen (Server, Port, Anmeldeinformationen) über die Docker-Umgebungsvariablen an, wenn Sie den Docker-Container in Schritt 5 aufrufen. Diese Tabelle enthält einige mögliche Umgebungsvariablen:
Beschreibung
Variable
HTTP-Proxy ohne Authentifizierung
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-Proxy ohne Authentifizierung
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-Proxy mit Authentifizierung
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-Proxy mit Authentifizierung
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Die von Ihnen generierte ISO-Konfigurationsdatei enthält den Hauptschlüssel zur Verschlüsselung der PostgreSQL- oder Microsoft SQL Server-Datenbank. Sie benötigen die neueste Kopie dieser Datei, wenn Sie Konfigurationsänderungen wie die folgenden vornehmen:
-
Datenbank-Anmeldeinformationen
-
Zertifikats-Aktualisierungen
-
Änderungen an der Autorisierungsrichtlinie
-
-
Wenn Sie Datenbankverbindungen verschlüsseln möchten, richten Sie Ihre PostgreSQL- oder SQL Server-Bereitstellung für TLS ein.
Beim Einrichtungsprozess für die Hybrid-Datensicherheit wird eine ISO-Datei erstellt. Anschließend verwenden Sie die ISO, um Ihren Hybrid-Datensicherheitshost zu konfigurieren.
| 1 |
Geben Sie in der Befehlszeile Ihres Computers den entsprechenden Befehl für Ihre Umgebung ein: In regulären Umgebungen: In FedRAMP-Umgebungen: Mit diesem Schritt werden die Bilder vorheriger HDS-Setup-Tools bereinigt. Wenn keine vorherigen Bilder angezeigt werden, erhalten Sie eine Fehlermeldung, die Sie ignorieren können. |
| 2 |
Um sich bei der Docker-Image-Registrierung anmelden zu können, geben Sie Folgendes ein: |
| 3 |
Geben Sie in der Passwortaufforderung diese Hash-Eingabe ein: |
| 4 |
Laden Sie das aktuellste stabile Bild für Ihre Umgebung herunter: In regulären Umgebungen: In FedRAMP-Umgebungen: |
| 5 |
Geben Sie nach Abschluss des Pull-Befehls den entsprechenden Befehl für Ihre Umgebung ein:
Wenn der Container ausgeführt wird, wird "Express server listening on port 8080" (Express-Server hören auf Port 8080) sehen. |
| 6 |
Das Setup-Tool unterstützt die Verbindung zu localhost über http://localhost:8080 nicht. Verwenden Sie http://127.0.0.1:8080 , um eine Verbindung zum Localhost herzustellen. Navigieren Sie in einem Webbrowser zum Localhost, Das Tool verwendet diesen ersten Eintrag des Benutzernamens, um die richtige Umgebung für dieses Konto festzulegen. Das Tool zeigt dann die Standard-Anmeldeaufforderung an. |
| 7 |
Wenn Sie dazu aufgefordert werden, geben Sie Ihre Partner Hub-Administratoranmeldeinformationen ein und klicken Sie dann auf Anmelden , um den Zugriff auf die für die Hybrid-Datensicherheit erforderlichen Dienste zu erlauben. |
| 8 |
Klicken Sie auf der Übersichtsseite des Setup Tool auf Get Started (Erste Schritte). |
| 9 |
Klicken Sie auf der Seite ISO-Import auf Ja. |
| 10 |
Wählen Sie Ihre ISO-Datei im Browser aus und laden Sie sie hoch. |
| 11 |
Gehen Sie zur Registerkarte Mandanten-CMK-Verwaltung , auf der Sie die folgenden drei Möglichkeiten zur Verwaltung von Mandanten-CMKs finden.
|
| 12 |
Sobald die CMK-Sperrung erfolgreich ist, wird die Kundenorganisation nicht mehr in der Tabelle angezeigt. |
| 13 |
Wenn die CMK-Sperrung nicht erfolgreich ist, wird ein Fehler angezeigt. |
Testen Ihrer Hybrid-Datensicherheitsbereitstellung
Testen Ihrer Bereitstellung für die Hybrid-Datensicherheit
Vorbereitungen
-
Richten Sie die Multi-Tenant-Hybrid-Datensicherheitsbereitstellung ein.
-
Stellen Sie sicher, dass Sie auf das Syslog zugreifen können, um zu überprüfen, ob wichtige Anforderungen an Ihre Multi-Tenant-Hybrid-Datensicherheitsbereitstellung weitergeleitet werden.
| 1 |
Schlüssel für einen bestimmten Bereich werden vom Ersteller des Bereichs festgelegt. Melden Sie sich bei der Webex-App als einer der Benutzer der Kundenorganisation an und erstellen Sie einen Bereich. Wenn Sie die Hybrid-Datensicherheitsbereitstellung deaktivieren, sind Inhalte in von Benutzern erstellten Bereichen nicht mehr verfügbar, nachdem die im Client zwischengespeicherten Kopien der Verschlüsselungscodes ersetzt wurden. |
| 2 |
Senden Sie Nachrichten an den neuen Bereich. |
| 3 |
Überprüfen Sie die Syslog-Ausgabe, um sicherzustellen, dass die Schlüsselanforderungen an Ihre Hybrid-Datensicherheitsbereitstellung weitergeleitet werden. |
Überwachen des Status der Hybrid-Datensicherheit
| 1 |
Wählen Sie in Partner Hub im Menü auf der linken Seite des Bildschirms die Option Dienste aus. |
| 2 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach „Hybrid-Datensicherheit“ und klicken Sie auf Einstellungen bearbeiten. Die Seite „Hybrid Data Security Settings“ (Einstellungen für Hybrid-Datensicherheit) wird angezeigt.
|
| 3 |
Geben Sie im Abschnitt zu E-Mail-Benachrichtigungen eine oder mehrere Adressen durch Komma getrennt ein und drücken Sie Enter. |
HDS-Bereitstellung verwalten
Verwalten der HDS-Bereitstellung
Verwenden Sie die hier beschriebenen Aufgaben, um Ihre Hybrid-Datensicherheitsbereitstellung zu verwalten.
Festlegen des Upgrade-Zeitplans für Cluster
So legen Sie den Upgrade-Zeitplan fest:
| 1 |
Melden Sie sich bei Partner Hub an. |
| 2 |
Wählen Sie im Menü auf der linken Seite die Option Dienste aus. |
| 3 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach „Hybrid-Datensicherheit“ und klicken Sie auf Einrichten. |
| 4 |
Wählen Sie auf der Seite „Hybrid-Datensicherheitsressourcen“ den Cluster aus. |
| 5 |
Klicken Sie auf die Registerkarte Cluster-Einstellungen . |
| 6 |
Wählen Sie auf der Seite „Cluster-Einstellungen“ unter „Upgrade-Zeitplan“ die Uhrzeit und die Zeitzone für den Upgrade-Zeitplan aus. Hinweis: Unter der Zeitzone wird der nächste verfügbare Zeitpunkt für ein Upgrade angezeigt. Sie können das Upgrade bei Bedarf auf den folgenden Tag verschieben, indem Sie auf Um 24 Stunden verschieben klicken. |
Ändern der Knotenkonfiguration
-
Änderung der x.509-Zertifikate aufgrund Ablaufs oder anderer Gründe.
Wir unterstützen keine Änderung des CN-Domänennamens eines Zertifikats. Die Domäne muss mit der Originaldomäne übereinstimmen, die zur Registrierung des Clusters verwendet wurde.
-
Datenbankeinstellungen werden aktualisiert, um auf eine Replik der PostgreSQL- oder Microsoft SQL Server-Datenbank zu wechseln.
Wir unterstützen keine Migration von Daten von PostgreSQL zu Microsoft SQL Server oder auf den entgegengesetzten Weg. Um die Datenbankumgebung zu wechseln, starten Sie eine neue Bereitstellung von Hybrid Data Security.
-
Erstellen einer neuen Konfiguration, um ein neues Datenzentrum vorzubereiten.
Aus Sicherheitsgründen verwendet Hybrid Data Security Dienstkonto-Passwörter mit einer Laufzeit von neun Monaten. Nachdem das HDS Setup Tool diese Passwörter generiert hat, stellen Sie sie für jeden Ihrer HDS-Knoten in der ISO-Konfigurationsdatei bereit. Wenn die Kennwörter Ihrer Organisation fast ablaufen, erhalten Sie eine Benachrichtigung vom Webex-Team, mit der Sie das Passwort für Ihr Computerkonto zurücksetzen können. (Die E-Mail enthält den Text "Verwenden Sie die Maschinenkonto-API, um das Passwort zu aktualisieren"). Wenn Ihre Passwörter noch nicht abgelaufen sind, bietet Ihnen das Tool zwei Optionen:
-
Weiches Zurücksetzen – Das alte und das neue Kennwort können beide bis zu 10 Tage lang verwendet werden. Verwenden Sie diesen Zeitraum, um die ISO-Datei der Knoten schrittweise zu ersetzen.
-
Harte Zurücksetzung: Die alten Passwörter funktionieren sofort nicht mehr.
Wenn Ihre Passwörter ohne Zurücksetzen ablaufen, wirkt sich dies auf Ihren HDS-Dienst aus, was ein sofortiges Zurücksetzen und Ersetzen der ISO-Datei auf allen Knoten erfordert.
Verwenden Sie dieses Verfahren, um eine neue ISO-Konfigurationsdatei zu generieren und auf Ihren Cluster anzuwenden.
Vorbereitungen
-
Das HDS Setup Tool wird als Docker Container auf einem lokalen Computer ausgeführt. Um darauf zu zugreifen, führen Sie Docker auf diesem Computer aus. Der Einrichtungsprozess erfordert die Anmeldeinformationen eines Partner Hub-Kontos mit vollen Partneradministratorrechten.
Wenn Sie keine Docker Desktop-Lizenz haben, können Sie Podman Desktop verwenden, um das HDS Setup Tool für die Schritte 1.a bis 1.e im folgenden Verfahren auszuführen. Weitere Details finden Sie unter HDS Setup Tool mit Podman Desktop ausführen .
Wenn das HDS Setup-Tool hinter einem Proxy in Ihrer Umgebung ausgeführt wird, geben Sie die Proxy-Einstellungen (Server, Port, Anmeldeinformationen) über die Docker-Umgebungsvariablen an, wenn Sie den Docker Container in 1.e aufrufen. Diese Tabelle enthält einige mögliche Umgebungsvariablen:
Beschreibung
Variable
HTTP-Proxy ohne Authentifizierung
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-Proxy ohne Authentifizierung
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-Proxy mit Authentifizierung
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-Proxy mit Authentifizierung
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Um eine neue Konfiguration zu erstellen, benötigen Sie eine Kopie der aktuellen ISO-Konfigurationsdatei. Die ISO enthält den Masterschlüssel zur Verschlüsselung der PostgreSQL- oder Microsoft SQL Server-Datenbank. Sie benötigen die ISO-Datei, wenn Sie Konfigurationsänderungen vornehmen, wie z. B. Datenbank-Anmeldeinformationen, Zertifikataktualisierungen oder Änderungen an der Autorisierungsrichtlinie.
| 1 |
Führen Sie auf einem lokalen Computer, auf dem Docker läuft, das HDS Setup Tool aus. |
| 2 |
Wenn Sie nur einen HDS-Knoten ausführen, erstellen Sie eine neue VM für den Hybrid-Datensicherheitsknoten und registrieren Sie sie mithilfe der neuen ISO-Konfigurationsdatei. Detaillierte Anweisungen finden Sie unter Weitere Knoten erstellen und registrieren. |
| 3 |
Mounten Sie bei vorhandenen HDS-Knoten, auf denen die ältere Konfigurationsdatei ausgeführt wird, die ISO-Datei. Führen Sie für jeden Knoten des Knotens folgende Schritte durch, indem Sie jeden Knoten aktualisieren, bevor Sie den nächsten Knoten deaktivieren: |
| 4 |
Wiederholen Sie Schritt 3, um bei jedem weiteren Knoten zu ersetzen, auf dem noch die alte Konfiguration ausgeführt wird, die Konfiguration zu ersetzen. |
Blockierte externe DNS Auflösungsmodus deaktivieren
Wenn Sie einen Knoten registrieren oder die Proxykonfiguration des Knotens überprüfen, testet das Verfahren die DNS und die Konnektivität der Cisco WebEx. Wenn der DNS-Server des Knotens öffentliche DNS nicht auflösen kann, geht der Knoten automatisch in den gesperrten externen DNS-Server.
Wenn Ihre Knoten öffentliche DNS über interne DNS-Server auflösen können, aktivieren Sie diesen Modus, indem Sie den Proxyverbindungstest für jeden Knoten deaktivieren.
Vorbereitungen
| 1 |
Öffnen Sie in einem Webbrowser die Schnittstelle für den Hybrid-Datensicherheitsknoten (IP-Adresse/Einrichtung, https://192.0.2.0/setup), geben Sie beispielsweise die für den Knoten eingerichteten Admin-Anmeldeinformationen ein, und klicken Sie dann auf Anmelden. |
| 2 |
Gehen Sie zu Übersicht (Standardseite). Wenn diese Option aktiviert ist, wird die externe DNS auf "Ja" gesetzt . |
| 3 |
Gehen Sie zur Seite Vertrauensspeicher und Proxy . |
| 4 |
Klicken Sie auf Stellvertreterverbindung prüfen. Wenn Sie eine Meldung sehen, dass eine externe DNS nicht erfolgreich war, konnte der Knoten den DNS-Server nicht erreichen und wird in diesem Modus verbleiben. Andernfalls sollte nach dem Neustart des Knotens und der Rückfahrt zur Übersichtsseite die gesperrte externe DNS auf "Nein" gesetzt werden. |
Nächste Schritte
Entfernen eines Knotens
| 1 |
Melden Sie sich über den VMware vSphere-Client auf Ihrem Computer bei dem ESXi virtuellen Host an und schalten Sie die virtuelle Maschine aus. |
| 2 |
Entfernen des Knotens: |
| 3 |
Löschen Sie die VM im vSphere-Client. (Klicken Sie im linken Navigationsbereich mit der rechten Maustaste auf die VM, und klicken Sie auf Löschen.) Wenn Sie die VM nicht löschen, denken Sie daran, die Konfigurations-ISO-Datei zu deinstallieren. Ohne die ISO-Datei können Sie die VM nicht verwenden, um auf Ihre Sicherheitsdaten zuzugreifen. |
Notfallwiederherstellung mit Standby-Rechenzentrum
Der wichtigste Dienst, den Ihr Hybrid-Datensicherheitscluster bietet, ist die Erstellung und Speicherung von Schlüsseln, mit denen Nachrichten und andere in der Webex-Cloud gespeicherte Inhalte verschlüsselt werden. Für jeden Benutzer innerhalb der Organisation, der der Hybrid-Datensicherheit zugewiesen ist, werden neue Anforderungen zur Schlüsselerstellung an das Cluster weitergeleitet. Der Cluster ist zudem dafür verantwortlich, die erstellten Schlüssel an Benutzer zurückzusenden, die zum Abrufen von Schlüsseln berechtigt sind. Hierzu gehören beispielsweise Mitglieder eines Gesprächsraums.
Da der Cluster die wichtige Funktion erfüllt, diese Schlüssel bereitzustellen, ist es höchst wichtig, dass der Cluster in Betrieb bleibt und korrekte Backups erstellt werden. Der Verlust der Hybrid-Datensicherheitsdatenbank oder der für das Schema verwendeten Konfigurations-ISO führt zu einem NICHT BEHEBBAREN VERLUST von Kundeninhalten. Die folgenden Praktiken sind zwingend erforderlich, um einem derartigen Verlust vorzubeugen:
Wenn eine Katastrophe dazu führt, dass die HDS-Bereitstellung im primären Rechenzentrum nicht mehr verfügbar ist, führen Sie dieses Verfahren aus, um ein manuelles Failover auf das Standby-Rechenzentrum durchzuführen.
Vorbereitungen
| 1 |
Starten Sie das HDS-Setup-Tool und führen Sie die unter Erstellen einer Konfigurations-ISO für die HDS-Hosts beschriebenen Schritte aus. |
| 2 |
Schließen Sie den Konfigurationsprozess ab und speichern Sie die ISO-Datei an einem leicht auffindbaren Speicherort. |
| 3 |
Erstellen Sie eine Sicherungskopie der ISO-Datei auf Ihrem lokalen System. Sichern Sie die Sicherungskopie sicher. Die Datei enthält einen Master-Verschlüsselungsschlüssel für die Datenbankinhalte. Beschränken Sie den Zugriff auf Administratoren für Hybrid-Datensicherheit, die Konfigurationsänderungen vornehmen sollten. |
| 4 |
Rechtsklicken Sie im linken Navigationsbereich des VMware vSphere Client auf die VM. Klicken Sie daraufhin auf Edit Settings (Einstellungen bearbeiten). |
| 5 |
Klicken Sie auf Einstellungen bearbeiten >CD/DVD-Laufwerk 1 und wählen Sie Datenspeicher-ISO-Datei. Stellen Sie sicher, dass Verbunden und Verbinden beim Einschalten aktiviert sind, damit aktualisierte Konfigurationsänderungen nach dem Starten der Knoten wirksam werden können. |
| 6 |
Schalten Sie den HDS-Knoten ein und stellen Sie sicher, dass mindestens 15 Minuten lang keine Alarme vorhanden sind. |
| 7 |
Registrieren Sie den Knoten im Partner Hub. Weitere Informationen finden Sie unter Ersten Knoten im Cluster registrieren. |
| 8 |
Wiederholen Sie den Vorgang für jeden Knoten im Standby-Rechenzentrum. |
Nächste Schritte
(Optional) ISO nach HDS-Konfiguration aushängen
Die Standard-HDS-Konfiguration wird mit eingebauter ISO ausgeführt. Einige Kunden ziehen es jedoch vor, die ISO-Dateien nicht kontinuierlich eingebunden zu lassen. Sie können die ISO-Datei unmounten, nachdem alle HDS-Knoten die neue Konfiguration übernommen haben.
