- Accueil
- /
- Article
Informations nouvelles et modifiées
Date | Modifications effectuées | ||
---|---|---|---|
20 octobre 2023 |
| ||
07 août 2023 |
| ||
23 mai 2023 |
| ||
06 décembre 2022 |
| ||
23 novembre 2022 |
| ||
13 octobre 2021 | Docker Desktop doit exécuter un programme d'installation avant de pouvoir installer les nœuds HDS. Voir Configuration minimale du bureau Docker. | ||
24 juin 2021 | Notez que vous pouvez réutiliser le fichier de clé privée et le CSR pour demander un autre certificat. Voir Utiliser OpenSSL pour générer un fichier PKCS12 pour plus de détails. | ||
30 avril 2021 | Modification de l'exigence de la machine virtuelle pour l'espace du disque dur local à 30 Go. Voir Exigences relatives à l'organisateur virtuel pour plus de détails. | ||
24 février 2021 | L'outil de configuration HDS peut maintenant s'exécuter derrière un proxy. Voir Créer une configuration ISO pour les hôtes HDS pour plus de détails. | ||
2 février 2021 | HDS peut maintenant fonctionner sans fichier ISO monté. Voir (Facultatif) Démonter l'ISO après la configuration HDS pour plus de détails. | ||
11 janvier 2021 | Ajout d'informations sur l'outil de configuration HDS et les proxys pour Créer une configuration ISO pour les hôtes HDS. | ||
13 octobre 2020 | Mise à jour de Télécharger les fichiers d'installation. | ||
8 octobre 2020 | Mise à jour de Créer une configuration ISO pour les hôtes HDS et Modifier la configuration du nœud avec les commandes pour les environnements FedRAMP. | ||
14 août 2020 | Mise à jour de Créer une configuration ISO pour les hôtes HDS et Modifier la configuration du nœud avec des modifications au processus de connexion. | ||
5 août 2020 | Mise à jour de Tester votre déploiement de sécurité des données hybrides pour les modifications apportées aux messages des journaux. Mise à jour des Exigences des organisateurs virtuels pour supprimer le nombre maximum d'organisateurs. | ||
16 juin 2020 | Mise à jour de Supprimer un nœud pour les modifications de l’interface utilisateur du Control Hub. | ||
4 juin 2020 | Mise à jour de Créer une configuration ISO pour les hôtes HDS pour les modifications apportées aux paramètres avancés que vous pouvez définir. | ||
29 mai 2020 | Mise à jour de Créer une ISO de configuration pour les hôtes HDS pour montrer que vous pouvez également utiliser TLS avec les bases de données SQL Server, les modifications de l'interface utilisateur et d'autres clarifications. | ||
5 mai 2020 | Mise à jour des Exigences de l'hôte virtuel pour afficher les nouvelles exigences d'ESXi 6.5. | ||
21 avril 2020 | Mise à jour des exigences de connectivité externe avec les nouveaux hôtes CI Americas. | ||
1er avril 2020 | Mise à jour des Exigences de connectivité externe avec des informations sur les hôtes CI régionaux. | ||
20 février 2020 | Mise à jour de Créer une configuration ISO pour les hôtes HDS avec des informations sur le nouvel écran optionnel Paramètres avancés dans l'outil de configuration HDS. | ||
4 février 2020 | Mise à jour des Exigences du serveur proxy. | ||
16 décembre 2019 | Clarification de l'exigence de fonctionnement du mode de résolution DNS externe bloqué dans Exigences du serveur proxy. | ||
19 novembre 2019 | Ajout d'informations sur le mode de résolution DNS externe bloqué dans les sections suivantes : | ||
8 novembre 2019 | Vous pouvez maintenant configurer les paramètres réseau pour un nœud lors du déploiement du fichier OVA plutôt que par la suite. Mise à jour des sections suivantes en conséquence :
| ||
6 septembre 2019 | Ajout du standard SQL Server aux exigences du serveur de base de données. | ||
29 août 2019 | Ajout de l'annexe Configurer les proxys Squid pour la sécurité des données hybrides avec des instructions sur la configuration des proxys Squid pour ignorer le trafic websocket pour le bon fonctionnement. | ||
20 août 2019 | Ajout et mise à jour de sections pour couvrir la prise en charge du proxy pour les communications du nœud de sécurité des données hybrides vers le Cloud Webex. Pour accéder uniquement au contenu de la prise en charge du proxy pour un déploiement existant, consultez l’article d’aide Prise en charge du proxy pour la sécurité des données hybrides et le maillage vidéo Webex. | ||
13 juin 2019 | Mise à jour du Flux des tâches d'essai en production avec un rappel pour synchroniser le HdsTrialGroup de groupe avant de démarrer un essai si votre organisation utilise la synchronisation du répertoire. | ||
6 mars 2019 |
| ||
28 février 2019 |
| ||
26 février 2019 |
| ||
24 janvier 2019 |
| ||
5 novembre 2018 |
| ||
19 octobre 2018 |
| ||
31 juillet 2018 |
| ||
21 mai 2018 | Terminologie modifiée pour refléter la nouvelle charte graphique de Cisco Spark :
| ||
11 avril 2018 |
| ||
22 février 2018 |
| ||
15 février 2018 |
| ||
18 janvier 2018 |
| ||
2 novembre 2017 |
| ||
18 août 2017 | Première publication |
Présentation de la sécurité des données hybrides
Dès le premier jour, la sécurité des données a été au cœur de la conception de l’application Webex. La pierre angulaire de cette sécurité est le chiffrement du contenu de bout en bout, activé par les clients de l’application Webex qui interagissent avec le service de gestion des clés (KMS). Le KMS est responsable de la création et de la gestion des clés cryptographiques que les clients utilisent pour crypter et décrypter dynamiquement les messages et les fichiers.
Par défaut, tous les clients de l’application Webex bénéficient d’un chiffrement de bout en bout avec des clés dynamiques stockées dans le cloud KMS, dans le domaine de sécurité de Cisco. La sécurité des données hybrides déplace le KMS et d'autres fonctions liées à la sécurité vers le centre de données de votre entreprise, de sorte que personne d'autre que vous ne détient les clés de votre contenu chiffré.
Architecture du domaine de sécurité
L’architecture du Cloud Webex sépare les différents types de service dans des domaines distincts, ou domaines de confiance, comme illustré ci-dessous.
Pour mieux comprendre la sécurité des données hybrides, examinons d’abord ce cas purement cloud, où Cisco fournit toutes les fonctions dans ses domaines cloud. Le service d'identité, le seul endroit où les utilisateurs peuvent être directement corrélés avec leurs informations personnelles telles que leur adresse électronique, est logiquement et physiquement séparé du domaine de sécurité dans le centre de données B. Les deux sont à leur tour séparés du domaine où le contenu chiffré est finalement stocké, dans le centre de données C.
Dans ce diagramme, le client est l’application Webex exécutée sur l’ordinateur portable d’un utilisateur et s’est authentifié auprès du service d’identité. Lorsque l’utilisateur compose un message à envoyer à un espace, les étapes suivantes ont lieu :
Le client établit une connexion sécurisée avec le service de gestion des clés (KMS), puis demande une clé pour chiffrer le message. La connexion sécurisée utilise ECDH et le KMS chiffre la clé à l'aide d'une clé principale AES-256.
Le message est chiffré avant de quitter le client. Le client l'envoie au service d'indexation, qui crée des index de recherche chiffrés pour faciliter les recherches futures du contenu.
Le message chiffré est envoyé au service de conformité pour vérification de conformité.
Le message chiffré est stocké dans le domaine de stockage.
Lorsque vous déployez la sécurité des données hybrides, vous déplacez les fonctions du domaine de sécurité (KMS, indexation et conformité) vers votre centre de données sur site. Les autres services cloud qui composent Webex (y compris le stockage de l’identité et du contenu) restent dans les royaumes de Cisco.
Collaborer avec d’autres organisations
Les utilisateurs de votre organisation peuvent régulièrement utiliser l’application Webex pour collaborer avec des participants externes d’autres organisations. Lorsque l’un de vos utilisateurs demande une clé pour un espace appartenant à votre organisation (car il a été créé par l’un de vos utilisateurs), votre KMS envoie la clé au client via un canal sécurisé ECDH. Cependant, lorsqu’une autre organisation possède la clé de l’espace, votre système KMS achemine la demande vers le Cloud Webex via un canal ECDH séparé pour obtenir la clé du système KMS approprié, puis la renvoie à votre utilisateur sur le canal d’origine.
Le service KMS en cours d'exécution sur l'organisation A valide les connexions aux KMS dans d'autres organisations en utilisant les certificats PKI x.509. Voir Préparer votre environnement pour plus d'informations sur la génération d'un certificat x.509 à utiliser avec votre déploiement Hybrid Data Security.
Attentes concernant le déploiement de la sécurité des données hybrides
Un déploiement de sécurité des données hybrides nécessite un engagement client significatif et une prise de conscience des risques liés à la possession de clés de chiffrement.
Pour déployer la sécurité des données hybrides, vous devez fournir :
Un centre de données sécurisé dans un pays qui est un emplacement pris en charge pour les abonnements Cisco Webex Teams.
L'équipement, le logiciel et l'accès au réseau décrits dans Préparer votre environnement.
La perte complète de l'ISO de configuration que vous créez pour Hybrid Data Security ou de la base de données que vous fournissez entraînera la perte des clés. La perte de clés empêche les utilisateurs de déchiffrer le contenu de l’espace et d’autres données chiffrées dans l’application Webex. Si cela se produit, vous pouvez créer un nouveau déploiement, mais seul le nouveau contenu sera visible. Pour éviter la perte d’accès aux données, vous devez :
Gérer la sauvegarde et la restauration de la base de données et l’ISO de configuration.
Préparez-vous à effectuer une récupération rapide après sinistre en cas de catastrophe, telle qu'une panne du disque de base de données ou un sinistre du centre de données.
Il n'existe aucun mécanisme pour déplacer les clés vers le Cloud après un déploiement HDS. |
Processus de configuration de haut niveau
Ce document couvre la configuration et la gestion d'un déploiement de sécurité des données hybrides :
Configurer la sécurité des données hybrides—Cela comprend la préparation de l'infrastructure requise et l'installation du logiciel de sécurité des données hybrides, le test de votre déploiement avec un sous-ensemble d'utilisateurs en mode d'essai et, une fois vos tests terminés, la mise en production. Cela convertit toute l’organisation à utiliser votre cluster de sécurité des données hybrides pour les fonctions de sécurité.
Les phases de configuration, d’essai et de production sont abordées en détail dans les trois chapitres suivants.
Maintenez votre déploiement de sécurité des données hybrides — Le Cloud Webex fournit automatiquement des mises à niveau continues. Votre service informatique peut fournir une assistance de premier niveau pour ce déploiement et solliciter l’assistance de Cisco si nécessaire. Vous pouvez utiliser les notifications à l’écran et configurer des alertes par courrier électronique dans le Control Hub.
Comprendre les alertes courantes, les étapes de dépannage et les problèmes connus — Si vous rencontrez des problèmes pour déployer ou utiliser Hybrid Data Security, le dernier chapitre de ce guide et l'annexe Problèmes connus peuvent vous aider à déterminer et résoudre le problème.
Modèle de déploiement de la sécurité des données hybrides
Dans votre centre de données d'entreprise, vous déployez la sécurité des données hybrides en tant que cluster unique de nœuds sur des hôtes virtuels distincts. Les nœuds communiquent avec le Cloud Webex via des websockets sécurisés et un protocole HTTP sécurisé.
Pendant le processus d'installation, nous vous fournissons le fichier OVA pour configurer l'appliance virtuelle sur les machines virtuelles que vous fournissez. Vous utilisez l'outil de configuration HDS pour créer un fichier ISO de configuration de cluster personnalisé que vous montez sur chaque nœud. Le cluster de sécurité des données hybrides utilise votre serveur Syslogd fourni et la base de données PostgreSQL ou Microsoft SQL Server. (Vous configurez les détails de connexion à Syslogd et à la base de données dans l'outil de configuration HDS.)
Le nombre minimum de nœuds que vous pouvez avoir dans un cluster est de deux. Nous en recommandons au moins trois, et vous pouvez en avoir jusqu'à cinq. Avoir plusieurs nœuds garantit que le service n’est pas interrompu au cours d’une mise à niveau logicielle ou d’une autre activité de maintenance sur un nœud. (Le Cloud Webex ne met à niveau qu’un nœud à la fois.)
Tous les nœuds d'un cluster accèdent à la même banque de données clé et enregistrent l'activité sur le même serveur syslog. Les nœuds eux-mêmes sont apatrides et traitent les demandes de clés de manière ronde, comme indiqué par le cloud.
Les nœuds deviennent actifs lorsque vous les enregistrez dans le Control Hub. Pour mettre un nœud individuel hors service, vous pouvez le désenregistrer et le réenregistrer ultérieurement si nécessaire.
Nous ne prenons en charge qu’un seul cluster par organisation.
Mode d'évaluation de la sécurité des données hybrides
Après avoir configuré un déploiement de sécurité des données hybrides, vous l'essayez d'abord avec un ensemble d'utilisateurs pilotes. Pendant la période d'essai, ces utilisateurs utilisent votre domaine de sécurité des données hybrides sur site pour les clés de chiffrement et d'autres services du domaine de sécurité. Vos autres utilisateurs continuent à utiliser le domaine de sécurité du Cloud.
Si vous décidez de ne pas poursuivre le déploiement pendant la période d'essai et de désactiver le service, les utilisateurs pilotes et tous les utilisateurs avec lesquels ils ont interagi en créant de nouveaux espaces pendant la période d'essai perdront l'accès aux messages et au contenu. Ils verront « Ce message ne peut pas être déchiffré » dans l’application Webex.
Si vous êtes convaincu que votre déploiement fonctionne bien pour les utilisateurs de la version d'essai et que vous êtes prêt à étendre la sécurité des données hybrides à tous vos utilisateurs, vous passez le déploiement en production. Les utilisateurs pilotes continuent d'avoir accès aux clés qui ont été utilisées pendant l'essai. Cependant, vous ne pouvez pas passer d'un mode de production à l'essai original. Si vous devez désactiver le service, par exemple pour effectuer une reprise après sinistre, lorsque vous réactivez, vous devez démarrer un nouvel essai et configurer l'ensemble des utilisateurs pilotes pour le nouvel essai avant de revenir en mode de production. Si les utilisateurs conservent l'accès aux données à ce stade dépend de si vous avez réussi à maintenir les sauvegardes de la banque de données clés et du fichier de configuration ISO pour les nœuds de sécurité des données hybrides dans votre cluster.
Centre de données en attente pour la reprise après sinistre
Pendant le déploiement, vous configurez un centre de données de secours sécurisé. En cas de sinistre du centre de données, vous pouvez basculer manuellement votre déploiement vers le centre de données de secours.
Les bases de données des centres de données actifs et en attente sont synchronisées les unes avec les autres, ce qui réduira le temps nécessaire pour effectuer le basculement. Le fichier ISO du centre de données en attente est mis à jour avec des configurations supplémentaires qui garantissent que les nœuds sont enregistrés dans l'organisation, mais ne gèrent pas le trafic. Par conséquent, les nœuds du centre de données en attente restent toujours à jour avec la dernière version du logiciel HDS.
Les nœuds actifs de sécurité des données hybrides doivent toujours être dans le même centre de données que le serveur de base de données actif. |
Configurer le centre de données en attente pour la reprise après sinistre
Suivez les étapes ci-dessous pour configurer le fichier ISO du centre de données en attente :
Avant de commencer
Le centre de données en attente doit refléter l'environnement de production des machines virtuelles et une base de données de sauvegarde PostgreSQL ou Microsoft SQL Server. Par exemple, si la production a 3 machines virtuelles exécutant des nœuds HDS, l'environnement de sauvegarde doit avoir 3 machines virtuelles. (Voir Centre de données en attente pour la reprise après sinistre pour une vue d'ensemble de ce modèle de basculement.)
Assurez-vous que la synchronisation de la base de données est activée entre la base de données des nœuds de cluster actifs et passifs.
1 | Démarrez l'outil de configuration HDS et suivez les étapes mentionnées dans Créer une configuration ISO pour les hôtes HDS.
| ||
2 | Après avoir configuré le serveur Syslogd, cliquez sur Paramètres avancés | ||
3 | Sur la page Paramètres avancés, ajoutez la configuration ci-dessous pour placer le nœud en mode passif. Dans ce mode, le nœud sera enregistré dans l’organisation et connecté au Cloud, mais ne gérera aucun trafic.
| ||
4 | Terminez le processus de configuration et enregistrez le fichier ISO dans un emplacement facile à trouver. | ||
5 | Effectuez une copie de sauvegarde du fichier ISO sur votre système local. Gardez la copie de sauvegarde sécurisée. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limitez l'accès aux seuls administrateurs de sécurité des données hybrides qui doivent effectuer des modifications de configuration. | ||
6 | Dans le volet de navigation gauche du client VMware vSphere, faites un clic droit sur la VM et cliquez sur Edit Settings.. | ||
7 | Cliquez sur Edit Settings >CD/DVD Drive 1 et sélectionnez Datastore ISO File.
| ||
8 | Mettez le nœud HDS sous tension et assurez-vous qu'il n'y a pas d'alarmes pendant au moins 15 minutes. | ||
9 | Répétez le processus pour chaque nœud du centre de données en veille.
|
Que faire ensuite
Après la configuration passiveMode
dans le fichier ISO et en l'enregistrant, vous pouvez créer une autre copie du fichier ISO sans passiveMode
la configuration et l’enregistrer dans un endroit sécurisé. Cette copie du fichier ISO sans passiveMode
configurée peut aider à un processus de basculement rapide pendant la reprise après sinistre. Voir Reprise après sinistre à l'aide du centre de données en veille pour la procédure détaillée de basculement.
Prise en charge du proxy
Hybrid Data Security prend en charge les proxys explicites, transparents et non-inspectés. Vous pouvez lier ces proxys à votre déploiement afin de sécuriser et surveiller le trafic de l'entreprise vers le Cloud. Vous pouvez utiliser une interface d'administration de plateforme sur les nœuds pour la gestion des certificats et pour vérifier l'état général de la connectivité après avoir configuré le proxy sur les nœuds.
Les nœuds de sécurité des données hybrides prennent en charge les options de proxy suivantes :
Aucun proxy—La valeur par défaut si vous n'utilisez pas la configuration du nœud HDS Trust Store & Proxy pour intégrer un proxy. Aucune mise à jour du certificat n'est requise.
Proxy transparent non inspectant – Les nœuds ne sont pas configurés pour utiliser une adresse de serveur proxy spécifique et ne doivent pas nécessiter de modifications pour fonctionner avec un proxy non inspectant. Aucune mise à jour du certificat n'est requise.
Proxy transparent de tunneling ou d'inspection – Les nœuds ne sont pas configurés pour utiliser une adresse de serveur proxy spécifique. Aucun changement de configuration HTTP ou HTTPS n'est nécessaire sur les nœuds. Cependant, les nœuds ont besoin d'un certificat racine afin qu'ils fassent confiance au proxy. L’inspection des proxys est généralement utilisée par le service informatique pour appliquer des politiques sur les sites Web qui peuvent être visités et les types de contenu qui ne sont pas autorisés. Ce type de proxy déchiffre tout votre trafic (même HTTPS).
Proxy explicite–Avec un proxy explicite, vous indiquez aux nœuds HDS quel serveur proxy et schéma d'authentification utiliser. Pour configurer un proxy explicite, vous devez saisir les informations suivantes sur chaque nœud :
IP/FQDN du proxy—Adresse qui peut être utilisée pour joindre la machine proxy.
Port proxy—Un numéro de port que le proxy utilise pour écouter le trafic proxy.
Protocole proxy—En fonction de ce que votre serveur proxy prend en charge, choisissez entre les protocoles suivants :
HTTP : affiche et contrôle toutes les demandes envoyées par le client.
HTTPS : fournit un canal au serveur. Le client reçoit et valide le certificat du serveur.
Type d'authentification—Choisissez parmi les types d'authentification suivants :
Aucun : aucune autre authentification n'est requise.
Disponible si vous sélectionnez HTTP ou HTTPS comme protocole proxy.
Basique—Utilisé pour un agent utilisateur HTTP pour fournir un nom d'utilisateur et un mot de passe lors d'une demande. Utilise l'encodage Base64.
Disponible si vous sélectionnez HTTP ou HTTPS comme protocole proxy.
Vous devez saisir le nom d'utilisateur et le mot de passe sur chaque nœud.
Digest—Utilisé pour confirmer le compte avant d'envoyer des informations sensibles. Applique une fonction de hachage sur le nom d'utilisateur et le mot de passe avant l'envoi sur le réseau.
Disponible uniquement si vous sélectionnez HTTPS comme protocole proxy.
Vous devez saisir le nom d'utilisateur et le mot de passe sur chaque nœud.
Exemple de nœuds de sécurité des données hybrides et de proxy
Ce diagramme montre un exemple de connexion entre la sécurité des données hybrides, le réseau et un proxy. Pour les options de proxy d'inspection transparente et d'inspection explicite HTTPS, le même certificat racine doit être installé sur le proxy et sur les nœuds de sécurité des données hybrides.
Mode de résolution DNS externe bloqué (configurations de proxy explicites)
Lorsque vous enregistrez un nœud ou vérifiez la configuration du proxy du nœud, le processus teste la recherche DNS et la connectivité au Cloud Cisco Webex. Dans les déploiements avec des configurations de proxy explicites qui ne permettent pas la résolution DNS externe pour les clients internes, si le nœud ne peut pas interroger les serveurs DNS, il passe automatiquement en mode de résolution DNS externe bloquée. Dans ce mode, l’enregistrement du nœud et d’autres tests de connectivité proxy peuvent continuer.
Exigences pour la sécurité des données hybrides
Exigences relatives aux licences Cisco Webex
Pour déployer la sécurité des données hybrides :
Vous devez avoir le Pack Pro pour Cisco Webex Control Hub. (Voir https://www.cisco.com/go/pro-pack.)
Configuration minimale requise pour Docker Desktop
Avant d'installer vos nœuds HDS, vous avez besoin de Docker Desktop pour exécuter un programme d'installation. Docker a récemment mis à jour son modèle de licence. Votre organisation peut nécessiter un abonnement payant pour Docker Desktop. Pour plus de détails, voir le billet de blog Docker, « Docker met à jour et étend ses abonnements aux produits ".
Exigences du certificat X.509
La chaîne de certificats doit répondre aux exigences suivantes :
Configuration minimale requise | Détails |
---|---|
| Par défaut, nous faisons confiance aux AC de la liste Mozilla (à l’exception de WoSign et StartCom) à https://wiki.mozilla.org/CA:IncludedCAs. |
| Le NC n'a pas besoin d'être joignable ou d'être un hôte en direct. Nous vous recommandons d'utiliser un nom qui reflète votre organisation, par exemple, Le NC ne doit pas contenir de * (caractère générique). Le NC est utilisé pour vérifier les nœuds de sécurité des données hybrides vers les clients de l’application Webex. Tous les nœuds de sécurité des données hybrides de votre cluster utilisent le même certificat. Votre KMS s'identifie en utilisant le domaine CN, pas un domaine défini dans les champs SAN x.509v3. Une fois que vous avez enregistré un nœud avec ce certificat, nous ne prenons pas en charge la modification du nom de domaine CN. Choisissez un domaine qui peut s'appliquer à la fois aux déploiements d'essai et de production. |
| Le logiciel KMS ne prend pas en charge les signatures SHA1 pour valider les connexions aux KMS d'autres organisations. |
| Vous pouvez utiliser un convertisseur tel qu'OpenSSL pour changer le format de votre certificat. Vous devrez saisir le mot de passe lorsque vous exécuterez l'outil de configuration HDS. |
Le logiciel KMS n'impose pas de contraintes d'utilisation des clés ou d'utilisation étendue des clés. Certaines autorités de certification exigent que des contraintes d'utilisation de clés étendues soient appliquées à chaque certificat, telles que l'authentification du serveur. Il est acceptable d'utiliser l'authentification du serveur ou d'autres paramètres.
Exigences de l'organisateur virtuel
Les hôtes virtuels que vous allez configurer en tant que nœuds de sécurité des données hybrides dans votre cluster ont les exigences suivantes :
Au moins deux hôtes distincts (3 recommandés) colocalisés dans le même centre de données sécurisé
VMware ESXi 6.5 (ou version ultérieure) installé et en cours d'exécution.
Vous devez effectuer la mise à niveau si vous avez une version antérieure d'ESXi.
Minimum 4 vCPU, 8 Go de mémoire principale, 30 Go d'espace disque dur local par serveur
Exigences du serveur de base de données
Créer une nouvelle base de données pour le stockage des clés. N’utilisez pas la base de données par défaut. Les applications HDS, une fois installées, créent le schéma de base de données. |
Il existe deux options pour le serveur de base de données. Les exigences pour chacun sont les suivantes :
PostgreSQL | Microsoft SQL Server | ||
---|---|---|---|
|
| ||
Minimum 8 vCPUs, 16 Go de mémoire principale, espace disque dur suffisant et surveillance pour s'assurer qu'il n'est pas dépassé (2 To recommandés si vous souhaitez exécuter la base de données pendant une longue période sans avoir besoin d'augmenter le stockage) | Minimum 8 vCPUs, 16 Go de mémoire principale, espace disque dur suffisant et surveillance pour s'assurer qu'il n'est pas dépassé (2 To recommandés si vous souhaitez exécuter la base de données pendant une longue période sans avoir besoin d'augmenter le stockage) |
Le logiciel HDS installe actuellement les versions de pilotes suivantes pour la communication avec le serveur de base de données :
PostgreSQL | Microsoft SQL Server |
---|---|
Pilote Postgres JDBC driver 42.2.5 | Pilote SQL Server JDBC 4.6 Cette version de pilote prend en charge SQL Server Always On (Instances de cluster de basculement Always On et groupes de disponibilité Always On). |
Exigences supplémentaires pour l'authentification Windows par rapport à Microsoft SQL Server
Si vous souhaitez que les nœuds HDS utilisent l'authentification Windows pour accéder à votre base de données keystore sur Microsoft SQL Server, vous devez configurer votre environnement comme suit :
Les nœuds HDS, l'infrastructure Active Directory et MS SQL Server doivent tous être synchronisés avec NTP.
Le compte Windows que vous fournissez aux nœuds HDS doit avoir un accès en lecture/écriture à la base de données.
Les serveurs DNS que vous fournissez aux nœuds HDS doivent être en mesure de résoudre votre centre de distribution de clés (KDC).
Vous pouvez enregistrer l'instance de base de données HDS sur votre serveur Microsoft SQL en tant que nom principal de service (SPN) sur votre répertoire actif. Voir Enregistrer un nom principal de service pour les connexions Kerberos.
L'outil de configuration HDS, le lanceur HDS et le KMS local doivent tous utiliser l'authentification Windows pour accéder à la base de données du Keystore. Ils utilisent les détails de votre configuration ISO pour construire le SPN lors de la demande d'accès avec l'authentification Kerberos.
Exigences de connectivité externe
Configurez votre pare-feu pour autoriser la connectivité suivante pour les applications HDS :
Application | Protocole | Port | Direction de l’application | Destination |
---|---|---|---|---|
Nœuds de sécurité des données hybrides | TCP | 443 | HTTPS et WSS sortants |
|
Outil de configuration HDS | TCP | 443 | HTTPS sortant |
|
Les nœuds de sécurité des données hybrides fonctionnent avec la traduction d’accès au réseau (NAT) ou derrière un pare-feu, tant que le NAT ou le pare-feu autorise les connexions sortantes requises vers les destinations du domaine dans le tableau précédent. Pour les connexions entrantes vers les nœuds de sécurité des données hybrides, aucun port ne doit être visible depuis Internet. Dans votre centre de données, les clients ont besoin d'accéder aux nœuds de sécurité des données hybrides sur les ports TCP 443 et 22, à des fins administratives. |
Les URL des hôtes d'identité commune (CI) sont spécifiques à la région. Voici les hôtes CI actuels :
Région | URL de l'hôte Common Identity |
---|---|
Amériques |
|
Union européenne |
|
Canada |
|
Exigences du serveur proxy
Nous prenons officiellement en charge les solutions proxy suivantes qui peuvent s'intégrer à vos nœuds de sécurité des données hybrides.
Proxy transparent : Cisco Web Security Appliance (WSA).
Proxy explicite : Squid.
Les proxys SQUID qui inspectent le trafic HTTPS peuvent interférer avec l'établissement de websocket (wss :) les connexions. Pour contourner ce problème, voir Configurer des proxys Squid pour la sécurité des données hybrides.
Nous prenons en charge les combinaisons de types d'authentification suivantes pour les proxys explicites :
Aucune authentification avec HTTP ou HTTPS
Authentification de base avec HTTP ou HTTPS
Digest authentification avec HTTPS uniquement
Pour un proxy d'inspection transparent ou un proxy explicite HTTPS, vous devez avoir une copie du certificat racine du proxy. Les instructions de déploiement de ce guide vous indiquent comment télécharger la copie dans les magasins de confiance des nœuds de sécurité des données hybrides.
Le réseau hébergeant les nœuds HDS doit être configuré pour forcer le trafic TCP sortant sur le port 443 à passer par le proxy.
Les proxys qui inspectent le trafic Web peuvent interférer avec les connexions de socket Web. Si ce problème se produit, contournement (sans inspection) du trafic vers
wbx2.com
etciscospark.com
résoudra le problème.
Remplissez les prérequis pour la sécurité des données hybrides
1 | Vérifiez que votre organisation Webex est activée pour le Pack Pro pour Cisco Webex Control Hub et obtenez les identifiants d’un compte avec les droits d’administrateur de l’organisation complets. Contactez votre partenaire Cisco ou votre gestionnaire de compte pour obtenir de l’aide sur ce processus. | ||
2 | Choisissez un nom de domaine pour votre déploiement HDS (par exemple, | ||
3 | Préparez des hôtes virtuels identiques que vous configurerez en tant que nœuds de sécurité des données hybrides dans votre cluster. Vous avez besoin d'au moins deux hôtes distincts (3 recommandés) colocalisés dans le même centre de données sécurisé, qui répondent aux exigences de la section Exigences relatives à l'hôte virtuel. | ||
4 | Préparez le serveur de base de données qui servira de banque de données clé pour le cluster, conformément aux exigences du serveur de base de données. Le serveur de base de données doit être colocalisé dans le centre de données sécurisé avec les hôtes virtuels. | ||
5 | Pour une reprise rapide après sinistre, configurez un environnement de sauvegarde dans un autre centre de données. L’environnement de sauvegarde reflète l’environnement de production des machines virtuelles et d’un serveur de base de données de sauvegarde. Par exemple, si la production a 3 machines virtuelles exécutant des nœuds HDS, l'environnement de sauvegarde doit avoir 3 machines virtuelles. | ||
6 | Configurez un hôte syslog pour collecter les journaux à partir des nœuds du cluster. Collectez son adresse réseau et son port syslog (la valeur par défaut est UDP 514). | ||
7 | Créez une politique de sauvegarde sécurisée pour les nœuds de sécurité des données hybrides, le serveur de base de données et l'hôte syslog. Au minimum, pour éviter une perte de données irrécupérable, vous devez sauvegarder la base de données et le fichier ISO de configuration généré pour les nœuds de sécurité des données hybrides.
Les clients de l’application Webex mettent leurs clés en cache, de sorte qu’une panne ne sera peut-être pas immédiatement perceptible mais deviendra évidente au fil du temps. Si les pannes temporaires sont impossibles à prévenir, elles sont récupérables. Cependant, la perte complète (aucune sauvegarde disponible) de la base de données ou du fichier ISO de configuration entraînera des données client irrécupérables. Les opérateurs des nœuds de sécurité des données hybrides doivent maintenir des sauvegardes fréquentes de la base de données et du fichier ISO de configuration et être prêts à reconstruire le centre de données de sécurité des données hybrides en cas de panne catastrophique. | ||
8 | Assurez-vous que la configuration de votre pare-feu permet la connectivité pour vos nœuds de sécurité des données hybrides, comme indiqué dans Exigences de connectivité externe. | ||
9 | Installer Docker ( https://www.docker.com) sur n'importe quelle machine locale exécutant un système d'exploitation pris en charge (Microsoft Windows 10 Professional ou Enterprise 64 bits, ou Mac OSX Yosemite 10.10.3 ou version plus récente) avec un navigateur Web qui peut y accéder à l'adresse http://127.0.0.1:8080. Vous utilisez l'instance Docker pour télécharger et exécuter l'outil d'installation HDS, qui construit les informations de configuration locale pour tous les nœuds de sécurité des données hybrides. Votre organisation peut avoir besoin d’une licence Docker Desktop. Reportez-vous à la section Configuration minimale du bureau Docker pour plus d'informations. Pour installer et exécuter l'outil de configuration HDS, la machine locale doit disposer de la connectivité décrite dans Exigences de connectivité externe. | ||
10 | Si vous intégrez un proxy avec Hybrid Data Security, assurez-vous qu'il répond aux exigences du serveur proxy. | ||
11 | Si votre organisation utilise la synchronisation du répertoire, créez un groupe dans Active Directory appelé
|
Flux des tâches de déploiement de la sécurité des données hybrides
Avant de commencer
1 | Télécharger les fichiers d'installation Téléchargez le fichier OVA sur votre machine locale pour une utilisation ultérieure. | ||
2 | Créer une configuration ISO pour les hôtes HDS Utilisez l'outil de configuration HDS pour créer un fichier de configuration ISO pour les nœuds de sécurité des données hybrides. | ||
3 | Installer le fichier OVA de l'hôte HDS Créez une machine virtuelle à partir du fichier OVA et effectuez la configuration initiale, telle que les paramètres réseau.
| ||
4 | Configurer la machine virtuelle de sécurité des données hybrides Connectez-vous à la console VM et configurez les informations d'authentification de connexion. Configurez les paramètres réseau pour le nœud si vous ne les avez pas configurés au moment du déploiement OVA. | ||
5 | Télécharger et monter l'ISO de configuration HDS Configurez la machine virtuelle à partir du fichier de configuration ISO que vous avez créé avec l'outil d'installation HDS. | ||
6 | Configurer le nœud HDS pour l'intégration du proxy Si l'environnement réseau nécessite une configuration proxy, spécifiez le type de proxy que vous utiliserez pour le nœud et ajoutez le certificat proxy au magasin d'approbation si nécessaire. | ||
7 | Enregistrer le premier nœud dans le cluster Enregistrez la MV auprès du Cloud Cisco Webex en tant que nœud de sécurité des données hybrides. | ||
8 | Créer et enregistrer d'autres nœuds Terminez la configuration du cluster. | ||
9 | Lancer un essai et passer à la production (chapitre suivant) Jusqu'à ce que vous démarriez un essai, vos nœuds génèrent une alarme indiquant que votre service n'est pas encore activé. |
Télécharger les fichiers d'installation
1 | Connectez-vous à https://admin.webex.com, puis cliquez sur Services. | ||||
2 | Dans la section Services hybrides, recherchez la carte de sécurité des données hybrides, puis cliquez sur Configurer. Si la carte est désactivée ou si vous ne la voyez pas, contactez l’équipe de votre compte ou votre organisation partenaire. Donnez-leur votre numéro de compte et demandez à votre organisation d’activer la sécurité des données hybrides. Pour trouver le numéro de compte, cliquez sur l’engrenage en haut à droite, à côté du nom de votre organisation.
| ||||
3 | Sélectionnez Non pour indiquer que vous n’avez pas encore configuré le nœud, puis cliquez sur Suivant. Le fichier OVA commence automatiquement à se télécharger. Enregistrez le fichier à un emplacement sur votre machine.
| ||||
4 | Sinon, cliquez sur Ouvrir le guide de déploiement pour vérifier si une version ultérieure de ce guide est disponible. |
Créer une configuration ISO pour les hôtes HDS
Le processus de configuration de la sécurité des données hybrides crée un fichier ISO. Vous utilisez ensuite l'ISO pour configurer votre hôte Hybrid Data Security.
Avant de commencer
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cette machine. Le processus de configuration nécessite les informations d'identification d'un compte Control Hub avec des droits d'administrateur complets pour votre organisation.
Si l'outil de configuration HDS fonctionne derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lors de l'affichage du conteneur Docker à l'étape 5. Ce tableau donne quelques variables d'environnement possibles :
Description
Variable
proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT
Proxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT
proxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Proxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Le fichier ISO de configuration que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière copie de ce fichier chaque fois que vous effectuez des modifications de configuration, comme suit :
Identifiants de base de données
Mises à jour des certificats
Modification de la politique d’habilitation
Si vous prévoyez de chiffrer les connexions de base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
1 | Sur la ligne de commande de votre machine, saisissez la commande appropriée pour votre environnement : Dans les environnements normaux :
Dans les environnements FedRAMP :
| ||||||||||||
2 | Pour vous connecter au registre des images Docker, saisissez ce qui suit :
| ||||||||||||
3 | À l'invite du mot de passe, saisissez ce hachage :
| ||||||||||||
4 | Téléchargez la dernière image stable pour votre environnement : Dans les environnements normaux :
Dans les environnements FedRAMP :
| ||||||||||||
5 | Lorsque l'extraction est terminée, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d'exécution, le message « Serveur express à l'écoute sur le port 8080 » s'affiche. | ||||||||||||
6 |
Utilisez un navigateur Web pour accéder à l'hôte local, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié pour ce compte. L'outil affiche alors l'invite de connexion standard. | ||||||||||||
7 | Lorsque vous y êtes invité, saisissez vos identifiants de connexion d’administrateur client Control Hub, puis cliquez sur Se connecter pour autoriser l’accès aux services requis pour la sécurité des données hybrides. | ||||||||||||
8 | Sur la page d'aperçu de l'outil de configuration, cliquez sur Commencer. | ||||||||||||
9 | Sur la page Importation ISO, vous avez les options suivantes :
| ||||||||||||
10 | Vérifiez que votre certificat X.509 répond aux exigences de la section Exigences du certificat X.509.
| ||||||||||||
11 | Saisissez l'adresse de la base de données et le compte pour que HDS accède à votre banque de données clé : | ||||||||||||
12 | Sélectionnez un mode de connexion à la base de données TLS :
Lorsque vous téléchargez le certificat racine (si nécessaire) et cliquez sur Continuer, l'outil de configuration HDS teste la connexion TLS au serveur de base de données. L'outil vérifie également le signataire du certificat et le nom d'hôte, le cas échéant. Si un test échoue, l'outil affiche un message d'erreur décrivant le problème. Vous pouvez choisir d'ignorer l'erreur et de poursuivre l'installation. (En raison des différences de connectivité, les nœuds HDS peuvent être en mesure d'établir la connexion TLS même si la machine de l'outil de configuration HDS ne peut pas la tester avec succès.) | ||||||||||||
13 | Sur la page Journaux système, configurez votre serveur Syslogd : | ||||||||||||
14 | (Facultatif) Vous pouvez modifier la valeur par défaut de certains paramètres de connexion à la base de données dans Paramètres avancés. En général, ce paramètre est le seul que vous souhaitez modifier :
| ||||||||||||
15 | Cliquez sur Continuer sur l'écran Réinitialiser le mot de passe des comptes de service. Les mots de passe des comptes de service ont une durée de vie de neuf mois. Utilisez cet écran lorsque vos mots de passe arrivent à expiration ou que vous souhaitez les réinitialiser pour invalider les fichiers ISO précédents. | ||||||||||||
16 | Cliquez sur Télécharger le fichier ISO. Enregistrez le fichier dans un emplacement facile à trouver. | ||||||||||||
17 | Effectuez une copie de sauvegarde du fichier ISO sur votre système local. Gardez la copie de sauvegarde sécurisée. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limitez l'accès aux seuls administrateurs de sécurité des données hybrides qui doivent effectuer des modifications de configuration. | ||||||||||||
18 | Pour arrêter l'outil d'installation, tapez |
Que faire ensuite
Sauvegardez le fichier ISO de configuration. Vous en avez besoin pour créer plus de nœuds pour la récupération, ou pour effectuer des modifications de configuration. Si vous perdez toutes les copies du fichier ISO, vous avez également perdu la clé principale. Récupérer les clés de votre base de données PostgreSQL ou Microsoft SQL Server n'est pas possible.
Nous n'avons jamais de copie de cette clé et ne pouvons pas vous aider si vous la perdez. |
Installer le fichier OVA de l'hôte HDS
1 | Utilisez le client VMware vSphere sur votre ordinateur pour vous connecter à l'hôte virtuel ESXi. | ||||||
2 | Sélectionnez FichierDéployer le modèle OVF… | ||||||
3 | Dans l'assistant, spécifiez l'emplacement du fichier OVA que vous avez téléchargé précédemment, puis cliquez sur Suivant. | ||||||
4 | Sur le Sélectionner un nom et un dossier page , saisir un Nom de la machine virtuelle pour le nœud (par exemple, « HDS_Node_1 »), choisissez un emplacement où le déploiement du nœud de la machine virtuelle peut résider, puis cliquez sur Suivant. | ||||||
5 | Sur le Sélectionner une ressource de calcul page , choisissez la ressource de calcul de destination, puis cliquez sur Suivant. Un contrôle de validation est effectué. Une fois terminé, les détails du modèle s'affichent. | ||||||
6 | Vérifiez les détails du modèle, puis cliquez sur Suivant. | ||||||
7 | Si vous êtes invité à choisir la configuration de la ressource sur le Configuration page , cliquez sur 4 UNITÉS CENTRALES puis cliquez sur Suivant. | ||||||
8 | Sur le Sélectionner le stockage page , cliquez sur Suivant pour accepter le format disque par défaut et la politique de stockage des machines virtuelles. | ||||||
9 | Sur le Sélectionner les réseaux, choisissez l’option réseau dans la liste des entrées pour fournir la connectivité souhaitée à la machine virtuelle. | ||||||
10 | Sur la page Personnaliser le modèle, configurez les paramètres réseau suivants :
Si vous préférez, vous pouvez ignorer la configuration du paramètre réseau et suivre les étapes de Configurer la machine virtuelle de sécurité des données hybrides pour configurer les paramètres à partir de la console du nœud.
| ||||||
11 | Faites un clic droit sur la MV du nœud, puis choisissez .Le logiciel de sécurité des données hybrides est installé en tant qu'invité sur l'hôte VM. Vous êtes maintenant prêt à vous connecter à la console et à configurer le nœud. Astuces de dépannage Vous pouvez rencontrer un délai de quelques minutes avant que les conteneurs du nœud affluent. Un message du pare-feu pont apparaît sur la console lors du premier démarrage, au cours de laquelle vous ne pouvez pas vous connecter. |
Configurer la machine virtuelle de sécurité des données hybrides
Utilisez cette procédure pour vous connecter à la console VM du nœud de sécurité des données hybrides pour la première fois et définir les informations d'authentification de connexion. Vous pouvez également utiliser la console pour configurer les paramètres réseau pour le nœud si vous ne les avez pas configurés au moment du déploiement OVA.
1 | Dans le client VMware vSphere, sélectionnez votre VM de nœud de sécurité des données hybrides et sélectionnez l'onglet Console. La machine virtuelle démarre et une invite de connexion apparaît. Si l'invite de connexion ne s'affiche pas, appuyez sur Entrée.
|
2 | Utilisez les identifiants et mots de passe par défaut suivants pour vous connecter et modifier les informations d'authentification : Puisque vous vous connectez à votre machine virtuelle pour la première fois, vous devez changer le mot de passe administrateur. |
3 | Si vous avez déjà configuré les paramètres réseau dans Installer le fichier OVA de l'hôte HDS, ignorez le reste de cette procédure. Sinon, dans le menu principal, sélectionnez l'option Modifier la configuration. |
4 | Configurez une configuration statique avec l'adresse IP, le masque, la passerelle et les informations DNS. Votre nœud doit avoir une adresse IP interne et un nom DNS. DHCP n'est pas pris en charge. |
5 | (Facultatif) Modifiez le nom d'hôte, le domaine ou le(s) serveur(s) NTP, si nécessaire pour correspondre à votre stratégie réseau. Vous n'avez pas besoin de définir le domaine pour qu'il corresponde au domaine que vous avez utilisé pour obtenir le certificat X.509. |
6 | Enregistrez la configuration réseau et redémarrez la machine virtuelle pour que les modifications soient prises en compte. |
Télécharger et monter l'ISO de configuration HDS
Avant de commencer
Étant donné que le fichier ISO contient la clé principale, il ne doit être exposé que sur la base du « besoin d’en connaître », pour l’accès des machines virtuelles de sécurité des données hybrides et des administrateurs qui pourraient avoir besoin d’effectuer des modifications. Assurez-vous que seuls ces administrateurs peuvent accéder à la banque de données.
1 | Téléchargez le fichier ISO depuis votre ordinateur : |
2 | Monter le fichier ISO : |
Que faire ensuite
Si votre politique informatique le nécessite, vous pouvez éventuellement démonter le fichier ISO une fois que tous vos nœuds auront pris en compte les modifications de configuration. Voir (Facultatif) Démonter l'ISO après la configuration HDS pour plus de détails.
Configurer le nœud HDS pour l'intégration du proxy
Si l'environnement réseau nécessite un proxy, utilisez cette procédure pour spécifier le type de proxy que vous souhaitez intégrer à la sécurité des données hybrides. Si vous choisissez un proxy d'inspection transparent ou un proxy explicite HTTPS, vous pouvez utiliser l'interface du nœud pour télécharger et installer le certificat racine. Vous pouvez également vérifier la connexion proxy à partir de l'interface et résoudre les problèmes potentiels.
Avant de commencer
Voir Prise en charge du proxy pour un aperçu des options de proxy prises en charge.
1 | Saisissez l’URL de configuration du nœud HDS |
2 | Allez dans Trust Store & Proxy, puis choisissez une option :
Suivez les étapes suivantes pour un proxy d'inspection transparent, un proxy explicite HTTP avec authentification de base ou un proxy explicite HTTPS. |
3 | Cliquez sur Télécharger un certificat racine ou un certificat d'entité finale, puis naviguez jusqu'à choisir le certificat racine pour le proxy. Le certificat est téléchargé mais pas encore installé car vous devez redémarrer le nœud pour installer le certificat. Cliquez sur la flèche en chevron située à côté du nom de l'émetteur du certificat pour obtenir plus de détails ou cliquez sur Supprimer si vous avez fait une erreur et souhaitez recharger le fichier. |
4 | Cliquez sur Vérifier la connexion proxy pour tester la connectivité réseau entre le nœud et le proxy. Si le test de connexion échoue, vous voyez un message d'erreur qui indique la raison et comment vous pouvez corriger le problème. Si vous voyez un message indiquant que la résolution DNS externe n'a pas réussi, le nœud n'a pas pu atteindre le serveur DNS. Cette condition est attendue dans de nombreuses configurations de proxy explicites. Vous pouvez continuer avec la configuration et le nœud fonctionnera en mode de résolution DNS externe bloquée. Si vous pensez qu'il s'agit d'une erreur, procédez comme suit, puis consultez Désactiver le mode de résolution DNS externe bloqué. |
5 | Une fois le test de connexion réussi, pour le proxy explicite défini sur https uniquement, activez le commutateur pour Router toutes les demandes https du port 443/444 de ce nœud via le proxy explicite. Ce paramètre nécessite 15 secondes pour prendre effet. |
6 | Cliquez sur Installer tous les certificats dans le Trust Store (s'affiche pour un proxy explicite HTTPS ou un proxy d'inspection transparent) ou Redémarrer (s'affiche pour un proxy explicite HTTP), lisez l'invite, puis cliquez sur Installer si vous êtes prêt. Le nœud redémarre en quelques minutes. |
7 | Après le redémarrage du nœud, connectez-vous à nouveau si nécessaire, puis ouvrez la page Aperçu pour vérifier les vérifications de connectivité et vous assurer qu'elles sont toutes en vert. La vérification de la connexion proxy teste uniquement un sous-domaine de webex.com. S'il y a des problèmes de connectivité, un problème courant est que certains des domaines du Cloud répertoriés dans les instructions d'installation sont bloqués au niveau du proxy. |
Enregistrer le premier nœud dans le cluster
Lorsque vous enregistrez votre premier, créer un nœud du cluster auquel est affectée. Un cluster contient un ou plusieurs nœuds déployés pour fournir une redondance.
Avant de commencer
Lorsque vous commencez l'Enregistrement de nœud, vous devez le terminer dans 60 minutes ou vous devrez recommencer.
Vérifiez que tous les bloqueurs de pop-up dans votre navigateur sont désactivés ou que vous autorisez une exception pour admin.webex.com.
1 | Connectez-vous à https://admin.webex.com. |
2 | Dans le menu situé à gauche de l'écran, sélectionnez de services . |
3 | Dans la section Services hybrides, recherchez Sécurité des données hybrides et cliquez sur Configurer. La page Enregistrer le nœud de sécurité des données hybrides s'affiche.
|
4 | Sélectionnez Oui pour indiquer que vous avez configuré le nœud et que vous êtes prêt à l'enregistrer, puis cliquez sur Suivant. |
5 | Dans le premier champ, saisissez un nom pour le cluster auquel vous souhaitez affecter votre nœud de sécurité des données hybrides. Nous vous recommandons lorsque le nom de cluster sur les nœuds du cluster sont limités géographiquement. Exemples : "San Francisco" ou "New York" ou "Dallas" |
6 | Dans le second champ, saisissez l'adresse IP interne ou le nom de domaine complet (FDQN) de votre nœud et cliquez sur Suivant. Cette adresse IP ou FQDN doit correspondre à l'adresse IP ou au nom d'hôte et au domaine que vous avez utilisés dans Configurer la machine virtuelle de sécurité des données hybrides. Un message s'affiche indiquant que vous pouvez enregistrer votre nœud sur Webex.
|
7 | Cliquez sur Aller sur le noeud. |
8 | Cliquez sur Continuer dans la message. Après quelques instants, vous êtes redirigé vers les tests de connectivité du nœud pour les services Webex. Si tous les tests ont réussi, la page Autoriser l'accès au nœud de sécurité des données hybrides s'affiche. Là, vous confirmez que vous souhaitez accorder des autorisations à votre organisation Webex pour accéder à votre nœud.
|
9 | Cochez la case Autoriser l'accès à votre nœud de sécurité des données hybrides, puis cliquez sur Continuer. Votre compte est validé et le message « Inscription terminée » indique que votre nœud est maintenant enregistré sur le Cloud Webex.
|
10 | Cliquez sur le lien ou fermez l’onglet pour revenir à la page Sécurité des données hybrides du Control Hub. Sur la page Sécurité des données hybrides, le nouveau cluster contenant le nœud que vous avez enregistré s'affiche. Le nœud téléchargera automatiquement le dernier logiciel à partir du Cloud.
|
Créer et enregistrer d'autres nœuds
À l'heure actuelle, les machines virtuelles de sauvegarde que vous avez créées dans Terminer les prérequis pour la sécurité des données hybrides sont des hôtes de secours qui ne sont utilisés qu'en cas de reprise après sinistre ; elles ne sont pas enregistrées sur le système jusque-là. Pour plus de détails, voir Reprise après sinistre à l'aide du centre de données de secours. |
Avant de commencer
Lorsque vous commencez l'Enregistrement de nœud, vous devez le terminer dans 60 minutes ou vous devrez recommencer.
Vérifiez que tous les bloqueurs de pop-up dans votre navigateur sont désactivés ou que vous autorisez une exception pour admin.webex.com.
1 | Créez une nouvelle machine virtuelle à partir du fichier OVA, en répétant les étapes dans Installer le fichier OVA de l'hôte HDS. |
2 | Configurez la configuration initiale sur la nouvelle machine virtuelle, en répétant les étapes décrites dans Configurer la machine virtuelle de sécurité des données hybrides. |
3 | Sur la nouvelle machine virtuelle, répétez les étapes décrites dans Charger et monter l'ISO de configuration HDS. |
4 | Si vous configurez un proxy pour votre déploiement, répétez les étapes de Configurer le nœud HDS pour l'intégration du proxy si nécessaire pour le nouveau nœud. |
5 | Enregistrer le nœud. Votre nœud est enregistré. Notez que jusqu'à ce que vous démarriez un essai, vos nœuds génèrent une alarme indiquant que votre service n'est pas encore activé.
|
Que faire ensuite
Flux des tâches d'essai à production
Après avoir configuré un cluster de sécurité des données hybrides, vous pouvez démarrer un pilote, y ajouter des utilisateurs et commencer à l'utiliser pour tester et vérifier votre déploiement en vue de la mise en production.
Avant de commencer
1 | Le cas échéant, synchronisez le Si votre organisation utilise la synchronisation du répertoire pour les utilisateurs, vous devez sélectionner le |
2 |
Démarrer un essai. Jusqu'à ce que vous effectuiez cette tâche, vos nœuds génèrent une alarme indiquant que le service n'est pas encore activé. |
3 | Tester votre déploiement de sécurité des données hybrides Vérifiez que les demandes clés sont transmises à votre déploiement de sécurité des données hybrides. |
4 | Surveiller la santé de la sécurité des données hybrides Vérifiez le statut et configurez les notifications par courrier électronique pour les alarmes. |
5 | |
6 | Terminez la phase d’essai avec l’une des actions suivantes : |
Activer l’essai
Avant de commencer
Si votre organisation utilise la synchronisation du répertoire pour les utilisateurs, vous devez sélectionner le HdsTrialGroup
objet de groupe pour la synchronisation vers le Cloud avant de pouvoir démarrer un essai pour votre organisation. Pour des instructions, reportez-vous au Guide de déploiement de Cisco Directory Connector.
1 | Connectez-vous à https://admin.webex.com, puis sélectionnez Services. |
2 | Sous Sécurité des données hybrides, cliquez sur Paramètres. |
3 | Dans la section Service Status, cliquez sur Start Trial. L'état du service passe en mode d'évaluation.
|
4 | Cliquez sur Ajouter des utilisateurs et saisissez l'adresse électronique d'un ou plusieurs utilisateurs à utiliser vos nœuds de sécurité des données hybrides pour les services de chiffrement et d'indexation. (Si votre organisation utilise la synchronisation du répertoire, utilisez Active Directory pour gérer le groupe d'essai, |
Tester votre déploiement de sécurité des données hybrides
Avant de commencer
Configurez votre déploiement de sécurité des données hybrides.
Activez la version d’évaluation et ajoutez plusieurs utilisateurs de la version d’évaluation.
Assurez-vous que vous avez accès au syslog pour vérifier que les demandes de clés sont transmises à votre déploiement de sécurité des données hybrides.
1 | Les clés d’un espace donné sont définies par le créateur de l’espace. Connectez-vous à l’application Webex en tant qu’un des utilisateurs pilotes, puis créez un espace et invitez au moins un utilisateur pilote et un utilisateur non pilote.
| ||
2 | Envoyer des messages au nouvel espace. | ||
3 | Vérifiez la sortie syslog pour vérifier que les demandes de clés sont transmises à votre déploiement de sécurité des données hybrides. |
Surveiller la santé de la sécurité des données hybrides
1 | Dans Control Hub, sélectionnez Services dans le menu situé à gauche de l’écran. |
2 | Dans la section Services hybrides, recherchez Sécurité des données hybrides et cliquez sur Paramètres. La page Paramètres de sécurité des données hybrides s'affiche.
|
3 | Dans la section Notifications par courrier électronique, saisissez une ou plusieurs adresses électroniques séparées par des virgules, puis appuyez sur Entrée. |
Ajouter ou supprimer des utilisateurs de votre essai
Si vous supprimez un utilisateur de la version d'évaluation, le client de l'utilisateur demandera des clés et la création de clés à partir du KMS du Cloud au lieu de votre KMS. Si le client a besoin d'une clé stockée sur votre KMS, le KMS cloud la récupérera pour le compte de l'utilisateur.
Si votre organisation utilise la synchronisation du répertoire, utilisez Active Directory (au lieu de cette procédure) pour gérer le groupe d’essai, HdsTrialGroup
; vous pouvez afficher les membres du groupe dans le Control Hub mais vous ne pouvez pas les ajouter ou les supprimer.
1 | Connectez-vous au Control Hub, puis sélectionnez Services. |
2 | Sous Sécurité des données hybrides, cliquez sur Paramètres. |
3 | Dans la section Mode d'essai de la zone Statut du service, cliquez sur Ajouter des utilisateurs, ou cliquez sur Afficher et modifier pour supprimer des utilisateurs de l'essai. |
4 | Saisissez l'adresse électronique d'un ou plusieurs utilisateurs à ajouter, ou cliquez sur le X d'un ID utilisateur pour supprimer l'utilisateur de l'essai. Cliquez ensuite sur Enregistrer . |
Passer de l'essai à la production
1 | Connectez-vous au Control Hub, puis sélectionnez Services. |
2 | Sous Sécurité des données hybrides, cliquez sur Paramètres. |
3 | Dans la section Service Status, cliquez sur Move to Production. |
4 | Confirmez que vous souhaitez déplacer tous vos utilisateurs vers la production. |
Mettre fin à votre essai sans passer à la production
1 | Connectez-vous au Control Hub, puis sélectionnez Services. |
2 | Sous Sécurité des données hybrides, cliquez sur Paramètres. |
3 | Dans la section Désactiver, cliquez sur Désactiver. |
4 | Confirmez que vous souhaitez désactiver le service et mettre fin à l’essai. |
Gérer le déploiement HDS
Utilisez les tâches décrites ici pour gérer votre déploiement de sécurité des données hybrides.
Configurer le calendrier de mise à niveau du cluster
Pour définir le calendrier de mise à niveau :
1 | Connectez-vous au Control Hub. |
2 | Sur la page Aperçu, sous Services hybrides, sélectionnez Sécurité des données hybrides. |
3 | Sur la page Ressources de sécurité des données hybrides, sélectionnez le cluster. |
4 | Dans le panneau Aperçu sur la droite, sous Paramètres du cluster, sélectionnez le nom du cluster. |
5 | Sur la page Paramètres, sous Mise à jour, sélectionnez l'heure et le fuseau horaire pour la programmation de la mise à jour. Remarque : Sous le fuseau horaire, la date et l'heure de mise à niveau suivantes s'affichent. Vous pouvez reporter la mise à jour le jour suivant, si nécessaire, en cliquant sur Reporter. |
Modifier la configuration du nœud
Modification des certificats x.509 en raison de leur expiration ou pour d'autres raisons.
Nous ne prenons pas en charge la modification du nom de domaine CN d'un certificat. Le domaine doit correspondre au domaine d'origine utilisé pour enregistrer le cluster.
Mise à jour des paramètres de la base de données pour passer à une réplique de la base de données PostgreSQL ou Microsoft SQL Server.
Nous ne prenons pas en charge la migration des données de PostgreSQL vers Microsoft SQL Server, ou l'inverse. Pour changer l'environnement de la base de données, démarrez un nouveau déploiement de la sécurité des données hybrides.
Création d'une nouvelle configuration pour préparer un nouveau centre de données.
Pour des raisons de sécurité, la sécurité des données hybrides utilise les mots de passe du compte de service ayant une durée de validité de 9 mois. L'outil de configuration HDS génère ces mots de passe et vous les déployez sur chacun de vos nœuds HDS dans le cadre du fichier de configuration ISO. Lorsque l'expiration des mots de passe de votre organisation approche, vous recevez un « Avis d'expiration du mot de passe » de Webex Teams, vous demandant de réinitialiser le mot de passe du compte de votre machine. (L'e-mail comprend le texte « Utiliser l' API du compte machine pour mettre à jour le mot de passe. ») Si vos mots de passe n'ont pas encore expiré, l'outil vous propose deux options :
Réinitialisation logicielle : l’ancien et le nouveau mot de passe fonctionnent tous les deux jusqu’à 10 jours. Utilisez cette période pour remplacer progressivement le fichier ISO sur les nœuds.
Réinitialisation matérielle : les anciens mots de passe cessent de fonctionner immédiatement.
Si vos mots de passe expirent sans réinitialisation, cela a un impact sur votre service HDS, nécessitant une réinitialisation matérielle immédiate et le remplacement du fichier ISO sur tous les nœuds.
Utilisez cette procédure pour générer un nouveau fichier ISO de configuration et l'appliquer à votre cluster.
Avant de commencer
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cette machine. Le processus de configuration nécessite les informations d'identification d'un compte Control Hub avec des droits d'administrateur complets pour votre organisation.
Si l'outil de configuration HDS fonctionne derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lors de l'affichage du conteneur Docker dans 1.e. Ce tableau donne quelques variables d'environnement possibles :
Description
Variable
proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT
Proxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT
proxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Proxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Vous devez avoir une copie du fichier ISO de configuration actuel pour générer une nouvelle configuration. L'ISO contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de l'ISO lorsque vous apportez des modifications à la configuration, y compris les informations d'identification de la base de données, les mises à jour de certificats ou les modifications apportées à la stratégie d'autorisation.
1 | En utilisant le Docker sur un ordinateur local, exécutez l’outil d’installation HDS. |
2 | Si vous n'avez qu'un nœud HDS en cours d'exécution, créez un nouveau nœud virtuel MV et enregistrez-le à l'aide du nouveau fichier ISO de configuration. Pour des instructions plus détaillées, voir Créer et enregistrer d'autres nœuds. |
3 | Pour les nœuds HDS existants qui exécutent l'ancien fichier de configuration, montez le fichier ISO. Effectuez la procédure suivante sur chaque nœud à tour de rôle, en mettant à jour chaque nœud avant de désactiver le nœud suivant : |
4 | répétez l'étape 3 pour remplacer la configuration sur chaque nœud restant qui exécute l'ancienne configuration. |
Désactiver le mode de résolution DNS externe bloqué
Lorsque vous enregistrez un nœud ou vérifiez la configuration du proxy du nœud, le processus teste la recherche DNS et la connectivité au Cloud Cisco Webex. Si le serveur DNS du nœud ne peut pas résoudre les noms DNS publics, le nœud passe automatiquement en mode de résolution DNS externe bloquée.
Si vos nœuds sont en mesure de résoudre les noms DNS publics via des serveurs DNS internes, vous pouvez désactiver ce mode en réexécutant le test de connexion proxy sur chaque nœud.
Avant de commencer
1 | Dans un navigateur Web, ouvrez l'interface du nœud de sécurité des données hybrides (adresse IP/configuration, par exemple, https://192.0.2.0/setup), saisissez les informations d'authentification d'administrateur que vous avez configurées pour le nœud, puis cliquez sur Connexion. |
2 | Allez à Aperçu (la page par défaut). Lorsqu'elle est activée, Résolution DNS externe bloquée est défini sur Oui . |
3 | Rendez-vous sur la page Trust Store & Proxy. |
4 | Cliquez sur Vérifier la connexion au proxy. Si vous voyez un message indiquant que la résolution DNS externe n'a pas réussi, le nœud n'a pas pu atteindre le serveur DNS et restera dans ce mode. Sinon, après avoir redémarré le nœud et revenir à la page Aperçu, la résolution DNS externe bloquée doit être définie sur non. |
Que faire ensuite
Supprimer un nœud
1 | Utilisez le client VMware vSphere sur votre ordinateur pour vous connecter à l'hôte virtuel ESXi et éteindre la machine virtuelle. |
2 | Supprimer le nœud : |
3 | Dans le client vSphere, supprimez la VM. (Dans le volet de navigation de gauche, faites un clic droit sur la VM et cliquez sur Supprimer.) Si vous ne supprimez pas la machine virtuelle, n'oubliez pas de démonter le fichier ISO de configuration. Sans le fichier ISO, vous ne pouvez pas utiliser la machine virtuelle pour accéder à vos données de sécurité. |
Récupération après sinistre à l'aide du centre de données en attente
Le service le plus critique fourni par votre cluster de sécurité des données hybrides est la création et le stockage des clés utilisées pour chiffrer les messages et autres contenus stockés dans le Cloud Webex. Pour chaque utilisateur de l’organisation affecté à la sécurité des données hybrides, les nouvelles demandes de création de clés sont acheminées vers le cluster. Le cluster est également responsable de retourner les clés qu'il a créées à tous les utilisateurs autorisés à les récupérer, par exemple, les membres d'un espace de conversation.
Étant donné que le cluster remplit la fonction critique de fournir ces clés, il est impératif que le cluster continue de fonctionner et que des sauvegardes adéquates soient maintenues. La perte de la base de données Hybrid Data Security ou de l’ISO de configuration utilisé pour le schéma entraînera une PERTE IRRÉCUPÉRABLE de contenu client. Les pratiques suivantes sont obligatoires pour prévenir une telle perte :
Si un sinistre provoque l'indisponibilité du déploiement HDS dans le centre de données principal, suivez cette procédure pour basculer manuellement vers le centre de données de secours.
1 | Démarrez l'outil de configuration HDS et suivez les étapes mentionnées dans Créer une configuration ISO pour les hôtes HDS. | ||
2 | Après avoir configuré le serveur Syslogd, cliquez sur Paramètres avancés | ||
3 | Sur la page Paramètres avancés, ajoutez la configuration ci-dessous ou supprimez le
| ||
4 | Terminez le processus de configuration et enregistrez le fichier ISO dans un emplacement facile à trouver. | ||
5 | Effectuez une copie de sauvegarde du fichier ISO sur votre système local. Gardez la copie de sauvegarde sécurisée. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limitez l'accès aux seuls administrateurs de sécurité des données hybrides qui doivent effectuer des modifications de configuration. | ||
6 | Dans le volet de navigation gauche du client VMware vSphere, faites un clic droit sur la VM et cliquez sur Edit Settings.. | ||
7 | Cliquez sur Edit Settings >CD/DVD Drive 1 et sélectionnez Datastore ISO File.
| ||
8 | Mettez le nœud HDS sous tension et assurez-vous qu'il n'y a pas d'alarmes pendant au moins 15 minutes. | ||
9 | Répétez le processus pour chaque nœud du centre de données en veille.
|
Que faire ensuite
(Facultatif) Démonter l'ISO après la configuration HDS
La configuration HDS standard s'exécute avec l'ISO monté. Mais certains clients préfèrent ne pas laisser des fichiers ISO montés en continu. Vous pouvez démonter le fichier ISO une fois que tous les nœuds HDS ont récupéré la nouvelle configuration.
Vous utilisez toujours les fichiers ISO pour effectuer des modifications de configuration. Lorsque vous créez un nouvel ISO ou mettez à jour un ISO via l'outil de configuration, vous devez monter l'ISO mis à jour sur tous vos nœuds HDS. Une fois que tous vos nœuds ont capté les modifications de configuration, vous pouvez démonter l'ISO à nouveau avec cette procédure.
Avant de commencer
Effectuez la mise à niveau de tous vos nœuds HDS vers la version 2021.01.22.4720 ou ultérieure.
1 | Arrêtez l'un de vos nœuds HDS. |
2 | Dans vCenter Server Appliance, sélectionnez le nœud HDS. |
3 | Choisissez Fichier ISO Datastore. et décocher |
4 | Mettez le nœud HDS sous tension et assurez-vous qu'il n'y a pas d'alarmes pendant au moins 20 minutes. |
5 | Répétez l'opération pour chaque nœud HDS. |
Afficher les alertes et dépannage
Un déploiement de sécurité des données hybrides est considéré comme indisponible si tous les nœuds du cluster sont inaccessibles, ou si le cluster fonctionne si lentement qu'il demande un délai d'expiration. Si les utilisateurs ne peuvent pas atteindre votre cluster de sécurité des données hybrides, ils présentent les symptômes suivants :
Les nouveaux espaces ne peuvent pas être créés (impossible de créer de nouvelles clés)
Les messages et les titres des espaces ne parviennent pas à être déchiffrés pour :
Nouveaux utilisateurs ajoutés à un espace (impossible de récupérer les clés)
Utilisateurs existants dans un espace utilisant un nouveau client (impossible de récupérer les clés)
Les utilisateurs existants dans un espace continueront à fonctionner avec succès tant que leurs clients ont un cache des clés de chiffrement
Il est important que vous surveilliez correctement votre cluster de sécurité des données hybrides et que vous répondiez rapidement à toutes les alertes pour éviter toute interruption de service.