Sie verwenden weiterhin die ISO-Dateien, um Konfigurationsänderungen vorzunehmen. Wenn Sie eine neue ISO erstellen oder eine ISO über das Setup-Tool aktualisieren, müssen Sie die aktualisierte ISO auf allen HDS-Knoten mounten. Wenn alle Knoten die Konfigurationsänderungen übernommen haben, können Sie die ISO mit diesem Verfahren erneut deinstallieren.
Vorbereitungen
Aktualisieren Sie alle Ihre HDS-Knoten auf Version 2021.01.22.4720 oder höher.
| 1 |
Fahren Sie einen Ihrer HDS-Knoten herunter. |
| 2 |
Wählen Sie in der vCenter Server-Appliance den HDS-Knoten aus. |
| 3 |
Wählen Sie und deaktivieren Sie ISO-Datei für Datenspeicher. |
| 4 |
Schalten Sie den HDS-Knoten ein und stellen Sie sicher, dass mindestens 20 Minuten lang keine Alarme angezeigt werden. |
| 5 |
Wiederholen Sie dies für jeden HDS-Knoten der Reihe nach. |
Problembehandlung der Hybrid-Datensicherheit
Anzeigen von Warnungen und Beheben von Fehlern
Eine Hybrid-Datensicherheitsbereitstellung gilt als nicht verfügbar, wenn alle Knoten im Cluster nicht erreichbar sind oder der Cluster so langsam arbeitet, dass eine Zeitüberschreitung erforderlich ist. Wenn Benutzer Ihr Hybrid-Datensicherheitscluster nicht erreichen können, treten folgende Symptome auf:
-
Neue Bereiche können nicht erstellt werden (es konnten keine neuen Schlüssel erstellt werden)
-
Nachrichten- und Bereichstitel konnten für folgende Benutzer nicht entschlüsselt werden:
-
Neue zu einem Bereich hinzugefügte Benutzer (Schlüssel konnten nicht abgerufen werden)
-
Vorhandene Benutzer in einem Bereich, der einen neuen Client verwendet (Schlüssel konnten nicht abgerufen werden)
-
-
Vorhandene Benutzer in einem Bereich werden weiterhin erfolgreich ausgeführt, sofern ihre Clients über einen Cache für Verschlüsselungsschlüssel verfügen
Es ist wichtig, dass Sie Ihren Hybrid-Datensicherheitscluster ordnungsgemäß überwachen und alle Warnungen umgehend adressieren, um Dienstunterbrechungen zu vermeiden.
Warnungen
Wenn es ein Problem mit der Einrichtung der Hybrid-Datensicherheit gibt, zeigt Partner Hub Warnungen an den Administrator der Organisation an und sendet E-Mails an die konfigurierte E-Mail-Adresse. Die Warnungen betreffen viele gängige Szenarien.
|
Alarm |
Vorgang |
|---|---|
|
Fehler beim Zugriff auf die lokale Datenbank. |
Überprüfen Sie das System auf Datenbankfehler oder lokale Netzwerkprobleme. |
|
Fehler beim Herstellen einer Verbindung zur lokalen Datenbank. |
Vergewissern Sie sich, dass der Datenbankserver verfügbar ist und die richtigen Dienstkonto-Anmeldeinformationen in der Knotenkonfiguration verwendet wurden. |
|
Fehler beim Zugriff auf den Clouddienst. |
Überprüfen Sie, ob die Knoten auf die Webex-Server zugreifen können, wie unter Externe Verbindungsanforderungen angegeben. |
|
Registrierung des Clouddiensts wird erneuert. |
Registrierung von Clouddiensten wurde verworfen. Erneuerung der Registrierung wird durchgeführt. |
|
Registrierung des Clouddiensts wurde verworfen. |
Registrierung von Clouddiensten wurde beendet. Dienst wird beendet. |
|
Dienst noch nicht aktiviert. |
Aktivieren Sie HDS in Partner Hub. |
|
Konfigurierte Domäne stimmt nicht mit dem Serverzertifikat überein. |
Vergewissern Sie sich, dass das Serverzertifikat mit der konfigurierten Dienstaktivierungsdomäne übereinstimmt. Die wahrscheinlichste Ursache lautet, dass die Zertifikat-CN vor kurzem geändert wurde und nun von der CN abweicht, die während der ursprünglichen Einrichtung verwendet wurde. |
|
Clouddienste konnten nicht authentifiziert werden. |
Prüfen Sie die Daten auf korrekte Eingabe und einen möglichen Ablauf der Dienstkonto-Anmeldeinformationen. |
|
Lokale Schlüsselspeicherdatei konnte nicht geöffnet werden. |
Überprüfen Sie die lokale Schlüsselspeicherdatei auf Integrität und Kennwortgenauigkeit. |
|
Lokales Serverzertifikat ist ungültig. |
Überprüfen Sie das Ablaufdatum des Serverzertifikats und vergewissern Sie sich, dass es von einer vertrauenswürdigen Zertifizierungsstelle ausgestellt wurde. |
|
Metriken konnten nicht gepostet werden. |
Überprüfen Sie den Zugriff des lokalen Netzwerks auf externe Clouddienste. |
|
Das Verzeichnis /media/configdrive/hds ist nicht vorhanden. |
Überprüfen Sie die ISO-Mountkonfiguration auf dem virtuellen Host. Vergewissern Sie sich, dass die ISO-Datei vorhanden ist, die beim Neustart für das Mounten konfiguriert ist und das Mounten erfolgreich ausgeführt wird. |
|
Die Einrichtung der Mandanten-Organisation ist für die hinzugefügten Organisationen nicht abgeschlossen |
Schließen Sie die Einrichtung ab, indem Sie mit dem HDS Setup Tool CMKs für neu hinzugefügte Mandantenorganisationen erstellen. |
|
Die Einrichtung der Mandantenorganisation ist für die entfernten Organisationen nicht abgeschlossen |
Schließen Sie die Einrichtung ab, indem Sie die CMKs der Mandantenorganisationen, die mit dem HDS Setup Tool entfernt wurden, widerrufen. |
Problembehandlung der Hybrid-Datensicherheit
| 1 |
Prüfen Sie Partner Hub auf Warnungen und beheben Sie alle Elemente, die Sie dort finden. Weitere Informationen finden Sie im Bild unten. |
| 2 |
Überprüfen Sie die Syslog-Serverausgabe auf Aktivität aus der Hybrid-Datensicherheitsbereitstellung. Filtern Sie nach Wörtern wie „Warnung“ und „Fehler“, um bei der Fehlerbehebung zu helfen. |
| 3 |
Kontaktieren Sie den Cisco-Support. |
Sonstige Hinweise
Bekannte Probleme mit Hybrid-Datensicherheit
-
Wenn Sie Ihren Hybrid-Datensicherheitscluster herunterfahren (indem Sie ihn im Partner Hub löschen oder alle Knoten herunterfahren), Ihre Konfigurations-ISO-Datei verlieren oder den Zugriff auf die Keystore-Datenbank verlieren, können Webex-App-Benutzer von Kundenorganisationen keine Bereiche in ihrer Personenliste mehr verwenden, die mit Schlüsseln von Ihrem KMS erstellt wurden. Wir haben aktuell keine Problemumgehung oder Lösung für dieses Problem und empfehlen Ihnen dringend, Ihre HDS-Dienste nicht herunterzufahren, sobald sie aktive Benutzerkonten verarbeiten.
-
Ein Client, der über eine bestehende ECDH-Verbindung zu einem KMS verfügt, hält die Verbindung für einen Zeitraum aufrecht (ca. eine Stunde).
HDS Setup Tool mit Podman Desktop ausführen
Podman ist ein kostenloses und Open-Source-Container-Management-Tool, das eine Möglichkeit zum Ausführen, Verwalten und Erstellen von Containern bietet. Podman Desktop kann von https://podman-desktop.io/downloads heruntergeladen werden.
-
Das HDS Setup Tool wird als Docker-Container auf einem lokalen Computer ausgeführt. Um darauf zuzugreifen, laden Sie Podman herunter und führen Sie ihn auf diesem Computer aus. Für den Einrichtungsprozess sind die Anmeldeinformationen eines Control Hub-Kontos mit vollen Administratorrechten für Ihre Organisation erforderlich.
Wenn das HDS Setup-Tool hinter einem Proxy in Ihrer Umgebung ausgeführt wird, geben Sie die Proxy-Einstellungen (Server, Port, Anmeldeinformationen) über die Docker-Umgebungsvariablen an, wenn Sie den Docker-Container in Schritt 5 aufrufen. Diese Tabelle enthält einige mögliche Umgebungsvariablen:
Beschreibung
Variable
HTTP-Proxy ohne Authentifizierung
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-Proxy ohne Authentifizierung
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-Proxy mit Authentifizierung
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-Proxy mit Authentifizierung
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Die von Ihnen generierte ISO-Konfigurationsdatei enthält den Hauptschlüssel zur Verschlüsselung der PostgreSQL- oder Microsoft SQL Server-Datenbank. Sie benötigen die neueste Kopie dieser Datei, wenn Sie Konfigurationsänderungen wie die folgenden vornehmen:
-
Datenbank-Anmeldeinformationen
-
Zertifikats-Aktualisierungen
-
Änderungen an der Autorisierungsrichtlinie
-
-
Wenn Sie Datenbankverbindungen verschlüsseln möchten, richten Sie Ihre PostgreSQL- oder SQL Server-Bereitstellung für TLS ein.
Beim Einrichtungsprozess für die Hybrid-Datensicherheit wird eine ISO-Datei erstellt. Anschließend verwenden Sie die ISO, um Ihren Hybrid-Datensicherheitshost zu konfigurieren.
| 1 |
Geben Sie in der Befehlszeile Ihres Computers den entsprechenden Befehl für Ihre Umgebung ein: In regulären Umgebungen: In FedRAMP-Umgebungen: Mit diesem Schritt werden die Bilder vorheriger HDS-Setup-Tools bereinigt. Wenn keine vorherigen Bilder angezeigt werden, erhalten Sie eine Fehlermeldung, die Sie ignorieren können. |
| 2 |
Um sich bei der Docker-Image-Registrierung anmelden zu können, geben Sie Folgendes ein: |
| 3 |
Geben Sie in der Passwortaufforderung diese Hash-Eingabe ein: |
| 4 |
Laden Sie das aktuellste stabile Bild für Ihre Umgebung herunter: In regulären Umgebungen: In FedRAMP-Umgebungen: |
| 5 |
Geben Sie nach Abschluss des Pull-Befehls den entsprechenden Befehl für Ihre Umgebung ein:
Wenn der Container ausgeführt wird, wird "Express server listening on port 8080" (Express-Server hören auf Port 8080) sehen. |
Nächste Schritte
Generieren einer PKCS12-Datei mit OpenSSL
Vorbereitungen
-
OpenSSL ist eines der Tools, mit denen die PKCS12-Datei im richtigen Format für das Laden in das HDS-Setuptool erstellt werden kann. Es gibt auch andere Verfahren, keines davon wird von uns bevorzugt.
-
Wenn Sie sich für die Verwendung von OpenSSL entscheiden, stellen wir Ihnen dieses Verfahren als Richtlinie zur Verfügung, um eine Datei zu erstellen, die die X.509-Zertifikatsanforderungen in X.509-Zertifikatsanforderungen erfüllt. Machen Sie sich mit diesen Anforderungen vertraut, bevor Sie fortfahren.
-
Installieren Sie OpenSSL in einer unterstützten Umgebung. Software und Dokumentation finden Sie auf https://www.openssl.org.
-
Erstellen Sie einen privaten Schlüssel.
-
Beginnen Sie mit diesem Verfahren, wenn Sie das Serverzertifikat von Ihrer Zertifizierungsstelle (CA, Certificate Authority) erhalten.
| 1 |
Wenn Sie das Serverzertifikat von Ihrer Zertifizierungsstelle erhalten, speichern Sie es als |
| 2 |
Zeigen Sie das Zertifikat als Text an, und überprüfen Sie die Details.
|
| 3 |
Erstellen Sie mit einem Texteditor eine Zertifikatspaket-Datei mit dem Namen
|
| 4 |
Erstellen Sie die .p12-Datei mit dem Anzeigenamen
|
| 5 |
Überprüfen Sie die Zertifikatdetails. |
Nächste Schritte
Kehren Sie zurück zu Voraussetzungen für Hybrid-Datensicherheit erfüllen. Sie verwenden die hdsnode.p12 Datei und das Passwort, das Sie dafür festgelegt haben, unter Erstellen einer Konfigurations-ISO für die HDS-Hosts.
Sie können diese Dateien wiederverwenden, um ein neues Zertifikat anzufordern, wenn das ursprüngliche Zertifikat abläuft.
Datenverkehr zwischen den HDS-Knoten und der Cloud
Metriksammlung von ausgehendem Datenverkehr
Die Hybrid-Datensicherheitsknoten senden bestimmte Metriken an die Webex-Cloud. Dazu gehören Systemmetriken für max. Heap, verbrauchter Heap, CPU-Auslastung und Threadanzahl; Metriken zu synchronen und asynchronen Threads; Metriken zu Warnungen, darunter auch ein Schwellenwert der verschlüsselten Verbindungen, Latenz oder eine Anforderungswarteschlangenlänge; Metriken zum Datenspeicher; und Metriken zu verschlüsselten Verbindungen. Die Knoten senden verschlüsseltes Schlüsselmaterial über einen Out-of-Band-Kanal (separat von der Anforderung).
Eingehender Datenverkehr
Die Hybrid-Datensicherheitsknoten erhalten die folgenden Arten von eingehendem Datenverkehr von der Webex-Cloud:
-
Verschlüsselungsanforderungen von Clients, die vom Verschlüsselungsdienst umgeleitet werden
-
Upgrades für die Knoten-Software
Konfigurieren von Tintenfisch für die Hybriddatensicherheit
WebSocket kann nicht über SquID Proxy verbunden werden
Squid-Proxys, die den HTTPS-Datenverkehr prüfen, können die Herstellung von Websocket (wss:)-Verbindungen beeinträchtigen, die für Hybrid Data Security erforderlich sind. Diese Abschnitte geben Anleitungen zur Konfiguration verschiedener Squid-Versionen, um den wss: Datenverkehr für den ordnungsgemäßen Betrieb der Dienste zu ignorieren.
Squid 4 und 5
Fügen Sie die on_unsupported_protocol Richtlinie zu squid.conf hinzu:
on_unsupported_protocol tunnel allSquid 3.5.27
Wir haben die Hybrid-Datensicherheit erfolgreich mit den folgenden Regeln getestet, die zu squid.conf hinzugefügt wurden. Diese Regeln können sich geändert werden, da wir Funktionen entwickeln und die WebEx Cisco aktualisieren.
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 allNeue und geänderte Informationen
Neue und geänderte Informationen
Diese Tabelle enthält neue Features oder Funktionen, Änderungen an vorhandenen Inhalten und alle schwerwiegenden Fehler, die im Bereitstellungshandbuch für Multi-Tenant-Hybrid-Datensicherheitbehoben wurden.
|
Datum |
Vorgenommene Änderungen |
|---|---|
|
08. Mai 2025 |
|
| 04. März 2025 |
|
|
30. Januar 2025 |
SQL Server Version 2022 wurde der Liste der unterstützten SQL-Server in Datenbankserveranforderungenhinzugefügt. |
|
15. Januar 2025 |
Hinzugefügt Einschränkungen der Multi-Tenant-Hybrid-Datensicherheit. |
|
08. Januar 2025 |
In Führen Sie die Ersteinrichtung durch und laden Sie die Installationsdateien herunter wurde ein Hinweis hinzugefügt, der besagt, dass das Klicken auf Einrichten auf der HDS-Karte im Partner Hub ein wichtiger Schritt des Installationsvorgangs ist. |
|
07. Januar 2025 |
Aktualisierte Anforderungen für virtuelle Hosts, Aufgabenablauf für die Bereitstellung hybrider Datensicherheitund Installieren der HDS-Host-OVA, um die neuen Anforderungen von ESXi 7.0 anzuzeigen. |
|
13. Dezember 2024 |
Erstveröffentlichung. |
Multi-Tenant Hybrid Data Security deaktivieren
Aufgabenablauf zur Deaktivierung von Multi-Tenant-HDS
Befolgen Sie diese Schritte, um Multi-Tenant HDS vollständig zu deaktivieren.
Vorbereitungen
| 1 |
Entfernen Sie alle Kunden aus allen Ihren Clustern, wie unter Mandantenorganisationen entfernenbeschrieben. |
| 2 |
Widerrufen Sie die CMKs aller Kunden, wie in Widerrufen Sie die CMKs von Mandanten, die aus HDS entfernt wurden.erwähnt. |
| 3 |
Entfernen Sie alle Knoten aus allen Ihren Clustern, wie unter Einen Knoten entfernenbeschrieben. |
| 4 |
Löschen Sie alle Ihre Cluster aus dem Partner Hub mit einer der folgenden beiden Methoden.
|
| 5 |
Klicken Sie auf der Übersichtsseite von Hybrid Data Security auf die Registerkarte Einstellungen und klicken Sie auf der HDS-Statuskarte auf HDS deaktivieren. |
Erste Schritte mit Multi-Tenant Hybrid Data Security
Übersicht über die Multi-Tenant-Hybrid-Datensicherheit
Vom ersten Tag an stand die Datensicherheit bei der Entwicklung der Webex-App im Mittelpunkt. Der Eckpfeiler dieser Sicherheit ist die End-to-End-Inhaltsverschlüsselung, die durch die Interaktion von Webex-App-Clients mit dem Key Management Service (KMS) ermöglicht wird. Der KMS erstellt und verwaltet die Kryptografieschlüssel, mit denen die Clients ihre Nachrichten und Dateien dynamisch ver- und entschlüsseln.
Standardmäßig erhalten alle Kunden der Webex-App eine End-to-End-Verschlüsselung mit dynamischen Schlüsseln, die im Cloud-KMS im Sicherheitsbereich von Cisco gespeichert sind. Mit Hybrid Data Security werden KMS und andere Sicherheitsfunktionen in das Rechenzentrum Ihres Unternehmens verschoben, damit die Schlüssel zu ihren verschlüsselten Inhalten ausschließlich bei Ihnen liegen.
Multi-Tenant Hybrid Data Security ermöglicht es Unternehmen, HDS über einen vertrauenswürdigen lokalen Partner zu nutzen, der als Dienstanbieter fungieren und die Verschlüsselung vor Ort sowie andere Sicherheitsdienste verwalten kann. Durch dieses Setup hat die Partnerorganisation die vollständige Kontrolle über die Bereitstellung und Verwaltung von Verschlüsselungsschlüsseln und stellt sicher, dass die Benutzerdaten der Kundenorganisationen vor externem Zugriff geschützt sind. Partnerorganisationen richten HDS-Instanzen ein und erstellen nach Bedarf HDS-Cluster. Jede Instanz kann mehrere Kundenorganisationen unterstützen, im Gegensatz zu einer regulären HDS-Bereitstellung, die auf eine einzelne Organisation beschränkt ist.
Dadurch können auch kleinere Organisationen HDS nutzen, da der Schlüsselverwaltungsdienst und die Sicherheitsinfrastruktur wie Rechenzentren Eigentum des vertrauenswürdigen lokalen Partners sind.
Wie Multi-Tenant Hybrid Data Security Datensouveränität und Datenkontrolle gewährleistet
- Benutzergenerierte Inhalte sind vor externem Zugriff, beispielsweise von Cloud-Dienstanbietern, geschützt.
- Lokale vertrauenswürdige Partner verwalten die Verschlüsselungsschlüssel von Kunden, mit denen sie bereits eine etablierte Beziehung haben.
- Option für lokalen technischen Support, sofern vom Partner bereitgestellt.
- Unterstützt Meeting-, Messaging- und Anrufinhalte.
Dieses Dokument soll Partnerorganisationen dabei unterstützen, Kunden unter einem Multi-Tenant-Hybrid-Datensicherheitssystem einzurichten und zu verwalten.
Einschränkungen der Multi-Tenant-Hybrid-Datensicherheit
- Partnerorganisationen dürfen keine bestehende HDS-Bereitstellung im Control Hub aktiv haben.
- Mandanten- oder Kundenorganisationen, die von einem Partner verwaltet werden möchten, dürfen keine vorhandene HDS-Bereitstellung in Control Hub haben.
- Sobald Multi-Tenant HDS vom Partner bereitgestellt wurde, beginnen alle Benutzer der Kundenorganisationen sowie die Benutzer der Partnerorganisation, Multi-Tenant HDS für ihre Verschlüsselungsdienste zu nutzen.
Die Partnerorganisation und die von ihnen verwalteten Kundenorganisationen werden in derselben Multi-Tenant-HDS-Bereitstellung betrieben.
Die Partnerorganisation wird Cloud-KMS nach der Bereitstellung von Multi-Tenant HDS nicht mehr verwenden.
- Es gibt keinen Mechanismus, um Schlüssel nach einer HDS-Bereitstellung zurück zu Cloud KMS zu verschieben.
- Derzeit kann jede Multi-Tenant-HDS-Bereitstellung nur einen Cluster mit mehreren Knoten darunter haben.
- Für Administratorrollen gelten bestimmte Einschränkungen. Weitere Einzelheiten finden Sie im folgenden Abschnitt.
Rollen in der Multi-Tenant-Hybrid-Datensicherheit
- Volladministrator des Partners – Kann Einstellungen für alle Kunden verwalten, die der Partner verwaltet. Außerdem können Sie bereits vorhandenen Benutzern in der Organisation Administratorrollen zuweisen und bestimmte Kunden für die Verwaltung durch Partneradministratoren zuweisen.
- Partneradministrator – Kann Einstellungen für Kunden verwalten, die der Administrator bereitgestellt hat oder die dem Benutzer zugewiesen wurden.
- Volladministrator - Administrator der Partnerorganisation, der berechtigt ist, Aufgaben wie das Ändern von Organisationseinstellungen, das Verwalten von Lizenzen und das Zuweisen von Rollen auszuführen.
- End-to-End-Multi-Tenant-HDS-Setup und -Verwaltung aller Kundenorganisationen - Partner-Volladministrator- und Volladministratorrechte erforderlich.
- Verwaltung zugewiesener Mandantenorganisationen - Partneradministrator und vollständige Administratorrechte erforderlich.
Sicherheitsbereichsarchitektur
Die Webex-Cloud-Architektur trennt verschiedene Diensttypen in separate Bereiche oder Vertrauensdomänen, wie unten dargestellt.
Um die hybride Datensicherheit besser zu verstehen, schauen wir uns zunächst diesen reinen Cloud-Fall an, bei dem Cisco alle Funktionen in seinen Cloud-Bereichen bereitstellt. Der Identitätsdienst, der einzige Ort, an dem Benutzer direkt mit ihren persönlichen Informationen in Verbindung gebracht werden können, wie z. B. die E-Mail-Adresse, ist logisch und physisch vom Sicherheitsbereich in Rechenzentrum B getrennt. Er ist wiederum von dem Bereich getrennt, in dem verschlüsselte Inhalte letztendlich gespeichert werden, in Rechenzentrum C.
In diesem Diagramm ist der Client die Webex-App, die auf dem Laptop eines Benutzers ausgeführt wird und sich beim Identitätsdienst authentifiziert hat. Wenn der Benutzer eine Nachricht verfasst, die er an einen Bereich senden möchte, finden folgende Schritte statt:
-
Der Client stellt eine sichere Verbindung zum Schlüsselverwaltungsdienst her, und fordert anschließend einen Schlüssel zum Verschlüsseln der Nachricht an. Die sichere Verbindung verwendet ECDH und der Schlüsselverwaltungsdienst verschlüsselt den Schlüssel mit einem AES-256-Hauptschlüssel.
-
Die Nachricht wird verschlüsselt, bevor sie den Client verlässt. Der Client sendet sie an den Indexdienst, der verschlüsselte Suchindizes erstellt, um zukünftige Suchvorgänge nach Inhalten zu unterstützen.
-
Die verschlüsselte Nachricht wird an den Compliancedienst gesendet, damit Complianceprüfungen vorgenommen werden können.
-
Die verschlüsselte Nachricht wird im Speicherbereich abgelegt.
Wenn Sie Hybrid Data Security bereitstellen, verschieben Sie die Sicherheitsbereichsfunktionen (KMS, Indizierung und Compliance) in Ihr lokales Rechenzentrum. Die anderen Cloud-Dienste, aus denen Webex besteht (einschließlich Identitäts- und Inhaltsspeicherung), verbleiben im Zuständigkeitsbereich von Cisco.
Zusammenarbeit mit anderen Organisationen
Benutzer in Ihrer Organisation verwenden möglicherweise regelmäßig die Webex-App, um mit externen Teilnehmern in anderen Organisationen zusammenzuarbeiten. Wenn einer Ihrer Benutzer einen Schlüssel für einen Bereich anfordert, der Ihrer Organisation gehört (da er von einem Ihrer Benutzer erstellt wurde) sendet Ihr Schlüsselverwaltungsdienst den Schlüssel über einen mit ECDH gesicherten Kanal an den Client. Wenn jedoch eine andere Organisation den Schlüssel für den Bereich besitzt, leitet Ihr KMS die Anfrage über einen separaten ECDH-Kanal an die Webex-Cloud weiter, um den Schlüssel vom entsprechenden KMS abzurufen, und gibt den Schlüssel dann über den ursprünglichen Kanal an Ihren Benutzer zurück.
Der in Organisation A ausgeführte KMS-Dienst validiert die Verbindungen zu KMSs in anderen Organisationen mithilfe von x.509-PKI-Zertifikaten. Weitere Informationen zum Generieren eines x.509-Zertifikats zur Verwendung mit Ihrer Multi-Tenant Hybrid Data Security-Bereitstellung finden Sie unter Bereiten Sie Ihre Umgebung vor.
Erwartungen an die Bereitstellung der Hybrid-Datensicherheit
Die Bereitstellung einer hybriden Datensicherheit erfordert erhebliches Engagement und ein Bewusstsein für die Risiken, die mit dem Besitz von Verschlüsselungsschlüsseln einhergehen.
Um Hybrid Data Security bereitzustellen, müssen Sie Folgendes angeben:
-
Ein sicheres Rechenzentrum in einem Land, das ein unterstützter Standort für die Cisco Webex Teams-Pläneist.
-
Die in Bereiten Sie Ihre Umgebung vor] beschriebenen Geräte, Software und Netzwerkzugriffe.
Der vollständige Verlust der von Ihnen für Hybrid Data Security erstellten ISO-Konfiguration oder der von Ihnen bereitgestellten Datenbank führt zum Verlust der Schlüssel. Durch den Verlust des Schlüssels können Benutzer keinen Space-Inhalt und andere verschlüsselte Daten in der Webex-App entschlüsseln. Falls dies geschieht, können Sie eine neue Bereitstellung erstellen, es werden dabei jedoch nur neue Inhalte angezeigt. Gehen Sie folgendermaßen vor, damit Sie nicht den Zugriff auf die Daten verlieren:
-
Verwalten Sie die Sicherung und Wiederherstellung der Datenbank und die ISO-Konfigurationsdatei.
-
Seien Sie darauf vorbereitet, im Katastrophenfall, beispielsweise bei einem Datenbankfestplattenausfall oder einer Katastrophe im Rechenzentrum, eine schnelle Notfallwiederherstellung durchführen zu können.
Es gibt keinen Mechanismus, um Schlüssel nach einer HDS-Bereitstellung zurück in die Cloud zu verschieben.
Allgemeiner Setup-Prozess
Dieses Dokument behandelt die Einrichtung und Verwaltung einer Multi-Tenant-Hybrid-Datensicherheitsbereitstellung:
-
Hybrid Data Security einrichten—Dazu gehört die Vorbereitung der erforderlichen Infrastruktur und die Installation der Hybrid Data Security-Software, der Aufbau eines HDS-Clusters, das Hinzufügen von Mandantenorganisationen zum Cluster und die Verwaltung ihrer Customer Main Keys (CMKs). Dadurch können alle Benutzer Ihrer Kundenorganisationen Ihren Hybrid Data Security-Cluster für Sicherheitsfunktionen verwenden.
Die Einrichtungs-, Aktivierungs- und Verwaltungsphasen werden in den nächsten drei Kapiteln ausführlich behandelt.
-
Pflegen Sie Ihre Hybrid Data Security-Bereitstellung– Die Webex-Cloud bietet automatisch laufende Upgrades. Ihre IT-Abteilung kann Ebene-1-Support anbieten und bei Bedarf den Cisco-Support hinzuziehen. Sie können Bildschirmbenachrichtigungen verwenden und E-Mail-basierte Warnungen im Partner Hub einrichten.
-
Verstehen Sie häufige Warnungen, Schritte zur Fehlerbehebung und bekannte Probleme– Wenn bei der Bereitstellung oder Verwendung von Hybrid Data Security Probleme auftreten, können Ihnen das letzte Kapitel dieses Handbuchs und der Anhang „Bekannte Probleme“ dabei helfen, das Problem zu ermitteln und zu beheben.
Bereitstellungsmodell für die Hybrid-Datensicherheit
In Ihrem Unternehmensrechenzentrum stellen Sie Hybrid Data Security als einzelnen Knotencluster auf separaten virtuellen Hosts bereit. Die Knoten kommunizieren über sichere WebSockets und sicheres HTTP mit der Webex-Cloud.
Während des Installationsvorgangs stellen wir Ihnen die OVA-Datei bereit, mit der Sie die virtuelle Appliance auf den von Ihnen angegebenen VMs einrichten können. Mit dem HDS-Setuptool erstellen Sie eine benutzerdefinierte ISO-Clusterkonfigurationsdatei, die Sie bei den einzelnen Knoten mounten. Der Hybrid Data Security-Cluster verwendet Ihren bereitgestellten Syslogd-Server und Ihre PostgreSQL- oder Microsoft SQL Server-Datenbank. (Sie konfigurieren die Syslogd- und Datenbankverbindungsdetails im HDS-Setup-Tool.)
Die Mindestanzahl von Knoten in einem Cluster lautet zwei. Wir empfehlen mindestens drei pro Cluster. Durch das Vorhandensein mehrerer Knoten wird sichergestellt, dass der Dienst während eines Software-Upgrades oder anderer Wartungsaktivitäten auf einem Knoten nicht unterbrochen wird. (Die Webex-Cloud aktualisiert immer nur einen Knoten gleichzeitig.)
Alle Knoten in einem Cluster greifen auf denselben Schlüsseldatenspeicher zu und sie protokollieren Aktivitäten auf demselben Syslog-Server. Die Knoten selbst besitzen keinen Status und verarbeiten Schlüsselanfragen nach dem Round-Robin-Verfahren, wie von der Cloud vorgegeben.
Knoten werden aktiv, wenn Sie sie im Partner Hub registrieren. Um einen einzelnen Knoten zu deaktivieren, können Sie die Registrierung aufheben und ggf. zu einem späteren Zeitpunkt erneut registrieren.
Standby-Rechenzentrum für Disaster Recovery
Während der Bereitstellung richten Sie ein sicheres Standby-Rechenzentrum ein. Im Falle einer Katastrophe im Rechenzentrum können Sie Ihre Bereitstellung manuell auf das Standby-Rechenzentrum umstellen.
Die Datenbanken der aktiven und Standby-Rechenzentren sind miteinander synchronisiert, wodurch die für das Failover benötigte Zeit minimiert wird.
Die aktiven Hybrid Data Security-Knoten müssen sich immer im selben Rechenzentrum wie der aktive Datenbankserver befinden.
Proxy-Support
Die Hybriddatensicherheit unterstützt explizite, transparente Inspektionen und Nichtinspizierungsproxys. Sie können diese Proxys an Ihre Bereitstellung binden, damit Sie den Datenverkehr aus dem Unternehmen heraus in die-Cisco sichern und überwachen können. Sie können eine Netzwerkverwaltung auf den Knoten für Zertifikats-Management verwenden und den Status der gesamten Konnektivität überprüfen, nachdem Sie den Proxy auf den Knoten eingerichtet haben.
Die Hybrid Data Sicherheitshinweis unterstützt die folgenden Proxyoptionen:
-
Kein Proxy– Die Standardeinstellung, wenn Sie den Trust Store für das HDS-Knoten-Setup nicht verwenden & Proxy-Konfiguration zur Einbindung eines Proxys. Es ist keine Zertifikatsaktualisierung erforderlich.
-
Transparenter, nicht prüfender Proxy– Die Knoten sind nicht für die Verwendung einer bestimmten Proxyserveradresse konfiguriert und sollten keine Änderungen erfordern, um mit einem nicht prüfenden Proxy zu funktionieren. Es ist keine Zertifikatsaktualisierung erforderlich.
-
Transparentes Tunneling oder Proxy-Inspektion– Die Knoten sind nicht für die Verwendung einer bestimmten Proxyserveradresse konfiguriert. Es sind keine Änderungen bei der Konfigurationänderung von http oder HTTPS Allerdings benötigen die Knoten eine Stammzertifikat, sodass Sie dem Proxy Vertrauen. Die Inspektion von Proxys wird in der Regel von ihm verwendet, um Strategien durchzusetzen, welche Websites besichtigt werden können und welche Arten von Inhalten nicht zulässig sind. Diese Art von Proxy entschlüsselt den gesamten Datenverkehr (auch HTTPS).
-
Expliziter Proxy– Mit explizitem Proxy teilen Sie den HDS-Knoten mit, welcher Proxyserver und welches Authentifizierungsschema verwendet werden soll. Um einen expliziten Proxy zu konfigurieren, müssen Sie die folgenden Informationen zu den einzelnen Knoten eingeben:
-
Proxy IP/FQDN– Adresse, über die der Proxy-Computer erreicht werden kann.
-
Proxy-Port– Eine Portnummer, die der Proxy verwendet, um auf den weitergeleiteten Datenverkehr zu lauschen.
-
Proxy-Protokoll– Wählen Sie je nachdem, was Ihr Proxy-Server unterstützt, zwischen den folgenden Protokollen:
-
– Und steuert alle Anfragen, die der Client sendet.
-
HTTPS – stellt einen Kanal zum Server bereit. Der Client erhält und prüft das Zertifikat des Servers.
-
-
Authentifizierungstyp– Wählen Sie aus den folgenden Authentifizierungstypen:
-
Keine– Es ist keine weitere Authentifizierung erforderlich.
Verfügbar, wenn Sie entweder http oder HTTPS als Proxyprotokoll auswählen.
-
Basic– Wird für einen HTTP-Benutzeragenten verwendet, um bei einer Anfrage einen Benutzernamen und ein Kennwort bereitzustellen. Zertifikatsformat verwendet.
Verfügbar, wenn Sie entweder http oder HTTPS als Proxyprotokoll auswählen.
Hiermit müssen Sie die Benutzername und das Passwort eines jeden Knotens eingeben.
-
Digest– Wird verwendet, um das Konto zu bestätigen, bevor vertrauliche Informationen gesendet werden. Gibt eine Hashfunktion auf die Benutzername und das Passwort ein, bevor Sie über das Netzwerk senden.
Nur verfügbar, wenn Sie HTTPS als Proxyprotokoll auswählen.
Hiermit müssen Sie die Benutzername und das Passwort eines jeden Knotens eingeben.
-
-
Beispiel für hybride Datensicherheitsknoten und Proxy
Dieses Diagramm zeigt eine Beispielverbindung zwischen der Hybriddatensicherheit, dem Netzwerk und einem Proxy. Für die transparente Inspektion und HTTPS explizite Überprüfung der Proxyoptionen müssen dieselben Stammzertifikat auf dem Proxy und auf den Hybriden Datensicherheitsknoten installiert sein.