Alertes
S’il y a un problème avec la configuration de la sécurité des données hybrides, le Control Hub affiche des alertes à l’administrateur de l’organisation et envoie des courriers électroniques à l’adresse électronique configurée. Les alertes couvrent de nombreux scénarios courants.
Alerte | Action |
---|---|
Échec de l'accès à la base de données locale. |
Vérifiez les erreurs de base de données ou les problèmes de réseau local. |
Échec de connexion à la base de données locale. |
Vérifiez que le serveur de base de données est disponible et que les bons identifiants de compte de service ont été utilisés dans la configuration du nœud. |
Échec de l’accès au service Cloud. |
Vérifiez que les nœuds peuvent accéder aux serveurs Webex comme spécifié dans Exigences de connectivité externe. |
Renouvellement de l’inscription au service cloud. |
L’inscription aux services du Cloud a été supprimée. Le renouvellement de l’inscription est en cours. |
L’enregistrement du service Cloud a été abandonné. |
L’inscription aux services du Cloud a pris fin. Le service s'arrête. |
Le service n'est pas encore activé. |
Activez un essai ou terminez le déplacement de l'essai en production. |
Le domaine configuré ne correspond pas au certificat du serveur. |
Vérifiez que le certificat de votre serveur correspond au domaine d'activation du service configuré. La cause la plus probable est que le NC du certificat a récemment été modifié et est maintenant différent du NC qui a été utilisé lors de l'installation initiale. |
Échec de l’authentification aux services du Cloud. |
Vérifiez l'exactitude et l'expiration possible des informations d'authentification du compte de service. |
Impossible d’ouvrir le fichier du magasin de clés local. |
Vérifiez l'intégrité et l'exactitude du mot de passe sur le fichier du magasin de clés local. |
Le certificat du serveur local n'est pas valide. |
Vérifiez la date d'expiration du certificat du serveur et confirmez qu'il a été émis par une autorité de certification approuvée. |
Impossible de publier les mesures. |
Vérifiez l’accès du réseau local aux services de cloud externes. |
Le répertoire /media/configdrive/hds n'existe pas. |
Vérifiez la configuration du montage ISO sur l'hôte virtuel. Vérifiez que le fichier ISO existe, qu'il est configuré pour être monté au redémarrage et qu'il est monté avec succès. |
Dépannage de la sécurité des données hybrides
1 | Vérifiez le Control Hub pour toutes les alertes et corrigez tous les éléments que vous y trouvez. |
2 | Vérifiez la sortie du serveur syslog pour l'activité du déploiement de sécurité des données hybrides. |
3 | Contactez l’assistance Cisco. |
Problèmes connus pour la sécurité des données hybrides
Si vous arrêtez votre cluster de sécurité des données hybrides (en le supprimant dans le Control Hub ou en fermant tous les nœuds), perdez votre fichier ISO de configuration ou perdez l’accès à la base de données keystore, vos utilisateurs de l’application Webex ne peuvent plus utiliser les espaces de leur liste de personnes qui ont été créés avec les clés de votre KMS. Cela s’applique aussi bien aux déploiements d’essai qu’aux déploiements de production. Nous n'avons actuellement pas de solution de contournement ou de solution pour ce problème et vous invitons à ne pas fermer vos services HDS une fois qu'ils traitent des comptes utilisateurs actifs.
Un client qui dispose d'une connexion ECDH existante à un KMS conserve cette connexion pendant un certain temps (probablement une heure). Lorsqu'un utilisateur devient membre d'un essai de sécurité des données hybrides, le client de l'utilisateur continue à utiliser la connexion ECDH existante jusqu'à ce qu'elle expire. Sinon, l’utilisateur peut se déconnecter et se reconnecter à l’application Webex pour mettre à jour l’emplacement que l’application contacte pour les clés de chiffrement.
Le même comportement se produit lorsque vous déplacez un essai en production pour l’organisation. Tous les utilisateurs sans essai ayant des connexions ECDH existantes aux services de sécurité des données précédents continueront d'utiliser ces services jusqu'à ce que la connexion ECDH soit renégociée (par expiration ou déconnexion et retour).
Utiliser OpenSSL pour générer un fichier PKCS12
Avant de commencer
OpenSSL est un outil qui peut être utilisé pour faire le fichier PKCS12 au format approprié pour le chargement dans l'outil de configuration HDS. Il y a d'autres façons de le faire, et nous ne soutenons ni ne promouvons d'une manière plutôt que d'une autre.
Si vous choisissez d'utiliser OpenSSL, nous fournissons cette procédure comme ligne directrice pour vous aider à créer un fichier qui répond aux exigences de certificat X.509 dans Exigences de certificat X.509. Comprenez ces exigences avant de continuer.
Installer OpenSSL dans un environnement pris en charge. Voir https://www.openssl.org pour le logiciel et la documentation.
Créer une clé privée.
Démarrez cette procédure lorsque vous recevez le certificat du serveur de votre autorité de certification (AC).
1 | Lorsque vous recevez le certificat du serveur de votre autorité de certification, enregistrez-le sous |
2 | Affichez le certificat sous forme de texte et vérifiez les détails.
|
3 | Utilisez un éditeur de texte pour créer un fichier d'ensemble de certificats appelé
|
4 | Créez le fichier .p12 avec le nom convivial
|
5 | Vérifiez les détails du certificat du serveur. |
Que faire ensuite
Retournez à Remplir les conditions préalables à la sécurité des données hybrides. Vous utiliserez le hdsnode.p12
et le mot de passe que vous avez défini pour celui-ci, dans Créer une configuration ISO pour les hôtes HDS.
Vous pouvez réutiliser ces fichiers pour demander un nouveau certificat lorsque le certificat d'origine expire. |
Trafic entre les nœuds HDS et le Cloud
Trafic de collecte des métriques sortantes
Les nœuds de sécurité des données hybrides envoient certaines mesures au Cloud Webex. Ceux-ci comprennent des mesures système pour le maximum de tas, le tas utilisé, la charge du CPU et le nombre de threads ; des mesures sur les threads synchrones et asynchrones ; des mesures sur les alertes impliquant un seuil de connexions de chiffrement, la latence ou la longueur d'une file d'attente de demandes ; des mesures sur la banque de données ; et des mesures de connexion de chiffrement. Les nœuds envoient du matériel de clé chiffrée sur un canal hors bande (séparé de la demande).
Trafic entrant
Les nœuds de sécurité des données hybrides reçoivent les types de trafic entrant suivants à partir du Cloud Webex :
Demandes de chiffrement des clients, qui sont acheminées par le service de chiffrement
Mises à niveau du logiciel du nœud
Configurer des proxys Squid pour la sécurité des données hybrides
Websocket ne peut pas se connecter via le proxy Squid
Les proxys SQUID qui inspectent le trafic HTTPS peuvent interférer avec l'établissement de websocket ( wss:
) les connexions requises par Hybrid Data Security. Ces sections donnent des conseils sur la façon de configurer différentes versions de Squid à ignorer wss:
le trafic pour le bon fonctionnement des services.
Calamars 4 et 5
Ajouter le on_unsupported_protocol
directive à squid.conf
:
on_unsupported_protocol tunnel all
Calamar 3.5.27
Nous avons testé avec succès la sécurité des données hybrides avec les règles suivantes ajoutées à squid.conf
. Ces règles sont susceptibles d’être modifiées au fur et à mesure que nous développons des fonctionnalités et mettons à jour le Cloud Webex.
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all
Informations nouvelles et modifiées
Date | Modifications effectuées | ||
---|---|---|---|
20 octobre 2023 |
| ||
07 août 2023 |
| ||
23 mai 2023 |
| ||
06 décembre 2022 |
| ||
23 novembre 2022 |
| ||
13 octobre 2021 | Docker Desktop doit exécuter un programme d'installation avant de pouvoir installer les nœuds HDS. Voir Configuration minimale du bureau Docker. | ||
24 juin 2021 | Notez que vous pouvez réutiliser le fichier de clé privée et le CSR pour demander un autre certificat. Voir Utiliser OpenSSL pour générer un fichier PKCS12 pour plus de détails. | ||
30 avril 2021 | Modification de l'exigence de la machine virtuelle pour l'espace du disque dur local à 30 Go. Voir Exigences relatives à l'organisateur virtuel pour plus de détails. | ||
24 février 2021 | L'outil de configuration HDS peut maintenant s'exécuter derrière un proxy. Voir Créer une configuration ISO pour les hôtes HDS pour plus de détails. | ||
2 février 2021 | HDS peut maintenant fonctionner sans fichier ISO monté. Voir (Facultatif) Démonter l'ISO après la configuration HDS pour plus de détails. | ||
11 janvier 2021 | Ajout d'informations sur l'outil de configuration HDS et les proxys pour Créer une configuration ISO pour les hôtes HDS. | ||
13 octobre 2020 | Mise à jour de Télécharger les fichiers d'installation. | ||
8 octobre 2020 | Mise à jour de Créer une configuration ISO pour les hôtes HDS et Modifier la configuration du nœud avec les commandes pour les environnements FedRAMP. | ||
14 août 2020 | Mise à jour de Créer une configuration ISO pour les hôtes HDS et Modifier la configuration du nœud avec des modifications au processus de connexion. | ||
5 août 2020 | Mise à jour de Tester votre déploiement de sécurité des données hybrides pour les modifications apportées aux messages des journaux. Mise à jour des Exigences des organisateurs virtuels pour supprimer le nombre maximum d'organisateurs. | ||
16 juin 2020 | Mise à jour de Supprimer un nœud pour les modifications de l’interface utilisateur du Control Hub. | ||
4 juin 2020 | Mise à jour de Créer une configuration ISO pour les hôtes HDS pour les modifications apportées aux paramètres avancés que vous pouvez définir. | ||
29 mai 2020 | Mise à jour de Créer une ISO de configuration pour les hôtes HDS pour montrer que vous pouvez également utiliser TLS avec les bases de données SQL Server, les modifications de l'interface utilisateur et d'autres clarifications. | ||
5 mai 2020 | Mise à jour des Exigences de l'hôte virtuel pour afficher les nouvelles exigences d'ESXi 6.5. | ||
21 avril 2020 | Mise à jour des exigences de connectivité externe avec les nouveaux hôtes CI Americas. | ||
1er avril 2020 | Mise à jour des Exigences de connectivité externe avec des informations sur les hôtes CI régionaux. | ||
20 février 2020 | Mise à jour de Créer une configuration ISO pour les hôtes HDS avec des informations sur le nouvel écran optionnel Paramètres avancés dans l'outil de configuration HDS. | ||
4 février 2020 | Mise à jour des Exigences du serveur proxy. | ||
16 décembre 2019 | Clarification de l'exigence de fonctionnement du mode de résolution DNS externe bloqué dans Exigences du serveur proxy. | ||
19 novembre 2019 | Ajout d'informations sur le mode de résolution DNS externe bloqué dans les sections suivantes : | ||
8 novembre 2019 | Vous pouvez maintenant configurer les paramètres réseau pour un nœud lors du déploiement du fichier OVA plutôt que par la suite. Mise à jour des sections suivantes en conséquence :
| ||
6 septembre 2019 | Ajout du standard SQL Server aux exigences du serveur de base de données. | ||
29 août 2019 | Ajout de l'annexe Configurer les proxys Squid pour la sécurité des données hybrides avec des instructions sur la configuration des proxys Squid pour ignorer le trafic websocket pour le bon fonctionnement. | ||
20 août 2019 | Ajout et mise à jour de sections pour couvrir la prise en charge du proxy pour les communications du nœud de sécurité des données hybrides vers le Cloud Webex. Pour accéder uniquement au contenu de la prise en charge du proxy pour un déploiement existant, consultez l’article d’aide Prise en charge du proxy pour la sécurité des données hybrides et le maillage vidéo Webex. | ||
13 juin 2019 | Mise à jour du Flux des tâches d'essai en production avec un rappel pour synchroniser le HdsTrialGroup de groupe avant de démarrer un essai si votre organisation utilise la synchronisation du répertoire. | ||
6 mars 2019 |
| ||
28 février 2019 |
| ||
26 février 2019 |
| ||
24 janvier 2019 |
| ||
5 novembre 2018 |
| ||
19 octobre 2018 |
| ||
31 juillet 2018 |
| ||
21 mai 2018 | Terminologie modifiée pour refléter la nouvelle charte graphique de Cisco Spark :
| ||
11 avril 2018 |
| ||
22 février 2018 |
| ||
15 février 2018 |
| ||
18 janvier 2018 |
| ||
2 novembre 2017 |
| ||
18 août 2017 | Première publication |
Présentation de la sécurité des données hybrides
Dès le premier jour, la sécurité des données a été au cœur de la conception de l’application Webex. La pierre angulaire de cette sécurité est le chiffrement du contenu de bout en bout, activé par les clients de l’application Webex qui interagissent avec le service de gestion des clés (KMS). Le KMS est responsable de la création et de la gestion des clés cryptographiques que les clients utilisent pour crypter et décrypter dynamiquement les messages et les fichiers.
Par défaut, tous les clients de l’application Webex bénéficient d’un chiffrement de bout en bout avec des clés dynamiques stockées dans le cloud KMS, dans le domaine de sécurité de Cisco. La sécurité des données hybrides déplace le KMS et d'autres fonctions liées à la sécurité vers le centre de données de votre entreprise, de sorte que personne d'autre que vous ne détient les clés de votre contenu chiffré.
Architecture du domaine de sécurité
L’architecture du Cloud Webex sépare les différents types de service dans des domaines distincts, ou domaines de confiance, comme illustré ci-dessous.
Pour mieux comprendre la sécurité des données hybrides, examinons d’abord ce cas purement cloud, où Cisco fournit toutes les fonctions dans ses domaines cloud. Le service d'identité, le seul endroit où les utilisateurs peuvent être directement corrélés avec leurs informations personnelles telles que leur adresse électronique, est logiquement et physiquement séparé du domaine de sécurité dans le centre de données B. Les deux sont à leur tour séparés du domaine où le contenu chiffré est finalement stocké, dans le centre de données C.
Dans ce diagramme, le client est l’application Webex exécutée sur l’ordinateur portable d’un utilisateur et s’est authentifié auprès du service d’identité. Lorsque l’utilisateur compose un message à envoyer à un espace, les étapes suivantes ont lieu :
Le client établit une connexion sécurisée avec le service de gestion des clés (KMS), puis demande une clé pour chiffrer le message. La connexion sécurisée utilise ECDH et le KMS chiffre la clé à l'aide d'une clé principale AES-256.
Le message est chiffré avant de quitter le client. Le client l'envoie au service d'indexation, qui crée des index de recherche chiffrés pour faciliter les recherches futures du contenu.
Le message chiffré est envoyé au service de conformité pour vérification de conformité.
Le message chiffré est stocké dans le domaine de stockage.
Lorsque vous déployez la sécurité des données hybrides, vous déplacez les fonctions du domaine de sécurité (KMS, indexation et conformité) vers votre centre de données sur site. Les autres services cloud qui composent Webex (y compris le stockage de l’identité et du contenu) restent dans les royaumes de Cisco.
Collaborer avec d’autres organisations
Les utilisateurs de votre organisation peuvent régulièrement utiliser l’application Webex pour collaborer avec des participants externes d’autres organisations. Lorsque l’un de vos utilisateurs demande une clé pour un espace appartenant à votre organisation (car il a été créé par l’un de vos utilisateurs), votre KMS envoie la clé au client via un canal sécurisé ECDH. Cependant, lorsqu’une autre organisation possède la clé de l’espace, votre système KMS achemine la demande vers le Cloud Webex via un canal ECDH séparé pour obtenir la clé du système KMS approprié, puis la renvoie à votre utilisateur sur le canal d’origine.
Le service KMS en cours d'exécution sur l'organisation A valide les connexions aux KMS dans d'autres organisations en utilisant les certificats PKI x.509. Voir Préparer votre environnement pour plus d'informations sur la génération d'un certificat x.509 à utiliser avec votre déploiement Hybrid Data Security.
Attentes concernant le déploiement de la sécurité des données hybrides
Un déploiement de sécurité des données hybrides nécessite un engagement client significatif et une prise de conscience des risques liés à la possession de clés de chiffrement.
Pour déployer la sécurité des données hybrides, vous devez fournir :
Un centre de données sécurisé dans un pays qui est un emplacement pris en charge pour les abonnements Cisco Webex Teams.
L'équipement, le logiciel et l'accès au réseau décrits dans Préparer votre environnement.
La perte complète de l'ISO de configuration que vous créez pour Hybrid Data Security ou de la base de données que vous fournissez entraînera la perte des clés. La perte de clés empêche les utilisateurs de déchiffrer le contenu de l’espace et d’autres données chiffrées dans l’application Webex. Si cela se produit, vous pouvez créer un nouveau déploiement, mais seul le nouveau contenu sera visible. Pour éviter la perte d’accès aux données, vous devez :
Gérer la sauvegarde et la restauration de la base de données et l’ISO de configuration.
Préparez-vous à effectuer une récupération rapide après sinistre en cas de catastrophe, telle qu'une panne du disque de base de données ou un sinistre du centre de données.
Il n'existe aucun mécanisme pour déplacer les clés vers le Cloud après un déploiement HDS. |
Processus de configuration de haut niveau
Ce document couvre la configuration et la gestion d'un déploiement de sécurité des données hybrides :
Configurer la sécurité des données hybrides—Cela comprend la préparation de l'infrastructure requise et l'installation du logiciel de sécurité des données hybrides, le test de votre déploiement avec un sous-ensemble d'utilisateurs en mode d'essai et, une fois vos tests terminés, la mise en production. Cela convertit toute l’organisation à utiliser votre cluster de sécurité des données hybrides pour les fonctions de sécurité.
Les phases de configuration, d’essai et de production sont abordées en détail dans les trois chapitres suivants.
Maintenez votre déploiement de sécurité des données hybrides — Le Cloud Webex fournit automatiquement des mises à niveau continues. Votre service informatique peut fournir une assistance de premier niveau pour ce déploiement et solliciter l’assistance de Cisco si nécessaire. Vous pouvez utiliser les notifications à l’écran et configurer des alertes par courrier électronique dans le Control Hub.
Comprendre les alertes courantes, les étapes de dépannage et les problèmes connus — Si vous rencontrez des problèmes pour déployer ou utiliser Hybrid Data Security, le dernier chapitre de ce guide et l'annexe Problèmes connus peuvent vous aider à déterminer et résoudre le problème.
Modèle de déploiement de la sécurité des données hybrides
Dans votre centre de données d'entreprise, vous déployez la sécurité des données hybrides en tant que cluster unique de nœuds sur des hôtes virtuels distincts. Les nœuds communiquent avec le Cloud Webex via des websockets sécurisés et un protocole HTTP sécurisé.
Pendant le processus d'installation, nous vous fournissons le fichier OVA pour configurer l'appliance virtuelle sur les machines virtuelles que vous fournissez. Vous utilisez l'outil de configuration HDS pour créer un fichier ISO de configuration de cluster personnalisé que vous montez sur chaque nœud. Le cluster de sécurité des données hybrides utilise votre serveur Syslogd fourni et la base de données PostgreSQL ou Microsoft SQL Server. (Vous configurez les détails de connexion à Syslogd et à la base de données dans l'outil de configuration HDS.)
Le nombre minimum de nœuds que vous pouvez avoir dans un cluster est de deux. Nous en recommandons au moins trois, et vous pouvez en avoir jusqu'à cinq. Avoir plusieurs nœuds garantit que le service n’est pas interrompu au cours d’une mise à niveau logicielle ou d’une autre activité de maintenance sur un nœud. (Le Cloud Webex ne met à niveau qu’un nœud à la fois.)
Tous les nœuds d'un cluster accèdent à la même banque de données clé et enregistrent l'activité sur le même serveur syslog. Les nœuds eux-mêmes sont apatrides et traitent les demandes de clés de manière ronde, comme indiqué par le cloud.
Les nœuds deviennent actifs lorsque vous les enregistrez dans le Control Hub. Pour mettre un nœud individuel hors service, vous pouvez le désenregistrer et le réenregistrer ultérieurement si nécessaire.
Nous ne prenons en charge qu’un seul cluster par organisation.
Mode d'évaluation de la sécurité des données hybrides
Après avoir configuré un déploiement de sécurité des données hybrides, vous l'essayez d'abord avec un ensemble d'utilisateurs pilotes. Pendant la période d'essai, ces utilisateurs utilisent votre domaine de sécurité des données hybrides sur site pour les clés de chiffrement et d'autres services du domaine de sécurité. Vos autres utilisateurs continuent à utiliser le domaine de sécurité du Cloud.
Si vous décidez de ne pas poursuivre le déploiement pendant la période d'essai et de désactiver le service, les utilisateurs pilotes et tous les utilisateurs avec lesquels ils ont interagi en créant de nouveaux espaces pendant la période d'essai perdront l'accès aux messages et au contenu. Ils verront « Ce message ne peut pas être déchiffré » dans l’application Webex.
Si vous êtes convaincu que votre déploiement fonctionne bien pour les utilisateurs de la version d'essai et que vous êtes prêt à étendre la sécurité des données hybrides à tous vos utilisateurs, vous passez le déploiement en production. Les utilisateurs pilotes continuent d'avoir accès aux clés qui ont été utilisées pendant l'essai. Cependant, vous ne pouvez pas passer d'un mode de production à l'essai original. Si vous devez désactiver le service, par exemple pour effectuer une reprise après sinistre, lorsque vous réactivez, vous devez démarrer un nouvel essai et configurer l'ensemble des utilisateurs pilotes pour le nouvel essai avant de revenir en mode de production. Si les utilisateurs conservent l'accès aux données à ce stade dépend de si vous avez réussi à maintenir les sauvegardes de la banque de données clés et du fichier de configuration ISO pour les nœuds de sécurité des données hybrides dans votre cluster.
Centre de données en attente pour la reprise après sinistre
Pendant le déploiement, vous configurez un centre de données de secours sécurisé. En cas de sinistre du centre de données, vous pouvez basculer manuellement votre déploiement vers le centre de données de secours.
Les bases de données des centres de données actifs et en attente sont synchronisées les unes avec les autres, ce qui réduira le temps nécessaire pour effectuer le basculement. Le fichier ISO du centre de données en attente est mis à jour avec des configurations supplémentaires qui garantissent que les nœuds sont enregistrés dans l'organisation, mais ne gèrent pas le trafic. Par conséquent, les nœuds du centre de données en attente restent toujours à jour avec la dernière version du logiciel HDS.
Les nœuds actifs de sécurité des données hybrides doivent toujours être dans le même centre de données que le serveur de base de données actif. |
Configurer le centre de données en attente pour la reprise après sinistre
Suivez les étapes ci-dessous pour configurer le fichier ISO du centre de données en attente :
Avant de commencer
Le centre de données en attente doit refléter l'environnement de production des machines virtuelles et une base de données de sauvegarde PostgreSQL ou Microsoft SQL Server. Par exemple, si la production a 3 machines virtuelles exécutant des nœuds HDS, l'environnement de sauvegarde doit avoir 3 machines virtuelles. (Voir Centre de données en attente pour la reprise après sinistre pour une vue d'ensemble de ce modèle de basculement.)
Assurez-vous que la synchronisation de la base de données est activée entre la base de données des nœuds de cluster actifs et passifs.
1 | Démarrez l'outil de configuration HDS et suivez les étapes mentionnées dans Créer une configuration ISO pour les hôtes HDS.
| ||
2 | Après avoir configuré le serveur Syslogd, cliquez sur Paramètres avancés | ||
3 | Sur la page Paramètres avancés, ajoutez la configuration ci-dessous pour placer le nœud en mode passif. Dans ce mode, le nœud sera enregistré dans l’organisation et connecté au Cloud, mais ne gérera aucun trafic.
| ||
4 | Terminez le processus de configuration et enregistrez le fichier ISO dans un emplacement facile à trouver. | ||
5 | Effectuez une copie de sauvegarde du fichier ISO sur votre système local. Gardez la copie de sauvegarde sécurisée. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limitez l'accès aux seuls administrateurs de sécurité des données hybrides qui doivent effectuer des modifications de configuration. | ||
6 | Dans le volet de navigation gauche du client VMware vSphere, faites un clic droit sur la VM et cliquez sur Edit Settings.. | ||
7 | Cliquez sur Edit Settings >CD/DVD Drive 1 et sélectionnez Datastore ISO File.
| ||
8 | Mettez le nœud HDS sous tension et assurez-vous qu'il n'y a pas d'alarmes pendant au moins 15 minutes. | ||
9 | Répétez le processus pour chaque nœud du centre de données en veille.
|
Que faire ensuite
Après la configuration passiveMode
dans le fichier ISO et en l'enregistrant, vous pouvez créer une autre copie du fichier ISO sans passiveMode
la configuration et l’enregistrer dans un endroit sécurisé. Cette copie du fichier ISO sans passiveMode
configurée peut aider à un processus de basculement rapide pendant la reprise après sinistre. Voir Reprise après sinistre à l'aide du centre de données en veille pour la procédure détaillée de basculement.
Prise en charge du proxy
Hybrid Data Security prend en charge les proxys explicites, transparents et non-inspectés. Vous pouvez lier ces proxys à votre déploiement afin de sécuriser et surveiller le trafic de l'entreprise vers le Cloud. Vous pouvez utiliser une interface d'administration de plateforme sur les nœuds pour la gestion des certificats et pour vérifier l'état général de la connectivité après avoir configuré le proxy sur les nœuds.
Les nœuds de sécurité des données hybrides prennent en charge les options de proxy suivantes :
Aucun proxy—La valeur par défaut si vous n'utilisez pas la configuration du nœud HDS Trust Store & Proxy pour intégrer un proxy. Aucune mise à jour du certificat n'est requise.
Proxy transparent non inspectant – Les nœuds ne sont pas configurés pour utiliser une adresse de serveur proxy spécifique et ne doivent pas nécessiter de modifications pour fonctionner avec un proxy non inspectant. Aucune mise à jour du certificat n'est requise.
Proxy transparent de tunneling ou d'inspection – Les nœuds ne sont pas configurés pour utiliser une adresse de serveur proxy spécifique. Aucun changement de configuration HTTP ou HTTPS n'est nécessaire sur les nœuds. Cependant, les nœuds ont besoin d'un certificat racine afin qu'ils fassent confiance au proxy. L’inspection des proxys est généralement utilisée par le service informatique pour appliquer des politiques sur les sites Web qui peuvent être visités et les types de contenu qui ne sont pas autorisés. Ce type de proxy déchiffre tout votre trafic (même HTTPS).
Proxy explicite–Avec un proxy explicite, vous indiquez aux nœuds HDS quel serveur proxy et schéma d'authentification utiliser. Pour configurer un proxy explicite, vous devez saisir les informations suivantes sur chaque nœud :
IP/FQDN du proxy—Adresse qui peut être utilisée pour joindre la machine proxy.
Port proxy—Un numéro de port que le proxy utilise pour écouter le trafic proxy.
Protocole proxy—En fonction de ce que votre serveur proxy prend en charge, choisissez entre les protocoles suivants :
HTTP : affiche et contrôle toutes les demandes envoyées par le client.
HTTPS : fournit un canal au serveur. Le client reçoit et valide le certificat du serveur.
Type d'authentification—Choisissez parmi les types d'authentification suivants :
Aucun : aucune autre authentification n'est requise.
Disponible si vous sélectionnez HTTP ou HTTPS comme protocole proxy.
Basique—Utilisé pour un agent utilisateur HTTP pour fournir un nom d'utilisateur et un mot de passe lors d'une demande. Utilise l'encodage Base64.
Disponible si vous sélectionnez HTTP ou HTTPS comme protocole proxy.
Vous devez saisir le nom d'utilisateur et le mot de passe sur chaque nœud.
Digest—Utilisé pour confirmer le compte avant d'envoyer des informations sensibles. Applique une fonction de hachage sur le nom d'utilisateur et le mot de passe avant l'envoi sur le réseau.
Disponible uniquement si vous sélectionnez HTTPS comme protocole proxy.
Vous devez saisir le nom d'utilisateur et le mot de passe sur chaque nœud.
Exemple de nœuds de sécurité des données hybrides et de proxy
Ce diagramme montre un exemple de connexion entre la sécurité des données hybrides, le réseau et un proxy. Pour les options de proxy d'inspection transparente et d'inspection explicite HTTPS, le même certificat racine doit être installé sur le proxy et sur les nœuds de sécurité des données hybrides.
Mode de résolution DNS externe bloqué (configurations de proxy explicites)
Lorsque vous enregistrez un nœud ou vérifiez la configuration du proxy du nœud, le processus teste la recherche DNS et la connectivité au Cloud Cisco Webex. Dans les déploiements avec des configurations de proxy explicites qui ne permettent pas la résolution DNS externe pour les clients internes, si le nœud ne peut pas interroger les serveurs DNS, il passe automatiquement en mode de résolution DNS externe bloquée. Dans ce mode, l’enregistrement du nœud et d’autres tests de connectivité proxy peuvent continuer.
Exigences pour la sécurité des données hybrides
Exigences relatives aux licences Cisco Webex
Pour déployer la sécurité des données hybrides :
Vous devez avoir le Pack Pro pour Cisco Webex Control Hub. (Voir https://www.cisco.com/go/pro-pack.)
Configuration minimale requise pour Docker Desktop
Avant d'installer vos nœuds HDS, vous avez besoin de Docker Desktop pour exécuter un programme d'installation. Docker a récemment mis à jour son modèle de licence. Votre organisation peut nécessiter un abonnement payant pour Docker Desktop. Pour plus de détails, voir le billet de blog Docker, « Docker met à jour et étend ses abonnements aux produits ".
Exigences du certificat X.509
La chaîne de certificats doit répondre aux exigences suivantes :
Configuration minimale requise | Détails |
---|---|
| Par défaut, nous faisons confiance aux AC de la liste Mozilla (à l’exception de WoSign et StartCom) à https://wiki.mozilla.org/CA:IncludedCAs. |
| Le NC n'a pas besoin d'être joignable ou d'être un hôte en direct. Nous vous recommandons d'utiliser un nom qui reflète votre organisation, par exemple, Le NC ne doit pas contenir de * (caractère générique). Le NC est utilisé pour vérifier les nœuds de sécurité des données hybrides vers les clients de l’application Webex. Tous les nœuds de sécurité des données hybrides de votre cluster utilisent le même certificat. Votre KMS s'identifie en utilisant le domaine CN, pas un domaine défini dans les champs SAN x.509v3. Une fois que vous avez enregistré un nœud avec ce certificat, nous ne prenons pas en charge la modification du nom de domaine CN. Choisissez un domaine qui peut s'appliquer à la fois aux déploiements d'essai et de production. |
| Le logiciel KMS ne prend pas en charge les signatures SHA1 pour valider les connexions aux KMS d'autres organisations. |
| Vous pouvez utiliser un convertisseur tel qu'OpenSSL pour changer le format de votre certificat. Vous devrez saisir le mot de passe lorsque vous exécuterez l'outil de configuration HDS. |
Le logiciel KMS n'impose pas de contraintes d'utilisation des clés ou d'utilisation étendue des clés. Certaines autorités de certification exigent que des contraintes d'utilisation de clés étendues soient appliquées à chaque certificat, telles que l'authentification du serveur. Il est acceptable d'utiliser l'authentification du serveur ou d'autres paramètres.
Exigences de l'organisateur virtuel
Les hôtes virtuels que vous allez configurer en tant que nœuds de sécurité des données hybrides dans votre cluster ont les exigences suivantes :
Au moins deux hôtes distincts (3 recommandés) colocalisés dans le même centre de données sécurisé
VMware ESXi 6.5 (ou version ultérieure) installé et en cours d'exécution.
Vous devez effectuer la mise à niveau si vous avez une version antérieure d'ESXi.
Minimum 4 vCPU, 8 Go de mémoire principale, 30 Go d'espace disque dur local par serveur
Exigences du serveur de base de données
Créer une nouvelle base de données pour le stockage des clés. N’utilisez pas la base de données par défaut. Les applications HDS, une fois installées, créent le schéma de base de données. |
Il existe deux options pour le serveur de base de données. Les exigences pour chacun sont les suivantes :
PostgreSQL | Microsoft SQL Server | ||
---|---|---|---|
|
| ||
Minimum 8 vCPUs, 16 Go de mémoire principale, espace disque dur suffisant et surveillance pour s'assurer qu'il n'est pas dépassé (2 To recommandés si vous souhaitez exécuter la base de données pendant une longue période sans avoir besoin d'augmenter le stockage) | Minimum 8 vCPUs, 16 Go de mémoire principale, espace disque dur suffisant et surveillance pour s'assurer qu'il n'est pas dépassé (2 To recommandés si vous souhaitez exécuter la base de données pendant une longue période sans avoir besoin d'augmenter le stockage) |
Le logiciel HDS installe actuellement les versions de pilotes suivantes pour la communication avec le serveur de base de données :
PostgreSQL | Microsoft SQL Server |
---|---|
Pilote Postgres JDBC driver 42.2.5 | Pilote SQL Server JDBC 4.6 Cette version de pilote prend en charge SQL Server Always On (Instances de cluster de basculement Always On et groupes de disponibilité Always On). |
Exigences supplémentaires pour l'authentification Windows par rapport à Microsoft SQL Server
Si vous souhaitez que les nœuds HDS utilisent l'authentification Windows pour accéder à votre base de données keystore sur Microsoft SQL Server, vous devez configurer votre environnement comme suit :
Les nœuds HDS, l'infrastructure Active Directory et MS SQL Server doivent tous être synchronisés avec NTP.
Le compte Windows que vous fournissez aux nœuds HDS doit avoir un accès en lecture/écriture à la base de données.
Les serveurs DNS que vous fournissez aux nœuds HDS doivent être en mesure de résoudre votre centre de distribution de clés (KDC).
Vous pouvez enregistrer l'instance de base de données HDS sur votre serveur Microsoft SQL en tant que nom principal de service (SPN) sur votre répertoire actif. Voir Enregistrer un nom principal de service pour les connexions Kerberos.
L'outil de configuration HDS, le lanceur HDS et le KMS local doivent tous utiliser l'authentification Windows pour accéder à la base de données du Keystore. Ils utilisent les détails de votre configuration ISO pour construire le SPN lors de la demande d'accès avec l'authentification Kerberos.
Exigences de connectivité externe
Configurez votre pare-feu pour autoriser la connectivité suivante pour les applications HDS :
Application | Protocole | Port | Direction de l’application | Destination |
---|---|---|---|---|
Nœuds de sécurité des données hybrides | TCP | 443 | HTTPS et WSS sortants |
|
Outil de configuration HDS | TCP | 443 | HTTPS sortant |
|
Les nœuds de sécurité des données hybrides fonctionnent avec la traduction d’accès au réseau (NAT) ou derrière un pare-feu, tant que le NAT ou le pare-feu autorise les connexions sortantes requises vers les destinations du domaine dans le tableau précédent. Pour les connexions entrantes vers les nœuds de sécurité des données hybrides, aucun port ne doit être visible depuis Internet. Dans votre centre de données, les clients ont besoin d'accéder aux nœuds de sécurité des données hybrides sur les ports TCP 443 et 22, à des fins administratives. |
Les URL des hôtes d'identité commune (CI) sont spécifiques à la région. Voici les hôtes CI actuels :
Région | URL de l'hôte Common Identity |
---|---|
Amériques |
|
Union européenne |
|
Canada |
|
Exigences du serveur proxy
Nous prenons officiellement en charge les solutions proxy suivantes qui peuvent s'intégrer à vos nœuds de sécurité des données hybrides.
Proxy transparent : Cisco Web Security Appliance (WSA).
Proxy explicite : Squid.
Les proxys SQUID qui inspectent le trafic HTTPS peuvent interférer avec l'établissement de websocket (wss :) les connexions. Pour contourner ce problème, voir Configurer des proxys Squid pour la sécurité des données hybrides.
Nous prenons en charge les combinaisons de types d'authentification suivantes pour les proxys explicites :
Aucune authentification avec HTTP ou HTTPS
Authentification de base avec HTTP ou HTTPS
Digest authentification avec HTTPS uniquement
Pour un proxy d'inspection transparent ou un proxy explicite HTTPS, vous devez avoir une copie du certificat racine du proxy. Les instructions de déploiement de ce guide vous indiquent comment télécharger la copie dans les magasins de confiance des nœuds de sécurité des données hybrides.
Le réseau hébergeant les nœuds HDS doit être configuré pour forcer le trafic TCP sortant sur le port 443 à passer par le proxy.
Les proxys qui inspectent le trafic Web peuvent interférer avec les connexions de socket Web. Si ce problème se produit, contournement (sans inspection) du trafic vers
wbx2.com
etciscospark.com
résoudra le problème.
Remplissez les prérequis pour la sécurité des données hybrides
1 | Vérifiez que votre organisation Webex est activée pour le Pack Pro pour Cisco Webex Control Hub et obtenez les identifiants d’un compte avec les droits d’administrateur de l’organisation complets. Contactez votre partenaire Cisco ou votre gestionnaire de compte pour obtenir de l’aide sur ce processus. | ||
2 | Choisissez un nom de domaine pour votre déploiement HDS (par exemple, | ||
3 | Préparez des hôtes virtuels identiques que vous configurerez en tant que nœuds de sécurité des données hybrides dans votre cluster. Vous avez besoin d'au moins deux hôtes distincts (3 recommandés) colocalisés dans le même centre de données sécurisé, qui répondent aux exigences de la section Exigences relatives à l'hôte virtuel. | ||
4 | Préparez le serveur de base de données qui servira de banque de données clé pour le cluster, conformément aux exigences du serveur de base de données. Le serveur de base de données doit être colocalisé dans le centre de données sécurisé avec les hôtes virtuels. | ||
5 | Pour une reprise rapide après sinistre, configurez un environnement de sauvegarde dans un autre centre de données. L’environnement de sauvegarde reflète l’environnement de production des machines virtuelles et d’un serveur de base de données de sauvegarde. Par exemple, si la production a 3 machines virtuelles exécutant des nœuds HDS, l'environnement de sauvegarde doit avoir 3 machines virtuelles. | ||
6 | Configurez un hôte syslog pour collecter les journaux à partir des nœuds du cluster. Collectez son adresse réseau et son port syslog (la valeur par défaut est UDP 514). | ||
7 | Créez une politique de sauvegarde sécurisée pour les nœuds de sécurité des données hybrides, le serveur de base de données et l'hôte syslog. Au minimum, pour éviter une perte de données irrécupérable, vous devez sauvegarder la base de données et le fichier ISO de configuration généré pour les nœuds de sécurité des données hybrides.
Les clients de l’application Webex mettent leurs clés en cache, de sorte qu’une panne ne sera peut-être pas immédiatement perceptible mais deviendra évidente au fil du temps. Si les pannes temporaires sont impossibles à prévenir, elles sont récupérables. Cependant, la perte complète (aucune sauvegarde disponible) de la base de données ou du fichier ISO de configuration entraînera des données client irrécupérables. Les opérateurs des nœuds de sécurité des données hybrides doivent maintenir des sauvegardes fréquentes de la base de données et du fichier ISO de configuration et être prêts à reconstruire le centre de données de sécurité des données hybrides en cas de panne catastrophique. | ||
8 | Assurez-vous que la configuration de votre pare-feu permet la connectivité pour vos nœuds de sécurité des données hybrides, comme indiqué dans Exigences de connectivité externe. | ||
9 | Installer Docker ( https://www.docker.com) sur n'importe quelle machine locale exécutant un système d'exploitation pris en charge (Microsoft Windows 10 Professional ou Enterprise 64 bits, ou Mac OSX Yosemite 10.10.3 ou version plus récente) avec un navigateur Web qui peut y accéder à l'adresse http://127.0.0.1:8080. Vous utilisez l'instance Docker pour télécharger et exécuter l'outil d'installation HDS, qui construit les informations de configuration locale pour tous les nœuds de sécurité des données hybrides. Votre organisation peut avoir besoin d’une licence Docker Desktop. Reportez-vous à la section Configuration minimale du bureau Docker pour plus d'informations. Pour installer et exécuter l'outil de configuration HDS, la machine locale doit disposer de la connectivité décrite dans Exigences de connectivité externe. | ||
10 | Si vous intégrez un proxy avec Hybrid Data Security, assurez-vous qu'il répond aux exigences du serveur proxy. | ||
11 | Si votre organisation utilise la synchronisation du répertoire, créez un groupe dans Active Directory appelé
|
Flux des tâches de déploiement de la sécurité des données hybrides
Avant de commencer
1 | Télécharger les fichiers d'installation Téléchargez le fichier OVA sur votre machine locale pour une utilisation ultérieure. | ||
2 | Créer une configuration ISO pour les hôtes HDS Utilisez l'outil de configuration HDS pour créer un fichier de configuration ISO pour les nœuds de sécurité des données hybrides. | ||
3 | Installer le fichier OVA de l'hôte HDS Créez une machine virtuelle à partir du fichier OVA et effectuez la configuration initiale, telle que les paramètres réseau.
| ||
4 | Configurer la machine virtuelle de sécurité des données hybrides Connectez-vous à la console VM et configurez les informations d'authentification de connexion. Configurez les paramètres réseau pour le nœud si vous ne les avez pas configurés au moment du déploiement OVA. | ||
5 | Télécharger et monter l'ISO de configuration HDS Configurez la machine virtuelle à partir du fichier de configuration ISO que vous avez créé avec l'outil d'installation HDS. | ||
6 | Configurer le nœud HDS pour l'intégration du proxy Si l'environnement réseau nécessite une configuration proxy, spécifiez le type de proxy que vous utiliserez pour le nœud et ajoutez le certificat proxy au magasin d'approbation si nécessaire. | ||
7 | Enregistrer le premier nœud dans le cluster Enregistrez la MV auprès du Cloud Cisco Webex en tant que nœud de sécurité des données hybrides. | ||
8 | Créer et enregistrer d'autres nœuds Terminez la configuration du cluster. | ||
9 | Lancer un essai et passer à la production (chapitre suivant) Jusqu'à ce que vous démarriez un essai, vos nœuds génèrent une alarme indiquant que votre service n'est pas encore activé. |
Télécharger les fichiers d'installation
1 | Connectez-vous à https://admin.webex.com, puis cliquez sur Services. | ||||
2 | Dans la section Services hybrides, recherchez la carte de sécurité des données hybrides, puis cliquez sur Configurer. Si la carte est désactivée ou si vous ne la voyez pas, contactez l’équipe de votre compte ou votre organisation partenaire. Donnez-leur votre numéro de compte et demandez à votre organisation d’activer la sécurité des données hybrides. Pour trouver le numéro de compte, cliquez sur l’engrenage en haut à droite, à côté du nom de votre organisation.
| ||||
3 | Sélectionnez Non pour indiquer que vous n’avez pas encore configuré le nœud, puis cliquez sur Suivant. Le fichier OVA commence automatiquement à se télécharger. Enregistrez le fichier à un emplacement sur votre machine.
| ||||
4 | Sinon, cliquez sur Ouvrir le guide de déploiement pour vérifier si une version ultérieure de ce guide est disponible. |
Créer une configuration ISO pour les hôtes HDS
Le processus de configuration de la sécurité des données hybrides crée un fichier ISO. Vous utilisez ensuite l'ISO pour configurer votre hôte Hybrid Data Security.
Avant de commencer
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cette machine. Le processus de configuration nécessite les informations d'identification d'un compte Control Hub avec des droits d'administrateur complets pour votre organisation.
Si l'outil de configuration HDS fonctionne derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lors de l'affichage du conteneur Docker à l'étape 5. Ce tableau donne quelques variables d'environnement possibles :
Description
Variable
proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT
Proxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT
proxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Proxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Le fichier ISO de configuration que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière copie de ce fichier chaque fois que vous effectuez des modifications de configuration, comme suit :
Identifiants de base de données
Mises à jour des certificats
Modification de la politique d’habilitation
Si vous prévoyez de chiffrer les connexions de base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
1 | Sur la ligne de commande de votre machine, saisissez la commande appropriée pour votre environnement : Dans les environnements normaux :
Dans les environnements FedRAMP :
| ||||||||||||
2 | Pour vous connecter au registre des images Docker, saisissez ce qui suit :
| ||||||||||||
3 | À l'invite du mot de passe, saisissez ce hachage :
| ||||||||||||
4 | Téléchargez la dernière image stable pour votre environnement : Dans les environnements normaux :
Dans les environnements FedRAMP :
| ||||||||||||
5 | Lorsque l'extraction est terminée, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d'exécution, le message « Serveur express à l'écoute sur le port 8080 » s'affiche. | ||||||||||||
6 |
Utilisez un navigateur Web pour accéder à l'hôte local, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié pour ce compte. L'outil affiche alors l'invite de connexion standard. | ||||||||||||
7 | Lorsque vous y êtes invité, saisissez vos identifiants de connexion d’administrateur client Control Hub, puis cliquez sur Se connecter pour autoriser l’accès aux services requis pour la sécurité des données hybrides. | ||||||||||||
8 | Sur la page d'aperçu de l'outil de configuration, cliquez sur Commencer. | ||||||||||||
9 | Sur la page Importation ISO, vous avez les options suivantes :
| ||||||||||||
10 | Vérifiez que votre certificat X.509 répond aux exigences de la section Exigences du certificat X.509.
| ||||||||||||
11 | Saisissez l'adresse de la base de données et le compte pour que HDS accède à votre banque de données clé : | ||||||||||||
12 | Sélectionnez un mode de connexion à la base de données TLS :
Lorsque vous téléchargez le certificat racine (si nécessaire) et cliquez sur Continuer, l'outil de configuration HDS teste la connexion TLS au serveur de base de données. L'outil vérifie également le signataire du certificat et le nom d'hôte, le cas échéant. Si un test échoue, l'outil affiche un message d'erreur décrivant le problème. Vous pouvez choisir d'ignorer l'erreur et de poursuivre l'installation. (En raison des différences de connectivité, les nœuds HDS peuvent être en mesure d'établir la connexion TLS même si la machine de l'outil de configuration HDS ne peut pas la tester avec succès.) | ||||||||||||
13 | Sur la page Journaux système, configurez votre serveur Syslogd : | ||||||||||||
14 | (Facultatif) Vous pouvez modifier la valeur par défaut de certains paramètres de connexion à la base de données dans Paramètres avancés. En général, ce paramètre est le seul que vous souhaitez modifier :
| ||||||||||||
15 | Cliquez sur Continuer sur l'écran Réinitialiser le mot de passe des comptes de service. Les mots de passe des comptes de service ont une durée de vie de neuf mois. Utilisez cet écran lorsque vos mots de passe arrivent à expiration ou que vous souhaitez les réinitialiser pour invalider les fichiers ISO précédents. | ||||||||||||
16 | Cliquez sur Télécharger le fichier ISO. Enregistrez le fichier dans un emplacement facile à trouver. | ||||||||||||
17 | Effectuez une copie de sauvegarde du fichier ISO sur votre système local. Gardez la copie de sauvegarde sécurisée. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limitez l'accès aux seuls administrateurs de sécurité des données hybrides qui doivent effectuer des modifications de configuration. | ||||||||||||
18 | Pour arrêter l'outil d'installation, tapez |
Que faire ensuite
Sauvegardez le fichier ISO de configuration. Vous en avez besoin pour créer plus de nœuds pour la récupération, ou pour effectuer des modifications de configuration. Si vous perdez toutes les copies du fichier ISO, vous avez également perdu la clé principale. Récupérer les clés de votre base de données PostgreSQL ou Microsoft SQL Server n'est pas possible.
Nous n'avons jamais de copie de cette clé et ne pouvons pas vous aider si vous la perdez. |
Installer le fichier OVA de l'hôte HDS
1 | Utilisez le client VMware vSphere sur votre ordinateur pour vous connecter à l'hôte virtuel ESXi. | ||||||
2 | Sélectionnez FichierDéployer le modèle OVF… | ||||||
3 | Dans l'assistant, spécifiez l'emplacement du fichier OVA que vous avez téléchargé précédemment, puis cliquez sur Suivant. | ||||||
4 | Sur le Sélectionner un nom et un dossier page , saisir un Nom de la machine virtuelle pour le nœud (par exemple, « HDS_Node_1 »), choisissez un emplacement où le déploiement du nœud de la machine virtuelle peut résider, puis cliquez sur Suivant. | ||||||
5 | Sur le Sélectionner une ressource de calcul page , choisissez la ressource de calcul de destination, puis cliquez sur Suivant. Un contrôle de validation est effectué. Une fois terminé, les détails du modèle s'affichent. | ||||||
6 | Vérifiez les détails du modèle, puis cliquez sur Suivant. | ||||||
7 | Si vous êtes invité à choisir la configuration de la ressource sur le Configuration page , cliquez sur 4 UNITÉS CENTRALES puis cliquez sur Suivant. | ||||||
8 | Sur le Sélectionner le stockage page , cliquez sur Suivant pour accepter le format disque par défaut et la politique de stockage des machines virtuelles. | ||||||
9 | Sur le Sélectionner les réseaux, choisissez l’option réseau dans la liste des entrées pour fournir la connectivité souhaitée à la machine virtuelle. | ||||||
10 | Sur la page Personnaliser le modèle, configurez les paramètres réseau suivants :
Si vous préférez, vous pouvez ignorer la configuration du paramètre réseau et suivre les étapes de Configurer la machine virtuelle de sécurité des données hybrides pour configurer les paramètres à partir de la console du nœud.
| ||||||
11 | Faites un clic droit sur la MV du nœud, puis choisissez .Le logiciel de sécurité des données hybrides est installé en tant qu'invité sur l'hôte VM. Vous êtes maintenant prêt à vous connecter à la console et à configurer le nœud. Astuces de dépannage Vous pouvez rencontrer un délai de quelques minutes avant que les conteneurs du nœud affluent. Un message du pare-feu pont apparaît sur la console lors du premier démarrage, au cours de laquelle vous ne pouvez pas vous connecter. |
Configurer la machine virtuelle de sécurité des données hybrides
Utilisez cette procédure pour vous connecter à la console VM du nœud de sécurité des données hybrides pour la première fois et définir les informations d'authentification de connexion. Vous pouvez également utiliser la console pour configurer les paramètres réseau pour le nœud si vous ne les avez pas configurés au moment du déploiement OVA.
1 | Dans le client VMware vSphere, sélectionnez votre VM de nœud de sécurité des données hybrides et sélectionnez l'onglet Console. La machine virtuelle démarre et une invite de connexion apparaît. Si l'invite de connexion ne s'affiche pas, appuyez sur Entrée.
|
2 | Utilisez les identifiants et mots de passe par défaut suivants pour vous connecter et modifier les informations d'authentification : Puisque vous vous connectez à votre machine virtuelle pour la première fois, vous devez changer le mot de passe administrateur. |
3 | Si vous avez déjà configuré les paramètres réseau dans Installer le fichier OVA de l'hôte HDS, ignorez le reste de cette procédure. Sinon, dans le menu principal, sélectionnez l'option Modifier la configuration. |
4 | Configurez une configuration statique avec l'adresse IP, le masque, la passerelle et les informations DNS. Votre nœud doit avoir une adresse IP interne et un nom DNS. DHCP n'est pas pris en charge. |
5 | (Facultatif) Modifiez le nom d'hôte, le domaine ou le(s) serveur(s) NTP, si nécessaire pour correspondre à votre stratégie réseau. Vous n'avez pas besoin de définir le domaine pour qu'il corresponde au domaine que vous avez utilisé pour obtenir le certificat X.509. |
6 | Enregistrez la configuration réseau et redémarrez la machine virtuelle pour que les modifications soient prises en compte. |
Télécharger et monter l'ISO de configuration HDS
Avant de commencer
Étant donné que le fichier ISO contient la clé principale, il ne doit être exposé que sur la base du « besoin d’en connaître », pour l’accès des machines virtuelles de sécurité des données hybrides et des administrateurs qui pourraient avoir besoin d’effectuer des modifications. Assurez-vous que seuls ces administrateurs peuvent accéder à la banque de données.
1 | Téléchargez le fichier ISO depuis votre ordinateur : |
2 | Monter le fichier ISO : |
Que faire ensuite
Si votre politique informatique le nécessite, vous pouvez éventuellement démonter le fichier ISO une fois que tous vos nœuds auront pris en compte les modifications de configuration. Voir (Facultatif) Démonter l'ISO après la configuration HDS pour plus de détails.
Configurer le nœud HDS pour l'intégration du proxy
Si l'environnement réseau nécessite un proxy, utilisez cette procédure pour spécifier le type de proxy que vous souhaitez intégrer à la sécurité des données hybrides. Si vous choisissez un proxy d'inspection transparent ou un proxy explicite HTTPS, vous pouvez utiliser l'interface du nœud pour télécharger et installer le certificat racine. Vous pouvez également vérifier la connexion proxy à partir de l'interface et résoudre les problèmes potentiels.
Avant de commencer
Voir Prise en charge du proxy pour un aperçu des options de proxy prises en charge.
1 | Saisissez l’URL de configuration du nœud HDS |
2 | Allez dans Trust Store & Proxy, puis choisissez une option :
Suivez les étapes suivantes pour un proxy d'inspection transparent, un proxy explicite HTTP avec authentification de base ou un proxy explicite HTTPS. |
3 | Cliquez sur Télécharger un certificat racine ou un certificat d'entité finale, puis naviguez jusqu'à choisir le certificat racine pour le proxy. Le certificat est téléchargé mais pas encore installé car vous devez redémarrer le nœud pour installer le certificat. Cliquez sur la flèche en chevron située à côté du nom de l'émetteur du certificat pour obtenir plus de détails ou cliquez sur Supprimer si vous avez fait une erreur et souhaitez recharger le fichier. |
4 | Cliquez sur Vérifier la connexion proxy pour tester la connectivité réseau entre le nœud et le proxy. Si le test de connexion échoue, vous voyez un message d'erreur qui indique la raison et comment vous pouvez corriger le problème. Si vous voyez un message indiquant que la résolution DNS externe n'a pas réussi, le nœud n'a pas pu atteindre le serveur DNS. Cette condition est attendue dans de nombreuses configurations de proxy explicites. Vous pouvez continuer avec la configuration et le nœud fonctionnera en mode de résolution DNS externe bloquée. Si vous pensez qu'il s'agit d'une erreur, procédez comme suit, puis consultez Désactiver le mode de résolution DNS externe bloqué. |
5 | Une fois le test de connexion réussi, pour le proxy explicite défini sur https uniquement, activez le commutateur pour Router toutes les demandes https du port 443/444 de ce nœud via le proxy explicite. Ce paramètre nécessite 15 secondes pour prendre effet. |
6 | Cliquez sur Installer tous les certificats dans le Trust Store (s'affiche pour un proxy explicite HTTPS ou un proxy d'inspection transparent) ou Redémarrer (s'affiche pour un proxy explicite HTTP), lisez l'invite, puis cliquez sur Installer si vous êtes prêt. Le nœud redémarre en quelques minutes. |
7 | Après le redémarrage du nœud, connectez-vous à nouveau si nécessaire, puis ouvrez la page Aperçu pour vérifier les vérifications de connectivité et vous assurer qu'elles sont toutes en vert. La vérification de la connexion proxy teste uniquement un sous-domaine de webex.com. S'il y a des problèmes de connectivité, un problème courant est que certains des domaines du Cloud répertoriés dans les instructions d'installation sont bloqués au niveau du proxy. |
Enregistrer le premier nœud dans le cluster
Lorsque vous enregistrez votre premier, créer un nœud du cluster auquel est affectée. Un cluster contient un ou plusieurs nœuds déployés pour fournir une redondance.
Avant de commencer
Lorsque vous commencez l'Enregistrement de nœud, vous devez le terminer dans 60 minutes ou vous devrez recommencer.
Vérifiez que tous les bloqueurs de pop-up dans votre navigateur sont désactivés ou que vous autorisez une exception pour admin.webex.com.
1 | Connectez-vous à https://admin.webex.com. |
2 | Dans le menu situé à gauche de l'écran, sélectionnez de services . |
3 | Dans la section Services hybrides, recherchez Sécurité des données hybrides et cliquez sur Configurer. La page Enregistrer le nœud de sécurité des données hybrides s'affiche.
|
4 | Sélectionnez Oui pour indiquer que vous avez configuré le nœud et que vous êtes prêt à l'enregistrer, puis cliquez sur Suivant. |
5 | Dans le premier champ, saisissez un nom pour le cluster auquel vous souhaitez affecter votre nœud de sécurité des données hybrides. Nous vous recommandons lorsque le nom de cluster sur les nœuds du cluster sont limités géographiquement. Exemples : "San Francisco" ou "New York" ou "Dallas" |
6 | Dans le second champ, saisissez l'adresse IP interne ou le nom de domaine complet (FDQN) de votre nœud et cliquez sur Suivant. Cette adresse IP ou FQDN doit correspondre à l'adresse IP ou au nom d'hôte et au domaine que vous avez utilisés dans Configurer la machine virtuelle de sécurité des données hybrides. Un message s'affiche indiquant que vous pouvez enregistrer votre nœud sur Webex.
|
7 | Cliquez sur Aller sur le noeud. |
8 | Cliquez sur Continuer dans la message. Après quelques instants, vous êtes redirigé vers les tests de connectivité du nœud pour les services Webex. Si tous les tests ont réussi, la page Autoriser l'accès au nœud de sécurité des données hybrides s'affiche. Là, vous confirmez que vous souhaitez accorder des autorisations à votre organisation Webex pour accéder à votre nœud.
|
9 | Cochez la case Autoriser l'accès à votre nœud de sécurité des données hybrides, puis cliquez sur Continuer. Votre compte est validé et le message « Inscription terminée » indique que votre nœud est maintenant enregistré sur le Cloud Webex.
|
10 | Cliquez sur le lien ou fermez l’onglet pour revenir à la page Sécurité des données hybrides du Control Hub. Sur la page Sécurité des données hybrides, le nouveau cluster contenant le nœud que vous avez enregistré s'affiche. Le nœud téléchargera automatiquement le dernier logiciel à partir du Cloud.
|
Créer et enregistrer d'autres nœuds
À l'heure actuelle, les machines virtuelles de sauvegarde que vous avez créées dans Terminer les prérequis pour la sécurité des données hybrides sont des hôtes de secours qui ne sont utilisés qu'en cas de reprise après sinistre ; elles ne sont pas enregistrées sur le système jusque-là. Pour plus de détails, voir Reprise après sinistre à l'aide du centre de données de secours. |
Avant de commencer
Lorsque vous commencez l'Enregistrement de nœud, vous devez le terminer dans 60 minutes ou vous devrez recommencer.
Vérifiez que tous les bloqueurs de pop-up dans votre navigateur sont désactivés ou que vous autorisez une exception pour admin.webex.com.
1 | Créez une nouvelle machine virtuelle à partir du fichier OVA, en répétant les étapes dans Installer le fichier OVA de l'hôte HDS. |
2 | Configurez la configuration initiale sur la nouvelle machine virtuelle, en répétant les étapes décrites dans Configurer la machine virtuelle de sécurité des données hybrides. |
3 | Sur la nouvelle machine virtuelle, répétez les étapes décrites dans Charger et monter l'ISO de configuration HDS. |
4 | Si vous configurez un proxy pour votre déploiement, répétez les étapes de Configurer le nœud HDS pour l'intégration du proxy si nécessaire pour le nouveau nœud. |
5 | Enregistrer le nœud. Votre nœud est enregistré. Notez que jusqu'à ce que vous démarriez un essai, vos nœuds génèrent une alarme indiquant que votre service n'est pas encore activé.
|
Que faire ensuite
Flux des tâches d'essai à production
Après avoir configuré un cluster de sécurité des données hybrides, vous pouvez démarrer un pilote, y ajouter des utilisateurs et commencer à l'utiliser pour tester et vérifier votre déploiement en vue de la mise en production.
Avant de commencer
1 | Le cas échéant, synchronisez le Si votre organisation utilise la synchronisation du répertoire pour les utilisateurs, vous devez sélectionner le |
2 |
Démarrer un essai. Jusqu'à ce que vous effectuiez cette tâche, vos nœuds génèrent une alarme indiquant que le service n'est pas encore activé. |
3 | Tester votre déploiement de sécurité des données hybrides Vérifiez que les demandes clés sont transmises à votre déploiement de sécurité des données hybrides. |
4 | Surveiller la santé de la sécurité des données hybrides Vérifiez le statut et configurez les notifications par courrier électronique pour les alarmes. |
5 | |
6 | Terminez la phase d’essai avec l’une des actions suivantes : |
Activer l’essai
Avant de commencer
Si votre organisation utilise la synchronisation du répertoire pour les utilisateurs, vous devez sélectionner le HdsTrialGroup
objet de groupe pour la synchronisation vers le Cloud avant de pouvoir démarrer un essai pour votre organisation. Pour des instructions, reportez-vous au Guide de déploiement de Cisco Directory Connector.
1 | Connectez-vous à https://admin.webex.com, puis sélectionnez Services. |
2 | Sous Sécurité des données hybrides, cliquez sur Paramètres. |
3 | Dans la section Service Status, cliquez sur Start Trial. L'état du service passe en mode d'évaluation.
|
4 | Cliquez sur Ajouter des utilisateurs et saisissez l'adresse électronique d'un ou plusieurs utilisateurs à utiliser vos nœuds de sécurité des données hybrides pour les services de chiffrement et d'indexation. (Si votre organisation utilise la synchronisation du répertoire, utilisez Active Directory pour gérer le groupe d'essai, |
Tester votre déploiement de sécurité des données hybrides
Avant de commencer
Configurez votre déploiement de sécurité des données hybrides.
Activez la version d’évaluation et ajoutez plusieurs utilisateurs de la version d’évaluation.
Assurez-vous que vous avez accès au syslog pour vérifier que les demandes de clés sont transmises à votre déploiement de sécurité des données hybrides.
1 | Les clés d’un espace donné sont définies par le créateur de l’espace. Connectez-vous à l’application Webex en tant qu’un des utilisateurs pilotes, puis créez un espace et invitez au moins un utilisateur pilote et un utilisateur non pilote.
| ||
2 | Envoyer des messages au nouvel espace. | ||
3 | Vérifiez la sortie syslog pour vérifier que les demandes de clés sont transmises à votre déploiement de sécurité des données hybrides. |
Surveiller la santé de la sécurité des données hybrides
1 | Dans Control Hub, sélectionnez Services dans le menu situé à gauche de l’écran. |
2 | Dans la section Services hybrides, recherchez Sécurité des données hybrides et cliquez sur Paramètres. La page Paramètres de sécurité des données hybrides s'affiche.
|
3 | Dans la section Notifications par courrier électronique, saisissez une ou plusieurs adresses électroniques séparées par des virgules, puis appuyez sur Entrée. |
Ajouter ou supprimer des utilisateurs de votre essai
Si vous supprimez un utilisateur de la version d'évaluation, le client de l'utilisateur demandera des clés et la création de clés à partir du KMS du Cloud au lieu de votre KMS. Si le client a besoin d'une clé stockée sur votre KMS, le KMS cloud la récupérera pour le compte de l'utilisateur.
Si votre organisation utilise la synchronisation du répertoire, utilisez Active Directory (au lieu de cette procédure) pour gérer le groupe d’essai, HdsTrialGroup
; vous pouvez afficher les membres du groupe dans le Control Hub mais vous ne pouvez pas les ajouter ou les supprimer.
1 | Connectez-vous au Control Hub, puis sélectionnez Services. |
2 | Sous Sécurité des données hybrides, cliquez sur Paramètres. |
3 | Dans la section Mode d'essai de la zone Statut du service, cliquez sur Ajouter des utilisateurs, ou cliquez sur Afficher et modifier pour supprimer des utilisateurs de l'essai. |
4 | Saisissez l'adresse électronique d'un ou plusieurs utilisateurs à ajouter, ou cliquez sur le X d'un ID utilisateur pour supprimer l'utilisateur de l'essai. Cliquez ensuite sur Enregistrer . |
Passer de l'essai à la production
1 | Connectez-vous au Control Hub, puis sélectionnez Services. |
2 | Sous Sécurité des données hybrides, cliquez sur Paramètres. |
3 | Dans la section Service Status, cliquez sur Move to Production. |
4 | Confirmez que vous souhaitez déplacer tous vos utilisateurs vers la production. |
Mettre fin à votre essai sans passer à la production
1 | Connectez-vous au Control Hub, puis sélectionnez Services. |
2 | Sous Sécurité des données hybrides, cliquez sur Paramètres. |
3 | Dans la section Désactiver, cliquez sur Désactiver. |
4 | Confirmez que vous souhaitez désactiver le service et mettre fin à l’essai. |
Gérer le déploiement HDS
Utilisez les tâches décrites ici pour gérer votre déploiement de sécurité des données hybrides.
Configurer le calendrier de mise à niveau du cluster
Pour définir le calendrier de mise à niveau :
1 | Connectez-vous au Control Hub. |
2 | Sur la page Aperçu, sous Services hybrides, sélectionnez Sécurité des données hybrides. |
3 | Sur la page Ressources de sécurité des données hybrides, sélectionnez le cluster. |
4 | Dans le panneau Aperçu sur la droite, sous Paramètres du cluster, sélectionnez le nom du cluster. |
5 | Sur la page Paramètres, sous Mise à jour, sélectionnez l'heure et le fuseau horaire pour la programmation de la mise à jour. Remarque : Sous le fuseau horaire, la date et l'heure de mise à niveau suivantes s'affichent. Vous pouvez reporter la mise à jour le jour suivant, si nécessaire, en cliquant sur Reporter. |
Modifier la configuration du nœud
Modification des certificats x.509 en raison de leur expiration ou pour d'autres raisons.
Nous ne prenons pas en charge la modification du nom de domaine CN d'un certificat. Le domaine doit correspondre au domaine d'origine utilisé pour enregistrer le cluster.
Mise à jour des paramètres de la base de données pour passer à une réplique de la base de données PostgreSQL ou Microsoft SQL Server.
Nous ne prenons pas en charge la migration des données de PostgreSQL vers Microsoft SQL Server, ou l'inverse. Pour changer l'environnement de la base de données, démarrez un nouveau déploiement de la sécurité des données hybrides.
Création d'une nouvelle configuration pour préparer un nouveau centre de données.
Pour des raisons de sécurité, la sécurité des données hybrides utilise les mots de passe du compte de service ayant une durée de validité de 9 mois. L'outil de configuration HDS génère ces mots de passe et vous les déployez sur chacun de vos nœuds HDS dans le cadre du fichier de configuration ISO. Lorsque l'expiration des mots de passe de votre organisation approche, vous recevez un « Avis d'expiration du mot de passe » de Webex Teams, vous demandant de réinitialiser le mot de passe du compte de votre machine. (L'e-mail comprend le texte « Utiliser l' API du compte machine pour mettre à jour le mot de passe. ») Si vos mots de passe n'ont pas encore expiré, l'outil vous propose deux options :
Réinitialisation logicielle : l’ancien et le nouveau mot de passe fonctionnent tous les deux jusqu’à 10 jours. Utilisez cette période pour remplacer progressivement le fichier ISO sur les nœuds.
Réinitialisation matérielle : les anciens mots de passe cessent de fonctionner immédiatement.
Si vos mots de passe expirent sans réinitialisation, cela a un impact sur votre service HDS, nécessitant une réinitialisation matérielle immédiate et le remplacement du fichier ISO sur tous les nœuds.
Utilisez cette procédure pour générer un nouveau fichier ISO de configuration et l'appliquer à votre cluster.
Avant de commencer
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cette machine. Le processus de configuration nécessite les informations d'identification d'un compte Control Hub avec des droits d'administrateur complets pour votre organisation.
Si l'outil de configuration HDS fonctionne derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lors de l'affichage du conteneur Docker dans 1.e. Ce tableau donne quelques variables d'environnement possibles :
Description
Variable
proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT
Proxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT
proxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Proxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Vous devez avoir une copie du fichier ISO de configuration actuel pour générer une nouvelle configuration. L'ISO contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de l'ISO lorsque vous apportez des modifications à la configuration, y compris les informations d'identification de la base de données, les mises à jour de certificats ou les modifications apportées à la stratégie d'autorisation.