Externer DNS Auflösungsmodus blockiert (explizite Proxykonfigurationen)
Wenn Sie einen Knoten registrieren oder die Proxykonfiguration des Knotens überprüfen, testet das Verfahren die DNS und die Konnektivität der Cisco WebEx. Bei Bereitstellungen mit expliziten Proxykonfigurationen, die keine externe DNS für interne Clients zulassen, wenn der Knoten die DNS-Server nicht Abfragen kann, geht er automatisch in den gesperrten externen DNS-Server. In diesem Modus können Knotenregistrierungen und andere Proxyverbindungstests fortgeführt werden.
Umgebung vorbereiten
Anforderungen an die Multi-Tenant-Hybrid-Datensicherheit
Cisco Webex-Lizenzanforderungen
So stellen Sie Multi-Tenant Hybrid Data Security bereit:
-
Partnerorganisationen: Wenden Sie sich an Ihren Cisco-Partner oder Account Manager und stellen Sie sicher, dass die Multi-Tenant-Funktion aktiviert ist.
-
Mieterorganisationen: Sie müssen über Pro Pack für Cisco Webex Control Hub verfügen. (Siehe https://www.cisco.com/go/pro-pack.)
Docker Desktop-Anforderungen
Bevor Sie Ihre HDS-Knoten installieren, benötigen Sie Docker Desktop, um ein Setup-Programm auszuführen. Docker hat sein Lizenzmodell kürzlich aktualisiert. Ihre Organisation benötigt möglicherweise ein kostenpflichtiges Abonnement für Docker Desktop. Weitere Informationen finden Sie im Docker-Blog-Post: " Docker aktualisiert und erweitert unsere Produktabonnements".
Kunden ohne Docker Desktop-Lizenz können ein Open-Source-Containerverwaltungstool wie Podman Desktop verwenden, um Container auszuführen, zu verwalten und zu erstellen. Weitere Einzelheiten finden Sie unter HDS-Setup-Tool mit Podman Desktop ausführen.
Anforderungen an das X.509-Zertifikat
Diese Zertifikatskette muss die folgenden Anforderungen erfüllen:
|
Anforderung |
Details |
|---|---|
|
Standardmäßig vertrauen wir den CAs in der Mozilla-Liste (mit Ausnahme von WoSign und StartCom) bei https://wiki.mozilla.org/CA:IncludedCAs. |
|
Der CN muss nicht erreichbar und kein Live-Host sein. Wir empfehlen Ihnen, einen Namen zu verwenden, der Ihre Organisation widerspiegelt, zum Beispiel Die CN darf keine * (Platzhalter). Der CN wird verwendet, um die Hybrid Data Security-Knoten gegenüber Webex-App-Clients zu verifizieren. Alle Hybrid Data Security-Knoten in Ihrem Cluster verwenden dasselbe Zertifikat. Ihr KMS identifiziert sich selbst unter Verwendung der CN-Domäne, nicht einer beliebigen Domäne, die in den x.509v3-SAN-Feldern definiert ist. Nachdem Sie einen Knoten mit diesem Zertifikat registriert haben, kann der CN-Domänenname nicht mehr geändert werden. |
|
Die KMS-Software unterstützt keine SHA1-Signaturen zum Validieren von Verbindungen zu KMS anderer Organisationen. |
|
Sie können das Format Ihres Zertifikats mithilfe einer Konvertierungssoftware wie OpenSSL ändern. Sie müssen das Passwort eingeben, wenn Sie das HDS-Setuptool ausführen. |
Die KMS-Software erzwingt keine Schlüsselnutzung und beschränkt erweiterte Schlüsselnutzung nicht. Einige Zertifizierungsstellen erfordern Beschränkungen einer erweiterten Schlüsselnutzung für jedes Zertifikat, wie z. B. Server-Authentifizierung. Die Server-Authentifizierung oder andere Einstellungen zu verwenden, ist zulässig.
Anforderungen für virtuelle Hosts
Für die virtuellen Hosts, die Sie als Hybrid Data Security-Knoten in Ihrem Cluster einrichten, gelten die folgenden Anforderungen:
-
Mindestens zwei separate Hosts (3 empfohlen), die sich im selben sicheren Rechenzentrum befinden
-
VMware ESXi 7.0 oder 8.0 installiert und ausgeführt.
Sie müssen ein Upgrade durchführen, wenn Sie eine frühere Version von ESXi haben.
-
Mindestens 4 vCPUs, 8 GB Hauptspeicher, 30 GB lokaler Festplattenspeicher pro Server
Anforderungen an den Datenbankserver
Erstellen Sie eine neue Datenbank zur Schlüsselspeicherung. Verwenden Sie nicht die Standarddatenbank. Die HDS-Anwendungen erstellen bei Installation das Datenbankschema.
Es gibt zwei Optionen für den Datenbankserver. Die Anforderungen hierfür sind jeweils wie folgt:
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
|
|
Mindestens 8 vCPUs, 16 GB Hauptspeicher, ausreichend Festplattenkapazität und Überwachung zur Sicherstellung, dass dieser nicht überschritten wird (2 TB empfohlen, falls die Datenbank über längere Zeit ohne Erweiterung der Festplattenkapazität ausgeführt werden soll) |
Mindestens 8 vCPUs, 16 GB Hauptspeicher, ausreichend Festplattenkapazität und Überwachung zur Sicherstellung, dass dieser nicht überschritten wird (2 TB empfohlen, falls die Datenbank über längere Zeit ohne Erweiterung der Festplattenkapazität ausgeführt werden soll) |
Die HDS-Software installiert derzeit die folgenden Treiberversionen für die Kommunikation mit dem Datenbankserver:
|
PostgreSQL |
Microsoft SQL Server |
|---|---|
|
Postgres JDBC-Treiber 42.2.5 |
SQL Server JDBC-Treiber 4.6 Diese Treiberversion unterstützt SQL Server Always On ( Always On Failover Cluster Instances und Always On Availability Groups). |
Zusätzliche Anforderungen für die Windows-Authentifizierung gegenüber Microsoft SQL Server
Wenn HDS-Knoten die Windows-Authentifizierung verwenden sollen, um Zugriff auf Ihre Keystore-Datenbank auf Microsoft SQL Server zu erhalten, benötigen Sie die folgende Konfiguration in Ihrer Umgebung:
-
Die HDS-Knoten, die Active Directory-Infrastruktur und der MS SQL Server müssen alle mit NTP synchronisiert werden.
-
Das Windows-Konto, das Sie den HDS-Knoten zur Verfügung stellen, muss read/write Zugriff auf die Datenbank.
-
Die DNS-Server, die Sie HDS-Knoten bereitstellen, müssen in der Lage sein, Ihr Key Distribution Center (KDC) aufzulösen.
-
Sie können die HDS-Datenbankinstanz auf Ihrem Microsoft SQL Server als Service Principal Name (SPN) in Ihrem Active Directory registrieren. Siehe Registrieren eines Service Principal Names für Kerberos-Verbindungen.
Das HDS-Setup-Tool, der HDS-Launcher und das lokale KMS müssen alle die Windows-Authentifizierung verwenden, um auf die Keystore-Datenbank zuzugreifen. Sie verwenden die Details aus Ihrer ISO-Konfiguration, um den SPN zu erstellen, wenn sie Zugriff mit Kerberos-Authentifizierung anfordern.
Externe Konnektivitätsanforderungen
Konfigurieren Sie Ihre Firewall so, dass die folgende Konnektivität für die HDS-Anwendungen möglich ist:
|
Anwendung |
Protokoll |
Port |
Wegbeschreibung aus der App |
Zielort |
|---|---|---|---|---|
|
Hybride Datensicherheitsknoten |
TCP |
443 |
Ausgehend HTTPS und WSS |
|
|
HDS-Setup-Tool |
TCP |
443 |
Ausgehendes HTTPS |
|
Die Hybrid Data Security-Knoten funktionieren mit Network Access Translation (NAT) oder hinter einer Firewall, solange NAT oder Firewall die erforderlichen ausgehenden Verbindungen zu den Domänenzielen in der vorhergehenden Tabelle zulässt. Bei eingehenden Verbindungen zu den Hybrid Data Security-Knoten sollten vom Internet aus keine Ports sichtbar sein. Innerhalb Ihres Rechenzentrums benötigen Clients zu Verwaltungszwecken Zugriff auf die Hybrid Data Security-Knoten auf den TCP-Ports 443 und 22.
Die URLs für die Common Identity (CI)-Hosts sind regionsspezifisch. Dies sind die aktuellen CI-Hosts:
|
Region |
Allgemeine Identitätshost-URLs |
|---|---|
|
Amerika |
|
|
Europäische Union |
|
|
Kanada |
|
| Singapur |
|
| Vereinigte Arabische Emirate |
|
Vorgaben für Proxy-Server
-
Wir unterstützen offiziell die folgenden Proxylösungen, die in ihre Hybriden Sicherheitsknoten integriert werden können.
-
Transparenter Proxy – Cisco Web Sicherheitsgerät (WSA).
-
Explizite –.
Squid-Proxys, die HTTPS-Verkehr prüfen, können die Einrichtung von Websockets stören (wss:) Verbindungen. Informationen zum Umgehen dieses Problems finden Sie unter Konfigurieren von Squid-Proxys für hybride Datensicherheit.
-
-
Wir unterstützen die folgenden Authentifizierungskombinationen für explizite Proxys:
-
Keine Authentifizierung mit http oder HTTPS
-
Grundlegende Authentifizierung mit http oder HTTPS
-
Verdauungsauthentifizierung nur mit HTTPS
-
-
Um einen transparenten Proxy oder einen HTTPS expliziten Proxy zu erhalten, müssen Sie eine Kopie des Stammzertifikat des Stellvertreters besitzen. Die Bereitstellungsanweisungen in diesem Handbuch zeigen Ihnen, wie Sie die Kopie in die Vertrauensspeicher der Hybriden Datensicherheitsknoten hochladen können.
-
Das Netzwerk, das die HDS Nodes hostet, muss so konfiguriert sein, dass es den ausgehenden TCP Traffic auf Port 443 durch den Proxy zwingt
-
Proxys, die den Webverkehr inspizieren, können die Websteckverbindung beeinträchtigen. Wenn dieses Problem auftritt, wird es durch Umgehen (Nichtüberprüfen) des Datenverkehrs zu
wbx2.comundciscospark.comgelöst.
Erfüllen der Voraussetzungen für die Hybrid-Datensicherheit
| 1 |
Stellen Sie sicher, dass in Ihrer Partnerorganisation die Multi-Tenant-HDS-Funktion aktiviert ist, und holen Sie sich die Anmeldeinformationen eines Kontos mit Volladministrator- und Administratorrechten für den Partner. Stellen Sie sicher, dass Ihre Webex-Kundenorganisation für Pro Pack für Cisco Webex Control Hub aktiviert ist. Wenden Sie sich an Ihren Cisco-Partner oder an Ihren Account Manager, falls Sie Hilfe bei diesem Verfahren benötigen. Kundenorganisationen sollten über keine bestehende HDS-Bereitstellung verfügen. |
| 2 |
Wählen Sie einen Domänennamen für Ihre HDS-Bereitstellung (z. B. |
| 3 |
Bereiten Sie identische virtuelle Hosts vor, die Sie als Hybrid Data Security-Knoten in Ihrem Cluster einrichten. Sie benötigen mindestens zwei separate Hosts (3 empfohlen), die sich im selben sicheren Rechenzentrum befinden und die Anforderungen in Anforderungen an virtuelle Hostserfüllen. |
| 4 |
Bereiten Sie den Datenbankserver vor, der als Schlüsseldatenspeicher für den Cluster fungieren soll, gemäß den Datenbankserveranforderungen. Der Datenbankserver muss zusammen mit den virtuellen Hosts im sicheren Rechenzentrum untergebracht werden. |
| 5 |
Richten Sie für eine schnelle Notfallwiederherstellung eine Sicherungsumgebung in einem anderen Rechenzentrum ein. Die Backup-Umgebung spiegelt die Produktionsumgebung von VMs und einem Backup-Datenbankserver wider. Wenn beispielsweise in der Produktion 3 VMs HDS-Knoten ausführen, sollte die Backup-Umgebung 3 VMs haben. |
| 6 |
Richten Sie einen syslog-Host ein, um Protokolle aus den Knoten im Cluster zu sammeln. Dokumentieren Sie dessen Netzwerkadresse und syslog-Port (Standard ist UDP 514). |
| 7 |
Erstellen Sie eine sichere Sicherungsrichtlinie für die Hybrid Data Security-Knoten, den Datenbankserver und den Syslog-Host. Um einen nicht wiederherstellbaren Datenverlust zu verhindern, müssen Sie mindestens die Datenbank und die für die Hybrid Data Security-Knoten generierte ISO-Konfigurationsdatei sichern. Da die Hybrid Data Security-Knoten die Schlüssel speichern, die zur Ver- und Entschlüsselung von Inhalten verwendet werden, führt das Versäumnis, eine betriebsbereite Bereitstellung aufrechtzuerhalten, zum UNWIEDERHERSTELLBAREN VERLUST dieser Inhalte. Webex-App-Clients speichern ihre Schlüssel im Cache, sodass ein Ausfall möglicherweise nicht sofort erkennbar ist, sich aber mit der Zeit bemerkbar macht. Vorübergehende Ausfälle sind unvermeidlich, aber behebbar. Bei einem vollständigen Verlust (keine Backups verfügbar) entweder der Datenbank oder der ISO-Konfigurationsdatei gehen jedoch Kundendaten unwiederbringlich verloren. Von den Betreibern der Hybrid Data Security-Knoten wird erwartet, dass sie regelmäßig Backups der Datenbank und der ISO-Konfigurationsdatei erstellen und darauf vorbereitet sind, das Hybrid Data Security-Rechenzentrum im Falle eines katastrophalen Fehlers neu aufzubauen. |
| 8 |
Stellen Sie sicher, dass Ihre Firewall-Konfiguration die Konnektivität für Ihre Hybrid Data Security-Knoten zulässt, wie in Anforderungen an die externe Konnektivitätbeschrieben. |
| 9 |
Installieren Sie Docker ( https://www.docker.com) auf einem beliebigen lokalen Computer mit einem unterstützten Betriebssystem (Microsoft Windows 10 Professional oder Enterprise 64-Bit oder Mac OSX Yosemite 10.10.3 oder höher) und einem Webbrowser, der unter http://127.0.0.1:8080.darauf zugreifen kann. Sie verwenden die Docker-Instanz, um das HDS-Setup-Tool herunterzuladen und auszuführen, das die lokalen Konfigurationsinformationen für alle Hybrid Data Security-Knoten erstellt. Möglicherweise benötigen Sie eine Docker Desktop-Lizenz. Weitere Informationen finden Sie unter Docker Desktop-Anforderungen. Um das HDS Setup Tool zu installieren und auszuführen, muss der lokale Computer über die unter Anforderungen an die externe Konnektivitätbeschriebene Konnektivität verfügen. |
| 10 |
Wenn Sie einen Proxy mit Hybrid Data Security integrieren, stellen Sie sicher, dass er die Proxy-Server-Anforderungenerfüllt. |
Einrichten eines Hybrid Data Security-Clusters
Aufgabenablauf für die Bereitstellung hybrider Datensicherheit
| 1 |
Führen Sie die Ersteinrichtung durch und laden Sie die Installationsdateien herunter Laden Sie die OVA-Datei zur späteren Verwendung auf Ihren lokalen Computer herunter. |
| 2 |
Erstellen einer ISO-Konfigurationsdatei für die HDS-Hosts Verwenden Sie das HDS-Setup-Tool, um eine ISO-Konfigurationsdatei für die Hybrid Data Security-Knoten zu erstellen. |
| 3 |
Erstellen Sie eine virtuelle Maschine aus der OVA-Datei und führen Sie die Erstkonfiguration durch, beispielsweise die Netzwerkeinstellungen. Die Option zum Konfigurieren der Netzwerkeinstellungen während der OVA-Bereitstellung wurde mit ESXi 7.0 und 8.0 getestet. In früheren Versionen ist die Option möglicherweise nicht verfügbar. |
| 4 |
Einrichten der Hybrid-Datensicherheits-VM Melden Sie sich bei der VM-Konsole an und legen Sie die Anmeldeinformationen fest. Konfigurieren Sie die Netzwerkeinstellungen für den Knoten, wenn Sie diese zum Zeitpunkt der OVA-Bereitstellung nicht konfiguriert haben. |
| 5 |
Hochladen und Mounten der HDS-Konfigurations-ISO Konfigurieren Sie die VM anhand der ISO-Konfigurationsdatei, die Sie mit dem HDS Setup Tool erstellt haben. |
| 6 |
Konfigurieren des HDS Knotens für Proxyintegration Wenn die Netzwerkumgebung eine Proxy-Konfiguration erfordert, geben Sie den Proxy-Typ an, den Sie für den Knoten verwenden möchten, und fügen Sie das Proxy-Zertifikat bei Bedarf zum Trust Store hinzu. |
| 7 |
Registrieren Sie den ersten Knoten im Cluster Registrieren Sie die VM bei der Cisco Webex-Cloud als Hybrid Data Security-Knoten. |
| 8 |
Erstellen und registrieren Sie weitere Knoten Schließen Sie die Clustereinrichtung ab. |
| 9 |
Aktivieren Sie Multi-Tenant HDS im Partner Hub. Aktivieren Sie HDS und verwalten Sie Mandantenorganisationen im Partner Hub. |
Führen Sie die Ersteinrichtung durch und laden Sie die Installationsdateien herunter
Bei dieser Aufgabe laden Sie eine OVA-Datei auf Ihren Computer herunter (nicht auf die Server, die Sie als Hybrid Data Security-Knoten eingerichtet haben). Sie können diese Datei zu einem späteren Zeitpunkt im Installationsprozess verwenden.
| 1 |
Melden Sie sich beim Partner Hub an und klicken Sie dann auf Services. |
| 2 |
Suchen Sie im Abschnitt Cloud-Dienste nach der Karte Hybrid Data Security und klicken Sie dann auf Einrichten. Das Klicken auf Einrichten im Partner Hub ist für den Bereitstellungsprozess von entscheidender Bedeutung. Fahren Sie nicht mit der Installation fort, ohne diesen Schritt abzuschließen. |
| 3 |
Klicken Sie auf Ressource hinzufügen und dann auf der Karte Software installieren und konfigurieren[] auf OVA-Datei herunterladen. Ältere Versionen des Softwarepakets (OVA) sind nicht mit den neuesten Hybrid Data Security-Upgrades kompatibel. Dies kann beim Aktualisieren der Anwendung zu Problemen führen. Stellen Sie sicher, dass Sie die neueste Version der OVA-Datei herunterladen. Sie können die OVA auch jederzeit im Abschnitt Hilfe herunterladen. Klicken Sie auf . Der Download der OVA-Datei beginnt automatisch. Speichern Sie die Datei auf Ihrem Computer.
|
| 4 |
Klicken Sie optional auf Handbuch zur Bereitstellung hybrider Datensicherheit anzeigen, um zu prüfen, ob eine neuere Version dieses Handbuchs verfügbar ist. |
Erstellen einer ISO-Konfigurationsdatei für die HDS-Hosts
Der Einrichtungsprozess von Hybrid Data Security erstellt eine ISO-Datei. Anschließend verwenden Sie die ISO, um Ihren Hybrid Data Security-Host zu konfigurieren.
Vorbereitungen
-
Das HDS Setup Tool wird als Docker Container auf einem lokalen Computer ausgeführt. Um darauf zu zugreifen, führen Sie Docker auf diesem Computer aus. Für den Einrichtungsvorgang sind die Anmeldeinformationen eines Partner Hub-Kontos mit vollständigen Administratorrechten erforderlich.
Wenn Sie keine Docker Desktop-Lizenz haben, können Sie Podman Desktop verwenden, um das HDS-Setup-Tool für die Schritte 1 bis 5 im folgenden Verfahren auszuführen. Weitere Einzelheiten finden Sie unter HDS-Setup-Tool mit Podman Desktop ausführen.
Wenn das HDS-Setup-Tool in Ihrer Umgebung hinter einem Proxy ausgeführt wird, geben Sie die Proxy-Einstellungen (Server, Port, Anmeldeinformationen) über Docker-Umgebungsvariablen an, wenn Sie den Docker-Container in Schritt 5 unten aufrufen. Diese Tabelle enthält einige mögliche Umgebungsvariablen:
Beschreibung
Variable
HTTP-Proxy ohne Authentifizierung
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-Proxy ohne Authentifizierung
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-Proxy mit Authentifizierung
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-Proxy mit Authentifizierung
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Die von Ihnen generierte ISO-Konfigurationsdatei enthält den Hauptschlüssel zur Verschlüsselung der PostgreSQL- oder Microsoft SQL Server-Datenbank. Sie benötigen die neueste Kopie dieser Datei immer dann, wenn Sie Konfigurationsänderungen vornehmen, wie etwa die folgenden:
-
Datenbankanmeldeinformationen
-
Zertifikatsaktualisierungen
-
Änderungen der Autorisierungsrichtlinie
-
-
Wenn Sie Datenbankverbindungen verschlüsseln möchten, richten Sie Ihre PostgreSQL- oder SQL Server-Bereitstellung für TLS ein.
| 1 |
Geben Sie in der Befehlszeile Ihres Computers den entsprechenden Befehl für Ihre Umgebung ein: In regulären Umgebungen: In FedRAMP-Umgebungen: Mit diesem Schritt werden die Bilder vorheriger HDS-Setup-Tools bereinigt. Wenn keine vorherigen Bilder angezeigt werden, erhalten Sie eine Fehlermeldung, die Sie ignorieren können. | ||||||||||
| 2 |
Um sich bei der Docker-Image-Registrierung anmelden zu können, geben Sie Folgendes ein: | ||||||||||
| 3 |
Geben Sie in der Passwortaufforderung diese Hash-Eingabe ein: | ||||||||||
| 4 |
Laden Sie das aktuellste stabile Bild für Ihre Umgebung herunter: In regulären Umgebungen: In FedRAMP-Umgebungen: | ||||||||||
| 5 |
Geben Sie nach Abschluss des Pull-Befehls den entsprechenden Befehl für Ihre Umgebung ein:
Wenn der Container ausgeführt wird, wird "Express server listening on port 8080" (Express-Server hören auf Port 8080) sehen. | ||||||||||
| 6 |
Das Setup-Tool unterstützt keine Verbindung zum lokalen Host über http://localhost:8080. Verwenden Sie http://127.0.0.1:8080, um eine Verbindung zum lokalen Host herzustellen. Gehen Sie mit einem Webbrowser zum lokalen Host Das Tool verwendet diesen ersten Eintrag des Benutzernamens, um die richtige Umgebung für dieses Konto festzulegen. Das Tool zeigt dann die Standard-Anmeldeaufforderung an. | ||||||||||
| 7 |
Geben Sie bei der entsprechenden Aufforderung Ihre Partner Hub-Administratoranmeldeinformationen ein und klicken Sie dann auf Anmelden, um den Zugriff auf die erforderlichen Dienste für Hybrid Data Security zu ermöglichen. | ||||||||||
| 8 |
Klicken Sie auf der Übersichtsseite des Setup Tool auf Get Started (Erste Schritte). | ||||||||||
| 9 |
Auf der Seite ISO-Import stehen Ihnen folgende Optionen zur Verfügung:
| ||||||||||
| 10 |
Überprüfen Sie, ob Ihr X.509-Zertifikat die Anforderungen in X.509-Zertifikatanforderungenerfüllt.
| ||||||||||
| 11 |
Geben Sie die Datenbankadresse und das Konto für HDS ein, um auf Ihren Schlüsseldatenspeicher zuzugreifen: | ||||||||||
| 12 |
Wählen Sie einen TLS-Datenbankverbindungsmodus:
Wenn Sie das Stammzertifikat hochladen (falls erforderlich) und auf Weiterklicken, testet das HDS Setup Tool die TLS-Verbindung zum Datenbankserver. Das Tool überprüft auch den Zertifikat signer und den Hostnamen, falls vorhanden. Wenn ein Test fehlschlägt, zeigt das Tool eine Fehlermeldung an, in der das Problem beschrieben wird. Sie können auswählen, ob Sie den Fehler ignorieren und mit der Einrichtung fortfahren möchten. (Aufgrund von Konnektivitätsunterschieden können die HDS-Knoten möglicherweise die TLS-Verbindung herstellen, auch wenn der HDS Setup Tool-Computer sie nicht erfolgreich testen kann.) | ||||||||||
| 13 |
Konfigurieren Sie auf der Seite „Systemprotokolle“ Ihren Syslogd-Server: | ||||||||||
| 14 |
(Optional) Sie können den Standardwert für einige Datenbankverbindungsparameter in Erweiterte Einstellungenändern. Im Allgemeinen ist dieser Parameter der einzige, den Sie möglicherweise ändern möchten: | ||||||||||
| 15 |
Klicken Sie auf dem Bildschirm Kennwort für Dienstkonten zurücksetzen auf Weiter. Die Gültigkeitsdauer von Dienstkontenkennwörtern beträgt neun Monate. Verwenden Sie diesen Bildschirm, wenn Ihre Passwörter bald ablaufen oder Sie sie zurücksetzen möchten, um vorherige ISO-Dateien ungültig zu machen. | ||||||||||
| 16 |
Klicken Sie auf Download ISO File (ISO-Datei herunterladen). Speichern Sie die Datei an einem leicht zu findenden Ort. | ||||||||||
| 17 |
Erstellen Sie eine Sicherungskopie der ISO-Datei auf Ihrem lokalen System. Bewahren Sie die Sicherungskopie sicher auf. Die Datei enthält einen Master-Verschlüsselungsschlüssel für die Datenbankinhalte. Beschränken Sie den Zugriff auf diejenigen Hybrid Data Security-Administratoren, die Konfigurationsänderungen vornehmen dürfen. | ||||||||||
| 18 |
Um das Setup-Tool zu beenden, geben Sie |
Nächste Schritte
Sichern Sie die ISO-Konfigurationsdatei. Sie benötigen es, um weitere Knoten für die Wiederherstellung zu erstellen oder um Konfigurationsänderungen vorzunehmen. Wenn Sie alle Kopien der ISO-Datei verlieren, verlieren Sie auch den Hauptschlüssel. Das Wiederherstellen der Schlüssel aus Ihrer PostgreSQL- oder Microsoft SQL Server-Datenbank ist nicht möglich.
Wir verfügen nie über eine Kopie dieses Schlüssels und können Ihnen bei Verlust nicht helfen.
Installieren des HDS Host OVA
| 1 |
Melden Sie sich über den VMware vSphere-Client auf Ihrem Computer bei dem ESXi virtuellen Host an. |
| 2 |
Wählen Sie Datei > OVF-Vorlage bereitstellen aus. |
| 3 |
Geben Sie im Assistenten den Speicherort der OVA-Datei an, die Sie zuvor heruntergeladen haben, und klicken Sie dann auf Weiter. |
| 4 |
Geben Sie auf der Seite Wählen Sie einen Namen und einen Ordner aus ] einen Namen der virtuellen Maschine für den Knoten ein (z. B. „HDS_Node_1“), wählen Sie einen Speicherort aus, an dem die Bereitstellung des Knotens der virtuellen Maschine erfolgen kann, und klicken Sie dann auf Weiter. |
| 5 |
Wählen Sie auf der Seite Wählen Sie eine Rechenressource aus die Ziel-Rechenressource aus und klicken Sie dann auf Weiter. Es wird eine Validierungsprüfung durchgeführt. Nach Abschluss werden die Vorlagendetails angezeigt. |
| 6 |
Überprüfen Sie die Vorlagendetails und klicken Sie dann auf Weiter. |
| 7 |
Wenn Sie auf der Seite Konfiguration aufgefordert werden, die Ressourcenkonfiguration auszuwählen, klicken Sie auf 4 CPU und dann auf Weiter. |
| 8 |
Klicken Sie auf der Seite Speicher auswählen ] auf Weiter, um das Standardfestplattenformat und die VM-Speicherrichtlinie zu akzeptieren. |
| 9 |
Wählen Sie auf der Seite Netzwerke auswählen die Netzwerkoption aus der Liste der Einträge aus, um die gewünschte Konnektivität zur VM bereitzustellen. |
| 10 |
Konfigurieren Sie auf der Seite Vorlage anpassen die folgenden Netzwerkeinstellungen:
Wenn Sie möchten, können Sie die Konfiguration der Netzwerkeinstellungen überspringen und die Schritte unter Einrichten der Hybrid Data Security VM befolgen, um die Einstellungen über die Knotenkonsole zu konfigurieren. Die Option zum Konfigurieren der Netzwerkeinstellungen während der OVA-Bereitstellung wurde mit ESXi 7.0 und 8.0 getestet. In früheren Versionen ist die Option möglicherweise nicht verfügbar. |
| 11 |
Klicken Sie mit der rechten Maustaste auf die Knoten-VM und wählen Sie dann . Die Hybrid Data Security-Software wird als Gast auf dem VM-Host installiert. Sie können sich jetzt bei der Konsole anmelden und den Knoten konfigurieren. Leitfaden zur Fehlerbehebung Es kann zu einer Verzögerung von einigen Minuten kommen, bis die Knotencontainer angezeigt werden. Beim erstmaligen Start wird eine Bridge-Firewall-Nachricht angezeigt, während der Sie sich anmelden können. |
Einrichten der Hybrid-Datensicherheits-VM
Verwenden Sie dieses Verfahren, um sich zum ersten Mal bei der VM-Konsole des Hybrid Data Security-Knotens anzumelden und die Anmeldeinformationen festzulegen. Sie können die Konsole auch verwenden, um die Netzwerkeinstellungen für den Knoten zu konfigurieren, wenn Sie diese zum Zeitpunkt der OVA-Bereitstellung nicht konfiguriert haben.
| 1 |
Wählen Sie im VMware vSphere-Client, Ihre Hybrid-Datensicherheitsknoten-VM und daraufhin die Registerkarte Console (Konsole) aus. Die VM fährt hoch und ein Anmeldebildschirm erscheint. Drücken Sie die Eingabetaste, falls der Anmeldebildschirm nicht angezeigt wird.
|
| 2 |
Verwenden Sie den folgenden Standard-Anmeldenamen und das Standardkennwort, um sich anzumelden und die Anmeldedaten zu ändern: Da Sie sich zum ersten Mal bei der VM anmelden, müssen Sie das Administratorkennwort ändern. |
| 3 |
Wenn Sie die Netzwerkeinstellungen bereits in Installieren Sie die HDS Host OVAkonfiguriert haben, überspringen Sie den Rest dieses Verfahrens. Andernfalls wählen Sie im Hauptmenü die Option Konfiguration bearbeiten. |
| 4 |
Richten Sie eine statische Konfiguration ein und geben Sie die Daten für IP-Adresse, Maske, Gateway und DNS ein. Ihr Knoten hat jetzt eine interne IP-Adresse und einen DNS-Namen. DHCP wird nicht unterstützt. |
| 5 |
(Optional) Ändern Sie die Werte für Hostname, Domäne oder NTP-Server, wenn dies gemäß Ihren Netzwerkrichtlinien erforderlich ist. Sie müssen die Domäne nicht auf die Domäne ändern, über die Sie das X.509-Zertifikat erhalten haben. |
| 6 |
Speichern Sie die Netzwerkkonfiguration und starten Sie die VM neu, damit die Änderungen in Kraft treten. |
Hochladen und Mounten der HDS-Konfigurations-ISO
Vorbereitungen
Da die ISO-Datei den Hauptschlüssel enthält, sollte sie nur nach dem Need-to-know-Prinzip für den Zugriff durch die Hybrid Data Security-VMs und alle Administratoren freigegeben werden, die möglicherweise Änderungen vornehmen müssen. Stellen Sie sicher, dass nur diese Administratoren Zugriff auf den Datenspeicher haben.
| 1 |
Laden Sie die ISO-Datei von Ihrem Computer hoch: |
| 2 |
Mounten Sie die ISO-Datei: |
Nächste Schritte
Wenn Ihre IT-Richtlinie dies erfordert, können Sie die ISO-Datei optional aushängen, nachdem alle Ihre Knoten die Konfigurationsänderungen übernommen haben. Weitere Einzelheiten finden Sie unter (Optional) ISO nach HDS-Konfiguration aushängen.
Konfigurieren des HDS Knotens für Proxyintegration
Wenn die Netzwerkumgebung einen Proxy erfordert, geben Sie mit diesem Vorgang den Typ des Proxy an, den Sie in die Hybriddatensicherheit integrieren möchten. Wenn Sie einen transparenten Anrufproxy oder einen HTTPS expliziten Proxy wählen, können Sie die Stammzertifikat über die Schnittstelle des Knotens hochladen und installiert werden. Sie können auch die Proxyverbindung über die Schnittstelle überprüfen und mögliche Probleme beheben.
Vorbereitungen
-
Eine Übersicht über die unterstützten Proxy-Optionen finden Sie unter Proxy-Support.
| 1 |
Geben Sie die HDS-Knoten-Setup-URL |
| 2 |
Gehen Sie zu Trust Store & Proxyund wählen Sie dann eine Option:
Befolgen Sie die nächsten Schritte für einen transparenten Inspektionsproxy, einen HTTP expliziten Proxy mit Basisauthentifizierung oder einen HTTPS expliziten Proxy |
| 3 |
Klicken Sie auf ein Zertifikat für das Stammzertifikat oder Endnutzerzertifikat hochladen, und navigieren Sie dann zu einer Stammzertifikat für den Proxy. Das Zertifikat ist hochgeladen, aber noch nicht installiert, da Sie den Knoten neu starten müssen, um das Zertifikat zu installieren. Klicken Sie auf den Chevron Pfeil unter dem Namen des Zertifikats, um weitere Details zu erhalten, oder klicken Sie auf löschen, Wenn Sie Fehler gemacht haben und die Datei erneut hochladen möchten. |
| 4 |
Klicken Sie auf Stellvertreterverbindung prüfen , um die Netzwerkverbindung zwischen dem Knoten und dem Proxy zu testen. Wenn der Verbindungstest ausfällt, wird eine Fehlermeldung angezeigt, die den Grund und die Frage, wie Sie das Problem beheben können, anzeigt. Wenn Sie eine Meldung sehen, dass eine externe DNS nicht erfolgreich war, konnte der Knoten den DNS-Server nicht erreichen. Diese Bedingung wird in vielen expliziten Proxykonfigurationen erwartet. Sie können mit dem Setup fortfahren, und der Knoten wird im gesperrten externen DNS-Server funktionieren. Wenn Sie der Meinung sind, dass es sich hierbei um einen Fehler handelt, führen Sie diese Schritte aus und lesen Sie dann Blockierten externen DNS-Auflösungsmodus deaktivieren. |
| 5 |
Nach dem Durchführen des Verbindungstests, für expliziten Proxy, der nur auf HTTPS gesetzt ist, aktivieren Sie die Option so schalten Sie alle Port 443/444 https Anfragen aus diesem Knoten durch den expliziten Proxy Diese Einstellung benötigt 15 Sekunden, um wirksam zu werden. |
| 6 |
Klicken Sie auf alle-Zertifizierungsstellen in den Trust Store installieren (erscheint für einen HTTPS expliziten Proxy oder einen transparenten Inspektionskrimi) oder Neustart (erscheint für einen HTTP expliziten Proxy), lesen Sie die Aufforderung, und klicken Sie dann auf in Der Knoten startet innerhalb weniger Minuten. |
| 7 |
Nachdem der Knoten erneut gestartet wurde, melden Sie sich bei Bedarf erneut an, und öffnen Sie dann die Übersichtsseite, um die Verbindungsüberprüfungen zu überprüfen, um sicherzustellen, dass Sie alle im grünen Status sind. Die Proxyverbindung prüft nur eine Unterdomäne von WebEx.com. Wenn es Verbindungsprobleme gibt, ist ein häufiges Problem, dass einige der in den instructions aufgeführten-C-Domänen beim Proxy gesperrt werden. |
Registrieren Sie den ersten Knoten im Cluster
Bei der Registrierung Ihres ersten Knotens erstellen Sie ein Cluster, zu dem der Knoten zugewiesen wird. Ein Cluster umfasst einen oder mehrere Knoten, die aus Redundanzgründen bereitgestellt werden.