1 | En utilisant le Docker sur un ordinateur local, exécutez l’outil d’installation HDS. |
2 | Si vous n'avez qu'un nœud HDS en cours d'exécution, créez un nouveau nœud virtuel MV et enregistrez-le à l'aide du nouveau fichier ISO de configuration. Pour des instructions plus détaillées, voir Créer et enregistrer d'autres nœuds. |
3 | Pour les nœuds HDS existants qui exécutent l'ancien fichier de configuration, montez le fichier ISO. Effectuez la procédure suivante sur chaque nœud à tour de rôle, en mettant à jour chaque nœud avant de désactiver le nœud suivant : |
4 | répétez l'étape 3 pour remplacer la configuration sur chaque nœud restant qui exécute l'ancienne configuration. |
Désactiver le mode de résolution DNS externe bloqué
Lorsque vous enregistrez un nœud ou vérifiez la configuration du proxy du nœud, le processus teste la recherche DNS et la connectivité au Cloud Cisco Webex. Si le serveur DNS du nœud ne peut pas résoudre les noms DNS publics, le nœud passe automatiquement en mode de résolution DNS externe bloquée.
Si vos nœuds sont en mesure de résoudre les noms DNS publics via des serveurs DNS internes, vous pouvez désactiver ce mode en réexécutant le test de connexion proxy sur chaque nœud.
Avant de commencer
1 | Dans un navigateur Web, ouvrez l'interface du nœud de sécurité des données hybrides (adresse IP/configuration, par exemple, https://192.0.2.0/setup), saisissez les informations d'authentification d'administrateur que vous avez configurées pour le nœud, puis cliquez sur Connexion. |
2 | Allez à Aperçu (la page par défaut). Lorsqu'elle est activée, Résolution DNS externe bloquée est défini sur Oui . |
3 | Rendez-vous sur la page Trust Store & Proxy. |
4 | Cliquez sur Vérifier la connexion au proxy. Si vous voyez un message indiquant que la résolution DNS externe n'a pas réussi, le nœud n'a pas pu atteindre le serveur DNS et restera dans ce mode. Sinon, après avoir redémarré le nœud et revenir à la page Aperçu, la résolution DNS externe bloquée doit être définie sur non. |
Que faire ensuite
Supprimer un nœud
1 | Utilisez le client VMware vSphere sur votre ordinateur pour vous connecter à l'hôte virtuel ESXi et éteindre la machine virtuelle. |
2 | Supprimer le nœud : |
3 | Dans le client vSphere, supprimez la VM. (Dans le volet de navigation de gauche, faites un clic droit sur la VM et cliquez sur Supprimer.) Si vous ne supprimez pas la machine virtuelle, n'oubliez pas de démonter le fichier ISO de configuration. Sans le fichier ISO, vous ne pouvez pas utiliser la machine virtuelle pour accéder à vos données de sécurité. |
Récupération après sinistre à l'aide du centre de données en attente
Le service le plus critique fourni par votre cluster de sécurité des données hybrides est la création et le stockage des clés utilisées pour chiffrer les messages et autres contenus stockés dans le Cloud Webex. Pour chaque utilisateur de l’organisation affecté à la sécurité des données hybrides, les nouvelles demandes de création de clés sont acheminées vers le cluster. Le cluster est également responsable de retourner les clés qu'il a créées à tous les utilisateurs autorisés à les récupérer, par exemple, les membres d'un espace de conversation.
Étant donné que le cluster remplit la fonction critique de fournir ces clés, il est impératif que le cluster continue de fonctionner et que des sauvegardes adéquates soient maintenues. La perte de la base de données Hybrid Data Security ou de l’ISO de configuration utilisé pour le schéma entraînera une PERTE IRRÉCUPÉRABLE de contenu client. Les pratiques suivantes sont obligatoires pour prévenir une telle perte :
Si un sinistre provoque l'indisponibilité du déploiement HDS dans le centre de données principal, suivez cette procédure pour basculer manuellement vers le centre de données de secours.
1 | Démarrez l'outil de configuration HDS et suivez les étapes mentionnées dans Créer une configuration ISO pour les hôtes HDS. | ||
2 | Après avoir configuré le serveur Syslogd, cliquez sur Paramètres avancés | ||
3 | Sur la page Paramètres avancés, ajoutez la configuration ci-dessous ou supprimez le
| ||
4 | Terminez le processus de configuration et enregistrez le fichier ISO dans un emplacement facile à trouver. | ||
5 | Effectuez une copie de sauvegarde du fichier ISO sur votre système local. Gardez la copie de sauvegarde sécurisée. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limitez l'accès aux seuls administrateurs de sécurité des données hybrides qui doivent effectuer des modifications de configuration. | ||
6 | Dans le volet de navigation gauche du client VMware vSphere, faites un clic droit sur la VM et cliquez sur Edit Settings.. | ||
7 | Cliquez sur Edit Settings >CD/DVD Drive 1 et sélectionnez Datastore ISO File.
| ||
8 | Mettez le nœud HDS sous tension et assurez-vous qu'il n'y a pas d'alarmes pendant au moins 15 minutes. | ||
9 | Répétez le processus pour chaque nœud du centre de données en veille.
|
Que faire ensuite
(Facultatif) Démonter l'ISO après la configuration HDS
La configuration HDS standard s'exécute avec l'ISO monté. Mais certains clients préfèrent ne pas laisser des fichiers ISO montés en continu. Vous pouvez démonter le fichier ISO une fois que tous les nœuds HDS ont récupéré la nouvelle configuration.
Vous utilisez toujours les fichiers ISO pour effectuer des modifications de configuration. Lorsque vous créez un nouvel ISO ou mettez à jour un ISO via l'outil de configuration, vous devez monter l'ISO mis à jour sur tous vos nœuds HDS. Une fois que tous vos nœuds ont capté les modifications de configuration, vous pouvez démonter l'ISO à nouveau avec cette procédure.
Avant de commencer
Effectuez la mise à niveau de tous vos nœuds HDS vers la version 2021.01.22.4720 ou ultérieure.
1 | Arrêtez l'un de vos nœuds HDS. |
2 | Dans vCenter Server Appliance, sélectionnez le nœud HDS. |
3 | Choisissez Fichier ISO Datastore. et décocher |
4 | Mettez le nœud HDS sous tension et assurez-vous qu'il n'y a pas d'alarmes pendant au moins 20 minutes. |
5 | Répétez l'opération pour chaque nœud HDS. |
Afficher les alertes et dépannage
Un déploiement de sécurité des données hybrides est considéré comme indisponible si tous les nœuds du cluster sont inaccessibles, ou si le cluster fonctionne si lentement qu'il demande un délai d'expiration. Si les utilisateurs ne peuvent pas atteindre votre cluster de sécurité des données hybrides, ils présentent les symptômes suivants :
Les nouveaux espaces ne peuvent pas être créés (impossible de créer de nouvelles clés)
Les messages et les titres des espaces ne parviennent pas à être déchiffrés pour :
Nouveaux utilisateurs ajoutés à un espace (impossible de récupérer les clés)
Utilisateurs existants dans un espace utilisant un nouveau client (impossible de récupérer les clés)
Les utilisateurs existants dans un espace continueront à fonctionner avec succès tant que leurs clients ont un cache des clés de chiffrement
Il est important que vous surveilliez correctement votre cluster de sécurité des données hybrides et que vous répondiez rapidement à toutes les alertes pour éviter toute interruption de service.
Alertes
S’il y a un problème avec la configuration de la sécurité des données hybrides, le Control Hub affiche des alertes à l’administrateur de l’organisation et envoie des courriers électroniques à l’adresse électronique configurée. Les alertes couvrent de nombreux scénarios courants.
Alerte | Action |
---|---|
Échec de l'accès à la base de données locale. |
Vérifiez les erreurs de base de données ou les problèmes de réseau local. |
Échec de connexion à la base de données locale. |
Vérifiez que le serveur de base de données est disponible et que les bons identifiants de compte de service ont été utilisés dans la configuration du nœud. |
Échec de l’accès au service Cloud. |
Vérifiez que les nœuds peuvent accéder aux serveurs Webex comme spécifié dans Exigences de connectivité externe. |
Renouvellement de l’inscription au service cloud. |
L’inscription aux services du Cloud a été supprimée. Le renouvellement de l’inscription est en cours. |
L’enregistrement du service Cloud a été abandonné. |
L’inscription aux services du Cloud a pris fin. Le service s'arrête. |
Le service n'est pas encore activé. |
Activez un essai ou terminez le déplacement de l'essai en production. |
Le domaine configuré ne correspond pas au certificat du serveur. |
Vérifiez que le certificat de votre serveur correspond au domaine d'activation du service configuré. La cause la plus probable est que le NC du certificat a récemment été modifié et est maintenant différent du NC qui a été utilisé lors de l'installation initiale. |
Échec de l’authentification aux services du Cloud. |
Vérifiez l'exactitude et l'expiration possible des informations d'authentification du compte de service. |
Impossible d’ouvrir le fichier du magasin de clés local. |
Vérifiez l'intégrité et l'exactitude du mot de passe sur le fichier du magasin de clés local. |
Le certificat du serveur local n'est pas valide. |
Vérifiez la date d'expiration du certificat du serveur et confirmez qu'il a été émis par une autorité de certification approuvée. |
Impossible de publier les mesures. |
Vérifiez l’accès du réseau local aux services de cloud externes. |
Le répertoire /media/configdrive/hds n'existe pas. |
Vérifiez la configuration du montage ISO sur l'hôte virtuel. Vérifiez que le fichier ISO existe, qu'il est configuré pour être monté au redémarrage et qu'il est monté avec succès. |
Dépannage de la sécurité des données hybrides
1 | Vérifiez le Control Hub pour toutes les alertes et corrigez tous les éléments que vous y trouvez. |
2 | Vérifiez la sortie du serveur syslog pour l'activité du déploiement de sécurité des données hybrides. |
3 | Contactez l’assistance Cisco. |
Problèmes connus pour la sécurité des données hybrides
Si vous arrêtez votre cluster de sécurité des données hybrides (en le supprimant dans le Control Hub ou en fermant tous les nœuds), perdez votre fichier ISO de configuration ou perdez l’accès à la base de données keystore, vos utilisateurs de l’application Webex ne peuvent plus utiliser les espaces de leur liste de personnes qui ont été créés avec les clés de votre KMS. Cela s’applique aussi bien aux déploiements d’essai qu’aux déploiements de production. Nous n'avons actuellement pas de solution de contournement ou de solution pour ce problème et vous invitons à ne pas fermer vos services HDS une fois qu'ils traitent des comptes utilisateurs actifs.
Un client qui dispose d'une connexion ECDH existante à un KMS conserve cette connexion pendant un certain temps (probablement une heure). Lorsqu'un utilisateur devient membre d'un essai de sécurité des données hybrides, le client de l'utilisateur continue à utiliser la connexion ECDH existante jusqu'à ce qu'elle expire. Sinon, l’utilisateur peut se déconnecter et se reconnecter à l’application Webex pour mettre à jour l’emplacement que l’application contacte pour les clés de chiffrement.
Le même comportement se produit lorsque vous déplacez un essai en production pour l’organisation. Tous les utilisateurs sans essai ayant des connexions ECDH existantes aux services de sécurité des données précédents continueront d'utiliser ces services jusqu'à ce que la connexion ECDH soit renégociée (par expiration ou déconnexion et retour).
Utiliser OpenSSL pour générer un fichier PKCS12
Avant de commencer
OpenSSL est un outil qui peut être utilisé pour faire le fichier PKCS12 au format approprié pour le chargement dans l'outil de configuration HDS. Il y a d'autres façons de le faire, et nous ne soutenons ni ne promouvons d'une manière plutôt que d'une autre.
Si vous choisissez d'utiliser OpenSSL, nous fournissons cette procédure comme ligne directrice pour vous aider à créer un fichier qui répond aux exigences de certificat X.509 dans Exigences de certificat X.509. Comprenez ces exigences avant de continuer.
Installer OpenSSL dans un environnement pris en charge. Voir https://www.openssl.org pour le logiciel et la documentation.
Créer une clé privée.
Démarrez cette procédure lorsque vous recevez le certificat du serveur de votre autorité de certification (AC).
1 | Lorsque vous recevez le certificat du serveur de votre autorité de certification, enregistrez-le sous |
2 | Affichez le certificat sous forme de texte et vérifiez les détails.
|
3 | Utilisez un éditeur de texte pour créer un fichier d'ensemble de certificats appelé
|
4 | Créez le fichier .p12 avec le nom convivial
|
5 | Vérifiez les détails du certificat du serveur. |
Que faire ensuite
Retournez à Remplir les conditions préalables à la sécurité des données hybrides. Vous utiliserez le hdsnode.p12
et le mot de passe que vous avez défini pour celui-ci, dans Créer une configuration ISO pour les hôtes HDS.
Vous pouvez réutiliser ces fichiers pour demander un nouveau certificat lorsque le certificat d'origine expire. |
Trafic entre les nœuds HDS et le Cloud
Trafic de collecte des métriques sortantes
Les nœuds de sécurité des données hybrides envoient certaines mesures au Cloud Webex. Ceux-ci comprennent des mesures système pour le maximum de tas, le tas utilisé, la charge du CPU et le nombre de threads ; des mesures sur les threads synchrones et asynchrones ; des mesures sur les alertes impliquant un seuil de connexions de chiffrement, la latence ou la longueur d'une file d'attente de demandes ; des mesures sur la banque de données ; et des mesures de connexion de chiffrement. Les nœuds envoient du matériel de clé chiffrée sur un canal hors bande (séparé de la demande).
Trafic entrant
Les nœuds de sécurité des données hybrides reçoivent les types de trafic entrant suivants à partir du Cloud Webex :
Demandes de chiffrement des clients, qui sont acheminées par le service de chiffrement
Mises à niveau du logiciel du nœud
Configurer des proxys Squid pour la sécurité des données hybrides
Websocket ne peut pas se connecter via le proxy Squid
Les proxys SQUID qui inspectent le trafic HTTPS peuvent interférer avec l'établissement de websocket ( wss:
) les connexions requises par Hybrid Data Security. Ces sections donnent des conseils sur la façon de configurer différentes versions de Squid à ignorer wss:
le trafic pour le bon fonctionnement des services.
Calamars 4 et 5
Ajouter le on_unsupported_protocol
directive à squid.conf
:
on_unsupported_protocol tunnel all
Calamar 3.5.27
Nous avons testé avec succès la sécurité des données hybrides avec les règles suivantes ajoutées à squid.conf
. Ces règles sont susceptibles d’être modifiées au fur et à mesure que nous développons des fonctionnalités et mettons à jour le Cloud Webex.
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all
Informations nouvelles et modifiées
Date | Modifications effectuées | ||
---|---|---|---|
20 octobre 2023 |
| ||
07 août 2023 |
| ||
23 mai 2023 |
| ||
06 décembre 2022 |
| ||
23 novembre 2022 |
| ||
13 octobre 2021 | Docker Desktop doit exécuter un programme d'installation avant de pouvoir installer les nœuds HDS. Voir Configuration minimale du bureau Docker. | ||
24 juin 2021 | Notez que vous pouvez réutiliser le fichier de clé privée et le CSR pour demander un autre certificat. Voir Utiliser OpenSSL pour générer un fichier PKCS12 pour plus de détails. | ||
30 avril 2021 | Modification de l'exigence de la machine virtuelle pour l'espace du disque dur local à 30 Go. Voir Exigences relatives à l'organisateur virtuel pour plus de détails. | ||
24 février 2021 | L'outil de configuration HDS peut maintenant s'exécuter derrière un proxy. Voir Créer une configuration ISO pour les hôtes HDS pour plus de détails. | ||
2 février 2021 | HDS peut maintenant fonctionner sans fichier ISO monté. Voir (Facultatif) Démonter l'ISO après la configuration HDS pour plus de détails. | ||
11 janvier 2021 | Ajout d'informations sur l'outil de configuration HDS et les proxys pour Créer une configuration ISO pour les hôtes HDS. | ||
13 octobre 2020 | Mise à jour de Télécharger les fichiers d'installation. | ||
8 octobre 2020 | Mise à jour de Créer une configuration ISO pour les hôtes HDS et Modifier la configuration du nœud avec les commandes pour les environnements FedRAMP. | ||
14 août 2020 | Mise à jour de Créer une configuration ISO pour les hôtes HDS et Modifier la configuration du nœud avec des modifications au processus de connexion. | ||
5 août 2020 | Mise à jour de Tester votre déploiement de sécurité des données hybrides pour les modifications apportées aux messages des journaux. Mise à jour des Exigences des organisateurs virtuels pour supprimer le nombre maximum d'organisateurs. | ||
16 juin 2020 | Mise à jour de Supprimer un nœud pour les modifications de l’interface utilisateur du Control Hub. | ||
4 juin 2020 | Mise à jour de Créer une configuration ISO pour les hôtes HDS pour les modifications apportées aux paramètres avancés que vous pouvez définir. | ||
29 mai 2020 | Mise à jour de Créer une ISO de configuration pour les hôtes HDS pour montrer que vous pouvez également utiliser TLS avec les bases de données SQL Server, les modifications de l'interface utilisateur et d'autres clarifications. | ||
5 mai 2020 | Mise à jour des Exigences de l'hôte virtuel pour afficher les nouvelles exigences d'ESXi 6.5. | ||
21 avril 2020 | Mise à jour des exigences de connectivité externe avec les nouveaux hôtes CI Americas. | ||
1er avril 2020 | Mise à jour des Exigences de connectivité externe avec des informations sur les hôtes CI régionaux. | ||
20 février 2020 | Mise à jour de Créer une configuration ISO pour les hôtes HDS avec des informations sur le nouvel écran optionnel Paramètres avancés dans l'outil de configuration HDS. | ||
4 février 2020 | Mise à jour des Exigences du serveur proxy. | ||
16 décembre 2019 | Clarification de l'exigence de fonctionnement du mode de résolution DNS externe bloqué dans Exigences du serveur proxy. | ||
19 novembre 2019 | Ajout d'informations sur le mode de résolution DNS externe bloqué dans les sections suivantes : | ||
8 novembre 2019 | Vous pouvez maintenant configurer les paramètres réseau pour un nœud lors du déploiement du fichier OVA plutôt que par la suite. Mise à jour des sections suivantes en conséquence :
| ||
6 septembre 2019 | Ajout du standard SQL Server aux exigences du serveur de base de données. | ||
29 août 2019 | Ajout de l'annexe Configurer les proxys Squid pour la sécurité des données hybrides avec des instructions sur la configuration des proxys Squid pour ignorer le trafic websocket pour le bon fonctionnement. | ||
20 août 2019 | Ajout et mise à jour de sections pour couvrir la prise en charge du proxy pour les communications du nœud de sécurité des données hybrides vers le Cloud Webex. Pour accéder uniquement au contenu de la prise en charge du proxy pour un déploiement existant, consultez l’article d’aide Prise en charge du proxy pour la sécurité des données hybrides et le maillage vidéo Webex. | ||
13 juin 2019 | Mise à jour du Flux des tâches d'essai en production avec un rappel pour synchroniser le HdsTrialGroup de groupe avant de démarrer un essai si votre organisation utilise la synchronisation du répertoire. | ||
6 mars 2019 |
| ||
28 février 2019 |
| ||
26 février 2019 |
| ||
24 janvier 2019 |
| ||
5 novembre 2018 |
| ||
19 octobre 2018 |
| ||
31 juillet 2018 |
| ||
21 mai 2018 | Terminologie modifiée pour refléter la nouvelle charte graphique de Cisco Spark :
| ||
11 avril 2018 |
| ||
22 février 2018 |
| ||
15 février 2018 |
| ||
18 janvier 2018 |
| ||
2 novembre 2017 |
| ||
18 août 2017 | Première publication |
Présentation de la sécurité des données hybrides
Dès le premier jour, la sécurité des données a été au cœur de la conception de l’application Webex. La pierre angulaire de cette sécurité est le chiffrement du contenu de bout en bout, activé par les clients de l’application Webex qui interagissent avec le service de gestion des clés (KMS). Le KMS est responsable de la création et de la gestion des clés cryptographiques que les clients utilisent pour crypter et décrypter dynamiquement les messages et les fichiers.
Par défaut, tous les clients de l’application Webex bénéficient d’un chiffrement de bout en bout avec des clés dynamiques stockées dans le cloud KMS, dans le domaine de sécurité de Cisco. La sécurité des données hybrides déplace le KMS et d'autres fonctions liées à la sécurité vers le centre de données de votre entreprise, de sorte que personne d'autre que vous ne détient les clés de votre contenu chiffré.
Architecture du domaine de sécurité
L’architecture du Cloud Webex sépare les différents types de service dans des domaines distincts, ou domaines de confiance, comme illustré ci-dessous.
Pour mieux comprendre la sécurité des données hybrides, examinons d’abord ce cas purement cloud, où Cisco fournit toutes les fonctions dans ses domaines cloud. Le service d'identité, le seul endroit où les utilisateurs peuvent être directement corrélés avec leurs informations personnelles telles que leur adresse électronique, est logiquement et physiquement séparé du domaine de sécurité dans le centre de données B. Les deux sont à leur tour séparés du domaine où le contenu chiffré est finalement stocké, dans le centre de données C.
Dans ce diagramme, le client est l’application Webex exécutée sur l’ordinateur portable d’un utilisateur et s’est authentifié auprès du service d’identité. Lorsque l’utilisateur compose un message à envoyer à un espace, les étapes suivantes ont lieu :
Le client établit une connexion sécurisée avec le service de gestion des clés (KMS), puis demande une clé pour chiffrer le message. La connexion sécurisée utilise ECDH et le KMS chiffre la clé à l'aide d'une clé principale AES-256.
Le message est chiffré avant de quitter le client. Le client l'envoie au service d'indexation, qui crée des index de recherche chiffrés pour faciliter les recherches futures du contenu.
Le message chiffré est envoyé au service de conformité pour vérification de conformité.
Le message chiffré est stocké dans le domaine de stockage.
Lorsque vous déployez la sécurité des données hybrides, vous déplacez les fonctions du domaine de sécurité (KMS, indexation et conformité) vers votre centre de données sur site. Les autres services cloud qui composent Webex (y compris le stockage de l’identité et du contenu) restent dans les royaumes de Cisco.
Collaborer avec d’autres organisations
Les utilisateurs de votre organisation peuvent régulièrement utiliser l’application Webex pour collaborer avec des participants externes d’autres organisations. Lorsque l’un de vos utilisateurs demande une clé pour un espace appartenant à votre organisation (car il a été créé par l’un de vos utilisateurs), votre KMS envoie la clé au client via un canal sécurisé ECDH. Cependant, lorsqu’une autre organisation possède la clé de l’espace, votre système KMS achemine la demande vers le Cloud Webex via un canal ECDH séparé pour obtenir la clé du système KMS approprié, puis la renvoie à votre utilisateur sur le canal d’origine.
Le service KMS en cours d'exécution sur l'organisation A valide les connexions aux KMS dans d'autres organisations en utilisant les certificats PKI x.509. Voir Préparer votre environnement pour plus d'informations sur la génération d'un certificat x.509 à utiliser avec votre déploiement Hybrid Data Security.
Attentes concernant le déploiement de la sécurité des données hybrides
Un déploiement de sécurité des données hybrides nécessite un engagement client significatif et une prise de conscience des risques liés à la possession de clés de chiffrement.
Pour déployer la sécurité des données hybrides, vous devez fournir :
Un centre de données sécurisé dans un pays qui est un emplacement pris en charge pour les abonnements Cisco Webex Teams.
L'équipement, le logiciel et l'accès au réseau décrits dans Préparer votre environnement.
La perte complète de l'ISO de configuration que vous créez pour Hybrid Data Security ou de la base de données que vous fournissez entraînera la perte des clés. La perte de clés empêche les utilisateurs de déchiffrer le contenu de l’espace et d’autres données chiffrées dans l’application Webex. Si cela se produit, vous pouvez créer un nouveau déploiement, mais seul le nouveau contenu sera visible. Pour éviter la perte d’accès aux données, vous devez :
Gérer la sauvegarde et la restauration de la base de données et l’ISO de configuration.
Préparez-vous à effectuer une récupération rapide après sinistre en cas de catastrophe, telle qu'une panne du disque de base de données ou un sinistre du centre de données.
Il n'existe aucun mécanisme pour déplacer les clés vers le Cloud après un déploiement HDS. |
Processus de configuration de haut niveau
Ce document couvre la configuration et la gestion d'un déploiement de sécurité des données hybrides :
Configurer la sécurité des données hybrides—Cela comprend la préparation de l'infrastructure requise et l'installation du logiciel de sécurité des données hybrides, le test de votre déploiement avec un sous-ensemble d'utilisateurs en mode d'essai et, une fois vos tests terminés, la mise en production. Cela convertit toute l’organisation à utiliser votre cluster de sécurité des données hybrides pour les fonctions de sécurité.
Les phases de configuration, d’essai et de production sont abordées en détail dans les trois chapitres suivants.
Maintenez votre déploiement de sécurité des données hybrides — Le Cloud Webex fournit automatiquement des mises à niveau continues. Votre service informatique peut fournir une assistance de premier niveau pour ce déploiement et solliciter l’assistance de Cisco si nécessaire. Vous pouvez utiliser les notifications à l’écran et configurer des alertes par courrier électronique dans le Control Hub.
Comprendre les alertes courantes, les étapes de dépannage et les problèmes connus — Si vous rencontrez des problèmes pour déployer ou utiliser Hybrid Data Security, le dernier chapitre de ce guide et l'annexe Problèmes connus peuvent vous aider à déterminer et résoudre le problème.
Modèle de déploiement de la sécurité des données hybrides
Dans votre centre de données d'entreprise, vous déployez la sécurité des données hybrides en tant que cluster unique de nœuds sur des hôtes virtuels distincts. Les nœuds communiquent avec le Cloud Webex via des websockets sécurisés et un protocole HTTP sécurisé.
Pendant le processus d'installation, nous vous fournissons le fichier OVA pour configurer l'appliance virtuelle sur les machines virtuelles que vous fournissez. Vous utilisez l'outil de configuration HDS pour créer un fichier ISO de configuration de cluster personnalisé que vous montez sur chaque nœud. Le cluster de sécurité des données hybrides utilise votre serveur Syslogd fourni et la base de données PostgreSQL ou Microsoft SQL Server. (Vous configurez les détails de connexion à Syslogd et à la base de données dans l'outil de configuration HDS.)
Le nombre minimum de nœuds que vous pouvez avoir dans un cluster est de deux. Nous en recommandons au moins trois, et vous pouvez en avoir jusqu'à cinq. Avoir plusieurs nœuds garantit que le service n’est pas interrompu au cours d’une mise à niveau logicielle ou d’une autre activité de maintenance sur un nœud. (Le Cloud Webex ne met à niveau qu’un nœud à la fois.)
Tous les nœuds d'un cluster accèdent à la même banque de données clé et enregistrent l'activité sur le même serveur syslog. Les nœuds eux-mêmes sont apatrides et traitent les demandes de clés de manière ronde, comme indiqué par le cloud.
Les nœuds deviennent actifs lorsque vous les enregistrez dans le Control Hub. Pour mettre un nœud individuel hors service, vous pouvez le désenregistrer et le réenregistrer ultérieurement si nécessaire.
Nous ne prenons en charge qu’un seul cluster par organisation.
Mode d'évaluation de la sécurité des données hybrides
Après avoir configuré un déploiement de sécurité des données hybrides, vous l'essayez d'abord avec un ensemble d'utilisateurs pilotes. Pendant la période d'essai, ces utilisateurs utilisent votre domaine de sécurité des données hybrides sur site pour les clés de chiffrement et d'autres services du domaine de sécurité. Vos autres utilisateurs continuent à utiliser le domaine de sécurité du Cloud.
Si vous décidez de ne pas poursuivre le déploiement pendant la période d'essai et de désactiver le service, les utilisateurs pilotes et tous les utilisateurs avec lesquels ils ont interagi en créant de nouveaux espaces pendant la période d'essai perdront l'accès aux messages et au contenu. Ils verront « Ce message ne peut pas être déchiffré » dans l’application Webex.
Si vous êtes convaincu que votre déploiement fonctionne bien pour les utilisateurs de la version d'essai et que vous êtes prêt à étendre la sécurité des données hybrides à tous vos utilisateurs, vous passez le déploiement en production. Les utilisateurs pilotes continuent d'avoir accès aux clés qui ont été utilisées pendant l'essai. Cependant, vous ne pouvez pas passer d'un mode de production à l'essai original. Si vous devez désactiver le service, par exemple pour effectuer une reprise après sinistre, lorsque vous réactivez, vous devez démarrer un nouvel essai et configurer l'ensemble des utilisateurs pilotes pour le nouvel essai avant de revenir en mode de production. Si les utilisateurs conservent l'accès aux données à ce stade dépend de si vous avez réussi à maintenir les sauvegardes de la banque de données clés et du fichier de configuration ISO pour les nœuds de sécurité des données hybrides dans votre cluster.
Centre de données en attente pour la reprise après sinistre
Pendant le déploiement, vous configurez un centre de données de secours sécurisé. En cas de sinistre du centre de données, vous pouvez basculer manuellement votre déploiement vers le centre de données de secours.
Les bases de données des centres de données actifs et en attente sont synchronisées les unes avec les autres, ce qui réduira le temps nécessaire pour effectuer le basculement. Le fichier ISO du centre de données en attente est mis à jour avec des configurations supplémentaires qui garantissent que les nœuds sont enregistrés dans l'organisation, mais ne gèrent pas le trafic. Par conséquent, les nœuds du centre de données en attente restent toujours à jour avec la dernière version du logiciel HDS.
Les nœuds actifs de sécurité des données hybrides doivent toujours être dans le même centre de données que le serveur de base de données actif. |
Configurer le centre de données en attente pour la reprise après sinistre
Suivez les étapes ci-dessous pour configurer le fichier ISO du centre de données en attente :
Avant de commencer
Le centre de données en attente doit refléter l'environnement de production des machines virtuelles et une base de données de sauvegarde PostgreSQL ou Microsoft SQL Server. Par exemple, si la production a 3 machines virtuelles exécutant des nœuds HDS, l'environnement de sauvegarde doit avoir 3 machines virtuelles. (Voir Centre de données en attente pour la reprise après sinistre pour une vue d'ensemble de ce modèle de basculement.)
Assurez-vous que la synchronisation de la base de données est activée entre la base de données des nœuds de cluster actifs et passifs.
1 | Démarrez l'outil de configuration HDS et suivez les étapes mentionnées dans Créer une configuration ISO pour les hôtes HDS.
| ||
2 | Après avoir configuré le serveur Syslogd, cliquez sur Paramètres avancés | ||
3 | Sur la page Paramètres avancés, ajoutez la configuration ci-dessous pour placer le nœud en mode passif. Dans ce mode, le nœud sera enregistré dans l’organisation et connecté au Cloud, mais ne gérera aucun trafic.
| ||
4 | Terminez le processus de configuration et enregistrez le fichier ISO dans un emplacement facile à trouver. | ||
5 | Effectuez une copie de sauvegarde du fichier ISO sur votre système local. Gardez la copie de sauvegarde sécurisée. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limitez l'accès aux seuls administrateurs de sécurité des données hybrides qui doivent effectuer des modifications de configuration. | ||
6 | Dans le volet de navigation gauche du client VMware vSphere, faites un clic droit sur la VM et cliquez sur Edit Settings.. | ||
7 | Cliquez sur Edit Settings >CD/DVD Drive 1 et sélectionnez Datastore ISO File.
| ||
8 | Mettez le nœud HDS sous tension et assurez-vous qu'il n'y a pas d'alarmes pendant au moins 15 minutes. | ||
9 | Répétez le processus pour chaque nœud du centre de données en veille.
|
Que faire ensuite
Après la configuration passiveMode
dans le fichier ISO et en l'enregistrant, vous pouvez créer une autre copie du fichier ISO sans passiveMode
la configuration et l’enregistrer dans un endroit sécurisé. Cette copie du fichier ISO sans passiveMode
configurée peut aider à un processus de basculement rapide pendant la reprise après sinistre. Voir Reprise après sinistre à l'aide du centre de données en veille pour la procédure détaillée de basculement.
Prise en charge du proxy
Hybrid Data Security prend en charge les proxys explicites, transparents et non-inspectés. Vous pouvez lier ces proxys à votre déploiement afin de sécuriser et surveiller le trafic de l'entreprise vers le Cloud. Vous pouvez utiliser une interface d'administration de plateforme sur les nœuds pour la gestion des certificats et pour vérifier l'état général de la connectivité après avoir configuré le proxy sur les nœuds.
Les nœuds de sécurité des données hybrides prennent en charge les options de proxy suivantes :
Aucun proxy—La valeur par défaut si vous n'utilisez pas la configuration du nœud HDS Trust Store & Proxy pour intégrer un proxy. Aucune mise à jour du certificat n'est requise.
Proxy transparent non inspectant – Les nœuds ne sont pas configurés pour utiliser une adresse de serveur proxy spécifique et ne doivent pas nécessiter de modifications pour fonctionner avec un proxy non inspectant. Aucune mise à jour du certificat n'est requise.
Proxy transparent de tunneling ou d'inspection – Les nœuds ne sont pas configurés pour utiliser une adresse de serveur proxy spécifique. Aucun changement de configuration HTTP ou HTTPS n'est nécessaire sur les nœuds. Cependant, les nœuds ont besoin d'un certificat racine afin qu'ils fassent confiance au proxy. L’inspection des proxys est généralement utilisée par le service informatique pour appliquer des politiques sur les sites Web qui peuvent être visités et les types de contenu qui ne sont pas autorisés. Ce type de proxy déchiffre tout votre trafic (même HTTPS).
Proxy explicite–Avec un proxy explicite, vous indiquez aux nœuds HDS quel serveur proxy et schéma d'authentification utiliser. Pour configurer un proxy explicite, vous devez saisir les informations suivantes sur chaque nœud :
IP/FQDN du proxy—Adresse qui peut être utilisée pour joindre la machine proxy.
Port proxy—Un numéro de port que le proxy utilise pour écouter le trafic proxy.
Protocole proxy—En fonction de ce que votre serveur proxy prend en charge, choisissez entre les protocoles suivants :
HTTP : affiche et contrôle toutes les demandes envoyées par le client.
HTTPS : fournit un canal au serveur. Le client reçoit et valide le certificat du serveur.