Vorbereitungen
-
Sie müssen die Registrierung eines Knotens nach dem Beginn innerhalb von 60 Minuten abschließen, andernfalls müssen Sie erneut beginnen.
-
Stellen Sie sicher, dass alle Popup-Blocker in Ihrem Browser deaktiviert sind oder dass Sie eine Ausnahme für admin.webex.com zulassen.
| 1 |
Melden Sie sich bei https://admin.webex.com an. |
| 2 |
Wählen Sie im Menü auf der linken Seite die Option Dienste aus. |
| 3 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach der Karte „Hybrid Data Security“ und klicken Sie auf Einrichten. |
| 4 |
Klicken Sie auf der sich öffnenden Seite auf Ressource hinzufügen. |
| 5 |
Geben Sie im ersten Feld der Karte Knoten hinzufügen einen Namen für den Cluster ein, dem Sie Ihren Hybrid Data Security-Knoten zuweisen möchten. Benennen Sie Ihre Cluster nach Möglichkeit nach dem geografischen Standort der Clusterknoten. Beispiele: „San Francisco“ oder „New York“ oder „Dallas“ |
| 6 |
Geben Sie im zweiten Feld die interne IP-Adresse oder den vollqualifizierten Domänennamen (FQDN) Ihres Knotens ein und klicken Sie unten auf dem Bildschirm auf Hinzufügen. Diese IP-Adresse oder dieser FQDN sollte mit der IP-Adresse oder dem Hostnamen und der Domäne übereinstimmen, die Sie in Einrichten der Hybrid Data Security VMverwendet haben. Es wird eine Meldung angezeigt, die angibt, dass Sie Ihren Knoten bei Webex registrieren können.
|
| 7 |
Klicken Sie auf Go to Node (Zum Knoten wechseln). Nach einigen Augenblicken werden Sie zu den Knotenkonnektivitätstests für Webex-Dienste weitergeleitet. Sind alle Tests erfolgreich, wird die Seite „Allow Access to Hybrid Data Security Node“ (Zugriff zu Hybrid-Datensicherheits-Knoten gewähren) angezeigt. Dort bestätigen Sie, dass Sie Ihrer Webex-Organisation die Berechtigung zum Zugriff auf Ihren Knoten erteilen möchten. |
| 8 |
Aktivieren Sie das Kontrollkästchen Allow Access to Your Hybrid Data Security Node (Zugriff zu Ihrem Hybrid-Datensicherheits-Knoten gewähren) und klicken Sie anschließend auf Continue (Weiter). Ihr Konto wird validiert und die Meldung „Registrierung abgeschlossen“ zeigt an, dass Ihr Knoten jetzt bei der Webex-Cloud registriert ist.
|
| 9 |
Klicken Sie auf den Link oder schließen Sie die Registerkarte, um zur Seite „Hybrid Data Security“ des Partner Hub zurückzukehren. Auf der Seite Hybrid Data Security wird unter der Registerkarte Resources der neue Cluster angezeigt, der den von Ihnen registrierten Knoten enthält. Der Knoten lädt die aktuelle Software automatisch aus der Cloud herunter.
|
Erstellen und registrieren Sie weitere Knoten
Vorbereitungen
-
Sie müssen die Registrierung eines Knotens nach dem Beginn innerhalb von 60 Minuten abschließen, andernfalls müssen Sie erneut beginnen.
-
Stellen Sie sicher, dass alle Popup-Blocker in Ihrem Browser deaktiviert sind oder dass Sie eine Ausnahme für admin.webex.com zulassen.
| 1 |
Erstellen Sie eine neue virtuelle Maschine aus der OVA, indem Sie die Schritte unter Installieren der HDS-Host-OVAwiederholen. |
| 2 |
Richten Sie die Erstkonfiguration auf der neuen VM ein, indem Sie die Schritte unter Einrichten der Hybrid Data Security VMwiederholen. |
| 3 |
Wiederholen Sie auf der neuen VM die Schritte unter Hochladen und Mounten der HDS-Konfigurations-ISO. |
| 4 |
Wenn Sie einen Proxy für Ihre Bereitstellung einrichten, wiederholen Sie die Schritte in Konfigurieren des HDS-Knotens für die Proxy-Integration nach Bedarf für den neuen Knoten. |
| 5 |
Registrieren Sie den Knoten. |
Verwalten Sie Mandantenorganisationen mit Multi-Tenant Hybrid Data Security
Aktivieren Sie Multi-Tenant HDS auf Partner Hub
Diese Aufgabe stellt sicher, dass alle Benutzer der Kundenorganisationen HDS für lokale Verschlüsselungsschlüssel und andere Sicherheitsdienste nutzen können.
Vorbereitungen
Stellen Sie sicher, dass Sie die Einrichtung Ihres Multi-Tenant-HDS-Clusters mit der erforderlichen Anzahl an Knoten abgeschlossen haben.
| 1 |
Melden Sie sich bei https://admin.webex.com an. |
| 2 |
Wählen Sie im Menü auf der linken Seite die Option Dienste aus. |
| 3 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach „Hybrid Data Security“ und klicken Sie auf Einstellungen bearbeiten. |
| 4 |
Klicken Sie auf der Karte [ HDS-Status [ auf HDS aktivieren. |
Mandantenorganisationen im Partner Hub hinzufügen
In dieser Aufgabe weisen Sie Ihrem Hybrid Data Security Cluster Kundenorganisationen zu.
| 1 |
Melden Sie sich bei https://admin.webex.com an. |
| 2 |
Wählen Sie im Menü auf der linken Seite die Option Dienste aus. |
| 3 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach „Hybrid Data Security“ und klicken Sie auf Alle anzeigen. |
| 4 |
Klicken Sie auf den Cluster, dem Sie einen Kunden zuordnen möchten. |
| 5 |
Gehen Sie auf den Reiter Zugewiesene Kunden. |
| 6 |
Klicken Sie auf Kunden hinzufügen. |
| 7 |
Wählen Sie aus dem Dropdown-Menü den Kunden aus, den Sie hinzufügen möchten. |
| 8 |
Klicken Sie auf Hinzufügen, der Kunde wird dem Cluster hinzugefügt. |
| 9 |
Wiederholen Sie die Schritte 6 bis 8, um Ihrem Cluster mehrere Kunden hinzuzufügen. |
| 10 |
Klicken Sie unten auf dem Bildschirm auf Fertig, nachdem Sie die Kunden hinzugefügt haben. |
Nächste Schritte
Erstellen Sie Customer Main Keys (CMKs) mit dem HDS-Setup-Tool
Vorbereitungen
Weisen Sie Kunden dem entsprechenden Cluster zu, wie unter Mandantenorganisationen im Partner Hub hinzufügenbeschrieben. Führen Sie das HDS-Setup-Tool aus, um den Einrichtungsprozess für die neu hinzugefügten Kundenorganisationen abzuschließen.
-
Das HDS Setup Tool wird als Docker Container auf einem lokalen Computer ausgeführt. Um darauf zu zugreifen, führen Sie Docker auf diesem Computer aus. Für den Einrichtungsvorgang sind die Anmeldeinformationen eines Partner Hub-Kontos mit vollständigen Administratorrechten für Ihre Organisation erforderlich.
Wenn das HDS-Setup-Tool in Ihrer Umgebung hinter einem Proxy ausgeführt wird, geben Sie die Proxy-Einstellungen (Server, Port, Anmeldeinformationen) über Docker-Umgebungsvariablen an, wenn Sie den Docker-Container in Schritt 5aufrufen. Diese Tabelle enthält einige mögliche Umgebungsvariablen:
Beschreibung
Variable
HTTP-Proxy ohne Authentifizierung
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-Proxy ohne Authentifizierung
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-Proxy mit Authentifizierung
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-Proxy mit Authentifizierung
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Die von Ihnen generierte ISO-Konfigurationsdatei enthält den Hauptschlüssel zur Verschlüsselung der PostgreSQL- oder Microsoft SQL Server-Datenbank. Sie benötigen die neueste Kopie dieser Datei immer dann, wenn Sie Konfigurationsänderungen vornehmen, wie etwa die folgenden:
-
Datenbankanmeldeinformationen
-
Zertifikatsaktualisierungen
-
Änderungen der Autorisierungsrichtlinie
-
-
Wenn Sie Datenbankverbindungen verschlüsseln möchten, richten Sie Ihre PostgreSQL- oder SQL Server-Bereitstellung für TLS ein.
Der Einrichtungsprozess von Hybrid Data Security erstellt eine ISO-Datei. Anschließend verwenden Sie die ISO, um Ihren Hybrid Data Security-Host zu konfigurieren.
| 1 |
Geben Sie in der Befehlszeile Ihres Computers den entsprechenden Befehl für Ihre Umgebung ein: In regulären Umgebungen: In FedRAMP-Umgebungen: Mit diesem Schritt werden die Bilder vorheriger HDS-Setup-Tools bereinigt. Wenn keine vorherigen Bilder angezeigt werden, erhalten Sie eine Fehlermeldung, die Sie ignorieren können. |
| 2 |
Um sich bei der Docker-Image-Registrierung anmelden zu können, geben Sie Folgendes ein: |
| 3 |
Geben Sie in der Passwortaufforderung diese Hash-Eingabe ein: |
| 4 |
Laden Sie das aktuellste stabile Bild für Ihre Umgebung herunter: In regulären Umgebungen: In FedRAMP-Umgebungen: |
| 5 |
Geben Sie nach Abschluss des Pull-Befehls den entsprechenden Befehl für Ihre Umgebung ein:
Wenn der Container ausgeführt wird, wird "Express server listening on port 8080" (Express-Server hören auf Port 8080) sehen. |
| 6 |
Das Setup-Tool unterstützt keine Verbindung zum lokalen Host über http://localhost:8080. Verwenden Sie http://127.0.0.1:8080, um eine Verbindung zum lokalen Host herzustellen. Gehen Sie mit einem Webbrowser zum lokalen Host Das Tool verwendet diesen ersten Eintrag des Benutzernamens, um die richtige Umgebung für dieses Konto festzulegen. Das Tool zeigt dann die Standard-Anmeldeaufforderung an. |
| 7 |
Geben Sie bei der entsprechenden Aufforderung Ihre Partner Hub-Administratoranmeldeinformationen ein und klicken Sie dann auf Anmelden, um den Zugriff auf die erforderlichen Dienste für Hybrid Data Security zu ermöglichen. |
| 8 |
Klicken Sie auf der Übersichtsseite des Setup Tool auf Get Started (Erste Schritte). |
| 9 |
Klicken Sie auf der Seite ISO-Import auf Ja. |
| 10 |
Wählen Sie Ihre ISO-Datei im Browser aus und laden Sie sie hoch. Stellen Sie die Verbindung zu Ihrer Datenbank sicher, um die CMK-Verwaltung durchzuführen. |
| 11 |
Gehen Sie zur Registerkarte Tenant CMK Management, wo Sie die folgenden drei Möglichkeiten zum Verwalten von Tenant CMKs finden.
|
| 12 |
Sobald die CMK-Erstellung erfolgreich war, ändert sich der Status in der Tabelle von CMK-Verwaltung ausstehend zu CMK verwaltet. |
| 13 |
Wenn die CMK-Erstellung nicht erfolgreich ist, wird ein Fehler angezeigt. |
Entfernen von Mandantenorganisationen
Vorbereitungen
Nach der Entfernung können Benutzer von Kundenorganisationen HDS nicht mehr für ihre Verschlüsselungsanforderungen nutzen und verlieren alle vorhandenen Speicherplätze. Bevor Sie Kundenorganisationen entfernen, wenden Sie sich bitte an Ihren Cisco-Partner oder Account Manager.
| 1 |
Melden Sie sich bei https://admin.webex.com an. |
| 2 |
Wählen Sie im Menü auf der linken Seite die Option Dienste aus. |
| 3 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach „Hybrid Data Security“ und klicken Sie auf Alle anzeigen. |
| 4 |
Klicken Sie auf der Registerkarte Ressourcen auf den Cluster, aus dem Sie Kundenorganisationen entfernen möchten. |
| 5 |
Klicken Sie auf der sich öffnenden Seite auf Zugewiesene Kunden. |
| 6 |
Klicken Sie in der Liste der angezeigten Kundenorganisationen rechts neben der Kundenorganisation, die Sie entfernen möchten, auf ... und klicken Sie auf Aus Cluster entfernen. |
Nächste Schritte
Schließen Sie den Entfernungsprozess ab, indem Sie die CMKs der Kundenorganisationen widerrufen, wie unter CMKs von aus HDS entfernten Mandanten widerrufen beschrieben.
Widerrufen Sie CMKs von Mandanten, die aus HDS entfernt wurden.
Vorbereitungen
Entfernen Sie Kunden aus dem entsprechenden Cluster, wie unter Mandantenorganisationen entfernenbeschrieben. Führen Sie das HDS-Setup-Tool aus, um den Entfernungsprozess für die entfernten Kundenorganisationen abzuschließen.
-
Das HDS Setup Tool wird als Docker Container auf einem lokalen Computer ausgeführt. Um darauf zu zugreifen, führen Sie Docker auf diesem Computer aus. Für den Einrichtungsvorgang sind die Anmeldeinformationen eines Partner Hub-Kontos mit vollständigen Administratorrechten für Ihre Organisation erforderlich.
Wenn das HDS-Setup-Tool in Ihrer Umgebung hinter einem Proxy ausgeführt wird, geben Sie die Proxy-Einstellungen (Server, Port, Anmeldeinformationen) über Docker-Umgebungsvariablen an, wenn Sie den Docker-Container in Schritt 5aufrufen. Diese Tabelle enthält einige mögliche Umgebungsvariablen:
Beschreibung
Variable
HTTP-Proxy ohne Authentifizierung
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-Proxy ohne Authentifizierung
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-Proxy mit Authentifizierung
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-Proxy mit Authentifizierung
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Die von Ihnen generierte ISO-Konfigurationsdatei enthält den Hauptschlüssel zur Verschlüsselung der PostgreSQL- oder Microsoft SQL Server-Datenbank. Sie benötigen die neueste Kopie dieser Datei immer dann, wenn Sie Konfigurationsänderungen vornehmen, wie etwa die folgenden:
-
Datenbankanmeldeinformationen
-
Zertifikatsaktualisierungen
-
Änderungen der Autorisierungsrichtlinie
-
-
Wenn Sie Datenbankverbindungen verschlüsseln möchten, richten Sie Ihre PostgreSQL- oder SQL Server-Bereitstellung für TLS ein.
Der Einrichtungsprozess von Hybrid Data Security erstellt eine ISO-Datei. Anschließend verwenden Sie die ISO, um Ihren Hybrid Data Security-Host zu konfigurieren.
| 1 |
Geben Sie in der Befehlszeile Ihres Computers den entsprechenden Befehl für Ihre Umgebung ein: In regulären Umgebungen: In FedRAMP-Umgebungen: Mit diesem Schritt werden die Bilder vorheriger HDS-Setup-Tools bereinigt. Wenn keine vorherigen Bilder angezeigt werden, erhalten Sie eine Fehlermeldung, die Sie ignorieren können. |
| 2 |
Um sich bei der Docker-Image-Registrierung anmelden zu können, geben Sie Folgendes ein: |
| 3 |
Geben Sie in der Passwortaufforderung diese Hash-Eingabe ein: |
| 4 |
Laden Sie das aktuellste stabile Bild für Ihre Umgebung herunter: In regulären Umgebungen: In FedRAMP-Umgebungen: |
| 5 |
Geben Sie nach Abschluss des Pull-Befehls den entsprechenden Befehl für Ihre Umgebung ein:
Wenn der Container ausgeführt wird, wird "Express server listening on port 8080" (Express-Server hören auf Port 8080) sehen. |
| 6 |
Das Setup-Tool unterstützt keine Verbindung zum lokalen Host über http://localhost:8080. Verwenden Sie http://127.0.0.1:8080, um eine Verbindung zum lokalen Host herzustellen. Gehen Sie mit einem Webbrowser zum lokalen Host Das Tool verwendet diesen ersten Eintrag des Benutzernamens, um die richtige Umgebung für dieses Konto festzulegen. Das Tool zeigt dann die Standard-Anmeldeaufforderung an. |
| 7 |
Geben Sie bei der entsprechenden Aufforderung Ihre Partner Hub-Administratoranmeldeinformationen ein und klicken Sie dann auf Anmelden, um den Zugriff auf die erforderlichen Dienste für Hybrid Data Security zu ermöglichen. |
| 8 |
Klicken Sie auf der Übersichtsseite des Setup Tool auf Get Started (Erste Schritte). |
| 9 |
Klicken Sie auf der Seite ISO-Import auf Ja. |
| 10 |
Wählen Sie Ihre ISO-Datei im Browser aus und laden Sie sie hoch. |
| 11 |
Gehen Sie zur Registerkarte Tenant CMK Management, wo Sie die folgenden drei Möglichkeiten zum Verwalten von Tenant CMKs finden.
|
| 12 |
Sobald der CMK-Widerruf erfolgreich war, wird die Kundenorganisation nicht mehr in der Tabelle angezeigt. |
| 13 |
Wenn der CMK-Widerruf nicht erfolgreich ist, wird ein Fehler angezeigt. |
Testen Sie Ihre Hybrid Data Security-Bereitstellung
Testen Ihrer Bereitstellung für die Hybrid-Datensicherheit
Vorbereitungen
-
Richten Sie Ihre Multi-Tenant-Hybrid-Datensicherheitsbereitstellung ein.
-
Stellen Sie sicher, dass Sie Zugriff auf das Syslog haben, um zu überprüfen, ob wichtige Anforderungen an Ihre Multi-Tenant Hybrid Data Security-Bereitstellung weitergeleitet werden.
| 1 |
Schlüssel für einen bestimmten Bereich werden vom Ersteller des Bereichs festgelegt. Melden Sie sich als Benutzer der Kundenorganisation bei der Webex-App an und erstellen Sie dann einen Bereich. Wenn Sie die Bereitstellung der Hybrid Data Security deaktivieren, sind Inhalte in von Benutzern erstellten Bereichen nicht mehr zugänglich, sobald die im Client zwischengespeicherten Kopien der Verschlüsselungsschlüssel ersetzt wurden. |
| 2 |
Senden Sie Nachrichten an den neuen Bereich. |
| 3 |
Überprüfen Sie die Syslog-Ausgabe, um sicherzustellen, dass die Schlüsselanforderungen an Ihre Hybrid Data Security-Bereitstellung weitergeleitet werden. Wenn ein Benutzer einer neu hinzugefügten Kundenorganisation eine Aktion ausführt, wird die Org-ID der Organisation in den Protokollen angezeigt. Damit kann überprüft werden, ob die Organisation Multi-Tenant HDS nutzt. Überprüfen Sie den Wert von |
Überwachen des Status der Hybrid-Datensicherheit
| 1 |
Wählen Sie im Partner Hubim Menü auf der linken Seite des Bildschirms Services aus. |
| 2 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach „Hybrid Data Security“ und klicken Sie auf Einstellungen bearbeiten. Die Seite „Hybrid Data Security Settings“ (Einstellungen für Hybrid-Datensicherheit) wird angezeigt.
|
| 3 |
Geben Sie im Abschnitt zu E-Mail-Benachrichtigungen eine oder mehrere Adressen durch Komma getrennt ein und drücken Sie Enter. |
Verwalten Ihrer HDS-Bereitstellung
Verwalten der HDS-Bereitstellung
Verwenden Sie die hier beschriebenen Aufgaben, um Ihre Hybrid Data Security-Bereitstellung zu verwalten.
Festlegen des Upgrade-Zeitplans für Cluster
So legen Sie den Upgrade-Zeitplan fest:
| 1 |
Melden Sie sich bei Partner Hub an. |
| 2 |
Wählen Sie im Menü auf der linken Seite die Option Dienste aus. |
| 3 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach „Hybrid Data Security“ und klicken Sie auf Einrichten |
| 4 |
Wählen Sie auf der Seite „Hybrid Data Security Resources“ den Cluster aus. |
| 5 |
Klicken Sie auf die Registerkarte Clustereinstellungen. |
| 6 |
Wählen Sie auf der Seite „Clustereinstellungen“ unter „Upgradezeitplan“ die Uhrzeit und Zeitzone für den Upgradezeitplan aus. Hinweis: Unter der Zeitzone wird der nächste verfügbare Zeitpunkt für ein Upgrade angezeigt. Sie können das Upgrade bei Bedarf auf den nächsten Tag verschieben, indem Sie auf Um 24 Stunden verschiebenklicken. |
Ändern der Knotenkonfiguration
-
Änderung der x.509-Zertifikate aufgrund Ablaufs oder anderer Gründe.
Wir unterstützen keine Änderung des CN-Domänennamens eines Zertifikats. Die Domäne muss mit der Originaldomäne übereinstimmen, die zur Registrierung des Clusters verwendet wurde.
-
Datenbankeinstellungen werden aktualisiert, um auf eine Replik der PostgreSQL- oder Microsoft SQL Server-Datenbank zu wechseln.
Wir unterstützen keine Migration von Daten von PostgreSQL zu Microsoft SQL Server oder auf den entgegengesetzten Weg. Um die Datenbankumgebung zu wechseln, starten Sie eine neue Bereitstellung von Hybrid Data Security.
-
Erstellen einer neuen Konfiguration, um ein neues Datenzentrum vorzubereiten.
Aus Sicherheitsgründen verwendet Hybrid Data Security Dienstkonto-Passwörter mit einer Laufzeit von neun Monaten. Nachdem das HDS Setup Tool diese Passwörter generiert hat, stellen Sie sie für jeden Ihrer HDS-Knoten in der ISO-Konfigurationsdatei bereit. Wenn die Kennwörter Ihrer Organisation fast ablaufen, erhalten Sie eine Benachrichtigung vom Webex-Team, mit der Sie das Passwort für Ihr Computerkonto zurücksetzen können. (Die E-Mail enthält den Text "Verwenden Sie die Maschinenkonto-API, um das Passwort zu aktualisieren"). Wenn Ihre Passwörter noch nicht abgelaufen sind, bietet Ihnen das Tool zwei Optionen:
-
Soft-Reset– Das alte und das neue Passwort sind jeweils bis zu 10 Tage lang gültig. Verwenden Sie diesen Zeitraum, um die ISO-Datei der Knoten schrittweise zu ersetzen.
-
Hard Reset—Die alten Passwörter funktionieren sofort nicht mehr.
Wenn Ihre Passwörter ohne Zurücksetzen ablaufen, wirkt sich dies auf Ihren HDS-Dienst aus, was ein sofortiges Zurücksetzen und Ersetzen der ISO-Datei auf allen Knoten erfordert.
Verwenden Sie dieses Verfahren, um eine neue ISO-Konfigurationsdatei zu generieren und auf Ihren Cluster anzuwenden.
Vorbereitungen
-
Das HDS Setup Tool wird als Docker Container auf einem lokalen Computer ausgeführt. Um darauf zu zugreifen, führen Sie Docker auf diesem Computer aus. Für den Einrichtungsvorgang sind die Anmeldeinformationen eines Partner Hub-Kontos mit vollständigen Administratorrechten für Partner erforderlich.
Wenn Sie keine Docker Desktop-Lizenz haben, können Sie Podman Desktop verwenden, um das HDS-Setup-Tool für die Schritte 1.a bis 1.e im folgenden Verfahren auszuführen. Weitere Einzelheiten finden Sie unter HDS-Setup-Tool mit Podman Desktop ausführen.
Wenn das HDS-Setup-Tool in Ihrer Umgebung hinter einem Proxy ausgeführt wird, geben Sie die Proxy-Einstellungen (Server, Port, Anmeldeinformationen) über Docker-Umgebungsvariablen an, wenn Sie den Docker-Container in 1.eaufrufen. Diese Tabelle enthält einige mögliche Umgebungsvariablen:
Beschreibung
Variable
HTTP-Proxy ohne Authentifizierung
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-Proxy ohne Authentifizierung
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-Proxy mit Authentifizierung
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-Proxy mit Authentifizierung
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Um eine neue Konfiguration zu erstellen, benötigen Sie eine Kopie der aktuellen ISO-Konfigurationsdatei. Die ISO enthält den Masterschlüssel zur Verschlüsselung der PostgreSQL- oder Microsoft SQL Server-Datenbank. Sie benötigen die ISO-Datei, wenn Sie Konfigurationsänderungen vornehmen, wie z. B. Datenbank-Anmeldeinformationen, Zertifikataktualisierungen oder Änderungen an der Autorisierungsrichtlinie.
| 1 |
Führen Sie auf einem lokalen Computer, auf dem Docker läuft, das HDS Setup Tool aus. |
| 2 |
Wenn Sie nur einen HDS-Knoten ausführen, erstellen Sie eine neue Hybrid Data Security-Knoten-VM und registrieren Sie sie mit der neuen ISO-Konfigurationsdatei. Ausführlichere Anweisungen finden Sie unter Erstellen und Registrieren weiterer Knoten. |
| 3 |
Mounten Sie bei vorhandenen HDS-Knoten, auf denen die ältere Konfigurationsdatei ausgeführt wird, die ISO-Datei. Führen Sie für jeden Knoten des Knotens folgende Schritte durch, indem Sie jeden Knoten aktualisieren, bevor Sie den nächsten Knoten deaktivieren: |
| 4 |
Wiederholen Sie Schritt 3, um bei jedem weiteren Knoten zu ersetzen, auf dem noch die alte Konfiguration ausgeführt wird, die Konfiguration zu ersetzen. |
Blockierte externe DNS Auflösungsmodus deaktivieren
Wenn Sie einen Knoten registrieren oder die Proxykonfiguration des Knotens überprüfen, testet das Verfahren die DNS und die Konnektivität der Cisco WebEx. Wenn der DNS-Server des Knotens öffentliche DNS nicht auflösen kann, geht der Knoten automatisch in den gesperrten externen DNS-Server.
Wenn Ihre Knoten öffentliche DNS über interne DNS-Server auflösen können, aktivieren Sie diesen Modus, indem Sie den Proxyverbindungstest für jeden Knoten deaktivieren.
Vorbereitungen
| 1 |
Öffnen Sie in einem Webbrowser die Hybrid Data Security-Knotenschnittstelle (IP address/setup, Geben Sie beispielsweise https://192.0.2.0/setup), die Administratoranmeldeinformationen ein, die Sie für den Knoten eingerichtet haben, und klicken Sie dann auf Anmelden. |
| 2 |
Gehen Sie zu Übersicht (Standardseite). Wenn diese Option aktiviert ist, wird die externe DNS auf "Ja" gesetzt . |
| 3 |
Gehen Sie zur Seite Vertrauensspeicher und Proxy . |
| 4 |
Klicken Sie auf Stellvertreterverbindung prüfen. Wenn Sie eine Meldung sehen, dass eine externe DNS nicht erfolgreich war, konnte der Knoten den DNS-Server nicht erreichen und wird in diesem Modus verbleiben. Andernfalls sollte nach dem Neustart des Knotens und der Rückfahrt zur Übersichtsseite die gesperrte externe DNS auf "Nein" gesetzt werden. |
Nächste Schritte
Entfernen eines Knotens
| 1 |
Melden Sie sich über den VMware vSphere-Client auf Ihrem Computer bei dem ESXi virtuellen Host an und schalten Sie die virtuelle Maschine aus. |
| 2 |
Entfernen des Knotens: |
| 3 |
Löschen Sie die VM im vSphere-Client. (Klicken Sie im linken Navigationsbereich mit der rechten Maustaste auf die VM und klicken Sie auf Löschen.) Wenn Sie die VM nicht löschen, denken Sie daran, die ISO-Konfigurationsdatei auszuhängen. Ohne die ISO-Datei können Sie die VM nicht verwenden, um auf Ihre Sicherheitsdaten zuzugreifen. |
Notfallwiederherstellung mit Standby-Rechenzentrum
Der wichtigste Dienst, den Ihr Hybrid Data Security-Cluster bereitstellt, ist die Erstellung und Speicherung von Schlüsseln zum Verschlüsseln von Nachrichten und anderen in der Webex-Cloud gespeicherten Inhalten. Für jeden Benutzer innerhalb der Organisation, dem Hybrid Data Security zugewiesen ist, werden neue Anforderungen zur Schlüsselerstellung an den Cluster weitergeleitet. Der Cluster ist zudem dafür verantwortlich, die erstellten Schlüssel an Benutzer zurückzusenden, die zum Abrufen von Schlüsseln berechtigt sind. Hierzu gehören beispielsweise Mitglieder eines Gesprächsraums.
Da der Cluster die wichtige Funktion erfüllt, diese Schlüssel bereitzustellen, ist es höchst wichtig, dass der Cluster in Betrieb bleibt und korrekte Backups erstellt werden. Der Verlust der Hybrid Data Security-Datenbank oder der für das Schema verwendeten ISO-Konfiguration führt zu einem UNWIEDERHERSTELLBAREN VERLUST von Kundeninhalten. Die folgenden Praktiken sind zwingend erforderlich, um einem derartigen Verlust vorzubeugen:
Wenn die HDS-Bereitstellung im primären Rechenzentrum aufgrund eines Notfalls nicht mehr verfügbar ist, führen Sie für ein manuelles Failover auf das Standby-Rechenzentrum die folgenden Schritte aus.
Vorbereitungen
| 1 |
Starten Sie das HDS-Setup-Tool und befolgen Sie die unter Erstellen einer Konfigurations-ISO für die HDS-Hostsbeschriebenen Schritte. |
| 2 |
Schließen Sie den Konfigurationsprozess ab und speichern Sie die ISO-Datei an einem leicht auffindbaren Ort. |
| 3 |
Erstellen Sie eine Sicherungskopie der ISO-Datei auf Ihrem lokalen System. Bewahren Sie die Sicherungskopie sicher auf. Die Datei enthält einen Master-Verschlüsselungsschlüssel für die Datenbankinhalte. Beschränken Sie den Zugriff auf diejenigen Hybrid Data Security-Administratoren, die Konfigurationsänderungen vornehmen dürfen. |
| 4 |
Rechtsklicken Sie im linken Navigationsbereich des VMware vSphere Client auf die VM. Klicken Sie daraufhin auf Edit Settings (Einstellungen bearbeiten). |
| 5 |
Klicken Sie auf Einstellungen bearbeiten >CD/DVD Laufwerk 1 und wählen Sie Datastore ISO File. Stellen Sie sicher, dass Verbunden und Beim Einschalten verbinden aktiviert sind, damit aktualisierte Konfigurationsänderungen nach dem Starten der Knoten wirksam werden können. |
| 6 |
Schalten Sie den HDS-Knoten ein und stellen Sie sicher, dass mindestens 15 Minuten lang keine Alarme auftreten. |
| 7 |
Registrieren Sie den Knoten im Partner-Hub. Siehe Registrieren Sie den ersten Knoten im Cluster. |
| 8 |
Wiederholen Sie den Vorgang für jeden Knoten im Standby-Rechenzentrum. |
Nächste Schritte
(Optional) ISO nach HDS-Konfiguration aushängen
Die Standard-HDS-Konfiguration wird mit gemountetem ISO ausgeführt. Manche Kunden möchten ISO-Dateien jedoch nicht dauerhaft eingebunden lassen. Sie können die ISO-Datei aushängen, nachdem alle HDS-Knoten die neue Konfiguration übernommen haben.
Sie verwenden weiterhin die ISO-Dateien, um Konfigurationsänderungen vorzunehmen. Wenn Sie ein neues ISO erstellen oder ein ISO über das Setup-Tool aktualisieren, müssen Sie das aktualisierte ISO auf allen Ihren HDS-Knoten mounten. Sobald alle Ihre Knoten die Konfigurationsänderungen übernommen haben, können Sie das ISO mit diesem Verfahren wieder aushängen.
Vorbereitungen
Aktualisieren Sie alle Ihre HDS-Knoten auf Version 2021.01.22.4720 oder höher.
| 1 |
Fahren Sie einen Ihrer HDS-Knoten herunter. |
| 2 |
Wählen Sie in der vCenter Server Appliance den HDS-Knoten aus. |
| 3 |
Wählen Sie und deaktivieren Sie Datastore ISO File. |
| 4 |
Schalten Sie den HDS-Knoten ein und stellen Sie sicher, dass mindestens 20 Minuten lang keine Alarme auftreten. |
| 5 |
Wiederholen Sie dies nacheinander für jeden HDS-Knoten. |
Problembehandlung der Hybrid-Datensicherheit
Anzeigen von Warnungen und Beheben von Fehlern
Eine Hybrid Data Security-Bereitstellung gilt als nicht verfügbar, wenn alle Knoten im Cluster nicht erreichbar sind oder der Cluster so langsam arbeitet, dass es bei Anforderungen zu einer Zeitüberschreitung kommt. Wenn Benutzer Ihren Hybrid Data Security-Cluster nicht erreichen können, treten die folgenden Symptome auf:
-
Neue Bereiche können nicht erstellt werden (es konnten keine neuen Schlüssel erstellt werden)
-
Nachrichten- und Bereichstitel konnten für folgende Benutzer nicht entschlüsselt werden:
-
Neue zu einem Bereich hinzugefügte Benutzer (Schlüssel konnten nicht abgerufen werden)
-
Vorhandene Benutzer in einem Bereich, der einen neuen Client verwendet (Schlüssel konnten nicht abgerufen werden)
-
-
Vorhandene Benutzer in einem Bereich werden weiterhin erfolgreich ausgeführt, sofern ihre Clients über einen Cache für Verschlüsselungsschlüssel verfügen
Es ist wichtig, dass Sie Ihren Hybrid Data Security-Cluster ordnungsgemäß überwachen und alle Warnungen umgehend beheben, um Dienstunterbrechungen zu vermeiden.