Type d'authentification—Choisissez parmi les types d'authentification suivants :
Aucun : aucune autre authentification n'est requise.
Disponible si vous sélectionnez HTTP ou HTTPS comme protocole proxy.
Basique—Utilisé pour un agent utilisateur HTTP pour fournir un nom d'utilisateur et un mot de passe lors d'une demande. Utilise l'encodage Base64.
Disponible si vous sélectionnez HTTP ou HTTPS comme protocole proxy.
Vous devez saisir le nom d'utilisateur et le mot de passe sur chaque nœud.
Digest—Utilisé pour confirmer le compte avant d'envoyer des informations sensibles. Applique une fonction de hachage sur le nom d'utilisateur et le mot de passe avant l'envoi sur le réseau.
Disponible uniquement si vous sélectionnez HTTPS comme protocole proxy.
Vous devez saisir le nom d'utilisateur et le mot de passe sur chaque nœud.
Exemple de nœuds de sécurité des données hybrides et de proxy
Ce diagramme montre un exemple de connexion entre la sécurité des données hybrides, le réseau et un proxy. Pour les options de proxy d'inspection transparente et d'inspection explicite HTTPS, le même certificat racine doit être installé sur le proxy et sur les nœuds de sécurité des données hybrides.
Mode de résolution DNS externe bloqué (configurations de proxy explicites)
Lorsque vous enregistrez un nœud ou vérifiez la configuration du proxy du nœud, le processus teste la recherche DNS et la connectivité au Cloud Cisco Webex. Dans les déploiements avec des configurations de proxy explicites qui ne permettent pas la résolution DNS externe pour les clients internes, si le nœud ne peut pas interroger les serveurs DNS, il passe automatiquement en mode de résolution DNS externe bloquée. Dans ce mode, l’enregistrement du nœud et d’autres tests de connectivité proxy peuvent continuer.
Exigences pour la sécurité des données hybrides
Exigences relatives aux licences Cisco Webex
Pour déployer la sécurité des données hybrides :
Vous devez avoir le Pack Pro pour Cisco Webex Control Hub. (Voir https://www.cisco.com/go/pro-pack.)
Configuration minimale requise pour Docker Desktop
Avant d'installer vos nœuds HDS, vous avez besoin de Docker Desktop pour exécuter un programme d'installation. Docker a récemment mis à jour son modèle de licence. Votre organisation peut nécessiter un abonnement payant pour Docker Desktop. Pour plus de détails, voir le billet de blog Docker, « Docker met à jour et étend ses abonnements aux produits ".
Exigences du certificat X.509
La chaîne de certificats doit répondre aux exigences suivantes :
Configuration minimale requise | Détails |
---|---|
| Par défaut, nous faisons confiance aux AC de la liste Mozilla (à l’exception de WoSign et StartCom) à https://wiki.mozilla.org/CA:IncludedCAs. |
| Le NC n'a pas besoin d'être joignable ou d'être un hôte en direct. Nous vous recommandons d'utiliser un nom qui reflète votre organisation, par exemple, Le NC ne doit pas contenir de * (caractère générique). Le NC est utilisé pour vérifier les nœuds de sécurité des données hybrides vers les clients de l’application Webex. Tous les nœuds de sécurité des données hybrides de votre cluster utilisent le même certificat. Votre KMS s'identifie en utilisant le domaine CN, pas un domaine défini dans les champs SAN x.509v3. Une fois que vous avez enregistré un nœud avec ce certificat, nous ne prenons pas en charge la modification du nom de domaine CN. Choisissez un domaine qui peut s'appliquer à la fois aux déploiements d'essai et de production. |
| Le logiciel KMS ne prend pas en charge les signatures SHA1 pour valider les connexions aux KMS d'autres organisations. |
| Vous pouvez utiliser un convertisseur tel qu'OpenSSL pour changer le format de votre certificat. Vous devrez saisir le mot de passe lorsque vous exécuterez l'outil de configuration HDS. |
Le logiciel KMS n'impose pas de contraintes d'utilisation des clés ou d'utilisation étendue des clés. Certaines autorités de certification exigent que des contraintes d'utilisation de clés étendues soient appliquées à chaque certificat, telles que l'authentification du serveur. Il est acceptable d'utiliser l'authentification du serveur ou d'autres paramètres.
Exigences de l'organisateur virtuel
Les hôtes virtuels que vous allez configurer en tant que nœuds de sécurité des données hybrides dans votre cluster ont les exigences suivantes :
Au moins deux hôtes distincts (3 recommandés) colocalisés dans le même centre de données sécurisé
VMware ESXi 6.5 (ou version ultérieure) installé et en cours d'exécution.
Vous devez effectuer la mise à niveau si vous avez une version antérieure d'ESXi.
Minimum 4 vCPU, 8 Go de mémoire principale, 30 Go d'espace disque dur local par serveur
Exigences du serveur de base de données
Créer une nouvelle base de données pour le stockage des clés. N’utilisez pas la base de données par défaut. Les applications HDS, une fois installées, créent le schéma de base de données. |
Il existe deux options pour le serveur de base de données. Les exigences pour chacun sont les suivantes :
PostgreSQL | Microsoft SQL Server | ||
---|---|---|---|
|
| ||
Minimum 8 vCPUs, 16 Go de mémoire principale, espace disque dur suffisant et surveillance pour s'assurer qu'il n'est pas dépassé (2 To recommandés si vous souhaitez exécuter la base de données pendant une longue période sans avoir besoin d'augmenter le stockage) | Minimum 8 vCPUs, 16 Go de mémoire principale, espace disque dur suffisant et surveillance pour s'assurer qu'il n'est pas dépassé (2 To recommandés si vous souhaitez exécuter la base de données pendant une longue période sans avoir besoin d'augmenter le stockage) |
Le logiciel HDS installe actuellement les versions de pilotes suivantes pour la communication avec le serveur de base de données :
PostgreSQL | Microsoft SQL Server |
---|---|
Pilote Postgres JDBC driver 42.2.5 | Pilote SQL Server JDBC 4.6 Cette version de pilote prend en charge SQL Server Always On (Instances de cluster de basculement Always On et groupes de disponibilité Always On). |
Exigences supplémentaires pour l'authentification Windows par rapport à Microsoft SQL Server
Si vous souhaitez que les nœuds HDS utilisent l'authentification Windows pour accéder à votre base de données keystore sur Microsoft SQL Server, vous devez configurer votre environnement comme suit :
Les nœuds HDS, l'infrastructure Active Directory et MS SQL Server doivent tous être synchronisés avec NTP.
Le compte Windows que vous fournissez aux nœuds HDS doit avoir un accès en lecture/écriture à la base de données.
Les serveurs DNS que vous fournissez aux nœuds HDS doivent être en mesure de résoudre votre centre de distribution de clés (KDC).
Vous pouvez enregistrer l'instance de base de données HDS sur votre serveur Microsoft SQL en tant que nom principal de service (SPN) sur votre répertoire actif. Voir Enregistrer un nom principal de service pour les connexions Kerberos.
L'outil de configuration HDS, le lanceur HDS et le KMS local doivent tous utiliser l'authentification Windows pour accéder à la base de données du Keystore. Ils utilisent les détails de votre configuration ISO pour construire le SPN lors de la demande d'accès avec l'authentification Kerberos.
Exigences de connectivité externe
Configurez votre pare-feu pour autoriser la connectivité suivante pour les applications HDS :
Application | Protocole | Port | Direction de l’application | Destination |
---|---|---|---|---|
Nœuds de sécurité des données hybrides | TCP | 443 | HTTPS et WSS sortants |
|
Outil de configuration HDS | TCP | 443 | HTTPS sortant |
|
Les nœuds de sécurité des données hybrides fonctionnent avec la traduction d’accès au réseau (NAT) ou derrière un pare-feu, tant que le NAT ou le pare-feu autorise les connexions sortantes requises vers les destinations du domaine dans le tableau précédent. Pour les connexions entrantes vers les nœuds de sécurité des données hybrides, aucun port ne doit être visible depuis Internet. Dans votre centre de données, les clients ont besoin d'accéder aux nœuds de sécurité des données hybrides sur les ports TCP 443 et 22, à des fins administratives. |
Les URL des hôtes d'identité commune (CI) sont spécifiques à la région. Voici les hôtes CI actuels :
Région | URL de l'hôte Common Identity |
---|---|
Amériques |
|
Union européenne |
|
Canada |
|
Exigences du serveur proxy
Nous prenons officiellement en charge les solutions proxy suivantes qui peuvent s'intégrer à vos nœuds de sécurité des données hybrides.
Proxy transparent : Cisco Web Security Appliance (WSA).
Proxy explicite : Squid.
Les proxys SQUID qui inspectent le trafic HTTPS peuvent interférer avec l'établissement de websocket (wss :) les connexions. Pour contourner ce problème, voir Configurer des proxys Squid pour la sécurité des données hybrides.
Nous prenons en charge les combinaisons de types d'authentification suivantes pour les proxys explicites :
Aucune authentification avec HTTP ou HTTPS
Authentification de base avec HTTP ou HTTPS
Digest authentification avec HTTPS uniquement
Pour un proxy d'inspection transparent ou un proxy explicite HTTPS, vous devez avoir une copie du certificat racine du proxy. Les instructions de déploiement de ce guide vous indiquent comment télécharger la copie dans les magasins de confiance des nœuds de sécurité des données hybrides.
Le réseau hébergeant les nœuds HDS doit être configuré pour forcer le trafic TCP sortant sur le port 443 à passer par le proxy.
Les proxys qui inspectent le trafic Web peuvent interférer avec les connexions de socket Web. Si ce problème se produit, contournement (sans inspection) du trafic vers
wbx2.com
etciscospark.com
résoudra le problème.
Remplissez les prérequis pour la sécurité des données hybrides
1 | Vérifiez que votre organisation Webex est activée pour le Pack Pro pour Cisco Webex Control Hub et obtenez les identifiants d’un compte avec les droits d’administrateur de l’organisation complets. Contactez votre partenaire Cisco ou votre gestionnaire de compte pour obtenir de l’aide sur ce processus. | ||
2 | Choisissez un nom de domaine pour votre déploiement HDS (par exemple, | ||
3 | Préparez des hôtes virtuels identiques que vous configurerez en tant que nœuds de sécurité des données hybrides dans votre cluster. Vous avez besoin d'au moins deux hôtes distincts (3 recommandés) colocalisés dans le même centre de données sécurisé, qui répondent aux exigences de la section Exigences relatives à l'hôte virtuel. | ||
4 | Préparez le serveur de base de données qui servira de banque de données clé pour le cluster, conformément aux exigences du serveur de base de données. Le serveur de base de données doit être colocalisé dans le centre de données sécurisé avec les hôtes virtuels. | ||
5 | Pour une reprise rapide après sinistre, configurez un environnement de sauvegarde dans un autre centre de données. L’environnement de sauvegarde reflète l’environnement de production des machines virtuelles et d’un serveur de base de données de sauvegarde. Par exemple, si la production a 3 machines virtuelles exécutant des nœuds HDS, l'environnement de sauvegarde doit avoir 3 machines virtuelles. | ||
6 | Configurez un hôte syslog pour collecter les journaux à partir des nœuds du cluster. Collectez son adresse réseau et son port syslog (la valeur par défaut est UDP 514). | ||
7 | Créez une politique de sauvegarde sécurisée pour les nœuds de sécurité des données hybrides, le serveur de base de données et l'hôte syslog. Au minimum, pour éviter une perte de données irrécupérable, vous devez sauvegarder la base de données et le fichier ISO de configuration généré pour les nœuds de sécurité des données hybrides.
Les clients de l’application Webex mettent leurs clés en cache, de sorte qu’une panne ne sera peut-être pas immédiatement perceptible mais deviendra évidente au fil du temps. Si les pannes temporaires sont impossibles à prévenir, elles sont récupérables. Cependant, la perte complète (aucune sauvegarde disponible) de la base de données ou du fichier ISO de configuration entraînera des données client irrécupérables. Les opérateurs des nœuds de sécurité des données hybrides doivent maintenir des sauvegardes fréquentes de la base de données et du fichier ISO de configuration et être prêts à reconstruire le centre de données de sécurité des données hybrides en cas de panne catastrophique. | ||
8 | Assurez-vous que la configuration de votre pare-feu permet la connectivité pour vos nœuds de sécurité des données hybrides, comme indiqué dans Exigences de connectivité externe. | ||
9 | Installer Docker ( https://www.docker.com) sur n'importe quelle machine locale exécutant un système d'exploitation pris en charge (Microsoft Windows 10 Professional ou Enterprise 64 bits, ou Mac OSX Yosemite 10.10.3 ou version plus récente) avec un navigateur Web qui peut y accéder à l'adresse http://127.0.0.1:8080. Vous utilisez l'instance Docker pour télécharger et exécuter l'outil d'installation HDS, qui construit les informations de configuration locale pour tous les nœuds de sécurité des données hybrides. Votre organisation peut avoir besoin d’une licence Docker Desktop. Reportez-vous à la section Configuration minimale du bureau Docker pour plus d'informations. Pour installer et exécuter l'outil de configuration HDS, la machine locale doit disposer de la connectivité décrite dans Exigences de connectivité externe. | ||
10 | Si vous intégrez un proxy avec Hybrid Data Security, assurez-vous qu'il répond aux exigences du serveur proxy. | ||
11 | Si votre organisation utilise la synchronisation du répertoire, créez un groupe dans Active Directory appelé
|
Flux des tâches de déploiement de la sécurité des données hybrides
Avant de commencer
1 | Télécharger les fichiers d'installation Téléchargez le fichier OVA sur votre machine locale pour une utilisation ultérieure. | ||
2 | Créer une configuration ISO pour les hôtes HDS Utilisez l'outil de configuration HDS pour créer un fichier de configuration ISO pour les nœuds de sécurité des données hybrides. | ||
3 | Installer le fichier OVA de l'hôte HDS Créez une machine virtuelle à partir du fichier OVA et effectuez la configuration initiale, telle que les paramètres réseau.
| ||
4 | Configurer la machine virtuelle de sécurité des données hybrides Connectez-vous à la console VM et configurez les informations d'authentification de connexion. Configurez les paramètres réseau pour le nœud si vous ne les avez pas configurés au moment du déploiement OVA. | ||
5 | Télécharger et monter l'ISO de configuration HDS Configurez la machine virtuelle à partir du fichier de configuration ISO que vous avez créé avec l'outil d'installation HDS. | ||
6 | Configurer le nœud HDS pour l'intégration du proxy Si l'environnement réseau nécessite une configuration proxy, spécifiez le type de proxy que vous utiliserez pour le nœud et ajoutez le certificat proxy au magasin d'approbation si nécessaire. | ||
7 | Enregistrer le premier nœud dans le cluster Enregistrez la MV auprès du Cloud Cisco Webex en tant que nœud de sécurité des données hybrides. | ||
8 | Créer et enregistrer d'autres nœuds Terminez la configuration du cluster. | ||
9 | Lancer un essai et passer à la production (chapitre suivant) Jusqu'à ce que vous démarriez un essai, vos nœuds génèrent une alarme indiquant que votre service n'est pas encore activé. |
Télécharger les fichiers d'installation
1 | Connectez-vous à https://admin.webex.com, puis cliquez sur Services. | ||||
2 | Dans la section Services hybrides, recherchez la carte de sécurité des données hybrides, puis cliquez sur Configurer. Si la carte est désactivée ou si vous ne la voyez pas, contactez l’équipe de votre compte ou votre organisation partenaire. Donnez-leur votre numéro de compte et demandez à votre organisation d’activer la sécurité des données hybrides. Pour trouver le numéro de compte, cliquez sur l’engrenage en haut à droite, à côté du nom de votre organisation.
| ||||
3 | Sélectionnez Non pour indiquer que vous n’avez pas encore configuré le nœud, puis cliquez sur Suivant. Le fichier OVA commence automatiquement à se télécharger. Enregistrez le fichier à un emplacement sur votre machine.
| ||||
4 | Sinon, cliquez sur Ouvrir le guide de déploiement pour vérifier si une version ultérieure de ce guide est disponible. |
Créer une configuration ISO pour les hôtes HDS
Le processus de configuration de la sécurité des données hybrides crée un fichier ISO. Vous utilisez ensuite l'ISO pour configurer votre hôte Hybrid Data Security.
Avant de commencer
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cette machine. Le processus de configuration nécessite les informations d'identification d'un compte Control Hub avec des droits d'administrateur complets pour votre organisation.
Si l'outil de configuration HDS fonctionne derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lors de l'affichage du conteneur Docker à l'étape 5. Ce tableau donne quelques variables d'environnement possibles :
Description
Variable
proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT
Proxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT
proxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Proxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Le fichier ISO de configuration que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière copie de ce fichier chaque fois que vous effectuez des modifications de configuration, comme suit :
Identifiants de base de données
Mises à jour des certificats
Modification de la politique d’habilitation
Si vous prévoyez de chiffrer les connexions de base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
1 | Sur la ligne de commande de votre machine, saisissez la commande appropriée pour votre environnement : Dans les environnements normaux :
Dans les environnements FedRAMP :
| ||||||||||||
2 | Pour vous connecter au registre des images Docker, saisissez ce qui suit :
| ||||||||||||
3 | À l'invite du mot de passe, saisissez ce hachage :
| ||||||||||||
4 | Téléchargez la dernière image stable pour votre environnement : Dans les environnements normaux :
Dans les environnements FedRAMP :
| ||||||||||||
5 | Lorsque l'extraction est terminée, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d'exécution, le message « Serveur express à l'écoute sur le port 8080 » s'affiche. | ||||||||||||
6 |
Utilisez un navigateur Web pour accéder à l'hôte local, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié pour ce compte. L'outil affiche alors l'invite de connexion standard. | ||||||||||||
7 | Lorsque vous y êtes invité, saisissez vos identifiants de connexion d’administrateur client Control Hub, puis cliquez sur Se connecter pour autoriser l’accès aux services requis pour la sécurité des données hybrides. | ||||||||||||
8 | Sur la page d'aperçu de l'outil de configuration, cliquez sur Commencer. | ||||||||||||
9 | Sur la page Importation ISO, vous avez les options suivantes :
| ||||||||||||
10 | Vérifiez que votre certificat X.509 répond aux exigences de la section Exigences du certificat X.509.
| ||||||||||||
11 | Saisissez l'adresse de la base de données et le compte pour que HDS accède à votre banque de données clé : | ||||||||||||
12 | Sélectionnez un mode de connexion à la base de données TLS :
Lorsque vous téléchargez le certificat racine (si nécessaire) et cliquez sur Continuer, l'outil de configuration HDS teste la connexion TLS au serveur de base de données. L'outil vérifie également le signataire du certificat et le nom d'hôte, le cas échéant. Si un test échoue, l'outil affiche un message d'erreur décrivant le problème. Vous pouvez choisir d'ignorer l'erreur et de poursuivre l'installation. (En raison des différences de connectivité, les nœuds HDS peuvent être en mesure d'établir la connexion TLS même si la machine de l'outil de configuration HDS ne peut pas la tester avec succès.) | ||||||||||||
13 | Sur la page Journaux système, configurez votre serveur Syslogd : | ||||||||||||
14 | (Facultatif) Vous pouvez modifier la valeur par défaut de certains paramètres de connexion à la base de données dans Paramètres avancés. En général, ce paramètre est le seul que vous souhaitez modifier :
| ||||||||||||
15 | Cliquez sur Continuer sur l'écran Réinitialiser le mot de passe des comptes de service. Les mots de passe des comptes de service ont une durée de vie de neuf mois. Utilisez cet écran lorsque vos mots de passe arrivent à expiration ou que vous souhaitez les réinitialiser pour invalider les fichiers ISO précédents. | ||||||||||||
16 | Cliquez sur Télécharger le fichier ISO. Enregistrez le fichier dans un emplacement facile à trouver. | ||||||||||||
17 | Effectuez une copie de sauvegarde du fichier ISO sur votre système local. Gardez la copie de sauvegarde sécurisée. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limitez l'accès aux seuls administrateurs de sécurité des données hybrides qui doivent effectuer des modifications de configuration. | ||||||||||||
18 | Pour arrêter l'outil d'installation, tapez |
Que faire ensuite
Sauvegardez le fichier ISO de configuration. Vous en avez besoin pour créer plus de nœuds pour la récupération, ou pour effectuer des modifications de configuration. Si vous perdez toutes les copies du fichier ISO, vous avez également perdu la clé principale. Récupérer les clés de votre base de données PostgreSQL ou Microsoft SQL Server n'est pas possible.
Nous n'avons jamais de copie de cette clé et ne pouvons pas vous aider si vous la perdez. |
Installer le fichier OVA de l'hôte HDS
1 | Utilisez le client VMware vSphere sur votre ordinateur pour vous connecter à l'hôte virtuel ESXi. | ||||||
2 | Sélectionnez FichierDéployer le modèle OVF… | ||||||
3 | Dans l'assistant, spécifiez l'emplacement du fichier OVA que vous avez téléchargé précédemment, puis cliquez sur Suivant. | ||||||
4 | Sur le Sélectionner un nom et un dossier page , saisir un Nom de la machine virtuelle pour le nœud (par exemple, « HDS_Node_1 »), choisissez un emplacement où le déploiement du nœud de la machine virtuelle peut résider, puis cliquez sur Suivant. | ||||||
5 | Sur le Sélectionner une ressource de calcul page , choisissez la ressource de calcul de destination, puis cliquez sur Suivant. Un contrôle de validation est effectué. Une fois terminé, les détails du modèle s'affichent. | ||||||
6 | Vérifiez les détails du modèle, puis cliquez sur Suivant. | ||||||
7 | Si vous êtes invité à choisir la configuration de la ressource sur le Configuration page , cliquez sur 4 UNITÉS CENTRALES puis cliquez sur Suivant. | ||||||
8 | Sur le Sélectionner le stockage page , cliquez sur Suivant pour accepter le format disque par défaut et la politique de stockage des machines virtuelles. | ||||||
9 | Sur le Sélectionner les réseaux, choisissez l’option réseau dans la liste des entrées pour fournir la connectivité souhaitée à la machine virtuelle. | ||||||
10 | Sur la page Personnaliser le modèle, configurez les paramètres réseau suivants :
Si vous préférez, vous pouvez ignorer la configuration du paramètre réseau et suivre les étapes de Configurer la machine virtuelle de sécurité des données hybrides pour configurer les paramètres à partir de la console du nœud.
| ||||||
11 | Faites un clic droit sur la MV du nœud, puis choisissez .Le logiciel de sécurité des données hybrides est installé en tant qu'invité sur l'hôte VM. Vous êtes maintenant prêt à vous connecter à la console et à configurer le nœud. Astuces de dépannage Vous pouvez rencontrer un délai de quelques minutes avant que les conteneurs du nœud affluent. Un message du pare-feu pont apparaît sur la console lors du premier démarrage, au cours de laquelle vous ne pouvez pas vous connecter. |
Configurer la machine virtuelle de sécurité des données hybrides
Utilisez cette procédure pour vous connecter à la console VM du nœud de sécurité des données hybrides pour la première fois et définir les informations d'authentification de connexion. Vous pouvez également utiliser la console pour configurer les paramètres réseau pour le nœud si vous ne les avez pas configurés au moment du déploiement OVA.
1 | Dans le client VMware vSphere, sélectionnez votre VM de nœud de sécurité des données hybrides et sélectionnez l'onglet Console. La machine virtuelle démarre et une invite de connexion apparaît. Si l'invite de connexion ne s'affiche pas, appuyez sur Entrée.
|
2 | Utilisez les identifiants et mots de passe par défaut suivants pour vous connecter et modifier les informations d'authentification : Puisque vous vous connectez à votre machine virtuelle pour la première fois, vous devez changer le mot de passe administrateur. |
3 | Si vous avez déjà configuré les paramètres réseau dans Installer le fichier OVA de l'hôte HDS, ignorez le reste de cette procédure. Sinon, dans le menu principal, sélectionnez l'option Modifier la configuration. |
4 | Configurez une configuration statique avec l'adresse IP, le masque, la passerelle et les informations DNS. Votre nœud doit avoir une adresse IP interne et un nom DNS. DHCP n'est pas pris en charge. |
5 | (Facultatif) Modifiez le nom d'hôte, le domaine ou le(s) serveur(s) NTP, si nécessaire pour correspondre à votre stratégie réseau. Vous n'avez pas besoin de définir le domaine pour qu'il corresponde au domaine que vous avez utilisé pour obtenir le certificat X.509. |
6 | Enregistrez la configuration réseau et redémarrez la machine virtuelle pour que les modifications soient prises en compte. |
Télécharger et monter l'ISO de configuration HDS
Avant de commencer
Étant donné que le fichier ISO contient la clé principale, il ne doit être exposé que sur la base du « besoin d’en connaître », pour l’accès des machines virtuelles de sécurité des données hybrides et des administrateurs qui pourraient avoir besoin d’effectuer des modifications. Assurez-vous que seuls ces administrateurs peuvent accéder à la banque de données.
1 | Téléchargez le fichier ISO depuis votre ordinateur : |
2 | Monter le fichier ISO : |
Que faire ensuite
Si votre politique informatique le nécessite, vous pouvez éventuellement démonter le fichier ISO une fois que tous vos nœuds auront pris en compte les modifications de configuration. Voir (Facultatif) Démonter l'ISO après la configuration HDS pour plus de détails.
Configurer le nœud HDS pour l'intégration du proxy
Si l'environnement réseau nécessite un proxy, utilisez cette procédure pour spécifier le type de proxy que vous souhaitez intégrer à la sécurité des données hybrides. Si vous choisissez un proxy d'inspection transparent ou un proxy explicite HTTPS, vous pouvez utiliser l'interface du nœud pour télécharger et installer le certificat racine. Vous pouvez également vérifier la connexion proxy à partir de l'interface et résoudre les problèmes potentiels.
Avant de commencer
Voir Prise en charge du proxy pour un aperçu des options de proxy prises en charge.
1 | Saisissez l’URL de configuration du nœud HDS |
2 | Allez dans Trust Store & Proxy, puis choisissez une option :
Suivez les étapes suivantes pour un proxy d'inspection transparent, un proxy explicite HTTP avec authentification de base ou un proxy explicite HTTPS. |
3 | Cliquez sur Télécharger un certificat racine ou un certificat d'entité finale, puis naviguez jusqu'à choisir le certificat racine pour le proxy. Le certificat est téléchargé mais pas encore installé car vous devez redémarrer le nœud pour installer le certificat. Cliquez sur la flèche en chevron située à côté du nom de l'émetteur du certificat pour obtenir plus de détails ou cliquez sur Supprimer si vous avez fait une erreur et souhaitez recharger le fichier. |
4 | Cliquez sur Vérifier la connexion proxy pour tester la connectivité réseau entre le nœud et le proxy. Si le test de connexion échoue, vous voyez un message d'erreur qui indique la raison et comment vous pouvez corriger le problème. Si vous voyez un message indiquant que la résolution DNS externe n'a pas réussi, le nœud n'a pas pu atteindre le serveur DNS. Cette condition est attendue dans de nombreuses configurations de proxy explicites. Vous pouvez continuer avec la configuration et le nœud fonctionnera en mode de résolution DNS externe bloquée. Si vous pensez qu'il s'agit d'une erreur, procédez comme suit, puis consultez Désactiver le mode de résolution DNS externe bloqué. |
5 | Une fois le test de connexion réussi, pour le proxy explicite défini sur https uniquement, activez le commutateur pour Router toutes les demandes https du port 443/444 de ce nœud via le proxy explicite. Ce paramètre nécessite 15 secondes pour prendre effet. |
6 | Cliquez sur Installer tous les certificats dans le Trust Store (s'affiche pour un proxy explicite HTTPS ou un proxy d'inspection transparent) ou Redémarrer (s'affiche pour un proxy explicite HTTP), lisez l'invite, puis cliquez sur Installer si vous êtes prêt. Le nœud redémarre en quelques minutes. |
7 | Après le redémarrage du nœud, connectez-vous à nouveau si nécessaire, puis ouvrez la page Aperçu pour vérifier les vérifications de connectivité et vous assurer qu'elles sont toutes en vert. La vérification de la connexion proxy teste uniquement un sous-domaine de webex.com. S'il y a des problèmes de connectivité, un problème courant est que certains des domaines du Cloud répertoriés dans les instructions d'installation sont bloqués au niveau du proxy. |
Enregistrer le premier nœud dans le cluster
Lorsque vous enregistrez votre premier, créer un nœud du cluster auquel est affectée. Un cluster contient un ou plusieurs nœuds déployés pour fournir une redondance.
Avant de commencer
Lorsque vous commencez l'Enregistrement de nœud, vous devez le terminer dans 60 minutes ou vous devrez recommencer.
Vérifiez que tous les bloqueurs de pop-up dans votre navigateur sont désactivés ou que vous autorisez une exception pour admin.webex.com.
1 | Connectez-vous à https://admin.webex.com. |
2 | Dans le menu situé à gauche de l'écran, sélectionnez de services . |
3 | Dans la section Services hybrides, recherchez Sécurité des données hybrides et cliquez sur Configurer. La page Enregistrer le nœud de sécurité des données hybrides s'affiche.
|
4 | Sélectionnez Oui pour indiquer que vous avez configuré le nœud et que vous êtes prêt à l'enregistrer, puis cliquez sur Suivant. |
5 | Dans le premier champ, saisissez un nom pour le cluster auquel vous souhaitez affecter votre nœud de sécurité des données hybrides. Nous vous recommandons lorsque le nom de cluster sur les nœuds du cluster sont limités géographiquement. Exemples : "San Francisco" ou "New York" ou "Dallas" |
6 | Dans le second champ, saisissez l'adresse IP interne ou le nom de domaine complet (FDQN) de votre nœud et cliquez sur Suivant. Cette adresse IP ou FQDN doit correspondre à l'adresse IP ou au nom d'hôte et au domaine que vous avez utilisés dans Configurer la machine virtuelle de sécurité des données hybrides. Un message s'affiche indiquant que vous pouvez enregistrer votre nœud sur Webex.
|
7 | Cliquez sur Aller sur le noeud. |
8 | Cliquez sur Continuer dans la message. Après quelques instants, vous êtes redirigé vers les tests de connectivité du nœud pour les services Webex. Si tous les tests ont réussi, la page Autoriser l'accès au nœud de sécurité des données hybrides s'affiche. Là, vous confirmez que vous souhaitez accorder des autorisations à votre organisation Webex pour accéder à votre nœud.
|
9 | Cochez la case Autoriser l'accès à votre nœud de sécurité des données hybrides, puis cliquez sur Continuer. Votre compte est validé et le message « Inscription terminée » indique que votre nœud est maintenant enregistré sur le Cloud Webex.
|
10 | Cliquez sur le lien ou fermez l’onglet pour revenir à la page Sécurité des données hybrides du Control Hub. Sur la page Sécurité des données hybrides, le nouveau cluster contenant le nœud que vous avez enregistré s'affiche. Le nœud téléchargera automatiquement le dernier logiciel à partir du Cloud.
|
Créer et enregistrer d'autres nœuds
À l'heure actuelle, les machines virtuelles de sauvegarde que vous avez créées dans Terminer les prérequis pour la sécurité des données hybrides sont des hôtes de secours qui ne sont utilisés qu'en cas de reprise après sinistre ; elles ne sont pas enregistrées sur le système jusque-là. Pour plus de détails, voir Reprise après sinistre à l'aide du centre de données de secours. |
Avant de commencer
Lorsque vous commencez l'Enregistrement de nœud, vous devez le terminer dans 60 minutes ou vous devrez recommencer.
Vérifiez que tous les bloqueurs de pop-up dans votre navigateur sont désactivés ou que vous autorisez une exception pour admin.webex.com.
1 | Créez une nouvelle machine virtuelle à partir du fichier OVA, en répétant les étapes dans Installer le fichier OVA de l'hôte HDS. |
2 | Configurez la configuration initiale sur la nouvelle machine virtuelle, en répétant les étapes décrites dans Configurer la machine virtuelle de sécurité des données hybrides. |
3 | Sur la nouvelle machine virtuelle, répétez les étapes décrites dans Charger et monter l'ISO de configuration HDS. |
4 | Si vous configurez un proxy pour votre déploiement, répétez les étapes de Configurer le nœud HDS pour l'intégration du proxy si nécessaire pour le nouveau nœud. |
5 | Enregistrer le nœud. Votre nœud est enregistré. Notez que jusqu'à ce que vous démarriez un essai, vos nœuds génèrent une alarme indiquant que votre service n'est pas encore activé.
|
Que faire ensuite
Flux des tâches d'essai à production
Après avoir configuré un cluster de sécurité des données hybrides, vous pouvez démarrer un pilote, y ajouter des utilisateurs et commencer à l'utiliser pour tester et vérifier votre déploiement en vue de la mise en production.
Avant de commencer
1 | Le cas échéant, synchronisez le Si votre organisation utilise la synchronisation du répertoire pour les utilisateurs, vous devez sélectionner le |
2 |
Démarrer un essai. Jusqu'à ce que vous effectuiez cette tâche, vos nœuds génèrent une alarme indiquant que le service n'est pas encore activé. |
3 | Tester votre déploiement de sécurité des données hybrides Vérifiez que les demandes clés sont transmises à votre déploiement de sécurité des données hybrides. |
4 | Surveiller la santé de la sécurité des données hybrides Vérifiez le statut et configurez les notifications par courrier électronique pour les alarmes. |
5 | |
6 | Terminez la phase d’essai avec l’une des actions suivantes : |
Activer l’essai
Avant de commencer
Si votre organisation utilise la synchronisation du répertoire pour les utilisateurs, vous devez sélectionner le HdsTrialGroup
objet de groupe pour la synchronisation vers le Cloud avant de pouvoir démarrer un essai pour votre organisation. Pour des instructions, reportez-vous au Guide de déploiement de Cisco Directory Connector.
1 | Connectez-vous à https://admin.webex.com, puis sélectionnez Services. |
2 | Sous Sécurité des données hybrides, cliquez sur Paramètres. |
3 | Dans la section Service Status, cliquez sur Start Trial. L'état du service passe en mode d'évaluation.
|
4 | Cliquez sur Ajouter des utilisateurs et saisissez l'adresse électronique d'un ou plusieurs utilisateurs à utiliser vos nœuds de sécurité des données hybrides pour les services de chiffrement et d'indexation. (Si votre organisation utilise la synchronisation du répertoire, utilisez Active Directory pour gérer le groupe d'essai, |
Tester votre déploiement de sécurité des données hybrides
Avant de commencer
Configurez votre déploiement de sécurité des données hybrides.
Activez la version d’évaluation et ajoutez plusieurs utilisateurs de la version d’évaluation.
Assurez-vous que vous avez accès au syslog pour vérifier que les demandes de clés sont transmises à votre déploiement de sécurité des données hybrides.
1 | Les clés d’un espace donné sont définies par le créateur de l’espace. Connectez-vous à l’application Webex en tant qu’un des utilisateurs pilotes, puis créez un espace et invitez au moins un utilisateur pilote et un utilisateur non pilote.
| ||
2 | Envoyer des messages au nouvel espace. | ||
3 | Vérifiez la sortie syslog pour vérifier que les demandes de clés sont transmises à votre déploiement de sécurité des données hybrides. |
Surveiller la santé de la sécurité des données hybrides
1 | Dans Control Hub, sélectionnez Services dans le menu situé à gauche de l’écran. |
2 | Dans la section Services hybrides, recherchez Sécurité des données hybrides et cliquez sur Paramètres. La page Paramètres de sécurité des données hybrides s'affiche.
|
3 | Dans la section Notifications par courrier électronique, saisissez une ou plusieurs adresses électroniques séparées par des virgules, puis appuyez sur Entrée. |
Ajouter ou supprimer des utilisateurs de votre essai
Si vous supprimez un utilisateur de la version d'évaluation, le client de l'utilisateur demandera des clés et la création de clés à partir du KMS du Cloud au lieu de votre KMS. Si le client a besoin d'une clé stockée sur votre KMS, le KMS cloud la récupérera pour le compte de l'utilisateur.
Si votre organisation utilise la synchronisation du répertoire, utilisez Active Directory (au lieu de cette procédure) pour gérer le groupe d’essai, HdsTrialGroup
; vous pouvez afficher les membres du groupe dans le Control Hub mais vous ne pouvez pas les ajouter ou les supprimer.
1 | Connectez-vous au Control Hub, puis sélectionnez Services. |
2 | Sous Sécurité des données hybrides, cliquez sur Paramètres. |
3 | Dans la section Mode d'essai de la zone Statut du service, cliquez sur Ajouter des utilisateurs, ou cliquez sur Afficher et modifier pour supprimer des utilisateurs de l'essai. |
4 | Saisissez l'adresse électronique d'un ou plusieurs utilisateurs à ajouter, ou cliquez sur le X d'un ID utilisateur pour supprimer l'utilisateur de l'essai. Cliquez ensuite sur Enregistrer . |
Passer de l'essai à la production
1 | Connectez-vous au Control Hub, puis sélectionnez Services. |
2 | Sous Sécurité des données hybrides, cliquez sur Paramètres. |
3 | Dans la section Service Status, cliquez sur Move to Production. |
4 | Confirmez que vous souhaitez déplacer tous vos utilisateurs vers la production. |
Mettre fin à votre essai sans passer à la production
1 | Connectez-vous au Control Hub, puis sélectionnez Services. |
2 | Sous Sécurité des données hybrides, cliquez sur Paramètres. |
3 | Dans la section Désactiver, cliquez sur Désactiver. |
4 | Confirmez que vous souhaitez désactiver le service et mettre fin à l’essai. |
Gérer le déploiement HDS
Utilisez les tâches décrites ici pour gérer votre déploiement de sécurité des données hybrides.
Configurer le calendrier de mise à niveau du cluster
Pour définir le calendrier de mise à niveau :
1 | Connectez-vous au Control Hub. |
2 | Sur la page Aperçu, sous Services hybrides, sélectionnez Sécurité des données hybrides. |
3 | Sur la page Ressources de sécurité des données hybrides, sélectionnez le cluster. |
4 | Dans le panneau Aperçu sur la droite, sous Paramètres du cluster, sélectionnez le nom du cluster. |
5 | Sur la page Paramètres, sous Mise à jour, sélectionnez l'heure et le fuseau horaire pour la programmation de la mise à jour. Remarque : Sous le fuseau horaire, la date et l'heure de mise à niveau suivantes s'affichent. Vous pouvez reporter la mise à jour le jour suivant, si nécessaire, en cliquant sur Reporter. |
Modifier la configuration du nœud
Modification des certificats x.509 en raison de leur expiration ou pour d'autres raisons.
Nous ne prenons pas en charge la modification du nom de domaine CN d'un certificat. Le domaine doit correspondre au domaine d'origine utilisé pour enregistrer le cluster.
Mise à jour des paramètres de la base de données pour passer à une réplique de la base de données PostgreSQL ou Microsoft SQL Server.
Nous ne prenons pas en charge la migration des données de PostgreSQL vers Microsoft SQL Server, ou l'inverse. Pour changer l'environnement de la base de données, démarrez un nouveau déploiement de la sécurité des données hybrides.
Création d'une nouvelle configuration pour préparer un nouveau centre de données.
Pour des raisons de sécurité, la sécurité des données hybrides utilise les mots de passe du compte de service ayant une durée de validité de 9 mois. L'outil de configuration HDS génère ces mots de passe et vous les déployez sur chacun de vos nœuds HDS dans le cadre du fichier de configuration ISO. Lorsque l'expiration des mots de passe de votre organisation approche, vous recevez un « Avis d'expiration du mot de passe » de Webex Teams, vous demandant de réinitialiser le mot de passe du compte de votre machine. (L'e-mail comprend le texte « Utiliser l' API du compte machine pour mettre à jour le mot de passe. ») Si vos mots de passe n'ont pas encore expiré, l'outil vous propose deux options :
Réinitialisation logicielle : l’ancien et le nouveau mot de passe fonctionnent tous les deux jusqu’à 10 jours. Utilisez cette période pour remplacer progressivement le fichier ISO sur les nœuds.
Réinitialisation matérielle : les anciens mots de passe cessent de fonctionner immédiatement.
Si vos mots de passe expirent sans réinitialisation, cela a un impact sur votre service HDS, nécessitant une réinitialisation matérielle immédiate et le remplacement du fichier ISO sur tous les nœuds.
Utilisez cette procédure pour générer un nouveau fichier ISO de configuration et l'appliquer à votre cluster.
Avant de commencer
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cette machine. Le processus de configuration nécessite les informations d'identification d'un compte Control Hub avec des droits d'administrateur complets pour votre organisation.
Si l'outil de configuration HDS fonctionne derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lors de l'affichage du conteneur Docker dans 1.e. Ce tableau donne quelques variables d'environnement possibles :
Description
Variable
proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT
Proxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT
proxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Proxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Vous devez avoir une copie du fichier ISO de configuration actuel pour générer une nouvelle configuration. L'ISO contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de l'ISO lorsque vous apportez des modifications à la configuration, y compris les informations d'identification de la base de données, les mises à jour de certificats ou les modifications apportées à la stratégie d'autorisation.
1 | En utilisant le Docker sur un ordinateur local, exécutez l’outil d’installation HDS. |
2 | Si vous n'avez qu'un nœud HDS en cours d'exécution, créez un nouveau nœud virtuel MV et enregistrez-le à l'aide du nouveau fichier ISO de configuration. Pour des instructions plus détaillées, voir Créer et enregistrer d'autres nœuds. |
3 | Pour les nœuds HDS existants qui exécutent l'ancien fichier de configuration, montez le fichier ISO. Effectuez la procédure suivante sur chaque nœud à tour de rôle, en mettant à jour chaque nœud avant de désactiver le nœud suivant : |
4 | répétez l'étape 3 pour remplacer la configuration sur chaque nœud restant qui exécute l'ancienne configuration. |
Désactiver le mode de résolution DNS externe bloqué
Lorsque vous enregistrez un nœud ou vérifiez la configuration du proxy du nœud, le processus teste la recherche DNS et la connectivité au Cloud Cisco Webex. Si le serveur DNS du nœud ne peut pas résoudre les noms DNS publics, le nœud passe automatiquement en mode de résolution DNS externe bloquée.
Si vos nœuds sont en mesure de résoudre les noms DNS publics via des serveurs DNS internes, vous pouvez désactiver ce mode en réexécutant le test de connexion proxy sur chaque nœud.
Avant de commencer
1 | Dans un navigateur Web, ouvrez l'interface du nœud de sécurité des données hybrides (adresse IP/configuration, par exemple, https://192.0.2.0/setup), saisissez les informations d'authentification d'administrateur que vous avez configurées pour le nœud, puis cliquez sur Connexion. |
2 | Allez à Aperçu (la page par défaut). Lorsqu'elle est activée, Résolution DNS externe bloquée est défini sur Oui . |
3 | Rendez-vous sur la page Trust Store & Proxy. |
4 | Cliquez sur Vérifier la connexion au proxy. Si vous voyez un message indiquant que la résolution DNS externe n'a pas réussi, le nœud n'a pas pu atteindre le serveur DNS et restera dans ce mode. Sinon, après avoir redémarré le nœud et revenir à la page Aperçu, la résolution DNS externe bloquée doit être définie sur non. |
Que faire ensuite
Supprimer un nœud
1 | Utilisez le client VMware vSphere sur votre ordinateur pour vous connecter à l'hôte virtuel ESXi et éteindre la machine virtuelle. |
2 | Supprimer le nœud : |
3 | Dans le client vSphere, supprimez la VM. (Dans le volet de navigation de gauche, faites un clic droit sur la VM et cliquez sur Supprimer.) Si vous ne supprimez pas la machine virtuelle, n'oubliez pas de démonter le fichier ISO de configuration. Sans le fichier ISO, vous ne pouvez pas utiliser la machine virtuelle pour accéder à vos données de sécurité. |
Récupération après sinistre à l'aide du centre de données en attente
Le service le plus critique fourni par votre cluster de sécurité des données hybrides est la création et le stockage des clés utilisées pour chiffrer les messages et autres contenus stockés dans le Cloud Webex. Pour chaque utilisateur de l’organisation affecté à la sécurité des données hybrides, les nouvelles demandes de création de clés sont acheminées vers le cluster. Le cluster est également responsable de retourner les clés qu'il a créées à tous les utilisateurs autorisés à les récupérer, par exemple, les membres d'un espace de conversation.
Étant donné que le cluster remplit la fonction critique de fournir ces clés, il est impératif que le cluster continue de fonctionner et que des sauvegardes adéquates soient maintenues. La perte de la base de données Hybrid Data Security ou de l’ISO de configuration utilisé pour le schéma entraînera une PERTE IRRÉCUPÉRABLE de contenu client. Les pratiques suivantes sont obligatoires pour prévenir une telle perte :
Si un sinistre provoque l'indisponibilité du déploiement HDS dans le centre de données principal, suivez cette procédure pour basculer manuellement vers le centre de données de secours.
1 | Démarrez l'outil de configuration HDS et suivez les étapes mentionnées dans Créer une configuration ISO pour les hôtes HDS. | ||
2 | Après avoir configuré le serveur Syslogd, cliquez sur Paramètres avancés | ||
3 | Sur la page Paramètres avancés, ajoutez la configuration ci-dessous ou supprimez le
| ||
4 | Terminez le processus de configuration et enregistrez le fichier ISO dans un emplacement facile à trouver. | ||
5 | Effectuez une copie de sauvegarde du fichier ISO sur votre système local. Gardez la copie de sauvegarde sécurisée. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limitez l'accès aux seuls administrateurs de sécurité des données hybrides qui doivent effectuer des modifications de configuration. | ||
6 | Dans le volet de navigation gauche du client VMware vSphere, faites un clic droit sur la VM et cliquez sur Edit Settings.. | ||
7 | Cliquez sur Edit Settings >CD/DVD Drive 1 et sélectionnez Datastore ISO File.
| ||
8 | Mettez le nœud HDS sous tension et assurez-vous qu'il n'y a pas d'alarmes pendant au moins 15 minutes. | ||
9 | Répétez le processus pour chaque nœud du centre de données en veille.
|
Que faire ensuite
(Facultatif) Démonter l'ISO après la configuration HDS
La configuration HDS standard s'exécute avec l'ISO monté. Mais certains clients préfèrent ne pas laisser des fichiers ISO montés en continu. Vous pouvez démonter le fichier ISO une fois que tous les nœuds HDS ont récupéré la nouvelle configuration.
Vous utilisez toujours les fichiers ISO pour effectuer des modifications de configuration. Lorsque vous créez un nouvel ISO ou mettez à jour un ISO via l'outil de configuration, vous devez monter l'ISO mis à jour sur tous vos nœuds HDS. Une fois que tous vos nœuds ont capté les modifications de configuration, vous pouvez démonter l'ISO à nouveau avec cette procédure.
Avant de commencer
Effectuez la mise à niveau de tous vos nœuds HDS vers la version 2021.01.22.4720 ou ultérieure.
1 | Arrêtez l'un de vos nœuds HDS. |
2 | Dans vCenter Server Appliance, sélectionnez le nœud HDS. |
3 | Choisissez Fichier ISO Datastore. et décocher |
4 | Mettez le nœud HDS sous tension et assurez-vous qu'il n'y a pas d'alarmes pendant au moins 20 minutes. |
5 | Répétez l'opération pour chaque nœud HDS. |
Afficher les alertes et dépannage
Un déploiement de sécurité des données hybrides est considéré comme indisponible si tous les nœuds du cluster sont inaccessibles, ou si le cluster fonctionne si lentement qu'il demande un délai d'expiration. Si les utilisateurs ne peuvent pas atteindre votre cluster de sécurité des données hybrides, ils présentent les symptômes suivants :
Les nouveaux espaces ne peuvent pas être créés (impossible de créer de nouvelles clés)
Les messages et les titres des espaces ne parviennent pas à être déchiffrés pour :
Nouveaux utilisateurs ajoutés à un espace (impossible de récupérer les clés)
Utilisateurs existants dans un espace utilisant un nouveau client (impossible de récupérer les clés)
Les utilisateurs existants dans un espace continueront à fonctionner avec succès tant que leurs clients ont un cache des clés de chiffrement
Il est important que vous surveilliez correctement votre cluster de sécurité des données hybrides et que vous répondiez rapidement à toutes les alertes pour éviter toute interruption de service.
Alertes
S’il y a un problème avec la configuration de la sécurité des données hybrides, le Control Hub affiche des alertes à l’administrateur de l’organisation et envoie des courriers électroniques à l’adresse électronique configurée. Les alertes couvrent de nombreux scénarios courants.
Alerte | Action |
---|---|
Échec de l'accès à la base de données locale. |
Vérifiez les erreurs de base de données ou les problèmes de réseau local. |
Échec de connexion à la base de données locale. |
Vérifiez que le serveur de base de données est disponible et que les bons identifiants de compte de service ont été utilisés dans la configuration du nœud. |
Échec de l’accès au service Cloud. |
Vérifiez que les nœuds peuvent accéder aux serveurs Webex comme spécifié dans Exigences de connectivité externe. |
Renouvellement de l’inscription au service cloud. |
L’inscription aux services du Cloud a été supprimée. Le renouvellement de l’inscription est en cours. |
L’enregistrement du service Cloud a été abandonné. |
L’inscription aux services du Cloud a pris fin. Le service s'arrête. |
Le service n'est pas encore activé. |
Activez un essai ou terminez le déplacement de l'essai en production. |
Le domaine configuré ne correspond pas au certificat du serveur. |
Vérifiez que le certificat de votre serveur correspond au domaine d'activation du service configuré. La cause la plus probable est que le NC du certificat a récemment été modifié et est maintenant différent du NC qui a été utilisé lors de l'installation initiale. |
Échec de l’authentification aux services du Cloud. |
Vérifiez l'exactitude et l'expiration possible des informations d'authentification du compte de service. |
Impossible d’ouvrir le fichier du magasin de clés local. |
Vérifiez l'intégrité et l'exactitude du mot de passe sur le fichier du magasin de clés local. |
Le certificat du serveur local n'est pas valide. |
Vérifiez la date d'expiration du certificat du serveur et confirmez qu'il a été émis par une autorité de certification approuvée. |
Impossible de publier les mesures. |
Vérifiez l’accès du réseau local aux services de cloud externes. |
Le répertoire /media/configdrive/hds n'existe pas. |
Vérifiez la configuration du montage ISO sur l'hôte virtuel. Vérifiez que le fichier ISO existe, qu'il est configuré pour être monté au redémarrage et qu'il est monté avec succès. |
Dépannage de la sécurité des données hybrides
1 | Vérifiez le Control Hub pour toutes les alertes et corrigez tous les éléments que vous y trouvez. |
2 | Vérifiez la sortie du serveur syslog pour l'activité du déploiement de sécurité des données hybrides. |
3 | Contactez l’assistance Cisco. |
Problèmes connus pour la sécurité des données hybrides
Si vous arrêtez votre cluster de sécurité des données hybrides (en le supprimant dans le Control Hub ou en fermant tous les nœuds), perdez votre fichier ISO de configuration ou perdez l’accès à la base de données keystore, vos utilisateurs de l’application Webex ne peuvent plus utiliser les espaces de leur liste de personnes qui ont été créés avec les clés de votre KMS. Cela s’applique aussi bien aux déploiements d’essai qu’aux déploiements de production. Nous n'avons actuellement pas de solution de contournement ou de solution pour ce problème et vous invitons à ne pas fermer vos services HDS une fois qu'ils traitent des comptes utilisateurs actifs.
Un client qui dispose d'une connexion ECDH existante à un KMS conserve cette connexion pendant un certain temps (probablement une heure). Lorsqu'un utilisateur devient membre d'un essai de sécurité des données hybrides, le client de l'utilisateur continue à utiliser la connexion ECDH existante jusqu'à ce qu'elle expire. Sinon, l’utilisateur peut se déconnecter et se reconnecter à l’application Webex pour mettre à jour l’emplacement que l’application contacte pour les clés de chiffrement.
Le même comportement se produit lorsque vous déplacez un essai en production pour l’organisation. Tous les utilisateurs sans essai ayant des connexions ECDH existantes aux services de sécurité des données précédents continueront d'utiliser ces services jusqu'à ce que la connexion ECDH soit renégociée (par expiration ou déconnexion et retour).
Utiliser OpenSSL pour générer un fichier PKCS12
Avant de commencer
OpenSSL est un outil qui peut être utilisé pour faire le fichier PKCS12 au format approprié pour le chargement dans l'outil de configuration HDS. Il y a d'autres façons de le faire, et nous ne soutenons ni ne promouvons d'une manière plutôt que d'une autre.
Si vous choisissez d'utiliser OpenSSL, nous fournissons cette procédure comme ligne directrice pour vous aider à créer un fichier qui répond aux exigences de certificat X.509 dans Exigences de certificat X.509. Comprenez ces exigences avant de continuer.
Installer OpenSSL dans un environnement pris en charge. Voir https://www.openssl.org pour le logiciel et la documentation.
Créer une clé privée.
Démarrez cette procédure lorsque vous recevez le certificat du serveur de votre autorité de certification (AC).
1 | Lorsque vous recevez le certificat du serveur de votre autorité de certification, enregistrez-le sous |
2 | Affichez le certificat sous forme de texte et vérifiez les détails.
|
3 | Utilisez un éditeur de texte pour créer un fichier d'ensemble de certificats appelé
|
4 | Créez le fichier .p12 avec le nom convivial
|
5 | Vérifiez les détails du certificat du serveur. |
Que faire ensuite
Retournez à Remplir les conditions préalables à la sécurité des données hybrides. Vous utiliserez le hdsnode.p12
et le mot de passe que vous avez défini pour celui-ci, dans Créer une configuration ISO pour les hôtes HDS.
Vous pouvez réutiliser ces fichiers pour demander un nouveau certificat lorsque le certificat d'origine expire. |
Trafic entre les nœuds HDS et le Cloud
Trafic de collecte des métriques sortantes
Les nœuds de sécurité des données hybrides envoient certaines mesures au Cloud Webex. Ceux-ci comprennent des mesures système pour le maximum de tas, le tas utilisé, la charge du CPU et le nombre de threads ; des mesures sur les threads synchrones et asynchrones ; des mesures sur les alertes impliquant un seuil de connexions de chiffrement, la latence ou la longueur d'une file d'attente de demandes ; des mesures sur la banque de données ; et des mesures de connexion de chiffrement. Les nœuds envoient du matériel de clé chiffrée sur un canal hors bande (séparé de la demande).
Trafic entrant
Les nœuds de sécurité des données hybrides reçoivent les types de trafic entrant suivants à partir du Cloud Webex :
Demandes de chiffrement des clients, qui sont acheminées par le service de chiffrement
Mises à niveau du logiciel du nœud
Configurer des proxys Squid pour la sécurité des données hybrides
Websocket ne peut pas se connecter via le proxy Squid
Les proxys SQUID qui inspectent le trafic HTTPS peuvent interférer avec l'établissement de websocket ( wss:
) les connexions requises par Hybrid Data Security. Ces sections donnent des conseils sur la façon de configurer différentes versions de Squid à ignorer wss:
le trafic pour le bon fonctionnement des services.
Calamars 4 et 5
Ajouter le on_unsupported_protocol
directive à squid.conf
:
on_unsupported_protocol tunnel all
Calamar 3.5.27
Nous avons testé avec succès la sécurité des données hybrides avec les règles suivantes ajoutées à squid.conf
. Ces règles sont susceptibles d’être modifiées au fur et à mesure que nous développons des fonctionnalités et mettons à jour le Cloud Webex.
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all
Informations nouvelles et modifiées
Date | Modifications effectuées | ||
---|---|---|---|
20 octobre 2023 |
| ||
07 août 2023 |
| ||
23 mai 2023 |
| ||
06 décembre 2022 |
| ||
23 novembre 2022 |
| ||
13 octobre 2021 | Docker Desktop doit exécuter un programme d'installation avant de pouvoir installer les nœuds HDS. Voir Configuration minimale du bureau Docker. | ||
24 juin 2021 | Notez que vous pouvez réutiliser le fichier de clé privée et le CSR pour demander un autre certificat. Voir Utiliser OpenSSL pour générer un fichier PKCS12 pour plus de détails. | ||
30 avril 2021 | Modification de l'exigence de la machine virtuelle pour l'espace du disque dur local à 30 Go. Voir Exigences relatives à l'organisateur virtuel pour plus de détails. | ||
24 février 2021 | L'outil de configuration HDS peut maintenant s'exécuter derrière un proxy. Voir Créer une configuration ISO pour les hôtes HDS pour plus de détails. | ||
2 février 2021 | HDS peut maintenant fonctionner sans fichier ISO monté. Voir (Facultatif) Démonter l'ISO après la configuration HDS pour plus de détails. | ||
11 janvier 2021 | Ajout d'informations sur l'outil de configuration HDS et les proxys pour Créer une configuration ISO pour les hôtes HDS. | ||
13 octobre 2020 | Mise à jour de Télécharger les fichiers d'installation. | ||
8 octobre 2020 | Mise à jour de Créer une configuration ISO pour les hôtes HDS et Modifier la configuration du nœud avec les commandes pour les environnements FedRAMP. | ||
14 août 2020 | Mise à jour de Créer une configuration ISO pour les hôtes HDS et Modifier la configuration du nœud avec des modifications au processus de connexion. | ||
5 août 2020 | Mise à jour de Tester votre déploiement de sécurité des données hybrides pour les modifications apportées aux messages des journaux. Mise à jour des Exigences des organisateurs virtuels pour supprimer le nombre maximum d'organisateurs. | ||
16 juin 2020 | Mise à jour de Supprimer un nœud pour les modifications de l’interface utilisateur du Control Hub. | ||
4 juin 2020 | Mise à jour de Créer une configuration ISO pour les hôtes HDS pour les modifications apportées aux paramètres avancés que vous pouvez définir. | ||
29 mai 2020 | Mise à jour de Créer une ISO de configuration pour les hôtes HDS pour montrer que vous pouvez également utiliser TLS avec les bases de données SQL Server, les modifications de l'interface utilisateur et d'autres clarifications. | ||
5 mai 2020 | Mise à jour des Exigences de l'hôte virtuel pour afficher les nouvelles exigences d'ESXi 6.5. | ||
21 avril 2020 | Mise à jour des exigences de connectivité externe avec les nouveaux hôtes CI Americas. | ||
1er avril 2020 | Mise à jour des Exigences de connectivité externe avec des informations sur les hôtes CI régionaux. | ||
20 février 2020 | Mise à jour de Créer une configuration ISO pour les hôtes HDS avec des informations sur le nouvel écran optionnel Paramètres avancés dans l'outil de configuration HDS. | ||
4 février 2020 | Mise à jour des Exigences du serveur proxy. | ||
16 décembre 2019 | Clarification de l'exigence de fonctionnement du mode de résolution DNS externe bloqué dans Exigences du serveur proxy. | ||
19 novembre 2019 | Ajout d'informations sur le mode de résolution DNS externe bloqué dans les sections suivantes : | ||
8 novembre 2019 | Vous pouvez maintenant configurer les paramètres réseau pour un nœud lors du déploiement du fichier OVA plutôt que par la suite. Mise à jour des sections suivantes en conséquence :
| ||
6 septembre 2019 | Ajout du standard SQL Server aux exigences du serveur de base de données. | ||
29 août 2019 | Ajout de l'annexe Configurer les proxys Squid pour la sécurité des données hybrides avec des instructions sur la configuration des proxys Squid pour ignorer le trafic websocket pour le bon fonctionnement. | ||
20 août 2019 | Ajout et mise à jour de sections pour couvrir la prise en charge du proxy pour les communications du nœud de sécurité des données hybrides vers le Cloud Webex. Pour accéder uniquement au contenu de la prise en charge du proxy pour un déploiement existant, consultez l’article d’aide Prise en charge du proxy pour la sécurité des données hybrides et le maillage vidéo Webex. | ||
13 juin 2019 | Mise à jour du Flux des tâches d'essai en production avec un rappel pour synchroniser le HdsTrialGroup de groupe avant de démarrer un essai si votre organisation utilise la synchronisation du répertoire. | ||
6 mars 2019 |
| ||
28 février 2019 |
| ||
26 février 2019 |
| ||
24 janvier 2019 |
| ||
5 novembre 2018 |
| ||
19 octobre 2018 |
| ||
31 juillet 2018 |
| ||
21 mai 2018 | Terminologie modifiée pour refléter la nouvelle charte graphique de Cisco Spark :
| ||
11 avril 2018 |
| ||
22 février 2018 |
| ||
15 février 2018 |
| ||
18 janvier 2018 |
| ||
2 novembre 2017 |
| ||
18 août 2017 | Première publication |
Présentation de la sécurité des données hybrides
Dès le premier jour, la sécurité des données a été au cœur de la conception de l’application Webex. La pierre angulaire de cette sécurité est le chiffrement du contenu de bout en bout, activé par les clients de l’application Webex qui interagissent avec le service de gestion des clés (KMS). Le KMS est responsable de la création et de la gestion des clés cryptographiques que les clients utilisent pour crypter et décrypter dynamiquement les messages et les fichiers.
Par défaut, tous les clients de l’application Webex bénéficient d’un chiffrement de bout en bout avec des clés dynamiques stockées dans le cloud KMS, dans le domaine de sécurité de Cisco. La sécurité des données hybrides déplace le KMS et d'autres fonctions liées à la sécurité vers le centre de données de votre entreprise, de sorte que personne d'autre que vous ne détient les clés de votre contenu chiffré.
Architecture du domaine de sécurité
L’architecture du Cloud Webex sépare les différents types de service dans des domaines distincts, ou domaines de confiance, comme illustré ci-dessous.
Pour mieux comprendre la sécurité des données hybrides, examinons d’abord ce cas purement cloud, où Cisco fournit toutes les fonctions dans ses domaines cloud. Le service d'identité, le seul endroit où les utilisateurs peuvent être directement corrélés avec leurs informations personnelles telles que leur adresse électronique, est logiquement et physiquement séparé du domaine de sécurité dans le centre de données B. Les deux sont à leur tour séparés du domaine où le contenu chiffré est finalement stocké, dans le centre de données C.
Dans ce diagramme, le client est l’application Webex exécutée sur l’ordinateur portable d’un utilisateur et s’est authentifié auprès du service d’identité. Lorsque l’utilisateur compose un message à envoyer à un espace, les étapes suivantes ont lieu :
Le client établit une connexion sécurisée avec le service de gestion des clés (KMS), puis demande une clé pour chiffrer le message. La connexion sécurisée utilise ECDH et le KMS chiffre la clé à l'aide d'une clé principale AES-256.
Le message est chiffré avant de quitter le client. Le client l'envoie au service d'indexation, qui crée des index de recherche chiffrés pour faciliter les recherches futures du contenu.
Le message chiffré est envoyé au service de conformité pour vérification de conformité.
Le message chiffré est stocké dans le domaine de stockage.
Lorsque vous déployez la sécurité des données hybrides, vous déplacez les fonctions du domaine de sécurité (KMS, indexation et conformité) vers votre centre de données sur site. Les autres services cloud qui composent Webex (y compris le stockage de l’identité et du contenu) restent dans les royaumes de Cisco.
Collaborer avec d’autres organisations
Les utilisateurs de votre organisation peuvent régulièrement utiliser l’application Webex pour collaborer avec des participants externes d’autres organisations. Lorsque l’un de vos utilisateurs demande une clé pour un espace appartenant à votre organisation (car il a été créé par l’un de vos utilisateurs), votre KMS envoie la clé au client via un canal sécurisé ECDH. Cependant, lorsqu’une autre organisation possède la clé de l’espace, votre système KMS achemine la demande vers le Cloud Webex via un canal ECDH séparé pour obtenir la clé du système KMS approprié, puis la renvoie à votre utilisateur sur le canal d’origine.
Le service KMS en cours d'exécution sur l'organisation A valide les connexions aux KMS dans d'autres organisations en utilisant les certificats PKI x.509. Voir Préparer votre environnement pour plus d'informations sur la génération d'un certificat x.509 à utiliser avec votre déploiement Hybrid Data Security.
Attentes concernant le déploiement de la sécurité des données hybrides
Un déploiement de sécurité des données hybrides nécessite un engagement client significatif et une prise de conscience des risques liés à la possession de clés de chiffrement.
Pour déployer la sécurité des données hybrides, vous devez fournir :
Un centre de données sécurisé dans un pays qui est un emplacement pris en charge pour les abonnements Cisco Webex Teams.
L'équipement, le logiciel et l'accès au réseau décrits dans Préparer votre environnement.
La perte complète de l'ISO de configuration que vous créez pour Hybrid Data Security ou de la base de données que vous fournissez entraînera la perte des clés. La perte de clés empêche les utilisateurs de déchiffrer le contenu de l’espace et d’autres données chiffrées dans l’application Webex. Si cela se produit, vous pouvez créer un nouveau déploiement, mais seul le nouveau contenu sera visible. Pour éviter la perte d’accès aux données, vous devez :
Gérer la sauvegarde et la restauration de la base de données et l’ISO de configuration.
Préparez-vous à effectuer une récupération rapide après sinistre en cas de catastrophe, telle qu'une panne du disque de base de données ou un sinistre du centre de données.
Il n'existe aucun mécanisme pour déplacer les clés vers le Cloud après un déploiement HDS. |
Processus de configuration de haut niveau
Ce document couvre la configuration et la gestion d'un déploiement de sécurité des données hybrides :
Configurer la sécurité des données hybrides—Cela comprend la préparation de l'infrastructure requise et l'installation du logiciel de sécurité des données hybrides, le test de votre déploiement avec un sous-ensemble d'utilisateurs en mode d'essai et, une fois vos tests terminés, la mise en production. Cela convertit toute l’organisation à utiliser votre cluster de sécurité des données hybrides pour les fonctions de sécurité.
Les phases de configuration, d’essai et de production sont abordées en détail dans les trois chapitres suivants.
Maintenez votre déploiement de sécurité des données hybrides — Le Cloud Webex fournit automatiquement des mises à niveau continues. Votre service informatique peut fournir une assistance de premier niveau pour ce déploiement et solliciter l’assistance de Cisco si nécessaire. Vous pouvez utiliser les notifications à l’écran et configurer des alertes par courrier électronique dans le Control Hub.
Comprendre les alertes courantes, les étapes de dépannage et les problèmes connus — Si vous rencontrez des problèmes pour déployer ou utiliser Hybrid Data Security, le dernier chapitre de ce guide et l'annexe Problèmes connus peuvent vous aider à déterminer et résoudre le problème.
Modèle de déploiement de la sécurité des données hybrides
Dans votre centre de données d'entreprise, vous déployez la sécurité des données hybrides en tant que cluster unique de nœuds sur des hôtes virtuels distincts. Les nœuds communiquent avec le Cloud Webex via des websockets sécurisés et un protocole HTTP sécurisé.
Pendant le processus d'installation, nous vous fournissons le fichier OVA pour configurer l'appliance virtuelle sur les machines virtuelles que vous fournissez. Vous utilisez l'outil de configuration HDS pour créer un fichier ISO de configuration de cluster personnalisé que vous montez sur chaque nœud. Le cluster de sécurité des données hybrides utilise votre serveur Syslogd fourni et la base de données PostgreSQL ou Microsoft SQL Server. (Vous configurez les détails de connexion à Syslogd et à la base de données dans l'outil de configuration HDS.)
Le nombre minimum de nœuds que vous pouvez avoir dans un cluster est de deux. Nous en recommandons au moins trois, et vous pouvez en avoir jusqu'à cinq. Avoir plusieurs nœuds garantit que le service n’est pas interrompu au cours d’une mise à niveau logicielle ou d’une autre activité de maintenance sur un nœud. (Le Cloud Webex ne met à niveau qu’un nœud à la fois.)
Tous les nœuds d'un cluster accèdent à la même banque de données clé et enregistrent l'activité sur le même serveur syslog. Les nœuds eux-mêmes sont apatrides et traitent les demandes de clés de manière ronde, comme indiqué par le cloud.
Les nœuds deviennent actifs lorsque vous les enregistrez dans le Control Hub. Pour mettre un nœud individuel hors service, vous pouvez le désenregistrer et le réenregistrer ultérieurement si nécessaire.
Nous ne prenons en charge qu’un seul cluster par organisation.