Warnungen
Wenn bei der Einrichtung der Hybrid Data Security ein Problem auftritt, zeigt Partner Hub dem Organisationsadministrator Warnungen an und sendet E-Mails an die konfigurierte E-Mail-Adresse. Die Warnungen betreffen viele gängige Szenarien.
|
Alarm |
Vorgang |
|---|---|
|
Fehler beim Zugriff auf die lokale Datenbank. |
Überprüfen Sie das System auf Datenbankfehler oder lokale Netzwerkprobleme. |
|
Fehler beim Herstellen einer Verbindung zur lokalen Datenbank. |
Vergewissern Sie sich, dass der Datenbankserver verfügbar ist und die richtigen Dienstkonto-Anmeldeinformationen in der Knotenkonfiguration verwendet wurden. |
|
Fehler beim Zugriff auf den Clouddienst. |
Überprüfen Sie, ob die Knoten auf die Webex-Server zugreifen können, wie in Anforderungen an die externe Konnektivitätangegeben. |
|
Registrierung des Clouddiensts wird erneuert. |
Registrierung von Clouddiensten wurde verworfen. Erneuerung der Registrierung wird durchgeführt. |
|
Registrierung des Clouddiensts wurde verworfen. |
Registrierung von Clouddiensten wurde beendet. Dienst wird beendet. |
|
Dienst noch nicht aktiviert. |
Aktivieren Sie HDS im Partner Hub. |
|
Konfigurierte Domäne stimmt nicht mit dem Serverzertifikat überein. |
Vergewissern Sie sich, dass das Serverzertifikat mit der konfigurierten Dienstaktivierungsdomäne übereinstimmt. Die wahrscheinlichste Ursache lautet, dass die Zertifikat-CN vor kurzem geändert wurde und nun von der CN abweicht, die während der ursprünglichen Einrichtung verwendet wurde. |
|
Clouddienste konnten nicht authentifiziert werden. |
Prüfen Sie die Daten auf korrekte Eingabe und einen möglichen Ablauf der Dienstkonto-Anmeldeinformationen. |
|
Lokale Schlüsselspeicherdatei konnte nicht geöffnet werden. |
Überprüfen Sie die lokale Schlüsselspeicherdatei auf Integrität und Kennwortgenauigkeit. |
|
Lokales Serverzertifikat ist ungültig. |
Überprüfen Sie das Ablaufdatum des Serverzertifikats und vergewissern Sie sich, dass es von einer vertrauenswürdigen Zertifizierungsstelle ausgestellt wurde. |
|
Metriken konnten nicht gepostet werden. |
Überprüfen Sie den Zugriff des lokalen Netzwerks auf externe Clouddienste. |
|
Das Verzeichnis /media/configdrive/hds ist nicht vorhanden. |
Überprüfen Sie die ISO-Mountkonfiguration auf dem virtuellen Host. Vergewissern Sie sich, dass die ISO-Datei vorhanden ist, die beim Neustart für das Mounten konfiguriert ist und das Mounten erfolgreich ausgeführt wird. |
|
Die Einrichtung der Mandantenorganisation ist für die hinzugefügten Organisationen nicht abgeschlossen |
Schließen Sie die Einrichtung ab, indem Sie mit dem HDS-Setup-Tool CMKs für neu hinzugefügte Mandantenorganisationen erstellen. |
|
Die Einrichtung der Mandantenorganisation ist für die entfernten Organisationen nicht abgeschlossen |
Schließen Sie die Einrichtung ab, indem Sie die CMKs der Mandantenorganisationen widerrufen, die mit dem HDS-Setup-Tool entfernt wurden. |
Problembehandlung der Hybrid-Datensicherheit
| 1 |
Überprüfen Sie den Partner Hub auf etwaige Warnungen und beheben Sie alle dort gefundenen Probleme. Siehe das Bild unten als Referenz. |
| 2 |
Überprüfen Sie die Syslog-Serverausgabe auf Aktivitäten aus der Hybrid Data Security-Bereitstellung. Filtern Sie nach Wörtern wie „Warnung“ und „Fehler“, um die Fehlerbehebung zu erleichtern. |
| 3 |
Kontaktieren Sie den Cisco-Support. |
Zusatzbemerkungen
Bekannte Probleme mit Hybrid-Datensicherheit
-
Wenn Sie Ihren Hybrid Data Security-Cluster herunterfahren (indem Sie ihn im Partner Hub löschen oder alle Knoten herunterfahren), Ihre ISO-Konfigurationsdatei verlieren oder den Zugriff auf die Keystore-Datenbank verlieren, können Webex-App-Benutzer von Kundenorganisationen keine Bereiche in ihrer Personenliste mehr verwenden, die mit Schlüsseln aus Ihrem KMS erstellt wurden. Wir haben aktuell keine Problemumgehung oder Lösung für dieses Problem und empfehlen Ihnen dringend, Ihre HDS-Dienste nicht herunterzufahren, sobald sie aktive Benutzerkonten verarbeiten.
-
Ein Client, der über eine bestehende ECDH-Verbindung zu einem KMS verfügt, hält die Verbindung für einen Zeitraum aufrecht (ca. eine Stunde).
Führen Sie das HDS-Setup-Tool mit Podman Desktop aus
Podman ist ein kostenloses Open-Source-Containerverwaltungstool, das das Ausführen, Verwalten und Erstellen von Containern ermöglicht. Podman Desktop kann von https://podman-desktop.io/downloadsheruntergeladen werden.
-
Das HDS Setup Tool wird als Docker-Container auf einem lokalen Computer ausgeführt. Um darauf zuzugreifen, laden Sie Podman herunter und führen Sie es auf diesem Computer aus. Für den Einrichtungsprozess sind die Anmeldeinformationen eines Control Hub-Kontos mit vollen Administratorrechten für Ihre Organisation erforderlich.
Wenn das HDS-Setup-Tool in Ihrer Umgebung hinter einem Proxy ausgeführt wird, geben Sie die Proxy-Einstellungen (Server, Port, Anmeldeinformationen) über Docker-Umgebungsvariablen an, wenn Sie den Docker-Container in Schritt 5 aufrufen. Diese Tabelle enthält einige mögliche Umgebungsvariablen:
Beschreibung
Variable
HTTP-Proxy ohne Authentifizierung
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORTHTTPS-Proxy ohne Authentifizierung
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORTHTTP-Proxy mit Authentifizierung
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORTHTTPS-Proxy mit Authentifizierung
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT -
Die von Ihnen generierte ISO-Konfigurationsdatei enthält den Hauptschlüssel zur Verschlüsselung der PostgreSQL- oder Microsoft SQL Server-Datenbank. Sie benötigen die neueste Kopie dieser Datei immer dann, wenn Sie Konfigurationsänderungen vornehmen, wie etwa die folgenden:
-
Datenbankanmeldeinformationen
-
Zertifikatsaktualisierungen
-
Änderungen der Autorisierungsrichtlinie
-
-
Wenn Sie Datenbankverbindungen verschlüsseln möchten, richten Sie Ihre PostgreSQL- oder SQL Server-Bereitstellung für TLS ein.
Der Einrichtungsprozess von Hybrid Data Security erstellt eine ISO-Datei. Anschließend verwenden Sie die ISO, um Ihren Hybrid Data Security-Host zu konfigurieren.
| 1 |
Geben Sie in der Befehlszeile Ihres Computers den entsprechenden Befehl für Ihre Umgebung ein: In regulären Umgebungen: In FedRAMP-Umgebungen: Mit diesem Schritt werden die Bilder vorheriger HDS-Setup-Tools bereinigt. Wenn keine vorherigen Bilder angezeigt werden, erhalten Sie eine Fehlermeldung, die Sie ignorieren können. |
| 2 |
Um sich bei der Docker-Image-Registrierung anmelden zu können, geben Sie Folgendes ein: |
| 3 |
Geben Sie in der Passwortaufforderung diese Hash-Eingabe ein: |
| 4 |
Laden Sie das aktuellste stabile Bild für Ihre Umgebung herunter: In regulären Umgebungen: In FedRAMP-Umgebungen: |
| 5 |
Geben Sie nach Abschluss des Pull-Befehls den entsprechenden Befehl für Ihre Umgebung ein:
Wenn der Container ausgeführt wird, wird "Express server listening on port 8080" (Express-Server hören auf Port 8080) sehen. |
Nächste Schritte
Verschieben Sie die vorhandene Single-Tenant-HDS-Bereitstellung einer Partnerorganisation im Control Hub in ein Multi-Tenant-HDS-Setup im Partner Hub
Die Konvertierung von einer vorhandenen Single-Tenant-HDS-Bereitstellung einer Partnerorganisation, die in Control Hub verwaltet wird, zu einer Multi-Tenant-HDS-Bereitstellung, die in Partner Hub verwaltet wird, umfasst in erster Linie das Deaktivieren des HDS-Dienstes in Control Hub, das Aufheben der Registrierung von Knoten und das Löschen des Clusters. Sie können sich dann beim Partner Hub anmelden, die Knoten registrieren, Multi-Tenant HDS aktivieren und Kunden zu Ihrem Cluster hinzufügen.
Der Begriff „Single-Tenant“ bezieht sich einfach auf eine vorhandene HDS-Bereitstellung in Control Hub.
HDS deaktivieren, Knoten abmelden und Cluster im Control Hub löschen
| 1 |
Melden Sie sich beim Control Hub an. Klicken Sie im linken Bereich auf Hybrid. Klicken Sie auf der Karte „Hybrid Data Security“ auf Einstellungen bearbeiten. |
| 2 |
Scrollen Sie auf der Einstellungsseite nach unten zum Abschnitt Deaktivieren und klicken Sie auf Deaktivieren. |
| 3 |
Klicken Sie nach der Deaktivierung auf den Reiter Ressourcen. |
| 4 |
Auf der Seite Ressourcen werden die Cluster in Ihrer HDS-Bereitstellung aufgelistet. Klicken Sie auf einen Cluster. Es öffnet sich eine Seite mit allen Knoten unter diesem Cluster. |
| 5 |
Klicken Sie rechts auf ... und dann auf Knoten abmelden. Wiederholen Sie den Vorgang für alle Knoten im Cluster. |
| 6 |
Wenn Ihre Bereitstellung mehrere Cluster hat, wiederholen Sie Schritt 4 und Schritt 5, bis alle Knoten abgemeldet sind. |
| 7 |
Klicken Sie auf Clustereinstellungen > Entfernen. |
| 8 |
Klicken Sie auf Entfernung bestätigen, um den Cluster abzumelden. |
| 9 |
Wiederholen Sie den Vorgang für alle Cluster in Ihrer HDS-Bereitstellung. Nach der Deaktivierung von HDS, der Abmeldung von Knoten und dem Entfernen von Clustern wird unten auf der Hybrid Data Service-Karte im Control Hub Setup nicht abgeschlossen angezeigt. |
Aktivieren Sie Multi-Tenant HDS für die Partnerorganisation im Partner Hub und fügen Sie Kunden hinzu
Vorbereitungen
Alle in Anforderungen an die Multi-Tenant-Hybrid-Datensicherheit genannten Voraussetzungen gelten hier. Stellen Sie außerdem sicher, dass während der Migration zum Multi-Tenant-HDS dieselbe Datenbank und dieselben Zertifikate verwendet werden.
| 1 |
Melden Sie sich beim Partner Hub an. Klicken Sie im linken Bereich auf Dienste. Verwenden Sie zum Konfigurieren der Knoten dasselbe ISO aus Ihrer vorherigen HDS-Bereitstellung. Dadurch wird sichergestellt, dass von den Benutzern in der vorherigen HDS-Bereitstellung generierte Nachrichten und Inhalte auch in der neuen Multi-Tenant-Konfiguration zugänglich sind. |
| 2 |
Suchen Sie im Abschnitt „Cloud-Dienste“ nach der Karte „Hybrid Data Security“ und klicken Sie auf Einrichten. |
| 3 |
Klicken Sie auf der sich öffnenden Seite auf Ressource hinzufügen. |
| 4 |
Geben Sie im ersten Feld der Karte Knoten hinzufügen einen Namen für den Cluster ein, dem Sie Ihren Hybrid Data Security-Knoten zuweisen möchten. Benennen Sie Ihre Cluster nach Möglichkeit nach dem geografischen Standort der Clusterknoten. Beispiele: „San Francisco“ oder „New York“ oder „Dallas“ |
| 5 |
Geben Sie im zweiten Feld die interne IP-Adresse oder den vollqualifizierten Domänennamen (FQDN) Ihres Knotens ein und klicken Sie unten auf dem Bildschirm auf Hinzufügen. Diese IP-Adresse oder dieser FQDN sollte mit der IP-Adresse oder dem Hostnamen und der Domäne übereinstimmen, die Sie in Einrichten der Hybrid Data Security VMverwendet haben. Es wird eine Meldung angezeigt, die angibt, dass Sie Ihren Knoten bei Webex registrieren können.
|
| 6 |
Klicken Sie auf Go to Node (Zum Knoten wechseln). Nach einigen Augenblicken werden Sie zu den Knotenkonnektivitätstests für Webex-Dienste weitergeleitet. Sind alle Tests erfolgreich, wird die Seite „Allow Access to Hybrid Data Security Node“ (Zugriff zu Hybrid-Datensicherheits-Knoten gewähren) angezeigt. Dort bestätigen Sie, dass Sie Ihrer Webex-Organisation die Berechtigung zum Zugriff auf Ihren Knoten erteilen möchten. |
| 7 |
Aktivieren Sie das Kontrollkästchen Allow Access to Your Hybrid Data Security Node (Zugriff zu Ihrem Hybrid-Datensicherheits-Knoten gewähren) und klicken Sie anschließend auf Continue (Weiter). Ihr Konto wird validiert und die Meldung „Registrierung abgeschlossen“ zeigt an, dass Ihr Knoten jetzt bei der Webex-Cloud registriert ist. Auf der Seite Hybrid Data Security wird unter der Registerkarte Resources der neue Cluster angezeigt, der den von Ihnen registrierten Knoten enthält. Der Knoten lädt die aktuelle Software automatisch aus der Cloud herunter.
|
| 8 |
Gehen Sie zur Registerkarte Einstellungen und klicken Sie auf der HDS-Statuskarte auf Aktivieren. Die MeldungHDS aktiviert wird unten auf dem Bildschirm angezeigt.
|
| 9 |
Klicken Sie in den Ressourcenauf den neu erstellten Cluster. |
| 10 |
Klicken Sie auf der sich öffnenden Seite auf den Reiter Zugewiesene Kunden. |
| 11 |
Klicken Sie auf Kunden hinzufügen. |
| 12 |
Wählen Sie aus dem Dropdown-Menü den Kunden aus, den Sie hinzufügen möchten. |
| 13 |
Klicken Sie auf Hinzufügen, der Kunde wird dem Cluster hinzugefügt. |
| 14 |
Wiederholen Sie die Schritte 11 bis 13, um Ihrem Cluster mehrere Kunden hinzuzufügen. |
| 15 |
Klicken Sie unten auf dem Bildschirm auf Fertig, nachdem Sie die Kunden hinzugefügt haben. |
Nächste Schritte
Generieren einer PKCS12-Datei mit OpenSSL
Vorbereitungen
-
OpenSSL ist eines der Tools, mit denen die PKCS12-Datei im richtigen Format für das Laden in das HDS-Setuptool erstellt werden kann. Es gibt auch andere Verfahren, keines davon wird von uns bevorzugt.
-
Wenn Sie sich für die Verwendung von OpenSSL entscheiden, stellen wir Ihnen dieses Verfahren als Richtlinie zur Verfügung, um Ihnen bei der Erstellung einer Datei zu helfen, die die X.509-Zertifikatanforderungen in X.509-Zertifikatanforderungenerfüllt. Machen Sie sich mit diesen Anforderungen vertraut, bevor Sie fortfahren.
-
Installieren Sie OpenSSL in einer unterstützten Umgebung. Software und Dokumentation finden Sie auf https://www.openssl.org.
-
Erstellen Sie einen privaten Schlüssel.
-
Beginnen Sie mit diesem Verfahren, wenn Sie das Serverzertifikat von Ihrer Zertifizierungsstelle (CA, Certificate Authority) erhalten.
| 1 |
Wenn Sie das Serverzertifikat von Ihrer Zertifizierungsstelle erhalten, speichern Sie es als |
| 2 |
Zeigen Sie das Zertifikat als Text an, und überprüfen Sie die Details.
|
| 3 |
Verwenden Sie einen Texteditor, um eine Zertifikatspaketdatei mit dem Namen
|
| 4 |
Erstellen Sie die .p12-Datei mit dem Anzeigenamen
|
| 5 |
Überprüfen Sie die Zertifikatdetails. |
Nächste Schritte
Zurück zu Erfüllen Sie die Voraussetzungen für hybride Datensicherheit. Sie verwenden die Datei hdsnode.p12 und das dafür festgelegte Kennwort in Erstellen einer Konfigurations-ISO für die HDS-Hosts.
Sie können diese Dateien wiederverwenden, um ein neues Zertifikat anzufordern, wenn das ursprüngliche Zertifikat abläuft.
Datenverkehr zwischen den HDS-Knoten und der Cloud
Metriksammlung von ausgehendem Datenverkehr
Die Hybrid Data Security-Knoten senden bestimmte Metriken an die Webex-Cloud. Dazu gehören Systemmetriken für max. Heap, verbrauchter Heap, CPU-Auslastung und Threadanzahl; Metriken zu synchronen und asynchronen Threads; Metriken zu Warnungen, darunter auch ein Schwellenwert der verschlüsselten Verbindungen, Latenz oder eine Anforderungswarteschlangenlänge; Metriken zum Datenspeicher; und Metriken zu verschlüsselten Verbindungen. Die Knoten senden verschlüsseltes Schlüsselmaterial über einen Out-of-Band-Kanal (separat von der Anforderung).
Eingehender Datenverkehr
Die Hybrid Data Security-Knoten empfangen die folgenden Arten von eingehendem Datenverkehr aus der Webex-Cloud:
-
Verschlüsselungsanforderungen von Clients, die vom Verschlüsselungsdienst umgeleitet werden
-
Upgrades für die Knoten-Software
Konfigurieren von Tintenfisch für die Hybriddatensicherheit
WebSocket kann nicht über SquID Proxy verbunden werden
Squid-Proxys, die HTTPS-Verkehr prüfen, können die Herstellung von WebSocket-Verbindungen (wss:) stören, die Hybrid Data Security erfordert. Diese Abschnitte enthalten Anleitungen zum Konfigurieren verschiedener Versionen von Squid, um wss: den Datenverkehr zu ignorieren und so den ordnungsgemäßen Betrieb der Dienste zu gewährleisten.
Squid 4 und 5
Fügen Sie die Direktive on_unsupported_protocol zu squid.confhinzu :
on_unsupported_protocol tunnel allSquid 3.5.27
Wir haben die Hybriddatensicherheit mit den folgenden zu squid.confhinzugefügten Regeln erfolgreich getestet. Diese Regeln können sich geändert werden, da wir Funktionen entwickeln und die WebEx Cisco aktualisieren.
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all