Mode d'évaluation de la sécurité des données hybrides
Après avoir configuré un déploiement de sécurité des données hybrides, vous l'essayez d'abord avec un ensemble d'utilisateurs pilotes. Pendant la période d'essai, ces utilisateurs utilisent votre domaine de sécurité des données hybrides sur site pour les clés de chiffrement et d'autres services du domaine de sécurité. Vos autres utilisateurs continuent à utiliser le domaine de sécurité du Cloud.
Si vous décidez de ne pas poursuivre le déploiement pendant la période d'essai et de désactiver le service, les utilisateurs pilotes et tous les utilisateurs avec lesquels ils ont interagi en créant de nouveaux espaces pendant la période d'essai perdront l'accès aux messages et au contenu. Ils verront « Ce message ne peut pas être déchiffré » dans l’application Webex.
Si vous êtes convaincu que votre déploiement fonctionne bien pour les utilisateurs de la version d'essai et que vous êtes prêt à étendre la sécurité des données hybrides à tous vos utilisateurs, vous passez le déploiement en production. Les utilisateurs pilotes continuent d'avoir accès aux clés qui ont été utilisées pendant l'essai. Cependant, vous ne pouvez pas passer d'un mode de production à l'essai original. Si vous devez désactiver le service, par exemple pour effectuer une reprise après sinistre, lorsque vous réactivez, vous devez démarrer un nouvel essai et configurer l'ensemble des utilisateurs pilotes pour le nouvel essai avant de revenir en mode de production. Si les utilisateurs conservent l'accès aux données à ce stade dépend de si vous avez réussi à maintenir les sauvegardes de la banque de données clés et du fichier de configuration ISO pour les nœuds de sécurité des données hybrides dans votre cluster.
Centre de données en attente pour la reprise après sinistre
Pendant le déploiement, vous configurez un centre de données de secours sécurisé. En cas de sinistre du centre de données, vous pouvez basculer manuellement votre déploiement vers le centre de données de secours.
Les bases de données des centres de données actifs et en attente sont synchronisées les unes avec les autres, ce qui réduira le temps nécessaire pour effectuer le basculement. Le fichier ISO du centre de données en attente est mis à jour avec des configurations supplémentaires qui garantissent que les nœuds sont enregistrés dans l'organisation, mais ne gèrent pas le trafic. Par conséquent, les nœuds du centre de données en attente restent toujours à jour avec la dernière version du logiciel HDS.
Les nœuds actifs de sécurité des données hybrides doivent toujours être dans le même centre de données que le serveur de base de données actif. |
Configurer le centre de données en attente pour la reprise après sinistre
Suivez les étapes ci-dessous pour configurer le fichier ISO du centre de données en attente :
Avant de commencer
Le centre de données en attente doit refléter l'environnement de production des machines virtuelles et une base de données de sauvegarde PostgreSQL ou Microsoft SQL Server. Par exemple, si la production a 3 machines virtuelles exécutant des nœuds HDS, l'environnement de sauvegarde doit avoir 3 machines virtuelles. (Voir Centre de données en attente pour la reprise après sinistre pour une vue d'ensemble de ce modèle de basculement.)
Assurez-vous que la synchronisation de la base de données est activée entre la base de données des nœuds de cluster actifs et passifs.
1 | Démarrez l'outil de configuration HDS et suivez les étapes mentionnées dans Créer une configuration ISO pour les hôtes HDS.
| ||
2 | Après avoir configuré le serveur Syslogd, cliquez sur Paramètres avancés | ||
3 | Sur la page Paramètres avancés, ajoutez la configuration ci-dessous pour placer le nœud en mode passif. Dans ce mode, le nœud sera enregistré dans l’organisation et connecté au Cloud, mais ne gérera aucun trafic.
| ||
4 | Terminez le processus de configuration et enregistrez le fichier ISO dans un emplacement facile à trouver. | ||
5 | Effectuez une copie de sauvegarde du fichier ISO sur votre système local. Gardez la copie de sauvegarde sécurisée. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limitez l'accès aux seuls administrateurs de sécurité des données hybrides qui doivent effectuer des modifications de configuration. | ||
6 | Dans le volet de navigation gauche du client VMware vSphere, faites un clic droit sur la VM et cliquez sur Edit Settings.. | ||
7 | Cliquez sur Edit Settings >CD/DVD Drive 1 et sélectionnez Datastore ISO File.
| ||
8 | Mettez le nœud HDS sous tension et assurez-vous qu'il n'y a pas d'alarmes pendant au moins 15 minutes. | ||
9 | Répétez le processus pour chaque nœud du centre de données en veille.
|
Que faire ensuite
Après la configuration passiveMode
dans le fichier ISO et en l'enregistrant, vous pouvez créer une autre copie du fichier ISO sans passiveMode
la configuration et l’enregistrer dans un endroit sécurisé. Cette copie du fichier ISO sans passiveMode
configurée peut aider à un processus de basculement rapide pendant la reprise après sinistre. Voir Reprise après sinistre à l'aide du centre de données en veille pour la procédure détaillée de basculement.
Prise en charge du proxy
Hybrid Data Security prend en charge les proxys explicites, transparents et non-inspectés. Vous pouvez lier ces proxys à votre déploiement afin de sécuriser et surveiller le trafic de l'entreprise vers le Cloud. Vous pouvez utiliser une interface d'administration de plateforme sur les nœuds pour la gestion des certificats et pour vérifier l'état général de la connectivité après avoir configuré le proxy sur les nœuds.
Les nœuds de sécurité des données hybrides prennent en charge les options de proxy suivantes :
Aucun proxy—La valeur par défaut si vous n'utilisez pas la configuration du nœud HDS Trust Store & Proxy pour intégrer un proxy. Aucune mise à jour du certificat n'est requise.
Proxy transparent non inspectant – Les nœuds ne sont pas configurés pour utiliser une adresse de serveur proxy spécifique et ne doivent pas nécessiter de modifications pour fonctionner avec un proxy non inspectant. Aucune mise à jour du certificat n'est requise.
Proxy transparent de tunneling ou d'inspection – Les nœuds ne sont pas configurés pour utiliser une adresse de serveur proxy spécifique. Aucun changement de configuration HTTP ou HTTPS n'est nécessaire sur les nœuds. Cependant, les nœuds ont besoin d'un certificat racine afin qu'ils fassent confiance au proxy. L’inspection des proxys est généralement utilisée par le service informatique pour appliquer des politiques sur les sites Web qui peuvent être visités et les types de contenu qui ne sont pas autorisés. Ce type de proxy déchiffre tout votre trafic (même HTTPS).
Proxy explicite–Avec un proxy explicite, vous indiquez aux nœuds HDS quel serveur proxy et schéma d'authentification utiliser. Pour configurer un proxy explicite, vous devez saisir les informations suivantes sur chaque nœud :
IP/FQDN du proxy—Adresse qui peut être utilisée pour joindre la machine proxy.
Port proxy—Un numéro de port que le proxy utilise pour écouter le trafic proxy.
Protocole proxy—En fonction de ce que votre serveur proxy prend en charge, choisissez entre les protocoles suivants :
HTTP : affiche et contrôle toutes les demandes envoyées par le client.
HTTPS : fournit un canal au serveur. Le client reçoit et valide le certificat du serveur.
Type d'authentification—Choisissez parmi les types d'authentification suivants :
Aucun : aucune autre authentification n'est requise.
Disponible si vous sélectionnez HTTP ou HTTPS comme protocole proxy.
Basique—Utilisé pour un agent utilisateur HTTP pour fournir un nom d'utilisateur et un mot de passe lors d'une demande. Utilise l'encodage Base64.
Disponible si vous sélectionnez HTTP ou HTTPS comme protocole proxy.
Vous devez saisir le nom d'utilisateur et le mot de passe sur chaque nœud.
Digest—Utilisé pour confirmer le compte avant d'envoyer des informations sensibles. Applique une fonction de hachage sur le nom d'utilisateur et le mot de passe avant l'envoi sur le réseau.
Disponible uniquement si vous sélectionnez HTTPS comme protocole proxy.
Vous devez saisir le nom d'utilisateur et le mot de passe sur chaque nœud.
Exemple de nœuds de sécurité des données hybrides et de proxy
Ce diagramme montre un exemple de connexion entre la sécurité des données hybrides, le réseau et un proxy. Pour les options de proxy d'inspection transparente et d'inspection explicite HTTPS, le même certificat racine doit être installé sur le proxy et sur les nœuds de sécurité des données hybrides.
Mode de résolution DNS externe bloqué (configurations de proxy explicites)
Lorsque vous enregistrez un nœud ou vérifiez la configuration du proxy du nœud, le processus teste la recherche DNS et la connectivité au Cloud Cisco Webex. Dans les déploiements avec des configurations de proxy explicites qui ne permettent pas la résolution DNS externe pour les clients internes, si le nœud ne peut pas interroger les serveurs DNS, il passe automatiquement en mode de résolution DNS externe bloquée. Dans ce mode, l’enregistrement du nœud et d’autres tests de connectivité proxy peuvent continuer.
Exigences pour la sécurité des données hybrides
Exigences relatives aux licences Cisco Webex
Pour déployer la sécurité des données hybrides :
Vous devez avoir le Pack Pro pour Cisco Webex Control Hub. (Voir https://www.cisco.com/go/pro-pack.)
Configuration minimale requise pour Docker Desktop
Avant d'installer vos nœuds HDS, vous avez besoin de Docker Desktop pour exécuter un programme d'installation. Docker a récemment mis à jour son modèle de licence. Votre organisation peut nécessiter un abonnement payant pour Docker Desktop. Pour plus de détails, voir le billet de blog Docker, « Docker met à jour et étend ses abonnements aux produits ".
Exigences du certificat X.509
La chaîne de certificats doit répondre aux exigences suivantes :
Configuration minimale requise | Détails |
---|---|
| Par défaut, nous faisons confiance aux AC de la liste Mozilla (à l’exception de WoSign et StartCom) à https://wiki.mozilla.org/CA:IncludedCAs. |
| Le NC n'a pas besoin d'être joignable ou d'être un hôte en direct. Nous vous recommandons d'utiliser un nom qui reflète votre organisation, par exemple, Le NC ne doit pas contenir de * (caractère générique). Le NC est utilisé pour vérifier les nœuds de sécurité des données hybrides vers les clients de l’application Webex. Tous les nœuds de sécurité des données hybrides de votre cluster utilisent le même certificat. Votre KMS s'identifie en utilisant le domaine CN, pas un domaine défini dans les champs SAN x.509v3. Une fois que vous avez enregistré un nœud avec ce certificat, nous ne prenons pas en charge la modification du nom de domaine CN. Choisissez un domaine qui peut s'appliquer à la fois aux déploiements d'essai et de production. |
| Le logiciel KMS ne prend pas en charge les signatures SHA1 pour valider les connexions aux KMS d'autres organisations. |
| Vous pouvez utiliser un convertisseur tel qu'OpenSSL pour changer le format de votre certificat. Vous devrez saisir le mot de passe lorsque vous exécuterez l'outil de configuration HDS. |
Le logiciel KMS n'impose pas de contraintes d'utilisation des clés ou d'utilisation étendue des clés. Certaines autorités de certification exigent que des contraintes d'utilisation de clés étendues soient appliquées à chaque certificat, telles que l'authentification du serveur. Il est acceptable d'utiliser l'authentification du serveur ou d'autres paramètres.
Exigences de l'organisateur virtuel
Les hôtes virtuels que vous allez configurer en tant que nœuds de sécurité des données hybrides dans votre cluster ont les exigences suivantes :
Au moins deux hôtes distincts (3 recommandés) colocalisés dans le même centre de données sécurisé
VMware ESXi 6.5 (ou version ultérieure) installé et en cours d'exécution.
Vous devez effectuer la mise à niveau si vous avez une version antérieure d'ESXi.
Minimum 4 vCPU, 8 Go de mémoire principale, 30 Go d'espace disque dur local par serveur
Exigences du serveur de base de données
Créer une nouvelle base de données pour le stockage des clés. N’utilisez pas la base de données par défaut. Les applications HDS, une fois installées, créent le schéma de base de données. |
Il existe deux options pour le serveur de base de données. Les exigences pour chacun sont les suivantes :
PostgreSQL | Microsoft SQL Server | ||
---|---|---|---|
|
| ||
Minimum 8 vCPUs, 16 Go de mémoire principale, espace disque dur suffisant et surveillance pour s'assurer qu'il n'est pas dépassé (2 To recommandés si vous souhaitez exécuter la base de données pendant une longue période sans avoir besoin d'augmenter le stockage) | Minimum 8 vCPUs, 16 Go de mémoire principale, espace disque dur suffisant et surveillance pour s'assurer qu'il n'est pas dépassé (2 To recommandés si vous souhaitez exécuter la base de données pendant une longue période sans avoir besoin d'augmenter le stockage) |
Le logiciel HDS installe actuellement les versions de pilotes suivantes pour la communication avec le serveur de base de données :
PostgreSQL | Microsoft SQL Server |
---|---|
Pilote Postgres JDBC driver 42.2.5 | Pilote SQL Server JDBC 4.6 Cette version de pilote prend en charge SQL Server Always On (Instances de cluster de basculement Always On et groupes de disponibilité Always On). |
Exigences supplémentaires pour l'authentification Windows par rapport à Microsoft SQL Server
Si vous souhaitez que les nœuds HDS utilisent l'authentification Windows pour accéder à votre base de données keystore sur Microsoft SQL Server, vous devez configurer votre environnement comme suit :
Les nœuds HDS, l'infrastructure Active Directory et MS SQL Server doivent tous être synchronisés avec NTP.
Le compte Windows que vous fournissez aux nœuds HDS doit avoir un accès en lecture/écriture à la base de données.
Les serveurs DNS que vous fournissez aux nœuds HDS doivent être en mesure de résoudre votre centre de distribution de clés (KDC).
Vous pouvez enregistrer l'instance de base de données HDS sur votre serveur Microsoft SQL en tant que nom principal de service (SPN) sur votre répertoire actif. Voir Enregistrer un nom principal de service pour les connexions Kerberos.
L'outil de configuration HDS, le lanceur HDS et le KMS local doivent tous utiliser l'authentification Windows pour accéder à la base de données du Keystore. Ils utilisent les détails de votre configuration ISO pour construire le SPN lors de la demande d'accès avec l'authentification Kerberos.
Exigences de connectivité externe
Configurez votre pare-feu pour autoriser la connectivité suivante pour les applications HDS :
Application | Protocole | Port | Direction de l’application | Destination |
---|---|---|---|---|
Nœuds de sécurité des données hybrides | TCP | 443 | HTTPS et WSS sortants |
|
Outil de configuration HDS | TCP | 443 | HTTPS sortant |
|
Les nœuds de sécurité des données hybrides fonctionnent avec la traduction d’accès au réseau (NAT) ou derrière un pare-feu, tant que le NAT ou le pare-feu autorise les connexions sortantes requises vers les destinations du domaine dans le tableau précédent. Pour les connexions entrantes vers les nœuds de sécurité des données hybrides, aucun port ne doit être visible depuis Internet. Dans votre centre de données, les clients ont besoin d'accéder aux nœuds de sécurité des données hybrides sur les ports TCP 443 et 22, à des fins administratives. |
Les URL des hôtes d'identité commune (CI) sont spécifiques à la région. Voici les hôtes CI actuels :
Région | URL de l'hôte Common Identity |
---|---|
Amériques |
|
Union européenne |
|
Canada |
|
Exigences du serveur proxy
Nous prenons officiellement en charge les solutions proxy suivantes qui peuvent s'intégrer à vos nœuds de sécurité des données hybrides.
Proxy transparent : Cisco Web Security Appliance (WSA).
Proxy explicite : Squid.
Les proxys SQUID qui inspectent le trafic HTTPS peuvent interférer avec l'établissement de websocket (wss :) les connexions. Pour contourner ce problème, voir Configurer des proxys Squid pour la sécurité des données hybrides.
Nous prenons en charge les combinaisons de types d'authentification suivantes pour les proxys explicites :
Aucune authentification avec HTTP ou HTTPS
Authentification de base avec HTTP ou HTTPS
Digest authentification avec HTTPS uniquement
Pour un proxy d'inspection transparent ou un proxy explicite HTTPS, vous devez avoir une copie du certificat racine du proxy. Les instructions de déploiement de ce guide vous indiquent comment télécharger la copie dans les magasins de confiance des nœuds de sécurité des données hybrides.
Le réseau hébergeant les nœuds HDS doit être configuré pour forcer le trafic TCP sortant sur le port 443 à passer par le proxy.
Les proxys qui inspectent le trafic Web peuvent interférer avec les connexions de socket Web. Si ce problème se produit, contournement (sans inspection) du trafic vers
wbx2.com
etciscospark.com
résoudra le problème.
Remplissez les prérequis pour la sécurité des données hybrides
1 | Vérifiez que votre organisation Webex est activée pour le Pack Pro pour Cisco Webex Control Hub et obtenez les identifiants d’un compte avec les droits d’administrateur de l’organisation complets. Contactez votre partenaire Cisco ou votre gestionnaire de compte pour obtenir de l’aide sur ce processus. | ||
2 | Choisissez un nom de domaine pour votre déploiement HDS (par exemple, | ||
3 | Préparez des hôtes virtuels identiques que vous configurerez en tant que nœuds de sécurité des données hybrides dans votre cluster. Vous avez besoin d'au moins deux hôtes distincts (3 recommandés) colocalisés dans le même centre de données sécurisé, qui répondent aux exigences de la section Exigences relatives à l'hôte virtuel. | ||
4 | Préparez le serveur de base de données qui servira de banque de données clé pour le cluster, conformément aux exigences du serveur de base de données. Le serveur de base de données doit être colocalisé dans le centre de données sécurisé avec les hôtes virtuels. | ||
5 | Pour une reprise rapide après sinistre, configurez un environnement de sauvegarde dans un autre centre de données. L’environnement de sauvegarde reflète l’environnement de production des machines virtuelles et d’un serveur de base de données de sauvegarde. Par exemple, si la production a 3 machines virtuelles exécutant des nœuds HDS, l'environnement de sauvegarde doit avoir 3 machines virtuelles. | ||
6 | Configurez un hôte syslog pour collecter les journaux à partir des nœuds du cluster. Collectez son adresse réseau et son port syslog (la valeur par défaut est UDP 514). | ||
7 | Créez une politique de sauvegarde sécurisée pour les nœuds de sécurité des données hybrides, le serveur de base de données et l'hôte syslog. Au minimum, pour éviter une perte de données irrécupérable, vous devez sauvegarder la base de données et le fichier ISO de configuration généré pour les nœuds de sécurité des données hybrides.
Les clients de l’application Webex mettent leurs clés en cache, de sorte qu’une panne ne sera peut-être pas immédiatement perceptible mais deviendra évidente au fil du temps. Si les pannes temporaires sont impossibles à prévenir, elles sont récupérables. Cependant, la perte complète (aucune sauvegarde disponible) de la base de données ou du fichier ISO de configuration entraînera des données client irrécupérables. Les opérateurs des nœuds de sécurité des données hybrides doivent maintenir des sauvegardes fréquentes de la base de données et du fichier ISO de configuration et être prêts à reconstruire le centre de données de sécurité des données hybrides en cas de panne catastrophique. | ||
8 | Assurez-vous que la configuration de votre pare-feu permet la connectivité pour vos nœuds de sécurité des données hybrides, comme indiqué dans Exigences de connectivité externe. | ||
9 | Installer Docker ( https://www.docker.com) sur n'importe quelle machine locale exécutant un système d'exploitation pris en charge (Microsoft Windows 10 Professional ou Enterprise 64 bits, ou Mac OSX Yosemite 10.10.3 ou version plus récente) avec un navigateur Web qui peut y accéder à l'adresse http://127.0.0.1:8080. Vous utilisez l'instance Docker pour télécharger et exécuter l'outil d'installation HDS, qui construit les informations de configuration locale pour tous les nœuds de sécurité des données hybrides. Votre organisation peut avoir besoin d’une licence Docker Desktop. Reportez-vous à la section Configuration minimale du bureau Docker pour plus d'informations. Pour installer et exécuter l'outil de configuration HDS, la machine locale doit disposer de la connectivité décrite dans Exigences de connectivité externe. | ||
10 | Si vous intégrez un proxy avec Hybrid Data Security, assurez-vous qu'il répond aux exigences du serveur proxy. | ||
11 | Si votre organisation utilise la synchronisation du répertoire, créez un groupe dans Active Directory appelé
|
Flux des tâches de déploiement de la sécurité des données hybrides
Avant de commencer
1 | Télécharger les fichiers d'installation Téléchargez le fichier OVA sur votre machine locale pour une utilisation ultérieure. | ||
2 | Créer une configuration ISO pour les hôtes HDS Utilisez l'outil de configuration HDS pour créer un fichier de configuration ISO pour les nœuds de sécurité des données hybrides. | ||
3 | Installer le fichier OVA de l'hôte HDS Créez une machine virtuelle à partir du fichier OVA et effectuez la configuration initiale, telle que les paramètres réseau.
| ||
4 | Configurer la machine virtuelle de sécurité des données hybrides Connectez-vous à la console VM et configurez les informations d'authentification de connexion. Configurez les paramètres réseau pour le nœud si vous ne les avez pas configurés au moment du déploiement OVA. | ||
5 | Télécharger et monter l'ISO de configuration HDS Configurez la machine virtuelle à partir du fichier de configuration ISO que vous avez créé avec l'outil d'installation HDS. | ||
6 | Configurer le nœud HDS pour l'intégration du proxy Si l'environnement réseau nécessite une configuration proxy, spécifiez le type de proxy que vous utiliserez pour le nœud et ajoutez le certificat proxy au magasin d'approbation si nécessaire. | ||
7 | Enregistrer le premier nœud dans le cluster Enregistrez la MV auprès du Cloud Cisco Webex en tant que nœud de sécurité des données hybrides. | ||
8 | Créer et enregistrer d'autres nœuds Terminez la configuration du cluster. | ||
9 | Lancer un essai et passer à la production (chapitre suivant) Jusqu'à ce que vous démarriez un essai, vos nœuds génèrent une alarme indiquant que votre service n'est pas encore activé. |
Télécharger les fichiers d'installation
1 | Connectez-vous à https://admin.webex.com, puis cliquez sur Services. | ||||
2 | Dans la section Services hybrides, recherchez la carte de sécurité des données hybrides, puis cliquez sur Configurer. Si la carte est désactivée ou si vous ne la voyez pas, contactez l’équipe de votre compte ou votre organisation partenaire. Donnez-leur votre numéro de compte et demandez à votre organisation d’activer la sécurité des données hybrides. Pour trouver le numéro de compte, cliquez sur l’engrenage en haut à droite, à côté du nom de votre organisation.
| ||||
3 | Sélectionnez Non pour indiquer que vous n’avez pas encore configuré le nœud, puis cliquez sur Suivant. Le fichier OVA commence automatiquement à se télécharger. Enregistrez le fichier à un emplacement sur votre machine.
| ||||
4 | Sinon, cliquez sur Ouvrir le guide de déploiement pour vérifier si une version ultérieure de ce guide est disponible. |
Créer une configuration ISO pour les hôtes HDS
Le processus de configuration de la sécurité des données hybrides crée un fichier ISO. Vous utilisez ensuite l'ISO pour configurer votre hôte Hybrid Data Security.
Avant de commencer
L'outil de configuration HDS s'exécute en tant que conteneur Docker sur une machine locale. Pour y accéder, exécutez Docker sur cette machine. Le processus de configuration nécessite les informations d'identification d'un compte Control Hub avec des droits d'administrateur complets pour votre organisation.
Si l'outil de configuration HDS fonctionne derrière un proxy dans votre environnement, fournissez les paramètres du proxy (serveur, port, informations d'identification) via les variables d'environnement Docker lors de l'affichage du conteneur Docker à l'étape 5. Ce tableau donne quelques variables d'environnement possibles :
Description
Variable
proxy HTTP sans authentification
GLOBAL_AGENT_HTTP_PROXY=http://SERVER_IP:PORT
Proxy HTTPS sans authentification
GLOBAL_AGENT_HTTPS_PROXY=http://SERVER_IP:PORT
proxy HTTP avec authentification
GLOBAL_AGENT_HTTP_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Proxy HTTPS avec authentification
GLOBAL_AGENT_HTTPS_PROXY=http://USERNAME:PASSWORD@SERVER_IP:PORT
Le fichier ISO de configuration que vous générez contient la clé principale chiffrant la base de données PostgreSQL ou Microsoft SQL Server. Vous avez besoin de la dernière copie de ce fichier chaque fois que vous effectuez des modifications de configuration, comme suit :
Identifiants de base de données
Mises à jour des certificats
Modification de la politique d’habilitation
Si vous prévoyez de chiffrer les connexions de base de données, configurez votre déploiement PostgreSQL ou SQL Server pour TLS.
1 | Sur la ligne de commande de votre machine, saisissez la commande appropriée pour votre environnement : Dans les environnements normaux :
Dans les environnements FedRAMP :
| ||||||||||||
2 | Pour vous connecter au registre des images Docker, saisissez ce qui suit :
| ||||||||||||
3 | À l'invite du mot de passe, saisissez ce hachage :
| ||||||||||||
4 | Téléchargez la dernière image stable pour votre environnement : Dans les environnements normaux :
Dans les environnements FedRAMP :
| ||||||||||||
5 | Lorsque l'extraction est terminée, saisissez la commande appropriée pour votre environnement :
Lorsque le conteneur est en cours d'exécution, le message « Serveur express à l'écoute sur le port 8080 » s'affiche. | ||||||||||||
6 |
Utilisez un navigateur Web pour accéder à l'hôte local, L'outil utilise cette première entrée du nom d'utilisateur pour définir l'environnement approprié pour ce compte. L'outil affiche alors l'invite de connexion standard. | ||||||||||||
7 | Lorsque vous y êtes invité, saisissez vos identifiants de connexion d’administrateur client Control Hub, puis cliquez sur Se connecter pour autoriser l’accès aux services requis pour la sécurité des données hybrides. | ||||||||||||
8 | Sur la page d'aperçu de l'outil de configuration, cliquez sur Commencer. | ||||||||||||
9 | Sur la page Importation ISO, vous avez les options suivantes :
| ||||||||||||
10 | Vérifiez que votre certificat X.509 répond aux exigences de la section Exigences du certificat X.509.
| ||||||||||||
11 | Saisissez l'adresse de la base de données et le compte pour que HDS accède à votre banque de données clé : | ||||||||||||
12 | Sélectionnez un mode de connexion à la base de données TLS :
Lorsque vous téléchargez le certificat racine (si nécessaire) et cliquez sur Continuer, l'outil de configuration HDS teste la connexion TLS au serveur de base de données. L'outil vérifie également le signataire du certificat et le nom d'hôte, le cas échéant. Si un test échoue, l'outil affiche un message d'erreur décrivant le problème. Vous pouvez choisir d'ignorer l'erreur et de poursuivre l'installation. (En raison des différences de connectivité, les nœuds HDS peuvent être en mesure d'établir la connexion TLS même si la machine de l'outil de configuration HDS ne peut pas la tester avec succès.) | ||||||||||||
13 | Sur la page Journaux système, configurez votre serveur Syslogd : | ||||||||||||
14 | (Facultatif) Vous pouvez modifier la valeur par défaut de certains paramètres de connexion à la base de données dans Paramètres avancés. En général, ce paramètre est le seul que vous souhaitez modifier :
| ||||||||||||
15 | Cliquez sur Continuer sur l'écran Réinitialiser le mot de passe des comptes de service. Les mots de passe des comptes de service ont une durée de vie de neuf mois. Utilisez cet écran lorsque vos mots de passe arrivent à expiration ou que vous souhaitez les réinitialiser pour invalider les fichiers ISO précédents. | ||||||||||||
16 | Cliquez sur Télécharger le fichier ISO. Enregistrez le fichier dans un emplacement facile à trouver. | ||||||||||||
17 | Effectuez une copie de sauvegarde du fichier ISO sur votre système local. Gardez la copie de sauvegarde sécurisée. Ce fichier contient une clé de chiffrement principale pour le contenu de la base de données. Limitez l'accès aux seuls administrateurs de sécurité des données hybrides qui doivent effectuer des modifications de configuration. | ||||||||||||
18 | Pour arrêter l'outil d'installation, tapez |
Que faire ensuite
Sauvegardez le fichier ISO de configuration. Vous en avez besoin pour créer plus de nœuds pour la récupération, ou pour effectuer des modifications de configuration. Si vous perdez toutes les copies du fichier ISO, vous avez également perdu la clé principale. Récupérer les clés de votre base de données PostgreSQL ou Microsoft SQL Server n'est pas possible.
Nous n'avons jamais de copie de cette clé et ne pouvons pas vous aider si vous la perdez. |
Installer le fichier OVA de l'hôte HDS
1 | Utilisez le client VMware vSphere sur votre ordinateur pour vous connecter à l'hôte virtuel ESXi. | ||||||
2 | Sélectionnez FichierDéployer le modèle OVF… | ||||||
3 | Dans l'assistant, spécifiez l'emplacement du fichier OVA que vous avez téléchargé précédemment, puis cliquez sur Suivant. | ||||||
4 | Sur le Sélectionner un nom et un dossier page , saisir un Nom de la machine virtuelle pour le nœud (par exemple, « HDS_Node_1 »), choisissez un emplacement où le déploiement du nœud de la machine virtuelle peut résider, puis cliquez sur Suivant. | ||||||
5 | Sur le Sélectionner une ressource de calcul page , choisissez la ressource de calcul de destination, puis cliquez sur Suivant. Un contrôle de validation est effectué. Une fois terminé, les détails du modèle s'affichent. | ||||||
6 | Vérifiez les détails du modèle, puis cliquez sur Suivant. | ||||||
7 | Si vous êtes invité à choisir la configuration de la ressource sur le Configuration page , cliquez sur 4 UNITÉS CENTRALES puis cliquez sur Suivant. | ||||||
8 | Sur le Sélectionner le stockage page , cliquez sur Suivant pour accepter le format disque par défaut et la politique de stockage des machines virtuelles. | ||||||
9 | Sur le Sélectionner les réseaux, choisissez l’option réseau dans la liste des entrées pour fournir la connectivité souhaitée à la machine virtuelle. | ||||||
10 | Sur la page Personnaliser le modèle, configurez les paramètres réseau suivants :
Si vous préférez, vous pouvez ignorer la configuration du paramètre réseau et suivre les étapes de Configurer la machine virtuelle de sécurité des données hybrides pour configurer les paramètres à partir de la console du nœud.
| ||||||
11 | Faites un clic droit sur la MV du nœud, puis choisissez .Le logiciel de sécurité des données hybrides est installé en tant qu'invité sur l'hôte VM. Vous êtes maintenant prêt à vous connecter à la console et à configurer le nœud. Astuces de dépannage Vous pouvez rencontrer un délai de quelques minutes avant que les conteneurs du nœud affluent. Un message du pare-feu pont apparaît sur la console lors du premier démarrage, au cours de laquelle vous ne pouvez pas vous connecter. |
Configurer la machine virtuelle de sécurité des données hybrides
Utilisez cette procédure pour vous connecter à la console VM du nœud de sécurité des données hybrides pour la première fois et définir les informations d'authentification de connexion. Vous pouvez également utiliser la console pour configurer les paramètres réseau pour le nœud si vous ne les avez pas configurés au moment du déploiement OVA.
1 | Dans le client VMware vSphere, sélectionnez votre VM de nœud de sécurité des données hybrides et sélectionnez l'onglet Console. La machine virtuelle démarre et une invite de connexion apparaît. Si l'invite de connexion ne s'affiche pas, appuyez sur Entrée.
|
2 | Utilisez les identifiants et mots de passe par défaut suivants pour vous connecter et modifier les informations d'authentification : Puisque vous vous connectez à votre machine virtuelle pour la première fois, vous devez changer le mot de passe administrateur. |
3 | Si vous avez déjà configuré les paramètres réseau dans Installer le fichier OVA de l'hôte HDS, ignorez le reste de cette procédure. Sinon, dans le menu principal, sélectionnez l'option Modifier la configuration. |
4 | Configurez une configuration statique avec l'adresse IP, le masque, la passerelle et les informations DNS. Votre nœud doit avoir une adresse IP interne et un nom DNS. DHCP n'est pas pris en charge. |
5 | (Facultatif) Modifiez le nom d'hôte, le domaine ou le(s) serveur(s) NTP, si nécessaire pour correspondre à votre stratégie réseau. Vous n'avez pas besoin de définir le domaine pour qu'il corresponde au domaine que vous avez utilisé pour obtenir le certificat X.509. |
6 | Enregistrez la configuration réseau et redémarrez la machine virtuelle pour que les modifications soient prises en compte. |
Télécharger et monter l'ISO de configuration HDS
Avant de commencer
Étant donné que le fichier ISO contient la clé principale, il ne doit être exposé que sur la base du « besoin d’en connaître », pour l’accès des machines virtuelles de sécurité des données hybrides et des administrateurs qui pourraient avoir besoin d’effectuer des modifications. Assurez-vous que seuls ces administrateurs peuvent accéder à la banque de données.
1 | Téléchargez le fichier ISO depuis votre ordinateur : |
2 | Monter le fichier ISO : |
Que faire ensuite
Si votre politique informatique le nécessite, vous pouvez éventuellement démonter le fichier ISO une fois que tous vos nœuds auront pris en compte les modifications de configuration. Voir (Facultatif) Démonter l'ISO après la configuration HDS pour plus de détails.
Configurer le nœud HDS pour l'intégration du proxy
Si l'environnement réseau nécessite un proxy, utilisez cette procédure pour spécifier le type de proxy que vous souhaitez intégrer à la sécurité des données hybrides. Si vous choisissez un proxy d'inspection transparent ou un proxy explicite HTTPS, vous pouvez utiliser l'interface du nœud pour télécharger et installer le certificat racine. Vous pouvez également vérifier la connexion proxy à partir de l'interface et résoudre les problèmes potentiels.
Avant de commencer
Voir Prise en charge du proxy pour un aperçu des options de proxy prises en charge.
1 | Saisissez l’URL de configuration du nœud HDS |
2 | Allez dans Trust Store & Proxy, puis choisissez une option :
|